3、数据分类分级制度：数据分类分级的基本概念、企业如何建立分类分级体系、跨境场景下的特殊分类要求
3.1 数据分类分级，到底在分什么？
说实话，我见过太多企业一上来就搞分类分级，结果搞了三个月，连个Excel表都没填完。为什么？因为大家没搞明白一个核心问题：分类和分级，其实是两件事。
数据分类，说白了就是「按业务属性把数据分堆」。比如：客户数据、员工数据、财务数据、产品数据。这就像你整理衣柜——上衣放一格，裤子放一格，袜子放一格。分类的目的是方便查找和管理。
数据分级，则是「按敏感程度和安全要求贴标签」。比如：核心级、重要级、一般级。这就像给衣服贴标签——这件是正装，那件是休闲装。分级的目的是确定保护力度。
我个人的习惯是：先分类，后分级。分类是基础，分级是手段。你想想看，如果连数据属于哪个业务域都搞不清楚，你怎么判断它该不该跨境？
核心公式：
数据分类分级 = 业务属性分类 + 安全等级分级
分类解决「是什么」的问题，分级解决「怎么管」的问题。
3.2 企业如何建立分类分级体系？
嗯，这里我要分享一个我踩过的坑。我曾经帮一家跨境电商做分类分级，一开始我们照着《数据安全法》和《个人信息保护法》的框架硬套，结果业务部门完全不买账——「你们搞的这个分类，我们看不懂啊！」
后来我学乖了。建立分类分级体系，我建议分四步走：
第一步：摸清家底（数据资产盘点）
没有盘点，一切都是空谈。你需要搞清楚：
- 企业有哪些业务系统？
- 每个系统里存了什么数据？
- 数据从哪里来，到哪里去？
- 谁在访问这些数据？
我在项目中遇到过一家公司，盘点后发现他们竟然有37个「废弃」的数据库还在运行，里面全是客户信息。嗯，这要是被监管查到，麻烦就大了。
第二步：制定分类标准（业务维度）
我建议按业务属性来分类，而不是按技术属性。举个例子：
| 一级分类 | 二级分类 | 示例数据 |
|---|---|---|
| 客户数据 | 个人基本信息 | 姓名、身份证号、手机号 |
| 客户数据 | 消费行为数据 | 购买记录、浏览历史 |
| 员工数据 | 人事档案 | 劳动合同、薪资信息 |
| 财务数据 | 交易记录 | 发票、银行流水 |
| 产品数据 | 技术文档 | 源代码、设计图纸 |
你看，这样分类，业务部门一看就懂。千万别搞什么「结构化数据」「非结构化数据」——那是技术人员的分类法，业务部门不认。
第三步：制定分级标准（安全维度）
分级标准我建议参考国家标准 GB/T 35273-2020，但可以结合企业实际情况微调。常见的分级方式：
- 核心级（C3）：一旦泄露，会对国家安全、公共利益造成严重危害。比如：重要行业数据、大规模个人信息。
- 重要级（C2）：一旦泄露，会对企业运营、个人权益造成较大危害。比如：员工薪资、客户身份证号。
- 一般级（C1）：泄露后影响较小。比如：公开的产品信息、脱敏后的统计数据。
我的小技巧：
分级时不要搞得太细。3-4级足够了，搞个7级8级，最后谁也记不住。我见过最夸张的一家公司分了12级，结果执行的时候全乱套了。
第四步：落地执行（工具+制度）
光有标准不行，你得让它跑起来。我建议：
- 用数据分类分级工具自动打标签（比如：识别身份证号自动标记为C2）
- 建立数据安全管理制度，明确谁负责、怎么管
- 定期审计和更新——数据是会变的，分类分级也得跟着变
3.3 跨境场景下的特殊分类要求
好了，前面说的都是通用做法。但跨境场景下，有几个坑你必须注意。我曾经因为没注意这些，差点让客户吃了大亏。
特殊要求一：个人信息出境必须「单独告知+单独同意」
根据《个人信息保护法》第39条，个人信息出境必须：
- 告知境外接收方的名称、联系方式
- 告知处理目的、处理方式
- 告知个人信息的种类
- 取得个人的单独同意
注意，是「单独同意」，不是「一揽子同意」。你不能在用户协议里夹带一句「我们可能会将您的信息传输到境外」就完事了。必须弹出一个单独的窗口，让用户明确勾选。
避坑指南：
我曾经遇到一个客户，他们在用户注册时直接默认勾选了「同意跨境传输」。结果被用户举报到网信办，罚了20万。嗯，这个坑千万别踩。
特殊要求二：重要数据出境需要「安全评估」
根据《数据出境安全评估办法》，以下情况必须申报安全评估：
- 向境外提供重要数据
- 处理100万人以上个人信息的运营者向境外提供个人信息
- 自上年1月1日起累计向境外提供10万人以上个人信息
- 自上年1月1日起累计向境外提供1万人以上敏感个人信息
说白了，如果你的数据被划为「重要数据」，或者你的用户量够大，那你就得走安全评估流程。这个流程一般需要2-3个月，所以一定要提前规划。
特殊要求三：跨境场景下的「数据分类」要更细
我个人的习惯是，在跨境场景下，把数据分类再细化一层。比如：
- 可跨境传输的数据：脱敏后的统计数据、公开信息
- 限制跨境传输的数据：一般个人信息（需单独同意）
- 禁止跨境传输的数据：重要数据、核心数据、敏感个人信息（除非通过安全评估）
你想想看，如果不做这个细化，你根本不知道哪些数据能出、哪些不能出。到时候被海关拦下来，或者被监管查到，那就不是罚款那么简单了。
特殊要求四：别忘了「数据本地化」要求
有些数据，法律明确要求必须存储在境内。比如：
- 关键信息基础设施运营者收集的个人信息和重要数据
- 金融、医疗、交通等特定行业的数据
- 涉及国家安全、公共利益的数据
嗯，这里要注意：即使你通过了安全评估，也不代表你可以把数据全部搬到境外。该留境内的，必须留境内。
3.4 总结一下
数据分类分级，说白了就是先搞清楚你有什么数据，再决定怎么保护它。跨境场景下，这个工作尤其重要——因为一旦搞错，轻则罚款，重则影响业务。
我建议你从今天开始：
- 盘点你的数据资产
- 按业务属性分类
- 按敏感程度分级
- 针对跨境场景，细化分类和管控要求
记住一句话：分类分级不是目的，安全合规才是。别为了做而做，要为了用而做。