企业合规风险提示与预警信息（1227-0102）

　　根据司法行政系统队伍教育整顿精神，紧扣为群众办实事的宗旨，贯彻落实中央关于企业合规建设的重要精神，推动企业持续加强合规管理。深圳市司法局官网推出“合规”专栏，搭建合规智库信息发布平台，为企业提供国内外涉及深圳企业发展的重大合规领域立法及执法的提示和预警服务，助力企业增强合规风险抵御能力，为深圳市“走出去”企业保驾护航。

　　新规速递
       一、中国国务院发布《中国的出口管制》白皮书
     【合规资讯】
       12月29日，中国国务院新闻办公室发布《中国的出口管制》的白皮书。其将“出口管制”定义为对两用物项、军品、核以及其他与维护国家安全和利益、履行防扩散等国际义务相关的货物、技术、服务等物项出口，采取禁止或者限制性措施。白皮书正文内容包括四个部分：中国出口管制的基本立场、不断完善出口管制法律制度和管理体制、持续推进出口管制体系现代化以及积极开展出口管制国际交流合作，旨在全面介绍中国完善出口管制治理的立场、制度和实践，阐述中国维护世界和平与发展，维护国家安全和国际安全的主张和行动。次日，“中国出口管制信息网”（http://exportcontrol.mofcom.gov.cn/）开通上线。（资讯来源：国务院新闻办公室）
     【合规提示】
      根据商务部有关负责人的答记者问，中国政府建立健全现代化出口管制体系的具体举措包括：优化许可管理、提升执法能力、推进合规建设及履行国际义务。随着我国出口管制各项法律法规日益完善，企业可根据《商务部关于两用物项出口经营者建立出口管制内部合规机制的指导意见》和《两用物项出口管制内部合规指南》等文件的要求，从拟定政策声明、建立组织机构、全面风险评估、确立审查程序、制定应急措施、开展教育培训、完善合规审计、保留资料档案、编制管理手册等九个方面建立健全内部合规制度。企业还可以充分利用“中国出口管制信息网”等合规工具，了解国内外出口管制执法动态与政策法规信息。

　　二、信安标委发布《网络数据分类分级指引》
     【合规资讯】
      12月31日，为贯彻落实《数据安全法》提出的“国家建立数据分类分级保护制度”要求，指导数据处理者开展数据分类分级工作，全国信息安全标准化技术委员会秘书处组织编制了《网络安全标准实践指南——网络数据分类分级指引》。指南从数据分类分级原则、数据分类分级框架、数据分类方法、数据分级方法、数据分类分级实施流程等方面，依据法律法规和政策标准相关要求，给出了网络数据分类分级的原则、框架和方法。（资讯来源：全国信息安全标准化技术委员会）
     【合规提示】
      企业作为数据处理者的，应当按照数据资产梳理、数据分类、数据定级、审核标识管理、数据分类分级保护的流程，建立健全数据分类分级保护制度。依据核心数据、重要数据、个人信息、公告数据等安全要求，以及行业领域给出的数据分类分级保护要求，按照核心数据严格管理、重要数据重点保护、个人信息安全合规和一般数据分级保护的思路，加强数据处理系统、数据传输网络、数据存储环境等安全防护。同时，企业应当关注数据安全情况的变化，及时调整数据安全策略，根据需要对数据进行重新定级，保证数据安全保障的及时性、适应性和合规性。

　　三、最高法发布《关于审理网络消费纠纷案件适用法律若干问题的规定（一）》（征求意见稿）
     【合规资讯】
       12月27日，为妥善审理网络消费纠纷案件，依法保护消费者合法权益，促进网络经济健康持续发展，最高人民法院发布了《关于审理网络消费纠纷案件适用法律若干问题的规定（一）》（征求意见稿）。征求意见稿主要内容包括：格式条款、七天无理由退货、平台自营业务、平台外支付、二手商品等合同权利义务，网络消费欺诈，网络直播带货，外卖餐饮，民事公益诉讼等方面。其中，特别强调了电子商务平台经营者对平台内经营者的管理，监督，以及相关的损害赔偿责任。（资讯来源：最高人民法院）
     【合规提示】
      企业开展电子商务平台运营的，应当依据诚实信用、合规经营的原则，对平台内经营者及其商务活动进行监督管理。对于企业标记为自营、实际开展自营或者误导消费者认为是自营的业务，企业应当加强标签合规管理和产品服务品质的管理，不得以自营的标签吸引消费者，或者侵害消费者的合法权益。企业应遵守平台的支付规则，尽量避免引导消费者在交易平台提供以外的其他支付渠道进行支付。直播营销平台应当建立起直播间运营者的身份、经营资质、产品安全审核制度。对于外卖餐饮平台，应当对入网餐饮服务提供者依法进行实名登记、许可证审查，并且在发现违规经营情况时，主动履行报告、停止提供网络交易平台服务等义务。
     执法动态
      一、多省通信管理局通报侵害用户权益App
    【合规资讯】
      山西省通信管理局聚焦本省与群众生活密切相关、下载使用量较大的App针对违规收集个人信息、过度索取权限、频繁骚扰等突出问题，通过监督检测、责令整改、社会公告、下架关闭等方式，纵深推进App专项整治。对省内12891款App进行技术检测，向194家侵害用户权益的App运营企业下发整改通知书478份，向工业和信息化部上报拟公示存在问题的65款App，下架了未及时整改的3款App。
安徽省通信管理局近期对省内App进行了拨测检查，共检测到20款App存在违法违规收集使用个人信息的问题，对上述违规App企业下达责令改正通知书，要求限期完成整改工作。（资讯来源：工业和信息化部）
    【合规提示】
      App运营者以及应用分发平台，应当根据相关法律法规以及执法监管重点披露的数据合规问题，积极排查和禁止一切涉嫌违规收集使用个人信息、超范围收集个人信息、欺骗误导强迫用户、频繁过度索取权限、强制定向推送、频繁自启动和关联启动、应用分发平台上的App信息明示不到位等违法违规现象。同时App运营者以及应用分发平台应当按照《网络安全标准实践指南—移动互联网应用程序(App)收集使用个人信息自评估指南》、《App违法违规收集使用个人信息行为认定方法》、《常见类型移动互联网应用程序必要个人信息范围规定》等法律法规开展风险评估及合规改进。若被监管机构或外部主体发现存在违规问题，应当积极按要求整改，必要时聘请专业外部机构协助处理。

