数据有界　安全有责

——《中华人民共和国数据安全法》安全违规条款解读

质量诚信专栏　第【3】期

【导语】客户资料、项目数据、运维日志、测试记录——数据已经成为企业最核心的资产之一，也成为监管重点。《中华人民共和国数据安全法》确立了数据处理活动的安全义务与责任体系。本期质量诚信专栏围绕该法，梳理与日常业务最相关的义务条款、禁止性规定和罚则，帮助各部门明确边界、落实责任。

一、法律定位与适用主体

《数据安全法》于二零二一年六月十日经第十三届全国人民代表大会常务委员会第二十九次会议通过，自二零二一年九月一日起施行。这是我国数据安全领域的基础性法律，与《网络安全法》《个人信息保护法》共同构成数据治理的制度框架。

三部法律各有侧重：网络安全法规范网络运行安全与网络产品服务的安全义务；数据安全法规范数据处理活动本身，重点是数据全流程的安全管理与重要数据保护；个人信息保护法则聚焦个人信息权益。同一项业务活动往往同时受多部法律约束，合规判断不能只看一部法。

适用主体是“开展数据处理活动的组织、个人”。该法第三条将数据处理界定为数据的收集、存储、使用、加工、传输、提供、公开等行为。只要企业在业务中接触、保存、流转数据，即属于数据处理者；掌握重要数据的，还需承担更高义务。法律同时确立数据分类分级保护制度，对重要数据实行目录管理，这是判断义务轻重的起点。

二、义务与禁止性规定一览

下表按条款顺序列出与业务关系最直接的九项要求，可作为部门自查清单。

注：表内文字为条款要旨归纳，引用原文以《中华人民共和国数据安全法》为准。

三、数据处理者的基本义务

（一）全流程管理与教育培训

第二十七条是数据安全义务的总纲，把“保障数据安全”拆解为制度、培训、技术措施三个可检验的动作。

【第二十七条】开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。利用互联网等信息网络开展数据处理活动，应当在网络安全等级保护制度的基础上，履行上述数据安全保护义务。重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。

这一条有三层含义。第一层是制度：管理制度要覆盖数据从收集、存储、使用、加工、传输、提供到删除的全流程，而不是只写一段原则性表述。第二层是培训：数据安全教育培训要定期开展并留有记录，让岗位人员知道什么能做、什么不能做。第三层是技术措施：加密、备份、访问控制、脱敏、审计等要真正落地，而不是停留在方案里。

第二款针对重要数据处理者提出更高要求：必须明确数据安全负责人和管理机构。实践中常见的问题是“责任挂在部门、无人具体负责”，一旦发生事件，处置迟缓和报告延误往往由此产生。

（二）风险监测与事件处置

第二十九条把“事前监测、事中处置、事后报告”连成一条完整的责任链。

【第二十九条】开展数据处理活动应当加强风险监测，发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施；发生数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告。

条文用了两个“立即”：发现缺陷、漏洞立即补救，发生事件立即处置。这意味着企业在制度设计上必须预设响应路径——谁来判断事件等级、谁来决策止损、多久之内完成报告、对外如何告知用户。若等到事件扩大后再层层请示，很容易被认定为未及时处置。同时，“告知用户”与“向主管部门报告”是并列义务，不能只做其一。

（三）重要数据的特别义务

被认定掌握重要数据的企业，义务标准明显提高，第三十条对此作出专门规定。

【第三十条】重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。风险评估报告应当包括处理的重要数据的种类、数量，开展数据处理活动的情况，面临的数据安全风险及其应对措施等。

定期评估与报送是硬性动作，不是内部自查可替代。报告内容至少应覆盖四类信息：数据的种类与数量、处理活动情况、风险识别结果、应对措施。与之配套的是第三十一条对重要数据出境的要求——向境外提供重要数据，须遵守国家有关出境安全管理规定并依法履行相应程序，未经程序擅自传输，风险极高。

四、数据收集与流转的合规边界

（一）收集环节：来源必须正当

【第三十二条】任何组织、个人收集数据，应当采取合法、正当的方式，不得窃取或者以其他非法方式获取数据。法律、行政法规对收集、使用数据的目的、范围有规定的，应当在法律、行政法规规定的目的和范围内收集、使用数据。

这一条划出了两条边界：方式正当，目的与范围受限。技术部门尤需注意：通过网络爬取、接口抓取、合作方批量导入等方式获取的数据，若未取得授权或超出授权范围，即使数据本身公开可访问，也可能构成“以其他非法方式获取”。收集前应确认授权来源、采集范围与用途，并保留授权文件与记录。

