01 · 数据分类分级云上落地
《数据安全法》第21条确立国家数据分类分级保护制度；GB/T 43697-2024《数据安全技术 数据分类分级规则》（2024年10月1日实施）给出通用规则：按照行业领域分类→业务属性分类的路径将数据分类，再依据数据遭到破坏后的危害对象与危害程度将数据划分为核心数据、重要数据、一般数据三级。云上落地的特殊性在于：数据以对象存储、数据库、数据湖、备份快照等多种形态分散存在，分类分级必须工具化。
1.1 云上分类分级实施步骤
- 资产盘点：以云资产清单为底账，识别全量数据存储（含影子存储：开发测试环境副本、备份、日志中的个人信息残留）；
- 规则适配：将行业分级细则与GB/T 43697通用规则映射，形成本组织的识别规则库——已发布的行业规则包括金融JR/T 0197-2020《金融数据安全 数据安全分级指南》、《工业和信息化领域数据安全管理办法（试行）》（工信部，2023年1月1日施行）等，识别与出境判断时还应参照金融、汽车等领域数据出境合规指引；
- 自动标注：基于内容识别（关键字、正则、NLP、指纹）对存储桶、数据库自动打标；标注元数据写入数据目录；
- 人工复核：抽样复核自动标注准确率，误判项回炉修正规则；
- 动态维护：新数据进入即打标；分级变更触发防护策略联动调整（加密、访问策略、DLP策略）。
云上常见盲区：①只给生产库分级，未覆盖备份与快照（快照含完整数据副本）；②日志与监控数据中含个人信息（IP、账号、操作轨迹）未纳入分级；③跨地域复制导致同一数据副本分级不一致；④测试环境使用生产数据脱敏不足。
02 · 重要数据识别与保护
- 定义把握：重要数据指特定领域、特定群体、特定区域或达到一定精度和规模，一旦被篡改、破坏、泄露或非法获取、非法利用，可能危害国家安全、经济运行、社会稳定、公共健康和安全的数据；各地区、各部门制定重要数据目录，网络数据处理者负有识别与申报义务（《网络数据安全管理条例》第15条相关规定的细化）。重要数据出境规则要点：未被相关部门、地区告知或者公开发布为重要数据的，数据处理者不需要作为重要数据申报数据出境安全评估（《促进和规范数据跨境流动规定》第2条），但仍应履行分类分级与识别留痕义务，且一旦被告知或目录发布即须按重要数据管理。
- 云上保护增强：重要数据识别后：①存储于境内，原则上不出境（出境必须安全评估）；②加密强度与密钥控制升级（BYOK/HYOK优先）；③访问策略收紧（显式授权+审批留痕）；④纳入年度风险评估（《网络数据安全管理条例》对重要数据处理者提出风险评估要求）。
- 识别方法：对照本行业重要数据目录逐条映射；对无目录的领域，采用"危害后果推演"法（数据泄露/篡改对国家安全、公共利益的影响路径分析）并形成识别记录——识别过程文档化本身就是监管检查要点。
03 · 个人信息保护云上要点
3.1 三种处理关系在云上的界定
| 关系 | 云上场景 | 核心义务 |
|---|---|---|
| 委托处理 | 客户为处理者，云服务商按合同约定受托处理（如代管含个人信息的数据库） | 《个保法》第21条：约定目的、期限、方式、种类、保护措施、双方权利义务；监督受托人；受托人不得超约定处理、不得转委托（未经同意） |
| 共同处理 | 双方共同决定处理目的与方式（少见，需个案认定） | 第20条：约定各自权利义务，对外承担连带责任 |
| 对外提供 | 客户通过云服务向第三方提供个人信息 | 第23条：告知+单独同意；接收方清单管理 |
| 服务商独立处理 | 云服务商为自身平台运营（安全分析、改进服务）处理数据 | 服务商自身为处理者，需独立合法性基础与告知 |
3.2 云上PIA与权利响应
- 个人信息保护影响评估（PIA）：《个保法》第55条要求处理敏感个人信息、委托处理/对外提供、出境等场景事前开展并留存记录；云上可利用数据流图自动化辅助PIA（处理活动清单+风险矩阵）；
- 敏感个人信息：生物识别、医疗健康、金融账户、特定身份、行踪轨迹等；云上存储需加密+严格访问控制，共享、转让需单独同意；
- 数据主体权利响应：查阅、复制、更正、删除、可携带（第44—47条）；云上需建立权利请求的技术通道与SLA（如15个工作日内响应），删除请求须级联到备份的到期清除策略；
- 告知实现：隐私政策覆盖云上处理细节（云服务商名称、处理目的、存储地域）；App/网页嵌SDK场景注意第三方SDK清单公示。
04 · 数据出境合规决策
4.1 三条出境路径选择
| 路径 | 适用情形 | 履行方式 | 依据 |
|---|---|---|---|
| 安全评估 | ①重要数据出境；②CIIO向境外提供个人信息或重要数据；③非CIIO自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感）或1万人以上敏感个人信息 | 通过所在地省级网信部门申报，国家网信部门评估（申报书+法律文件+数据清单等）；评估结果有效期3年，届满前60个工作日内可申请延长3年 | 《数据出境安全评估办法》；《促进和规范数据跨境流动规定》第7条 |
