数据安全法 个人信息保护法 区别

刚接手合规的人常卡在同一个问题上：公司要出一份制度、要做一次自查，到底该按数据安全法还是个人信息保护法来写？两份法规听上去都在管数据，但它们的出发点、管的对象、出事的后果都不一样。这篇不从法条背诵讲起，而是给一张对照表和一套判断顺序，帮你先把适用范围划出来，再决定去哪个页面核对细节。

刚接手合规的人常卡在同一个问题上：公司要出一份制度、要做一次自查，到底该按数据安全法还是个人信息保护法来写？两份法规听上去都在管数据，但它们的出发点、管的对象、出事的后果都不一样。这篇不从法条背诵讲起，而是给一张对照表和一套判断顺序，帮你先把适用范围划出来，再决定去哪个页面核对细节。

顺序很关键。很多人一上来就想写制度，结果写完发现用的是另一部法的逻辑，白做一轮。正确的做法是先判断这份数据是谁的、受损的是谁，再回到条文里找对应义务。下面按这个思路拆开讲，每节都给你能直接上手的动作。

为什么这两部法总被混着说

混用的根源在语言习惯。「数据」这个词在日常口径里几乎万能，会议纪要里写数据，产品文档里也写数据，但它们可能指的是完全不同的东西。当一份材料里既出现用户手机号又出现业务流水，读的人很容易默认它们是同一类客体，于是把两部法的要求混着抄。

• 两部法都在「数据」这个词上做文章，日常口径里「数据」和「个人信息」经常被当同义词用
• 企业内部的合规岗位往往一人兼两摊，制度模板互相抄，边界就这么糊掉了
• 监管口径上两者是并列关系而不是替代关系，一份数据可以同时被两部法覆盖
• 先分清「谁在管什么」，再谈制度怎么写，顺序反了会白做一轮

还有一个现实原因：合规新人往往拿到的是一份已经存在多年的制度模板，没有人标注每一段对应哪部法。你要做的不是推翻模板，而是在模板边上做标注，把每一条义务的出处找出来，缺的那一块自然就显形了。

立法定位：一个管「整体安全」，一个管「个人权益」

这是两法对比里最值得先记住的一句话：数据安全法站在国家安全和公共利益的角度，关心的是数据被篡改、破坏、泄露、非法获取之后对整体秩序的影响；个人信息保护法站在自然人权益的角度，关心的是个人信息处理活动本身对个人是否合法、正当、必要。

同一个泄露事件可能同时触发两条线：既是对数据安全义务的违反，也是对个人权益的侵害。所以不是二选一，而是分别对齐。判断口径可以简化成一个问题：先问「受损的是谁」，是公共秩序还是具体个人，答案决定你该先对齐哪部法。

适用对象与数据范围怎么划

数据安全法覆盖的是「数据处理活动」，口径宽，除了个人信息还包括业务数据、日志、算法训练语料等非个人信息。个人信息保护法的触发点是「个人信息」这一特定客体，只要涉及可识别到自然人的信息，无论存在哪都要管。这两句话决定了你的清单应该怎么列。

1. 第一步：拆数据把主业务流程涉及的数据拆成三类：能关联到具体人的、不能关联到具体人的、拿不准的。拿不准的先单独放一列，不要硬塞进任何一类。
2. 第二步：问可识别性对每一份数据问「能不能通过这份数据本身或结合其他信息关联到具体人」。能，个人信息保护法入场；不能，也别急着排除数据安全法，继续走第三步。
3. 第三步：看境外因素只要涉及跨境传输或境外处理，两部法的触发条件不一样，要分别看，别用一部法的结论套另一部。跨国业务在这一步最容易漏。
4. 验证方式把这三步的结论写成一句话：「这份数据，我们判定属于 X 类，理由是 Y，因此主要对齐 Z 法。」写不出来说明还没判断清楚。

义务清单对照：各自要求你做什么

这一节不背条文，只讲两类义务的落点差异。数据安全法这一侧的核心动作是分类分级、建立数据安全管理制度、开展风险评估、对重要数据做重点保护。个人信息保护法这一侧的核心动作是告知同意、最小必要、个人权利响应、委托处理与对外提供的约束。

