数据治理：框架与实务落地

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

数据治理已不再只是科技公司关心的问题，而是成为在巴西处理个人信息的任何组织都必须履行的法律义务。

什么是数据治理，它在法律上为何重要

所谓数据治理，是指一整套政策、流程、角色与指标，用以确保组织内部对信息的使用高效、安全，并且符合法律要求。它不仅仅是安装一套防护软件，或者撰写一份千篇一律的隐私政策。真正的数据治理，是搭建一种组织架构，使企业能够清楚地知道：自己持有哪些数据，这些数据存放在哪里，谁可以访问，用于什么目的，以及将保存多长时间。

有效的数据治理不是一个有结束日期的项目，而是一个持续的过程，必须融入组织文化和企业的决策流程之中。

《通用数据保护法》(LGPD，巴西《通用数据保护法》)将数据治理视为合规的核心工具，并规定控制者和处理者可以制定良好实践规则，对以下事项作出规范：组织条件、运作机制、程序(包括数据主体的投诉与请求)、安全规范、技术标准、各参与方在数据处理中的具体义务、教育培训措施，以及内部监督和风险缓释机制。由此可见，巴西立法者本身就已确认，数据治理是合规的核心工具。

在数据尽职调查的实践中我们发现，没有建立结构化治理框架的组织会面临相当大的困难：无法及时回应数据主体的请求，不了解自己所处理信息的生命周期，并且可能面临国家数据保护局(ANPD，巴西国家数据保护局)的行政处罚。此外，在并购交易中，缺乏数据治理往往会被认定为一种隐性负债，足以影响甚至直接阻碍交易的完成。

适用于巴西环境的主要数据治理框架

国际上有多种框架可作为构建数据治理方案的参考。下面我们分析其中与巴西法律和商业环境最相关的几种，并考察它们与LGPD要求以及巴西本土组织实际运营状况的契合程度。

DAMA-DMBOK(数据管理知识体系)

DAMA-DMBOK可以说是目前最全面的框架。它把数据管理划分为十一个知识领域，包括数据治理、数据架构、数据建模与设计、数据存储与运维、安全、集成与互操作性、文档与内容管理、主数据与参考数据、数据仓库与商业智能、元数据以及数据质量。就尽职调查而言，这一框架为我们评估组织在上述各个维度的成熟度提供了完整的结构。我们能够识别具体的差距，并客观地确定整改行动的优先顺序。

ISO/IEC 38505(数据治理)

ISO/IEC 38505标准属于IT治理标准系列，专门为数据治理确立了指导原则。它采用“评估、指导、监控”的模式，与巴西的监管要求十分契合。在开展数据尽职调查时，如果组织符合该标准，就说明其在信息管理上采取了结构化且获国际认可的方法。

NIST隐私框架

NIST隐私框架由美国国家标准与技术研究院制定，其突出优势在于基于风险的思路。它分为五项主要职能：识别、治理、控制、沟通和保护。尽管该框架是针对美国的监管环境设计的，但其类别和子类别完全可以调整，以适应LGPD的要求。在合规改造项目中，我们经常采用这一框架，因为它支持循序渐进的实施，从风险最严重的环节入手，再逐步处理不那么紧迫的问题。

ANPD的指引

ANPD自身发布了一系列指导性文件。虽然从技术意义上讲它们并不构成一个正式的框架，但为落实个人数据保护治理方案提供了实用的指导方针。这些指引的内容涵盖从编制个人数据保护影响评估报告(RIPD)，到数据保护官(DPO，即“encarregado”)的任命及其职责。我们认为，巴西组织所采用的任何框架，都应当纳入国家主管机关的这些具体指引。

落地实施：数据治理方案的各个步骤

现在，我们从理论转入实务。实施数据治理方案需要周密的规划和严格的执行。基于我们在尽职调查与合规改造项目中的经验，可以归纳出每个组织都必须经历的几个基本步骤。

数据映射与清单

第一步是弄清楚现有的数据。需要对组织处理的全部个人数据和敏感个人数据进行完整盘点。这份清单应当记录数据的类别、每项处理所依据的法律基础、数据存储的系统、共享流向(内部共享以及向第三方共享)、保存期限，以及已采取的安全措施。没有这一映射，任何治理工作都将建立在脆弱的基础之上。建议使用自动化的数据发现(data discovery)工具，并辅以对各业务部门的访谈。

