2024年3月21日，全国网络安全尺度化技术委员会（以下简称“网安标委”）颁布《GB/T 43697-2024 数据安全技术 数据分类分级规定》（以下简称“《数据分类分级规定》”）。《数据分类分级规定》作为网安标委颁布的首份数据安全技术尺度，涵盖了数据分类分级、沉要数据和国度主题数据鉴别等沉要内容。
本文对《数据分类分级规定》作出解读，梳理、总结了数据分类分级的准则、流程和步骤论，探淘祗业可能面对的现事阀境，并结合w66利来既往经验提出企业鉴别沉要数据的“六步法”，以期为企业发展数据分类分级和沉要数据鉴别工作提供参考。
《数据分类分级规定》根基一连了网安标委于2022年09月14日颁布的《信息安全技术 网络数据分类分级要求（征求定见稿）》（以下简称“《网络数据分类分级要求》”）的内容，同时将“沉要数据鉴别指南”作为规范性附录G纳入系统，形成了蕴含数据分类分级、沉要数据鉴别和国度主题数据识此外齐整系统。
《数据分类分级规定》“合用于行业领域主管（监管）部门参考造订本行业能力域的数据分类分级尺度规范，也合用于各地域、各部门发展数据分类分级工作，同时为数据处置者进行数据分类分级提供参考。”
《数据分类分级规定》作为普适性规定，既蕴含了数据分类分级的准则、框架、步骤和流程，还提供了“沉要数据鉴别指南”，行业领域主管（监管）部门能够在《数据分类分级规定》的基础上造订本行业能力域细分的数据分类分级尺度，并参照沉要数据鉴别指南造订本行业领域的沉要数据目录，而数据处置者现阶段能够先行参照《数据分类分级规定》发展数据分类分级工作和沉要数据鉴别工作，并在行业领域主管（监管）部门颁布细分规定或沉要数据目录后，实时衔接加以合用。
与《网络数据分类分级要求》相比，《数据分类分级规定》增长了“敏感幼我信息”和“公共数据”两个术语概想。“敏感幼我信息”衔接了《幼我信息；しā范悦舾杏孜倚畔⒌慕缢，提醒企业敏感幼我信息；ぷ魑⒎ā⒎珊退痉ü刈⒌某恋懔煊，应在内部门类分级的基础上加强敏感幼我信息；すぷ；针对“公共数据”概想的明确，则是对数据身分行动与公共数据利用海潮的回应，在创新公共数据治理新模式的过程中，推动落实公共数据分类分级要求，降低公共数据授权确权和流通买卖阻碍，开释公共数据价值。
《数据分类分级规定》明确了科学实用、天堑清澈、就高从严、点面结合和动态更新等五项数据分类分级准则，行业领域主管（监管）部门应依照数据所属行业领域进行分类分级治理，并遵循数据分类分级准则造订细分规定，企业也应凭据该等准则落实数据分类分级和沉要数据鉴别治理工作。
《数据分类分级规定》提供了发展数据分类的框架和步骤。各行业各领域主管（监管）部门以及数据处置者均能够依照先行业领域分类，再业务属性分类的方式进行。
各行业各领域主管（监管）部门应对本行业能力域的数据进行整体鉴别，明确所处行业领域，如工业、电信、金融等，再凭据本行业能力域业务属性如业务领域、责任部门、描述对象等进行细化分类，如工业领域数据依照部门职责能够进一步分成原资料、设备造作、消费品、电子信息造作、软件和信息技术服务等类别。对于数据处置者而言，则首吓爪明确自身业务涉及的行业领域，并依照各行业各领域主管（监管）部门的细分规定，凭据数据治理和使用需要，结合已罕见据分类基础，矫捷选择业务属性将数据细化分类。
此表，对于涉及司法律规有专门治理要求的数据类别（如幼我信息、汽车数据等），应依照有关划定或尺度对幼我信息、敏感幼我信息、汽车数据等进行鉴别和分类。
《数据分类分级规定》提供了数据分级的根基框架和思路，通常将数据从高到低分为主题、沉要、通常三个级别，并通过“沉要数据鉴别指南（规范性）”和“通常数据分级参考（资料性）”等附录作出了更具体的注明。
《数据分类分级规定》确定了数据分级的步骤：
- 第一，确定数据分级的对象，如数据项、数据集、衍生数据、跨行业领域数据等；
