亚马逊云科技资深合规技术实践专家赵磊：企业出海如何行稳致远

　　2023年6月3日下午，由映魅咨询和亚马逊云科技联合主办的“教育科技服务与产品海外运营之道”沙龙在北京举行。运营是一个非常广泛的话题，为此在此次沙龙中，多位分享嘉宾从技术与产品、合规、用户运营、产品设计等多个角度进行了深入的分享。

　　亚马逊云科技资深合规技术专家赵磊就中国企业出海如何行稳致远进行了深入的分享与探讨。

亚马逊云科技资深合规技术专家赵磊

以下是赵磊的分享内容概要：

　　企业合规涉及很多方面的内容，包括知识产权合规、内容合规、网络安全合规等。今天主要分享的内容会聚焦数据隐私及其合规。教育行业主要面向的受众群体，大部分是未成年人及未成年人的监护人，所以，企业首先面对的挑战是数据隐私及数据合规。

什么是数据隐私及数据合规？

　　数据隐私合规是教育科技行业的企业必须要重视的话题。数据隐私相关的法律法规及监管机构主要关注企业是否在数据采集、存储、处理、披露、删除等数据处理周期中做到了对个人数据的管理和治理，以及是否履行了数据主体权益保障的责任。教育科技公司需要建立由安全团队、法务团队以及业务团队组成的合规组织，以确保其产品和服务可以遵守不同国家的隐私保护法律法规要求，并获得相应的数据使用许可。真实案例显示，即使在拥有强大的安全团队的情况下，合规问题仍然可能出现，因为个人数据的生产和消费主要发生在业务系统中。因此，企业不能仅依赖一个团队去缓解所有的数据合规风险，而是要通过组织、技术和法律工具等手段，协调公司多方资源，共同应对动态且持续的数据合规挑战。

　　中国出海企业将面临全球各国不同的数据隐私法规要求，尤其是在一些敏感领域，如跨境数据传输，同时满足不同国家法规的合规成本也很高。一些真实案例表明，即使企业在安全团队和法务团队方面已投入大量资源，仍可能面临合规问题，因为业务方和合规方割裂，无法做到全面数据生命周期的管理和保护。在业务和运维团队中推动数据隐私的意识和实践至关重要，以确保企业能够在合法和得体的条件下运营，保护消费者的隐私权益。

如何既保持业务增长又满足数据合规的要求？

一、根据不同国家和区域的数据法规要求制定数据采集标准化流程

　　不同国家和地区有不同的数据隐私法规和要求。数据隐私合规不是一个团队能够独自完成的工作，需要法务、审计、安全团队和业务团队的协作。企业需要把业务、数据保护和隐私保护职责嵌入到业务研发团队中，根据不同国家和区域的数据法规要求制定数据采集标准化流程，以确保数据保护和隐私保护始终是业务的一部分。如此一来，在合规上所花费的长期时间和成本可以大大减少，同时业务研发也不会因为合规问题而花费大量重复资源。因此，企业应将数据隐私合规视为业务研发的基本要求。如果发现合规风险，也可以基于主动定义的隐私保护规则和手段，在新的开发计划中通过“小步快跑”的方式逐步缓解风险，做到急迫且从容。

二、用框架思维应对全球挑战

　　首先，企业需要关注不同国家的数据隐私法律法规，在保护个人隐私权利的前提下，采取最小化数据采集和确保数据准确性等措施。其次，企业需要建立相应的管理制度和控制治理措施，对数据进行生命周期管理，并在处理过程中嵌入合规要求，以满足监管的合规要求。最后，企业需要在整个管理层和业务研发、IT运维、法务等团队中建立框架思维，使合规成为全数据生命周期中不可或缺的部分。以框架思维和灵活的数据策略应对全球不同国家或地区的法律法规，是出海企业的必要选择。

三、评估和分析跨境数据处理风险

　　跨境数据处理涉及地缘政治风险和潜在的监管挑战。在将任何国家或地区未成年人信息或地理位置数据等敏感数据传输到境外之前，企业应该仔细分析潜在风险，并将其与商业利益进行权衡。为了确保数据的安全性和一致性，公司应该实施有效的隐私工程实践，包括数据治理、标准化和文档化。公司还应根据不同国家的法规和定义，识别和保护敏感的个人数据。隐私工程是贯穿整个业务生命周期的关键过程，涉及产品开发、法律、安全和运营团队之间的跨职能协作。公司应投资于隐私保护，并建立一个隐私保护组织，以加强数据合规要求的有效落地。这项投资可能需要耗费一定时间，但它可以帮助企业规避隐私保护相关法律法规的违规风险，并同时确保可持续的业务增长。

亚马逊云科技助力中国企业出海行稳致远

　　充分利用亚马逊云科技的安全及合规责任共担模型，在您的控制架构下分担合规成本，是大多数优秀出海企业的第一选择。亚马逊云科技的规模优势使我们在安全监管和治理方面的投入，超过了几乎任何一家公司自己所能承受的范围，同时，由我们首创的责任共担模型，可以帮助您降低基础设施以及许多云上托管IT系统的安全与合规成本。在此基础上，您的技术团队不仅可以专注于业务增长， 亚马逊云科技这样的可信赖的合作伙伴，可以与您共同面对诸多出海合规挑战。

　　具体来说：

　　- 技术方面，我们执行最高标准的隐私和数据安全实践要求，以满足全球监管的安全合规要求，这里包括但不限于数据加密、私有网络、访问控制等。与此同时，使用自动化服务降低云自身的安全及合规风险也是我们一贯践行的工程化原则。

　　- 合规方面，我们定期会对全球数千个合规项目和服务进行独立的第三方验证，以确保公司和服务的合规时效性，比如获得欧盟数据保护委员会批准的CISPE数据保护行为准则认证。我们也把对客户有价值的合规性纳入到亚马逊云科技的服务条款中，为客户降低相关成本。

　　- 还有合作伙伴方面，亚马逊云科技丰富的安全及合规生态可以满足您不同类型的合规需求。

　　亚马逊云科技的成功案例包括原厂开源的中心化数据治理方案、AIGC场景下的敏感数据识别和保护方案、以及隐私工程的产品设计和原型交付方案等。企业可以根据不同的业务场景选择定制化的技术解决方案。

Powered by Froala Editor