　　二、5名美国人员第二次受到《反外国制裁法》制裁
    【合规资讯】
      12月30日，针对美国国务院、财政部根据美国《香港自治法》对香港中联办5名副主任实施制裁的错误行径，中方决定采取对等反制，根据《反外国制裁法》，对5名美方人员实施制裁，制裁措施包括禁止上述人员入境（包括香港、澳门地区）、冻结其在华财产、禁止中国公民及机构与其交易。此前中方针对美国其他涉港错误行径作出的反制决定（包括制裁对象和措施）依然有效。（资讯来源：中国外交部）
    【合规提示】
      外交部的此次行动是《反外国制裁法》通过后的第三次反制裁。根据《反外国制裁法》的规定，我国境内的组织和个人应当执行国务院有关部门采取的反制措施；任何组织和个人均不得执行或者协助执行外国国家对我国公民、组织采取的歧视性限制措施。除更新内部禁止交易、往来的合作伙伴清单外，相关企业还应注意更新及调整现有交易合同模板，包括但不限于明确《反外国制裁法》等中国法律规则优先适用的条款，补充中外法律规则发生冲突时的解决方式等。
     域外法讯
      一、美国某信息经纪公司未能保持准确的消费者信息和欺诈行为被处以2890万美元罚款
    【合规资讯】
      近日，美国联邦贸易委员会（FTC）宣布，美国加州中区地区法院对美国某信息经纪公司未能维持合理的程序来核实其报告的使用方式，并确保消费者信息的准确性，以及仅为法律允许的目的而出售消费者信息，处以罚款28,945,968美元。由于该公司无力支付全额款项，该罚款减少到16,000,000美元。据悉，该信息经纪公司被指控违反了《公平信用报告法》(FCRA)，包括未能维持合理的程序来验证其报告的使用方式、确保信息的准确性以及确保其出售的信息仅用于法律允许的目的。另外，该信息经纪公司的误导性计费做法违反了《恢复在线购物者信心法案》，例如，未能明确披露预付费用，或者消费者的订阅将自动续订。同时，该信息经纪公司还通过歪曲其退款和取消政策违反了电话营销规则。法院要求该信息经纪公司建立、实施、保持一个全面的信息监测计划，定期审查、评估其商业行为的合规性，并禁止其在营销、推广和广告方面，就其付款、取消或退款的政策和做法向消费者提供虚假陈述。（资讯来源：美国联邦贸易委员会）
    【合规提示】
      企业从事个人信息的收集、处理和分析报告业务时，应当主动遵循诚信、客观、真实的原则，基于合法途径获取和收集个人信息，并严格按照合规的分析算法和步骤进行整理和演算，禁止通过误导性的、错误的分析成果吸引消费，侵害信息主体的个人信息的真实准确性以及其他合法权益。对于关于产品和服务的营销，企业应当真实、全面的展示说明有关购买、退订和取消的政策和步骤，不得设置陷阱和其他不合理的要求阻碍、侵害消费者的知情权、选择权和退出的权利。

　　二、某国际性金融服务公司支付6000万美元解决数据安全的集体诉讼
    【合规资讯】
      当地时间12月31日，代表约1500万客户提出的集体诉讼的初步和解已提交曼哈顿联邦法院，某全球领先的国际性金融服务公司同意支付6000万美元，以解决客户提起的一项集体诉讼。客户表示，这家华尔街银行接连两次未能妥善淘汰部分落后的信息技术，以至于暴露了他们的个人数据。客户指控该金融服务公司在2016年未能淘汰两个财富管理数据中心，而此后未加密的设备（仍包含客户数据）被转售给了未经授权的第三方。另外，在该金融服务公司于2019年将一些包含客户数据的旧服务器转让给外部供应商后，这些服务器失踪了。此外，法庭文件显示，该金融服务公司后来恢复了服务器。目前本案正在纽约南区的地方法院就该金融服务公司的数据安全问题进行诉讼。（资讯来源：路透社）
     【合规提示】
企业应当加强对存储个人信息的介质和设备的安全和保密管理，在出借、转让存有个人信息的介质和设备时，应当设置有效的、安全的、保密的措施，保障个人信息的有效隔离和安全，不得非法泄露和变相交易个人信息。在淘汰、销毁存有个人信息的介质和设备时，企业应当建立严格的监管手段，实施彻底的、根本的个人信息删除技术手段和物理手段，杜绝个人信息的泄露和非法利用的潜在风险，对个人信息的安全提供有效的保障。

     【声明】
1. 本期信息内容由深圳市鹏城法律合规研究院提供，转载请注明以上信息；
2. 本期信息仅做分享与交流之用，不构成任何法律意见或建议；
3. 任何主体均不应当以本期信息及所载内容作为分析和判断的基础；
4. 企业在做出任何可能影响经营管理的决定前，建议咨询合规专业人士。