4. 中国数据安全法
《中华人民共和国数据安全法》于2021年9月1日正式施行，是我国数据安全领域的基础性法律。本章聚焦三大核心制度：数据分类分级、数据安全保护义务、数据安全审查制度，帮助学员建立合规基线。
4.1 数据分类分级制度
法律依据：《数据安全法》第二十一条
核心要求：国家建立数据分类分级保护制度。根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。
📊 数据分类分级体系（三级制）
| 级别 | 名称 | 定义 | 典型示例 | 保护要求 |
|---|---|---|---|---|
| 1级 | 核心数据 | 涉及国家安全、国民经济命脉、重要民生、重大公共利益 | 国防科技数据、金融核心交易数据、人口健康大数据 | 最高等级防护，严格审批，境内存储 |
| 2级 | 重要数据 | 可能危害国家安全、经济运行、社会稳定、公共健康和安全 | 企业核心经营数据、大规模个人信息、关键基础设施运行数据 | 重点保护，定期风险评估，出境安全评估 |
| 3级 | 一般数据 | 不涉及国家安全、公共利益，仅影响个人或组织合法权益 | 普通用户注册信息、非敏感业务日志、公开数据 | 常规保护，遵循最小必要原则 |
▲ 数据分类分级金字塔：层级越高，保护要求越严格
📋 分类分级实施步骤
- 数据资产盘点 — 梳理全量数据资产，建立数据资源目录
- 制定分类标准 — 按业务属性、行业特征、敏感程度等维度分类
- 定级评估 — 评估数据遭破坏后的影响程度，确定安全级别
- 标识与备案 — 对数据打标签，向主管部门备案重要数据和核心数据
- 动态调整 — 定期复审，根据业务变化和风险态势调整级别
4.2 数据安全保护义务
法律依据：《数据安全法》第二十七条至第三十六条
核心要求：开展数据处理活动的组织和个人应当履行数据安全保护义务，建立健全全流程数据安全管理制度，采取必要技术措施，保障数据安全。
🔐 七大核心保护义务
| 序号 | 义务名称 | 具体要求 | 合规要点 |
|---|---|---|---|
| 1 | 制度建设 | 建立健全全流程数据安全管理制度 | 制定数据安全管理办法、操作规程 |
| 2 | 组织保障 | 明确数据安全负责人和管理机构 | 设立数据安全岗位，配备专职人员 |
| 3 | 技术防护 | 采取加密、访问控制、备份等安全技术 | 数据加密、DLP、IAM、数据脱敏 |
| 4 | 风险监测 | 定期开展数据安全风险评估 | 每年至少一次风险评估，形成报告 |
| 5 | 应急响应 | 制定数据安全事件应急预案 | 定期演练，事件发生后及时处置并报告 |
| 6 | 教育培训 | 定期对从业人员进行数据安全教育和培训 | 全员培训，重点岗位专项考核 |
| 7 | 日志记录 | 记录数据处理活动，留存日志不少于六个月 | 审计日志、操作日志、异常行为记录 |
▲ 七大保护义务相互关联，形成完整的数据安全防护体系
⚠️ 法律责任警示
- 行政责任：未履行保护义务的，最高可处200万元罚款；情节严重的，最高可处1000万元罚款，并责令暂停相关业务、停业整顿、吊销相关业务许可证或营业执照。
- 刑事责任：构成犯罪的，依法追究刑事责任（如侵犯公民个人信息罪、非法获取计算机信息系统数据罪等）。
- 民事责任：造成损害的，依法承担民事赔偿责任。
4.3 数据安全审查制度
法律依据：《数据安全法》第二十四条
核心要求：国家建立数据安全审查制度，对影响或者可能影响国家安全的数据处理活动进行国家安全审查。依法作出的安全审查决定为最终决定。
🔍 审查触发条件
- 数据处理活动（收集、存储、使用、加工、传输、提供、公开等）
- 影响或可能影响国家安全，包括但不限于：
- 重要数据的出境活动
- 外国政府或组织获取我国核心数据
- 大型互联网平台的数据处理活动
- 关键信息基础设施运营者的数据活动
- 审查决定为最终决定，不可行政复议或行政诉讼
📋 审查流程（五步法）
| 步骤 | 环节 | 内容说明 | 时限 |
|---|---|---|---|
| 1 | 申报 | 数据处理者向国家网信办提交安全审查申报材料 | — |
| 2 | 初步审查 | 审查办公室在收到材料后，进行初步审查，判断是否影响国家安全 | 15个工作日 |
| 3 | 特别审查 | 如初步认为影响国家安全，启动特别审查，征求相关部门意见 | 45个工作日（可延长） |
| 4 | 作出决定 | 国家网信办会同相关部门作出通过、附条件通过或禁止的决定 | — |
| 5 | 执行与监督 | 数据处理者执行审查决定，相关部门进行后续监督 | 持续 |
▲ 数据安全审查五步流程，审查决定为最终决定
📌 审查重点考量因素
- 数据处理目的、方式、范围是否合法、正当、必要
- 数据安全风险：数据泄露、篡改、丢失等风险程度
- 数据接收方的安全保护能力、信誉、所在国家法律环境
- 对国家安全