- 第二，鉴别数据分级身分，如数据的领域、群体、区域、精度、规模、深度等；
- 第三，发展数据影响分析，结合数据分级身分鉴别情况，分析数据一旦遭到泄露、篡改、损毁或者犯法获取、犯法使用、犯法共享，可能影响的对象和影响水平；
- 第四，鉴别主题数据、沉要数据和通常数据，综合确定数据级别。
区别于《网络数据分类分级要求》，《数据分类分级规定》分辨了各行业各领域主管（监管）部门和数据处置者两个角色，别离给出了数据分类分级流程。
针对各行业各领域主管（监管）部门，应该在遵循国度有关划定要求的基础上，造订本行业能力域的数据分类分级尺度规范，沉点明确行业数据分类细则，分析行业领域数据分级身分，确定沉要数据和通常数据领域，建议主题数据领域。此表，各行业各领域主管（监管）部门还应该组织并领导本行业能力域数据处置者发展具体的数据分类分级工作。
针对数据处置者，应该发展数据资产梳理，造订内部数据分类分级细则并切实发展数据分类分级工作，对其中沉要数据、主题数据等依照有关司法律规或各行业各领域主管（监管）部门要求进行报送，并在后续工作过程中持续动态更新。
（一）确定衍生数据分级的“深度”身分，适应AI海潮下的安全挑战
凭据《数据分类分级规定》第6.3条，影响数据分级的身分通常蕴含数据的领域、群体、区域、精度、规模、深度、覆盖度、沉要性等，其钟装深度”通常作为衍生数据的分级身分，是指“通过数据统计、关联、挖掘或融合等加工处置，对数据描述对象的隐含信息或多维度细节信息的刻画水平。”
《数据分类分级规定》确定了衍生数据分级的“深度”身分，一方面是综合思考了当下人为智能（AI）技术和算法技术蓬勃发展的海潮，提醒各行业各领域主管（监管）部门领导发展数据分类分级工作过程中，应充分思考AI和算法技术海潮带来的数据安全挑战；另一方面也提醒企业把稳在发展数据分类分级工作过程中，审慎确定衍生数据的类别和级别，匹配深度合成、算法推荐以及天生式人为智能等方面数据处置的监管要求和合规使命。
《数据安全法》第二十一条提出数据分类分级造度，要求各地域、各部门该当依照数据分类分级；ぴ於，确定本地域、本部门以及有关行业、领域的沉要数据具体目录。然而，由于《沉要数据鉴别规定》未颁布、沉要数据鉴别成分难以界定等原因，各地域或部门颁布沉要数据目录的过程较为缓慢。
本次《数据分类分级规定》的颁布，一方面蕴含了附录G“沉要数据鉴别指南（规范性）”，作为正式文件，领导各行业各领域主管（监管）部门并同数据处置者发展沉要数据鉴别工作，另一方面，《数据分类分级规定》沉申了各行业各领域主管（监管）部门确定沉要数据，颁布沉要数据目录的责任Ｄ芄辉じ，各行业各领域主管（监管）部门将陆续颁布沉要数据目录，并进一步领导和组织企业发展沉要数据鉴别和治理工作。
《数据安全法》第二十一条提出国度主题数据的概想，但与沉要数据类似，尚不足具体鉴别指引。本次《数据分类分级规定》明确了“主题数据”的概想，即“对领域、群体、区域拥有较高覆盖度或达到较高精度、较大规模、肯定深度的，一旦被犯法使或共享，可能直接影响政治安全的沉要数据”，并给出了主题数据级别确定规定。凭据该界说，主题数据将作为沉要数据的子集。
凭据《数据分类分级规定》，各行业各领域主管（监管）部门应该分析并确定哪些数据属于沉要数据，并颁布沉要数据目录。与沉要数据的鉴别相分辨，对于主题数据，各行业各领域主管（监管）部门能够明确本行业能力域主题数据鉴别细则，对哪些数据属于主题数据提出建议，但无法直接认定。
《数据分类分级规定》对通常数据分级提供了矫捷的合用方式，在确定沉要数据和主题数据的基础上，企业能够凭据自身业求实际情况，凭据数据的类型、规模等选择将通常数据划分为2-4级。不外，《数据分类分级规定》对特定类型数据如幼我信息、公共数据等进行了最低级别限度，如在4级框架下，敏感幼我信息不应该低于4级，不容盛开/共享的公共数据不得低于4级，企业则能够在寂仔规定框架内凭据业务现实情况或改观动态调整。
