《數(shù)據(jù)安全法》已于日前正式出臺，并將于2021年9月1日起施行。這意味著，《數(shù)據(jù)安全法》將與《網(wǎng)絡(luò)安全法》及即將面世的《個(gè)人信息保護(hù)法》（目前處于草案二審階段）一起，共同構(gòu)筑中國數(shù)據(jù)安全領(lǐng)域的法律框架，規(guī)范數(shù)字經(jīng)濟(jì)健康長遠(yuǎn)發(fā)展。

作為數(shù)字經(jīng)濟(jì)新業(yè)態(tài)中的重要組成部分之一，靈活用工行業(yè)的數(shù)據(jù)安全及合規(guī)管理問題十分嚴(yán)峻?；谄溥\(yùn)營模式，靈活用工平臺本身會收集大量個(gè)人數(shù)據(jù)（含個(gè)人敏感數(shù)據(jù)），若不對數(shù)據(jù)安全加以保護(hù)，將造成無法估量的影響。

對此，本文將在梳理靈活用工平臺的數(shù)據(jù)全生命周期的基礎(chǔ)上，總結(jié)靈活用工平臺面臨的數(shù)據(jù)安全及合規(guī)問題，為靈活用工平臺提供數(shù)據(jù)合規(guī)路徑與解法。

一、 靈活用工平臺的數(shù)據(jù)全生命周期解析

(一) 靈活用工平臺的數(shù)據(jù)全生命周期

隨著靈活用工平臺的進(jìn)一步發(fā)展，其處理數(shù)據(jù)的場景會越來越多，也會越來越復(fù)雜。以某靈活用工平臺為例，其目前已不僅僅滿足于為用工企業(yè)及靈工人員提供結(jié)算功能，而是通過加載更多的增值服務(wù)來為靈活用工平臺進(jìn)行賦能，如為靈工人員提供保險(xiǎn)服務(wù)、金融服務(wù)等等。此時(shí)，靈活用工平臺不可避免地會涉及到與第三方保險(xiǎn)服務(wù)商、金融服務(wù)商共享靈工人員的數(shù)據(jù)，若靈活用工平臺未就該等數(shù)據(jù)共享規(guī)則向靈工人員進(jìn)行說明并獲得靈工人員的同意，或雖已獲得靈工人員同意但在實(shí)際共享過程未遵照規(guī)則進(jìn)行共享，則將會埋下數(shù)據(jù)安全隱患，亦涉嫌侵犯靈工人員的數(shù)據(jù)權(quán)益。

靈活用工平臺在運(yùn)營過程中通常會歷經(jīng)以下數(shù)據(jù)生命周期：（1）從最開始針對靈工人員的個(gè)人數(shù)據(jù)（含個(gè)人敏感數(shù)據(jù)）收集；（2）到將前述收集的用戶數(shù)據(jù)傳輸至主管市場監(jiān)督管理局及主管稅務(wù)機(jī)關(guān)以完成工商登記、稅務(wù)登記、申報(bào)納稅等事宜；（3）到存儲數(shù)據(jù)以供后續(xù)數(shù)據(jù)的調(diào)用及大數(shù)據(jù)分析；（4）再到不同業(yè)務(wù)功能下的數(shù)據(jù)使用及共享；（5）直至最終應(yīng)用戶要求或在用戶注銷賬號時(shí)進(jìn)行數(shù)據(jù)刪除或匿名化處理。

具體而言，靈活用工平臺的數(shù)據(jù)全生命周期如上圖所示：

(二) 概念厘清：數(shù)據(jù)控制者和數(shù)據(jù)處理者

問題核心在于，靈活用工平臺究竟屬于數(shù)據(jù)控制者還是數(shù)據(jù)處理者？

根據(jù)歐盟出臺的《通用數(shù)據(jù)保護(hù)條例》（General Data Protection Regulation，下稱“《GDPR》”），數(shù)據(jù)控制者與數(shù)據(jù)處理者的主要區(qū)別在于是否決定了個(gè)人數(shù)據(jù)的使用目的和處理方式。

