4. 数据安全法律法规
数据安全工程师面试中，法律题往往不是单独出现的，而是嵌在场景题里：面试官描述一个业务动作，问你“这样做合不合规”“出了事谁负责”“你会怎么整改”。如果只背法条名称，很容易答得空泛；真正拉开差距的，是能把三部法律的核心条款映射到具体的数据处理活动上，并给出可执行的合规动作。本章围绕《网络安全法》《数据安全法》《个人信息保护法》展开，重点讲清“是什么、要做什么、实际怎么做”，并给出一套面试应答框架。
一、三部法律的分工与核心条款
可以先用一句话建立整体认知：《网络安全法》管的是网络运行安全和网络空间秩序，《数据安全法》管的是数据处理活动的安全与开发利用，《个人信息保护法》管的是个人信息权益保护。三者有交叉，但立法目的和规制对象不同。
《网络安全法》的核心义务集中在网络运营者身上。关键条款包括：第二十一条的网络安全等级保护制度，要求采取防范病毒、网络攻击、数据泄露等技术措施，并对日志留存不少于六个月；第二十四条的网络实名制；第三十七条的关键信息基础设施运营者境内收集的个人信息和重要数据原则上境内存储，确需出境须安全评估；第四十二条要求网络运营者不得泄露、篡改、毁损所收集的个人信息，发生或可能发生泄露时应立即采取补救措施并告知用户和报告主管部门。面试中常考“日志留存多久”“数据出境谁需要评估”，答案就落在第二十一条和第三十七条。
《数据安全法》建立了数据分类分级保护制度。第二十一条要求根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或非法获取、非法利用对国家安全、公共利益或个人、组织合法权益造成的危害程度，对数据实行分类分级保护。重要数据目录由国家数据安全工作协调机制统筹制定。第二十七条要求建立健全全流程数据安全管理制度，组织开展教育培训，采取技术措施保障数据安全。第三十条要求重要数据的处理者定期开展风险评估并报送风险评估报告。第三十六条针对数据出境，规定关键信息基础设施运营者和其他数据处理者向境外提供重要数据须经安全评估。此外，第四十五条至第四十八条明确了未履行数据安全保护义务、向境外非法提供数据等行为的法律责任，罚款上限可达一千万元，并可责令暂停业务、吊销执照。
《个人信息保护法》的核心是“告知—同意”与个人权利。第十三条列举了处理个人信息的合法性基础，包括取得个人同意、订立合同必需、履行法定职责等。第十七条要求处理前以显著方式、清晰易懂的语言真实准确完整告知处理目的、方式、种类、保存期限等。第二十一条规定委托处理需约定处理目的、期限、方式、保护措施及双方权利义务，并进行监督。第二十八条将生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹以及不满十四周岁未成年人的个人信息列为敏感个人信息，处理需取得单独同意并具有特定目的和充分必要性。第五十五条要求处理敏感个人信息、利用个人信息进行自动化决策、委托处理、向他人提供、公开、出境等情形事前进行个人信息保护影响评估并记录处理情况。第六十六条的处罚同样严厉，情节严重的可处五千万元以下或上一年度营业额百分之五以下罚款。
二、从条款到动作：合规义务的落地
面试官更想听的是“你具体会做什么”。以“某App收集用户人脸信息用于登录”为例，合规动作可以拆成一条可执行的链路：
- 识别数据属性：人脸属于生物识别信息，落入敏感个人信息，触发《个人信息保护法》第二十八条的单独同意要求。
- 确认合法性基础：登录场景下，人脸识别是否属于“订立、履行合同所必需”？如果密码登录同样可行，则人脸并非必需，不能以“合同必需”为由绕过同意，必须取得单独同意。