• 重叠区在「安全措施」：加密、访问控制、日志留存两边都提，但落脚点不同，一个为了数据本身，一个为了个人权益
• 写制度时建议按「客体」拆章：个人信息章、非个人信息数据章、重要数据章，避免同一条要求写两遍还写岔
• 每一章开头写明本章对齐的是哪部法，后面条款就不再需要反复解释
• 委托处理和对外提供这类动作，往往同时落在两章里，标注清楚两处分别承担什么即可，不冲突

对新人来说，最省力的做法不是重新起草，而是拿现有制度逐条打标签。打完标签你会发现，真正缺失的往往只有一两块，而不是整个体系。具体条款的表述和当前口径，建议到站内合规与安全分区核对，条文细节不要凭记忆写。

四个常见场景，快速判断该按哪部法走

概念讲完还是要落到场景。下面四个场景是合规新人最常遇到的，每个都给出判断顺序，你可以直接照着走一遍，再把结论套回自己公司的实际情况。

每个场景都要落到「谁的信息、谁的权益、谁的责任」三个问题上，答不出就先别动手写方案。这三个问题回答完，你其实已经完成了适用范围的第一步划分。

判断先问受损的是谁，再问数据能不能关联到具体人，顺序反了就会用错法。

新人第一周能做的三件事

不要一上来就读全文。顺序对了，第一周只做三件事，就能把后面几个月的工作框架搭起来。这三件事都是动手的，不是阅读任务。

1. 第一件：列清单把公司现有的数据资产按「个人信息 / 非个人信息 / 重要数据」三档列一遍，不要列全，先列主业务流程涉及的。列不全没关系，先把主干跑通。
2. 第二件：打标签对着这份清单，把现有制度里已经写了的义务标出来，缺哪一块一目了然，不用从零起草。标签建议标注到条款级别，不要只标到章节。
3. 第三件：确认口径找法务或外部顾问确认「重要数据」的认定口径，这一条最容易踩空，也最容易在自查时被打回。确认结果要落到书面，不要只停留在口头。
4. 收尾做完这三件事再去读条文，理解速度会快很多，也不容易把两部法当同一件事。清单和标签在下次业务变更时还能复用。

什么情况下这套判断不适用

上面这套对照顺序有明确边界，不是万能钥匙。遇到下面几类情况，通用判断只能作参考，必须走专门的口径，否则结论可能完全是错的。

• 涉及关键信息基础设施的运营者，还有额外的安全保护义务，两法对照表覆盖不到
• 行业有专门规定时（金融、医疗、汽车等），行业口径优先，通用判断只作参考
• 涉及国家核心数据的场景，认定标准和普通数据完全不是一个量级，必须单独处理
• 如果业务本身跨境且规模较大，数据出境评估那条线要先走，不能靠两法对比得出答案

把这些边界写进你的判断说明里，反而能让结论更可信。别人看到你知道哪些情况不适用，会更愿意相信你在适用范围内的判断。

判断过程本身要留痕

判断结论会过期。业务变了、数据范围变了、监管口径变了，之前的结论就可能不再成立。所以留痕不是形式主义，而是让你下次能快速判断「这次变动要不要重新评估」。

• 把「为什么判定这份数据不属于个人信息」「为什么没触发重要数据认定」的理由写下来，形成内部说明文档
• 每次业务变更、数据范围变动时更新一次判断结论，别让结论停留在某次会议上
• 留痕的价值在于，将来被问到的时候你能说清当时的判断依据，而不是临时回忆
• 具体留哪些字段、留多久，可以到站内安全与合规分区看相关条目，按当前口径来

留痕文档不需要长篇大论，一张表加几行理由就够。关键是格式固定、字段统一，这样别人接手时能看懂，跨部门对齐时也能直接引用。判断标准和追踪口径会随时间调整，涉及细节数字和最新口径的部分，建议到站内对应页面核查当时的版本。