企业数据合规全景图与核心义务梳理

作者：马鹏军

一、三法鼎立：中国数据合规法律体系的形成与定位

中国数据治理体系历经多年演进，已形成以《网络安全法》《数据安全法》《个人信息保护法》为核心的全方位法律框架，被业界称为“数据合规三驾马车”。这一体系构建了数字经济时代企业合规的基本范式：

《网络安全法》（2017年施行）作为奠基性法律，首次确立网络运营者的安全义务框架，包括网络安全等级保护制度、关键信息基础设施保护等基础要求，强调对网络数据泄露、篡改的预防责任。  

《数据安全法》（2021年施行）以数据分类分级制度为核心，构建覆盖数据全生命周期的安全管理体系，首次将“重要数据”纳入特别监管范畴，并建立数据出境安全评估机制。  

《个人信息保护法》（2021年施行）确立“告知-同意”为个人信息处理的核心原则，引入域外效力（“长臂管辖”），赋予个人权利，并创设数据跨境传输“三重门”机制（安全评估/认证/标准合同）。

二、企业数据合规的七大核心义务体系

（一）网络安全等级保护义务：防御道防线

根据《网络安全法》第21条，企业必须履行等级保护义务，具体包括：

1.制定内部管理制度：明确网络安全负责人，建立安全操作规程。  

2.部署防护技术措施：防范病毒攻击、网络入侵等危害。  

3.日志留存不少于6个月：完整记录网络运行状态及安全事件。 

4.数据分类与加密备份：尤其对支付信息等高敏感数据实施区块链存证等强化措施。

（二）数据全生命周期安全管理义务

《数据安全法》第27条要求建立全流程数据安全管理制度，覆盖收集、存储、使用、加工、传输、提供、公开、销毁各环节。关键要求包括：

1.数据资产图谱绘制：通过DCMM（数据管理能力成熟度）三级认证标准，实现数据来源合法、处理可追溯。  

2.存储分域分级管理：安全性能需与数据级别匹配，敏感数据需加密存储。  

3.建立数据销毁规程：企业终止运营时无承接方的，必须有效销毁数据

（三）个人信息保护的“黄金法则”

《个人信息保护法》构建以知情权、决定权为核心的个人信息保护框架，企业必须做到：

1.小必要收集：不得强制捆绑授权，电商平台不得收集与交易无关的健康信息。  

2.敏感信息单独同意：生物识别、行踪轨迹等处理需明示提示  

3.权利响应机制：设置72小时内删除个人数据的通道（如电商订单擦除）。  

4.自动化决策管理：用户画像需提供拒绝选项及人工复核通道。

（四）重要数据与敏感数据的特别防护

对重要数据（如金融客户交易信息）和敏感个人信息（如医疗健康数据），法律设定了更严格义务：

1.设立专职管理机构：明确数据安全责任人。  

2.实施去标识化处理：医疗数据传输需模糊90%以上面部特征。  

3.定期风险评估：每年报送报告，含数据类型、数量、风险应对措施等。

（五）数据跨境传输的合规路径

三法联动构建跨境传输监管体系，企业需根据场景选择路径：

（六）第三方合作风险管理

委托处理数据时，企业需：

1.订立数据安全保护合同：明确受托方责任。  

2.实施供应商审计：对代运营服务商开展尽职调查，重点检查日志留存和加密措施。  

3.受托方任务完成后销毁数据：法律允许保留的除外。

（七）安全事件应急响应

根据《数据安全法》第29-30条，企业必须：

1.建立监测预警机制：实时探测泄露、篡改等异常。  

2.制定分级应急预案：按危害程度设定响应措施。  

3.72小时双重报告：向网信部门报告并告知用户（如金融账户盗用需即时冻结）。  

三、违法责任：从行政处罚到刑事追责

企业违反三法义务将面临阶梯式法律责任，典型案例揭示执法趋势：

刑事风险提示：非法提供行踪轨迹信息50条以上即构成犯罪，内部人员作案量刑标准减半。

四、企业合规体系建设六步法

基于监管要求和司法实践，企业应分阶段构建合规体系：

1.数据资产测绘：按行业标准完成分类分级，识别重要数据与核心数据。  

2.风险矩阵评估：使用网信办“数据合规体检工具”，扫描自动化决策、跨境传输等高风险场景。  

3.制度流程再造：重点建立数据主体权利响应机制（如个人信息删除通道）。  

4.技术防护升级：部署隐私计算技术实现“可用不可见”，2025年标配区块链存证+国密算法加密。  

5.攻防演练常态化：每季度开展渗透测试，模拟数据泄露应急处置。  

6.持续合规监测：接入工信部数据合规平台，动态跟踪《网络安全技术生成式人工智能服务安全基本要求》等新规。  

深圳/山东地方实践：《深圳经济特区数据条例》要求数据处理全流程记录可追溯；《山东省大数据发展促进条例》确立“谁收集谁负责、谁持有谁负责、谁管理谁负责、谁使用谁负责”的责任制。

结语：合规即竞争力

在数据要素市场化改革背景下，企业需将合规要求内嵌于业务流程：从金融数据的10年留存期，到汽车数据的“默认不收集”原则，行业规则持续细化。建议企业每半年更新合规手册，通过“法规库-案例库-工具库”三位一体体系，将合规压力转化为数据资产化能力。