- 履行告知义务：在采集前弹窗告知处理目的（身份核验）、方式（采集人脸特征值）、种类、保存期限（例如“特征值保存至账号注销后30天”）、联系方式，并提供单独同意勾选项，不能默认勾选。
- 开展影响评估：依据第五十五条，事前完成个人信息保护影响评估，记录处理目的、对个人权益的影响、安全措施，并留存至少三年。
- 落实技术措施：人脸特征值加密存储，与身份信息分离；传输使用TLS；访问实行最小权限和双人审批；日志留存不少于六个月以满足《网络安全法》第二十一条。
- 保障个人权利：提供查询、更正、删除、撤回同意的入口，撤回同意后停止处理并删除特征值。
这条链路把三部法律串了起来：敏感个人信息识别来自《个人信息保护法》，日志留存来自《网络安全法》，分类分级和风险评估来自《数据安全法》。面试时能这样串联，比单点背诵更有说服力。
三、面试法律题的应答框架
面对法律类场景题，建议用“定性—依据—动作—验证”四步框架，控制在两到三分钟内。
第一步，定性。先判断涉及哪些数据、哪些主体、哪些处理活动。例如“这是个人信息还是重要数据？处理者是关键信息基础设施运营者吗？是否涉及出境？”定性决定了适用哪部法律、哪一条款。
第二步，依据。点出具体法律和条款，不要只说“根据法规”。例如“这属于敏感个人信息，依据《个人信息保护法》第二十八条需单独同意，第五十五条需事前做影响评估”。
第三步，动作。给出可执行的整改或控制措施，按“制度—技术—人员”三层展开。制度层面修订隐私政策和委托协议；技术层面加密、脱敏、权限控制、日志审计；人员层面开展培训、明确责任人。
第四步，验证。说明如何确认合规动作生效。例如抽查同意记录是否可追溯、影响评估报告是否归档、日志是否完整、删除请求是否在承诺时限内完成。验证环节是很多候选人忽略的，补上它会让回答更完整。
四、可直接使用的面试应答示例
假设面试官问：“我们准备把用户行为数据传给境外母公司做分析，你会怎么评估？”可以这样组织：
定性：用户行为数据可能构成个人信息，若达到一定规模或涉及重要数据，还触发数据出境安全评估。
依据：
- 《个人信息保护法》第三十九条：向境外提供个人信息须告知并取得单独同意。
- 《数据安全法》第三十六条：向境外提供重要数据须经安全评估。
- 《网络安全法》第三十七条：关键信息基础设施运营者境内存储，出境须评估。
动作：
1. 先做数据分类分级，确认是否含重要数据、是否达到出境评估门槛。
2. 若仅个人信息，签署标准合同或做保护认证，并取得单独同意。
3. 若含重要数据，申报安全评估，未通过不得出境。
4. 技术上加密、脱敏，限制境外访问范围，留存出境日志。
验证：检查同意记录、评估报告、合同备案、日志审计结果。
这个示例的价值在于：它把三部法律按“是否重要数据、是否个人信息、是否关键信息基础设施”三个判断维度组织起来，面试时即使紧张也不会漏掉关键点。
五、常见失分点与纠正
第一，把“同意”当成万能钥匙。实际上《个人信息保护法》第十三条列了多项合法性基础，同意只是其中之一；而且第二十八条的敏感个人信息需要单独同意，不能混在整体同意里。第二，忽略“重要数据”这个中间层。很多候选人只分“个人信息”和“非个人信息”，漏掉重要数据，导致出境、风险评估等条款答不全。第三，只讲处罚不讲整改。面试官问“不合规怎么办”，重点在整改路径，而不是罚款金额。第四，混淆“境内存储”和“出境评估”的适用主体。境内存储义务针对关键信息基础设施运营者，出境评估则覆盖重要数据处理者和达到门槛的个人信息处理者，不能一概而论。
把这三部法律学成一张可操作的判断表，比背法条更有用。面试时先定性、再引条款、后给动作、最后说验证，就能把法律题答成工程题，既体现合规意识，也体现落地能力。