数据安全法规定数据处理活动应当怎么做

很多人搜这条，是想知道「我到底要做什么才算合规」，结果读到的全是原则，回到工位还是不知道从哪下手。这篇不给法条复述，给一套能照着走的顺序：先弄清自己在处理活动里是什么角色、手上是什么数据，再把收集、存储、使用、传输、删除每个环节的必做动作列成清单，最后说清哪些材料要留、哪些情形这套做法不适用。

很多人搜这条，是想知道「我到底要做什么才算合规」，结果读到的全是原则，回到工位还是不知道从哪下手。这篇不给法条复述，给一套能照着走的顺序：先弄清自己在处理活动里是什么角色、手上是什么数据，再把收集、存储、使用、传输、删除每个环节的必做动作列成清单，最后说清哪些材料要留、哪些情形这套做法不适用。

判断标准只有一个：你能不能在被问到的时候，当场拿出对应的记录和说明。拿不出来，前面讲得再对也是纸面合规。所以往下每一步都指向「产出什么材料」，而不是「理解什么概念」。

第一步：先判角色，再给数据分级

角色判错，后面整套义务都会错配。判断方法很土但有效：看谁决定「为什么要处理这份数据、处理到什么程度」。决定目的和方式的那一方，义务最重；受委托干活的，按合同和授权边界做，超出边界要停下来确认。

数据处理者

自己决定处理目的和方式，合规义务主要落在这一方

受托处理方

按委托方的指令和合同范围动手，超出范围要先确认再执行

分级依据

按敏感度粗分可公开、内部、敏感三档，口径到站内页面核对当时的版本

• 可公开：本来就对外发布的内容，重点是不夹带内部字段
• 内部：日常经营数据，重点是权限和访问记录
• 敏感：个人信息、经营数据、重要数据，重点是目的说明、最小必要和留存期限
• 分档标准别自己拍，到 /safety 对照当时的监管口径与术语说明，具体阈值以页面为准
• 最终产出一页纸的数据处理活动清单：来源、存放位置、访问人、流向哪个第三方

不适用情形：只做纯粹内部、且数据不涉及个人信息和重要数据的团队，可以把清单做薄，但角色判断和访问权限这两栏不能省。

第二步：把义务拆到处理活动的每个环节

原则落到工位上就是每个环节的一句必答问题。答不上来，就说明这个环节还缺动作。下面这张表可以直接当自查表用。

1. 收集环节明确目的、最小必要，凡是解释不清用途的字段先别收；收之前把用途写进字段说明里。
2. 存储与使用设定访问权限、做脱敏或加密、记录取用行为；权限靠人盯不住，要能被审出来。
3. 委托与共享签数据处理协议，写明目的、期限、方式、安全措施和违约后的责任划分；对方再转委托要事先取得同意。
4. 删除环节约定保存期限，到期或目的完成后要能真的删掉，包括备份和下游副本；删不掉的地方写清原因和替代措施。

第三步：出事的反应顺序和上报动作

顺序错了，证据可能先没了。先控后查，再判断要不要上报，最后才是对外说话。这条顺序在绝大多数场景下都成立。

• 先控：限制外泄账号或接口的访问，必要时先断接口再查原因
• 再查：保全现场，日志、截图、导出记录都留一份副本
• 判断是否触发上报义务：涉及个人信息泄露、重要数据、核心数据时，触发条件和时限跟内部故障不同，具体口径到 /safety 核对当时版本，别照搬旧结论
• 对内同步：先让技术、法务、业务负责人拿到同一份事实表，统一口径
• 对外说话：口径一致之后再发布，避免各说各话把小事放大

不适用情形：纯内部测试数据、且不含个人信息的情况，可以简化流程，但「谁在什么时候动了什么」的记录还是要有。演练时可以先拿这条链路练手，成本低。

第四步：把合规变成能举证的状态

平时不看，被问到时要能当天拿出来。能不能拿出来，比制度写得多漂亮更重要。所以每季度做一次小演练，挑一条数据链路，从源头走到删除，看哪一步记录断了；断点比缺失的文档更危险。

• 数据处理活动清单：一页纸，写清来源、位置、访问人、流向
• 权限与访问记录：谁改过权限、谁取用过数据
• 委托与共享协议：目的、期限、方式、安全措施、责任划分
• 培训与操作记录：谁在什么时候知道了什么、做了什么
• 把「谁负责哪一块」写进岗位职责，别只写在制度文件里，人走制度就空了

这套做法对已经跑起来的业务有效。如果业务还在原型阶段、数据全部来自公开渠道，可以先做清单和权限两件事，其余等定型再补；反过来，如果业务已经涉及个人信息规模较大，那四类材料一个都不能少。