合规同事最常卡在同一个问题上：这条业务到底归不归数据安全法管。有人以为只有大平台才算，有人以为只要不碰个人信息就没事。真到写制度、报风险评估、接监管问询的时候，边界说不清就没法往下走。这篇按主体、数据、行为三层拆一遍判定顺序，再列几种容易搞反的情况，让你能在半小时内给自己手上的业务做个初判，并把需要留痕的结论记下来。
合规同事最常卡在同一个问题上：手上这条业务到底归不归数据安全法管。有人默认只有大平台才算，自己这种小团队可以放一放；也有人觉得只要不碰个人信息就没事。真到写内部制度、做风险评估、接监管问询的时候，边界说不清就没法往下走，写出来的东西自己都不信。
这篇按主体、数据、行为三层给你一套判定顺序，再列几种容易搞反的情况。目标很实在：半小时内给自己手上的业务做个初判，把该留痕的结论记成一页备忘。下面所有涉及具体口径或目录的地方，都建议到 /ai-nav/category/ai-legal 和站内合规分区核对当时的版本，别拿旧理解直接用。
先看主体：谁要守这部法
主体判定不是看公司规模，而是看有没有在中国境内开展数据处理活动。只要在境内做收集、存储、使用、加工、传输、提供、公开这类动作中的任意一种，就落在范围内。一家只有几个人的小团队，只要在境内运营产品，适用性上和大厂没有区别，区别只在义务落实的深度。
境外主体也不是完全没事。如果处理的是境内自然人或组织的相关数据，或者处理结果会影响到境内，监管同样能要求其遵守，这一点在跨境业务里最容易被漏掉。很多团队以为服务器和数据都在境外就没关系，等到要接境内客户或往境内推服务时才发现要补的功课一大堆。
| 你的情况 | 初步判断 | 常见误区 |
|---|---|---|
| 境内团队，在境内做数据处理 | 在范围内 | 以为小团队豁免 |
| 境外团队，处理境内相关数据 | 通常也要遵守 | 只看服务器位置 |
| 纯个人家庭事务的数据整理 | 一般不按企业合规要求 | 误以为完全无法可依 |
| 对外提供服务并涉及他人数据 | 边界转为企业合规 | 把私人场景套到业务上 |
- 先确认主体，再去谈数据分级。反过来做，很容易让小团队按大平台标准自我加码，或者把跨境业务按纯境内处理而漏项。
- 判断不适用要写清理由：是私人事务、是纯公开信息、还是根本不涉及数据处理，三种理由对应的后续动作完全不同。
- 主体结论最好一句话写下来，附上判断依据和复核时间，别只停留在口头共识。
再看数据：什么算「数据」
这部法里的数据口径很宽，电子或其他方式记录的各类信息都算，不只是数据库里的结构化数据。文档、日志、邮件、图片、音视频、模型训练用的语料，全都在里面。所以别用「我们不做用户数据」来判断不适用，内部运维日志、供应商名录、员工信息、项目底稿同样属于数据，同样要纳入分级分类和保护义务。
- 数据处理活动
- 收集、存储、使用、加工、传输、提供、公开等动作的统称，做一个就算沾边。
- 分级分类
- 按数据的重要程度和影响范围分层，不同层对应不同的保护要求。
- 重要数据
- 影响范围超出单个组织的数据类型，义务强度通常明显更高。
- 个人数据
- 能关联到具体个人的那部分，另有专门规定，与本法交叉但不互相替代。
和另外两部法做个分工记忆：偏网络与系统运行安全的那部分，和偏个人信息权益的那部分，各自另有专门规定；这部法管的是数据本身的处理与安全。三者交叉，但不能互相替代，写制度时别只引一部就交差。落到动作上，给自己整一份数据清单：数据在哪个系统、谁能访问、有没有出过内网、有没有喂给外部工具。清单不全，后面的分级和安全义务都是空的。
行为与角色：同一份数据，义务不一样
- 先定角色问自己一句：处理目的和方式是我说了算，还是别人定了我只做执行。前者要建制度、做风险评估、报告事件；后者重点落在合同条款和交付边界上。
- 再定数据类型一般数据、重要数据、涉及个人的数据，对应义务强度不一样。涉及重要数据的，通常还要设专门负责人和更严的流程。
- 最后定交付边界委托处理时，约定了用途、期限、安全措施的，受托方就不能自己拿去用；没约定清楚的，出事两边都跑不掉。
- 核对当下口径具体分级目录和监管口径会更新，到 /ai-nav/category/ai-legal 和站内合规分区对照当时的版本，别用几年前的理解套。
不适用判断也要写清：如果只是把公开信息做汇总展示，不涉及他人未公开数据、也不做二次分发，义务通常轻得多；但一旦开始做用户画像或对外售卖，性质立刻就变了。这类边界变化最好在需求评审阶段就提出来，别等到上线后补。
可执行动作：一份半小时初判顺序
上面三节讲的是判断维度，真正落地要靠固定顺序走一遍。顺序反了，最容易出现的是先自我加码、再发现没必要，或者先觉得不适用、后面被问询打回来。下面这套流程，建议直接抄进你自己的合规检查表。
- 画出数据流从采集入口开始，标出每个落点、每个接收方、每次出内网的节点。画不出来说明你还没掌握自己的数据，先补这一步。
- 套三层判定主体在不在境内、数据是不是这部法意义上的数据、你在链路里是什么角色。三层都过一遍，结论才站得住。
- 对义务清单是否要建分级分类制度、是否要指定负责人、是否要做风险评估、是否要留日志和事件报告路径。缺哪项补哪项，别一次想全。
- 写一页备忘判定依据、适用条款方向、不适用理由、下次复核时间。真遇到问询或争议，这一页比事后回忆有用得多。
常见问题
我们公司只有几个人，也用公有云上的大模型接口，需要管这么细吗？
人数不是判定标准，看的是你有没有在境内做数据处理、数据里有没有涉及他人的信息或重要数据。小团队更实用的做法是先画一条数据流，确认有没有把内部文档、客户名单直接贴进第三方工具，这往往是最先出问题的地方。制度可以简，但这根线不能断。
只要数据不出境，是不是就不用管这部法？
不是。境内处理本身就在适用范围内，出境只是额外触发一套评估与路径选择的问题。反过来，有些团队以为存境外才要合规，结果内部权限混乱、日志乱留、把数据丢给第三方工具，这些在境内同样要处理。出境判断可以另外参考数据出境那一组页面。
怎么判断我们的数据算不算「重要数据」？
这一步不建议自己拍。通常要结合行业目录、数据规模、泄露后对公共利益的影响程度一起看。可行做法是先把数据按敏感度分几档，把最敏感的那档单独拉出来，再对照所在行业的现行口径。拿不准时按更高一档做保护，成本可控而返工风险小。
