前言
随着“618”“双十一”等营销活动愈发丰富，营销方式、营销推广手段也在不断变化。对于持续不断的短信营销行为，工业和信息化部信息通信管理局表示高度重视，并于2021年6月11日召开行政指导会，警示电商平台企业规范营销短信发送行为，强化行业自律。工业和信息化部信息通信管理局指出，“默认”用户同意，擅自发送“618”商业营销短信，引发相关用户投诉，违反《民法典》《通信短信息服务管理规定》，侵害用户合法权益。
时至今日，利用大数据进行互联网营销已不再是个新鲜的概念，旗舰级互联网公司利用自己积累的庞大流量池、用户池纷纷设立大数据营销平台，例如腾讯广告、阿里妈妈等。新兴企业中也出现了许多新榜有数一类的大数据营销服务机构。科技给了这个时代的广告主们各式各样的广告选择——信息流广告、开屏广告、详情页广告、条幅广告、邮件直接营销广告、视频广告、文字链接广告，数不胜数。只要互联网不死、商业创新不止，互联网的营销方式就会持续地迭代下去。
但是，技术的更新、商业模式的多样不应是侵害相关主体数据权益的原因。电脑上刚浏览过的商品讯息转瞬就在手机的新闻客户端里弹出推送；刚在在中介机构登记过个人信息，下周就可能被房产销售连环推销。虽然数据这一新时代的“石油”可以为互联网时代的企业发展带来强大助力，但企业在利用时也应注意合法、合规，不应侵犯消费者的权益。
那么，企业应如何在网络营销时确保数据合规呢？如无特殊代指，下文的数据合规同时指个人信息保护及数据安全。
相关监管要求
（一）针对性监管文件
虽然网络营销几乎与互联网同时出现，但目前仍未有类似《汽车数据安全管理若干规定（征求意见稿）》一般的针对性监管文件对这一场景中所涉及的相关权益及保护方式作出专门规定。
比较接近的文件有网信办于2021年04月23日发布的《网络直播营销管理办法（试行）》，但其中的条款未细致到足以落地的程度：
除《网络直播营销管理办法（试行）》外，中国广告协会于2020年6月26日发布《网络直播营销行为规范》，但同样，其中条款也仅是原则性规定：
从上述两份文件看，其从网络营销中的一个子集“网络直播营销”这一角度出发，以网络直播营销中的不同主体作为权利义务的出发点，规定营销平台、营销主体应履行相关的个人信息保护和数据安全义务。
对于网络营销这一网络直播营销的上位概念来说，数据合规并无特殊规定，其应适用通用的数据合规标准。
（二）适用于网络营销的其他监管文件
网络营销相关的规定散落在不同的监管文件中。总体来说，目前网络营销可以大致分为数据收集、用户画像（贴标签）、用户画像应用（营销信息推送）三个阶段。而以数据合规的收集、使用、加工、分享、存储、销毁等环节对照上述三个阶段，营销中的数据收集可以对应到数据合规的收集环节；但用户画像及用户画像应用就可能涉及数据使用、加工、分享、存储、销毁等多个环节。
我们尝试根据网络营销中的不同阶段列举部分合规依据如下：
1. 数据收集
网络营销中的数据收集阶段基本可以等同于数据合规中的数据收集环节，需同样遵守合法、正当、必要等原则，并取得用户同意，同时公开用户协议、隐私政策，注明处理信息的目的、方式和范围，以及遵守与用户之间的协议等。具体规定可见《民法典》第一百一十一条、第一千零三十五条，《网络安全法》第二十二条、第四十一条，《数据安全法》第三十二条等法律法规以及《个人信息安全规范》等国标。列举部分条款如下：
除以上数据合规领域的通用条款外，针对营销行为中的某些场景或者SDK等技术模块，还有特殊的规范性文件。
例如对于APP场景下收集用户信息，应注意《App违法违规收集使用个人信息行为认定方法》《信息安全技术移动互联网应用（App）收集个人信息基本规范》《信息安全技术移动互联网应用程序（APP）个人信息安全测评规范》等关于APP收集用户信息的相关文件。而APP中使用SDK收集用户信息的，还要注意《信息安全技术移动互联网应用程序(APP)SDK安全指南》等针对SDK的标准。
