第2章 数据分类分级法规背景：三法梳理
做数据分类分级，绕不开三部法律。这就是大家常说的“三驾马车”——《网络安全法》、《数据安全法》、《个人信息保护法》。
你可能觉得，不就是看几个法条嘛，何必单独开一章？我刚开始也是这么想的。直到有一次做等保测评，客户问“我这套系统到底按哪个法的要求来分级？网安法和数安法都说要分，到底听谁的？”嗯，那一下把我问住了。所以这一章，咱们得把三法的逻辑理清楚。
2.1 为什么要先梳理法规？
说白了，分类分级这件事，不是技术自嗨。每一类级别怎么定、定完之后怎么管，法律条文里写得清清楚楚。你先搞清楚法规说了什么，才不会出现“我把客户数据分好了，结果一查发现保护等级设低了”的尴尬局面。
我见过不少团队，上来就建分类分级标签体系，弄了十几级。做完发现，法律只要求分三到五级。搞得越复杂，后面审计越难解释。合规，不是越复杂越好，而是要对得上条文。
核心原则：一切分类分级方案，必须能从三法中找到直接或间接的法规依据。找不到依据的级别定义，在实践中很难过审。
2.2 《网络安全法》—— 源头与抓手
2017年实施的《网络安全法》，是等保2.0的直接法律基础。它核心就一件事：网络运营者的安全义务。
跟分类分级相关的，主要在这几条：
- 第21条：实行安全保护等级制度。等保1.0升级到2.0，这个条款就是根。
- 第31条：关键信息基础设施（CII）在等保基础上要“重点保护”。
- 第37条：个人信息和重要数据出境要安全评估。
你注意看，网安法提到了“重要数据”，但没有明确说怎么分类分级。它挖了一个坑——让你自己去定。后来的数安法和个保法，就是来填这个坑的。
常见误区：有人以为网安法出来之后，只要分“安全等级”就行了。实际上，网安法要求的“安全等级”偏向系统评级，跟“数据级别”是两码事。我曾经见过一个银行项目，把系统定为三级，就觉得所有数据都是三级。结果一查，里面还有个人财务敏感信息，保护措施根本不够。
2.3 《数据安全法》—— 分类分级的核心依据
2021年实施的《数据安全法》，是“数据分类分级”这个概念的正式法律定义者。说白了，它就是干这件事的。
最关键的是第21条：
《数据安全法》第21条：“国家建立数据分类分级保护制度……根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。”
这句话我建议大家背下来。它定义了分类分级的两个维度：
| 维度 | 含义 | 常见级别示例 |
|---|---|---|
| 重要程度 | 数据对国家安全、经济运行、社会稳定的影响力 | 核心数据、重要数据、一般数据 |
| 危害程度 | 一旦出问题后的影响范围与严重性 | 高、中、低三个危害等级 |
我个人习惯是先按重要程度定大类，再按危害程度定子级。这样逻辑清晰，后面做访问控制也好对应。
2.4 《个人信息保护法》—— 对人，不对系统
个保法2021年同年实施。它和数安法是一个妈生的，但管的范围窄一些——只针对个人信息。
里面有四个关键点跟分类分级直接挂钩：
- 敏感个人信息定义（第28条）：一旦泄露，容易导致自然人的人格尊严受侵害或者人身、财产安全受危害。包括金融账户、行踪轨迹、健康信息、生物识别等等。
- 告知同意规则（第13-17条）：处理个人信息前必须明确告知目的、方式、范围。这就是为什么你每次注册APP都要点那个“用户协议”。
- 最小必要原则（第6条）：只收集与业务直接相关的数据。你不能因为想做用户画像，就把人家通讯录全扒下来。
- 删除权与可携带权（第47、45条）：用户要求删除，你必须删；用户要带走，你得给接口。
你会发现，个保法对分类分级最大的影响是——它要求你区分“一般个人信息”和“敏感个人信息”。这个区分，直接决定了你在分类表里需要为个人数据设计几层级别。
实践中：我建议企业的个人信息分级至少分三层：一般个人信息、敏感个人信息、高度敏感个人信息。高度敏感包括生物特征、征信、医疗健康等。这样既满足个保法要求，也为将来可能的监管细化留出空间。
2.5 三法之间的关系与冲突处理
你可能会问：三部法律同时管，到底听谁的？如果要求冲突怎么办？
嗯，这里要注意一件事。三部法律不是并列的，它们有优先级：
- 网络安全法：管系统运行环境。是“地基”。
- 数据安全法：管数据本身。是“主体结构”。
- 个人信息保护法：管人的权利。是“内部装修”。
在实际做分类分级方案时，冲突很少。因为三个法的层级是递进的。举个例子：
网安法说“三级系统要做双因素认证”，数安法说“重要数据要加密存储”。你怎么办？两个都做。不冲突。只有一种情况需要取舍——当数据既有“重要数据属性”又有“个人信息属性”时，按“就高不就低”原则处理。也就是按保护要求最高的那个来。
实操口诀：“系统看网安，数据看数安，个人看个保；高就高，严就严，一个级别都不放宽。”
2.6 实战案例：如何将三法要求落地到分类分级方案中
我去年帮一家互联网金融公司做分类分级方案。他们的数据库里有客户身份信息、交易流水、风控模型参数、内部员工通讯录等等。
步骤大致是这样的：
- 先拉清单：把所有数据字段按业务域列出来，包括来源、用途、是否涉及个人。
- 套法规标签：对每个字段，打上“网安要求”、“数安要求”、“个保要求”。比如“身份证号”在三个法里都是重点关注对象。
- 定级映射：制定一个映射表，把法规要求翻译成级别。
下面是我当时用的映射表框架，你可以参考：
| 法规来源 | 数据特征 | 建议级别 | 保护措施示例 |
|---|---|---|---|
| 网络安全法 | CII系统产生的日志 | 高 | 审计日志留存 ≥ 6 个月 |
| 数据安全法 | 重要数据（如用户量超100万） | 核心 | 数据加密+出境评估 |
| 个人信息保护法 | 敏感个人信息（如生物识别） | 高敏感 | 单独同意+加密+访问白名单 |
| 三法叠加 | 既是重要数据又是敏感个人信息 | 最高级 | 综合所有最高要求 |
避坑：我曾经见过一个国企项目，把“员工姓名”和“员工身份证号”都标为“一般”。结果等保测评时直接被红牌。理由是“一般”级别不适用于身份证号。它至少在敏感级别。所以，做映射表时一定要请法务一起审核，别自己拍脑袋。
好了，三法的背景就说到这儿。记住一个核心点：分类分级不是你想怎么分就怎么分，法规已经给你画好了框架。你只需要在这个框架里，填充你的业务数据。