“規(guī)范處理”在數(shù)據(jù)要素市場法治化建設中處于重要地位，“權益保護”和“合法利用”只有在個人信息處理活動中才具有實際意義。在信息化應用廣泛覆蓋的現(xiàn)代社會中，數(shù)據(jù)不僅是反映人類社會各類事物的數(shù)字化記錄，還是一種土地、勞動力、資本以外的新型戰(zhàn)略資源和競爭優(yōu)勢，是數(shù)字經(jīng)濟活動的基本生產(chǎn)要素。一方面，以數(shù)據(jù)為支撐的多元的數(shù)字技術應用，將提高數(shù)字經(jīng)濟發(fā)展的質量與效率。另一方面，隨著信息技術的發(fā)展，數(shù)據(jù)處理方法更多樣，處理流程越發(fā)復雜，處理主體日漸增多，利益相關方更加多元，數(shù)據(jù)泄露和濫用帶來的負面性效應進一步凸顯。數(shù)據(jù)處理者滿足數(shù)據(jù)利用的合法性基礎屬于“數(shù)據(jù)風險防范的第一步”，數(shù)據(jù)處理合規(guī)才能真正將風險管控落到實處。
　　《網(wǎng)絡安全法》《數(shù)據(jù)安全法》《個人信息保護法》從當前數(shù)據(jù)處理的全流程出發(fā)，拓展了包括同意規(guī)則在內的合法性基礎場景。對自動化決策、公共場所等特殊場景下的數(shù)據(jù)處理活動，做出了更加嚴格的規(guī)范，要求實現(xiàn)數(shù)據(jù)分級分類管理，采取層次化和場景化數(shù)據(jù)處理規(guī)范，規(guī)定利用數(shù)據(jù)進行自動化決策時，應當保證決策的透明度和結果的公平、公正，不得實行不合理的差別待遇。在公共場所安裝圖像采集、個人身份識別設備，應當為維護公共安全所必需，遵守國家有關規(guī)定，并設置顯著的提示標識等。
　　一 數(shù)據(jù)處理合規(guī)的具體要求
　　結合《網(wǎng)絡安全法》《數(shù)據(jù)安全法》《個人信息保護法》及相關法律法規(guī)的要求，數(shù)據(jù)合規(guī)處理存在如下具體要求。
　　第一，數(shù)據(jù)處理者應建立并完善數(shù)據(jù)安全管理制度。梳理公司涉及的數(shù)據(jù)內容以及應用情況，對此有一個較為全面的把握，在此基礎上結合自身的數(shù)據(jù)處理活動特性，建立健全包括數(shù)據(jù)收集、傳輸、存儲、共享在內的全流程數(shù)據(jù)安全管理制度，從安全責任組織管理、員工訪問權限管理、信息系統(tǒng)安全管理、應急事件管理等多個維度全面規(guī)范企業(yè)日常經(jīng)營流程，并立足自身實際設立針對數(shù)據(jù)安全事件的監(jiān)測、預警機制，應急響應、報告機制，以及日常數(shù)據(jù)安全培訓、演練機制，提高自身數(shù)據(jù)安全能力，有效應對國家數(shù)據(jù)安全審查。
　　第二，數(shù)據(jù)處理者應當建立數(shù)據(jù)分類分級制度，數(shù)據(jù)處理者應及時開展數(shù)據(jù)分類分級管理工作，針對不同類型、級別的數(shù)據(jù)在存儲、權限、脫敏、開發(fā)等方面采取不同的技術管控措施，并根據(jù)實際情況以及重要數(shù)據(jù)目錄頒布情況，對現(xiàn)有體系作出適當調整。數(shù)據(jù)處理者應重點識別所掌握的數(shù)據(jù)是否落入重點數(shù)據(jù)或國家核心數(shù)據(jù)范疇，并對此建立高于一般數(shù)據(jù)的保護機制。具體而言，針對重要數(shù)據(jù)，設立數(shù)據(jù)安全負責人和管理機構，其設置可以參考個人信息保護機構或負責人（DPO）的設置思路；建立重要數(shù)據(jù)處理活動風險評估機制，全面評估不同場景下各類數(shù)據(jù)面臨的安全風險，并提出應對措施。
　　第三，數(shù)據(jù)處理合規(guī)應實現(xiàn)數(shù)據(jù)全生命周期的合規(guī)。數(shù)據(jù)全生命周期涉及收集、存儲、使用、加工、傳輸、提供、刪除等過程。在收集方面，數(shù)據(jù)處理者收集數(shù)據(jù)時應履行“告知同意”義務。在存儲上，應根據(jù)數(shù)據(jù)類型確保符合相應的存儲年限的要求。在使用上，以個人同意為合法基礎處理個人信息，在使用目的、方式和個人信息的種類發(fā)生變化時，應當重新取得個人同意。數(shù)據(jù)處理企業(yè)利用個人信息進行自動化決策的，應當事前進行個人信息保護影響評估并留存記錄，應當保證決策的透明度和結果公平、公正。在傳輸提供方面，委托處理個人信息的，應當與受托人約定委托處理的目的、期限、方式，個人信息的種類、保護措施以及雙方的權利和義務等，并對受托人的個人信息處理活動進行監(jiān)督。對外提供數(shù)據(jù)時，則應履行單獨的“告知同意”義務，企業(yè)因合并、分立、解散、被宣告破產(chǎn)等原因需要轉移個人信息的，應當履行告知義務。在刪除方面，出現(xiàn)法律、行政法規(guī)規(guī)定的法定刪除情形時，數(shù)據(jù)處理者應主動履行刪除義務；數(shù)據(jù)處理者未履行該義務的，個人有權請求企業(yè)刪除。