《数据安全法》深度解读：数据分类分级与跨境安全评估

《中华人民共和国数据安全法》（以下简称《数据安全法》）自2021年9月1日起正式施行，标志着我国数据安全治理进入有法可依的新阶段。对于企业和数据从业者来说，理解该法的两大核心制度——数据分类分级保护与数据出境安全评估——是合规的第一课。本文将用初学者友好的方式，拆解这两个关键概念，帮助你快速构建合规知识框架。

一、为什么数据需要专门立法？

在数字时代，数据已成为与土地、劳动力、资本、技术并列的新型生产要素。但数据一旦泄露、滥用或非法出境，可能威胁个人隐私、企业商业秘密，甚至国家安全。《数据安全法》的核心目标不是限制数据流动，而是在保障安全的前提下，促进数据依法合理有效利用。

它确立了数据安全领域的多项基本制度，其中最基础的便是让每一笔数据都有“身份标识”（分类分级），让跨境流动有“安全闸门”（出境评估）。

二、数据分类分级：给数据贴上安全标签

1. 什么是数据分类分级？

• 数据分类：按照数据的属性、特征或业务场景划分类型，例如客户数据、财务数据、研发数据、地理信息数据等。分类更多是为了管理方便。
• 数据分级：根据数据一旦遭到篡改、破坏、泄露或非法获取、利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，将数据划分为不同等级。分级直接决定应采取的安全保护强度。

简单类比：分类像是给书分“文学、科学、历史”类别，分级则是给每本书贴上“可公开阅读、需授权借阅、绝密不对外”的密级标签。

2. 法律是怎么规定的？

《数据安全法》第二十一条明确提出：国家建立数据分类分级保护制度。各地区、各部门需要确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据进行重点保护。

这条规定有三层含义：

• 国家层面制定基础性规范，给出分类分级的“骨架”。
• 行业主管部门（如金融、医疗、交通）结合行业特性，制定本行业的具体目录和标准。例如，金融数据需遵循《金融数据安全 数据安全分级指南》，工业数据则参考《工业数据分类分级指南（试行）》。
• 企业需要根据自身业务，依据国家及行业标准，落地内部数据的分类分级清单，并动态调整。

3. 数据分级的三个核心层次

虽然具体标准因行业而异，但我们可以从危害影响对象和程度，抽象出常见的三级阶梯模型：

注意：涉及个人信息的，还需同时遵守《个人信息保护法》，个人敏感信息的保护要求接近重要数据。

4. 企业如何着手分类分级？

对于初学者理解实践路径，可以三步走：

• 第一步：建立数据资产清单。梳理你有哪些数据，存在哪里，谁在负责。
• 第二步：参考行业标准定级。查找你所在行业主管部门发布的数据分类分级指南，没有直接指南的，则依据《数据安全法》的宗旨，以“一旦出事影响谁、多严重”来判断。
• 第三步：打标签、落策略。在数据库、文件系统中对数据打上等级标识，不同等级配置不同的访问控制、加密、审计等安全措施。重要数据应进行定期风险评估。

记住一个原则：数据分级不是越高越好。过度分级会增加成本、阻碍流通，必须与真实风险匹配。

三、数据出境安全评估：跨越数字边境的“安检”

当在中国境内运营过程中收集和产生的数据向境外提供时，就触发了数据出境。为了确保国家安全和公共利益不受威胁，《数据安全法》及相关配套规定构建了严格的出境安全审查机制。

1. 哪些行为算“数据出境”？

不仅仅是主动将数据传输到海外服务器，以下场景都算：

• 向境外机构、组织或个人提供数据；
• 数据虽然存储在境内，但境外机构、组织或个人可以访问查看（例如通过远程登录、开放API接口、在国际 SaaS 平台存储境内数据等）；
• 境内公司向其在境外的分支机构、代表处传输数据；
• 因业务需要，需要境外母公司或关联公司处理境内数据。

一句话：数据被境外主体可知悉或利用，就可能构成出境。

2. 必须申报安全评估的情形

根据《数据出境安全评估办法》（2022年9月1日施行），有下列情形之一的，数据处理者应当向国家网信部门申报数据出境安全评估：

• 向境外提供重要数据；
• 关键信息基础设施运营者（CIIO）和处理100万人以上个人信息的数据处理者，向境外提供个人信息；
• 自上年1月1日起累计向境外提供10万人以上个人信息或者1万人以上敏感个人信息的数据处理者，向境外提供个人信息；
• 国家网信部门规定的其他情形。

简单判断诀窍：凡是涉及重要数据、大量个人信息、CIIO的出镜，几乎都要走评估。

3. 评估的核心内容与流程

安全评估不是简单的填表，而是一次深入的风险体检，重点审查：

• 数据出境的目的、范围、方式的合法性、正当性、必要性；
• 境外接收方所在国家或地区的数据安全保护政策法规、网络安全环境对出境数据安全的影响；
• 境外接收方的数据安全保障水平能否达到中国法律、行政法规和强制性国家标准的要求；
• 数据处理者与境外接收方订立的法律文件中是否充分约定了数据安全保护责任义务；
• 是否符合中国法律、行政法规、部门规章等。

基本流程：自评估/准备材料→向省级网信办申报→国家网信办受理→审查评估（专家组/相关部门参与）→出具评估结论（通过/不通过/附条件通过）。通过后有效期一般为2年，期满或情况变化需重新评估。

4. 除安全评估外的合规路径

对于不触发强制安全评估的一般个人信息出境，还有两种路径：

• 个人信息出境标准合同备案：适用范围是未达到安全评估申报门槛的个人信息出境，且非CIIO。需与境外接收方签署国家网信办制定的标准合同，并在合同生效之日起10个工作日内向所在地省级网信办备案。
• 个人信息保护认证：依据国家标准，由专业认证机构对数据处理活动及其跨境传输进行合规认证。适用于一般个人信息和敏感个人信息（但达到安全评估门槛的必须评估），尤其是跨国集团公司内部的数据流通。

这三种方式构成了数据出境的“三条合规路径”，安全评估是最严格、层级最高的。

四、互动与进阶思考

理解了这两大制度后，不妨拿一个虚拟案例自我检验：某AI教育公司有50万学生用户，计划将用户学习行为数据（不包含姓名身份证号）传到欧洲云服务器用于算法训练。需要安全评估吗？

答案：处理个人信息超过100万人，只要向境外提供个人信息，不论数量多少，均需申报数据出境安全评估。该公司用户50万未触发“100万”门槛，但需判断是否关键信息基础设施运营者（大概率不是），以及是否累计向境外提供10万人以上个人信息（如果50万用户数据全部上传，则触发10万人门槛）；还需看是否涉及重要数据（教育行业儿童个人信息可能被认定为重要数据）。所以，现实情形大概率需要安全评估。这说明日常审慎判断有多重要。

更深入的学习请关注即将出台的各行业重要数据目录、数据出境标准合同的最新实践，以及企业构建数据分类分级与出境管理一体化平台的方法。数据安全的落地，始于每一张清晰的数据标签和每一次合规的跨境操作。