数据安全法规定的数据保护义务包括哪些

法务被问到「数据安全法到底要我们做什么」，翻完条文还是不知道该改哪份文件、找谁签字、留什么证据。这篇按义务类型逐条拆开，每条给出判断标准、落地动作和不适用情形，最后附一份自查顺序，让你能拿着去和业务、IT 对齐。

法务被业务追着问「数据安全法到底要我们做什么」，翻完条文还是不知道改哪份文件、找谁签字、留什么证据。问题不在条文难，在于条文是按立法逻辑排的，不是按干活顺序排的。这篇换个排法：把义务按「谁负责、怎么干、出事了怎么办、被查了拿什么」重新归位，每条给判断标准和落地动作，再标出什么情况下可以不这么干。

先说清楚适用范围。判断一家企业要不要认真落这套义务，先问三个问题：处理的是不是个人信息、有没有重要数据、数据量级和业务依赖度到不到需要专门管的地步。三个都答「否」，可以走简化版，但简化要有书面理由。反过来，只要沾了个人信息或重要数据，下面这套基本都得走一遍。

先把义务分四类，别一条条背

条文一条条读容易晕，因为立法是按章节走的，不是按你的工作流走的。更实用的做法是把所有义务塞进四个筐：组织与制度、数据处理过程、风险与事件、配合监管。同一个筐里的条文，动作高度相似，可以合并成一套流程、一份文件、一个责任人，不用逐条建台账。

组织与制度

谁负责、写成什么文件、职责怎么定，主要落在合规和法务头上

数据处理过程

收集到销毁每个环节的控制动作，主要落在业务和研发头上

风险与事件

什么时候做评估、出事怎么升级和报告，主要落在安全和法务头上

配合监管

被检查时能拿出什么、当场能不能定位到，主要落在法务和IT头上

组织与制度义务：谁负责、写成什么文件

这一类的判断标准很直接：能不能拿出一份写明数据安全负责人姓名（或岗位）和具体职责的文件。如果只有一句「由某某部门负责」，基本等于没做。监管看的是职责有没有落到具体动作上，而不是有没有一个部门名字。

1. 定人任命数据安全负责人，书面写明职责范围、汇报线、可调动的资源。验证方式：随机问两个业务同事，知不知道找谁批数据相关的事。
2. 定制度出一份数据安全管理办法，配两条以上操作规程（比如权限审批规程、数据对外提供规程）。验证方式：制度里每条要求都能对应到一个日常动作。
3. 定口径在制度里写清数据分级分类口径、审批权限、留痕要求。验证方式：拿一个真实的数据申请单走一遍，看能不能对上口径。

什么情况下可以不这么干：只处理公开数据、不碰个人信息也不碰重要数据的极小主体，可以先做简化版制度，但简化要有书面风险评估说明理由，不能只是口头说「我们数据少」。

数据处理过程义务：收集、存储、使用、传输各管什么

这一类最容易做成口号。检验办法是：每个环节都问一句「这个环节如果出问题，我们靠什么动作挡住」，答不上来的环节就是空的。下面这张表可以直接拿去改成本司版本。

本节点到「要做什么」为止。具体哪些字段能发给外部模型、API Key 怎么管，那是另一个层面的问题，去看 /safety 分区里关于 API Key 安全和数据边界的内容，别在这里重复讨论。传输环节如果判断可能涉及出境，单独走一条线，不要和普通对外提供混在一个流程里。

风险评估与事件报告义务：什么时候做、多久内报

风险评最常见的误解是把它当成年检——到点做一次，做完归档。判断标准其实是「处理活动有没有发生重大变化」：数据种类变了、处理目的变了、对外提供对象变了、量级明显变了，就该重做。没有变化可以沿用上一版，但要留一条复审记录，写明「已复核，无变化」和复核时间。

• 评估触发条件写进制度：新业务上线、数据对外提供、处理目的变更、量级明显变化
• 事件升级路径事先定好：谁第一时间判断、谁决定对外报、谁对接监管、谁写记录
• 演练至少走一遍：拿一个虚构的数据泄露场景，按路径跑一次，看卡在哪
• 记录保留：评估报告、升级记录、对外沟通记录统一存放，标明更新人
• 低风险处理活动可以降频，但制度里要写明判定依据，不能凭感觉降

什么情况下不适用：纯粹内部使用、不对外提供、不涉及重要数据的低风险处理活动，可以降低评估频率。但「低风险」这个结论本身要有依据，写进制度，否则检查时解释不通。

配合监管义务：被问到时要能拿出什么

这一类的核心不是「有没有做」，而是「当场能不能定位」。监管或上级来问，你花三天凑材料和自己十分钟调出来，是两个完全不同的结果。建议直接做一份常备材料包，列清单、标位置、标更新人。

提醒一句：数据出境相关问题单独成线，先确认是否落在这个范围里，可以参考 /guides/data-export-assessment-scope 的判定思路。别把出境问题塞进普通对外提供的流程里，两条线的判断标准和材料要求不一样。

别把数据安全法义务和相邻法搞混

这三个法经常被混着讲。简单区分：数据安全法管数据处理活动的整体安全，个人信息保护法管个人信息权益，网络安全法管网络运行安全。三者有交叉，但不互相替代，不能说我按一个法做了就等于三个法都合规。

实操判断顺序：先问处理的是什么数据，再问有没有个人信息，再问是不是重要数据。三个答案决定按哪套义务落、落到多重。拿不准术语口径的时候，先去 /ai-dict/category/safety 把名词对齐，再动笔写制度，否则容易写着写着把两套义务揉成一套。

落地顺序：四周能跑起来的动作清单

不用等所有条件齐备再动。下面这个顺序是按「先能说清、再能干活、最后能证明」排的，四周能跑出一个可用的最小版本，后面再迭代。

1. 第一周 盘数据出一份数据资产与分级初稿，标出重要数据和个人信息字段。验证：能说清一共有几类数据、各自存在哪。
2. 第二周 定人和制度任命负责人，出管理办法，至少配两条操作规程。验证：制度里每条要求都能对应到一个日常动作。
3. 第三周 补过程控制权限、日志、脱敏、留存期限逐项过一遍，缺哪补哪。验证：抽一个环节做一次真实操作，看控制是否生效。
4. 第四周 补证据把评估记录、培训记录、演练记录归档，形成常备材料包。验证：模拟一次检查，看能否十分钟内调出主要材料。

留证：合规做没做，最后看记录

留证的核心是四要素齐全：时间、人、动作、结论。缺任何一项，检查时都很难解释。比如一份评估记录只写「已评估」，没写谁评的、什么时候评的、结论是什么，等于没留。建议按季度做一次自查并留档，自查本身也是义务履行的证据。

• 记录四要素：时间、人、动作、结论，缺一项就算不完整
• 补记要注明补记原因和时间，不要写成当时就有的样子
• 自查按季度做，结果留档，作为持续履行的证据
• 材料包的更新人写清楚，换人要交接，别只挂一个人名字