除规范性文件外，司法及行政案例对具体场景下的网络营销数据合规有重要启示意义。例如对于cookies技术，有中国Cookies隐私泄露第一案：
根据本案二审，cookies收集的未能与网络用户个人身份对应识别的数据信息不属于个人信息。但是根据目前的个人信息安全规范，网页浏览记录明确属于个人敏感信息。所以，如果cookies收集的信息能识别或关联用户个人身份的，不但属于个人信息，还属于个人敏感信息。
再例如数据爬虫技术，有魔蝎科技侵犯公民个人信息案：
对于魔蝎公司依据《数据采集服务协议》获取贷款用户的账号密码，在未经被爬取方同意的情况下，利用爬虫技术手段，采取“模拟登陆”方式，获取服务器中所存储贷款用户数据的行为，法院未做出否定性评价。合理推测，目前司法机关对技术本身仍持中立态度。
除上述案例外，数据爬虫因网络营销中应用场景及应用方式的不同，在刑事责任上，可能涉及非法获取计算机信息系统数据罪、非法侵入计算机信息系统罪、提供侵入、非法控制计算机信息系统的程序、工具罪、侵犯公民个人信息罪、侵犯著作权罪。在行政责任上，可能构成不正当竞争，或涉及《网络安全法》《数据安全法》下的相关处罚。
2. 用户画像
在合法合规地取得相应的用户数据、用户个人信息后，下一步是使用上述数据、信息进行用户画像，以便精准营销/定向推广。目前具有实操性的用户画像相关文件是《信息安全技术个人信息安全规范》：
有关于用户画像的具体设计及测评方法，可以参照《个人信息安全测评规范》的“用户画像的使用限制的测评”小节。例如对于个人信息安全规范中的7.4-a)-1)项就有测评方法如下：
除上述内容外，网络营销还可能涉及到信息茧房等问题，因篇幅问题在此不做展开。
3. 营销信息推送
推送是网络营销中最易被用户投诉、举报的环节，实践中已经有多部文件就推送问题进行了规定，列举部分如下：
根据上述规定以及工信部6月11日召开的行政指导会看，默认同意不能成为经营者发送商业营销短信的基础。而根据历来监管的习惯，很可能会从短信扩张到邮件、电话等其他推送方式上，企业应注意在受到通报、处罚前进行合规整改。
结语
网络营销与传统的门店营销、线下营销相比，场景更多样、参与主体更多。在数据收集端，可以在移动端、PC端、物联端等端口使用数据爬虫、cookies等技术采集用户信息；在用户画像方面，网络营销可以借助庞大的用户池、流量池贴标签、制作用户画像；最后，在推广方面，网络营销又可以借助多场景、多主体的优势，在走廊上、手机上、电脑上、在一切用户可接触的互联端口上借助用户画像向用户传递信息。场景的增加也意味着合规风险的增加，企业应保持警惕。
随着“618”“双十一”等营销活动愈发丰富，营销方式、营销推广手段也在不断变化。对于持续不断的短信营销行为，工业和信息化部信息通信管理局表示高度重视，并于2021年6月11日召开行政指导会，警示电商平台企业规范营销短信发送行为，强化行业自律。工业和信息化部信息通信管理局指出，“默认”用户同意，擅自发送“618”商业营销短信，引发相关用户投诉，违反《民法典》《通信短信息服务管理规定》，侵害用户合法权益。
时至今日，利用大数据进行互联网营销已不再是个新鲜的概念，旗舰级互联网公司利用自己积累的庞大流量池、用户池纷纷设立大数据营销平台，例如腾讯广告、阿里妈妈等。新兴企业中也出现了许多新榜有数一类的大数据营销服务机构。科技给了这个时代的广告主们各式各样的广告选择——信息流广告、开屏广告、详情页广告、条幅广告、邮件直接营销广告、视频广告、文字链接广告，数不胜数。只要互联网不死、商业创新不止，互联网的营销方式就会持续地迭代下去。
但是，技术的更新、商业模式的多样不应是侵害相关主体数据权益的原因。电脑上刚浏览过的商品讯息转瞬就在手机的新闻客户端里弹出推送；刚在在中介机构登记过个人信息，下周就可能被房产销售连环推销。虽然数据这一新时代的“石油”可以为互联网时代的企业发展带来强大助力，但企业在利用时也应注意合法、合规，不应侵犯消费者的权益。
