数据安全法对数据处理者有哪些要求

你可能是在做合规自查，翻完法条还是不知道明天该动哪一步：哪些数据要先分类分级、日志留多久、出了事先报谁。这篇不背法条，只给你一条从「认定身份」到「留证据」的推进顺序，每一步都写清判断标准和什么时候不适用，你照着在内部会上过一遍就能变成待办。

翻完《数据安全法》原文，很多人卡在同一个地方：法条讲的是义务，不是动作。你知道自己「应当建立制度」「应当开展评估」，但明天上班第一件事该干什么，还是不清楚。这篇不逐条背法条，只给你一条从认定身份到留证据的推进顺序，每一步都写清判断标准和什么情况下不适用。你照着在内部会上过一遍，基本就能变成一份待办清单。

需要先说清楚一点：下面这套是按「数据处理者」的通用义务整理的，属于最低行动框架。你们行业如果有更细的规范，或者业务涉及出口、金融、医疗这类专门监管，按更严的那份执行。整套清单的落点是一张内部表加一组可追溯的记录，不是一堆写在墙上的制度。

先判断你是不是「数据处理者」

判定不看公司规模，也不看你有没有机房，看你是否对数据处理活动有自主决定权。自己决定收什么、怎么用、给谁看，就是处理者；只提供存储空间或传输通道、完全不碰内容的，通常先按受托方的口径去核合同，而不是直接套处理者义务。

处理者

自主决定数据处理目的和方式的一方，义务最重

受托方

按他人指令处理数据，义务主要来自合同和委托方要求

混合身份

同一家公司不同业务线角色不同，必须拆开认定

现实里很少有一家公司只有一种身份。常见情况是：面向用户的主业务是处理者，给别的企业做后台服务的业务线是受托方。所以别整个公司套一套义务，按业务线拆开，每条线单独标角色。这样后面做分类分级、做评估、签合同，才知道该拿哪套标准去要求自己。

判断完身份，第一件要落地的事是把结果写成一张表，至少四列：业务线、涉及的数据类别、自己在其中的角色、责任人。这张表是后面所有动作的挂钩点，没有它，后面的分级、审批、评估都会变成没人认领的纸面工作。表做完发一次内部确认，让每条业务线的负责人签字，比制度文件本身有用得多。

分类分级是所有义务的起点

数据安全法里的很多义务，触发条件都挂在「数据是什么级别」上。所以分类分级不是一道可选的前置动作，它决定你后面要花多少力气。做法上别一上来就买工具，先按三个问题给数据打标：谁的数据、敏感度多高、泄露后影响谁。这三问答完，大部分数据就能落到粗档位里。

1. 先粗分三档按公开、内部、敏感三档打标，敏感档再往下细分个人标识、经营数据、技术资料等类别
2. 重要和核心数据单独标认定门槛高，拿不准的先标黄，到 /safety 对照当时的监管口径再定级，不要自己拍板
3. 签字确认每张分级表要有人认领并签字，没人负责的分级表等于没做
4. 挂到审批流程把档位和访问审批、导出审批绑定，档位越高审批层级越高

有个容易踩的坑：把所有数据都标成敏感，结果审批流程被堵死，业务自己绕开流程走。分级要能用，宁可先粗后细，也不要一次分到最细导致没人执行。做完一轮之后按业务变化定期回看，新增的数据类别补进去，而不是永远用第一版。

收集和使用环节的边界怎么划

收集环节的核心判断标准是：目的明确、合理，而且目的变了要重新评估。这里最常见的问题不是没有授权，而是拿旧授权干新事——当初为了提供服务收的数据，后来拿去做了别的事。使用环节要重点盯二次利用，内部拿去做训练、做统计、做对外合作，每一次都算一次新的处理活动，要重新过一遍评估。

这张表可以固定成一张内部对照表，三个列互相能对上，才算通过。任何一列对不上，处理活动就先暂停，把依据补上再继续。这套做法的好处是不依赖法条记忆，开会时拿表过一遍就有结论。如果你想知道数据实际流到了哪里，别只信文档，到 /data-boundary-audit 那套链路审计思路里核对实际流向，文档和实际经常对不上。

该采取的安全措施分几层

安全措施可以拆成三层来看，但这不是让你挑一层做，而是给你一个排期框架：组织层、技术层、运营层。小团队资源有限，可以先做三件最基础的事——指定责任人、权限最小化、保留审计日志，其余按风险高低排期，而不是一次全上。

