人们隐私意识的提升，国内外个人信息保护相关的法律法规也随之出台。2018年，欧盟发布了《通用数据保护条例（GDPR）》，成为全球个人数据安全立法中极具标志性的一部法案。近年来，我国对于个人信息权的保护也正在逐渐完善。

2021年1月1日即将施行的《中华人民共和国民法典》在人格权编对个人信息的类型、收集、更改或删除做了明确规定：“信息处理者应当采取技术措施和其他必要措施，确保其收集、存储的个人信息安全，防止信息泄露、篡改、丢失；发生或者可能发生个人信息泄露、篡改、丢失的，应当及时采取补救措施，按照规定告知自然人并向有关主管部门报告。”

那么，哪些属于“个人信息”的范围呢？

根据《个人信息安全规范》第5.6条中的定义：

企业所收集的数据是个人信息主体自行向社会公众公开的，以及从合法公开披露的信息中收集的，企业收集、使用前述数据无需征得个人信息主体的授权同意。

但对于包括个人基因、身份证、电话号码等在内的个人敏感信息，因其泄露、非法提供或滥用可能危害人身和财产安全，易导致个人名誉、身心健康受到损害或歧视性待遇，故在未满足国家相关法律法规和国家标准规定的合规要求时不能被收集和使用。

正如我们在此前的科普文章《为什么进行数字营销必须关注“数据安全”和“隐私保护”？》中所提到的，数字经济已成为企业发展的新动能，通过精准营销实现增长成为重中之重，而用户数据是这一发展的基石。这意味着，对数据的获取和合理应用将是企业发展的必选项。

数据保护日益规范，企业需主动进行数据安全治理

数据保护与数字营销领域息息相关，该领域内，企业务必熟知的法律法规和国家标准主要有：《中华人民共和国网络安全法》、《刑法修正案（九）》、《信息安全技术个人信息安全规范》以及正在征求意见中的《中华人民共和国个人信息保护法》，服务国外客户必须熟读的欧盟《通用信息保护条例》（GDPR）及国家严格把控、对国内数据出境前有一系列评估要求的《信息安全技术数据出境安全评估指南》、《个人信息和重要数据出境安全评估办法》这两部国家标准（目前尚未正式发布和生效）。

对个人信息与数据保护的规范和举措，国家在立法层面，通过法规制度进行引导和规范；企业则需要在技术层面，通过技术实现个人信息保护和数据安全。伴随国内外数据安全法律的施行，企业必须升级数据安全战略，变被动的数据安全防护为主动的数据安全治理，变传统防御型安全思路为防御 治理的双重保障机制。

关于数据安全，企业可以怎么做？

在严格遵守，并充分分析和理解相关法律法规的前提下，可以结合公司具体业务和产品，从构建数据安全制度体系、数据安全防御管理能力、增强社会责任感三方面入手，防治并重，从客户和用户利益出发，切实保障所有数据安全合规的使用。企业的数据安全保护，三分靠管理，七分靠技术，管理措施和技术保障措施缺一不可。

数据安全制度体系：构建全方位的数据安全保障体系是企业内部数据安全和信息保护工作运行开展的首要前提和制度保障。企业可以自上而下，从组织架构、规章制度到实践落实，构建全方位的内部数据安全保障体系。例如成立最高管理级别的数据安全委员会负责制定数据安全政策、制度和体系建设规划；设立专业的数据安全部门，开展落实数据安全和信息保护相关工作等。

数据安全防御管理能力：数据安全的本质在于防护和对抗。维护数据安全，首先需要感知数据安全态势，加强数据安全监测，认清风险，找出漏洞，查漏补缺；其次需要对抗数据安全威胁，增强数据安全防御能力，保护数据不被滥用和非法侵害。各行业的数据维度、数据使用标准会存在差异，可通过外部认证，如国家信息安全等级保护测评、国际标准ISAE3402数据安全审计、ISO/IEC27001信息安全管理体系认证等，在数据安全技术、系统管理、积极保障等方面达到国家标准。

增强社会责任感：企业也需要不断增强社会责任感和使命感，保障数据安全和信息安全合规，共建网络安全。数字营销中，在保障自身数据安全和信息安全合规的同时，企业也应积极配合中国广告协会、MMA中国等行业协会组织，探讨并参与互联网广告个人信息保护和数据安全相关标准的建立健全，构建透明与共赢的行业生态，继而推动整个互联网生态的健康可持续发展。

参考来源：

1. 全国信息安全标准化技术委员会《个人信息安全规范》，2017年12月29日发布，2018年5月1日实施
2. 《中华人民共和国民法典》，2020年5月28日发布，2021年1月1日实