（二）交易与中介环节：来源与身份双审核

【第三十三条】从事数据交易中介服务的机构提供服务，应当要求数据提供方说明数据来源，审核交易双方的身份，并留存审核、交易记录。

数据不是普通商品，交易链条上的每一环都要经得起追溯。涉及数据撮合、数据服务转售等业务时，应核验数据来源的合法性、交易双方的真实身份，并把审核过程与交易记录完整留存。此外，第三十四条要求依法需取得行政许可的数据处理相关服务，服务提供者必须先取得许可——资质问题不能靠事后补办解决。

（三）外部请求：配合调取与出境审批

第三十五条规定，公安机关、国家安全机关因依法维护国家安全或者侦查犯罪需要调取数据的，有关组织、个人应当予以配合。配合义务是法定的，内部应建立统一的受理、核验、响应和留痕流程，不得以“流程未走完”为由拖延，更不能隐匿、篡改、删除数据。

【第三十六条】中华人民共和国主管机关根据有关法律和中华人民共和国缔结或者参加的国际条约、协定，或者按照平等互惠原则，处理外国司法或者执法机构关于提供数据的请求。非经中华人民共和国主管机关批准，境内的组织、个人不得向外国司法或者执法机构提供存储于中华人民共和国境内的数据。

第三十六条是数据主权条款。境外监管机构、司法机构或合作方发来的数据调取函、调查问卷、审计取证要求，均属于需要审慎处理的事项。业务部门收到此类请求，应第一时间转法务与合规部门，由公司统一向主管机关请示，不得直接答复、不得先行提供数据。

五、监管措施与违法后果

除行政处罚外，法律还设置了约谈等监管措施。第四十四条规定，有关主管部门发现数据处理活动存在较大安全风险的，可以按照规定的权限和程序对有关组织、个人进行约谈，并要求采取措施整改、消除隐患。约谈虽非处罚，但会形成监管记录，往往是小问题演变为立案调查的前置信号。

下表列出与前述义务直接对应的主要罚则，罚款以“组织＋责任人”双罚方式呈现。

注：表内为罚则要旨归纳，具体适用以法律文本及主管部门认定为准；涉及个人信息、网络安全的，还可能同时适用其他法律。

从罚则结构看，有三个特点值得注意。其一，基础义务违规的起罚点不高，但“拒不改正”或“造成大量数据泄露”会直接跳档到五十万元以上，整改是否及时、是否有效，直接决定处罚幅度。其二，出境与境外提供数据的条款罚款上限最高，反映监管重点。其三，单位与责任人同时被罚，直接负责的主管人员难以置身事外；行政处罚信息依法公示并记入信用记录，还会影响投标资格与供应商准入。

六、企业数据安全落实要点

结合上述条款，各部门应重点做好以下六方面工作。

（一）摸清数据家底。按分类分级要求梳理各业务系统的数据资产，识别是否涉及重要数据，形成数据清单与责任清单；新增系统、新增业务同步更新清单，避免“说不清有什么数据”。

（二）健全制度与培训。完善覆盖收集、存储、使用、加工、传输、提供、公开、删除全流程的管理制度与操作规程；每年组织数据安全培训并留存记录，重点岗位单独考核。

（三）强化风险监测与事件处置。部署数据访问审计、异常行为告警与泄露检测；明确事件分级标准、处置权限、报告时限与对外告知口径，定期演练并复盘改进。

（四）落实重要数据专项要求。明确数据安全负责人与管理机构，按规定开展年度风险评估并报送报告；梳理数据出境场景，未经法定程序不向境外提供重要数据。

（五）管住来源与流转。采集数据前确认授权与范围，保留授权文件；对外提供、共享、委托处理须经审批并签订数据保护条款；涉及数据交易中介业务的，严格审核来源与主体身份并留存记录。

（六）规范外部请求响应。建立监管调取数据的统一受理与配合流程；境外司法、执法机构的请求一律转法务合规，未经主管机关批准不提供任何境内数据。

七、结语

数据安全不是一道选择题，而是一条必须守住的底线。制度有人负责、风险监测到位、事件处置及时、来源流转清楚、外部请求按程序办理——这些基础动作做扎实，企业才能在数据合规上站得稳。

数据有界，安全有责。希望全体同事以法为尺、以责为重，把数据安全要求落到每一个系统、每一个流程、每一个岗位，共同守护客户信任与企业信誉。

文末附《中华人民共和国数据安全法》全文链接或二维码，并与《网络安全法》《个人信息保护法》相关文章形成专栏系列，便于读者对照查阅。

（本文条款引用依据现行《中华人民共和国数据安全法》整理，供内部普法与对外宣传使用；具体适用以法律文本及主管部门解释为准。）