国内外法规与合规要求
这一章我们聊聊法规。说实话，做敏感数据识别的人要是看不懂法规，那真的寸步难行。我见过太多项目因为合规问题翻车——有的是上线前被叫停，有的是被罚到怀疑人生。你想想看，连数据长什么样都还没搞清楚，就先踩了法规的红线，这多冤。
所以我的习惯是：先看规则，再谈技术。选型之前，先把你所在行业的合规清单拉出来，再倒推需要识别哪些敏感数据类型。这样做，后面才不会返工。
下面这四部法规/标准，是咱们做敏感数据识别的"必修课"。每一个我都亲手在项目里对标过，踩过坑，也填过坑。
2.1 GDPR —— 欧洲的"数据长臂"
GDPR 全称 General Data Protection Regulation，2018 年生效。它最大的特点就是域外管辖——只要你的系统里涉及到欧盟公民的个人数据，不管服务器在哪儿，都得遵守。说白了，这是一条"长臂管辖"的法规。
我之前帮一家跨境电商做敏感数据识别选型，对方说"我们用户都在国内，GDPR 跟我们没关系"。结果一查，他们的会员系统里存了三千多个欧盟籍用户的收货地址和电话……嗯，后来老老实实把 GDPR 合规加进了需求里。
GDPR 对敏感数据识别的影响，我归纳了三点：
- 识别范围要广：姓名、身份证号、位置数据、生物信息、健康数据、性取向、政治观点……统统算"个人数据"，一个都不能漏。
- 删除权（被遗忘权）：用户要求删除数据时，你得知道数据散落在哪些表、哪些字段里。识别不到，就删不干净。
- 数据可携权：用户要把数据迁移到其他平台，你得能准确提取出跟他相关的全部数据。这要求敏感数据识别做得很细。
关键指标：GDPR 罚款上限是 全球年营收的 4% 或 2000 万欧元（取高者）。这不是闹着玩的。
2.2 数据安全法 —— 国家级的"数据护城河"
《数据安全法》2021 年 9 月 1 日正式施行。这是我国数据安全领域的基础性法律。它的核心逻辑是：数据要分类分级，不同等级的数据要有不同的保护措施。
我记得有个做政务大数据项目的朋友，他们当初做敏感数据识别时只扫了"身份证号、手机号"这种常规字段。结果等保测评时发现，系统里存了大量"宏观经济指标"和"人口统计数据"——这些属于重要数据，按数据安全法要求必须做专项识别和分级管控。嗯，他们后来补了三个月的课。
数据安全法对敏感数据识别的具体要求：
- 建立分类分级制度：你得有一套自动化的识别规则，能把数据分成"一般数据、重要数据、核心数据"三个层级。
- 重要数据目录：行业监管部门会发布重要数据目录，你的识别能力要能匹配这个目录，不能有遗漏。
- 数据安全审查：处理重要数据的系统，在采购敏感数据识别工具时，要评估工具本身的安全性——能不能识别出重要数据？识别的准确率够不够？
我曾经翻过一个错：在某个金融项目中，我们只关注了"客户个人信息"，忽略了"交易流水数据"属于重要数据。后来被监管要求整改，整个识别的规则库重做了一遍。所以做识别之前，一定要先看行业的重要数据识别指南。
2.3 个人信息保护法 —— 每个人的"数据盾牌"
《个人信息保护法》2021 年 11 月 1 日施行。它被称作"中国版 GDPR"，但在很多地方比 GDPR 更细。我个人的理解是：个保法把"告知-同意"原则写到了极致。
个保法对敏感数据识别的核心影响，集中在敏感个人信息的界定上。法律第 28 条明确列举了：生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等——这些一旦泄露或非法使用，就会导致个人的人格尊严或人身财产安全受到侵害。
所以做敏感数据识别时，你得能区分"一般个人信息"和"敏感个人信息"。这两者的处理规则完全不同：
| 对比维度 | 一般个人信息 | 敏感个人信息 |
|---|---|---|
