数据安全法 适用范围

做合规的同学常被问三个问题：我们这种小公司算不算适用对象？人在国内数据存境外要不要管？境外主体给我们发数据算不算境内处理？这篇不讲条文背诵，只给一套判断顺序：先看主体身份，再看数据和行为落在哪，最后看有没有例外情形。每一步都配能直接拿去开会的自查问法。

做合规的同学常被问三个问题：我们这种小公司算不算适用对象？人在国内、数据存境外要不要管？境外主体给我们发数据算不算境内处理？这三个问题其实指向同一套判断顺序：先看主体身份，再看数据和行为落在哪，最后看有没有例外情形。下面不讲条文背诵，只给能直接拿去开会的自查口径。

一个提醒：适用范围和「要不要走出境评估」「要不要做等级保护」是几套不同的判断，别在一张表里一起下结论。下面每一节末尾都给一个动作，照着走一遍，基本能把自家边界画清楚。

先分清你是不是「数据处理者」

适用范围的第一层是主体：谁在开展数据处理活动，谁就在范围内。判断依据是你做了什么，不是公司多大、有没有设专门的数据团队。一家 5 人小团队只要在收集和存储客户信息，身份上和大厂没区别，区别只在义务的轻重和落地方式。

• 自查问法一：我们有没有对数据做收集、存储、使用、加工、传输、提供、公开中的任意一项？只要占了一项，就按数据处理者来准备。
• 自查问法二：把公司里实际碰数据的人列全，包括运营、销售、财务、外包客服、代运营和云服务商，他们都在数据流里。
• 自查问法三：内部员工信息、供应商资料、测试用样例数据，算不算我们处理的数据？算。别只盯用户侧数据。

常见的误判是把「我们不碰用户数据」等同于「不适用」。很多公司的数据风险其实出在员工信息、客户合同和供应商往来上，这些同样落在数据处理的范畴里。自查时先把范围划宽，再往下删，比一开始就划窄稳妥。

地域范围：看数据和行为落在哪，不只看公司注册地

判断顺序是行为发生地优先：在境内开展数据处理活动，原则上适用，跟服务器放在哪个机房、公司注册在哪个辖区关系不大。反过来，境外主体在特定条件下处理境内自然人个人信息，也可能被纳入，所以做跨境业务时别默认「服务器在国外就没事」。

数据出境是单独一个话题：要不要走出境评估、走哪条路径，和本法适用范围的判断是两套逻辑，别混在一张表里下结论。拿不准的时候，先把术语口径统一，再回到自家数据流图逐条标注。可到 /ai-dict/category/safety 把术语定义对齐后，再动笔写结论。

一个实用动作：把数据流图打印出来，在每个环节旁边写三件事——谁在控制、数据落在哪个辖区、有没有跨到境外。三栏都填不出来的环节，就是下一个要摸清的点。

管的是哪些数据：分类分级决定你的义务强度

本法覆盖的是「数据」这个大类，不是只管个人信息。个人信息另有专门规则，两者是交叉关系，不是替代关系，具体辨析可以看站内区别篇。判断一项数据要不要重点管，先看它有没有被列入重要数据或核心数据，认定标准站内有专页可查，别凭感觉拍板。

• 一般数据：日常业务数据，按常规安全要求管理即可，但仍要有访问控制和留痕。
• 重要数据：一旦泄露或篡改可能影响公共利益，通常伴随更严的审批链和备案要求。
• 核心数据：关系国家安全和重大公共利益，管控最严，处理前先确认有没有相应资质。
• 行业口径：工业、工信、政务等领域各有细化要求，属于本法的落地层，不是另起一套。

自查动作是把业务里的数据列成清单，先分成一般、重要、核心三档，再对应到不同的义务和审批链。分档依据一定要写下来，最好附上判断理由——检查时对方问「你凭什么说这是重要数据」，有文档和没文档完全是两个局面。

一份可以照着走的四步自查

1. 第一步定主体列出所有实际接触数据的岗位和外部合作方，包括外包、代运营、云服务商；每个角色后面写上他们能碰到哪几类数据。
2. 第二步定数据流画一张从采集到删除的链路图，标出每一步落在哪个辖区、由谁控制、有没有跨境；画不出来的环节就是风险点。
3. 第三步定档位对每条数据判定一般、重要还是核心，并写清判定依据，方便日后复核和应对问询。
4. 第四步定动作把不适用的情形单独写一段说明，附上理由。合规文档里「为什么不适用」往往比「适用」更容易在检查时救场。

四步做完，再对照总体要求查漏。站内 /safety 分区还有其他清单可以配合使用，涉及跨境或工具选型时，也可以顺带看看 /tools/speed-test 这类工具页了解检测思路。自查结论建议留档，写清判断时点和使用到的资料版本，方便下次复核时对比。