合规同事最常卡在一句话上：老板问「我们做了数据安全，是不是个人信息保护也算做了？」你答不上来。两套要求有重叠，但判断口径、适用对象、出问题的后果都不一样，混着做最后两边都不达标。这篇给一张交叉关系对照表、一套拆任务的顺序，以及文档里怎么把两者写清楚。
合规同事最常被老板问住的一句话是：我们数据安全做了不少，个人信息保护是不是也顺带算做了？这个问题不能含糊答。两套要求确实有重叠，但适用对象、判断口径、出问题时的后果都不一样。混着做，最后两边都不达标，检查时还说不清到底做了哪一边。
这篇不做概念科普，只给一张交叉关系对照表、一套拆任务的顺序，以及文档里怎么把两者分开写清楚。判断标准是通用的，具体条款口径和数量线到站内安全与合规分区核对当期文本，别拿记忆里的数字当依据。
先把两个圈画出来：哪里重合、哪里各自独立
数据安全盯的是数据本身，按重要程度分级管控，关心的是泄露、篡改、丢失会不会造成大的影响；个人信息保护盯的是能不能识别到具体的人，按处理行为管，关心的是有没有告知、有没有同意、用没用超范围。两者是从不同维度切同一堆数据，所以既有交集也有各自独立的地盘。
| 数据类型 | 数据安全这边要不要管 | 个人信息保护这边要不要管 |
|---|---|---|
| 内部业务日志、模型权重 | 要，按分级管控 | 一般不涉及，除非能关联到具体人 |
| 用户手机号、身份信息 | 要，通常属于较敏感层级 | 要，重点管告知同意与最小必要 |
| 公开渠道收集的少量个人信息 | 一般看体量，可能不进入重点分级 | 要，行为合规照样跑 |
| 既含个人信息又达到重要数据口径 | 要，两套同时满足 | 要，两套同时满足 |
- 重合地带：既属于个人信息、又达到重要数据口径的那部分，两套要求必须同时满足，缺一项就算漏做
- 各自独立地带：不涉及个人的业务数据、日志、模型权重，只看数据安全这一边
- 另一侧独立地带：公开收集的少量个人信息，没到重要数据量级，主要看个人信息保护这一边
- 判断动作：先给手里的数据打两个标签，一个是分级标签，一个是是否涉及个人信息的标签，两个都打完再谈该套哪套流程
判断标准不一样，混用会得出错误结论
两套要求的底层逻辑不同，所以「做了 A 就等于做了 B」这种推论基本站不住。数据安全是自上而下的分级思路，个人信息保护是围绕个人权利的行为思路，评价的尺子都不一样。
- 数据安全的判断问题
- 这份数据泄露、被篡改或丢失，会不会影响国家安全、公共利益或企业能不能继续经营
- 个人信息保护的判断问题
- 有没有告知、有没有取得同意、有没有超范围使用、个人能不能撤回或删除
- 常见误判一
- 把内部业务数据脱敏后当作已合规，其实脱敏解决的是个人信息那一边，分级管控那一边一点没动
- 常见误判二
- 数据分级做到位了，但处理个人信息该走的告知同意没做，照样是个问题
- 数据安全侧的关键词是分级、权限、审计、加密、备份，产出物偏向制度与台账
- 个人信息保护侧的关键词是告知、同意、最小必要、留存期限、撤回删除，产出物偏向流程与记录
- 同一份材料可能同时回应两边要求，但要在评审表里写明它对应哪一条，别让接手的人猜
- 两边都涉及「谁能看」，但数据安全关心的是权限是否匹配分级，个人信息保护关心的是这个人有没有被授权处理这条个人信息，问法不同
一份活儿怎么拆：谁先谁后，哪几步能合并
- 数据盘点一次到位盘点时一张表盘出两个清单：分级清单和个人信息清单，避免分两轮盘、口径还对不上。验证方式是两份清单能互相引用同一份数据条目编号。
