4. 数据映射与资产盘点
数据映射与资产盘点是个人信息保护治理的“地基工程”。如果连“有哪些个人信息、在哪里、由谁处理、流向何处、存多久”都说不清，后续的告知同意、影响评估、跨境合规、删除响应都会变成空中楼阁。本节围绕四个动作展开：处理活动梳理、数据流映射、资产登记、处理者角色识别，并给出一套可直接落地的盘点工具实战方法。
一、处理活动梳理：从业务场景出发，而不是从系统出发
处理活动梳理的核心单位是“处理活动”，即围绕一个明确业务目的、由特定角色对特定个人信息集合执行的一组处理操作。它不等于“一个系统”或“一张表”。例如“会员注册与登录”“订单履约与配送”“客服工单处理”“员工考勤与薪酬发放”都是典型的处理活动。
梳理时建议按“业务线 → 业务场景 → 处理活动 → 处理操作”四级拆解。每个处理活动至少记录：活动名称与编号、业务负责人、处理目的、个人信息主体类型（用户、员工、供应商联系人等）、个人信息字段清单、处理操作类型（收集、存储、使用、加工、传输、提供、公开、删除）、存储位置与期限、对外提供对象、适用法律依据与告知文本版本。
一个常见误区是只记录“系统里有什么字段”，却漏掉线下环节：纸质登记表、Excel 台账、邮件附件、客服聊天记录、监控录像、访客登记。这些往往才是风险最高的“影子数据”。因此梳理时要同步做一次“线下与影子数据扫描”，把非系统化载体纳入清单。
二、数据流映射：把“字段—系统—角色—地域”串成链路
数据流映射（Data Flow Mapping）是在处理活动清单基础上，回答“数据从哪里来、经过谁、存到哪里、流向哪里”。建议为每个处理活动绘制一条数据流链路，标注五类节点：采集点、传输通道、存储与处理节点、共享/委托节点、销毁节点。每条边标注传输方式（API、文件、消息队列、人工导出）、是否加密、是否跨境、是否经过第三方。
映射时特别关注三类高风险流向：一是向第三方提供或委托处理，需确认是否有合同与告知；二是跨境传输，需确认目的地、传输机制与法律依据；三是内部跨部门共享，需确认最小必要与权限边界。数据流图不必追求一次完美，但必须能回答“某个字段从哪来、到哪去、谁有权看”。
三、资产登记：把“数据”当作可管理的资产对象
资产登记的目标是形成一份可查询、可追责、可更新的个人信息资产台账。台账的最小字段建议包括：资产编号、资产名称、载体类型（数据库表、文件、接口、纸质档案）、所属系统、存储位置（机房/云区域）、数据量级、字段清单、敏感级别、关联处理活动编号、责任部门与责任人、保留期限、销毁方式、最近更新时间。
敏感级别可按“一般个人信息 / 敏感个人信息 / 特殊敏感（生物识别、金融账户、行踪轨迹、不满十四周岁未成年人信息等）”三档划分。分级不是为了贴标签，而是为了驱动差异化控制：敏感字段是否加密、是否单独同意、是否限制导出、是否缩短保留期。
台账维护最容易失败的地方是“一次性盘点后不再更新”。建议把资产登记嵌入变更管理流程：新建系统、新增字段、新增第三方接口、新增导出场景时，必须同步更新台账，否则变更不予上线。这样台账才能保持“活”的状态。
四、处理者角色识别：决定义务归属的关键一步
角色识别直接决定谁承担告知同意、响应主体权利、开展影响评估、签署委托合同等义务。常见角色包括：个人信息处理者（自主决定处理目的和方式）、受托处理者（按委托合同处理，不得超范围）、独立接收方（如物流、支付机构自主决定处理目的）、共同处理者（两方以上共同决定处理目的和方式）。
判断时抓住两个问题：谁决定“为什么处理”和“怎么处理”？如果平台决定目的与方式，平台是处理者；如果供应商仅按指令提供存储或短信通道，通常是受托处理者；如果物流公司为自身配送管理目的使用地址，则可能构成独立接收方。角色不同，合同条款、告知文本、责任边界都不同，必须在盘点阶段就标注清楚。
五、盘点工具实战：从模板到可执行流程
工具不必昂贵，关键是字段完整、流程闭环、责任到人。下面给出一份可直接参考的处理活动登记表字段示例（示例字段，实际使用时按组织情况裁剪）：
处理活动登记表（示例字段）
活动编号：PA-2024-013
活动名称：会员注册与登录
业务负责人：用户增长部 / 张某某
处理目的：账号创建、身份验证、会员权益发放
主体类型：注册用户
字段清单：手机号、昵称、密码哈希、注册IP、设备标识
处理操作：收集、存储、使用、传输
存储位置：华东云区 user_center 库
保留期限：账号注销后 30 天
对外提供：短信服务商（受托）、云厂商（受托）
跨境情况：无
法律依据：同意 + 合同履行必要
告知版本：隐私政策 v3.2
最近更新：2024-06-18
盘点执行建议按“准备—采集—校验—入库—复核”五步推进。准备阶段确定范围与模板；采集阶段通过访谈、系统扫描、日志抽样、问卷并行获取信息；校验阶段交叉比对系统字段与台账字段，重点检查“有系统无台账”和“有台账无系统”的差异；入库阶段统一编号并录入工具；复核阶段由业务、法务、安全三方会签确认。
完成本节四个动作后，组织应能回答：我们处理哪些个人信息、它们如何流动、存放在哪里、由谁负责、涉及哪些角色、保留多久、流向哪些第三方。这份“数据地图”将成为后续风险评估、合规审计和事件响应的共同底座。