前言从2022年底开始算前前后后折腾了快四年时间公司个人信息保护体系总算正式落地了。结果有点戏剧性。体系刚落地没多久《小型个人信息处理者个人信息保护简化措施规定》等配套规定陆续出台小型个人信息处理者的合规要求相比前几年明显降低了很多。按照现在的要求很多过去需要单独建立制度、流程和检查机制的事项通过企业规章制度增加相应要求配合必要评估和定期自查就能够满足监管要求。说实话如果我在项目开始的时候就知道后面会有这些变化很多事情未必会做得这么重。从顶层框架到标准、流程、工作指引再到控制基线和审计机制这些工作投入了大量时间和精力。从投入产出的角度看多少会让人产生一种“是不是做过头了”的感觉。不过后来回头再看我发现这些工作其实并没有白做。因为这几年实践下来我逐渐意识到个人信息保护体系最大的价值其实并不在于满足某个阶段的法律要求。很多同行应该也有类似感受。2022年前后个人信息保护和数据出境监管总体处于持续强化阶段各种处罚案例和专项检查不断出现而到了今天随着监管思路调整以及小型个人信息处理者简化规则落地不少要求又明显放松了。但问题在于如果今天要求降低了企业就停止建设那么未来监管再次收紧的时候怎么办经济不好时标准降低经济恢复后重新加强检查的时候企业还能不能扛得住在我看来一套成熟的个人信息保护体系本质上是一套稳定、可量化、可持续运行的内部管理标准。无论外部要求提高还是降低企业内部对于个人信息的管理原则、职责分工以及控制要求都应该保持稳定而不是随着监管周期来回摇摆。除此之外当企业真正面对集团审计、客户审计或者监管检查的时候最终都会被问到同一个问题你们是如何保护个人信息的这时候很多企业都会陷入一种尴尬的状态。培训记录有一点权限管理有一点技术措施有一点各种制度文件也有一点。单独拿出来都说得过去但放在一起却很难形成完整逻辑更难证明这些要求正在持续运行。这也是我后来坚持把个人信息保护重新整理成一套 Framework而不是几份制度文件的原因。为什么我不建议只写制度而是要建立 Framework个人信息保护体系建设过程中我最大的感受之一是不要试图用一份制度解决所有问题。很多企业做个人信息保护最终成果往往就是一份《个人信息保护管理制度》。从个人信息收集、存储、使用到传输、删除全部写进去看起来很完整也满足了大部分审计和合规要求。但真正运行起来以后很快就会发现制度能够解决的是“要求有没有写”而不是“事情怎么做”。最典型的例子就是最小必要原则。大部分个人信息保护制度都会要求个人信息收集遵循最小必要原则但什么叫最小必要员工入职时收集婚姻状况是否必要收集子女信息是否必要为了方便工作沟通要求员工提供微信号是否必要招聘过程中身份证是在面试阶段收集、Offer阶段收集还是正式入职时收集制度通常只会告诉你要遵循最小必要原则却不会告诉你什么才算最小必要。再比如权限控制。很多制度会规定个人信息只能授权访问但谁有审批权限多久复核一次权限离职员工多久删除权限共享盘权限和业务系统权限是否需要统一管理这些问题在实际工作中都会遇到而制度同样给不出答案。这也是为什么很多企业做完个人信息保护建设以后看起来什么都有但实际运行效果并不理想。制度发了培训做了员工签字了但业务部门还是不断跑来问应该怎么做做完以后做得对不对也不清楚很多问题甚至等审计发现了才知道原来一直做错了。问题并不是制度写得不够而是制度本身并不足以承担流程、操作和检查的职能。因此后来我没有继续往制度里面堆要求而是按照 Framework 的思路重新设计。从我的理解来看Policy负责定义原则和目标Standard负责定义最低控制要求Procedure负责规定流程和职责Work Instruction负责说明具体操作方法Control Baseline负责定义检查和审计要求。这样每一层文件都解决特定的问题而不是把所有内容都塞进一份制度里面。以 闭路电视监控管理为例如果只有制度那么通常只能规定监控录像属于个人信息需要受到保护未经授权不得查看。但这些内容本质上只是原则。真正运行的时候还需要一整套配套控制。Policy规定监控录像应受到保护以及管理目标是什么Standard规定哪些场景允许调阅录像、录像保留期限是多少、录像导出需要满足什么条件Procedure规定申请、审批、调阅、留痕以及销毁的整体流程Work Instruction则进一步细化到每一个执行动作例如申请表如何填写、审批时需要确认哪些内容、录像如何导出、导出文件保存在哪里Control Baseline则规定多久检查一次、检查哪些记录、抽查比例是多少、发现问题后如何整改。这样设计以后业务部门看到的是自己该做什么管理人员看到的是自己该管什么审计人员看到的是自己该查什么而不是所有人抱着同一份制度各自揣摩应该如何执行。所以我认为制度很重要但制度只是开始。真正困难的事情是把制度要求转换成业务人员能够执行、管理人员能够监督、审计人员能够检查的具体控制措施。这也是我认为 Framework 比单纯制度体系更有价值的原因。体系建设最难的不是写体系本身而是确保写的体系可以落地个人信息保护体系建设过程中我最后发现一个很有意思的现象。写体系其实不难。