8月24日，由君悦律师事务所资深顾问孙明分享的线上直播课程已圆满结束，直播主题为“产业区块链的数据合规之路”，以下为此次直播的主要内容：

1、开场篇

案例一：央视315曝光万店掌收集人脸信息

违规数据个人信息，不仅会受到行政处罚，还会受到民事诉讼和涉嫌刑事责任。直接影响到公司运行和商业声誉，所以企业收集个人信息应当谨慎而行，严格遵循现有法律法规。

案例二：Grindr违反GDPR规定被罚款1100万美元

Grindr是针对同性恋、双性恋、跨性别者和同性恋者的基于位置的社交网络应用程序（APP）。2020年，挪威消费者委员会对Grindr提出申诉，声称出于营销目的与第三方非法共享个人数据。共享的数据包括GPS位置、用户配置文件数据以及相关用户在Grindr上的事实。

案例三：英国航空数据泄露事件被罚1.83亿英镑

英国信息监管局对英国航空开出1.83亿英镑的巨额罚单，达到英国航空2018年全年营业收入的1.5%，成为彼时GDPR法案下最多罚款的案件。经过复议之后，因英国航空在新冠疫情期间损失惨重且其已经积极整改大幅提高信息系统的安全性，最终英国信息监管局将罚单金额降低到2000万英镑。

2、数据的本源

自下而上是不断抽象的过程：例如从数据层面抽象成信息层面，抽象成个 人信息就落入个人信息保护法的范畴。如果数据是匿名数据，无法抽象出 个人信息，那么就不再受到个人信息保护法的调整范畴，但依然受到数据 保护法的调整范畴。

自上而下是将观念映射到现实的过程。

3、数据生命周期

如果数据可以抽象成个人信息或重要数据，那么数据全生命周期都应当遵循个人信息保护法或数据安全法的相关要求。如果数据不能抽象为个人信息或重要数据，或者数据在当前计算约束下无法抽象出个人信息或有用信息，那么数据生命周期就不涉及个人信息保护的约束。

3.1 数据收集阶段

数据来源合法：收集数据的来源必须合法，通过第三方流转获得的数据，应当审查流转者是否有权流转，并备存相关流转协议。

数据内容可信：数据来源可能不可靠，存在恶意篡改、虚假信息和重复信息之情形。数据内容质量不一，可能存在大量噪声。可以使用大数据技术对数据进行清洗和预处理，以提高数据质量。

个人信息保护：收集个人信息或处理第三方流转的个人信息，必须取得个人信息主体的明示同意，且应当使用技术手段记录用户同意的动作。

3.2 数据存储阶段

使用加密技术：数据处理者使用加密技术、产品或服务应当满足法律法规的要求。关键信息基础设施应当使用商用密码进行保护，其运营者应自行或者委托商用密码检测机构开展商用密码应用安全性评估。关键信息基础设施的运营者采购涉及商用密码的网络产品和服务，可能影响国家安全的，应当通过国家网信部门会同国家密码管理部门等有关部门组织的国家安全审查。网络安全等级保护的第三级及以上的所有行业，都应当采用符合密码管理部门要求的密码产品或服务。

确保加密过程可靠：首先、选择最新安全可靠的加密算法。使用国家地区推荐的标准密码算法，特殊场景下强制要求使用国密算法。其次、选择使用安全性足够的密钥。如果密钥长度和复杂度不够，仍然存在数据安全潜在问题。最后，对于密钥存储和分发使用安全的技术措施和管理措施。如果密钥管理存在漏洞，数据安全性将遭遇根本危机。数据加密可以在存储数据层面，可以在数据库层面，可以在云存储（虚拟硬盘）层面，也可以在物理硬盘层面，应当根据场景进行适当选择。

数据备份和分布式存储：数据处理者针对重要数据应当采取备份措施。加密数据备份。使用云存储机制备份加密后的数据，云存储服务提供商是否为个人信息的被委托者或共同处理者，存在一定争议，但是从欧洲GDPR实践来看，数据处理者掌握私有密钥情况下， 密文存储在云服务商处，云服务商没有识别出特定个人之可能性，所以可以不是数据控制者/处理者。分布式存储情形。特别是区块链、IPFS分布式存储技术应用场景下，可能涉及数据出境，应采取相应手段充分满足存储合规的要求。

3.3 数据传输阶段

数据传输阶段容易形成短板：数据传输被广泛应用于数据采集、数据存储备份、数据分析使用、数据呈现展示和数据交换过程之中。如果数据传输采用明文传输或弱密码算法，可能会遭遇中间人攻击造成数据泄露。诸如个人信息采集之场景，用户在网页端或APP侧输入个人信息之后，网络运营方就有义务确保个人信息妥善传输和存储，所以应当使用诸如SSL/TSL等安全传输协议。区块链或IPFS等分布式存储场景下，数据在节点之间传输需要采用加密手段。

