法律与制度基座深度解读第02页

01 · 《数据安全法》条款群精读

《数据安全法》（2021年9月1日施行）中与分类分级直接相关的并非只有第21条。第21条确立制度框架，第27、29、30、31、32条则构成"全流程管理—风险监测—风险评估—出境管控—合法收集"的义务群。分类分级正是贯穿其中的元规则：它决定哪些数据触发何等强度的义务。

1.1 第21条逐句解读

• "根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护"：确立二维定级逻辑——重要程度（静态价值）与危害程度（被破坏后的后果）。GB/T 43697-2024的"影响对象×影响程度"判定矩阵即源于此（第3页展开）。
• "国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护"：重要数据目录的顶层设计权在国家层面协调机制，而非某一单一部门——这解释了金融、工信、汽车等目录分属不同主管部门的格局（第4页）。
• "关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据，实行更加严格的管理制度"："等"字意味着核心数据的边界由后续制度动态充实；目前核心数据的识别主要由各行业主管部门在重要数据目录之上从严把握，组织层面接触的实务重点仍是重要数据。
• "各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录"：目录是"分散确定"的——组织是否负有重要数据义务，取决于所属行业主管部门和地区是否将其数据列入目录（告知或公开发布），衔接《网数条例》的申报机制（见下节）。

02 · 《网络数据安全管理条例》承接与细化

《网络数据安全管理条例》（国务院令第790号，2024年9月公布，2025年1月1日施行）是中国数据安全领域首部综合性行政法规，将《数据安全法》《个人信息保护法》的原则要求转化为网络数据处理者可操作的义务清单。与分类分级直接相关的细化包括：

03 · 重要数据目录管理机制

3.1 三级目录的形成逻辑

3.2 目录的两种生效方式与组织动作

• 被告知：主管部门以通知、约谈、书面告知等方式明确组织持有的某类数据为重要数据→组织启动申报与保护义务，并纳入定期风险评估范围。
• 公开发布：行业主管部门公开发布本行业重要数据目录（如工信领域要求企业开展重要数据备案）→组织按目录主动比对、申报。
• 动态更新：数据内容、规模、应用场景变化可能使原非重要数据升级为重要数据；组织应将"目录比对"嵌入数据变更与新产品上线评审（第7页）。

3.3 识别判定参考因素（GB/T 43697-2024要点预告）

国家标准从"影响对象"与"影响程度"两个维度给出重要数据识别的一般方法：影响对象包括国家安全、经济运行、社会稳定、公共健康和安全；影响程度按数据遭到破坏后可能造成的危害严重性分层。行业细则在此基础上给出本行业的判定因素与示例（如工信领域的"危害程度+影响范围"判定表），第3、4页逐域展开。

04 · 法律责任与执法观察

4.1 《数据安全法》罚则档位（第45条为核心）

4.2 执法观察（公开案例）

• 滴滴案（2022年7月）：国家网信办对滴滴全球股份有限公司处80.26亿元罚款，认定其存在危害国家数据安全等16项违法事实。该案确立了"平台数据安全审查"的威慑基线，其中违法处理个人信息、未有效履行数据安全保护义务等事实与分类分级制度直接相关。
• 行业通报机制：工信部通过《工业和信息化领域数据安全管理办法（试行）》建立的数据安全风险监测与通报机制，2023年以来持续开展工业领域数据安全抽查与整改通报；网信办、公安部亦在"净网"等专项行动中通报数据安全类违法案件。
• 执法趋势：从"个案处罚"走向"制度检查"——监管问询日益聚焦"是否开展分类分级、重要数据识别有无记录、风险评估是否常态化"，而非仅看事后补救。分类分级工作底稿因此成为执法对话中的核心证据。

05 · 与等保、关基、密评的衔接

分类分级与既有制度不是替代关系，而是"数据级"坐标与"系统级/设施级/密码级"坐标的叠加。组织容易混淆四者的对象与目的，下表厘清：

06 · 合规义务清单模板

下表为组织可直接套用的义务清单骨架（"义务—依据—触发条件—证据—频次"五列），完整版含21项义务的行项展开见课题交付物《数据分类分级义务图谱》。

07 · 数据安全审查制度与罚则全景

7.1 数据安全审查制度（《数据安全法》第24条）

《数据安全法》第24条规定："国家建立数据安全审查制度，对影响或者可能影响国家安全的数据处理活动进行国家安全审查。依法作出的安全审查决定为最终决定。"该制度与《网络安全法》第35条（关键信息基础设施采购审查）、《网络安全审查办法》共同构成平台数据活动的国家安全审查框架。2022年7月，网络安全审查办公室依据《网络安全审查办法》对滴滴出行启动网络安全审查，随后国家网信办依据《网络安全法》《数据安全法》《个人信息保护法》对滴滴全球股份有限公司处80.26亿元罚款——该案是数据安全审查制度威慑力的标志性事件，也提示大型平台：分类分级与数据安全自评是审查应对的基础功课。

7.2 第45条之外的其他罚则条款

注：罚则金额与适用条件以《数据安全法》第45—50条官方公布文本为准，本条为学习性归纳，引述前请核对原文。

本节参考来源（第2页）

以下均为真实可查的权威来源，用于支撑本页事实性表述。