利用“四级五步”法?规范对外提供数据行为保护企业秘密
时间：2021-04-23 04:03:09 来源：雅意学习网 本文已影响 人 
【摘要】在“大数据”的发展趋势下，企业数据信息秘密成为重要的保护内容，在实践中，经常要面临不同社会主体到公司要求提供电力相关数据信息，该信息可能涉及影响客户隐私、企业商业秘密及公司核心利益，故结合法律法规和公司规章制度，进行“四级五步”工作法的实践探索，建立高合法性、高合规性的“验、审、取、制、告”五个步骤管理流程，并按来源和风险性，评估为“红、黄、蓝、绿”四个风险等级，启动不同等级流程响应，有效规范对外提供数据行为，防范泄密风险及后续的经营风险、法律风险，确保信息数据秘密安全。
【关键词】规范；数据；秘密
按照公司规章制度的规定，企业信息数据是企业秘密中关键的一类，并随着“大数据”应用提升，将成为公司核心的资源。社会企业、个人、司法机关、政府行政部门、乡镇村等社会第三方到公司要求提供和获取相关电力信息的数量与日俱增，如何面对和处理此类“非窗口业务”成为重要的课题，如不能妥善应对，将对公司造成秘密泄露、品牌风险、法律责任等多重负面影响。
一、背景意义
（一）电改背景下的数据信息关系企业核心利益。随着新一轮电力体制改革的深入推进，电力市场化趋势不断加强，在电力市场交易中，社会资本投资设立的售电公司，对大用户的用电信息、工业园区的用电情况、用电特点等信息尤其敏感，并通过多种途径到公司获取相关信息。工业用户、电量较大的园区客户也是公司售电的核心客户，因此保护好该部分客户的电力相关数据信息秘密，就是保护企业核心资源与利益。
（二）企业数据信息秘密保护形势严峻。公司系统经历过被网络热炒“电e宝”疑似泄密事件，尽管最终谣言被澄清，但给公司带来了较大的品牌和舆论压力，保密工作形势十分严峻。随着《网络安全法》的施行，信息保护成了普遍关注点，社会公众对自我信息和隐私的保密意识不断提升。在线上保护以外，线下的对外提供数据行为也急需规范。
（三）数据秘密保护成为企业管理的关键点。国网公司已发布保密工作的制度9项，较多维度地对秘密进行保护，并下发了关于进一步加强数据安全工作的通知，强调数据信息秘密安全的重要性，并作出了原则性的规定。然而，纵观公司各单位，日常对外提供数据的行为，还没有体系性的规范流程，可能会暴露出入口把关不严、内部审批不完善、保密要求未告知等引发泄密风险和法律责任。
二、“四色分级”保密风险评估
（一）要求提供企业数据信息的来源。实际工作中，公司面临要求提供企业数据信息的社会第三方，根据性质不同、依据不同、来源不同，大体可以分为三类：1.行政机关类。主要由政府行政部门、乡镇组成。行政执法方面，配合税务部门的税务稽查，配合市场监管部门工商检查，配合环保部门环境执法。行政管理方面，经济和信息化部门的电力管理，统计部门的社会统计信息，政府办的信息公开，档案部门的地方志编制等。地方发展方面，发改部门所需的电力能源发展和运行，各乡镇的发展规划、工业园区的招商引资均需要企业提供相关信息。2.司法机关类。主要由公安机关、检察机关和法院组成。公安机关、检察机关的案件调查取证，法院在法庭调查阶段调取用户相关用电信息，司法机关调取的数据信息主要集中在单个用户的用电量、电费等方面。3.个人和社会企业类。社会律师、用户个人以及社会企业到公司要求查询或者调取其他用户或区域的用电信息，该类别与营业厅日常查询有所区别，一般为带有某些特殊的身份或者性质的单位。
（二）保密风险评估标准与分级。在对外提供数据过程中，在风险识别的情况下，出于便于实际的操作效率和管理的角度，并考虑构建与社会第三方友好负责的关系等因素，构建“四色分级”体系，不同的等级对应的流程不同，红色等级对应涵盖全流程的每一步，在保障秘密保护的前提下，根据风险程度简化相关流程，按风险颜色递减。因此，根据信息数据的重要性、敏感性、数据量以及可能产生的法律责任，由公司综合管理部门进行综合评估风险，确定风险级别：红色，为最高风险等级。来源一般为个人和社会企业要求提供相关数据，若泄露后将严重影响企业核心利益或对用户造成不可挽回的严重损失，给企业经营管理、客户服务带来“一票否决”并承担严重的泄密责任、法律责任的企业信息，则应纳入红色等级响应。黄色，为严重风险等级。来源一般为部分司法机关和政府行政部门要求提供某项数据，若泄露后将影响企业核心利益或对用户造成损失，并承担泄密责任、法律责任的企业信息，则应纳入黄色等级响应。蓝色，为较重风险等级。来源主要为司法机关和政府行政部门要求提供某项数据，若调取数据的第三方可信度较高，一般不会影响企业核心利益或对用户造成损失，泄密后不承担责任的企业信息，则应纳入蓝色等级响应。绿色，为一般风险等级。一般不存在泄露的问题，信息披露后对企业核心利益没有影响，用户不会有实质损失的企业信息，则应纳入绿色等级响应。
