第二章：数据映射与分类分级
数据资产盘点：你连家里有什么都不知道，怎么管？
做隐私合规，第一步不是写制度，而是搞清楚——你到底有哪些数据？
我见过太多企业，上来就让我帮忙写隐私政策、搞用户授权弹窗。我问他们：「你们存了哪些个人信息？」对方一脸懵。嗯，这种情况我遇到过不下十次。
数据资产盘点，说白了就是给你公司的数据「上户口」。你得知道：
- 数据存在哪（数据库、文件服务器、员工电脑、云盘）
- 数据长什么样（字段、格式、敏感程度）
- 数据怎么来的（用户注册、第三方接口、线下收集）
- 数据流向哪（内部流转、对外提供、跨境传输）
我个人习惯用「五步盘点法」：
- 业务系统摸底——拉清单，所有涉及个人信息的系统列出来
- 字段级扫描——用工具或人工，把每个表的字段过一遍
- 敏感数据标注——身份证、手机号、地址这些，打上标签
- 存储位置确认——别漏了备份库、日志文件、开发测试环境
- 数据量估算——记录数、存储大小、更新频率
小技巧：我建议用Excel或简单的数据库工具先跑一遍。别一上来就上大平台，容易把团队吓到。先出个「快照版」，再慢慢迭代。
数据分类分级标准：别把鸡蛋和石头放一个篮子里
数据盘点完了，接下来就是分类分级。你想想看，身份证号和浏览记录能一样对待吗？显然不能。
分类分级，核心就两件事：
- 分类——按业务属性分。比如：用户身份数据、联系方式数据、财务数据、生物识别数据
- 分级——按敏感程度分。比如：一般、敏感、高度敏感
我参与过的一个项目，客户把「员工姓名」和「客户姓名」都归为「一般数据」。我说不行——客户姓名结合手机号，就是敏感数据。后来他们重新调整了分级规则。
这里给出一套我常用的分级标准，供参考：
| 级别 | 定义 | 示例 | 保护要求 |
|---|---|---|---|
| L1 一般 | 公开或低风险 | 用户名、性别、城市 | 基本加密存储 |
| L2 敏感 | 泄露会造成一定影响 | 手机号、邮箱、地址 | 加密+访问控制 |
| L3 高度敏感 | 泄露会造成严重损失 | 身份证、银行卡、医疗记录 | 强加密+审计+脱敏 |
| L4 极敏感 | 法律特殊保护 | 生物特征、儿童信息、金融账户 | 单独授权+加密+严格审计 |
注意：我曾经遇到一家公司，把所有数据都标为「高度敏感」。结果业务部门根本不配合，因为连查个用户名都要审批三天。分级要合理，别搞「一刀切」。
数据流图绘制实战：画出来，问题就藏不住了
数据流图，很多人觉得是形式主义。其实不是。你画一遍，就能发现很多「我以为」和「实际上」的差距。
举个例子：我帮一家电商公司做合规检查，他们信誓旦旦说「用户数据只在内部使用」。结果我画完数据流图发现——订单数据通过一个API直接传给了第三方物流公司，而且没有做脱敏处理。嗯，这就是画图的价值。
绘制数据流图，我一般分四步：
- 确定边界——系统边界在哪？外部接口有哪些？
- 标出数据源——用户输入、第三方导入、系统生成
- 画出流转路径——数据从哪来，经过哪些系统，最终到哪去
- 标注存储点——数据库、缓存、日志、备份
工具方面，我个人习惯用 draw.io 或者 Visio。别纠结工具，关键是逻辑清晰。
一个简单的数据流图示例（文字描述版）：
用户注册 → 前端表单 → API网关 → 用户服务 → MySQL数据库
↓
消息队列 → 数据分析服务 → 数仓
↓
第三方推送服务 → 用户手机你看，这么一画，数据流向一目了然。哪些环节需要加密？哪些环节需要脱敏？哪些环节需要用户授权？全都能对号入座。
核心要点：数据流图不是画给监管看的，是画给自己团队看的。画完之后，你就能回答三个问题：数据在哪？谁在用？去哪了？
避坑指南：我踩过的几个坑
- 坑一：只盘生产环境，忽略测试环境。我曾经发现测试库里有完整的用户身份证数据，而且权限是「所有人可读」。嗯，这个坑我踩过。
- 坑二：分类分级标准太复杂。搞了七八个级别，业务部门根本记不住。我建议不超过四级。
- 坑三：数据流图画完就扔。系统在变，数据流也在变。我建议每季度更新一次。
- 坑四：忽略第三方数据。很多数据是从第三方接口拿到的，但盘点时没人管。别忘了，第三方数据也是你的责任。
好了，这一章的内容就这些。数据映射和分类分级，听起来枯燥，但做起来很有成就感。你想想看，当你把公司所有数据理清楚、分好类、画出流图，那种掌控感——嗯，值得。
下一章，我们聊聊「隐私影响评估（PIA）怎么做才不流于形式」。到时候见。