三大亮点，读懂广州市国资委发布的首部地方国企数据合规指南

12月20日，广州市人民政府国有资产监督管理委员会发布《广州市国资委监管企业数据安全合规管理指南（试行2021年版）》（以下简称“《指南》”），是首部地方国资监管机构的数据合规操作指导性文件。

“监管企业应根据本指南，结合实际制定数据安全合规管理制度或在现有数据管理制度中增加数据安全合规的相关内容。”   

 ——《指南》第五十六条

一、合规欲启，制度先行：以制度建设促进数据合规体系搭建

注释[1]：

第三十二条 针对企业向外部单位共享数据的情况，监管企业应充分评估相关数据安全风险，涉及重大敏感的数据提供要按审批权限逐级审批。并在相关合同中明确数据安全及保密义务，明确相关违约责任，必要时可单独签订保密协议。相关事项结束后，应进行内部总结汇报，对数据共享情况进行说明，加强数据共享的管理。监管企业应尽量依托国资国企信息安全“云”监管平台，积极支持配合国资国企一体化网络安全信息大数据平台的建立，促进数据安全信息联动和能力共享。

注释[2]：

第三十六条 监管企业应明确信息系统开发及运维、数据储存、数据处理等数据服务相关合作方的准入标准，并在合作方选择时进行资格审查。同等条件下应优先采购境内安全可信的网络产品和数据服务。必要时，应对数据服务的合作方进行数据安全合规方面的尽职调查。

第三十七条 对于合作方能接触到企业非公开数据的合作项目，监管企业应加强合同管理，通过制定相应的示范文本在相关合同中明确数据安全合规相关条款。对于为企业提供数据服务的合作方，企业应结合实际情况将服务标准、数据备份和恢复、数据泄露预防、业务连续性计划等内容在合同中进行明确。涉及委托处理个人信息的合作方，企业应结合实际情况将委托处理的目的、期限、处理方式、个人信息种类、保护措施以及双方的权利和义务等内容在合同中进行明确，并对合作方的个人信息处理活动进行监督。

第三十八条 监管企业应明确与合作方对接部门的数据安全管理责任。涉及公司资料及数据分享的，应按实现合作目的最小数据获取原则，对部分非必要数据进行脱敏，并对数据分享过程进行记录。涉及合作方提供驻场服务，链接企业信息系统，或直接接触重要数据的，相关项目负责人应采取适当措施对其合作方的工作进行管控，确保数据安全。

第三十九条 监管企业应建立数据服务合作方定期的数据安全监测、检测和评估机制，明确数据安全监测、检测和评估的范围及具体内容，并将相关评估结果与合作方的变更及退出进行挂钩，发现合作方存在数据滥用、盗卖数据、预留“后门”等违法违规行为的，应及时终止合作并永久禁止合作，并按合同约定进行索赔。确保合作方数据安全合规。