三、“五步流程”規范提供数据行为
（一）依法合规的全流程及所防范的风险。按照合法合规性和保护企业秘密要求，与社会第三方保持良好关系的因素，制定了高合法性、高合规性、高可靠性的规范流程“五个步骤”，实现“五个环节”管控，确保企业秘密万无一失。1.查验识别身份。公司综合管理部门（一般也是保密归口管理部门）接待前文所述的社会第三方来源单位或个人，首先问清来意，弄清目的。其次，留存相应身份证明和调取依据。若为行政执法配合，应礼貌要求对方出示介绍信、执法证以及配合协助调查的行政决定或依据，行政管理部门应仔细核查来函、介绍信和经办人身份证等信息。最后，了解要求提供数据信息的范围、内容要求。防范了数据调取的社会第三方身份不明、依据不足、无权利或权力要求提供相关数据信息，数据信息用途影响企业经营和市场竞争的风险。2.开展内部审批。根据来访单位或个人的要求，由业务部门深度审核，对所期望提取数据信息进行风险评估，并签署意见。经过公司综合管理部门法律、保密专业审批，对存在的法律风险和保密风险提出专业意见。最后经由分管领导审批。若某一环节意见不同意，则应充分说明答复来访的单位或个人不予提供及理由。防范了综合管理部门识别偏差，对重要核心企业信息数据把握不准，法律法规适用不准，保密制度把握不准等风险。3.协助调取数据。由数据信息所在的业务部门进行数据整理和统计，综合管理部门协助业务部门进行脱密化的工作，严控数据信息超出所需的范围和内容，协调数据调取过程中业务部门与来访单位或个人之间的沟通。防范了在数据制作过程中，业务部门直接面对社会第三方，导致数据不完整、超范围、沟通不畅或直接泄密的风险。4.制作清单目录。由业务部门完成数据的收集和统计，并发送至综合管理部门，由综合管理部门负责统计制作清单目录及数据内容。编制清单目录，由综合管理部门经办人、业务部门数据提供人、调取数据的经办人签字确认，并加盖单位公章和骑缝章，各执一份留底。防范了信息数据的不完整，保密责任主体不明确等风险。5.进行保密告知。所有数据信息内容原则上不提供电子版，并按照保密告知书模版，填写调取证据的依据、信息，明确数据信息的用途、使用限制，告知来访单位和个人做好保密工作，承担保密义务，承担保密责任，并留存备查。防范了保密工作责任落实不到位，经办人员、所需单位随意使用数据信息，造成秘密信息泄露或用于其他方面等风险。
（二）从“五步”应用实践案例看“四色”等级区别响应。1.“红色”等级响应“五步”全流程。实践案例：某律师到公司申请调取一家工业企业的用电数据、电费、股权变动等信息，但未提供案件相关法律文书。因涉及客户秘密，且有可能给客户造成巨大损失，故该事件被列为红色风险。公司综合管理部门从“验”的流程把关，保护客户信息不予提供，而后建议其申请法院司法调查，公司综合管理部门复印了相关文书及执法证件，通过内部审批部门，与业务部门密切配合，制作证据材料及清单，给予法院经办人保密告知，相关材料归档。2.“黄色”等级响应“验、审、调、告”流程。实践案例：某镇经济商贸科联系提供该镇全社会用电量及细分情况，用于衢州市对某镇开展经济责任制审计。因涉及区域电力电量问题，可能影响公司经营发展和市场开拓，故将该事件列为黄色风险。公司要求其出示公函，并提供审计的相关文件，并进行了完善的内部审批手续，经综合风险评估，给予提供并进行了保密告知。3.“蓝色”等级响应“验、调、告”流程。实践案例：某县发改部门为打造国家公园，推进相关建设，要求公司提供电力规划及相关用电信息。因该项工作为全县中心工作，应给予高度配合，且发改部门对经济发展规划及相关数据有法定的保密职责，故该事件被列为“蓝色”风险事件。经综合管理部门对来函的识别，故直接协助业务部门调取相关数据，告知发改部门保密义务后予以提供。4.“绿色”等级响应“验、调”。实践案例：某县国资委来函要求公司配合提供某水电站2010年以来的发电量，经第一步流程识别验证发现，该水电站为市属国资委划转到县国资委，目前所有权属于县国资委。因该情况属于查询自有产权的电站电量，风险较低，故该事件被列为“绿色”风险事件。综合管理部门协助业务部门对相关数据进行统计汇总并予以提供。
四、结语
基于实践中提炼的全过程规范流程，有利于实际工作的运用和开展，在分类分级分步的保密工作管理体系下，将能够有效地保护企业信息秘密，提升公司“非窗口业务”的规范性和流程性，防范法律风险、泄密风险。
