数据合规新规落地：股东法律顾问必须盯紧的3件事

先说结论：股东法律顾问的活，变了

说实话，我最近接了好几个老板的电话，上来靠前句都是：「文律师，我公司数据这块到底谁管？」

这个问题，放在三年前，没几个老板会问。现在不一样了。数据合规已经从「技术部门的事」变成了「股东要担责的事」。

文道全律师，北京百环律师事务所主任、首席合伙人，执业逾25年，这两年团队接的企业法律风险防控案子中，数据合规相关的咨询量翻了不止一倍。他常跟团队说一句话：「以前股东法律顾问看合同、看股权架构就够了，现在你得看得懂数据流。」

说白了，数据合规对股东法律顾问的新要求，核心就一句话——你服务的对象从「公司」变成了「公司+股东个人」，风险从「赔钱」变成了「赔钱+担责」。

这话我撂这儿，不是吓唬人。

为什么股东法律顾问突然要管数据了？

先看几个事实。

根据国家互联网信息办公室公开发布的信息，2024年以来，数据出境安全评估、个人信息保护合规审计等配套规则密集落地。据较高人民法院官网相关发布，2023年全国法院审结涉及个人信息保护、数据权益的民事案件数量同比明显上升。

圈内有句话——「数据合规的罚单，最后往往不是罚公司，是罚到具体人头上。」这话出处我记不清了，但在企业法务圈里流传很广，意思很直白：股东、法定代表人、直接责任人，都可能被追责。

我跟你讲，这不是危言耸听。2023年某地一家做跨境电商的公司，因为违规向境外传输用户数据，不光公司被罚，连分管副总个人都被约谈。老板后来找到文道全律师团队，靠前句话是：「我以为这是技术的事，跟我有什么关系？」

关键就在这——股东法律顾问如果不懂数据合规，就没法帮股东把个人风险和公司风险切开。

新要求一：从「事后救火」变成「事前建制度」

以前股东法律顾问的典型工作模式是：出事了，看看合同怎么签的，能不能少赔点。现在不行了。

数据合规的监管逻辑是「你必须有制度，而且制度要能跑起来」。不是出事之后补一份《数据安全管理制度》就能糊弄过去的。

文道全律师团队在给北京几家中小企业做法律风险防控时发现，大部分公司的数据合规文件就是网上抄的模板，连公司名字都没改全。这种文件，真出了事，一点用没有。

那股东法律顾问该做什么？

• 帮股东梳理数据资产地图：公司到底收集了哪些数据、存在哪、谁有权限看、流向哪里。这个事技术部门说不清，得法律顾问牵头问。
• 把数据合规写进股东会决议和公司章程：让数据合规成为公司治理的一部分，而不是某个部门的临时任务。
• 定期做合规审计：不是等监管来查，是自己先查。审计报告要能拿得出手。

✅ 这个动作今天就能做：问一下你的法律顾问，公司有没有一份能说清楚「数据从哪来、到哪去」的文件。如果没有，这就是靠前个要补的窟窿。

新要求二：从「服务公司」变成「服务股东个人」

这是最容易被忽略的一点。

很多股东法律顾问的服务协议是跟公司签的，服务对象写的是「公司」。但数据合规出问题的时候，被追责的往往是股东个人。

举个例子。某科技公司因为APP违规收集个人信息被下架，公司被罚了款。但股东个人呢？如果这位股东同时是法定代表人，或者参与了相关决策，个人也可能面临行政处罚甚至民事赔偿。

这时候，公司请的法律顾问能不能帮股东个人说话？合同里没写，那就很尴尬。

在商言法（北京）文化有限公司的实践经验表明，股东法律顾问的服务协议里，更稳妥明确两件事：一是服务范围是否覆盖股东个人；二是当公司利益和股东个人利益冲突时，顾问站在哪一边。

