数据安全法是什么
数据安全法 2021-06-10 通过、2021-09-01 施行，是我国数据领域的基础性法律，与网络安全法、个人信息保护法并行适用。它确立了数据分类分级保护制度，要求建立重要数据目录、开展数据安全风险评估、制定应急处置预案，并对数据出境作出管理安排。它的关键特点是「对象是数据本身」：即使不涉及个人信息，只要在处理数据，就受它约束。
基本信息
| 通过施行 | 2021-06-10 通过，2021-09-01 施行 |
|---|---|
| 定位 | 数据领域基础性法律，与网络安全法、个人信息保护法并行 |
| 结构 | 总则 / 数据安全与发展 / 数据安全制度 / 网络数据安全 / 政务数据安全与开放 / 法律责任 / 附则 |
| 核心制度 | 分类分级保护、重要数据目录、风险评估、监测预警与应急处置、出境管理 |
| 义务主体 | 开展数据处理活动的组织与个人（数据处理者） |
| 监管 | 中央国家安全领导机构统筹协调，各地区各部门承担本地区本部门数据安全监管职责 |
与既有制度的关系
与既有制度的关系
# 三条线并行，不是替代关系
网络安全等级保护：管网络与系统本身的安全能力
数据安全法：管数据处理活动的合规与数据分类分级
个人信息保护法：管个人信息这一特定数据类型的处理规则
# 行业规则叠加：金融、汽车、医疗、工信等行业另有分类分级与报送要求企业要落地的四件事
- 数据盘点与分类分级：先知道有哪些数据、在哪里、按什么规则分级
- 重要数据目录与风险评估：识别重要数据并定期开展安全风险评估
- 制度与流程：数据安全管理制度、岗位责任、合作方与外包的数据条款
- 应急处置：泄露与数据安全事件的预案、上报路径与演练记录
常见触发点对照
| 业务场景 | 主要关注点 | 是否需要额外动作 |
|---|---|---|
| 内部业务系统 | 分类分级与访问控制 | 通常无需出境手续 |
| 面向公众的互联网服务 | 个人信息规则叠加 | 按个人信息保护法评估 |
| 采购第三方数据 | 来源合法性与合同条款 | 核验数据来源与授权链 |
| 跨境传输数据 | 出境路径判断 | 按评估、标准合同或认证办理 |
| 行业数据报送 | 行业主管部门规则 | 按行业口径另行报送 |
典型使用场景
- 制定数据安全管理制度：从法律法规义务反推内部制度清单
- 开展数据安全风险评估：为监管检查与内部审计提供依据
- 对外合作与采购：在合同里明确数据使用范围、安全责任与审计权
- 数据出境判断：先确认数据属性，再判断走哪条出境路径
数据安全法对「重要数据」的界定依赖国家与行业目录：未被相关部门、地区告知或公开发布为重要数据的，实践中一般不按重要数据管理，但这一判断需要留痕说明。
不履行数据安全保护义务可被责令改正、警告并处罚款，情节严重的还可能被暂停相关业务；涉及国家核心数据的管理更严，切勿按普通业务数据处理。