政府法律顾问视角下的数据合规“三不原则”：从一起行政处罚撤销案谈起

数据合规领域正在经历一场静默的范式转换啦。过去几年，企业面对监管检查时的惯性思维是“少说少错”，律师出具法律意见时也常陷入两难——既要提示风险，又担心过度警示导致客户流失。2024年某省高院一则行政处罚撤销判决，将这种张力推到了台前，也为政府法律顾问参与企业数据合规提供了明确的执业坐标。

案件的主角是一家年营收刚过亿的跨境电商企业。2023年初，当地网信部门在专项整治中认定该公司“未履行数据安全保护义务”，依据《数据安全法》第二十七条、第四十五条作出罚款八十万元的行政处罚。企业委托律师提起行政诉讼，代理律所在查阅卷宗时发现一个关键细节：监管部门取证时使用的《数据安全风险评估报告》系委托第三方机构出具，但该机构在报告中以“初步判断”“可能存在”等措辞描述企业数据出境风险，并未载明具体违法事实、证据来源和判定依据。更耐人寻味的是，监管部门在作出处罚前，曾口头要求企业“限期整改”，但整改标准模糊，企业按要求补充了三项制度文件后仍被处罚。

代理律师的核心诉讼策略并非否认企业存在合规瑕疵，而是聚焦行政行为的证据基础。庭审中，律师指出：行政处罚所依据的评估报告属于专家意见性质，不能替代行政机关对违法事实的独立审查；报告中“可能存在风险”的表述，在证据法上仅构成线索，而非《行政处罚法》第四十条要求的“违法事实清楚、证据确凿”。法院最终采纳了这一观点，判决撤销行政处罚决定，责令重新作出处理。判决书中的一段论述颇具分量：行政机关借助第三方专业力量辅助执法时，对专业意见的采纳应当说明理由，对意见中的不确定表述不得直接转化为处罚依据。

这起案件表面上是一起普通的行政处罚争议，实则触及数据合规治理中一个结构性难题——政府法律顾问如何在企业合规与行政监管之间找准定位。传统顾问模式中，律师往往要么站在企业一侧“对抗”监管，要么替行政机关“背书”执法行为。而数据合规的特殊性在于，技术判断与法律判断高度交织，行政机关需要专业支撑，企业也需要合规指引，两者之间的信息不对称恰恰是“夸大风险”“隐瞒瑕疵”“诱导规避”三类问题的温床。

所谓“不夸大”，指向的是风险评估的边界。在上述案件中，第三方机构将“初步判断”写进评估报告，监管部门将其作为处罚依据，本质上是将不确定性夸大为确定性。政府法律顾问在参与合规评估或协助执法时，应当明确区分“风险提示”与“违法认定”两个层次，避免用模糊表述替代证据审查。实务中，顾问律师出具意见时常见的问题是，为体现审慎而过度使用警示性语言，导致企业要么过度反应、要么对真正风险麻木。不夸大的要义在于，每一项风险判断都应有可追溯的事实基础和明确的规范依据。

“不隐瞒”则直指信息披露的真实性。数据合规涉及企业核心商业秘密，顾问律师在协助企业向监管部门报送材料时，常面临“报多少”的纠结。隐瞒的代价在另一起仲裁案中体现得格外明显：某金融科技公司在申请数据出境安全评估时，未完整披露其与境外关联方的数据共享安排，评估通过后被监管部门发现，不仅出境通道被暂停，公司还因“提供虚假材料”被列入失信记录。政府法律顾问的价值恰恰在于，帮助企业建立“最小必要但完整真实”的披露框架，既不因过度披露而损害商业利益，也不因刻意隐瞒而埋下合规隐患。

“不诱导”针对的是合规咨询中的立场偏移。数据合规顾问容易陷入一种角色错位：为了帮助企业“过关”，设计形式上合规、实质上规避监管的方案。比如建议企业将数据存储于境外服务器以规避境内监管，或通过拆分业务主体使数据处理活动“看起来”不属于监管范围。这类方案短期看似有效，一旦监管穿透审查，企业面临的不只是行政处罚，还可能触及刑事责任。政府法律顾问的执业伦理要求，在提供合规方案时必须守住“实质合规”底线，对规避性安排明确说“不”，而非迎合客户需求设计灰色路径。

回到那起撤销处罚案，法院判决后，当地网信部门重新组织了评估，这次邀请政府法律顾问全程参与。顾问律师在重新评估中做了一件关键的事：将原报告中所有“可能存在”的表述逐一拆解，要求评估机构对每一项风险提供具体事实描述、法律依据和整改建议，无法提供的从报告中删除。重新作出的处理决定仅针对查证属实的两项制度缺失，罚款金额降至八万元。企业接受了处罚，并在顾问指导下完成了实质性整改。这个结局比判决本身更有启示：政府法律顾问的价值不在于帮谁“赢”，而在于让合规判断回归事实与规范。

数据合规治理正在从“运动式监管”走向“精细化治理”，政府法律顾问的角色也随之从“救火队员”转变为“规则翻译者”——把技术语言翻译成法律语言，把监管要求翻译成企业可执行的合规动作。三不原则看似朴素，实则是这一角色转换的底线要求。不夸大，才能让风险评估可信；不隐瞒，才能让信息披露有效；不诱导，才能让合规方案经得起穿透审查。对于企业法务和律师同行而言，这九个字既是执业风险的警示线，也是专业价值的试金石。