“規(guī)范處理”在數(shù)據(jù)要素市場法治化建設(shè)中處于重要地位，“權(quán)益保護(hù)”和“合法利用”只有在個人信息處理活動中才具有實際意義。在信息化應(yīng)用廣泛覆蓋的現(xiàn)代社會中，數(shù)據(jù)不僅是反映人類社會各類事物的數(shù)字化記錄，還是一種土地、勞動力、資本以外的新型戰(zhàn)略資源和競爭優(yōu)勢，是數(shù)字經(jīng)濟(jì)活動的基本生產(chǎn)要素。一方面，以數(shù)據(jù)為支撐的多元的數(shù)字技術(shù)應(yīng)用，將提高數(shù)字經(jīng)濟(jì)發(fā)展的質(zhì)量與效率。另一方面，隨著信息技術(shù)的發(fā)展，數(shù)據(jù)處理方法更多樣，處理流程越發(fā)復(fù)雜，處理主體日漸增多，利益相關(guān)方更加多元，數(shù)據(jù)泄露和濫用帶來的負(fù)面性效應(yīng)進(jìn)一步凸顯。數(shù)據(jù)處理者滿足數(shù)據(jù)利用的合法性基礎(chǔ)屬于“數(shù)據(jù)風(fēng)險防范的第一步”，數(shù)據(jù)處理合規(guī)才能真正將風(fēng)險管控落到實處。
　　《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個人信息保護(hù)法》從當(dāng)前數(shù)據(jù)處理的全流程出發(fā)，拓展了包括同意規(guī)則在內(nèi)的合法性基礎(chǔ)場景。對自動化決策、公共場所等特殊場景下的數(shù)據(jù)處理活動，做出了更加嚴(yán)格的規(guī)范，要求實現(xiàn)數(shù)據(jù)分級分類管理，采取層次化和場景化數(shù)據(jù)處理規(guī)范，規(guī)定利用數(shù)據(jù)進(jìn)行自動化決策時，應(yīng)當(dāng)保證決策的透明度和結(jié)果的公平、公正，不得實行不合理的差別待遇。在公共場所安裝圖像采集、個人身份識別設(shè)備，應(yīng)當(dāng)為維護(hù)公共安全所必需，遵守國家有關(guān)規(guī)定，并設(shè)置顯著的提示標(biāo)識等。
　　一 數(shù)據(jù)處理合規(guī)的具體要求
　　結(jié)合《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個人信息保護(hù)法》及相關(guān)法律法規(guī)的要求，數(shù)據(jù)合規(guī)處理存在如下具體要求。
　　第一，數(shù)據(jù)處理者應(yīng)建立并完善數(shù)據(jù)安全管理制度。梳理公司涉及的數(shù)據(jù)內(nèi)容以及應(yīng)用情況，對此有一個較為全面的把握，在此基礎(chǔ)上結(jié)合自身的數(shù)據(jù)處理活動特性，建立健全包括數(shù)據(jù)收集、傳輸、存儲、共享在內(nèi)的全流程數(shù)據(jù)安全管理制度，從安全責(zé)任組織管理、員工訪問權(quán)限管理、信息系統(tǒng)安全管理、應(yīng)急事件管理等多個維度全面規(guī)范企業(yè)日常經(jīng)營流程，并立足自身實際設(shè)立針對數(shù)據(jù)安全事件的監(jiān)測、預(yù)警機(jī)制，應(yīng)急響應(yīng)、報告機(jī)制，以及日常數(shù)據(jù)安全培訓(xùn)、演練機(jī)制，提高自身數(shù)據(jù)安全能力，有效應(yīng)對國家數(shù)據(jù)安全審查。
　　第二，數(shù)據(jù)處理者應(yīng)當(dāng)建立數(shù)據(jù)分類分級制度，數(shù)據(jù)處理者應(yīng)及時開展數(shù)據(jù)分類分級管理工作，針對不同類型、級別的數(shù)據(jù)在存儲、權(quán)限、脫敏、開發(fā)等方面采取不同的技術(shù)管控措施，并根據(jù)實際情況以及重要數(shù)據(jù)目錄頒布情況，對現(xiàn)有體系作出適當(dāng)調(diào)整。數(shù)據(jù)處理者應(yīng)重點識別所掌握的數(shù)據(jù)是否落入重點數(shù)據(jù)或國家核心數(shù)據(jù)范疇，并對此建立高于一般數(shù)據(jù)的保護(hù)機(jī)制。具體而言，針對重要數(shù)據(jù)，設(shè)立數(shù)據(jù)安全負(fù)責(zé)人和管理機(jī)構(gòu)，其設(shè)置可以參考個人信息保護(hù)機(jī)構(gòu)或負(fù)責(zé)人（DPO）的設(shè)置思路；建立重要數(shù)據(jù)處理活動風(fēng)險評估機(jī)制，全面評估不同場景下各類數(shù)據(jù)面臨的安全風(fēng)險，并提出應(yīng)對措施。
　　第三，數(shù)據(jù)處理合規(guī)應(yīng)實現(xiàn)數(shù)據(jù)全生命周期的合規(guī)。數(shù)據(jù)全生命周期涉及收集、存儲、使用、加工、傳輸、提供、刪除等過程。在收集方面，數(shù)據(jù)處理者收集數(shù)據(jù)時應(yīng)履行“告知同意”義務(wù)。在存儲上，應(yīng)根據(jù)數(shù)據(jù)類型確保符合相應(yīng)的存儲年限的要求。在使用上，以個人同意為合法基礎(chǔ)處理個人信息，在使用目的、方式和個人信息的種類發(fā)生變化時，應(yīng)當(dāng)重新取得個人同意。數(shù)據(jù)處理企業(yè)利用個人信息進(jìn)行自動化決策的，應(yīng)當(dāng)事前進(jìn)行個人信息保護(hù)影響評估并留存記錄，應(yīng)當(dāng)保證決策的透明度和結(jié)果公平、公正。在傳輸提供方面，委托處理個人信息的，應(yīng)當(dāng)與受托人約定委托處理的目的、期限、方式，個人信息的種類、保護(hù)措施以及雙方的權(quán)利和義務(wù)等，并對受托人的個人信息處理活動進(jìn)行監(jiān)督。對外提供數(shù)據(jù)時，則應(yīng)履行單獨的“告知同意”義務(wù)，企業(yè)因合并、分立、解散、被宣告破產(chǎn)等原因需要轉(zhuǎn)移個人信息的，應(yīng)當(dāng)履行告知義務(wù)。在刪除方面，出現(xiàn)法律、行政法規(guī)規(guī)定的法定刪除情形時，數(shù)據(jù)處理者應(yīng)主動履行刪除義務(wù)；數(shù)據(jù)處理者未履行該義務(wù)的，個人有權(quán)請求企業(yè)刪除。