煮酒言规
///////////////
数据合规是一个比较新的领域，很多问题都难以通过公开渠道检索到答案。此时，实务人士间的思想碰撞、交流就显得尤为珍贵。
• CONTENT •
「劳务派遣数据处理关系」
● 境外公共数据运营实践
-问：他国政府有类似于我国《数据二十条》这样对公共数据有偿使用的立法例吗？用open data/public data尝试检索了下，大多数似乎仍然是免费开放，好奇二者之间立法考量上的区别在哪里。
-答1：EU Data Governance Act
-答2：数字法案，DSA，有些地方可以对比。
总结：目的不同。
● 劳务派遣数据处理关系
-问：请教下，劳务派遣中，就被派遣员工的个人信息，劳务派遣单位和用工单位之间的角色如何？ 个人倾向于都是独立的个人信息处理者
-答1：感觉是共同处理或者是数据共享的模式。
-答2：独立处理者，用工单位是接收方，派遣单位是提供方，有告知同意义务。
-答3：感觉还是要看实际的数据流吧，实践中有很多外资是用工单位自己收集、处理了很多个人信息，而派遣方是后续从用工单位那里获得的少量个人信息。在招聘环节，一开始就是外资自己获取的，后面只是为了签劳动合同给派遣方一些个人信息。我感觉还是取决于实际的数据流情况，有些公司甚至招聘环节都是自己/找猎头，派遣方只是人定好之后签个合同。
-答4：是不是可能存在两个环节 派遣前 派遣方根据用工单位要求招聘选任相关员工，这个环节感觉和猎头有点像；第二个环节就是后续派遣及派遣期间员工的个人信息，这部分派遣方和用工方是独立处理者。我觉得还是区分招聘与派遣两个环节 前者更多是委托处理的关系 后者独立处理方的关系。
-答5：不存在个人信息的委托处理吧，都是提供，顶多是委托招聘并返回个人信息？招聘要求里面不包含个人信息，是民事上的委托，但不是个人信息的委托处理。提供方承担告知同意义务，可以结合实际情况论证为履行/订立合同所必需。
总结：结合实际数据流判断。
● 手机自带截屏会有水印吗？
-问：有人告诉我手机自带的截屏工具保存本地时候是带了数字水印的，会有设备码？
-答1：分情况：
系统层面，内测的系统为了信息安全会有。公开版的系统不会给加水印。
应用层面，有些办公软件或者版权保护的情况，会有。
-答2：微信小程序如果被截图会有水印。
-答3：那是监听截屏广播，读了exif id，发图时候一并发小程序，不是截图水印。
总结：专业。
● 重要数据共享要求
-问：重要数据如果分享给跨国公司中国公司，可以实现境内存储，不被境外访问，实操中有问题吗？有什么concern吗
-答1：应该可以参考的只有 之前的网数条例？但有点老了，且没有生效。
-答2：目前按照网数条例征求意见稿以及各行业领域数据安全管理办法的要求，趋势应该是承载重要数据的系统都要做等保三级。
-答3：需要看看《工业和信息化领域数据安全管理办法（试行）》（生效文件~~）中对于“重要数据”处理的规定。
一般而言，接收方是受托处理（代表提供方来处理重要数据），就得通过合同和安全审核等方面来要求接收方同等落实这个规定中要求的保护措施，同时，也得在每年的重要数据目录报备中向监管方披露接收方；如果接收方是独立的“重要数据处理者”（这事儿如何知悉，也是个合作中的沟通技巧），那就是人家自己的报备和安全合规义务了，就管好共享环节的合同、安全传输、数据处理记录、目录报备批量等自己家的事儿，多操心可能还麻烦。
● 摄像头可以本地人脸识别吗？
-问：公共场所安装的摄像头会区分普通摄像头和人脸识别摄像头吗？这种人脸识别不知道是在终端摄像头上就能做，还是上传到搭配的软件上才能做？
-答1：人脸识别摄像头一般需要联网的。
-答2：之前了解到的是：理论上如果人脸特征提取能在本地完成，图像已经被转换成脱敏的特征值，就不需要再上传原始图像了；使用的识别设备可能需要配备比如有相关计算能力的芯片。如果有特定的对象想了解，还可以尝试下断网了还能不能实现识别的功能。
-答3：朴素的感觉，和全量公安库比对的必须联网，如果是和特定人群比对的，可能可以本地化。
-答4：Chat GPT的答复如下：一些高端摄像头具备一定的计算能力，可以在本地完成基础的人脸检测和特征提取工作。然而，由于硬件限制，本地处理通常只适用于简单的识别任务。
● 基于其他合法性基础处理个人信息后，合法性基础消失后，该如何处理？
-问：请教下各位对这个问题怎么看：非基于同意的个人信息处理，如果处理后发现合法性基础消失的，对已经进行的处理动作（包括已经发布的产品或服务）的有效性怎么判断？
一种理解是参照个保法十五条二款，不影响已进行的效力；
另一种理解是按照侵权一般规定，同时停止侵害，并要对已经处理动作进行排除或者消除（包括停止服务，乃至召回产品）
-答1：我倾向于前者，后者的话，企业好难落实啊，合同终止了，难道原来的个人信息就删掉吗。
-答2：消失怎么理解？自始自终不存在，还是政策类的变迁？这有区别的。
-答3：除同意之外的几个合法性基础的变形可以很多，例如公开获取的，公开获取来源的政策发生修改
-答4：就举个简单例子，员工离职了，员工的薪资信息怎么处理？
-答5：按照劳动合同法要求存两年，按照仲裁的时间存一年。
-答6：我也倾向于前者，如果让处理者，包括被分享方都处在不确定性中，真的很难，但同事也会argue 这可不是以手护手的。
-答7：但你前者有个问题，就是第十五条的第一款明确说的是基于个人同意所获知的。这个可以类推嘛。
-答8：个人理解，不影响之前在具备合法性基础时已进行的处理活动的效力。但是当前若丧失了合法性基础，如果再要处理，就要拿同意或者其他合法性基础，否则就是违法处理承担侵权责任。员工离职，劳动关系结束，除非有法定义务（例如法定强制存储期限）or其他合法性基础，你才可以继续处理员工的薪资信息，但这不影响你跟员工合同存续期间处理他薪资信息的法律效力呐。
-答9：这个理解在合法性基础和处理动作严丝合缝的同时同步时成立，但绝大部分情况不是这样，公开数据获取后被用于产品开发和服务提供，已经发布上市，但只到将来某一节点才知道之前某一节点合法性基础已丧失。
-答10：从个保合规审计参考要点中，第十七条能看到法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者应当停止除存储和采取必要的安全措施之外的处理。是不是可以反推，那么合法性基础丧失，理应删除了，但是存在困难，所以之前的我就先存，采取安全措施放着，后续的就不做了。
-答11：存在什么困难了？不考虑成本和被内部投诉的情况下，我其实可以push让研发对这些数据全部标签，并强制要求后市场监督，一旦发现启动召回和影响消除。如果是数字人甚至语音模型之类的，实践中也不会真的建议让他们把产品停掉，把已经签的服务合同撤销啥的，我只是想探求下极端情况下可以到什么地方。
-答12：语音模型的话，因为无从判断训练后的参数，也没办法从技术上处理吧。
• END •
关注小号防失联
推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
还没有评论，来说两句吧...