Q1 ：在您的概念里，什么是形式合规？什么是实质合规？它们的区别是怎么样的？
王律师：形式合规是一个 paperwork ，要做到实质的合规，我们的确有很多的路需要去走。
具体什么是形式合规，什么是实质合规，我们还是要回到合规的本质是什么。
合规是一个交叉的学科，法律人学合规是从法律的视角， IT 人士用数据合规卖 IT 设备，总经理从战略的角度讲合规是治理方式的一种变革。
当我们在一个企业落地项目的时候，我们首先面临的是要说服总经理、董事长的问题，所以说我们要用他们的语言来讲，让他们听懂合规是什么，知道合规的价值是什么。
Q2 ：怎么讲总经理、董事长听得懂的话，说服他们呢？
王律师：我们首先要用老板的语言讲话。
面对董事长的时候，我们不说合规可以防范并降低法律风险，而要说合规可以降低公司的运营风险，提高公司的管理效率，回应各个地方的关切。
当然合规本身有其价值所在。我们现在讲传统企业有两架马车，一个是搞好业务问题，第二是管好财务。
那么合规管理理念的导入，形成了三驾马车，三个支柱，企业的治理一定是三个支柱在发生作用。
进一步来讲，现在企业所面临的国际国内的法律环境日趋严格，风险的防控和企业的经营，是一个并重的概念。
还有一层含义，就是讲社会责任，讲企业在未来发展的时候，要成为 good citizens 、成为良好公民。还有正是因为合规的理念，让企业处在更加公平的竞争环境中。
如果用一句话来讲合规，合规的「合」就是管理，合规的「规」就是制度。
合规是企业自治的一种工具，如果用一个符号来讲，合规=法律+管理。
合规包括战略、组织、制度、流程和技术。我们要深刻理解合规的本质，把它上升到治理的高度、管理的层面，才能够有效地和上级管理层进行沟通。
Q3 ：做合规是要付出成本和代价的，那么对于企业来讲，今年经济环境这么紧张，企业压力这么大，为什么要把钱花在数据合规这里呢？
王律师：疫情对我们整个行业会带来很大的影响，但对有些行业是一个机会，例如电商、在线旅游、在线教育、远程办公、保险行业等。这些行业在疫情的影响下，是一个迭代的过程。
对于一些志存高远的企业，其实也是一个练内功的好机会，或者说也是一个数字化转型的窗口。我们作为律师，要去思考疫情这种宏观环境，包括地缘政治，对法律带来的冲击，同时也有机会。数据合规在某些行业、某些领域应该是一个很好的机会。
Q4 ：数据合规是不是适合比较大型的企业或者财务基础比较扎实的企业，中小企业在这个阶段真的需要做数据合规吗？对于中小企业来讲，他们应该什么时候考虑这个事情？
王律师：数据合规对不同行业和企业是不一样的，这还是一个怎么去认识合规的问题。从我的概念当中，做合规的过程其实是一个找底线，发现企业红线的过程。
这个问题涉及到法律和合规的区别。
在我的理解当中，法律是更早的一种存在于企业的职能部门，守的是一种法律义务的底线。
合规是企业响应社会、响应发展的一种法律的最高的一条线，合规这条线在每个企业是不一样的。
有些企业的合规线和法律线是重合的，特别是对于中小企业来讲，能够把法律守好已经不错了。
但是对一些企业来讲，它有自己的要求，有业务扩大的需要，有长远的规划，那么它才把合规提到一个更重要的议事日程。
中国目前的央企、大型企业，它的合规要求是非常高的，很多合规指南都是针对这类企业的。
那么中小企业，在国际上是豁免合规的，特别是《萨班斯法案》，对于小规模企业是没有合规的要求的。
而中国从2020年以后，中小企业迎来了一个合规建设的浪潮。这就是中国合规立法或者推动合规落地的一种法律和政策的变化。
中小企业的抗风险能力很差，经常会出现虚假增票、假冒伪劣的现象。我们检察部门在最近两年大力地推行合规不起诉，通过合规不起诉来让中小企业适应市场或者说让它们有一个护身符，在遇到关键问题的时候，企业可以不用倒，可以继续履行自己的经济责任。
Q5 ：在国内说哪些企业做合规的时候，是用行业来做划分更合适，还是用规模来做划分更合适，还是都不合适？
王律师：在谈中小企业合规标准的时候，最主要的是差异化原则，我们不会用对大型企业的合规的要求去设置它、框定它。
我们会考虑业务范围、经营规模、行业特点，来确定我们最终评价的一些维度。