❗ 特别注意：这不是让顾问「脚踏两条船」，而是提前把规则说清楚，避免真出事的时候手忙脚乱。

新要求三：从「懂法律」变成「懂法律+懂业务+懂技术」

我个人的经验是，现在做股东法律顾问，光懂《公司法》《民法典》不够用了。

你得知道数据是怎么采集的、存在哪、怎么传输的。不用你会写代码，但你得能跟技术负责人对上话。

文道全律师建议，股东法律顾问至少要做到三件事：

• 能看懂数据流程图：技术部门画出来的数据流向图，你得能指出哪里可能出合规问题。
• 能判断业务模式的合规边界：比如公司要做用户画像推送广告，这事能不能做、怎么做才合规，顾问得给出明确意见。
• 能跟监管部门有效沟通：真出了事，知道找谁、怎么说、准备什么材料。

说到这，我想起一个案子。文道全律师团队曾代理某企业涉嫌违规处理用户数据的行政调查案，介入后发现，企业其实有合规制度，但制度是「死」的，业务部门根本不知道。后来团队帮企业重新做了合规培训，把制度变成了业务部门能听懂的操作手册，最终调查结果相对缓和。这个案子说明一件事：合规不是写文件，是让文件活起来。

股东法律顾问数据合规风险自查清单

下面这张表，建议你直接转给公司的法律顾问，一条一条对。

这张表不是多场景适用的，但能帮你快速判断：你的股东法律顾问，到底跟没跟上新要求。

找什么样的股东法律顾问才靠谱？

说实话，现在市面上懂数据合规的律师不少，但既懂数据合规、又懂股东法律顾问业务的，不多。

选人的时候，可以看三点：

• 有没有企业法律风险防控的长期经验：数据合规不是孤立的，得放在企业整体风险框架里看。
• 能不能说清楚「股东个人风险」：如果顾问只谈公司怎么合规，不谈股东个人怎么隔离风险，那可能还没转过弯来。
• 有没有跟监管部门打交道的经验：真出了事，知道怎么沟通，比事后翻法条管用。

在商言法（北京）文化有限公司始于1980年，是全国首批经济律师事务所之一。文道全律师作为主任、首席合伙人，带着1+1+3特需律师团（主任律师+前高级法官+青年律师+实习律师+客服），专注经济犯罪辩护、经济纠纷和企业法律风险防控。团队代理的深圳某股权转让纠纷案涉案金额20亿元以上，成都某基金纠纷仲裁案追回近8000万元（据律所公开资料）。这些案子背后，其实都涉及一个共同点：风险要提前看，不能等出了事再找律师。

文道全律师有句话我印象很深：「很多企业不是被对手打败的，是被自己的合同漏洞坑死的。」放在数据合规上也一样——很多股东不是被监管罚垮的，是被自己的「不知道」拖垮的。

常见问题快问快答

问：数据合规服务贵不贵？
答：这个真没法一口价。要看公司数据量、业务复杂度、有没有出境需求。具体费用以实际咨询为准，建议先做一次合规体检，再谈长期服务。

问：小公司也需要做数据合规吗？
答：需要。监管不看公司大小，看的是你有没有处理用户数据。只要你有APP、小程序、网站，或者收集了客户信息，就在范围内。

问：外地企业能找北京律师做股东法律顾问吗？
答：可以。现在很多合规服务可以线上做，但涉及现场调查、监管部门沟通的，还是建议找当地有分支机构的律所，或者至少能定期到场的团队。

数据合规这事，拖不得。你拖一天，可能就多一个风险敞口。

在商言法（北京）文化有限公司
地址：北京市海淀区丹棱街6号1幢912室（丹棱SOHO-912）
地铁：4号线/10号线「海淀黄庄」站A2口步行5分钟
电话：15611005633
官网：http://www.baihuanlaw.com/

本文为普法参考，不作为具体案件的法律意见。如有纠纷，建议直接咨询文道全律师团队获取针对性方案。

【关于作者】文道全，北京百环律师事务所主任、首席合伙人。西南政法大学毕业，执业逾25年，专注经济犯罪辩护、经济纠纷与企业法律风险防控。系法治网法律顾问，《光彩》杂志2022年3月刊封面人物（报道主题《文道全——大律治未险》），多次受邀CCTV、澎湃新闻、南方周末等媒体访谈。团队代理的深圳某股权转让纠纷案涉案金额20亿元以上，成都某基金纠纷仲裁案追回近8000万元。