企业合规风险提示与预警信息（0131-0206）

　　根据司法行政系统队伍教育整顿精神，紧扣为群众办实事的宗旨，贯彻落实中央关于企业合规建设的重要精神，推动企业持续加强合规管理。深圳市司法局官网现推出“合规”专栏，搭建合规智库信息发布平台，为企业提供国内外涉及深圳企业发展的重大合规领域立法及执法的提示和预警服务，助力企业增强合规风险抵御能力，为深圳市“走出去”企业保驾护航。

　　新规速递
       一、网信办发布《互联网信息服务深度合成管理规定（征求意见稿）》
     【合规资讯】
       近日，为了规范互联网信息服务深度合成活动，弘扬社会主义核心价值观，维护国家安全和社会公共利益，保护公民、法人和其他组织的合法权益，中央网信办起草了《互联网信息服务深度合成管理规定（征求意见稿）》，向社会公开征求意见。征求意见稿明确了深度合成技术、深度合成服务提供者和深度合成服务使用者等概念的含义，明确了深度合成服务提供者主体责任，明确了深度合成信息内容标识管理制度，明确了监督管理相关要求。（资讯来源：网信办）
     【合规提示】
       企业提供深度合成服务以及为深度合成服务提供技术支持的，应当落实信息安全主体责任，建立健全算法机制机理审核、用户注册、信息内容管理、数据安全和个人信息保护、未成年人保护、从业人员教育培训等管理制度，具有与新技术新应用发展相适应的安全可控的技术保障措施。深度合成服务企业应当使用显著方式对深度合成信息内容进行标识，向社会公众有效提示信息内容的合成情况。对于企业开发和上线具有舆论属性或者社会动员能力的新产品、新应用、新功能的，应当按照国家有关规定开展安全评估。
      执法动态
      一、网信办发布中国互联网联合辟谣平台1月辟谣榜
     【合规资讯】
      2月2日，为提升网民媒介素质，营造清朗网络空间，网信办发布了10则权威辟谣信息，内容涉及疫情防控、官方发布文件、食品安全、春节快递运营、医保账户等。（资讯来源：网信办）
     【合规提示】
      企业应当建立信息发布真实合法性的有效审核和管理制度，严格审查和确认发布信息的来源、内容、渠道的真实性、合法性、准确性，不信谣，不传谣。在发现违法违规、不真实或者无法确定真实性的信息时，企业应当立即采取中断链接、删除发布内容、通知信息发布者和用户等措施，及时有效地阻断不实信息的发布和传播。
     域外法讯
     一、比利时裁定TCF同意框架违反GDPR并处以25万欧元罚款
   【合规资讯】
     当地时间2月2日，针对在欧盟被大部分广告业使用的IAB Europe的透明度和同意框架（the Transparency and Consent Framework, TCF)，比利时数据保护局（The Belgian Data Protection Authority）裁定认为,TCF框架不符合欧盟通用数据保护条例的多项规定，对其处以250,000欧元的罚款，并命令IAB Europe永久删除已经在TCF框架中处理的个人数据。
据调查，TCF同意框架在以下方面违反了GDPR：
（1）未能确保个人数据的安全和保密（GDPR第5（1）f条和第32条）；
（2）未能适当地请求同意，没有合适的合法性基础（正当利益）（第5(1)a条和第6条GDPR）；
（3）未能提供关于数据处理影响的透明度（GDPR第12、13和14条）；
（4）未能采取措施以确保数据处理符合GDPR的规定（GDPR第24条）；
（5）未遵守“默认设计保护”的要求（GDPR第25条）；
（6）没有保存数据处理记录（GDPR第30条）；
（7）没有进行数据保护影响评估（DPIA）（GDPR第35条）；
（8）没有任命DPO（GDPR第37条）。(资讯来源：比利时数据保护局）
      【合规提示】
企业应当严格梳理、审查其收集和适用个人信息的来源合法性、个人同意的单独和明确以及数据收集的合法性基础，并且需要建立对数据上下游服务商的个人信息保护合规审核制度和风险防控措施。对于广告业务的使用，企业应当满足透明性的合规要求，公开说明和展示广告业务收集的个人数据类型、第三方使用和传递的情况、可能对个人造成的影响以及个人如何实现个人信息主体权利的途径。在企业内部数据保护合规管理上，企业应当按照合规要求，完善和落实个人信息保护负责人、数据保护影响评估等制度，保障个人信息全生命周期安全。

