中伦深度观察2021年6月

《数据安全法》对企业的影响及应对策略

一、主要内容概述

《数据安全法》作为我国“数据安全领域的基础性法律”，重点关注数据安全保障制度的建设，包括数据分类分级保护、重要数据保护、国家核心数据保护、数据安全风险预警机制、数据安全应急处置机制、数据国家安全审查机制等。这些制度建设对企业合规工作具有重大影响。

二、关键合规义务

1. 数据分类分级保护

   • 背景：《数据安全法》引入数据分类分级保护制度，根据数据的重要程度和危害程度进行保护。
   • 要求：企业需开展自身数据分类分级工作，并与国家即将出台的分类分级保护制度相衔接。

2. 重要数据与核心数据保护

   • 重要数据：重要数据目录由国家数据安全工作协调机制统筹协调，各地区、各部门制定具体目录。
   • 国家核心数据：具有更高保护标准，将由相关部门制定配套法规进行管理。

3. 数据跨境流动的合规义务

   • 数据出境：企业需遵守《网络安全法》及相关法规的合规义务，尤其是重要数据出境需进行安全评估。
   • 数据出口：出口数据需符合出口管制要求，获得许可。

4. 数据活动的国家安全审查

   • 审查范围：影响或可能影响国家安全的数据处理活动需进行国家安全审查。
   • 审查机制：国家将建立数据领域的国家安全审查制度。

5. 数据安全保护义务

   • 具体措施：建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取技术措施进行风险检测和应对。

6. 数据处理服务的资质及合规经营

   • 资质要求：提供数据处理相关服务需取得行政许可。
   • 市场准入：结合业务模式判断是否需要申请相应牌照。

7. 维护数据市场秩序

   • 禁止非法获取数据：采用不正当手段获取数据、破坏竞争秩序或损害他人合法权益的行为将受罚。

三、企业应对策略

1. 落实网络安全等级保护测评备案

   • 具体措施：按照《网络安全法》及相关标准要求，梳理系统情况，落实等保制度测评备案工作。

2. 建立数据分类分级制度

   • 内部管理：根据行业特点、经营需要和技术管理情况，开展内部数据分类分级管理。

3. 建立重要数据及核心数据保护制度

   • 设置数据安全负责人：明确数据安全负责人和管理机构，落实数据安全保护责任。
   • 风险评估：定期开展风险评估，确保数据处理活动的安全性。

4. 针对特定数据处理场景建立相关管理制度

   • 数据出境：建立安全评估制度与内部审查流程机制。
   • 数据出口：评估出口数据是否落入管制清单，获得许可。
   • 境外执法调查：建立常规应对策略，确保符合监管要求。

5. 建立并完善数据安全管理制度

   • 全流程管理：从数据收集、传输、存储、共享等环节建立全流程数据安全管理制度。
   • 合规内化：将数据安全要求嵌入业务流程，减少安全隐患。

6. 建立健全平台竞争策略

   • 技术研发：结合业务特点，提前部署数据获取、开发和市场竞争策略。
   • 技术规范：建立整体管控体系，评估现有技术应用的合规风险。

总结

《数据安全法》对企业数据安全和合规管理提出了更高的要求，企业需积极响应并采取相应措施，确保数据处理活动的合法合规。