第2章 法律法规要求：国内外数据保护法规（个保法、数据安全法、GDPR）
做数据分类分级，不能只盯着技术。
说白了，法律才是这事的“天花板”。
我见过不少团队，分类标签做得花里胡哨，结果合规检查一来，连基本定义都对不上。为什么？因为没吃透法规的硬性要求。今天咱们就把三个最核心的法律掰开揉碎讲清楚：国内的个保法、数据安全法，还有欧洲的GDPR。
2.1 为什么法规必须前置？
先讲个我碰到的真事。
一家做跨境电商的公司，把用户地址、消费记录、甚至指纹数据全扔在同一个HDFS目录里，分类标签只写了“普通业务数据”。结果欧盟那边用户投诉，一查发现生物特征数据根本就没按GDPR要求单独分级。罚单金额让老板脸都绿了。
你想想看，如果早按法规把“敏感个人信息”和“一般个人信息”拆开，这事根本不会发生。
2.2 国内双法：个保法与数据安全法
国内现在最硬的两把“剑”。
2.2.1 《个人信息保护法》（个保法）
2021年生效，直接对标GDPR。重点管的是“个人信息”。
- 核心定义： 以电子或其他方式记录的与已识别或可识别的自然人有关的各种信息。
- 敏感与一般： 明确把“生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹”等列为敏感个人信息，处理这类数据需要单独同意。
- 跨境规则： 个人信息出境必须通过安全评估、标准合同或认证。
- 惩罚： 最高可处五千万元或上一年度营业额百分之五的罚款。
我个人的习惯是，先按个保法把数据分成“敏感个人信息”和“一般个人信息”，这基本是后续分类的骨架。我在给一家金融客户做项目时，他们最初把所有客户信息都标为“敏感”，结果导致99%的数据访问都要审批，业务直接瘫痪。后来按法规对敏感清单逐条核对，发现“姓名+手机号”其实只是普通个人信息，不需要那么高的保护等级。嗯，这里要注意：法律没说所有个人信息都算敏感，别自己吓自己。
2.2.2 《数据安全法》（数安法）
2021年同步生效，管的是“数据”这个更宽的概念。
- 核心定义： 任何以电子或非电子形式对信息的记录。
- 分级制度： 第21条明确要求建立数据分类分级保护制度，确定核心数据、重要数据和一般数据。
- 重要数据目录： 各地区、各部门负责制定本领域的重要数据目录，企业需要主动识别。
- 惩罚： 违反重要数据保护义务，最高可罚一千万，情节严重可吊销营业执照。
我曾经帮一家工业互联网企业梳理数据资产。他们以为只要管好人个信息就行，完全忽略了机器运行参数、工艺配方这些“重要数据”。结果工信部检查时，差点被认定为严重违规。避坑指南：数安法里的“重要数据”范围很宽，千万别只盯着个人信息。
2.3 域外大法：GDPR（通用数据保护条例）
2018年生效，全球数据保护的“天花板”。
| 维度 | GDPR要求 |
|---|---|
| 管辖范围 | 任何处理欧盟境内自然人数据的主体，不论服务器在哪。 |
| 数据分类 | 普通数据 + 特殊类别数据（种族、政治观点、基因、生物识别、健康、性取向等）。 |
| 合法基础 | 同意、合同、法律义务、重大利益、公共利益、合法利益——必须至少满足一项。 |
| 最大罚单 | 全球年营收4% 或 2000万欧元（取其高）。 |
| 数据主体权利 | 访问权、更正权、删除权（被遗忘权）、数据可携带权等。 |
说实话，GDPR把“特殊类别数据”的清单列得非常细。我在做跨国项目时，第一件事就是对照GDPR第9条把数据贴上“特殊类别”标签，否则后续DPIA（数据保护影响评估）根本没法过。
你想想看，连用户的“性取向”都得单独分类处理，如果只用一个“敏感”标签笼统盖过去，GDPR的监管机构不会跟你客气。
2.4 三法对比表
我平时最喜欢做这种表，一眼就能看出核心差异。
| 维度 | 个保法 | 数据安全法 | GDPR |
|---|---|---|---|
| 保护对象 | 个人信息 | 所有数据（含国家秘密、商业秘密） | 个人数据 |
| 核心分级 | 敏感 / 一般 | 核心 / 重要 / 一般 | 特殊类别 / 普通 |
| 跨境规则 | 安全评估+合同 | 重要数据出境审批 | 充分性认定 / 标准合同 / BCR |
| 最高罚款 | 5000万或年营收5% | 1000万（重要数据） | 2000万欧元或年营收4% |
| 生效时间 | 2021 | 2021 | 2018 |
2.5 法规驱动的分类分级框架
下面这张图是我在项目中提炼出来的框架：以法规为输入，分类分级为输出。
2.6 避坑指南：法规落地常见的几个坑
- 坑一：混用定义。 把“重要数据”直接等同于“敏感个人信息”。两者法律依据完全不同，混用会导致审计不过。
- 坑二：忽视域外管辖。 服务器不在欧盟？只要处理了欧盟用户数据，GDPR照样管你。我见过一家上海公司被罚就是因为没有对欧洲用户的“IP地址+浏览记录”做特殊分类。
- 坑三：分级粒度不够细。 个保法要求“敏感个人信息”必须单独标识，但很多人只建了两个大类，批量化处理时漏掉了基因数据、生物特征这些“超级敏感”的子类。
- 坑四：不做定期更新。 法律法规在变，重要数据目录每年都可能调整。我曾经接手一个项目，一年前的分类规则根本没更新，结果新出的《汽车数据安全管理若干规定》直接打了他们一个措手不及。