数据安全法对企业的合规要求有哪些

很多合规负责人是被业务一句「我们用了大模型，这条要不要管」问住的：知道有《数据安全法》，但说不清自己公司到底要做什么、先做哪一步、谁签字。这篇不背法条，只按「先定人、再定数、再定流程、最后定证据」的顺序，把企业要落的核心义务和可执行动作列出来，并标出哪些情况下这套流程要往上加码。

被业务一句「我们用了大模型，这条要不要管」问住的合规负责人，多半不是不重视法规，而是不知道从哪下手。把《数据安全法》对企业的要求当成一堆法条背下来没用，真正要交差的是三件事：谁负责、管住哪些数据、留得下什么证据。这篇按「先定人、再定数、再定流程、最后定证据」的顺序拆成动作清单，你可以直接照着排推进节奏。

下面每一节都给判断标准和可执行动作，不给绝对化结论。涉及具体口径和名单的地方，一律以站内当期页面为准，因为监管解释和行业实践都在动，写死的说法很容易过期。

先确认你是不是「数据处理者」，别替别人背包袱

判断义务主体看三件事：你是否自主决定处理目的和方式、是否实际持有或接触数据、是否把处理活动委托出去。三件事的答案不同，义务主体完全不同。最常见的误判出现在外包和托管上——系统放在供应商机房里，不代表合规义务一起转走了，委托方仍然要对处理活动承担管理责任。

不适用这套流程的情况也要写清：纯粹个人或家庭事务处理数据、以及完全与国内无关联的境外处理活动，一般不落在同一套要求里。但如果业务里夹着个人信息、又确实会对外提供，就不能拿这条当挡箭牌。

把责任落到岗位：谁管数据、谁批例外、谁签字

别一上来写几十页制度，先把数据资产摸一遍。要摸的是：有哪些系统、存了哪些字段、谁能导出、哪些会外发到第三方工具。整理成一页台账比一份厚文档有用得多，因为后面所有审批和留证都挂在这页台账上。

1. 列系统把业务、财务、客服、研发在用的系统全部列出来，标清各自存了哪类数据，别只列自研系统。
2. 标出口在每个系统旁标出对外的数据出口，比如导出报表、调用外部工具、对接第三方接口。
3. 定审批人明确「新增数据出口」和「给外部工具喂数据」必须谁批，审批痕迹用邮件或工单都行，关键是可追溯。
4. 设对接人每个系统指定一个业务对接人，负责本系统的字段变化通知，避免台账写完就烂在抽屉里。

小团队可以一人兼数据安全负责人和对接人，但审批痕迹不能省。分工关键词不是部门墙，而是数据流向：业务负责人必须进流程，不能只是被通知结果。

分级分类，再按级别配措施，别指望一套规则打天下

按「泄露后谁受影响、影响多大」粗分三档就能落地：公开、内部、受限。先把受限档管住，台账、导出、外发三处各加一道确认。级别越多越容易在评审会上扯不清，三档对多数中小企业足够用。

措施和级别的对应关系要写进制度，不能只写「加强保护」。技术侧的具体动作可以对照站内数据处理者安全清单逐条打勾，包括访问权限回收周期、日志留存范围、外发审批字段等。参数类的东西到 /tools/speed-test 一类页面核对当时的数字，别照抄别人文档里的旧值。

不适用的情形：如果业务本身既不接触个人信息也不接触重要数据，分级可以只做内部和公开两档，但要留下「为什么只做两档」的判断记录，否则评审时说不清。

第三方工具和出境：出问题八成出在这两个口子

接入任何外部模型或 SaaS 之前，先把三问写下来：数据发到哪、对方存多久、能不能删。答不上来的就先别接，要求对方书面答复，把答复留档。站内有一批第三方 AI 工具的数据边界整理，可以先拿它当筛选框架，再让对方补自己的口径。

• 出境判定看数据本身是否被境外主体访问或存储，不是只看服务器在不在境外
• 路径选评估还是标准合同，先到站内数据出境相关页面核对当期口径
• 训练数据回传、日志回传、技术支持远程登录，都是常被忽略的出境路径
• 员工个人账号把客户数据粘进公共对话框，等同于一次未经审批的对外提供，要单独写进员工须知并有检查动作
• 第三方工具要建立清单和复审周期，到期没答复的先按高风险处理

留证与出事后的动作：监管先要的就是这几样

平时就要能拿出来的东西：数据台账、分级结论、审批记录、培训签到、第三方清单。格式不重要，能对应到时间点、责任人和数据范围才重要。很多企业出事时拿不出材料，不是没做，而是没按「能对应到时间和责任人」的方式存。

发现疑似泄露按固定顺序走：先控制出口和收回权限，再确认影响范围，再决定是否上报，最后才是复盘改制度。顺序反了容易把可补救的事拖成事故。什么情况下要升级处理：涉及多个客户、涉及受限档数据、涉及对外传输时，不要内部消化，按公司既定的对外沟通和上报流程走。