• 组织层：明确责任人、成文制度、定期培训、纳入考核
• 技术层：访问权限、加密、脱敏、审计日志
• 运营层：日常监测、应急演练、供应商管理
• 高敏感数据必须有单独的访问审批和留痕，不能和普通数据共用一套权限
• 措施要和分级挂钩，档位越高措施越严，不是所有数据一个标准

判断措施够不够，有个简单办法：拿最高档的数据问自己三个问题——谁能碰、碰了有没有记录、出事能不能查出来。三个都能答上，说明基础框架够用。答不上，说明还有缺口，不用去做全面评估，先把这三个问题补上。

风险监测与评估怎么排节奏

评估频率别拍脑袋定，更靠谱的做法是定触发条件。业务上出现这几种情况，就做一次评估：上新系统、接新供应商、涉及数据出境、业务模式变更。任一条命中就触发，没命中就按常规周期走。这样比固定日历更贴合风险实际，也更容易说服业务配合。

除了上面两类，还要盯权限突然放大和日志中断这两个信号。权限突然放大可能是流程外操作，日志中断更麻烦——没日志意味着后面查不清。评估报告要能回答四件事：发现什么、影响谁、打算怎么办、谁批的，缺一段都不算完成。

监测是一回事，定期评估是另一回事。评估周期定多长，跟业务变化速度、数据敏感度、监管关注度都有关。到 /guides/data-security-assessment-frequency-2 看同类企业怎么定周期，别自己关起门估一个数字。

出事了按这个顺序走

事件处置最怕顺序搞错。很多人第一反应是清理现场，结果把最好的证据删掉了。正确顺序是止损、定级、上报与告知、复盘，四步不要跳。止损阶段只做一件事：切断入口、冻结相关账号、保住现场，日志和记录一律先别删。

1. 止损切断入口、冻结账号、保住现场，明确禁止清理日志和数据
2. 定级按影响范围和数据类型判断是否属于需要上报的事件，拿不准的从高不从低
3. 上报与告知走内部合规口，同步判断是否要通知受影响的人和监管，通知口径提前准备好
4. 复盘把原因、时间线、补救动作写成一份可复用的记录，下次演练直接拿它改

这四步里，定级是最容易含糊的。判断标准可以简化成两句：有没有影响到个人权益，有没有影响到业务连续性。两者沾一个，就按需要上报来处理，宁可多报一次，也别漏报。复盘记录别写成流水账，要能让没参与处置的人照着理解发生了什么、哪一步慢了。

留痕和举证怎么做到关键时刻能用

留痕的目的不是应付检查，是出事时能说清楚。四类材料必须留：制度文件、操作日志、审批记录、对外沟通记录。日志的重点不是全，是可追溯——谁、什么时候、对哪批数据、做了什么，这四个要素齐了，日志才有用。少一个要素，关键时刻就卡住。

留存期限按业务要求和监管要求取更长的那条，到期销毁也要留销毁记录，包括谁批的、怎么销毁的。销毁记录本身就是合规证据，别以为数据删了就没事了。

• 先看有没有记录：四类材料是不是都存在
• 再看记录完不完整：关键要素缺不缺
• 最后看能不能对上人和时间：日志能不能和审批、操作人对上
• 对不上的地方就是缺口，优先补这里，而不是继续加新记录

把义务传导给供应商和合作方

你自己做得好，不代表链条上没问题。义务要顺着合同传导出去，至少写清六件事：处理目的、数据范围、留存期限、再委托限制、事件通知时限、退出时怎么删。这六条缺哪条，后面出事时责任边界就说不清。对方给不出安全能力说明的，先降级处理，别把敏感数据放进去。

签约只是一次动作，定期抽查比一次性签约有用得多，而且抽查记录本身就是合规证据。抽查不用太复杂，抽几条数据走一遍对方给的流程，看能不能说清楚去了哪、谁碰了。跟你用的外部工具怎么对齐边界，到 /guides/third-party-ai-data-boundary 看具体的划线方式，尤其是涉及把数据交给外部模型处理的时候。

最后提醒一句：这套清单是给数据处理者用的通用框架，具体到你们业务，义务的轻重缓急会不一样。别把它当成一次性项目，做成一张随业务更新的表、一套每次变更都触发的流程，才算真正落地。