| 标准合同 | 非CIIO自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息（不含敏感）或不满1万人敏感个人信息 | 按国家网信部门模板订立合同+事前开展PIA+省级网信备案 | 《个人信息出境标准合同办法》 |
| 保护认证 | 非CIIO自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息（不含敏感）或不满1万人敏感个人信息（与标准合同二选一，不得拆分数量规避评估） | 经认证机构按《个人信息出境认证办法》（市场监管总局、国家网信办2025年10月公布，2026年1月1日施行）开展认证 | 《个人信息出境认证办法》 |
4.2 豁免情形（《促进和规范数据跨境流动规定》）
- （第3条）国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中收集和产生、且不含个人信息与重要数据的数据出境，免予申报安全评估、订立标准合同与认证；
- （第4条）境外收集产生、入境处理后再出境：处理过程中没有引入境内个人信息或重要数据的，免予三程序；
- （第5条第1项）订立、履行个人作为一方当事人的合同确需出境的个人信息（跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票酒店预订、签证办理、考试服务等）；
- （第5条第2项）按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息的；
- （第5条第3项）紧急情况下为保护自然人的生命健康和财产安全确需出境的；
- （第5条第4项）非关键信息基础设施运营者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息、不包括重要数据）的；
- （第6条）自由贸易试验区负面清单机制：经省级网信委批准、报国家网信部门与国家数据管理部门备案后，区内数据处理者向负面清单外数据出境免予三程序。
云架构特别提示：①使用境外区域或境外云服务商直接构成"出境"，无论数据是否加密；②境外技术支持/运维经远程访问境内数据亦属"提供"；③全球SaaS默认就近存储需在采购前完成出境适用性判断；④豁免情形≠免PIA与告知义务，豁免的是出境程序而非处理合法性基础。
05 · 云上数据安全技术措施合规对照
| 合规要求 | 云上技术措施 | 合规对照要点 |
|---|---|---|
| 《个保法》第51条分类管理 | 数据分类分级打标+策略联动 | 分类分级结果驱动差异化防护，留痕可查 |
| 加密与去标识化 | 存储加密、字段级加密、Token化、匿名化 | 敏感个人信息字段级保护；密钥独立管理；匿名化不可逆后不再属个人信息 |
| 访问控制 | 最小权限、审批流、数据访问审计 | 敏感数据访问全审计；批量导出审批+告警 |
| DLP | 网络/终端/存储DLP与云原生数据防泄漏 | 出境通道专项DLP策略（目的地识别） |
| 备份与恢复 | 跨可用区备份、恢复演练 | 备份含个人信息亦在保护范围；恢复演练年度记录 |
| 委托处理监督 | 云服务商尽调、合同审计权、年度复评 | 尽调记录与合同留档；服务商事件通报联动 |
06 · 组织与制度配套
- 制度文件族：数据分类分级管理制度、个人信息保护制度、数据出境管理制度、重要数据保护制度、数据安全事件应急预案——制度与云上技术控制一一挂钩（每项制度对应可出示的证据）；
- 岗位设置：《数安法》要求重要数据处理者明确数据安全负责人与管理机构；《个保法》要求达到量的处理者指定个人信息保护负责人（联系方式公开）；云上组织建议设数据合规接口人对接云服务商；
- 培训与意识：开发运维人员的个人信息最小化处理培训（生产数据脱敏规范）、数据出境申报培训；
- 供应商管理：云服务商年度复评（评估有效性、事件记录、审计报告更新），纳入第8页合规度量。
本节参考来源（第7页）
《数据安全法》第21条；《网络数据安全管理条例》（2025年1月1日施行，重要数据识别与风险评估相关条款）；GB/T 43697-2024《数据安全技术 数据分类分级规则》：中国政府网、国家标准全文公开系统。
《个人信息保护法》第20—23、44—47、51、55—57条：中国政府网。
《数据出境安全评估办法》（国家网信办令第11号，2022年9月1日施行）；《个人信息出境标准合同办法》（国家网信办令第13号，2023年6月1日施行）；《个人信息出境认证办法》（市场监管总局、国家网信办2025年10月公布，2026年1月1日施行）；《促进和规范数据跨境流动规定》（国家网信办令第16号，2024年3月22日公布施行）及官方政策问答：中国网信网。
GB/T 35273-2020《信息安全技术 个人信息安全规范》：国家标准全文公开系统。