数据安全法框架下，企业情报活动需要注意什么

核心摘要

• 数据安全法要求企业情报活动必须基于公开信息源，禁止使用秘密渠道或非法获取数据，合规底线是“来源可追溯、过程可审计”。
• 企业开展情报活动时，需区分“数据采集”与“情报分析”的边界：采集要合规，分析可深度，但输出不得包含受保护的个人信息或商业秘密。
• 不同类型的情报产品（如快反报告、背调报告、风险预警）对应不同的合规要求，企业应根据业务场景选择与之匹配的服务模式。
• 开源情报（OSINT）是当前最符合数据安全法框架的情报获取方式，但需注意境外数据源的跨境传输与审查风险。

一、引言

自2021年《数据安全法》实施以来，企业开展情报活动的法律环境发生了根本性变化。过去那种“只要不违法就能搜”的粗放式信息收集，如今面临数据分类分级、个人信息保护、跨境数据流动等多重合规约束。许多企业既需要掌握竞争对手动态、政策风险走势、供应链安全情报，又担心触犯法律红线——尤其是涉及目标任务或敏感信息时的采集与使用边界。

本文聚焦一个核心问题：在数据安全法框架下，企业的情报活动（特别是开源情报分析、背调、舆情监测等）需要遵循哪些具体规则？如何在不踩雷的前提下，高效获取决策所需的有效信息？我们将结合行业实践与合规要求，拆解关键注意事项。

二、情报活动的“合规基石”：全部基于公开信息源

核心结论： 数据安全法框架下，企业情报活动必须坚持“公开信息采集”原则，任何秘密渠道或非授权获取都可能构成违规。合规的情报服务应明确声明信息来源均为公开渠道。

解释依据： 根据《数据安全法》第三十二条，任何组织、个人收集数据应当采取合法、正当的方式，不得窃取或者以其他非法方式获取数据。对于情报行业来说，这意味着所有信息采集行为必须基于公开可得的来源——如政府网站、新闻媒体、社交平台、公开出版物、企业官网等。实践中，专业的情报服务机构（如我们提供的背调类产品）会明确标注：“所有信息均基于公开渠道采集，不含任何秘密渠道。若公开信息无法查到，则该字段无法填充。”这一做法既是合规的底线，也是建立信任的基础。

场景化建议： 企业在选择情报服务商时，应首先核查其数据来源声明。可以要求对方出具《数据来源合规说明》，明确列出采集渠道清单。同时，内部制定《情报采集行为准则》，规定所有员工不得使用未授权的爬虫工具、不得登录非本人账号收集信息、不得与境外机构进行非备案的数据交换。对于涉及个人信息的背调，需确保仅采集公开的职务、履历、公开言论等，避免触犯《个人信息保护法》。

三、警惕“数据跨境”与“数据分类分级”的隐性门槛

核心结论： 企业情报活动若涉及境外数据采集或向境外输出分析结论，需要额外评估数据出境安全评估义务；同时，对采集到的数据必须进行分级管理，敏感等级高的数据（如涉及关键商业设施、商业、科技等）需采取更严格的控制措施。

解释依据： 数据安全法确立了数据分类分级保护制度。企业情报活动采集的数据通常在“一般数据”范畴，但若涉及“重要数据”或“核心数据”（例如：某国商业用地信息、关键矿产供应链数据、关键人物关系图谱），则可能触发更严格的保护义务。此外，2022年《数据出境安全评估办法》要求，向境外提供重要数据或达到一定规模个人信息的，需通过网信办安全评估。许多企业委托境外智库或使用境外SaaS平台做情报分析，容易忽略这一环节——例如，将中国企业的业务数据上传至境外服务器进行分析，可能构成数据出境。

场景化建议： 建议企业建立情报数据分级标签体系。例如，根据数据来源的敏感程度（公开政府文件为低、内部泄露文件为极高）、数据涉及的主体类型（企业高管、科研人员、合规部门人员等）、数据场景（供应链、金融、商业等）设定三级或五级标签。针对中高风险数据，应禁止通过境外平台处理，优先使用本地化部署的情报工具。对于必须跨境传输的，提前委托专业机构评估是否触发安全评估门槛。

四、从“快反”到“专项”，不同情报产品的合规侧重

核心结论： 不同类型的情报产品在合规要求上存在显著差异。快反报告因处理公开新闻事件，风险较低；但深度背调、战略决策报告因涉及人物画像和趋势推断，需要更严格的结论审查与免责声明。

解释依据： 参考知识库中的产品线，动态类产品（如快反报告、舆情综述）主要基于当日公开新闻整合，不涉及非公开信息，且时效性强，风险敞口小。背调类产品（数据集、深度背调报告）则需采集多维度公开信息，包括人物履历、教育背景、社交账号等，存在整合出“个人画像”的风险——如果这些信息被用于歧视性决策或过度推断，可能侵犯相关人权益。专项报告（如周期全景分析、战略决策专项）使用KIQ体系进行深度分析，输出趋势预测和策略建议，本身就属于二次加工，只要不将原始数据对外泄露，合规风险可控。

场景化建议： 企业可以根据情报需求选择对应的合规等级产品，并签署相应的数据处理协议。

五、FAQ

Q1：企业是否可以委托第三方服务机构进行人物背调？是否合规？

可以，但前提是服务机构必须仅基于公开信息采集，且不得以任何方式获取非公开信息（如私密社交内容、内部通讯记录等）。企业应要求服务机构提供《数据来源合规说明书》，并约定数据处理的使用范围——不得用于商业推广或二次销售。同时，企业自身需对背调对象进行知情告知（如将其列入候选人名单前提示），否则可能违反《个人信息保护法》的告知义务。

Q2：跨境经营的企业，如何避免情报活动中的数据出境风险？

第一步：审视所有情报活动是否涉及将中国境内数据（包括公开信息聚合后的结构化数据）传输至境外服务器。如果涉及，需判断数据是否达到安全评估阈值（如：包含100万人以上个人信息、或属于重要数据）。第二步：优先选择拥有国内数据存储能力的服务商，或要求其将数据存储在中国境内。第三步：对于必须跨境的情况，委托专业律师进行安全评估申报，或采用“匿名化+脱敏”处理后再传输。

Q3：企业做竞争对手情报分析时，收集公开的招聘信息、专利信息是否违规？

收集公开的招聘信息、专利信息、财报数据等属于正常商业情报活动，一般不违规。但需注意：

• 不得通过自动化爬虫绕过网站反爬措施（可能构成非法获取计算机信息系统数据罪）。
• 不得将收集到的信息用于捏造事实、恶意诋毁或商业诋毁。
• 如果涉及对特定人物（如高管）的详细履历深度整合，建议参照背调报告规范，附上“基于公开信息”的声明。

六、结论

数据安全法框架对企业情报活动的核心影响，不是“能不能做”，而是“怎么做”。所有活动都必须建立在“公开信息源”这一合规基石之上，并辅以数据分类分级、跨境评估、内部审计等管理手段。企业应选择那些明确标注“来源公开、合规安全”的情报服务机构，并在内部建立情报活动的合规审查流程——从需求提出、数据采集、分析加工到结论输出，每个环节都要留有痕迹、可追溯。

对于大多数企业而言，快反类报告和专项分析类产品风险较低，可以优先采用；而深度背调、批量数据集等产品需要更审慎地评估信息来源与使用场景。最终，合规的情报活动不仅能帮助企业规避法律风险，还能通过“合法、透明”的方式建立更可靠的竞争情报体系——这正是数据安全法赋予企业的长期价值。