重要数据与数据安全

中国重要数据：核心问题

重要数据是中国在国家秘密和核心数据之外监管最为严格的一类非公开数据。自2025年1月1日起施行的《网络数据安全管理条例》将其定义为：特定领域、特定群体、特定区域或者达到一定精度和规模，一旦被篡改、破坏、泄露或者非法获取、非法利用，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的数据。重要数据并非个人信息的一个类别，但大量个人信息的汇聚可能使数据集构成重要数据。

企业是否持有重要数据之所以关键，原因有三。其一，它会触发《中华人民共和国数据安全法》（以下简称《数据安全法》）和2025年《网络数据安全管理条例》项下的一系列治理义务，包括明确网络数据安全负责人、设立网络数据安全管理机构以及开展年度风险评估。其二，除适用自由贸易试验区负面清单外，重要数据出境前须通过国家网信办的数据出境安全评估。其三，违规可能招致高额罚款，情节严重的罚款数额大幅提高。

本文说明重要数据如何识别、处理者须履行哪些义务、2026年8月起施行的风险评估办法如何运作，以及更广泛的数据安全制度如何适用于所有企业。

数据分级：一般数据、重要数据与核心数据

《数据安全法》要求国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用所造成的危害程度，对数据实行分级保护。自2024年10月起实施的国家标准GB/T 43697-2024《数据安全技术 数据分类分级规则》规定了分类分级方法，并在附录中提供了重要数据识别指南。

重要数据如何识别

重要数据的识别将主管部门制定的目录与企业自我评估相结合。根据2025年《网络数据安全管理条例》第二十九条，国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，各地区、各部门按照数据分类分级保护制度，制定本地区、本部门以及相关行业、领域的重要数据具体目录。网络数据处理者应当按照国家有关规定识别、申报重要数据，经有关地区、部门确认后，由其以告知处理者或者公开发布的方式予以明确。

实践中由行业主管部门主导。工业和信息化领域的数据适用工业和信息化部（工信部）的《工业和信息化领域数据安全管理办法（试行）》，该办法要求企业梳理重要数据和核心数据目录，并向地方行业监管部门备案。汽车行业自2021年起即有专门规定，2026年2月工信部又发布指南，对汽车制造和智能网联汽车运营中的重要数据作出规定。金融监管部门、卫生健康主管部门、自然资源主管部门等也已发布或正在制定各自的目录和标准。

对外国企业而言，有两点可以降低不确定性。第一，2025年《网络数据安全管理条例》规定，未被相关地区、部门告知或者公开发布为重要数据的，数据处理者不需要将其作为重要数据申报数据出境安全评估。第二，国家网信办2025年4月发布的问答明确，处理者应依据GB/T 43697-2024识别和申报此类数据，且此类数据并非禁止出境：截至2025年3月，国家网信办评估的509项此类数据中，有325项获准出境。保持审慎固然必要，但也不应过度认定重要数据。

重要数据处理者的义务

处理重要数据的企业须承担《数据安全法》和2025年《网络数据安全管理条例》规定的一系列附加义务：

• 负责人与管理机构。处理者应当明确网络数据安全负责人，该负责人应当具备网络数据安全专业知识和相关管理工作经历，由网络数据处理者管理层成员担任，有权直接向有关主管部门报告网络数据安全情况；处理者还应设立网络数据安全管理机构。在部分情形下，须对负责人和关键岗位人员进行安全背景审查。
• 共享前的风险评估。在提供、委托处理、共同处理重要数据前，处理者应当进行风险评估，评估内容包括接收方的处理目的、处理能力和安全保护措施等。
• 年度风险评估。处理者应当每年度对其数据处理活动开展风险评估，并向有关主管部门报送风险评估报告。
• 公司变更。因合并、分立、解散、破产等可能影响重要数据安全的，处理者应当采取措施保障数据安全，并向省级以上有关主管部门报告数据处置方案、接收方的名称或者姓名和联系方式等。
• 出境。重要数据出境须通过国家网信办的数据出境安全评估，但数据不在适用的自由贸易试验区负面清单范围内的除外。

处理1000万人以上个人信息的网络数据处理者，即便不持有重要数据，也须遵守关于负责人、管理机构和公司变更的上述义务。大型网络平台的年度报告还须包含额外内容。

2026年8月施行的风险评估办法

由国家网信办、工信部和公安部联合发布、自2026年8月20日起施行的《网络数据安全风险评估办法》，规定了重要数据年度风险评估的具体运作方式。处理者可以自行开展评估并指定专人负责，也可以委托第三方评估机构开展评估；评估机构不得转委托，同一评估机构及其关联机构不得连续三次以上对同一处理者开展年度评估。

评估报告应当按照行业规则或国家标准编制，至少保存三年，并在评估完成之日起20个工作日内报送行业主管部门；行业主管部门不明确的，报送网信部门。重要数据安全状况发生重大变化的，应当及时对受影响的部分重新开展评估。

存在危害国家安全或者公共利益的重大风险，或者发生重要数据或大规模个人信息泄露事件的，主管部门还可以责令处理者委托具备相应资质的第三方机构开展评估。处理者应当在整改完成之日起15个工作日内报告整改情况。处理者拒不整改或者整改不到位的，主管部门可以要求其停止处理相关数据。

所有企业的数据安全义务

即便不持有重要数据，每一网络数据处理者仍须依照《数据安全法》《中华人民共和国网络安全法》（以下简称《网络安全法》）和2025年《网络数据安全管理条例》履行基本义务：建立数据安全管理制度，实施分类分级，采取加密、备份和访问控制等技术措施，开展员工培训和风险监测，并及时处置漏洞和安全事件。大多数企业还须按照公安部主管的网络安全等级保护制度对信息系统定级备案。