對于靈活用工平臺而言，在總包模式下（非僅為結(jié)算資金而采取的“假總包”模式），用工企業(yè)、靈活用工平臺及靈工人員是背靠背簽署協(xié)議，用工企業(yè)與靈工人員之間并無直接法律關(guān)系，其無法直接控制靈工人員；而靈活用工平臺作為直接與靈工人員發(fā)生法律關(guān)系的一方，對于靈工人員的數(shù)據(jù)享有控制權(quán)，能夠直接決定數(shù)據(jù)的使用目的及處理方式，因此，在總包模式項(xiàng)下，靈活用工平臺屬于“數(shù)據(jù)控制者”。

但在撮合模式下，靈活用工平臺僅撮合用工企業(yè)與靈工人員之間建立合作關(guān)系，不實(shí)質(zhì)參與到業(yè)務(wù)承攬過程，其僅系根據(jù)用工企業(yè)的要求及指示處理靈工人員的數(shù)據(jù)，因此，在撮合模式下，靈活用工平臺屬“數(shù)據(jù)處理者”。

然而在中國，無論是已經(jīng)出臺的《數(shù)據(jù)安全法》還是尚在審議階段的《個(gè)人信息保護(hù)法（草案）》，其均未區(qū)分?jǐn)?shù)據(jù)控制者與處理者，而是籠統(tǒng)表述為“開展數(shù)據(jù)處理活動的組織、個(gè)人”/“個(gè)人信息處理者”。這在某種程度上拔高了《GDPR》語境下的“數(shù)據(jù)處理者”所需承擔(dān)的責(zé)任及義務(wù)。實(shí)踐中有大量的數(shù)據(jù)處理者無法實(shí)現(xiàn)數(shù)據(jù)控制者身份下的數(shù)據(jù)保護(hù)，同時(shí)因?yàn)槟：藬?shù)據(jù)處理者和控制者的界定，讓兩者無法得到有效合規(guī)邊界指引。而歐盟作為GDPR規(guī)則的配套文件，專門出臺了數(shù)據(jù)控制者與數(shù)據(jù)處理者的白皮書，將兩者明確區(qū)分之后配以不同的監(jiān)管要求。

在現(xiàn)階段，國內(nèi)尚無其他配套文件解釋說明的情況下，本著“就高不就低”的原則，建議靈活用工以“數(shù)據(jù)控制者”的身份嚴(yán)格要求自己，落實(shí)好數(shù)據(jù)全生命周期項(xiàng)下各個(gè)環(huán)節(jié)的數(shù)據(jù)安全，本文亦以靈活用工平臺作為“數(shù)據(jù)控制者”的身份予以展開。

因此，靈工平臺作為數(shù)據(jù)處理者，應(yīng)當(dāng)按照《個(gè)人信息保護(hù)法（草案）》中規(guī)定的數(shù)據(jù)處理原則開展數(shù)據(jù)處理活動，該原則與歐盟GDPR中的數(shù)據(jù)控制者數(shù)據(jù)處理的七大原則高度一致，具體包括：1、合法、公平、透明；2、目的限制；3、數(shù)據(jù)最小化；4、存儲限制；5、準(zhǔn)確性；6、完整性和機(jī)密性；7、問責(zé)制。

二、 靈活用工平臺主要面臨數(shù)據(jù)安全及合規(guī)問題

由于靈活用工行業(yè)仍處于高速發(fā)展階段，靈活用工平臺對平臺數(shù)據(jù)安全并未予以足夠重視。雖然天津市市場監(jiān)督管理委員出臺了首個(gè)針對靈活用工平臺的數(shù)據(jù)安全地方標(biāo)準(zhǔn)（2021年1月15日實(shí)施的《共享經(jīng)濟(jì)靈活就業(yè)人員管理與服務(wù)平臺基本安全要求》），但該地標(biāo)對平臺數(shù)據(jù)安全問題約定得較為簡單和籠統(tǒng)，對于靈活用工平臺的指導(dǎo)意義不強(qiáng)，大部分靈活用工平臺在數(shù)據(jù)全生命周期，基本沒有遵循個(gè)人數(shù)據(jù)保護(hù)的基本原則，數(shù)據(jù)合規(guī)問題存在嚴(yán)峻挑戰(zhàn)。

