如何对数字化产品进行合规性审查（如何对数字化产品进行合规性审查）

文丨天元律师事务所 刘瑛 李晓华（郭云鹤律师对本文亦有贡献）

摘要

数字经济时代，企业数字化转型进入快车道，通过数据、计算机技术和网络等数字化形态表示的创新业务和产品（下称“数字化产品”）不断涌现、更新迭代。数据合规领域的法律和规范性要求日趋精细化，企业的数据合规工作已经不仅是为了满足上市、投资等活动而需要进行的应急式合规治理，更事关企业的运营和持续发展，为产品落地和企业数字化转型保驾护航。本文围绕数字化产品的合规性审查，总结法律人员协助企业开展数字化产品的合规性审查的要点，介绍如何在产品的商业逻辑与法律逻辑之间建立对应关系，在商业活动与法律规则之间达成共识，为商业意图的合法合规落地提供切实可行的解决方案。

本文内容要点

一、 梳理数字化产品的业务模式及业务关系

二、 对数字化产品网络安全、数据安全、个人信息保护方面的合规性审查

三、 对数字化产品其他相关领域/事项的合规性审查

四、 起草/审查数字化产品的业务合同及商业文件

五、 总结

一、梳理数字化产品的业务模式及业务关系

（一）

梳理产品的业务模式

对数字化产品进行合规审查，首先需要从产品的功能和内容、客户（用户）、产品提供方式/途径等方面梳理产品的业务模式，识别开展业务所需的资质，判断产品业务模式是否符合法律和监管要求，是否存在违反公序良俗、社会公德，或者存在其他对企业或他人带来不良影响的风险。

●1.梳理产品的功能和内容，识别产品所需的资质，判断产品业务模式是否符合法律和监管要求，是否存在违反公序良俗、社会公德，或者存在其他对用户带来不良影响的风险。

●2. 梳理产品客户（指订购产品的客户）及实际使用产品的用户（也称最终用户，如涉及），审核产品是否存在合规风险，准确设置和准备相应的业务合同等法律文件。

●3. 梳理、审核产品及相关服务的提供方式/途径是否符合法律和监管要求，对照法律和监管要提示企业采取合措施。

（二）

梳理产品的业务关系

基于对业务模式的梳理，确定企业（作为产品提供方）与交易各方之间的法律关系，识别判断企业在相应法律关系下应当承担的法律责任，确保产品在业务流程、业务合同及业务文件等方面准确反映各方的法律关系，采取相应的措施满足法律和监管的要求，保障企业的合法权益，确保产品及服务的提供不侵犯相关方的合法权益。

二、数字化产品网络安全、数据安全、个人信息保护方面的合规性审查

数据合规审查无疑是数字化产品合规性审查的重点。数据合规审查主要包括对产品网络安全、数据安全和个人信息保护方面的审查，审查要点主要有以下：

三、对数字化产品其他相关领域/事项的合规性审查

除了审查网络安全、数据安全和个人信息保护方面的合规性外，开展数字化产品的合规性审查工作，还需要关注是否符合相关领域的监管要求，审查是否存在其他合规风险。下图为数字化产品审查中需要重点关注的方面：

四、起草/审查数字化产品的业务合同及商业文件

企业销售、提供数字化产品，往往需要与客户（用户）等交易各方签订各类业务合同和商业文件。该等业务合同和商业文件，有的侧重于交易安排，例如产品销售/许可合同、订单，约定交易标的、交易价格、产品服务内容及标准、各方的权利义务等；有的则侧重于产品交付/运营中的业务规范和工作步骤，例如工作说明书等。

视乎产品的经营模式和商业安排，数字化产品的合同和商业文件可能由企业与客户（用户）通过线下双方签字盖章方式签订，也可能通过线上方式，由企业通过互联网平台向客户（用户）展示合同和商业文件，客户（用户）通过线上点击同意等方式签署。实践中也有企业与客户线下签订销售合同，通过互联网平台线上交付产品，客户登录使用互联网平台时线上签订用户协议、隐私政策等平台文件的情况。

该等业务合同和商业文件，不仅是法律文件，更是商业文本，反映数字化产品交付、运营的基本商业规则。法律人员在起草、审查该数字化产品的合同和文件时，需要审核其内容是否符合业务实际安排、线下签订的业务合同与线上业务合同（如有）设置是否匹配且无冲突、业务合同设置是否符合法律和监管要求，并且需要根据实际业务安排提示需设置的必要业务合同/必要条款，保障企业的合法权益、防范风险。

法律人员如何起草和审查数字化产品的业务合同和商业文件？工作中需要关注哪些要点？下期天元律师公众号将继续分享，敬请期待！

五、总结

企业数字化转型对法律人员来说既是挑战也是机遇。一方面，数据合规工作常态化对法律人员提出了越来越高的要求——不仅需要整体理解法律监管体系，谙熟法律规则的适用，还需要了解业务活动、企业商业意图和交易目标、理解业务与产品逻辑；另一方面，数据合规工作不限于“后台”审核、提示可能的法律风险或解决已发生的法律风险，更让法律人员走向“前台”，承担重要商业伙伴的角色：在企业新产品、新领域的研发阶段，法律人员参与研判和论证，协助企业建立商业逻辑与法律逻辑之间建立对应关系，在数据处理规则与法律规则之间达成共识，协助企业找到创新的数字化产品落地的合规可行路径，为业务企业赋能。