企业没做数据安全保护会有什么处罚？《中华人民共和国数据安全法》给出了清楚的答案：先责令改正、警告、罚款，情节严重的可能被责令暂停业务、停业整顿，甚至吊销相关许可证或者营业执照。下面把企业应当履行的义务、不同情节对应的处罚、以及涉及核心数据为何罚得更重讲明白。
先说结论
- 企业开展数据处理活动，应当建立健全全流程数据安全管理制度、开展教育培训、采取技术措施，重要数据的处理者还要明确数据安全负责人和管理机构。
- 不履行数据安全保护义务的，由主管部门责令改正、给予警告，可以并处五万元以上五十万元以下罚款。
- 拒不改正或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照。
- 违反国家核心数据管理制度的，最高可处二百万元以上一千万元以下罚款，构成犯罪的追究刑事责任。
企业到底要履行哪些数据安全义务
结论：开展数据处理活动的企业，应当依照法律法规建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。
数据安全不是一句口号，法律把它拆成了几项具体义务。首先是建立覆盖数据全流程的安全管理制度，把规则定下来；其次要对员工开展数据安全教育培训；再次要落实相应的技术措施和其他必要措施。如果企业利用互联网等信息网络开展数据处理活动，还要在网络安全等级保护制度的基础上履行上述义务。
如果企业处理的是重要数据，要求更高，还要明确数据安全负责人和管理机构，把保护责任落实到人。此外，企业应当加强风险监测，发现数据安全缺陷、漏洞等风险时立即采取补救措施；发生数据安全事件时立即处置，并按规定及时告知用户、向主管部门报告；重要数据的处理者还应当定期开展风险评估，并向主管部门报送风险评估报告。
不履行义务会面临什么处罚
结论：开展数据处理活动的组织、个人不履行数据安全保护义务的，由有关主管部门责令改正，给予警告，可以并处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款。
这是针对一般情节的处罚档次。也就是说，只要没按规定履行义务，就可能被责令改正、警告，并在罚款区间内被处罚；同时对具体负责的主管人员和直接责任人员另行罚款。这里释放的信号很明确：板子不仅打企业，也打到人身上。
对企业的合规负责人来说，这意味着「数据安全是公司的事、与我无关」的想法行不通了，法人之外的直接责任人同样在处罚范围内。
什么情况会被重罚甚至停业
结论：拒不改正或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款。
这一档明显加重。触发条件有两个方向：一是「拒不改正」，即便被责令了也不整改；二是「造成大量数据泄露等严重后果」，实际出了大问题。到这一步，除了罚款数额大幅提高，还可能被责令暂停相关业务、停业整顿，严重的甚至吊销业务许可证或者营业执照，对企业的经营是釜底抽薪的打击。
这里提醒企业，收到责令改正通知后，是不是认真整改、有没有留下整改痕迹，直接决定了会不会滑向更重的处罚档次。
涉及国家核心数据的，处罚更重
结论：违反国家核心数据管理制度，危害国家主权、安全和发展利益的，处二百万元以上一千万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照；构成犯罪的，依法追究刑事责任。
国家核心数据处在数据分级分类保护的最高位置，一旦管理制度被违反、危害到国家主权、安全和发展利益，处罚力度会再上一个台阶，罚款上限可达一千万元，且同样可能面临暂停业务、停业整顿、吊销证照，构成犯罪的还要追究刑事责任。
法律依据
- 《中华人民共和国数据安全法》第二十七条开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。利用互联网等信息网络开展数据处理活动，应当在网络安全等级保护制度的基础上，履行上述数据安全保护义务。
- 重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。
- 第二十九条 开展数据处理活动应当加强风险监测，发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施；发生数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告。
- 第三十条 重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。
- 风险评估报告应当包括处理的重要数据的种类、数量，开展数据处理活动的情况，面临的数据安全风险及其应对措施等。
- 第四十五条 开展数据处理活动的组织、个人不履行本法第二十七条、第二十九条、第三十条规定的数据安全保护义务的，由有关主管部门责令改正，给予警告，可以并处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；拒不改正或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款。
- 违反国家核心数据管理制度，危害国家主权、安全和发展利益的，由有关主管部门处二百万元以上一千万元以下罚款，并根据情况责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照；构成犯罪的，依法追究刑事责任。
数据安全义务不是「有则更好」，而是法定义务。企业应当对照第二十七条、第二十九条、第三十条逐项自查：制度建没建、培训做没做、技术措施到不到位、有没有风险监测和事件报告机制、重要数据是否安排了负责人并做了风险评估。收到责令改正后要及时、扎实整改并留痕，避免因「拒不改正」跌入更重的处罚档次。本文是一般性法律知识，具体案件请结合证据咨询执业律师。
一句话总结
结论：企业不履行数据安全保护义务，轻则警告、罚款，重则被责令暂停业务、停业整顿乃至吊销执照；涉及国家核心数据的，罚款上限可达一千万元并可能追究刑事责任。
延伸阅读
以上内容为一般性法律知识分享，不构成正式法律意见；具体案件请结合证据情况咨询执业律师。