具體而言，靈活用工平臺主要面臨的數(shù)據(jù)安全及合規(guī)問題如下：

(一) 數(shù)據(jù)收集：未經(jīng)明示同意收集或過度收集靈工人員個(gè)人數(shù)據(jù)

目前，雖然絕大多數(shù)靈活用工平臺都會公示相關(guān)的用戶注冊協(xié)議及隱私政策，但基本都是簡單借鑒各大平臺的協(xié)議，并未重視隱私政策所公示內(nèi)容的完整性、精確性及合規(guī)性。如部分靈活用工平臺未根據(jù)自身平臺功能設(shè)置對應(yīng)的數(shù)據(jù)收集使用規(guī)則，或在未經(jīng)用戶同意隱私政策前就開始收集、上傳個(gè)人數(shù)據(jù)，以至于隱私政策形同虛設(shè)。

此外，部分靈活用工平臺還存在過度收集個(gè)人數(shù)據(jù)的情形。國家互聯(lián)網(wǎng)信息辦公室、工業(yè)和信息化部、公安部及國家市場監(jiān)督管理總局出臺的《常見類型移動互聯(lián)網(wǎng)應(yīng)用程序必要個(gè)人信息范圍規(guī)定》明確移動互聯(lián)網(wǎng)應(yīng)用程序運(yùn)營者不得因用戶不同意收集非必要個(gè)人數(shù)據(jù)，而拒絕用戶使用基本功能服務(wù)。然而在實(shí)踐中，大量靈活用工平臺APP或微信小程序收集的個(gè)人數(shù)據(jù)與其實(shí)現(xiàn)的產(chǎn)品功能并沒有明確關(guān)聯(lián)，甚至明顯超出合理范圍。如在靈工人員的身份驗(yàn)證環(huán)節(jié)，收集靈工人員的手機(jī)號碼、驗(yàn)證碼、姓名、身份證號碼等數(shù)據(jù)是必要的，但是強(qiáng)制要求靈工人員提供人臉驗(yàn)證視頻信息，則明顯超出數(shù)據(jù)搜集的最小必要原則，構(gòu)成過度收集個(gè)人數(shù)據(jù)的行為。

(二) 數(shù)據(jù)傳輸：未采用加密等安全措施傳輸數(shù)據(jù)

當(dāng)靈活用工平臺收集到靈工人員的個(gè)人數(shù)據(jù)，將基于不同的運(yùn)營模式將數(shù)據(jù)傳輸至其他第三方，但針對數(shù)據(jù)傳輸過程并未完全采用機(jī)密等安全措施。如在靈活用工個(gè)體工商戶模式下，靈工平臺往往會與當(dāng)?shù)毓ど套缘怯浧脚_IT對接，將靈工人員批量注冊個(gè)體工商戶所需要的個(gè)人數(shù)據(jù)進(jìn)行傳輸，但未采取加密等保護(hù)措施。在此過程中，容易出現(xiàn)數(shù)據(jù)泄露、丟失等情形。

(三) 數(shù)據(jù)存儲：未明確存儲地點(diǎn)及存儲期限，亦未實(shí)現(xiàn)分級存儲

為了便于后續(xù)數(shù)據(jù)調(diào)用及大數(shù)據(jù)分析，靈活用工平臺往往會存儲部分靈工人員用戶數(shù)據(jù)，但并未明確數(shù)據(jù)存儲地點(diǎn)（如是否存在跨境運(yùn)輸）及存儲期限，以及超期限后的數(shù)據(jù)處理規(guī)則。

同時(shí)，在數(shù)據(jù)存儲方面，靈活用工平臺并未完全實(shí)現(xiàn)數(shù)據(jù)的分級、分類管理，未針對數(shù)據(jù)分類分級結(jié)果采取不同的數(shù)據(jù)存儲策略，針對個(gè)人敏感數(shù)據(jù)亦未實(shí)現(xiàn)加密存儲等。

