数据安全法实施时间准备工作

很多合规负责人被问「数据安全法实施时间到了，我们准备什么」时，手上只有一份法规全文，不知道第一步该干什么。更麻烦的是，网上关于生效时间、过渡期、配套办法的说法互相打架。这篇不给结论数字，只给一套可执行的动作顺序：先确认时间口径从哪查，再盘数据资产、补制度和留证，最后给出自查清单和排查顺序。

被老板或业务方问「数据安全法实施时间到了，我们该准备什么」，很多人手上只有一份法规全文，翻完之后更懵：先改制度还是先盘数据，谁来牵头，怎么证明自己做了。更麻烦的是，网上关于生效节点、过渡期、配套办法的说法互相打架，照着某一篇抄排期，很可能半年后要重来。

这篇不给任何结论数字，只给一套动作顺序。先确认时间口径从哪查，再按数据资产、制度角色、留证演练三条线动手，最后落到一页可勾选的自查清单。全文提到的具体时点、标准文本，都到站内对应页面核对当时的版本。

第一步：把时间口径落在可核对的地方

排期的第一件事不是写方案，而是把「依据什么时间点」这件事固定下来。需要分清三类时间：法律本身的施行节点、配套办法各自的施行节点、企业内部自定的整改时点。三者不是一回事，混在一张甘特图里必然排乱。

做法是做一张「时间口径登记表」，每行写清四列：哪条要求、依据哪份文件、谁去核、下次复核时间。把「某人说」和「文件写的」分开记，避免会上口头结论被当成正式依据。术语和现行口径不确定的，到 安全与合规栏目（/safety） 和 术语库里安全与合规分类（/ai-dict/category/safety） 对照，以那里的当期文本为准。

第二步：先盘数据资产，再谈制度

制度模板网上到处都是，但模板不知道你的数据从哪来、到哪去。先盘资产再写制度，顺序反了会白写一遍，因为分级结果直接决定制度要写多细。

盘点按四列走：谁产生、存在哪、谁能碰、流向哪。最容易被漏掉的是出口，也就是数据离开自有系统的那些路径，比如第三方 SaaS 工具、协作平台、外部大模型接口、外包开发环境。把这些出口单独列一页，比系统清单本身更值钱。

• 分级先粗后细：能公开、内部、敏感三档起步，能对应到具体字段和具体责任人就合格
• 分不出来就说明数据地图还没画完，先补地图再谈制度条款
• 人员维度要写清楚：正式员工、外包、实习、离职未交接分别是什么权限
• 外部接口要登记对接方名称、传输内容类别、有无合同约束，名称不确定的写「待确认」
• 盘点结果落成一张表，每季度更新一次，换系统、换供应商时必须触发更新

第三步：制度、角色、动作三件套对齐

制度不用写成大部头，先把三条写清楚：谁能批、谁能取、出事找谁。补操作细则之前先确认这三条能落到具体岗位，写不出责任人的制度等于没写。

角色上至少明确一个统筹人加若干数据接触岗。小团队可以兼岗，但兼岗必须写进文件，否则出问题时说不清是谁的职责。涉及外部接口凭证的部分，比如 API Key 怎么发、怎么轮换、谁能看到，到 密钥与凭证安全页面（/key-safety） 看原则，本篇只负责把它排进责任清单。

统筹人

对外应答、对内排期，每季度组织一次复核的人

数据接触岗

因工作需要能直接取到敏感数据的岗位，名单要维护

审批链

谁申请、谁批、批完留什么记录，三级以内为佳

例外通道

紧急取数时怎么走、事后多久补记录，必须写死

第四步：留证与演练，出事后能自证

合规准备最怕的是「做了但证明不了」。留证分三类：审批记录、访问日志、处置过程记录。日志里不该出现的内容要做脱敏，具体做法到 安全与合规栏目（/safety） 下日志与脱敏相关页面核对当时的口径。

1. 定留证清单列出哪三类记录、存在哪、保存多久、谁有权调取，写成一页附在制度后面
2. 做桌面演练每季度假设一个数据出口被人拿走，按发现、上报、止损、复盘走一遍
3. 记录用时与卡点重点记哪一步找不到人、哪一步查不到日志，这些就是下次整改项
4. 复盘后回填把卡点转成待办，写清责任人和完成标准，下次演练时验证是否闭环

演练的价值不在流程好看，而在暴露「以为有人管、其实没人管」的环节。

第五步：一页自查清单与排查顺序

排查顺序建议从外到内：数据出口、权限与账号、制度与角色、留证与演练。先堵最容易被拿走的口，再补内部文件。每个自查项必须填「是 / 否 / 不适用」三选，禁止只写「基本符合」，否则复查时没有判断依据。

• 什么情况下可以简化：业务完全不接触个人信息、也不接外部数据处理方的小团队，可以把重点放在出口和账号两条上，制度部分从简
• 简化的边界：仍要保留审批和处置记录，否则一旦被问，拿不出任何东西
• 不适用要写理由：自查表里勾「不适用」的项，旁边补一句为什么不适用，方便他人复核
• 复核节奏：每季度过一遍清单，换供应商、上新产品、接新接口时随时加一轮