2. 法律法规基础（国内篇）：《个人信息保护法》核心要点、《数据安全法》核心要点、《网络安全法》核心要点
好，咱们进入正题。国内数据合规的“三驾马车”，你肯定听过。就是《个人信息保护法》、《数据安全法》和《网络安全法》。这三部法律，我习惯叫它们“个保法”、“数安法”和“网安法”。
很多朋友一上来就背法条，背得头大。我个人觉得，没必要。你得理解立法者的意图。说白了，国家就是想管好三件事：你的数据别乱用（个保法）、你的数据别丢了（数安法）、你的系统别被黑（网安法）。咱们一个一个拆开看。
2.1 《个人信息保护法》核心要点
这部法，是咱们做隐私合规的“圣经”。2021年11月1日施行，威力巨大。我参与的第一个大型合规项目，就是围绕它展开的。
2.1.1 核心原则：告知-同意
这是个大前提。你收集用户信息，必须告诉用户：你是谁、你要干嘛、怎么干、干多久。用户得明确说“好”。
嗯，这里要注意。不是勾了“我已阅读并同意”就万事大吉了。法院现在看的是“有效同意”。你想想看，一个弹窗里塞了8000字，谁看？那叫无效。
避坑指南：我曾经见过一个App，把“读取通讯录”的权限申请，藏在用户注册流程的第三页。用户为了领红包，一路点“下一步”，根本没注意到。这种“捆绑同意”的做法，现在风险极高。监管一查一个准。
2.1.2 敏感个人信息
这是个大雷区。生物识别、金融账户、行踪轨迹、不满十四周岁未成年人的信息，都属于敏感信息。
处理这些信息，光有“同意”不够。你得有“单独同意”。什么意思？就是你不能混在通用条款里。必须弹个单独的窗，让用户专门点一下。
| 信息类型 | 典型例子 | 合规要求 |
|---|---|---|
| 生物识别 | 指纹、人脸、虹膜 | 单独同意 + 必要性评估 |
| 金融账户 | 银行卡号、支付流水 | 单独同意 + 加密存储 |
| 未成年人 | 14岁以下儿童信息 | 监护人同意 + 专门规则 |
我的经验：做人脸识别功能时，千万别只写一句“为了提升用户体验”。你得写清楚：用于身份核验，存储期限是多久，不提供会影响什么功能。越具体，越安全。
2.1.3 个人信息影响评估（PIA）
个保法第55条、56条，明确要求做PIA。哪些场景要做？
- 处理敏感个人信息
- 自动化决策（比如大数据杀熟）
- 委托处理、对外提供、公开披露
- 向境外提供
我建议，别等出了事再做。产品立项阶段，就把PIA嵌入流程。说白了，就是“上车前先系安全带”。
2.2 《数据安全法》核心要点
这部法2021年9月1日施行。它管的不只是个人信息，而是所有数据。包括企业的经营数据、科研数据、国家秘密数据。
2.2.1 数据分类分级
这是数安法的核心抓手。国家要求企业：你得知道你家有什么数据，这些数据有多重要。
我见过很多公司，数据资产盘点表一塌糊涂。连自己服务器上存了哪些数据库都不清楚。这怎么分级？
实操建议：先做数据资产盘点。按“业务线-系统-数据库-字段”的粒度梳理。然后根据影响对象（个人、企业、国家）和影响程度（轻微、严重、特别严重）来定级。一般分三级：核心、重要、一般。
2.2.2 数据安全保护义务
法律明确要求企业建立数据安全管理制度。包括：
- 明确数据安全负责人和管理机构
- 定期开展数据安全风险评估
- 制定数据安全事件应急预案
- 定期进行数据安全教育和培训
你想想看，如果连个负责人都没有，出了事找谁？
警告：我曾经审计过一家公司，数据安全负责人是行政部经理兼职的。问他数据备份策略是什么，他一脸茫然。这种“挂名”做法，一旦出事，企业和个人都要担责。罚款最高可达1000万。
2.2.3 数据出境安全评估
这个点，这两年特别热。如果你的数据要传到境外，必须经过安全评估。特别是重要数据和大量个人信息。
嗯，这里有个细节。不是所有出境都要评估。比如你只是把数据存在海外服务器上，但用户是境内用户，这就算“出境”。
2.3 《网络安全法》核心要点
网安法是三驾马车里最早出台的，2017年6月1日施行。它主要管的是网络运营者的安全义务。
2.3.1 等级保护制度（等保）
这是网安法的基石。所有网络运营者，必须按照等级保护要求，落实安全措施。
说白了，就是你的系统有多重要，就得配多强的“保安”。一级到五级，级别越高，要求越严。大部分互联网公司，做到二级或三级就够了。
| 等级 | 适用对象 | 核心要求 |
|---|---|---|
| 第一级 | 小型企业、个人网站 | 自主保护 |
| 第二级 | 中型企业、一般业务系统 | 指导保护 + 备案 |
| 第三级 | 大型企业、涉及公共利益系统 | 强制保护 + 定期测评 |
我的习惯：做等保测评前，先自己内部做一次“预检”。对照《网络安全等级保护基本要求》里的控制点，一条一条过。比如：有没有日志审计？有没有访问控制？有没有入侵检测？提前整改，能省不少钱。
2.3.2 关键信息基础设施（CII）
如果你的系统被认定为CII，那要求就更高了。比如：
- 必须设置专门的安全管理机构和负责人
- 必须对关键岗位人员进行安全背景审查
- 必须每年至少进行一次安全检测评估
- 重要数据必须在中国境内存储
我记得有一次，帮一家银行做CII合规检查。他们连“安全背景审查”是什么都不知道。后来我们帮他们梳理了流程，从入职背调开始，到定期复检，才算补上这个漏洞。
2.3.3 网络安全事件应急
网安法第25条要求：制定网络安全事件应急预案，并定期演练。
为什么？因为攻击随时可能发生。没有预案，出了事就是一团乱麻。我见过最典型的案例：一家电商平台被勒索病毒攻击，IT部门不知道先通知谁，也不知道该不该报警。拖了6个小时，数据全被加密了。
避坑指南：我曾经帮一家公司做应急演练。发现他们的“应急预案”就是一张A4纸，上面写着“发现攻击→报告领导”。没了。这哪叫预案？真正的预案，要细化到：谁负责断网、谁负责备份、谁负责联系警方、谁负责对外公告。每一步都要有明确的责任人和时间节点。
2.4 三法联动：你该怎么落地？
好，三部法律的核心要点讲完了。你可能会问：这三部法，我到底先听谁的？
我的建议是：别割裂着看。它们是一个整体。个保法管“人”，数安法管“数据”，网安法管“系统”。你做一个产品，这三方面都得覆盖。
举个例子：你开发一个健康管理App。
- 个保法：你得告诉用户，收集了哪些健康数据（敏感信息），要单独同意。
- 数安法：你得对健康数据分类分级，做好加密存储和访问控制。
- 网安法：你的App服务器得做等保，得有防攻击、防泄露的能力。
你看，缺一个都不行。
最后说一句：合规不是一锤子买卖。法律在变，技术在变，威胁也在变。我建议你每年至少做一次全面的隐私合规审计。别等到罚单来了，才想起来补课。那时候，成本可就高了。