三、现事阀境：行业领域主管（监管）与数据安全工作主管的交叉领域
《数据分类分级规定》划定了数据分类分级的准则、框架、步骤和流程，其中不乏亮点和创新，并给出了“沉要数据鉴别指南”，为企业发展沉要数据鉴别工作揭开面纱。然而，正如《数据分类分级规定》提出的工作思路，“通过该规定领导行业领域主管（监管）部门造订本行业能力域的数据分类分级规范、发展相应工作”。结合w66利来观察，以沉要数据为例，网信作为数据安全工作主管（监管）部门，与各具体行业领域主管（监管）部门，现阶段其针对沉要数据处置者的监管将可能存在交叉领域，并组成有关企业推广合规使命的现事阀境。
具体而言，凭据《数据出境安全评估法子》，企业如向境表传输沉要数据，需向网信部门申报数据出境安全评估。与此同时，针对特殊类型数据（人遗、出口管造物项、测绘、金融等）的跨境传输，亦有相应行业领域的监管要求，企业据此将面对行业领域主管（监管）部门及数据安全工作主管部门的双沉监管困境。
以人类遗传资源信息出境为例，凭据《人类遗传资源治理条例》第二十八条，将人类遗传资源信息向表国组织、幼我及其设立或者现实节造的机构提供或者盛开使用，应通过卫健委[1]安全审查，或必要向卫健委提交登记并提交信息备份。由于人类遗传资源信息还可能组成沉要数据，进而可能还面对向网信部门申报安全评估的使命。凭据w66利来相识，在基因行业发展人类遗传资源信息出境业务或国际合作项主张企业，对于卫健委的出境审查/登记法式已相对熟悉，但是否以及若何申报数据出境安全评估则为企业带来额表成本及不确定性。就人类遗传资源信息是否组成沉要数据，以及是否需申报安全评估，网信部门往往要求企业应先行追求行业领域主管部门（例如卫健委）的定见。
除人类遗传资源信息出境表，其他交叉领域，例如出口管造物项有关的数据出境、测绘数据、金融数据出境等，都可能面对类似的双沉监管困境Ｋ伎嫉匠烈菁鸺肮芸卮嬖诮锨康男幸凳粜，结合网信部门的定见，可供参考的破题思路为：以行业监管作为抓手，推广本行业关于出境的法界说务通常是必选项，关因而否需向网信办申报出境安全评估，则需积极追求行业主管部门的定见。
此表，数据正是在跨地域、跨行业、跨场景的流转、汇总和分析中方能开释更大的价值，这就对目前《数据分类分级规定》提及的行业、领域监管纵向确定分类方式和沉要数据目录的思路提出了后续落地的挑战，例如电信行业的数据用于幼我征信部门的数据分类以及沉要数据鉴别问题若何通过目前的纵向架构解决？此问题仍待进一步观察。
四、合规指引：数据分类分级与沉要数据鉴别“六步法”
数据分类分级；な瞧笠翟凇妒莅踩ā废钕碌幕⌒怨ぷ，针对通常数据，《数据分类分级规定》为企业留出了足够的自决空间，针对主题数据，认定前提极高且需由行业领域主管（监管）部门提出建议后由国度有关部门评估确定[2]。据此，沉要数据鉴别和认定是企业顺利发展数据分类分级的沉要前提，同时也是企业推广沉要数据安全治理法界说务的前提[3]。
对于数据处置者而言，关于企业所处置数据的沉要数据鉴别责任，一向不甚清澈，一曰自动鉴别论，即企业有自动鉴别沉要数据的责任，即便行业领域的沉要数据目录尚未颁布，亦该当依照沉要数据的通常鉴别规定进行鉴别；一曰被动鉴别论，只有地点行业领域的沉要数据目录清澈后，企业才拥有鉴别沉要数据（含国度主题数据）的使命。支持被动鉴别论的一方，最有利的凭据当然是最近颁布的《推进和规范数据跨境流动划定》，其划定“未被有关部门、地域奉告或者公开颁布为沉要数据的，数据处置者不必要作为沉要数据申报数据出境安全评估”。