3.4 数据使用阶段

1.个人信息使用的目的、范围和处理方式，应当事前取得个人信息主体同意，并且严格在目的和约束范围内处理个人信息。

2.数据处理者开展数据处理活动，影响或可能影响国家安全的，应当按照进行网络安全审查。

3.重要数据处理者应当定期进行重要数据处理的风险评估，并向相关监管部门报告。

4.数据访问控制:访问控制是实现数据可用性的重要技术手段。访问控制可以在授权管理、策略定义、颗粒度控制、隐私保护等方面对于数据使用者一定限制，确保数据使用者拥有有限数据访问权限，在有限数据控制下获得所需要的计算结果。如果数据发生泄漏或消灭，访问控制机制可以将损失控制在最小范围之内，并可以根据清晰的数据使用记录进行责任追究。

5.数据共享机制:数据共享还是信息共享？数据有序流动、共享和使用才能发挥最大的经济价值。数据共享过程中，由于数据本身是无形资产，易于复制且难以追溯，数据共享过程稍有不当就会导致数据泄露。隐私计算是一种数据可用但不可见的技术，可以对匿名数据进行运算，从而获得有效地信息量。

3.5 数据消灭阶段-数据消灭阶段可能属于法定义务

大型软件系统内部数据存储和处理流程复杂，个人信息可能会被存储在多个不同的数据库、云服务、文件、日志或内存等位置。如果企业不能掌握所有的个人信息存储区域、处理过程产生的中间数据、处理过程记录的日志和审计数据，那么就无法满足DSRs响应的要求。个人信息主体发起删除个人信息请求时，处理者不仅要从信息系统中彻底删除该主体的个人信息或匿名化，还可能需要想主体提供已经删除或匿名化其个人信息的证据。否则，可能会承担诉讼失利的风险。

企业使用云存储时，在企业删除云存储内的数据时，云服务商极有可能从硬盘层面恢复出相关数据，导致企业未能履行删除或匿名化个人信息的义务。企业如何在云存储、分布式存储、区块链等新型技术架构下，存在委托第三方存储部分数据的情形，企业应当通过协议或技术手段确保数据删除是可追溯可审计的。也需要在系统设计初期就应当予以分析法律风险。

云计算和区块链场景下，企业失去了对数据的物理存储介质的控制权，无法保证数据存储的副本同时也被删除，导致传统删除方法无法满足大数据安全的要求。因此，如何保证数据确实被删除，即保证数据可信删除，是一个重要挑战。并且需要向用户证明已经删除，亦是一种挑战。

4、数据安全法

《数据安全法》将于2021年9月1日正式实施。国家保护个人、组织与数据有关的权益，鼓励数据依法合理有效利用，保障数据依法有序自由流动，促进以数据为关键要素的数字经济发展。

数字经济时代已然到来，随着企业数字化、政府数字化、消费数字化的大浪潮，数据已经成为国家和企业的核心资产。在国际贸易、全球产业链协作的全球化进程之中，谁掌握了核心数据，谁就掌握经济的主导权。

5、个人信息保护法

《个人信息保护法》将于2021年11月正式实施，其旨在保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用。实现个人信息权益保护、数据要素公共价值之间的均衡发展。

个人信息特别是个人行为，是社会经济活动最基本的原子单元，可以刻画出个人经济需求的多寡，聚合地描绘出社会经济的总需求的变化。数字社会已然到来，如何确保个人信息被合理使用显得至关重要。

6、区块链行业数据合规

6.1 区块链面临的数据合规要点

个人信息保护法、数据安全法、网络安全法。

6.2 区块链与个人信息保护之欧盟态度

如果区块链参与者是自然人，其处理活动与专业或商业的活动相关，则会被认定为数据控制者。如果区块链参与者是法人，当他上传个人信息到区块链时就被认定为数据控制者。

如果很多实体为了共同目的共同决定区块链的数据处理的（例如：按照联盟规则治理），此时CNIL建议这些实体共同成立一个法人作为数据控制者，或者指定某个参与者作为数据控制者。

挖矿节点或验证节点不被认为是数据控制者，因为他们不能决定数据处理过程。智能合约开发者，会被认定为是数据处理者。不同区块链技术路径下，节点也可能被认为是数据处理者。

公链如何确定数据控制者存在巨大的困难，公链在数据跨境处理方面亦是存在很高的合规风险。应当通过协议予以相应的规制。

6.3 区块链与个人信息保护在中国的合规挑战

重要数据与个人信息处理者应当事前进行风险/安全影响评估。区块链账本拥有多份且有不可篡改，区块链参与者可以访问明文数据，并可以进行使用或处理。如何确保重要数据和个人信息按照既定目的处理？如果某些节点超越数据收集时声明的处理目的和范围，这些参与者将可能遭受行政处罚。