事件报告要求如今已十分具体。根据自2025年11月1日起施行的《国家网络安全事件报告管理办法》，一般网络运营者须在4小时内向省级网信部门报告符合条件的事件，中央和国家机关须在2小时内报告，关键信息基础设施运营者须在1小时内报告。完整流程（包括《个人信息保护法》项下对个人的通知义务）请参阅数据安全事件应对。

自2026年1月1日起施行的修正后《网络安全法》提高了该法项下的处罚力度，并加强了与《数据安全法》和《个人信息保护法》的衔接。关键信息基础设施运营者仍须遵守数据本地化、采购安全审查以及最严格的报告时限要求。

交易、调查与上市中的重要数据

重要数据从多个方面影响交易。在收购中，持有重要数据的目标公司在合并或重组时可能须报告其数据处置方案；交割后外国买方访问相关数据，可能需要通过数据出境安全评估。

2025年《网络数据安全管理条例》第十三条规定，数据处理活动影响或者可能影响国家安全的，应当按照国家有关规定进行国家安全审查；另行适用的《网络安全审查办法》则要求掌握超过100万用户个人信息的网络平台运营者赴国外上市前申报网络安全审查。尽职调查数据室的设计应避免在交易过程中将敏感数据集传输至境外；参见IPO与并购中的数据合规及外商投资安全审查。

外国法院和监管机构的调取请求使这一问题更加突出。《数据安全法》第三十六条规定，非经中华人民共和国主管机关批准，境内的组织、个人不得向外国司法或者执法机构提供存储于中华人民共和国境内的数据。根据《数据安全法》第二十五条和《中华人民共和国出口管制法》，属于管制物项的数据还须遵守出口管制要求，由此增加了又一层面；参见出口管制与制裁。

案例分析：一家深圳制造企业

假设深圳有一家生产工业设备的外商投资企业，持有四类主要数据集：客户和供应商记录；员工档案；本厂的生产工艺参数和质量数据；以及从安装于客户现场的设备回传的运行数据，客户包括电力公司和港口运营商。

前两类数据集属于一般商业信息和个人信息，主要适用《个人信息保护法》。本厂的生产参数虽然具有商业价值，但对于一家中等规模的单一工厂而言，不太可能达到危害国家层面利益的标准。设备遥测数据则有所不同：来自能源和港口基础设施的汇总运行数据，可能揭示关键设施的运行状态，应对照工业领域重要数据目录和GB/T 43697-2024审慎评估。

如审查结论认为遥测数据可能构成重要数据，企业应按照行业程序进行申报，明确负责人并设立管理机构，开展年度风险评估并报送报告，同时在取得数据出境安全评估批准之前，或在数据经汇总、脱敏处理至不再属于重要数据范围之前，限制母公司全球工程平台对该数据的访问。如审查结论为否定，书面论证仍应存档，以备监管机构、买方和审计师查阅。

重要数据违规的法律责任

《数据安全法》规定，违法向境外提供重要数据的，处10万元以上100万元以下罚款；情节严重的，处100万元以上1000万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处以罚款。

违反国家核心数据管理制度的，处200万元以上1000万元以下罚款。根据2025年《网络数据安全管理条例》第五十七条，未按规定识别、申报重要数据，未按要求明确负责人（包括背景审查），共享前未开展风险评估，或者在合并、分立、解散、破产时未报告数据处置方案的，可处5万元以上50万元以下罚款；拒不改正或者导致大量数据泄露等严重后果的，处50万元以上200万元以下罚款。未开展年度风险评估等其他违法行为，依照《网络安全法》和《数据安全法》处罚。该条例还规定，违法行为轻微并及时改正的，可以从轻、减轻或者不予处罚。

重要数据合规的实务方案

1. 盘点数据集：按业务线、系统和存储地点梳理，涵盖运营数据和技术数据，而不仅限于个人信息。
2. 分级：对照GB/T 43697-2024及相关行业目录进行分级，并记录理由。
3. 申报与确认：按照行业规则的要求进行申报，并跟踪监管机构的告知。
4. 治理：明确负责人，设立管理机构，审批相关制度。
5. 评估：每年开展评估，在20个工作日内报送报告，并保存三年。
6. 管控数据流：对共享进行风险评估，将出境控制在批准范围内，并提前安排续期。

常见错误包括：只关注个人信息，忽视运营、地理和技术数据集；以为由全球云服务商持有的数据不受中国法律管辖；允许境外工程团队访问生产系统，却未将该等访问计为数据出境；以及将年度评估视为由一人编制的书面材料。监管机构期望评估能够反映真实的控制措施，因此系统的实际运营人员需要参与其中，发现的问题须明确责任人和整改期限。合并、分拆和清算也常常是盲区，因为报告数据处置方案的义务在交易完成之前即已产生。

关于更宏观的框架，请参阅我们的数据、网络安全与人工智能概览以及数据出境专题。

TRW & Co如何协助重要数据与数据安全合规

TRW & Co深圳代表处协助外商投资企业和中国企业集团建立在中国境内外均经得起检验的数据安全体系。我们对照国家标准和国际框架开展数据盘点和分级工作，设计治理架构，起草制度和事件应对手册，并在交易、上市和境外调查中统筹数据相关工作。我们提供跨境协调以及国际法律与实务支持，并就我们律师具有执业资格的相关境外法域法律出具意见。TRW & Co深圳代表处为外国律师事务所驻华代表机构，不从事中国法律事务；需要中国法律意见时，例如判断特定数据是否构成重要数据、向监管机构办理备案或就向境外机构披露申请批准，我们与持牌中国律师事务所合作，并统筹联合团队开展工作。如需探讨贵司的数据安全需求，欢迎联系我们。