对于沉要数据尺度尚不清澈的行业领域，《推进和规范数据跨境流动划定》免去数据处置者在数据跨境流动中的安全评估申报使命，并不当然能得出通常性结论，即：沉要数据的鉴别使命是被动鉴别。首先，沉要数据处置者的司法责任，比数据跨境合规的单一维度要辽阔的多，《推进和规范数据跨境流动划定》并未免去沉要数据处置者的其他司法使命；其次，即便某一主管（监管）部门颁布了某一具体行业领域的沉要数据清单，也会存在必要个案裁量的空间，仍必要数据处置者要遵循企业数据资源的现实情况进行判断；诖，我们以为，数据处置者沉要数据识此外行动使命，并不由于《推进和规范数据跨境流动划定》的划定而免去，数据处置者该当自动推广数据分类分级和沉要数据的行动使命，但若是因该行业领域的沉要数据目录尚未颁布或已颁布但不清澈而导致数据处置者无法识此外，并不因而承担相应的司法后果。
实际层面，上海通管局于2023年2月颁布官方传递，索求工信领域监管侧鉴别、认定沉要数据并形成沉要数据目录的蹊径[4]，工信部、央行等主管部门亦在去年陆续发展沉要数据鉴别和报送试点工作。前述认定实际尚处于试点阶段，目前仍有相当部门行业主管部门尚未发展此等试点工作，且即便发展，亦仅少数企业可深度参加至此蹬咨监管主导的沉要数据鉴别工作中。
结合前述《数据分类分级规定》及我们援试祗业在沉要数据鉴别与合规工作的经验，建议现阶段企业可依照如下“六步法”发展自身数据资产盘点与沉要数据鉴别工作：
第一步 数据资产盘点及数据分类
沉要数据识此外最终指标是实现国度安全管控与企业数据资产分类分级治理的衔接。建议企业对自身数据处置活动按业务场景或按实体/部门等发展调查，以对所把握的数据资产进行盘点和梳理，形成数据资产清单Ｋ伎嫉健妒莘掷喾旨豆娑ā芳跋钟谢ǘ杂诔烈莸募鹁康餍幸蹈鲂院土煊蚋鲂，故此阶段还宜对数据资产清单进行分类，尤其是对行业和领域进行分类。此表，企业并非需对数据处置活动所涉及的全数数据掌管，通常应对作为Data Owner的部门掌管，故还需思考数据处置关系。
合规提醒：
- 数据资产盘点：如企业所涉及的实体/部门/业务场景较多，可思考优先发展高风险实体/场景（例如业务场景涉及数据跨境，或客户涉及CIIO、当部门门等）作为发展“六步法”的Pilot，待形成较为成熟的步骤论后，再推广至其他实体/部门/业务场景。
- 数据分类：可参考《数据分类分级规定》第5条所提供的分类步骤，依照先行业领域（工业、电信、金融、能源、交通运输、天然资源、卫生健康、教育、科学等）分类、再业务属性（业务领域、责任部门、描述对象、环节流程、数据主体、内容主题、数据用处、数据处置、数据起源）分类的思路进行分类，并就司法律规明确划定的数据类别（例如幼我信息）依照有关划定进行分类。沉点关注从属行业领域主管（监管）维度的数据。
第二步 检索行业划定/目录，如有则直接认定
企业发展数据资产梳理及数据分类后，可对其中从属行业领域主管（监管）维度的数据资产发展行业划定、目录（以下称“行业规定”）的检索和匹配，并参照如下准则处置：
1）如本行业已出台行业规定并明确列举本行业沉要数据类型或已出台沉要数据目录，则可直接予以认定；针对某行业已出台行业规定明确沉要数据类型，且企业已把握但未被明确作为“沉要数据”列入此等行业规定的数据资产，可临时不认定为沉要数据；
2）如本行业尚未出台沉要数据具体划定/目录，则进入第三步“梳理本行业关键身分”。
合规提醒：
截止本文颁布之日，除作为“监管先杏妆的汽车行业在《汽车数据安全治理若干划定（试行）》（以下简称“《若干划定》”）第三条第六款[5]对汽车领域所涉及的沉要数据类型进行了列举；以及电信、工信等沉要敏感行业已公开或内部形成本行业的沉要数据鉴别规定/指南表，大部门行业尚未公开颁布的本行业沉要数据目录。
第三步 如无行业规定，则梳理本行业关键身分
如经检索无本行业的相应行业规定，则企业可通过“准则身分+定性定量身分”作为步骤论，梳理本行业数据处置活动中与国度安全、经济运杏注社会秩序、公共利益（如风险公共健康和安全）等的敏感身分，为第四步“形成企业内部沉要数据目录”作筹备。
