【财新网】（专栏作家 陈立彤）

    背景

　　据媒体报道，掌握众多小区业主个人信息的4名房产中介，竟然动歪脑筋干起非法出售公民个人信息的勾当，更令人震惊的是，单单在一笔交易中就出售了公民个人信息10万条。日前，上海警方破获一起侵犯公民个人信息案件，4名房产中介因涉嫌出售公民个人信息被刑事拘留。

　　今年4月，上海警方在工作中发现，有人在QQ群里出售小区业主资料。通过侦查，民警锁定了出售信息的犯罪嫌疑人张某、舒某，以及购买信息的王某，这3人均在上海从事房产中介工作。

　　在交易中，王某用1000元向张某、舒某购买了150个小区共10万条业主个人信息。这些信息非常详细，包括姓名、电话、购房时间等。

　　办案民警还发现，这些信息中有一部分是犯罪嫌疑人张某和另一家房产中介门店老板丁某交换来的。为了获得更好的业绩，一些房产中介之间交换公民个人信息的行为竟然成了公开的“潜规则”。

　　根据《中华人民共和国刑法》第二百五十三条之一规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

　　《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》将于今年6月1日起施行，其中第三条规定，未经被收集者同意，将合法收集的公民个人信息向他人提供的，属于刑法规定的“提供公民个人信息”；第四条规定，违反国家有关规定，通过购买、收受、交换等方式获取公民个人信息，或者在履行职责、提供服务过程中收集公民个人信息的，属于刑法规定的“以其他方法非法获取公民个人信息”。

　　目前，4名犯罪嫌疑人已被依法刑事拘留，其中出售公民个人信息的张某和舒某被批准逮捕，案件正在进一步侦查审理之中。虽然网安法执法已经倒计时，但仍然有很多公司认为《网络安全法》、两高司法解释离自己很远，没有什么可以值得担心的。持有这种侥幸心理的可以复习一下2012年被“3.15”晚会曝光的罗维邓白氏一案。

　　罗维邓白氏案带来的血的教训

　　2012年，罗维邓白氏因非法获取个人信息入罪，公司负责人被警方刑事拘留并被追究刑事责任。当时的罗维邓白氏拥有中国中高端消费者数据超过1.5亿条，并精准到他们的身份，资产情况。2012年3·15晚会曝光了上海罗维邓白氏公司非法买卖个人信息数据一案之后，上海市公安局闸北分局经侦支队于当天对罗维邓白氏公司进行了搜查取证。早晨八点，上海市公安局闸北分局的民警兵分两路，一路前去查封了位于真如的公司的另一处机房；还有一路则又一次来到了罗维邓白氏位于北京西路的总公司。3月16日凌晨，上海警方对李某等三名数据部负责人刑事拘留，并连夜进行了审讯。

　　据公司一名高管交代，罗维邓白氏公司在案发前完全知道买卖公民个人信息违法，但公司高层仍然授意公司员工继续买卖公民个人信息的行为，并召集公司律师研究，如何规避法律制裁。当时这位律师直接出了两个昏招。第一个昏招是：买卖公民个人信息的行为是公司行为，跟个人无关的——问题是单位犯罪，企业直接负责的主管人员和其他直接责任人员是要承担刑事责任的。所以罗维邓白氏有数人因此锒铛入狱。

　　另一个昏招是：修改合同换汤不换药——把合同名称从“信息数据采购合同”修改为“商业资讯咨询顾问合同”——这种假合规在刑事追责面前完全不堪一击，从而导致整个公司遭受了灭顶之灾。

　　这个惨痛的故事告诉我们一个道理：做好合规工作千万不要当鸵鸟！别以为把头埋到沙子里就没事了。

　　关于数据的合规该怎么做？

　　合规工作该怎么做？首先要重视，上面罗维邓白氏的案子已经充分地说明了这一点，在此就不再赘述。

　　另外一个合规工具就是数据合规与安全审计（Data Compliance & Integrity Audit），通过审计以发现公司在数据合规与安全方面所存在的漏洞以及风险，并及时采取措施予以弥补。

　　审计的范围视公司的具体情况和所面临的风险而定。目前的重点是也许是个人信息的保护及合规上面，但是数据的合规与安全不仅仅体现在个人信息方面，对于有些工业领域来说有些重要数据的合规与安全也是非常重要的（比如汽车行业所涉及到的地图数据的合规与安全）——违法及违规所带来的风险也是巨大的。还有的企业把竞争数据的合规与商业秘密的保护也纳入数据合规与安全审计当中来。

　　之所以可以把不同法律门类下的数据合规与安全放在一起审计，是因为它们都是针对数据而产生的合规与安全。另外，发现问题之后所采取的纠正措施也有很多共性的地方。

　　作者陈立彤律师是北京大成（上海）律师事务所高级合伙人，福特汽车公司亚太区前合规总监