新浪法问 王茜

　　2018年欧盟正式实施了《通用数据保护条例》（GDPR），这一条例被称为“史上最严数据保护法案”。Facebook、推特、微软、苹果等大型互联网企业纷纷“踩雷”。数据保护意识较为薄弱的中国互联网企业也面临极大的挑战。

　　天达共和律师事务所合伙人申晓雨律师指出，信息过度采集、违法违规采集、信息滥用、数据泄露等问题构成了中国互联网行业较为普遍的盈利基础，GDPR对中国的电商、中国的互联网行业的经营模式提出了挑战。

　　要符合GDPR的严格要求，首先需要公司的决策层和管理层更新意识，通过改变或调整经营模式，使公司运营从根本上符合GDPR的标准。

　　新浪法问：对于中国的电商企业而言，要符合GDPR的严格要求，需要加强哪些公司内部体制设计？

　　申晓雨律师：这是一个非常好的问题，它的关注点不是为了“应对”GDPR应当采取哪些“措施”，而是看到了GDPR对中国的电商、中国的互联网行业的经营模式提出的挑战。信息过度采集、违法违规采集、信息滥用、数据泄露已经成为中国互联网行业的顽疾，但无法回避的是，这些“问题”也构成了中国互联网行业较为普遍的盈利基础。

　　GDPR的目的是通过提出一套更高的标准，促使企业从意识和体制上进行变革，从而达到GDPR关于个人信息安全和隐私保护所规定的标准。设置数据保护官、更新隐私政策等都是为了实现这一目标的措施和手段。

　　对于刚才提到的以牺牲个人信息安全为代价的盈利模式而言，仅仅是采取一些措施以应付GDPR处罚，而不从根本上改变经营理念、调整商业模式，那么这些措施就相当于在一套不合规的体制上“打补丁”，体制中固有的问题迟早会无法被这些“补丁”所包裹而暴露出来。

　　因此我们认为，要符合GDPR的严格要求，首先需要公司的决策层和管理层更新意识，通过改变或调整经营模式，使公司运营从根本上符合GDPR的标准；只有在这一基础上，才能进一步考虑如何加强公司内部体制，包括建立自上而下的合规治理结构、配备必要的人力资源、确立评估和审查制度、建立培训机制、采取配套措施等。

　　新浪法问：《中华人民共和国电子商务法》实施后，对于中国互联网商业带来的突出影响有哪些？互联网商业领域的企业需要注意哪些问题？

　　申晓雨律师：首先，在规制的主体上，除了传统的淘宝、京东等电商平台外，平台内经营者以及通过自建网站、其他网络服务销售商品或者提供服务的电子商务经营者也都被纳入到《电子商务法》的规制范围内，因此，自营销售网站的传统零售企业、淘宝店铺、微商以及通过网络直播等方式进行销售的经营者都属于受《电子商务法》规制的“电子商务经营者”。从这一点来看，《电子商务法》对互联网商业的影响范围是十分广泛的。

　　其次，就数据保护方面而言，电子商务经营者要依法承担信息安全和隐私保护义务。《电子商务法》是继《网络安全法》之后我国颁布的又一部涉及个人信息保护的法律。与《网络安全法》相比，《电子商务法》关于个人信息安全和隐私保护的原则与《网络安全法》一致，同时对电子商务经营者对个人信息的保护义务做出更加具化的规定，包括明确个人信息主体对数据的访问权、纠正权和删除权，对自动化决策的应用做出限制等，这些规定都要求电子商务经营者采取相应措施，以确保合规。

　　但《电子商务法》但并未就上述问题作出进一步详细规定，而是通过相关条款将其他法律法规引入到《电子商务法》中，例如，该法第二十三条规定，“电子商务经营者收集、使用其用户的个人信息，应当遵守法律、行政法规有关个人信息保护的规定。” 由于我国关于个人信息保护的规定散见于不同的法律法规和相关标准中，因此，互联网商业企业仍需要对其他相关法律法规进行研究，并据此制定和采取相应的制度及措施以达到合规目的。

　　论坛预告：天达共和律师事务所是首届“2019年CBLJ高峰论坛”的联合承办单位之一。“2019年CBLJ高峰论坛”将于2019年4月3日在北京JW万豪酒店举办，由法律媒体China Business Law Journal《商法》主办，新浪财经、新浪法问及北京仲裁委员会作为独家内地合作方和特别支持单位共同助力。天达共和律师事务所将在论坛上主持《GDPR 对中国互联网商业模式的影响及其发展趋势》演讲及圆桌对话环节。敬请期待。