(四) 數(shù)據(jù)使用：超范圍使用靈工人員個(gè)人數(shù)據(jù)

實(shí)踐中，靈活用工平臺還存在未在平臺隱私政策約定的范圍內(nèi)使用靈工人員個(gè)人數(shù)據(jù)的行為，且并未就此行為再次征得靈工人員的明示同意。如隱私政策中明確身份證數(shù)據(jù)僅用于平臺基礎(chǔ)業(yè)務(wù)功能，但靈活用工平臺卻將該等數(shù)據(jù)用于平臺增值業(yè)務(wù)功能（如用于保險(xiǎn)服務(wù)），則構(gòu)成超范圍使用靈工人員個(gè)人信息的行為。

(五) 數(shù)據(jù)共享：共享規(guī)則不清晰

實(shí)踐中，靈工平臺的法律組織特點(diǎn)是多主體集團(tuán)公司形態(tài)，數(shù)據(jù)采集主體和數(shù)據(jù)處理主體往往不一致，因此涉及到數(shù)據(jù)轉(zhuǎn)移和數(shù)據(jù)共享的問題。

其次，靈工平臺涉及的外部數(shù)據(jù)共享場景很多，包括基于監(jiān)管需求與政務(wù)部門進(jìn)行共享、基于增值服務(wù)賦能與第三方服務(wù)商進(jìn)行共享、基于內(nèi)部運(yùn)營需求在關(guān)聯(lián)公司間進(jìn)行共享。

然而，不少靈工平臺并未向靈工人員和外部第三方等合作機(jī)構(gòu)明確數(shù)據(jù)共享目的及共享規(guī)則，或雖然明確但實(shí)際并未與數(shù)據(jù)共享方共同遵守該共享規(guī)則，導(dǎo)致個(gè)人數(shù)據(jù)被擅自共享。

(六) 數(shù)據(jù)刪除：未設(shè)置刪除路徑，亦未實(shí)現(xiàn)匿名化處理  

通常，當(dāng)靈工人員要求、靈工人員注銷賬戶或靈活用工平臺停止運(yùn)營時(shí)，靈活用工平臺應(yīng)當(dāng)刪除或匿名化處理靈工人員的個(gè)人數(shù)據(jù)。

但絕大部分靈活用工平臺并未設(shè)置靈工人員可以自主選擇刪除其個(gè)人數(shù)據(jù)的路徑；即便靈工人員已注銷賬戶，其此前被收集的個(gè)人數(shù)據(jù)仍留存與靈活用工平臺之內(nèi)，亦未能實(shí)現(xiàn)匿名化處理。

隨著靈活用工行業(yè)的發(fā)展，與數(shù)據(jù)相關(guān)的處理行為和功能會逐漸增多，自動化畫像推送問題、數(shù)據(jù)融合問題、數(shù)據(jù)遷移等問題會不斷涌現(xiàn)，平臺所面臨的數(shù)據(jù)安全責(zé)任和壓力以及合規(guī)要求都將不斷增加。

三、 靈活用工平臺數(shù)據(jù)合規(guī)路徑與解法

靈活用工平臺只需要落實(shí)開展個(gè)人信息安全評估的關(guān)鍵環(huán)節(jié)，并把握住隱私政策這一重要抓手，即可基本建立靈活用工平臺自身的數(shù)據(jù)合規(guī)體系框架。

