《数据安全法》与《个人信息保护法》：企业合规要点清单

【转载摘要】本文根据公开信息整理，内容有删节，版权归原发布机构所有。

《数据安全法》自2021年9月1日起施行，《个人信息保护法》自2021年11月1日起施行，两者与《网络安全法》共同构成我国网络数据领域的基础法律框架。

一、数据分类分级

企业应对所处理的数据进行分类分级，识别重要数据与核心数据，并采取相应的安全保护措施。重要数据的处理者应明确数据安全负责人和管理机构。

二、个人信息处理的合法性基础

处理个人信息应取得个人同意，或符合订立合同所必需、履行法定职责等法定情形。处理敏感个人信息（如生物识别、医疗健康、金融账户、行踪轨迹）需取得单独同意。

三、告知与同意

应以显著方式、清晰易懂的语言真实、准确、完整地告知处理目的、方式、种类、保存期限等事项；不得以捆绑方式取得同意。

四、个人信息跨境

向境外提供个人信息需符合安全评估、标准合同、认证等法定路径之一，并履行告知与单独同意义务。

五、日常合规动作

• 建立个人信息保护影响评估（PIA）机制；
• 制定内部数据安全管理制度与应急预案；
• 开展员工数据安全培训；
• 发生数据泄露时及时采取补救并按规定报告。