2. 国内外数据分类分级标准体系：GDPR、CCPA、中国数据安全法等法规要求
聊数据分类分级，绕不开几部法规。我见过不少团队上来就埋头建标签体系，结果一对照法规发现压根对不上号——嗯，方向偏了。所以我们先看看国际上几个典型法规是怎么要求的，再回头看中国自己的路数。
2.1 GDPR：个人数据保护的标杆
GDPR（通用数据保护条例）是欧盟的法规，2018 年生效。它的核心思路是：先区分“个人数据”和“特殊类别个人数据”，然后对数据主体（也就是用户）赋予一大堆权利。
关键分类节点：
- 个人数据：姓名、身份证号、位置、IP 地址……任何可以直接或间接识别自然人的信息。
- 特殊类别个人数据（第 9 条）：种族、政治观点、宗教、基因、生物特征、健康状况、性生活、工会成员等。这些原则上禁止处理，除非有明确法律依据。
- 刑事定罪数据（第 10 条）：另外单独管。
我记得有一次帮一家跨境电商梳理数据资产，他们觉得用户购买记录就是普通数据。我提醒他们：如果购买记录里带了收货地址、支付宝账号，那就已经是个人数据了。如果你还记录了用户的年龄、消费偏好……嗯，再结合一下，可能就触碰到特殊类别了？不一定，但风险确实存在。
2.2 CCPA：美国加州的“消费者隐私法”
CCPA（加州消费者隐私法案）2020 年生效，后来还有 CPRA 修正。它不再用“个人数据”这个宽泛词，而是叫“个人信息”，定义跟 GDPR 类似，但多了个“家庭相关信息”。
我踩过的坑： 曾经有个项目把“设备标识符”归为低敏感数据，认为只是技术参数。但 CCPA 明确把设备标识符算作个人信息。后来我们紧急调整了分类表。所以，别只看中文翻译，一定要读原始条款里的列举项。
CCPA 没有像 GDPR 那样按“特殊类别”划个红线，它更关注“售卖”和“分享”行为。它要求企业对个人信息做“数据映射”——说白了，你要知道自己手里有哪些个人信息，从哪里来的，用在了哪些业务上。这个过程本身就是分类分级的前置工作。
2.3 中国数据安全法：三法联动
中国在 2021 年密集出台了《数据安全法》《个人信息保护法》《网络安全法》，被称为“三法联动”。我这些年做国内项目的感受是：中国的分类分级框架更强调“国家数据安全”。
数据安全法第 21 条： 国家建立数据分类分级保护制度。根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。
跟 GDPR 和 CCPA 不同，中国把“重要数据”和“核心数据”单独拎出来。重要数据是指可能影响国家安全、经济运行、社会稳定、公共健康和安全的数据。核心数据则是关系国家安全、国民经济命脉、重要民生、重大公共利益的数据——这个级别就更高了。
2.4 三部法规的对比表格
| 维度 | GDPR | CCPA | 中国数据安全法 |
|---|---|---|---|
| 核心概念 | 个人数据 / 特殊类别个人数据 | 个人信息 / 敏感个人信息 | 国家数据分类分级（核心、重要、一般） |
| 分级方式 | 按风险等级 + 处理合法性 | 按是否触发“售卖/分享” | 按危害程度（安全、经济、公共利益） |
| 特殊类别 | 种族、基因、健康等——禁止处理 | 无独立特殊类别，但敏感个人信息有额外保护 | 重要数据 / 核心数据——严格管控 |
| 适用范围 | 在欧盟境内处理或向欧盟提供服务的实体 | 在加州开展业务且达到营收/数据量门槛 | 在中华人民共和国境内处理数据的组织 |
| 违规罚款 | 2000 万欧元或全球年营收 4%（取高者） | 每次违规 2500 美元（故意）或 7500 美元 | 责令改正、罚款、暂停业务、吊销许可证 |
你看，GDPR 罚款最狠，CCPA 按次处罚但金额相对温和，中国则强调行政处理和业务关停。我参与过一家跨国企业的数据合规项目，他们需要同时满足三条线：GDPR 的“数据主体权利”、CCPA 的“数据销售 opt-out”、中国数据安全法的“重要数据备案”。每次开会对齐语言就很头疼，但核心都是先做好分类分级。
2.5 法规背后的共性逻辑
把这三部法规放在一起，你会发现它们都要求：
- 识别数据：你知道自己有哪些数据吗？
- 归类分级：数据属于哪一类？敏感度多高？
- 按级保护：不同级别的数据采取不同的安全措施。
- 响应权利：用户/数据主体的查询、删除、转移等请求，你要能主动响应。
本质上，分类分级是所有合规动作的起点。我经常跟团队说：没有分类分级，你连数据清单都拿不出来，还谈什么保护？
2.6 体系结构图
图中我把三部法规都列出来了。你看，虽然叫法不同，但最终都汇聚到一个共同核心：分类分级 → 风险评估 → 差异化管理。不管你面对的是 GDPR 的“特殊类别个人数据”，还是中国的“重要数据”，本质都是先分清楚级别，然后采取对应的措施。
2.7 避坑指南
我曾经遇到过一家初创公司，直接拿 GDPR 的分类表套到中国业务上，结果被监管部门点名。 原因很简单：中国把“重要数据”定义得非常宽泛，包括行业和地区经济数据。而 GDPR 没有这个概念。所以，千万别用一套分类模板打天下。
另外，CCPA 和 GDPR 对“个人信息”的定义看似一样，但 CCPA 不包括“公开可获取的信息”。嗯，这个细节很多人忽略。
2.8 小结
好，这一章我们快速过了一遍三大法规的分类分级核心。说实话，法规条文读起来很枯燥，但我建议你拿一张纸，列出你的组织手里的数据，然后对着每个法规的要求画个勾——有没有遗漏？比如，用户 Cookie 算不算个人信息？GDPR 算，CCPA 算，中国算不算？实践中，中国《个人信息保护法》对“自动化决策”有专门要求，Cookie 如果用于用户画像就敏感了。
下一件事就是：把这些法规要求落地成你自己的分类分级标准。怎么落地？那正是后面章节要聊的。我个人的习惯是：先建一个数据清单（Data Inventory），再做分级标签，最后上技术管控。但不管你顺序怎么来，都绕不开这些法规的底层逻辑。