合规管理本身其实从头到尾贯彻的是一种风险管理的理念。
我们把企业分成几个阶段来看，最初成长的企业它是以生存为目的的，它是风险喜好，企业家的冒险精神主要体现在成长阶段。
第二个阶段，当业务发展到一定程度的时候，它还是有风险容忍度的，这个时候如果发生了一些问题，局部调整就行了。再到成长阶段，它的风险容忍度慢慢降低。
直到稳定发展以后，这时候他对合规的认可度才更大，甚至说成为决策当中的一个重要环节。所以还要去看一个企业的发展阶段来做决定，数据合规更是如此。
在数据合规领域，特别是讲如何去完善一个数据合规的项目，我们是四步法。
第一步，一定要知道外部内部的合规要求是什么，要进行梳理形成一个合规的检查表。
第二步，要盘点数据，知道有哪些数据。
第三步，这些数据对应的监管要求是什么，风险清单有没有，整改方案要拿出来。
最后是一个整改报告。这是我们从 0 开始设计公司数据合规的一个整体思路。
对一个中小企业或者是对于发展阶段靠前的企业，可以把合规梳理的要求变得窄一些，不要太面面俱到。在盘点数据的时候，刚开始宜粗不宜细，细的东西留在以后去解决。
在识别风险的时候，有一个远期和近期的问题，那么我们先解决的是近期必须要解决的问题，或者说花很少的代价就能解决的问题，远期的目标后排。还有一个主动与被动的问题，企业在做合规的时候，要有轻重缓急，要有一个度。
Q6 ：合规不起诉怎么大规模地推广和落地？
王律师：我们中国的合规不起诉，是正在迈向更加完善的法律制度的一个层面，它还没有刑法、刑诉法作为支撑，现在还是一个试点，一个探索。我把中国这种合规环境称作「只有大棒，还没有胡萝卜」的这样一个阶段。
为什么这样来讲呢？
目前我们很多企业做合规可能是一个理念提升或者认识提升的问题，这对企业做合规的激励性还是偏小的。我们做完合规可能一定程度上隔离了风险，提升了竞争力，这是一种认识，但这种认识并不是每个企业都能认识到的。
做完合规以后一定程度上能避免处罚，还有一定程度上我们的民事责任变小了。这是目前我们所处的法律环境或者社会环境。
特别是《个人信息保护法》，在现在这样的环境下，我们有了高额罚款，虽然说没有第一案例，但是这个「大棒已经举起来了」。我们的刑事责任也慢慢开始强调了，特别是个人信息泄露，它的刑事标准是很低的，像这种关键的四类信息，二十五条就可以入刑了。所以说现在我们处在一个胡萝卜还很小，但是大棒又很大的阶段，这个阶段对企业来讲是非常难受的。企业受到的外在压力非常大，而做合规的受益或者说直接受到的激励又很小。这个过程当中我们也看到了最高检一直主推的合规不起诉对企业的直接的价值。
合规不起诉是什么？如果我们分成不同的法来讲的话，在刑事领域它是合规不起诉或者无罪抗辩，减免刑罚，暂缓起诉，撤销起诉。我举一个简单的例子，在刑事领域，十几年前的「李途纯太子奶事件」，湖南的太子奶当时在中国奶业还是有一席之地的，但是因为股权问题锒铛入狱 15 个月。
在15个月以后，他被宣布无罪，但他的企业财产已经被拍卖了。如果我们有一个合规不起诉的制度，在对高管进行挤压的时候，如果企业有一个合规体系，那么这个时候他就可以免于起诉或者说免于挤压，免于采取这种强制措施，这对一个企业的激励价值是非常高的。
Q7 ：那企业到底该怎么构建数据合规管理体系？
王律师：数据合规体系，从 0 到 1 这种阶段性的进展是比较好的。
第一步，我们要明确数据处理者身份。什么叫做形式合规？是做一些法律最直接的要求，要识别出来法律对企业的最低要求。对于企业来讲，所在的行业不一样，数据处理的地位不一样，所面临的监管要求和压力也不一样，这是身份识别法。
第二，要关注重点的执法领域。出海的企业，顺着「一带一路」出去的企业，还要看到美国和欧盟法律的不一样。如果在美国的业务很多，要特别注重它的具体诉讼风险。如果业务在欧盟，要防范的是行政处罚的风险。
第三，要满足不同法律的最低要求。法律对于形式合规的最低要求，我们曾经总结过六个方面。第一个，有没有专职的人去负责？这是一个组织的问题。第二，有没有告知同意的通知或者隐私保护政策？