区块链账本个人信息出现泄露后如何设计应急预案。如果上链数据被破解或被识别出，处理者有义务启用应急处置预案。那么这种预案由于区块链的不可篡改和多份账本而变得复杂。

6.4 区块链与个人信息保护在中国的商业机遇

《数据安全法》与《个人信息保护法》给区块链带来挑战，但是为区块链应用带来新的商业需求。

6.5 产业区块链的数据合规要点

个人信息保护与数据安全始于架构设计、上链数据使用摘要、密码或隐私计算等事先处理、完善平台协议、管理制度、应急预案和违约处理。

6.6 从区块链平台运营者角度

区块链系统建设或平台建设方，在系统建设之前应当充分评估区块链系统与个人信息保护法之间的冲突之可能性。

6.7 从区块链联盟参与者角度

区块链联盟的参与者可以根据联盟协议或智能合约的规则，向区块链账本写入数据。参与者并不一定总是区块链节点运营者，参与者拥有独立的DID身份。

6.8 区块链应用企业数据合规流程指引

项目策划阶段：企业商业模式在处理个人信息与重要信息时，是否满足法律法规的要求。特别应当注意数据来源合法性、不正当竞争问题或数据处理侵害他人权益的问题。

风险评估阶段：评估商业模式收集数据或个人信息范围、目的、处理方法、出境风险等。评估自身技术准备和管理制度是否满足数据安全法、网络安全法和个人信息保护法的要求。

系统架构设计：系统架构应当充分考虑如何缓释数据处理风险及满足法律法规要求的处理方式。特别是个人信息保护法，应当采取从系统设计阶段就充分考量技术架构。

管理制度设计：根据数据处理风险和缓释措施的评估，公司应当提前进行制度建设，保护业务管理制度、个人信息保护制度、数据安全相关制度和网络等级保护相关制度等。

项目实施阶段：项目实施过程应当严格遵守风险评估和缓释措施的要求。如果遇到技术路径与风险评估存在冲突，那么应当再次评估，确保技术实施满足监管之要求。

外部机构评估：在系统开发完毕正式上线运营之前，应当与外部律师和信息安全评估机构共同对于系统安全性和数据合规性进行评估。全面尽调将有助于减少个人信息处理的风险。

持续运营阶段：持续运营过程涉及到个人信息处理，应当将处理信息记录，包括相应个人信息主体请求的全部处理过程。应当提供DataMapping机制的可信证明。

定期回顾机制：根据法律法规要求，对数据处理风险和缓释措施定期重新评估。项目更新或问题反馈时，应当采取定期回顾或检查措施，保持项目与最新法律法规之规定相一致。

更多信息请扫描下方二维码观看直播回放

直播答疑环节：

1、现在已经运行的区块链平台，如果上链信息中已经存在个人信息，应该怎么处理呢？

孙明：建议区块链运营者应该从区块链参与者协议等维度修订，降低公开或非法传输个人信息的风险。应该尽快通过升级智能合同或重新部署等方式修正个人信息处理方式。

2、区块链如何防止个人信息的跨境传输或数据泄露？

孙明：建议区块链平台设计时应当充分考虑是否允许参与者上链个人信息，如果允许的话，应当设计相关合约协议处理个人信息，且禁止传输明文的个人信息，单独对于个人信息进行加密处理。如果响应删除权时，可以消灭密钥或私钥。建议采用收到约束的联盟管理方式，至少通过协议让节点运营者知悉同意节点部署在境内，并通过ip地址等要素做初步审查。如果数据是加密的，数据泄露造成的后果是可控的。但是前提是密钥强度和密钥管理是规范的。

3、数据安全法与个人信息保护法等法律正式是时候，对区块链行业整体会有什么样的影响。

孙明：数据安全法与个人信息保护法相关法律法规的出台，将规范数据行业的发展框架，整体而言将更加有利于数据采集、流通和使用。未来我们法律框架更加清晰，法律红线的边界也变得更加明晰，对于数据产业企业特别是区块链企业是极大利好的。

短时间内可能会影响一些存储个人信息的区块链项目，会到这这些上模不得不整改和调整。但是APP或网址未来要做个人信息的前置风险评估、响应个人信息主体的查询、修改、删除等权利，都需要类似于区块链的技术来确保数据处理全流程是可信的，并且是可举证的。从这个角度来说，给区块链企业带来新的市场空间。总的来说，数据安全法和个保法将给区块链企业带来新场景新机遇。

腾讯区块链王乐庆：至信链—打造可信存证领域的基础设施

趣链科技谢锡根：区块链技术在司法行业的服务应用

欧冶金服杜轶君：通宝——区块链技术在大宗商品供应链金融领域的应用

筑龙信息孙新：区块链在公共资源交易领域的应用探索

易见纹语科技王卓威：以区块链驱动数字农业产业链升级

简单汇梁小龙：供应链票据创新与区块链应用探索

恒为信息科技崔春生：区块链技术在“三资”监管领域的应用

招商银行涂亚运：物流链，打造物流生态金融服务新模式