跳到主要内容

数据与隐私安全

这一域先回答两个问题：处理的是什么数据，以及正在做什么处理活动。 同一份数据可能同时受到数据安全和个人信息保护规则约束。

先判断​

判断进入的要求
是否处理个人信息/敏感个人信息个人信息处理合法性、个人权利、安全措施、影响评估等
是否识别为重要数据/核心数据分类分级、风险评估、重点保护及适用报告要求
是否使用人脸识别人脸信息专项必要性、安全与备案要求
是否属于小型个人信息处理者判断简化措施是否适用
是否达到合规审计触发条件自行/委托审计或监管要求的审计
是否发生数据出境转入数据跨境继续判断

核心规则​

数据治理闭环​

数据发现与资产识别
      ↓
分类分级 / 个人信息识别
      ↓
处理目的、合法性与最小必要
      ↓
访问、使用、共享、委托、保存
      ↓
重要数据 / 敏感个人信息专项控制
      ↓
风险评估 / 个人信息保护影响评估 / 合规审计
      ↓
跨境 / 删除 / 匿名化 / 事件处置
      ↓
持续更新资产和处理活动

不要按法规分别建设数据台账。更适合维护统一的数据资产 → 分类分级 → 处理目的 → 系统/主体 → 权限 → 保存 → 第三方 → 跨境 → 风险评估/审计证据链路，再将不同法规义务映射到同一治理能力。

检查时至少能回答​

  • 我们有哪些个人信息、敏感个人信息和重要数据；
  • 数据在哪些系统、由谁负责、谁能访问；
  • 为什么处理、保存多久、向谁共享或委托；
  • 哪些处理活动需要风险评估、影响评估或合规审计；
  • 哪些数据发生跨境，以及采用什么合规路径；
  • 数据泄露、篡改、丢失后如何发现、处置和报告。