第7章 法律风险与合规

第 7 章 · 法律风险与合规

章节摘要：合规域的对手换了角色：前面六章防的是偷数据的，这一章防的是罚款、诉讼与业务禁令。本章讲三件事：全球主要法域对云上数据的要求怎么读懂、云服务合同里的安全条款怎么审、风险怎么量化成能上管理层的账。读完本章，你应当能在法务与工程师之间当翻译，把法条变成控制措施，把技术措施折算成风险语言。

学习目标

读完本章，你应当能够：

1. 说出主流数据保护法规的共同骨架（知情、最小化、留存、跨境、问责）与差异点。
2. 判断一套数据架构涉及的法域与跨境传输路径，列出落地要求。
3. 审查一份云服务合同的安全条款，找出缺项并提出修订建议。
4. 用事故通知条款倒推自家的事件响应时限是否符合合同与法规要求。
5. 定性与定量两种方法做风险评估，并解释各自适用场景。
6. 把风险处置四策略（缓解、转移、接受、规避）用在具体云上决策上。

核心概念速览

本章三节是从"规则文本"到"决策工具"的两级转换：法规与标准给出约束的来源，合同与 SLA 把约束落到交易关系里，风险评估把一切折算成可比较的量——管理层不读法条，但读得懂风险与钱。

金句：合规不是给系统贴封条，是提前和监管约定好"出事时我们能证明什么"。

子章节导航

• 7.1 全球法规与标准：不背法条，抓骨架——主流法规的共同原则、差异点与跨境传输规则，附法域判断的推演方法。
• 7.2 合同与 SLA 安全条款：云合同是安全责任的最后文本形态，逐条审关键安全条款，讲怎么用条款倒推运营时限。
• 7.3 风险评估与管理：定性与定量两条路线，风险处置四策略在云上决策中的用法，一份风险登记册的维护法。

子章节之间的逻辑关系

三节互为输入：法规要求决定合同必须写什么（7.1 输入 7.2），合同义务是风险评估的必选项（7.2 输入 7.3），而风险评估的结果反过来决定哪些法规风险要优先投入（7.3 回流 7.1）。技术侧的接口在 7.3——风险登记册里的技术项，直接引用第三章的数据分级与第六章的事件时限。

7.1 规则文本        7.2 交易文本        7.3 决策工具
 ┌────────────┐     ┌────────────┐     ┌────────────┐
 │ 法域与原则   │ --> │ 条款与时限   │ --> │ 量化与处置  │
 │ 跨境怎么判   │     │ 审计权怎么谈 │     │ 登记册怎么养 │
 └────────────┘     └────────────┘     └────────────┘
​

前置知识与后续延伸

前置：第三章数据分类分级（法域判断的对象）、第六章事件响应时限（合同条款的约束对象）。本章不需要法律专业背景，但需要一种新习惯：每学一个技术控制，问一句"它对应哪条外部要求"。

延伸：8.1 的行业框架与认证（把合规要求工程化的载体）、8.2 的服务商评估（合同条款的尽调来源）都在下一章。考试场景题里，合规域的题干最爱给一段业务描述考"适用哪个法域、违反了哪条义务"，答题动作是先找数据（什么数据、在哪、去哪）再套规则，与 7.1 的推演方法一致。

高频疑问与易错点

问：技术背景学合规域，最该补的能力是什么？ 翻译能力，双向的：把法条的抽象要求翻译成技术控制（"采取适当措施"翻译成哪几条配置），把技术事实翻译成风险语言（"日志只留七天"翻译成"无法满足追溯举证义务"）。合规域的考试场景题与真实工作都在考这门翻译，而不是考法条原文。

问：法规差异那么多，记住哪个版本？ 记骨架加差异变量（7.1 的框架），答题与实务都走"先对骨架、再查差异"两步。逐国背诵在考试里性价比极低，在实务里也过时极快——法规更新的频率远高于骨架演化的频率。合上本章前的最后一次自检：随便挑一个你所在系统的技术控制（比如某桶的加密配置），试着把它沿"法规条款、合同条目、风险条目"三个方向各说出一个出处——三个方向都能答上，合规域的三件工具就算真的上手了。

易错点：把合规当成合规团队的事。 合规的执行载体全部是技术动作——加密配置、日志留存、访问审批、通知时限，每一个都在前面六章的技术章节里。合规团队产出的是义务清单与证据要求，实现与举证靠技术与运营。本册把它放在倒数第二章，正是要你带着前六章的工具来读它。本章的推演主视角是"法务视角的技术人"：三节分别给一件工具——规则对照（7.1）、交易文本（7.2）、决策量尺（7.3），读完这三件，技术人与法务、审计、管理层的对话就有了共同的桌面。