2. 数据共享的法律法规体系
企业开展数据共享与第三方合作，最先要回答的不是“能不能共享”，而是“这次共享落在哪一部法律、哪一类数据、哪一种角色的管辖范围内”。我国数据合规的法律体系并非一部法律包打天下，而是以《网络安全法》《数据安全法》《个人信息保护法》为三大支柱，配合《数据出境安全评估办法》《个人信息出境标准合同办法》《促进和规范数据跨境流动规定》《网络数据安全管理条例》等配套规则，形成“基础法律—行政法规—部门规章—国家标准”的多层结构。理解这套体系的关键，是分清三部基础法律各自的立法目的、规制对象和适用边界。
三部基础法律的定位差异
《网络安全法》2017年6月1日施行，核心是网络运行安全与网络信息安全，重点在关键信息基础设施保护、网络运营者义务、日志留存不少于六个月、网络安全等级保护等。它管的是“网络”这一载体，企业只要通过网络提供服务和传输数据，就落入其适用范围。
《数据安全法》2021年9月1日施行，核心是数据全生命周期的安全与开发利用，确立数据分类分级保护制度、重要数据目录管理、数据安全审查、数据出口管制等。它管的是“数据”这一客体，不区分是否属于个人信息，重要数据、核心数据是其重点。
《个人信息保护法》2021年11月1日施行，核心是个人信息权益保护与处理规则，确立告知同意、最小必要、单独同意、个人信息保护影响评估、跨境提供规则等。它管的是“个人信息”这一特定数据类别，自然人的可识别信息是其对象。
三法关系可以概括为：网络安全法是载体安全底座，数据安全法是数据安全总纲，个人信息保护法是个人信息处理的专门规则。同一共享行为可能同时触发三部法律，例如把含用户手机号的客户数据传给境外合作方，既涉及网络安全法的网络运营者义务，也涉及数据安全法的出境管理，还涉及个人信息保护法的单独同意与跨境规则。
适用边界的三个判断维度
第一个维度是数据类别。非个人数据、非重要数据的普通业务数据，主要受数据安全法的一般性安全义务约束；一旦涉及个人信息，个人信息保护法的告知同意、单独同意、最小必要等规则立即叠加；一旦被列入重要数据目录，数据安全法的分类分级、出境评估、安全审查等要求随之启动。企业需要先完成数据分类分级，才能判断某次共享到底触发哪些规则。
第二个维度是主体角色。同一个企业在不同场景中角色不同：向用户收集信息时是个人信息处理者，接受他人委托处理数据时是受托方，与第三方共同决定处理目的时是共同处理者。角色不同，义务分配不同。例如共同处理者需与对方约定各自权利义务，但对外仍需对用户承担连带责任；受托方只能在委托范围内处理，不得超范围使用。
第三个维度是数据流向。境内共享与跨境共享的规则差异显著。境内共享主要解决“告知同意+合同约束+安全措施”；跨境共享则要判断是否触发安全评估、标准合同或认证三条路径之一。根据《促进和规范数据跨境流动规定》，国际贸易、跨境运输、学术合作等场景中不包含个人信息或重要数据的，可免于申报；但一旦涉及个人信息且达到阈值，仍需履行相应程序。
配套法规如何细化落地
配套法规的价值在于把基础法律的原则转化为可操作的阈值和程序。以数据出境为例，《数据出境安全评估办法》明确，关键信息基础设施运营者向境外提供个人信息或重要数据、处理100万人以上个人信息的处理者向境外提供个人信息、自上年1月1日起累计向境外提供10万人个人信息或1万人敏感个人信息等情形，需申报安全评估。未达到评估门槛但符合标准合同适用条件的，可采用标准合同并备案。这一“评估—标准合同—认证”的三路径设计，就是配套法规对个人信息保护法第三十八条的具体展开。
共享场景中的典型合规动作
以“向第三方营销服务商提供用户手机号用于短信触达”为例。首先，手机号属于个人信息，个人信息保护法适用，需向用户告知接收方名称、联系方式、处理目的、处理方式和个人信息种类，并取得单独同意。其次，若该服务商在境外，还需判断是否触发跨境规则。再次，若企业被认定为关键信息基础设施运营者，网络安全法的安全审查义务也可能叠加。最后，双方需签订数据处理协议，明确处理目的、期限、方式、安全措施及违约责任。
再以“向合作银行共享企业客户经营数据用于联合风控”为例。若数据经匿名化处理且无法复原，则不再属于个人信息，个人信息保护法不再适用，但数据安全法的一般安全义务仍在；若数据可识别到具体自然人，则个人信息保护法重新适用。匿名化与去标识化的区别，直接决定适用边界，这也是实务中最容易出错的地方。
体系适用的常见误区
误区一：认为只要取得用户同意就可以任意共享。同意只是个人信息保护法的合法性基础之一，重要数据出境、网络安全审查等义务不因用户同意而免除。误区二：认为数据已脱敏就不受任何约束。去标识化数据仍可能被重新识别，仍属个人信息；只有真正匿名化且不可复原的数据才脱离个人信息保护法。误区三：认为境内共享无需合同。个人信息保护法第二十一条要求委托处理需约定处理目的、期限、方式等，共同处理需约定权利义务，合同是义务落地的载体。
理解三部基础法律与配套法规的关系，本质是建立一张“数据类别—主体角色—数据流向”的三维判断地图。企业只有先定位共享行为在这张地图上的坐标，才能准确判断适用哪部法律、履行哪些义务、走哪条合规路径，而不是在每次合作中凭经验猜测。