前阵子有个做后端的朋友跟我聊说他们产品要上线一个用户画像功能需求文档里写着把注册手机、设备信息和浏览记录一并回传到分析平台。他隐约觉得不太对又说不清到底哪不对。这类犹豫在技术开发里特别常见问题往往不是有人存心违规而是没人把那条线画清楚。在某省直属法院做过37年高级法官、后来转到辩护实务的老审判员讲过他见过不止一起因为「只是按需求写代码」就卷入数据案件的技术人。今天想从审判和辩护两个角度把这条线大概画一画帮做技术的朋友提前做个判断。先分清楚你碰的是哪一类数据不是所有用户数据都一个性质。法律上看注册手机、身份证、行踪轨迹、通信内容这些属于敏感个人信息保护强度比昵称、头像高出一个量级。很多团队出问题是拿处理普通字段的方式去处理敏感字段比如把注册手机明文写进日志、把定位信息默认上传。那位老审判员提过一个现象数据类案件里被告方常挂在嘴边的两句话是「我不知道这算敏感信息」和「我就按需求写的」。但审理时这两句通常不构成免责理由。判断的入口是先确认你手里的数据里有没有敏感类有的话处理规则要立刻升级。再看处理动作有没有「告知同意」这道关收集用户信息前提是明确告知并且拿到同意而且同意得是具体的、可撤回的不能藏在几千字用户协议第38条里就算数。弹窗式的一次性打包授权现在基本不被认可。跨境这块更严格。数据要传到境外光有用户勾选还不够通常还要单独的同意以及事前的数据出境安全评估或者标准合同备案。我见过技术团队为了赶进度把国内用户数据直接同步到海外分析集群等合规来查的时候连一份评估材料都拿不出来。这时候性质就从「流程不规范」滑向了要被追责的方向。这里有个容易混的概念匿名化和去标识化不是一回事。把名字换成编号但还能通过其他字段拼回个人那叫去标识化依然算个人信息真正匿名化、无法复原的数据才不在这个保护框架里。很多团队以为「我打码了」就安全其实打码的粒度远远不够。从「违规」到「要被追责」中间隔着什么不是所有不合规都会变成案件。实务里监管通常先走约谈、整改、行政处罚这条路。但有几条情况风险会明显抬升一是数量。批量抓取、非法提供的个人信息达到一定的条数规模就会触发侵犯公民个人信息这条线。具体阈值有明确规定技术同学不一定记得住数字但要有一个概念不是一条两条的问题而是成规模。二是目的。为了自家产品优化留存和为了对外出售获利性质差别很大。后者一旦查实基本就不再是合规整改能解决的事。三是后果。数据泄露造成重大损失或者恶劣社会影响的即便最初没有恶意责任也跑不掉。所以判断自己有没有越线可以问三个问题我碰的是不是敏感信息我有没有拿到明确、单独的同意我存这些数据是为了产品本身还是另有用途三个问题里有两个答不上来就该停手找法务了。技术侧能落地的几件事讲完风险说点具体的。技术团队在合规上能做的比很多人想的多数据分级先行。上线前把字段按敏感度分好类敏感字段单独打标存储和传输走不同通道。这一步不复杂但能挡掉大部分低级问题。最小化采集。很多系统默认把所有能拿的字段都拿回头再想删都难。只采必要的既省存储也省风险。日志脱敏。注册手机、身份证、token 这些千万别明文进日志。集中式日志系统里一旦明文留存排查问题方便出事时也最致命。跨境走合规通道。境外同步数据前先确认有没有评估或者备案没有就别先上线宁可晚一周。保留动作记录。每一次数据调用的授权依据、时间、范围留下痕真到需要说明的时候这些记录就是你的护身符。真出事了技术团队怎么配合如果公司因为数据的事被查技术同学最该做的不是连夜删东西而是稳住。证据都在服务器上删不如不删删了反而多一条。配合提供系统架构、数据流向、授权记录但涉及个人判断的交给专业的人。在审判一线待过三十多年的人会告诉你技术人被推到前面的案子并不少见。把配合的边界想在前头比出事再补救管用得多。本文作者韩宝玉曾在某省直属法院任高级法官审判工作37年现在北京百环律所深圳办案团队办案。本文只作普法参考个案情况差异较大不构成法律意见。北京百环律所深圳办案团队**韩宝玉律师
