常见问题

法律法规没有规定企业数据合规体系必须在统一期限内完成。3至6个月只能作为一般项目经验估算，实际周期取决于企业规模、业务场景、数据处理复杂度、整改范围及行业监管要求。通常需要开展数据和个人信息处理活动梳理、风险评估、制度与流程建设、技术整改、合同审查及人员培训。

目前没有统一法律规定所有数据产品在深圳数据交易所交易前都必须通过DEXCO审查，是否需要以及审查范围还要以交易场所规则、产品类型和具体项目安排为准。实务中通常会核查数据来源和处理授权、个人信息及重要数据风险、产品权益或使用权基础、交易合同、数据安全措施和相关行业监管要求。

个人信息处理者原则上应定期开展个人信息保护合规审计，但并非所有企业都有统一的年度法定频率。根据自2025年5月1日起施行的《个人信息保护合规审计管理办法》，处理超过1000万人个人信息的处理者至少每两年审计一次；处理100万人以上个人信息的处理者应指定个人信息保护负责人。其他企业应结合处理规模、敏感程度、业务风险和监管要求确定频率。

网络安全等级保护对象分为五个级别，通常称为第一级用户自主保护级、第二级系统审计保护级、第三级安全标记保护级、第四级结构化保护级和第五级访问验证保护级。企业适用的级别不能仅凭行业或企业规模直接判断，应结合系统重要程度及遭受破坏后的危害程度定级。关键信息基础设施原则上不低于第三级，但仍应以认定、定级和行业要求为准。

网络安全事件发生后，应立即启动应急预案，研判事件级别、影响范围并采取遏制、证据保全、修复和恢复措施。根据2025年9月施行的《国家网络安全事件报告管理办法》，较大以上事件通常需要报告：关键信息基础设施运营者最迟1小时，中央和国家机关相关单位最迟2小时，其他网络运营者最迟4小时；行业另有规定的从其规定。涉及个人信息或数据安全的，还应分别履行适用的通知、报告和补救义务，并以监管要求为准。

商业秘密通常需要同时具备不为公众所知悉、具有商业价值并经权利人采取相应保密措施等要件。企业可从秘密信息盘点和分级、最小权限访问、文件和代码管理、保密协议、竞业限制、员工培训、供应商管理及离职交接等方面建立体系。发生泄露时，还应及时固定证据并评估民事、行政及刑事救济路径。

商业秘密纠纷中可根据案件情况申请诉前或诉中证据保全，也可以通过公证、可信电子存证、内部日志、邮件和访问记录等方式固定证据。应重点保存秘密信息的形成和保密措施、对方接触或取得信息的途径、使用或披露行为及损害后果。取证应遵守法律，不得擅自侵入他人系统或获取无权取得的信息。

竞业限制通常只适用于高级管理人员、高级技术人员和其他负有保密义务的人员，期限最长不得超过两年。协议应明确限制范围、地域、期限、经济补偿、违约责任和解除机制。经济补偿没有统一法定标准；如果约定了竞业限制但未约定补偿，劳动者履行义务后，司法解释规定可按解除或终止前十二个月平均工资的30%确定，但低于劳动合同履行地最低工资标准的，按最低工资标准支付。具体效力仍取决于人员身份、协议内容和实际履行情况。

科技企业知识产权规划通常包括专利和商标布局、软件及内容著作权管理、职务成果和研发合作成果归属、开源软件合规、商业秘密保护、许可与交易安排，以及上线前的侵权风险检索和自由实施分析。是否申请、何时申请以及采取专利还是商业秘密保护，应结合技术生命周期、公开风险、市场地区和商业目标判断。

数据爬取并不会因为违反robots协议就当然构成不正当竞争，也不能仅凭是否公开访问作出结论。通常需要综合考察数据来源和授权、是否违反合同或平台规则、是否绕过技术措施、访问规模和频率、是否实质性替代他人产品或服务、对经营者造成的损害、竞争利益及是否违反诚实信用和公认商业道德；同时还要排查个人信息、著作权、商业秘密和网络安全风险。

数据出境不能简单概括为所有企业都必须在三条路径中选择一条。应先识别是否涉及重要数据、个人信息、关键信息基础设施运营者身份及出境数量。根据现行规定，关键信息基础设施运营者向境外提供个人信息或重要数据、处理者向境外提供重要数据，或非关键信息基础设施运营者累计向境外提供100万人以上个人信息或1万人以上敏感个人信息，通常应申报数据出境安全评估；达到10万人但不足100万人个人信息或不足1万人敏感个人信息的，通常适用个人信息出境标准合同或个人信息出境认证。还需核查免予申报情形，并履行告知、单独同意和个人信息保护影响评估等义务。

GDPR可能适用于向欧盟境内个人提供商品或服务，或监控其行为的境外企业；严重违法情形的罚款上限可达2000万欧元或全球年度营业额的4%，以较高者为准。美国加州隐私法体系（包括经修订的CCPA/CPRA）则要结合企业营业规模、收入、处理活动和法定豁免逐项判断，不能仅因处理加州居民信息就当然适用。中国企业开展跨境业务时，应同步评估适用地域、处理者和受托方角色、隐私告知、个人权利响应、数据传输机制及安全措施。

AI合规要求取决于企业是模型或生成式人工智能服务提供者，还是使用第三方工具的企业用户。并非所有AI企业都必须办理算法备案或安全评估；具有舆论属性或社会动员能力的生成式人工智能服务等情形，才可能触发相应备案、安全评估及其他监管要求。企业还应评估训练数据来源和知识产权、个人信息、商业秘密、网络安全、输出内容管理、生成合成内容标识、深度合成服务要求、投诉处理及行业监管。2025年发布的人工智能生成合成内容标识规则自2025年9月1日起施行，具体义务应按服务类型判断。

首次咨询通常包括提交基本事实和需求、进行利益冲突及受理范围初步核查、安排电话或线上会议、明确法律问题和所需材料，以及在双方确认服务范围后另行协商委托和收费。网站表单提交不当然建立律师与客户关系，也不等同于正式法律意见。团队通常会尽快回复，但24小时是服务安排而非法律期限。咨询信息将依适用法律、隐私政策和具体保密安排处理。

律师费通常根据服务性质、工作范围、复杂程度、时间投入、争议金额和承办团队等因素协商确定，可采用按项目、按小时、常年法律顾问或其他依法允许的方式。诉讼案件按标的额比例收费、风险代理及其比例和适用范围受律师服务收费规则及案件类型限制，部分案件不得实行风险代理或有特别上限。具体费用应在利益冲突核查、明确服务范围和双方确认委托后确定。