1）准则身分：结合《数据分类分级规定》第6.5条划定，梳理本行业可能涉及的影响国度安全、经济运杏注社会不变、公共健康和安全的身分。例如是否属于国度奥秘有关的数据（非密数据）；是否属于与国度安全（经济安全、科技安全、网络安全、人为智能安全等）有关的数据；是否属于与行业发展安全有关的数据；是否属于与出口管造物项有关的数据等。
2）特定身分（“定性”+“定量”）：以本行业专业人士的视角（若是是法务或合规部门主导工作，可通过对业务部门同事进行访谈等大局，与业务部门共同确定哪些领域、哪些群体、哪些区域、多么沉要水平、多高精度、多大规模和覆盖度、几多深度的数据可思考组成沉要数据）：
- “定性关键身分”：蕴含“领域”“群体”“区域”“沉要性”，例如农业需思考粮食安全领域，基因行业需思考科技伦理领域以及特定群体的基因安全等，天然资源行业需思考敏感区域的测绘数据泄露后可能遭至的境表权势军事进攻等，数据在经济社会发展中的沉要水平等；
- “定量关键身分”：蕴含“精度”“规模”“覆盖度”等，例如，多大精度（例如超过肯定精度的地图数据）、多大规模和覆盖度（例如覆盖面积超过全国几多省市的无人机影像数据）即思考组成沉要数据，以预防因“泛；ぁ倍收掀笠嫡Ｒ滴竦姆⒄。
- “衍生数据关键身分”：蕴含“深度”，例如进行数据统计、关联、挖掘或融合等加工后导致敏感水平上升。
合规提醒：
针对大部门行业的企业，现阶段无本行业规定并不代表企业可对所把握的高敏感数据一向持“张望”状态，尤其是未来一旦被认定为沉要数据，由于会受到数据本地化、出境安全评估、登记上报等合规要求的约束，将可能导致企业面对业务模式的剧变，进而导致更多的成本投入。目前，《数据分类分级规定》已经出台，各行业加快沉要数据鉴别和监管已是大势所趋，建议企业在现阶段（尤其是针对高敏感数据且涉及出境等处置活动）即发展沉要数据鉴别工作的部署和梳理，以合理成本安稳地度过沉要数据监管的阵痛期。
第四步 形成企业内部沉要数据鉴别指南
通过对本行业涉及沉要数据关键身分的梳理，企业可据此形成内部的沉要数据鉴别指南，该指南中的准则性内容可参照《数据分类分级规定》进行草拟。而针对企业所处行业的特定内容，一方面可直接列入第二步所检索的行业规定划定的数据类型（如有），另一方面可通过前述第三步所梳理的关键身分进行细化，尽可能在企业内部设定相对明确的沉要数据鉴别尺度。
合规提醒：
企业的数据处置活动是一个持久动态的过程，未来可能涉及业务属性、数据类型、规模、处置方式、政策环境等的调整，建议企业先形成内部可长效合用的沉要数据鉴别指南，再对照自身所把握的数据资产，形成企业内部的沉要数据资产清单，并随自身数据处置活动及监管环境的调整而不休更新。
第五步 形成企业内部沉要数据资产清单，推广法界说务
形成企业内部沉要数据鉴别指南后，企业即可就目前所把握的数据资产形成企业内部沉要数据资产清单，并据此确保企业对该部门数据资产的处置遵循沉要数据处置者的合规要求，例如通过数据打标、嵌入企业数据安全治理流程、引入数据分类分级自动化工具等方式，确保该部门数据资产的安全合规处置。例如，针对沉要数据处置者，应设置数据安全掌管人及治理机构[6]；沉要数据备份及加密[7]；就沉要数据处置活动发展风险评估并向主管部门报送风险评估汇报[8]；申报数据出境安全评估[9]；发展沉要数据目录登记等使命[10]。
第六步 持续观察监管态势，动态调整目录及清单
沉要数据合规并非一挥而就的工作。建议企业缜密观察本行业的沉要数据目录出台情况，矫捷调整自身沉要数据鉴别指南及沉要数据资产清单，积极参加行业主管部门的沉要数据认定试点等，提前做好业务模式的铺排（例如是否涉及出境），依法推广处置沉要数据的合规使命，确保业务合规安稳运行。
浙公网安备 33010502006954号
浙ICP备12021012号-1