| 识别难度 | 较低，常见正则即可覆盖 | 较高，需要语义理解 + 上下文分析 |
| 处理前提 | 告知 + 同意 | 告知 + 单独同意 + 必要性说明 |
| 影响评估 | 通常不需要 | 必须做个人信息保护影响评估（PIA） |
| 存储要求 | 常规加密即可 | 建议使用更高级别的加密或脱敏 |
你想想看，如果你的识别工具只能扫出"姓名、电话"，却识别不出"人脸特征"或"医疗诊断记录"，那在个保法面前就是裸奔。
2.4 等保 2.0 —— 网络安全的"准入证"
等保 2.0 全称《网络安全等级保护制度 2.0》，2019 年 12 月 1 日正式实施。它跟前面三部法规不一样：它更侧重"系统防护能力"，而不是"数据本身的属性"。
但等保 2.0 跟敏感数据识别有交集吗？有，而且不小。等保 2.0 在安全通用要求里明确写了：要对数据进行分类分级，并对不同等级的数据采取差异化的访问控制策略。
我在一个政府项目中就遇到过这个场景：等保测评时，评测机构要求我们提供"数据资产清单"和"敏感数据分布图"。当时我们用的是自己写的一套扫描脚本，结果只能扫出结构化数据里的身份证号，非结构化文档里的敏感内容完全没覆盖。嗯，那次测评被扣了分。
等保 2.0 对敏感数据识别能力的要求，我总结成三条：
- 资产底数要清：你得知道系统里有哪些数据库、哪些文件服务器、哪些大数据平台。这是识别的前提。
- 分级标识要准：识别出来后，要能自动打上等级标签（一级到四级），方便后续做访问控制。
- 日志审计要全：谁在什么时候访问了什么级别的数据，都要能记录下来。这要求识别工具能跟审计系统联动。
一个小建议：如果你的客户是政府或关键信息基础设施单位，选型时优先看那些有等保三级或四级认证的敏感数据识别产品。这样客户自己过等保时会省很多事。
四部法规/标准的定位对比
为了帮你快速理清这四者的关系，我做了一张对比表。我个人建议把它贴在工位上，选型时随时瞄一眼：
| 法规/标准 | 核心定位 | 对敏感数据识别的核心要求 | 典型处罚/后果 |
|---|---|---|---|
| GDPR | 个人数据保护 | 全量识别、可删除、可导出 | 全球营收 4% 或 2000 万欧元 |
| 数据安全法 | 数据安全治理 | 分类分级、重要数据目录匹配 | 最高 1000 万元罚款 + 停业整顿 |
| 个人信息保护法 | 个人信息权益 | 敏感个人信息专项识别、单独同意 | 最高 5000 万元或上年营收 5% |
| 等保 2.0 | 系统安全防护 | 数据资产底数、分级标签、审计联动 | 不予通过测评、责令整改 |
法规全景框架图
下面这张图展示了四部法规/标准的覆盖范围与核心关系。你会发现它们既有重叠，又各有侧重：
避坑指南：法规落地的三个常见误区
讲完理论，我分享几个自己踩过的坑。这些在选型时特别容易忽略：
- 只认"敏感字段"，不认"上下文"：我曾经在某个医疗项目中，识别工具只扫到了"身份证号"字段，却漏掉了"诊断描述"字段里的疾病名称——后者属于敏感个人信息，但因为没有固定格式，被跳过了。所以选型时，要看工具是否支持语义识别+上下文分析。
- 忽略非结构化数据：很多团队做敏感数据识别只盯着数据库表，忘了 Word 文档、PDF、邮件、聊天记录里也藏着大量敏感信息。GDPR 和个保法可不会因为数据藏在文档里就不管你。
- 以为合规是"一次性工程"：法规在更新，业务在变化，敏感数据类型也在增多。我见过最惨的案例是，一家公司 2021 年做了识别，2023 年被检查时发现新增的业务线完全没有覆盖。选型时一定要考察工具是否支持持续扫描和增量识别。
一句话总结：敏感数据识别的技术选型，本质上是合规要求的技术映射。法规要求你识别什么，你就得能识别什么——这是底线，没得商量。