那么，企业应如何在网络营销时确保数据合规呢？如无特殊代指，下文的数据合规同时指个人信息保护及数据安全。
相关监管要求
（一）针对性监管文件
虽然网络营销几乎与互联网同时出现，但目前仍未有类似《汽车数据安全管理若干规定（征求意见稿）》一般的针对性监管文件对这一场景中所涉及的相关权益及保护方式作出专门规定。
比较接近的文件有网信办于2021年04月23日发布的《网络直播营销管理办法（试行）》，但其中的条款未细致到足以落地的程度：
| 《网络直播营销管理办法（试行）》 | 第六条 | 直播营销平台应当建立健全账号及直播营销功能注册注销、信息安全管理、营销行为规范、未成年人保护、消费者权益保护、个人信息保护、网络和数据安全管理等机制、措施。 | ||
| 第八条 | 直播营销平台应当采取必要措施保障处理的个人信息安全。 | |||
除《网络直播营销管理办法（试行）》外，中国广告协会于2020年6月26日发布《网络直播营销行为规范》，但同样，其中条款也仅是原则性规定：
| 播营销行为规范》 | 第七条 | 网络直播营销主体应当依法履行网络安全与个人信息保护等方面的义务，收集、使用用户个人信息时应当遵守法律、行政法规等相关规定。 |
| 第三十一条 | 网络直播营销平台经营者应当依法经营，履行消费者权益保护、知识产权保护、网络安全与个人信息保护等方面的义务。 | |
| 第十九条 | 直播间运营者、直播营销人员发布的直播内容构成商业广告的，应当履行广告发布者、广告经营者或者广告代言人的责任和义务。 |
从上述两份文件看，其从网络营销中的一个子集“网络直播营销”这一角度出发，以网络直播营销中的不同主体作为权利义务的出发点，规定营销平台、营销主体应履行相关的个人信息保护和数据安全义务。
对于网络营销这一网络直播营销的上位概念来说，数据合规并无特殊规定，其应适用通用的数据合规标准。
（二）适用于网络营销的其他监管文件
网络营销相关的规定散落在不同的监管文件中。总体来说，目前网络营销可以大致分为数据收集、用户画像（贴标签）、用户画像应用（营销信息推送）三个阶段。而以数据合规的收集、使用、加工、分享、存储、销毁等环节对照上述三个阶段，营销中的数据收集可以对应到数据合规的收集环节；但用户画像及用户画像应用就可能涉及数据使用、加工、分享、存储、销毁等多个环节。
我们尝试根据网络营销中的不同阶段列举部分合规依据如下：
1. 数据收集
网络营销中的数据收集阶段基本可以等同于数据合规中的数据收集环节，需同样遵守合法、正当、必要等原则，并取得用户同意，同时公开用户协议、隐私政策，注明处理信息的目的、方式和范围，以及遵守与用户之间的协议等。具体规定可见《民法典》第一百一十一条、第一千零三十五条，《网络安全法》第二十二条、第四十一条，《数据安全法》第三十二条等法律法规以及《个人信息安全规范》等国标。列举部分条款如下：
| 民法典》 | 第一百一十一条 | 自然人的个人信息受法律保护。任何组织或者个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。 |
| 第一千零三十五条 | 处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件： （一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外； （二）公开处理信息的规则； （三）明示处理信息的目的、方式和范围； （四）不违反法律、行政法规的规定和双方的约定。 个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。 | |
| 《网络安全法》 | 第二十二条 | …网络产品、服务具有收集用户信息功能的，其提供者应当向用户明示并取得同意；涉及用户个人信息的，还应当遵守本法和有关法律、行政法规关于个人信息保护的规定。 |