GB/T 35273、ISO 27701、个人信息保护法包括网上各种模板和咨询公司的框架参考资料非常多。只要肯花时间大部分人都能写出一套看起来不错的个人信息保护体系。真正困难的是你写的东西能不能在企业里活下来。很多人在设计体系时考虑的是标准怎么要求但真正应该考虑的问题是这套要求投入运行以后企业能不能长期承担对应的管理成本。例如体系要求每半年开展一次个人信息权限审查表面上看完全合理。但谁来审业务部门有没有这个能力去做如果企业规模扩大、系统变多、人员增加明年的审查工作量会不会变成现在的几倍相关部门还能不能持续投入资源完成这些工作再比如最小必要原则。标准要求企业按照最小必要原则收集个人信息这没有问题。但具体哪些信息属于必要信息哪些信息不应该收集如果不允许收集某些信息会不会影响招聘、人事管理或者日常业务开展如果业务部门认为这些信息确实有使用价值那么应该如何处理这些才是真正需要解决的问题。再比如个人信息保护影响评估。很多标准都会要求企业在特定场景开展影响评估。但评估标准是什么谁来评价风险高低发现供应商存在合规问题怎么办现实情况是国内大多数企业自身的数据保护能力都不成熟。如果一个业务场景需要使用的供应商普遍达不到理想标准企业是停止业务还是接受风险并采取补偿控制措施这些问题远比是否开展评估本身复杂。这些问题如果在体系设计阶段没有想清楚那么最后大概率会变成纸面合规。制度里写得很好审计来的时候文件也很齐全但真正执行时大家默认绕过或者干脆没人执行。我在建设过程中花时间最多的其实不是写文件而是在反复思考另一件事这条要求放进体系以后企业真的能够持续执行三年、五年甚至更长时间吗很多标准的要求其实都没有错但企业运行同样有自己的现实需求。作为体系建设者需要不断在风险控制和业务效率之间寻找平衡。管得太松体系失去意义。管得太严业务一定绕过体系。最坏的结果往往不是不合规而是制度彻底失去公信力。所有人都知道制度做不到于是所有人都默认不执行。所以后来我逐渐形成一个观点个人信息保护体系不是把标准翻译成制度而是把标准翻译成企业能够执行的管理要求。如果一项要求长期无法落地那么与其把它写进制度以后变成摆设不如在风险可接受的前提下调整控制方式找到企业真正能够执行的方案。因为对于企业而言一个能够持续运行的80分控制措施往往比一个永远停留在纸面上的100分控制措施更有价值。决定体系质量的并不是你写了多少页文件而是这些文件发布一年以后还有多少内容仍然在被执行。持续运行才是真正的开始如果说体系建设最难的是落地那么体系建设完成以后最难的事情就是持续运行。记得看过一个笑话体系只在发布当天存在。制度发布的时候开会宣贯一次员工培训一次文件上传到共享盘然后整个项目就结束了。等到下一次审计来的时候再翻出这些文件各部门根据体系要求疯狂补流程、补记录、补检查表把审计糊弄过去就算大功告成。虽然是个笑话但现实里这样的情况并不少见。从这个角度来看体系在发布的一刻其实就已经死了。我刚开始建设体系的时候也觉得培训、宣贯、通知这些工作很重要。后来慢慢发现这些事情只能解决“大家知不知道”的问题却解决不了“大家做不做”的问题。真正推动体系持续运行的核心其实是检查和审计。企业里面大部分管理体系能够长期运行并不是因为大家都认同制度而是因为大家知道有人会检查。质量体系如此环境体系如此信息安全体系如此个人信息保护体系本质上也是一样。对于业务部门来说制度要求可能会忘培训内容可能会忘但整改通知单一般不会忘。因此我的建议是不要等别人来审计而是主动创造审计压力。推动集团审计、事业部内审、专项检查甚至主动引入第三方审计让个人信息保护真正进入企业日常管理体系。只有当业务部门知道这件事情每年会被检查、会被追踪、会形成整改项、会被持续复查的时候体系里的要求才会逐渐变成日常工作的组成部分。从实践来看推动体系运行最有效的往往不是培训而是审计发现项。培训的时候大家听完就忘但如果某个部门因为权限管理问题被开了整改项或者因为个人信息管理不到位被要求限期整改那么相关负责人通常会非常认真地研究制度到底要求什么。很多控制措施真正开始落地往往不是从培训开始而是从第一次被审计发现问题开始。除了检查之外体系本身也需要持续更新。数据保护领域变化非常快从个人信息保护法到数据出境标准合同从个人信息影响评估到小型个人信息处理者简化规则监管要求一直在变化。对于跨国企业来说还需要同时考虑集团政策、GDPR以及其他国家和地区的数据治理要求。如果体系建好以后几年不更新那么再完善的设计也会逐渐失去价值。所以我现在越来越觉得个人信息保护体系最重要的成果其实不是 Policy、Procedure 或者 Work Instruction 本身而是建立一套能够自我运转的机制。有人制定规则有人执行规则有人检查规则有人修改规则。只要这套循环还在运转体系就还活着。如果要总结这些年的经验我认为个人信息保护体系最大的价值不在于写出了多少文件而在于建立了一套能够持续接受检查、持续发现问题、持续推进整改、持续适应变化的管理机制。因为能够长期运行的体系才是真正的体系不能持续运行的体系无论设计得多漂亮最终都只是共享盘里的一堆文件。甚至在某种程度上我认为有一句三体系审核的黑色幽默同样适用于个人信息保护培训告诉员工应该做什么而审计决定员工最终会不会做。