📚 课程目录第3章数据分类分级的基本概念

3. 数据分类分级的基本概念：数据、个人信息、重要数据、敏感数据的定义与区别

各位好，我是老赵。今天咱们聊聊分类分级里最基础也最绕的几个概念——数据、个人信息、重要数据、敏感数据。

说实话，我见过不少项目，一开始就把这几个词混着用。结果呢？分类分级的范围搞错了，合规审查一查一个准。所以这一章，咱们先把地基打牢。

标准里的“数据”，范围比你想的宽得多。它不光是Excel表里的数字，还包括文本、图片、音视频、日志、传感器读数……只要是能被计算机记录的东西，都算数据。

我个人习惯用一个简单框架去理解：数据 = 信息载体 + 业务含义。没有业务含义的数据只是一堆比特，但有了业务场景，它才需要被保护。

我的经验：在落地实操时，我建议先画一张“数据资产地图”，把企业所有数字资源都列出来，哪怕是一张没人维护的废弃表。因为很多重要数据就藏在那些“没人管”的角落里。

35273对个人信息的定义很明确：以电子或者其他方式记录的，能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。

说白了，只要这条信息能让你“找到”或“知道”某个人是谁，它就属于个人信息。

举个例子：你在电商下单的订单号，单独看可能看不出是谁，但如果加上收货手机号，就能定位到张三。这两个字段合在一起就是个人信息。

我曾经踩过的坑：有次给某物流公司做分类分级，他们觉得“快递运单号”属于个人信息，却把“寄件人备注”当废数据删了。结果合规审计时发现，备注里经常出现“请放门口，王先生”这种带姓和地址的文本——那也属于个人信息啊。从那以后我养成了习惯：凡是自由文本字段，必须做一遍隐私扫描。

重要数据是个相对较新的概念。它不是针对个人，而是针对国家、社会、经济发展。比如：能源行业关键参数、地理信息测绘数据、人口健康大数据、金融交易宏观指标。

你想想看，如果某省万人感染率这种数据被境外势力拿到，能做什么？画疫情热力图、预测医疗资源缺口，这就是国家安全风险。

注意：重要数据不一定是个人信息。很多重要数据是宏观统计值、系统配置参数、核心算法模型。

标准里其实有两个“敏感”：

敏感个人信息：一旦泄露，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害。比如：生物识别信息、健康信息、行踪轨迹、金融账户信息、不满十四周岁未成年人信息。
其他敏感数据：一些虽然没有直接识别个人身份，但涉及商业秘密、核心技术、关键设施运行情况的数据，也可能被企业定义为“敏感”。

我个人理解：敏感是一个程度属性，不是独立的分类。个人信息可以分“一般”和“敏感”，重要数据也可以分“敏感”和“一般重要”。关键看你业务场景和合规要求。

下面这张图是我在交付项目时常用的“概念关系图”，帮你把四个概念的位置和交集理清楚。

我习惯用一张表格把这四个概念的维度讲清楚。每次培训我都拿这张表讲，学员反馈最直观。

核心区别总结：个人信息看“能否识别个人”，重要数据看“是否影响国家/公共安全”，敏感数据看“危害程度高低”。数据是最大的筐，把前三者都装在里面。

误解一：“我们公司没有重要数据，只有个人信息。”

我之前给一家中型制造企业做分级，他们做设备运维的日志里包含各条产线的能耗、良品率、停机次数。这些数据被竞争对手拿到，就能推断出他们的生产能力和供应链节奏。后来和法务一起评估，被定为“重要数据”。别小看你们公司的业务数据，有时一个Excel表就是重要数据。

误解二：“敏感数据 = 敏感个人信息。”

标准里确实有“敏感个人信息”的专门定义，但在分类分级实操中，企业会自己定义“企业敏感数据”，比如核心算法参数、未公开的招投标信息。这些不是个人信息，但泄露了公司损失惨重。所以建议你在落地时把“敏感”作为单独维度打分，而不是简单套用标准里的定义。

一个小技巧：做分类分级之前，先给业务部门讲清楚这四个概念的边界。我曾经花半天时间给产品、运营、法务开了个“概念对齐会”，用我上面那张SVG图和表格扫盲，后面分类的争议少了80%。

嗯，这一章的内容差不多了。概念对上了，后面的分类分级工作才不会跑偏。记住四个字：先分清楚，再定级别。