| 第四十一条 | 网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。 网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。 | |
| 《数据安全法》 | 第三十二条 | 任何组织、个人收集数据，应当采取合法、正当的方式，不得窃取或者以其他非法方式获取数据。 法律、行政法规对收集、使用数据的目的、范围有规定的，应当在法律、行政法规规定的目的和范围内收集、使用数据。 |
除以上数据合规领域的通用条款外，针对营销行为中的某些场景或者SDK等技术模块，还有特殊的规范性文件。
例如对于APP场景下收集用户信息，应注意《App违法违规收集使用个人信息行为认定方法》《信息安全技术移动互联网应用（App）收集个人信息基本规范》《信息安全技术移动互联网应用程序（APP）个人信息安全测评规范》等关于APP收集用户信息的相关文件。而APP中使用SDK收集用户信息的，还要注意《信息安全技术移动互联网应用程序(APP)SDK安全指南》等针对SDK的标准。
除规范性文件外，司法及行政案例对具体场景下的网络营销数据合规有重要启示意义。例如对于cookies技术，有中国Cookies隐私泄露第一案：
| 中国Cookies隐私泄露第一案，北京百度网讯科技有限公司与朱某隐私权纠纷案 | |
| 案件事实 | 朱烨发现百度使用Cookies技术，按照其搜索过的关键字内容，对其投放定向广告。根据原告陈述：“百度网讯公司利用网络技术，未经朱烨的知情和选择，记录和跟踪了朱烨所搜索的关键词，将朱烨的兴趣爱好、生活学习工作特点等显露在相关网站上，并利用记录的关键词，对朱烨浏览的网页进行广告投放，侵害了朱烨的隐私权，使朱烨感到恐惧，精神高度紧张，影响了正常的工作和生活。” |
| 一审法院认定 | 1）Cookies收集到的信息属于个人隐私。 “隐私权是自然人享有的私人生活安宁与私人信息依法受到保护，不被他人非法侵扰、知悉、搜集、利用和公开的权利。本案中，百度网讯公司利用cookie技术收集朱烨信息，并在朱烨不知情和不愿意的情形下进行商业利用，侵犯了朱烨的隐私权。 首先，关于朱烨的网络活动踪迹是否属于个人隐私的问题。个人隐私除了用户个人信息外还包含私人活动、私有领域。朱烨利用三个特定词汇进行网络搜索的行为，将在互联网空间留下私人的活动轨迹，这一活动轨迹展示了个人上网的偏好，反映个人的兴趣、需求等私人信息，在一定程度上标识个人基本情况和个人私有生活情况，属于个人隐私的范围。” 2）百度没有尽到提醒说明Cookies技术使用的义务，不足以让朱烨明了存在“选择同意”的权利。 综上，一审法院判决百度侵害了朱烨个人隐私权。 |
| 二审法院认定 | 1）百度利用Cookies收集到的数据不属于个人信息。 2）“百度网讯公司在提供个性化推荐服务中运用网络技术收集、利用的是未能与网络用户个人身份对应识别的数据信息，该数据信息的匿名化特征不符合“个人信息”的可识别性要求。” 3）“百度网讯公司利用网络技术对朱烨提供个性化推荐服务并未侵犯网络用户的选择权和知情权。” “《信息安全技术公共及商用服务信息系统个人信息保护指南》（GB／Z28828-2012）5.2.3条规定：‘处理个人信息前要征得个人信息主体的同意，包括默许同意或明示同意。收集个人一般信息时，可认为个人信息主体默许同意，如果个人信息主体明确反对，要停止收集或删除个人信息；收集个人敏感信息时，要得到个人信息主体的明示同意。参考该国家标准化指导性技术文件精神，……举重以明轻，百度网讯公司在对匿名信息进行收集、利用时采取明示告知和默示同意相结合的方式亦不违反国家对信息行业个人信息保护的公共政策导向，未侵犯网络用户的选择权和知情权。” |
