《数据安全法》实施三周年，襄阳企业合规要点回顾

立法背景

《数据安全法》于2021年9月1日正式施行，是我国数据领域的基础性法律。它与《网络安全法》《个人信息保护法》共同构成了中国网络空间治理的三大支柱。

三年过去了，执法力度在不断加强。公开数据显示，截至2024年中，全国各地网信部门依据《数据安全法》做出的行政处罚已超过1200起，罚款总额超过3亿元。其中不乏知名企业和大型机构的身影。

企业的核心义务

建立健全数据安全管理制度：这不是一句空话，要有成文的制度文件、明确的责任分工、定期的培训和演练。开展数据分类分级：不是所有数据都需要同等力度的保护。根据数据的重要性和敏感程度进行分类，分别采取不同的保护措施。保障数据安全：技术上要防止数据泄露/篡改/丢失，管理上要控制访问权限和操作审计。发生安全事件要及时上报：知道或者应当知道数据泄露后要立即采取补救措施并向主管部门报告。

常见违规行为

过度收集：收集了业务不需要的用户数据(比如一个天气APP收集用户的通讯录)。未获同意：没有获得用户明确同意就处理其个人信息(尤其是敏感信息如人脸/指纹)。数据出境未经评估：把国内用户数据传到境外服务器没有做安全评估。安全措施不到位：明文存储密码/数据库公网暴露/没有备份机制。

{CITY}有一家企业就因为客户数据库被黑客窃取且没有及时上报，被处以20万元罚款并责令整改。老板事后说早知道合规投入那点钱就好了。

中小企业怎么做

中小企业可能觉得这些法规跟自己没关系——"我又不是互联网大厂"。但实际上只要你在经营过程中收集和处理了客户/员工/供应商的数据，《数据安全法》就对你有约束力。

务实建议：先做一个数据资产盘点(你知道自己手里有哪些数据吗)、制定基本的数据安全制度(哪怕只有几页纸)、落实基本的安全措施(加密存储/权限控制/定期备份)、购买网络安全保险(万一出事了至少有个兜底的)。

合规不是为了应付检查，是为了保护你自己的业务。一次数据安全事故造成的损失(罚款+赔偿+声誉损失)可能远超你做合规的投入。