前阵子有个做后端的朋友跟我聊说他们产品要上线一个用户画像功能需求文档里写着把注册手机、设备信息和浏览记录一并回传到分析平台。他隐约觉得不太对又说不清到底哪不对。这类犹豫在技术开发里特别常见问题往往不是有人存心违规而是没人把那条线画清楚。在某省直属法院做过37年高级法官、后来转到辩护实务的老审判员讲过他见过不止一起因为「只是按需求写代码」就卷入数据案件的技术人。今天想从审判和辩护两个角度把这条线大概画一画帮做技术的朋友提前做个判断。先分清楚你碰的是哪一类数据不是所有用户数据都一个性质。法律上看注册手机、身份证、行踪轨迹、通信内容这些属于敏感个人信息保护强度比昵称、头像高出一个量级。很多团队出问题是拿处理普通字段的方式去处理敏感字段比如把注册手机明文写进日志、把定位信息默认上传。那位老审判员提过一个现象数据类案件里被告方常挂在嘴边的两句话是「我不知道这算敏感信息」和「我就按需求写的」。但审理时这两句通常不构成免责理由。判断的入口是先确认你手里的数据里有没有敏感类有的话处理规则要立刻升级。再看处理动作有没有「告知同意」这道关收集用户信息前提是明确告知并且拿到同意而且同意得是具体的、可撤回的不能藏在几千字用户协议第38条里就算数。弹窗式的一次性打包授权现在基本不被认可。跨境这块更严格。数据要传到境外光有用户勾选还不够通常还要单独的同意以及事前的数据出境安全评估或者标准合同备案。我见过技术团队为了赶进度把国内用户数据直接同步到海外分析集群等合规来查的时候连一份评估材料都拿不出来。这时候性质就从「流程不规范」滑向了要被追责的方向。这里有个容易混的概念匿名化和去标识化不是一回事。把名字换成编号但还能通过其他字段拼回个人那叫去标识化依然算个人信息真正匿名化、无法复原的数据才不在这个保护框架里。很多团队以为「我打码了」就安全其实打码的粒度远远不够。从「违规」到「要被追责」中间隔着什么不是所有不合规都会变成案件。实务里监管通常先走约谈、整改、行政处罚这条路。但有几条情况风险会明显抬升一是数量。批量抓取、非法提供的个人信息达到一定的条数规模就会触发侵犯公民个人信息这条线。具体阈值有明确规定技术同学不一定记得住数字但要有一个概念不是一条两条的问题而是成规模。二是目的。为了自家产品优化留存和为了对外出售获利性质差别很大。后者一旦查实基本就不再是合规整改能解决的事。三是后果。数据泄露造成重大损失或者恶劣社会影响的即便最初没有恶意责任也跑不掉。所以判断自己有没有越线可以问三个问题我碰的是不是敏感信息我有没有拿到明确、单独的同意我存这些数据是为了产品本身还是另有用途三个问题里有两个答不上来就该停手找法务了。技术侧能落地的几件事讲完风险说点具体的。技术团队在合规上能做的比很多人想的多数据分级先行。上线前把字段按敏感度分好类敏感字段单独打标存储和传输走不同通道。这一步不复杂但能挡掉大部分低级问题。最小化采集。很多系统默认把所有能拿的字段都拿回头再想删都难。只采必要的既省存储也省风险。日志脱敏。注册手机、身份证、token 这些千万别明文进日志。集中式日志系统里一旦明文留存排查问题方便出事时也最致命。跨境走合规通道。境外同步数据前先确认有没有评估或者备案没有就别先上线宁可晚一周。保留动作记录。每一次数据调用的授权依据、时间、范围留下痕真到需要说明的时候这些记录就是你的护身符。真出事了技术团队怎么配合如果公司因为数据的事被查技术同学最该做的不是连夜删东西而是稳住。证据都在服务器上删不如不删删了反而多一条。配合提供系统架构、数据流向、授权记录但涉及个人判断的交给专业的人。在审判一线待过三十多年的人会告诉你技术人被推到前面的案子并不少见。把配合的边界想在前头比出事再补救管用得多。本文作者韩宝玉曾在某省直属法院任高级法官审判工作37年现在北京百环律所深圳办案团队办案。本文只作普法参考个案情况差异较大不构成法律意见。北京百环律所深圳办案团队**韩宝玉律师
