开会时常见这种场面：技术说这是网络安全问题，法务说这属于个人信息保护，业务说数据安全不就是防泄露吗，三边各说各的，最后责任和流程都没定下来。这篇不讲法条全文，只做一件事：给出一张能对照的三层定位表，让你拿到一个具体事项时，先判断它落在哪一层、还牵动哪几层、该找谁签字，以及概念混用最容易在哪几个环节翻车。
开会时常见这种场面：技术说这是网络安全问题，法务说这属于个人信息保护，业务说数据安全不就是防泄露吗，三边各说各的，最后责任和流程都没定下来。真正麻烦的不是定义，而是没人能拍板「这件事该走哪条线」。这篇不讲法条全文，只做一件事：给出一张能对照的三层定位表，让你拿到一个具体事项时，先判断它落在哪一层、还牵动哪几层、该找谁签字。
下面这套顺序是：先判断层次，再对号入座看交叉，然后避开四个常见坑，最后用一张定位表把结论落到人、流程和证据上。它不是法律意见，是一份跨部门沟通的工作底稿。术语口径如果各部门不一致，先到站内 /ai-dict/category/safety 统一说法，再往下推进。
三层不是并列关系，先搞清谁是底座谁在上层
这三个词在文件里经常并列出现，但落到具体事项上并不是平级。网络安全盯的对象是网络、主机、账号、通信链路，关心的是系统能不能正常、可信地跑起来；数据安全盯的是数据这条线，从产生到销毁的保密性、完整性、可用性，不区分里面有没有自然人；个人信息保护只挑出其中「能对应到某个自然人」的那部分，看的是可识别性和处理活动有没有合法性基础。
- 网络安全
- 对象是系统与链路，判断标准偏「运行是否可信、有没有被入侵」
- 数据安全
- 对象是数据本身的全生命周期，不区分是否指向个人
- 个人信息保护
- 对象只能是能识别到自然人的数据，判断标准偏处理活动的合法与必要
判断口诀就两步：先问对象是系统还是数据，能落在系统这一侧的划到网络安全；再问这份数据里有没有指向具体的人，有就还要往上叠一层个人信息保护。两步都问完，通常就知道该谁牵头。涉及跨境、关键信息基础设施这类场景，口袋里的规则不止这三层，得单独看。
最常见的四类交叉场景，对号入座再动手
绝大部分真实问题不是单一层次的，而是两三层同时成立。下面四种场景覆盖了日常遇到的一大半，先对号入座，再决定走哪几条流程，别上来就争论定义。
| 场景 | 命中的层 | 容易漏掉的动作 |
|---|---|---|
| 系统被入侵后拖走了含身份信息的表 | 网络安全 + 个人信息保护 | 两条上报线都要走，别只修漏洞不评估信息泄露 |
| 内部员工批量导出客户名单 | 数据安全 + 个人信息保护 | 入口是权限，落点是滥用，两边都要留证 |
| 把脱敏后的数据集拿去做训练或分析 | 数据安全（风险降低）+ 个人信息保护（看能否重识别） | 别把脱敏当成处理活动终结 |
| 第三方接口或中转服务出问题 | 数据安全 + 个人信息保护 + 合同/受托处理 | 合同附件与隐私文本口径要对齐 |
对号入座之后，动作顺序建议固定下来：先做技术层面的止损和隔离，再判断有没有个人信息泄露、要不要对外告知，最后回到合同和授权凭证上补材料。顺序反了，容易出现先发声明后补证据的被动局面。
概念混用最容易踩的四个坑
概念混用带来的不是学术争论，而是实打实的流程错位。下面是四个最常见的坑，每个都给出对应的纠正动作，方便直接写进内部规范。
- 把个人信息保护当成数据安全的子集来汇报：结果只讲防泄露、不讲处理目的与告知同意，纠正方式是在汇报模板里强制分栏
- 拿「已脱敏」当免责牌：脱敏不改变数据仍属个人信息处理活动，能否再识别要单独评估，评估结论要留档
- 把所有技术加固结论当成数据合规已完成的证据：等保、渗透测试的结论不能直接推导出数据合规，两者证据池要分开
- 跨部门口径不统一：同一个动作在技术文档、隐私文本、合同附件里写法不一样，出事对不上，需要维护一份统一术语表
上面这些坑的共同点是：不是不知道法条，而是流程里没人负责把口径对齐。可以在内部指定一个固定动作，任何对外披露、上报、合同修订前，先过一遍术语表，再分别落到技术、法务、业务三个口径。
一份可照着填的事项定位表
下面这张表可以直接当模板用。拿到一个具体事项，先填前两列，再依次勾选后面三列，填写过程本身就是跨部门对齐的过程。填不出来的格子，就是接下来要补的证据或要问的人。
- 先写事项原话把问题按业务的原话写下来，不要提前翻译成「网络安全问题」或「个人信息问题」，避免一上来就被标签带偏
- 标注涉及对象写清牵扯到的是系统、数据集还是自然人，三个对象至少标一个，标不出来说明问题还没描述清楚
- 勾选命中层对照前面三层逐条勾选，允许同时勾多个，勾选结果直接决定要不要走多条流程线
- 写清触发流程与签字人技术处置、内部报备、对外告知、合同或协议修订分别归谁签字，必须写到人名或岗位，不能只写部门
- 补证据留存要求处理活动的记录、授权凭证、操作日志分别留多久、存哪里，写清楚才能通过后续检查
表格填完之后，最容易被忽略的是证据留存这一列。很多争议到最后不是流程没走，而是走完没留痕、留痕没留全。把日志和授权凭证的存放位置固定下来，比争论概念有用得多。
什么情况下这套分法不适用
这套三层定位是通用工作工具，不等于法律意见，也有明确的不适用边界。遇到下面这些情况，不要硬套表格，直接走对应的专门路径。
- 涉及特定行业的专门监管要求时，行业规则优先级更高，本文只做通用定位
- 跨境传输、关键信息基础设施等场景有单独的评估与申报路径，不能只看三层归属
- 纯内部、不涉及任何个人与对外传输的数据，个人信息保护这一层通常不适用，但不要默认豁免，仍要看是否会被重新关联
- 边界模糊、结论不确定时，以正式法律意见为准，表格只用来梳理问题，不用来下最终结论
另外提醒一点：即使某一层不适用，也不等于这个事项可以直接放行。三层定位解决的是「哪套流程、找谁签字」，不解决「能不能做」。能不能做，还要看具体监管要求和合同约定。需要核对当前口径和术语时，到站内 /ai-dict/category/safety 查阅当时的内容。
下一步如果你正被这类跨部门问题卡住，可以先到站内安全与合规资料页核对术语和流程口径，再决定该走哪条线。→常见问题
网络安全和数据安全到底谁包含谁？
没有简单的包含关系。网络安全的对象是网络与系统本身，数据安全的对象是数据及其生命周期；两者在「系统被攻破导致数据受影响」时重叠，但系统没被攻破、数据被内部违规使用，只落在数据安全这一侧。
脱敏之后还算个人信息吗？
要看脱敏后还能不能通过其他信息把个人重新识别出来。能重识别的，仍按个人信息处理；不能的，风险等级下降但不等于零，使用范围、留存期限仍要写清楚，具体口径可到站内 /ai-dict/category/safety 对照术语。
三个概念对不上时，该听谁的？
先按事项本身定位，再按管辖范围和行业规则定优先级。跨部门争议通常来自口径不统一，建议把定位表固化成模板，每次立项或上线前填一遍，而不是等出事再吵。
