数据安全法》中规定了数据处理者的职责有哪些

很多人被问「你们作为数据处理者要担哪些责任」时，只能背一句「保障数据安全」，具体到谁签字、哪份文件、出事多久报，说不出来。这篇按义务来源分类，给出一份能直接拿去对照自家现状的清单，也写明哪些情况下这套理解不适用——比如你只处理个人信息、或者根本不落在本法管辖范围内。

很多人被问「你们作为数据处理者要担哪些责任」时，只能背一句「保障数据安全」，具体到谁签字、哪份文件、出事多久报，说不出来。这篇按义务来源把《数据安全法》里数据处理者的法定义务拆成能对号入座的清单，讲清组织、制度、人员、报告四条责任线怎么落。

这份清单可以直接拿去对照自家现状。同时也要写明哪些情况下这套理解不适用——比如你只处理个人信息、或者根本不落在本法管辖范围内，判断结论会不一样。涉及具体条款文本和处罚幅度，建议到 /guides 核对当时的表述，不要凭记忆下结论。

先确认你是不是「数据处理者」

数据处理者不是按公司规模定的，而是按你有没有实际对数据做收集、存储、使用、加工、传输、提供、公开等动作来定。只做纯通道转发、不碰内容的角色，判断结论可能不同。委托处理、共同处理、从第三方拿到数据再加工，都会让你进入义务范围；外包给供应商不等于责任转移，责任还在你身上。

1. 做一次数据流梳理列出数据从哪来、经过谁、落到哪。理不出来说明台账缺失，这本身就是问题，先补台账再谈合规。
2. 对照动作清单打钩把每个数据流对应到收集、存储、使用、加工、传输、提供、公开这几个动作上，出现一个就说明你在范围内。
3. 标出例外角色如果某段链路你确实只是转发、不落库不解析，单独标出来，作为后续判断不适用情形的依据。

组织和人：谁负责、谁审批、谁留痕

要有明确的数据安全负责人及其职责文件，不能只写「由 IT 部门负责」。负责人是自然人还是岗位，各地监管口径不完全一致，按当地要求核对。权限要能追到人：谁能导出、谁能改、谁能删，都得有记录，没有记录等于没有控制。

• 书面指定数据安全负责人，职责写明并告知本人，避免只落在部门名上
• 建立分类分级台账：重要数据、核心数据、普通业务数据分开，分不清级别就分不清该上哪一档保护措施
• 权限清单按人维护，导出、修改、删除三类高危动作单独审批留痕
• 负责人变更时做交接记录，避免职责断档

什么情况下不适用：人数很少的团队可以把角色合并，但合并后仍要写清「谁在什么条件下能做什么」。一岗多责不等于无岗无责，关键是有没有落在纸面上、能不能查。

制度和技术措施：写到纸面还要能跑起来

制度层面至少覆盖数据安全管理制度、操作规程、风险评估机制、应急处置流程、人员培训与考核。只有一份总纲通常不够，因为总纲回答不了「具体谁在什么时候做什么」。技术层面盯四件事：访问控制、加密或脱敏、日志留存、备份恢复。每件事都要能回答多久检查一次、谁检查、发现问题怎么升级。

风险评估要做成周期性动作，而不是出事才补。频率没有统一答案，按数据敏感度和业务变化速度定，做完要留报告。不适用的情况：纯离线、不出内网、不对外提供的数据场景，传输和对外提供类的措施可以相应简化，但访问控制和日志不能省。

出事了：报告、处置、举证三条线同时走

发现数据安全缺陷、漏洞或事件时，先按内部预案止损，比如切断访问、冻结导出、保全日志，再判断是否属于需要向主管部门报告的情形。报告要留时间线：谁先发现、几点做了什么、影响到哪些数据、当前状态如何。事后补写的时间线通常经不起追问。对外沟通要统一口径，避免一边向监管报了一个范围、一边对客户说另一个范围。

• 止损动作先做，不要等定性完成再动手，日志保全和止损可以并行
• 时间线按小时记，写清动作人和动作结果，不用形容词
• 报告范围一旦对外确认，保持对监管和对客户的口径一致
• 事件结束后做复盘，把发现的制度缺口回填到上一节的措施表里

一张自查清单，按这四栏逐条打勾

把上面的内容压缩成四栏，逐条打勾。哪一栏勾不满，就先补那一栏，不要平均用力。这份清单也可以直接作为内部合规检查的底稿。

具体条款表述、处罚幅度这类会变的信息，不要凭印象引用，到 /guides 核对当时的文本。工具选型、供应商对比这类内容可以到 /tools 和 /sites 看，但工具只能帮你留痕，替代不了责任本身。