明确角色与职责

数据治理需要明确的责任划分。必须界定谁是控制者、谁是处理者、谁是数据保护官(DPO)，以及组织内各部门对其所处理数据各自承担哪些职责。我们发现，许多企业在这一点上出了问题：把全部责任集中在IT部门或法务部门，而实际上，数据治理是一项横向的责任，凡是收集、处理或存储信息的部门都应参与其中。

制定政策与程序

清单完成、角色明确之后，就要制定必要的政策。其中最重要的包括：对外的隐私政策、对内的数据保护政策、数据保留与销毁政策、安全事件应对政策、处理数据主体权利请求的程序，以及与第三方共享数据所使用的合同和标准条款。每项政策都应表述清晰，贴合组织的实际情况，并定期修订。

落实技术与组织控制措施

政策必须通过切实有效的控制措施来落地。在技术层面，包括加密、基于角色的访问控制、审计日志、适用情形下的匿名化和假名化、安全备份以及漏洞测试。在组织层面，包括定期培训、宣传教育活动、举报渠道，以及向高级管理层定期提交报告。在尽职调查中，我们核查的不仅是这些控制措施是否存在，更要看其实际成效。

监测与持续改进

数据治理方案不是一成不变的。需要设定关键绩效指标(KPI)，以便长期跟踪方案的成效。其中较为重要的指标包括：回应数据主体请求的平均时间、安全事件的数量、已接受培训的员工比例、与第三方合同的合规率，以及内部审计的结果。我们会定期复核，并根据需要调整方案，同时考虑监管变化、新发现的风险和已汲取的经验教训。

数据尽职调查：如何评估治理成熟度

无论是在公司交易还是在监管合规评估中，进行尽职调查都需要一套结构化的方法来评估组织的数据治理成熟度。实践中会使用成熟度模型，把组织划分为不同等级，通常从“初始级”(流程缺失或临时应对)到“优化级”(流程自动化、可衡量并持续改进)。

数据尽职调查中需要分析的关键点包括：处理活动记录是否存在及其质量(LGPD第37条)、是否正式任命数据保护官并公布其联系方式、对高风险处理是否已有个人数据保护影响评估报告、安全事件的历史及所采取的应对措施、与处理者和合作方所签合同的合规性、是否遵守了回应数据主体权利请求的法定期限，以及每项处理活动所依据的法律基础是否恰当。

我们发现，数据治理成熟度较高的组织，面临的监管风险更低，处理信息的运营效率更高，在商业谈判和公司交易中的地位也更有利。因此，不应仅仅把数据治理看作一项合规成本，而应视其为能为业务创造切实价值的投资。

常见挑战及应对之道

在实施数据治理的项目过程中，我们发现有几类反复出现的挑战值得关注。第一是文化上的抵触。许多组织把数据治理看作额外的官僚负担。要消除这一障碍，建议从项目初期就争取高级管理层的积极参与，并展示切实的好处(例如减少返工、降低财务风险)。

第二个挑战是数据的碎片化。在中大型组织中，信息往往分散在多个系统、电子表格和非正式的存储库之中。前期的数据映射是应对这一现实的关键，但随后还必须对数据存储库进行精简与整合。

第三个挑战涉及方案的长期维持。我们发现，许多组织在最初的合规改造阶段投入很大，却没有保留持续运营所需的资源。数据治理需要长期的投入，包括定期复核、更新政策和定期培训。缺少这种连续性，方案会迅速退化，组织也会重新积累风险。

最后，还要指出比例原则的挑战。并非每个组织都需要(或能够)实施与大型企业同等复杂程度的治理方案。LGPD对此予以承认，对小型企业规定了差别化的待遇。重要的是，方案要与组织的规模、所处理数据的数量和敏感程度以及相关风险相适应。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.