- 标出重合部分把既涉及个人信息又进入重点分级的条目单独标出来，这部分做一次评审、同时出两套结论，效率最高，也最不容易漏。
- 分开做执行动作分级管控、权限与审计走数据安全流程；告知同意、最小必要、留存期限走个人信息保护流程。验证方式是每项动作能对应到唯一的责任人和唯一的依据。
- 文档分行写不要用一句「已满足数据安全与个人信息保护要求」把两边糊在一起。分开列，每一条写清它属于哪一边、依据是什么，检查时才拿得出来。
落到文档和评审上：怎么写、怎么自证
合规工作最后都要落到文档能不能自证。写不清楚的文件，等于没做。评审现场被问「这条要求出自哪一边」，答不上来比没做还尴尬。
| 文档字段 | 写什么 | 为什么 |
|---|---|---|
| 要求原文 | 摘录该条要求的核心动作 | 方便后续换人接手时对得上 |
| 归属 | 写明属于数据安全、个人信息保护，还是两边重合 | 避免混着算 |
| 证据 | 指向具体的台账、记录或截图位置 | 评审时能当场调出 |
| 时间 | 标注完成节点，能看出先后顺序 | 顺序颠倒会被追问 |
- 评审表里加一列「依据」，写清这条要求来自哪一边，后续换人接手时不用重新推
- 重合部分单独存档，说明同一份材料同时回应了哪两条要求，减少重复提交
- 留存材料要能看出时间顺序：先分级、再定处理规则、再上线
- 不适用的情况：业务量极小、完全不碰个人信息的内部工具，可以把个人信息保护那部分简化成一句说明，但不要故意留空，留空看起来像漏做
- 跨部门评审时，先让人把术语对齐再开会，不然争论一半都在吵词
具体口径和数字去哪核对
这篇只给判断框架，不写死任何数量线和条款编号，因为这些东西会随文本更新。真要落到具体条款、评估路径、备案有效期，必须按当期官方文本和站内整理对照。
- 数据分级、个人信息处理的具体条款口径，按当期文本为准，到 /safety 分区看对应条目
- 涉及跨境、评估、备案这类流程性问题，路径和有效期会变，到 /safety 里对应的评估与备案页面核对当期要求
- 术语分辨不清时，先用 /ai-dict/category/safety 把词对齐，再开评审会，能省掉一半争论
- 需要看各家官方接口与资料库时，从站内模型资料库入口进，别拿二手截图当依据
数据安全问的是「有多重要」，个人信息保护问的是「指向谁」，两个问题答案不同，流程就不能互相顶替。下一步先把手上这份数据盘成两个标签，再带着标签去 /safety 分区核对当期条款口径，比空手开评审会效率高得多。→
常见问题
数据安全法和个人信息保护法是二选一吗，做了前者是不是就够了？
不是二选一。两者适用对象不同：前者按数据重要程度管，后者按是否指向具体的人、怎么处理来管。一份数据可能同时踩两边，比如既能定位到人、又达到重要数据口径，那就得两套要求都满足。只有明确既不属于个人信息、也没到重要数据量级的数据，才只看数据安全这一边。
脱敏之后是不是就可以当普通数据用了？
不一定。脱敏主要解决的是个人信息那一边的风险，降低能识别到具体人的概率；但数据本身的分级、访问权限、日志审计这些要求不会因为脱敏就消失。而且脱敏强度够不够、能不能被重新关联出来，本身也要评估。判断顺序是先看是不是个人信息，再看分级，两关都过才谈放宽。
评审材料里怎么把两者写清楚，避免被退回？
别用一句话打包。建议列一张表，每条要求单独一行，写清依据来自哪一边、证据是哪份文件、谁负责。重合的部分标注「同时回应两项要求」，并说明依据同一条材料。这样接手的人能直接看懂边界，检查时也不会因为表述含糊被打回来。