根据本案二审，cookies收集的未能与网络用户个人身份对应识别的数据信息不属于个人信息。但是根据目前的个人信息安全规范，网页浏览记录明确属于个人敏感信息。所以，如果cookies收集的信息能识别或关联用户个人身份的，不但属于个人信息，还属于个人敏感信息。
再例如数据爬虫技术，有魔蝎科技侵犯公民个人信息案：
| 中国数据爬虫第一案，魔蝎科技侵犯公民个人信息案 | |
| 案件事实 | 魔蝎公司主要与各网络贷款公司、小型银行进行合作，为网络贷款公司、银行提供需要贷款的用户的个人信息及多维度信用数据，方式是魔蝎公司将其开发的前端插件嵌入上述网贷平台APP中，在网贷平台用户使用网贷平台的APP借款时，贷款用户需要在魔蝎公司提供的前端插件上，输入其通讯运营商、社保、公积金、淘宝、京东、学信网、征信中心等网站的账号、密码，经过贷款用户授权后，魔蝎公司的爬虫程序代替贷款用户登录上述网站，进入其个人账户，利用各类爬虫技术，爬取（复制）上述企、事业单位网站上贷款用户本人账户内的通话记录、社保、公积金等各类数据，并按与用户的约定提供给网贷平台用于判断用户的资信情况，并从网贷平台获取每笔0.1元至0.3元不等的费用。 |
| 一审法院认定 | 魔蝎公司在和个人贷款用户签订的《数据采集服务协议》中明确告知贷款用户“不会保存用户账号密码，仅在用户每次单独授权的情况下采集信息”，但未经用户许可仍采用技术手段长期保存用户各类账号和密码在自己租用的阿里云服务器上。被告人周江翔明知公司存在保存用户账户密码的行为，未尽管理职责；被告人袁某负责编写具有保存用户账户密码功能的网关程序。截至2019年9月案发时，对魔蝎公司租用的阿里云服务器进行勘验检查，发现以明文形式非法保存的个人贷款用户各类账号和密码条数多达21241504条。其中大部分账号密码无法二次使用，仅有邮箱等部分账号密码存在未经用户授权被魔蝎公司二次使用的情况。 |
| 判决分析 | 对于魔蝎公司依据《数据采集服务协议》获取贷款用户的账号密码，在未经被爬取方同意的情况下，利用爬虫技术手段，采取“模拟登陆”方式，获取服务器中所存储贷款用户数据的行为，法院未做出否定性评价。但是，法院对其违反《数据采集服务协议》保存相关数据的行为不予认可。 |
对于魔蝎公司依据《数据采集服务协议》获取贷款用户的账号密码，在未经被爬取方同意的情况下，利用爬虫技术手段，采取“模拟登陆”方式，获取服务器中所存储贷款用户数据的行为，法院未做出否定性评价。合理推测，目前司法机关对技术本身仍持中立态度。
除上述案例外，数据爬虫因网络营销中应用场景及应用方式的不同，在刑事责任上，可能涉及非法获取计算机信息系统数据罪、非法侵入计算机信息系统罪、提供侵入、非法控制计算机信息系统的程序、工具罪、侵犯公民个人信息罪、侵犯著作权罪。在行政责任上，可能构成不正当竞争，或涉及《网络安全法》《数据安全法》下的相关处罚。
2. 用户画像
在合法合规地取得相应的用户数据、用户个人信息后，下一步是使用上述数据、信息进行用户画像，以便精准营销/定向推广。目前具有实操性的用户画像相关文件是《信息安全技术个人信息安全规范》：
| 《信息安全技术个人信息安全规范》 | 3.8 | 用户画像 user profiling 通过收集、汇聚、分析个人信息，对某特定自然人个人特征，如职业、经济、健康、教育、个人喜好、信用、行为等方面作出分析或预测，形成其个人特征模型的过程。 注：直接使用特定自然人的个人信息，形成该自然人的特征模型，称为直接用户画像。使用来源于特定自然人以外的个人信息，如其所在群体的数据，形成该自然人的特征模型，称为间接用户画像。 |