(一) 關(guān)鍵環(huán)節(jié)：開展個(gè)人信息安全評估

開展個(gè)人信息安全評估是建立數(shù)據(jù)合規(guī)體系的關(guān)鍵環(huán)節(jié)。《GDPR》中規(guī)定，當(dāng)某種類型的數(shù)據(jù)處理（特別是適用新技術(shù)進(jìn)行的處理）很可能會對自然人的權(quán)利與自由帶來高風(fēng)險(xiǎn)時(shí)，在考慮處理性質(zhì)、范圍、語境與目的后，數(shù)據(jù)控制者應(yīng)當(dāng)在處理之前評估該進(jìn)程對個(gè)人數(shù)據(jù)保護(hù)的影響，即數(shù)據(jù)保護(hù)影響評估（DPIA: Data Protection Impact Assessment）；而《數(shù)據(jù)安全法》亦規(guī)定，重要數(shù)據(jù)的處理者應(yīng)當(dāng)按照規(guī)定對其數(shù)據(jù)處理活動定期開展風(fēng)險(xiǎn)評估，并向有關(guān)主管部門報(bào)送風(fēng)險(xiǎn)評估報(bào)告。目前“重要數(shù)據(jù)”的范圍尚未厘清，相信未來將會出臺配套文件對“重要數(shù)據(jù)”做進(jìn)一步解釋說明，靈活用工平臺的數(shù)據(jù)評估路徑將更為清晰。

而根據(jù)《個(gè)人信息保護(hù)法（草案）》，個(gè)人信息處理者應(yīng)當(dāng)對下列個(gè)人信息處理活動在事前進(jìn)行風(fēng)險(xiǎn)評估，并對處理情況進(jìn)行記錄：（1）處理敏感個(gè)人信息；（2）利用個(gè)人信息進(jìn)行自動化決策；（3）委托處理個(gè)人信息、向第三方提供個(gè)人信息、公開個(gè)人信息；（4）向境外提供個(gè)人信息；（5）其他對個(gè)人有重大影響的個(gè)人信息處理活動。

從上述境內(nèi)外規(guī)定中可以看出，對于靈活用工平臺而言，其定期開展個(gè)人信息安全影響評估是必要且重要的。

一方面，開展個(gè)人信息安全評估可以規(guī)范靈活用工平臺日常經(jīng)營活動，及時(shí)識別風(fēng)險(xiǎn)及保護(hù)措施的漏洞，減少管理及合規(guī)成本；同時(shí)個(gè)人信息安全評估報(bào)告可以幫助靈工人員了解其個(gè)人信息將如何被處置及保護(hù)，保障其對于個(gè)人數(shù)據(jù)的知情權(quán)，避免針對其個(gè)人數(shù)據(jù)進(jìn)行的高風(fēng)險(xiǎn)數(shù)據(jù)處理行為。

而另一方面，個(gè)人信息安全評估在靈活用工平臺被有關(guān)主管部門事后監(jiān)管和調(diào)查過程中也發(fā)揮著重要參考作用，甚至?xí)⒆鳛槠涮幜P的裁量要素。

雖然目前市面上有不少價(jià)格不菲的個(gè)人信息安全評估產(chǎn)品，但實(shí)際內(nèi)容較為粗糙、流于形式。有些評估產(chǎn)品出具的檢測清單中，忽略了針對平臺搜集數(shù)據(jù)時(shí)是否基于其提供的業(yè)務(wù)場景而遵循了最小必要原則進(jìn)行檢測；對于兒童用戶等特殊用戶也未設(shè)置專門的檢測路徑。使用這類評估產(chǎn)品，對靈活用工平臺而言并無太大意義。

因此，建議靈活用工平臺委托專業(yè)的外部第三方機(jī)構(gòu)（如律師事務(wù)所、安全技術(shù)機(jī)構(gòu)、咨詢公司等）進(jìn)行獨(dú)立且專業(yè)的評估，且在購買評估產(chǎn)品服務(wù)時(shí)，重點(diǎn)考察其評估流程中是否包含評估“平臺功能描述與搜集的最小必要數(shù)據(jù)是否匹配”以及“隱私政策與系統(tǒng)功能是否一致”這兩大問題，以此判斷該評估產(chǎn)品的專業(yè)性。

(二) 重要抓手：寫好、用好隱私政策

隱私政策是靈活用工平臺對外展示自身數(shù)據(jù)安全及合規(guī)路徑的重要抓手。從實(shí)用角度而言，不合格的隱私政策將導(dǎo)致靈活用工平臺面臨被下架的風(fēng)險(xiǎn)。因此，一份隱私政策的重要性不言而喻。靈活用工平臺應(yīng)當(dāng)把握以下要點(diǎn)：