　　二、欧盟即将发布《数据法》草案
    【合规资讯】
     根据“欧洲动态”（EURACTIV）披露的讯息，欧盟委员会（the European Commission）将于2月23日提出《数据法》（Data Act），该法案规定了共享数据的规则、公共机构的访问条件、国际数据传输、云交换和互操作性。《数据法》是欧盟委员会提出的针对非个人数据的横向立法，将适用于欧盟的互联产品制造商、数字服务提供商和用户。（资讯来源：欧盟委员会）
    【合规提示】
      企业应当跟踪欧盟《数据法》的立法进程，评估对自身业务的影响。在开展业务的过程中，企业应当提高数据安全意识，强化数据安全管理体系，建立和完善数据共享、国际数据传输、数据访问等的数据安全合规管理机制，采取技术、法律和组织措施，对数据安全合规风险程度进行分析和评估，合理部署和优化数据传输业务和流程。

　　三、美国财政部修订《跨国犯罪组织制裁条例》
     【合规资讯】
      近日，美国财政部外国资产控制办公室发布一项最终规则，修订并重新发布了《跨国犯罪组织制裁条例》（Transnational Criminal Organizations Sanctions Regulations, 31 C.F.R. 590，以下简称《条例》），以进一步落实第13581号关于“冻结跨国犯罪组织的财产”与第13863号关于“采取额外措施应对重大跨国犯罪组织”的行政命令。主要修订内容包括：（1）D部分加入了解释指南，包括与涉及被冻结财产的离岸交易和来自被冻结账户的付款相关的指引；（2）修改C部分定义，例如明确“重要跨国犯罪组织”的定义不再局限于第13581号行政命令附件中所列示的组织，增加了“提供财务、物质或技术支持”的定义等；（3）E部分增加了新的一般许可，例如第590.506节授权美国金融机构在符合某些条件的情况下投资或再投资被冻结对象。（资讯来源：美国财政部）
    【合规提示】
      对跨国犯罪组织的制裁属于美国财政部经济制裁计划之一。根据《条例》第590.202节和第590.205节，违反《条例》转让被冻结财产的行为无效，且不得作为主张或承认与这些财产或财产利益有关的任何利益或权利、补救措施、权力或特权的依据；并且禁止在制裁生效后进行任何规避、以规避为目的、导致违反或试图违反《条例》的任何交易。出海企业应关注美国财政部关于《条例》与制裁清单的更新情况，在开展合作前进行必要的尽职调查以核实交易对象身份，建立健全贸易管制及制裁合规体系，防范潜在风险。

　　四、美国宣布制裁缅甸政府官员及军事主体
     【合规资讯】
      当地时间1月31日，美国财政部宣布对与所谓缅甸军事政权有关的七名个人和两个实体列入特别指定国民清单。英国和加拿大也相继宣布了对这些主体的制裁措施。被制裁的个人包括缅甸联邦总检察长、最高人民法院院长和反腐委员会主席，被制裁的实体包括某服务与物流有限公司和国防军总司令采购局，上述个人和实体任何在美国的资产都将受到限制或冻结。（资讯来源：美国财政部）
     【合规提示】
      此次制裁清单的更新涉及了美国财政部管理的特别指定国民清单，企业应注意关于该制裁清单的50%规则，即由特别指定国民清单主体直接或间接、单独或合计拥有50％或以上所有权及其他有控制权的实体的也会受到同等制裁。相关企业应当更新所使用的黑名单数据库，并排查此次更新是否影响到了与合作伙伴开展的业务，以及对外开展业务合作提供的产品或服务是否会遭受限制，并根据对业务合作伙伴的排查情况确立合理的合规要求，开展流程管控。

　　【声明】
1. 本期信息内容由深圳市鹏城法律合规研究院提供，转载请注明以上信息；
2. 本期信息仅做分享与交流之用，不构成任何法律意见或建议；
3. 任何主体均不应当以本期信息及所载内容作为分析和判断的基础；
4. 企业在做出任何可能影响经营管理的决定前，建议咨询合规专业人士。