對《數據安全法》的理解和認識重要數據如何保護

1、一、重要數據概念的提出及發(fā)展2016 年 11 月發(fā)布的《中華人民共和國網絡安全法》首次提出重要數據的概念，并在第三十七條規(guī)定了關鍵信息基礎設施運營者掌握的重要數據境內存儲及出境應進行安全評估。2017 年，國家標準《信息安全技術 重要數據識別指南》征求意見稿中以規(guī)范性附錄的形式給出了“重要數據識別指南”，首次提出了重要數據的完整定義，并列舉了 28 個行業(yè)的重要數據類型、范圍。在重要數據的定義中，附帶給出了重要數據判定準則，按照數據未

2、經授權披露、丟失、濫用、篡改或銷毀，或匯聚、整合、分析后可能造成的后果，列出了 9 種情況。2020 年，國家信安標委正式立項國家標準《信息安全技術 重要數據識別指南》。從目前的草案稿來看，較之前的附錄版“重要數據識別指南”，該標準簡化了重要數據定義、明確提出了重要數據的主要分布；不再延用行業(yè)分類的方式，而是從數據的作用、受破壞后可能帶來的影響等角度，將重要數據分為國民經濟運行類、安保類、自然資源與環(huán)境類、健康類、敏感技術類、用戶類及政

3、府工作秘密類。此外，《網絡安全法》出臺后，各行業(yè)、各領域也組織開展了本行業(yè)、本領域的重要數據相關研究工作。以通信行業(yè)為例，一方面，行業(yè)組織了對基礎電信企業(yè)數據資源和重要數據情況的摸底調研；另一方面，《基礎電信企業(yè)重要數據識別指南》行業(yè)標準正在加緊研究制各部門根據本地區(qū)、本部門、本行業(yè)特點開展重要數據保護工作預留了充足空間。在數據安全保護義務方面，《數據安全法（草案）》在一般數據安全保護義務之上，對重要數據的處理者規(guī)定了“增強型”的保護義

4、務。草案第二十五條第二款規(guī)定“重要數據的處理者應當設立數據安全負責人和管理機構，落實數據安全保護責任。”第二十八條第一款規(guī)定“重要數據的處理者應當按照規(guī)定對其數據活動定期開展風險評估，并向有關主管部門報送風險評估報告?！钡诙钜?guī)定“風險評估報告應當包括本組織掌握的重要數據的種類、數量，收集、存儲、加工、使用數據的情況，面臨的數據安全風險及其應對措施等。”以上是對《數據安全法（草案）》中明確涉及重要數據的條文梳理，而要全面理解草案對重要數

5、據保護的制度安排，還需要從體系化的角度進一步分析。一方面，草案設計的數據分類分級、重要數據保護、風險評估、應急處置、安全審查等數據安全制度，重要數據作為數據的一個子集，對其的保護工作貫穿各項重要制度之中，而且重要數據應當作為重點對象，實施重點保護。另一方面，重要數據的處理者除履行設立管理機構、風險評估等“增強型”義務外，也應當履行一般數據保護義務。總結下來，重要數據的保護義務主要包括：? 設立數據安全負責人和管理機構? 建立健全全流程數