| 7.4 | 用户画像的使用限制 对个人信息控制者的要求包括： a) 用户画像中对个人信息主体的特征描述，不应： 1) 包含淫秽、色情、赌博、迷信、恐怖、暴力的内容； 2) 表达对民族、种族、宗教、残疾、疾病歧视的内容。 b) 在业务运营或对外业务合作中使用用户画像的，不应： 1) 侵害公民、法人和其他组织的合法权益； 2) 危害国家安全、荣誉和利益，煽动颠覆国家政权、推翻社会主义制度，煽动分裂国家、破坏国家统一，宣扬恐怖主义、极端主义，宣扬民族仇恨、民族歧视，传播暴力、淫秽色情信息，编造、传播虚假信息扰乱经济秩序和社会秩序。 c) 除为实现个人信息主体授权同意的使用目的所必需外，使用个人信息时应消除明确身份指向性，避免精确定位到特定个人。例如，为准确评价个人信用状况，可使用直接用户画像，而用于推送商业广告目的时，则宜使用间接用户画像。 |
有关于用户画像的具体设计及测评方法，可以参照《个人信息安全测评规范》的“用户画像的使用限制的测评”小节。例如对于个人信息安全规范中的7.4-a)-1)项就有测评方法如下：
除上述内容外，网络营销还可能涉及到信息茧房等问题，因篇幅问题在此不做展开。
3. 营销信息推送
推送是网络营销中最易被用户投诉、举报的环节，实践中已经有多部文件就推送问题进行了规定，列举部分如下：
| 《民法典》 | 第一千零三十三条 | 除法律另有规定或者权利人明确同意外，任何组织或者个人不得实施下列行为：（一）以电话、短信、即时通讯工具、电子邮件、传单等方式侵扰他人的私人生活安宁； |
| 《消费者权益保护法》 | 第二十九条 | 经营者未经消费者同意或者请求，或者消费者明确表示拒绝的，不得向其发送商业性信息。 |
| 《广告法》 | 第四十三条 | 任何单位或者个人未经当事人同意或者请求，不得向其住宅、交通工具等发送广告，也不得以电子信息方式向其发送广告。 |
| 《数据安全管理办法（征求意见稿）》 | 第二十三条 | 网络运营者利用用户数据和算法推送新闻信息、商业广告等（以下简称“定向推送”），应当以明显方式标明“定推”字样，为用户提供停止接收定向推送信息的功能；用户选择停止接收定向推送信息时，应当停止推送，并删除已经收集的设备识别码等用户数据和个人信息。 |
| 《互联网电子邮件服务管理办法》 | 第十三条 | 任何组织或者个人不得有下列发送或者委托发送互联网电子邮件的行为： 未经互联网电子邮件接收者明确同意，向其发送包含商业广告内容的互联网电子邮件； |
| 《通信短信息服务管理规定》 | 第十八条 | 短信息服务提供者、短信息内容提供者未经用户同意或者请求，不得向其发送商业性短信息。 用户未回复的，视为不同意接收。 |
| 《通信短信息和语音呼叫服务管理规定（征求意见稿）》 | 第十六条 | 任何组织或个人未经用户同意或者请求，或者用户明确表示拒绝的，不得向其发送商业性短信息或拨打商业性电话。用户未明确同意的，视为拒绝。用户同意后又明确表示拒绝接收的，应当停止。 |
| 《网络交易监督管理办法》 | 第十六条 | 网络交易经营者未经消费者同意或者请求，不得向其发送商业性信息。 |
| 《个人信息安全规范》 | 第8.4条 | 对个人信息控制者的要求包括： b) 应保障个人信息主体拒绝接收基于其个人信息推送商业广告的权利 |
| 《工业和信息化部信息通信管理局6月11日召开行政指导会》 | - | “默认”用户同意，擅自发送“618”商业营销短信，引发相关用户投诉，违反《民法典》《通信短信息服务管理规定》，侵害用户合法权益 |
根据上述规定以及工信部6月11日召开的行政指导会看，默认同意不能成为经营者发送商业营销短信的基础。而根据历来监管的习惯，很可能会从短信扩张到邮件、电话等其他推送方式上，企业应注意在受到通报、处罚前进行合规整改。
结语
网络营销与传统的门店营销、线下营销相比，场景更多样、参与主体更多。在数据收集端，可以在移动端、PC端、物联端等端口使用数据爬虫、cookies等技术采集用户信息；在用户画像方面，网络营销可以借助庞大的用户池、流量池贴标签、制作用户画像；最后，在推广方面，网络营销又可以借助多场景、多主体的优势，在走廊上、手机上、电脑上、在一切用户可接触的互联端口上借助用户画像向用户传递信息。场景的增加也意味着合规风险的增加，企业应保持警惕。