产品、用户协议是不是很健全？这些明面的东西一定要有。还有的话，有没有书面记录整个数据处理的过程？与关联企业上下游之间的数据保护条款是不是有？
这些是不触碰到业务本身的一些东西，一旦要触碰到商业模式了，这就是实质合规了，这是我们要另行考虑的问题。但是对于这些做 paperwork 的东西，我们一定要去关注好，这是有和无的问题。
Q8 ：有一些企业既然已经做了形式合规，那阻碍它进一步走向实质合规的原因都有哪些呢？
王律师：陈瑞华老师提了一个很重要的观点，就是说合规分为两种类型，第一种类型是企业日常管理型的，第二种类型是危机应对型的。
我觉得现在很多做形式合规的企业属于第二种，是在发生事情以后，为了换取一种刑事的不起诉，在第三方的监管下去进行整改。在压力下或者说针对某一个刑事案件本身涉案的情况下，做出来的一种合规，也是需要投入的，并且这种合规做完以后也是要不断地得到检验的。
在这种情况下，企业把合规建立起来了，这就是形式合规的一种激励价值：大棒没有落下来，但是让企业吃到了一根胡萝卜——不起诉或者减轻刑事处罚。
当然另外一个更高的激励，还是在法律层面上有更多的完善。我们也了解到，随后我们的刑法，包括刑诉法也在进行修改。我们把行政和解制度纳入到法律中去，把刑事免责这种安排体现在刑法和刑诉法中去。这个时候企业受到的激励就会更多，甚至说没有刑事责任或者没有刑事风险的企业也会考虑到这种护身符的价值——这种隔离风险的价值，会更主动地去往前走一步。
Q9 ：您能不能分享一个您服务过的公司的案例？是怎么给它建立数据合规体系的以及最终这个数据合规体系是个什么样子？公司的反馈又是怎么样的？
王律师：在现身说法之前，先着重讲两个比较热点的案例，有很强的对比性。这两个案子发生的场景非常类似，就是我们在机场的时候突然收到诈骗短信。一个案例是由广东省深圳市宝安区法院审理的，另一个是北京市朝阳区人民法院审理的，同样的案例，思路并不一样。
在方某与金色世纪、东航合同纠纷中，东航是这个案件当中的被告之一，那它有没有个人信息泄露的可能呢？
东航在这个案件中做了非常充分的举证，法院也认可它的大量证据，它证明了自己没有过错。
我们从判决书当中分析了它举证的严密的过程：它有等保认证，有多重安全的数据查询系统。法院最终认为它已经充分举证，保护了乘客的个人信息，在本案当中是不承担责任的。
但是另外一个案件，法院最终判定某商旅公司赔偿 5 万元的赔款。这个案件法官是以高度盖然性的标准来解决的。
《个人信息保护法》已经开始注意到这种举证责任的问题，现在是过错责任，把举证责任倒置，让企业承担更多的举证责任，自证清白。怎么来自证清白？这个时候数据合规体系的价值就有了。怎么样能够证明自己有一套完善的合规体系，提供哪些证据给法院？这一点非常关键。如果有了并且提交了、法院认可了，这个时候就可以发挥自证清白的作用。
以上是民事层面的两个案例。我们再讲刑事案件，会不会同样案件会有不同的结果。
数据合规不起诉第一案发生在上海普陀区，这家企业是一家中型企业，它用爬虫技术爬取了一个外卖平台的数据。
最终普陀区人民检察院认为它符合不起诉的条件，就发出了一个检察建议。根据这个检察建议，企业做了一个合规整改。
随后检察院又协同第三方启动第三方机制，进行合规监察，认为它整改得不错，在5月上旬发布说不起诉，包括公司本身，包括员工都作为不起诉对待。
同样的案情发生在2018年的北京市海淀区法院，是全国首例利用爬虫技术侵入计算机信息系统抓取数据案。在这个案件当中，企业被罚了 20 万，员工被判处 9 个月到 1 年的刑罚， 3 到 5 万元的罚款。
大家可以看到数据合规的价值所在，对于数据合规的政策已经开始调整。
Q10 ：可以分享一些您做过的案例吗？
王律师：合规最主要的是快消行业，快消行业做合规的一个最重要的出发点是数字化转型的需要。
这个时候是以咨询为主，怎么利用数据、怎么避免数据不合规的现象，或者说数据合法基础要夯实的问题。我们也接触到了一些医药医疗行业，它属于风险比较高的领域。
我们还接触到一个游戏行业。游戏一般有游戏开发者，还有游戏运营者。我们在打游戏过程中产生的这么多的行为数据是谁的？这是游戏行业数据合规的特点。