第一，列明不同業(yè)務(wù)功能下個(gè)人信息收集使用規(guī)則。靈活用工平臺應(yīng)當(dāng)在隱私政策中明確業(yè)務(wù)功能的具體內(nèi)容、對應(yīng)搜集的必要個(gè)人數(shù)據(jù)范圍及對應(yīng)的服務(wù)以及可以自主選擇提供的數(shù)據(jù)范圍，使得靈工人員清楚個(gè)人數(shù)據(jù)的收集使用規(guī)則。

第二，明確數(shù)據(jù)共享等處理規(guī)則。靈活用工平臺應(yīng)當(dāng)在隱私政策中明確其共享個(gè)人數(shù)據(jù)的類型（尤其是個(gè)人敏感數(shù)據(jù)的類型），數(shù)據(jù)共享的目的，數(shù)據(jù)共享方的類型，數(shù)據(jù)共享方的身份和數(shù)據(jù)安全能力，以及可能產(chǎn)生的后果等等。

第三，明確平臺數(shù)據(jù)安全保護(hù)措施。靈活用工平臺應(yīng)當(dāng)在隱私政策中列明其已采取的數(shù)據(jù)安全保護(hù)措施（如上文提及的個(gè)人數(shù)據(jù)安全評估及其他安全防護(hù)措施等），及其已取得的數(shù)據(jù)安全認(rèn)證（如三級等保、ISO27001認(rèn)證等等）。

第四，明確靈工人員就其個(gè)人數(shù)據(jù)享有的權(quán)利。靈活用工平臺應(yīng)當(dāng)在隱私政策中列明靈工人員享有的訪問、更正、刪除、改變/撤回同意范圍，獲取個(gè)人數(shù)據(jù)副本等權(quán)利具體內(nèi)容以及實(shí)現(xiàn)路徑，以保護(hù)靈工人員的權(quán)利不受侵害。

隱私政策中包括數(shù)據(jù)全生命周期的規(guī)則及制度，對外呈現(xiàn)的是平臺對于個(gè)人數(shù)據(jù)的保護(hù)實(shí)踐，如果隱私政策與系統(tǒng)實(shí)踐不一致，靈活用工平臺終究還是會自食惡果，承擔(dān)相應(yīng)數(shù)據(jù)違規(guī)風(fēng)險(xiǎn)。因此，靈活用工平臺應(yīng)當(dāng)根據(jù)隱私政策設(shè)定的規(guī)則，及時(shí)調(diào)整系統(tǒng)功能并確保與之相匹配，完成“實(shí)質(zhì)上的合規(guī)”。

四、 結(jié)語

合規(guī)建議的起點(diǎn)在于個(gè)人信息安全影響評估，要點(diǎn)的把握在于隱私政策，最終建立數(shù)據(jù)安全保護(hù)體系。若靈活用工平臺能夠真正落實(shí)開展個(gè)人信息安全評估的關(guān)鍵環(huán)節(jié)，有效識別專業(yè)的第三方評估機(jī)構(gòu)并與之開展獨(dú)立的個(gè)人信息安全評估工作；同時(shí)把握住隱私政策這一重要抓手，寫好、用好隱私政策，使得系統(tǒng)功能與隱私政策相匹配，則能夠建立平臺數(shù)據(jù)合規(guī)的基礎(chǔ)框架，構(gòu)建起靈工平臺的數(shù)據(jù)合規(guī)保護(hù)體系。

對于靈活用工平臺而言，數(shù)據(jù)是其進(jìn)一步發(fā)展的重要基石，當(dāng)平臺上合法有效留存的數(shù)據(jù)沉淀為數(shù)字資產(chǎn)，將實(shí)現(xiàn)對于靈工人員個(gè)人及靈活用工平臺本身的價(jià)值賦能，有助于靈活用工平臺打造整個(gè)業(yè)務(wù)體系的數(shù)字鏈閉環(huán)。因此，靈活用工平臺應(yīng)當(dāng)重視數(shù)據(jù)安全及合規(guī)所創(chuàng)造的價(jià)值，依法高效運(yùn)用及保護(hù)平臺數(shù)據(jù)。

（作者單位：德恒上海律師事務(wù)所）