监管部门上门检查数据安全，问的第一句通常是「你们的制度文件拿来看看」，很多中小企业拿不出来，只能现场编——不少人搜「数据安全保护义务」，就是被这种检查逼的。义务清单其实数据安全法写得明明白白：第二十七条管日常制度，第二十九条管出事之后的动作，两条加起来就是一张合规施工图。2026 年写的这篇，把两条逐款拆开，告诉你哪些动作必须做、做到什么程度算合格、漏做罚款从五万到二百万怎么跳档。
先看这三个要点
- 制度三件套：全流程数据安全管理制度＋数据安全教育培训＋相应技术措施和其他必要措施，第二十七条第一款三样缺一样就是未履行义务。
- 走网络的加一条：利用互联网等信息网络开展数据处理，要在网络安全等级保护制度的基础上履行义务——等保不是加分项，是法定底座。
- 重要数据处理者加配：要明确数据安全负责人和管理机构；还要按第三十条定期风险评估并向主管部门报送报告——层级往上，义务加码。
一、条文原文
- 《中华人民共和国数据安全法》第二十七条
- 开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。利用互联网等信息网络开展数据处理活动，应当在网络安全等级保护制度的基础上，履行上述数据安全保护义务。
- 重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。
- 《中华人民共和国数据安全法》第二十九条
- 开展数据处理活动应当加强风险监测，发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施；发生数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告。
二、逐款拆解：义务清单
第二十七条第一款是日常项。「全流程」三个字是关键词——收集、存储、使用、加工、传输、提供、公开（第三条第二款列的环节）都要有制度覆盖，不是只管数据库加个密码。教育培训要留痕：签到表、课件、考核记录，检查时能拿出来。技术措施按业务体量配，访问控制、加密、日志留存是基本盘。
第二款是重要数据处理者的加码项。负责人和管理机构要落到具体的人、具体的部门，写进任命文件。出了数据安全事故，「找不到负责人」在监管眼里就是没落实责任。
第二十九条是应急项。三个动作按顺序背下来：发现风险→立即补救；发生事件→立即处置；然后按规定及时告知用户并向主管部门报告。「按规定」的口径来自各行业主管部门的规定和应急预案体系，事件等级不同、报告路径不同，但「及时」二字没有讨价还价的空间。
| 要件 | 条文要求 | 落地动作 |
|---|---|---|
| 制度文件 | 全流程数据安全管理制度 | 覆盖收集到公开全环节的制度文本，经管理层审议发布 |
| 教育培训 | 组织开展数据安全教育培训 | 年度培训计划＋签到与考核记录 |
| 技术措施 | 采取相应技术措施和其他必要措施 | 权限管理、加密、备份、日志，与数据级别匹配 |
| 等保底座 | 在网络安全等级保护制度基础上履责 | 完成等保定级备案与测评，级别与数据敏感度匹配 |
| 负责人配置 | 重要数据处理者明确负责人和管理机构 | 任命文件、岗位职责说明书 |
| 风险处置 | 立即补救、立即处置、告知用户、报告主管部门 | 应急预案＋事件台账＋报告记录 |
三、一般数据处理者与重要数据处理者
没被目录圈进重要数据的企业，做第二十七条第一款＋第二十九条就是全部；进了目录的，义务升级为四项：制度、负责人与机构、定期风险评估（第三十条，向主管部门报送，报告要写明处理的重要数据种类、数量、处理情况、风险与应对），再加上出境环节的特别管理。判断自己是不是「重要数据的处理者」，先看行业主管部门发布的重要数据目录，这是硬依据。
三、制度文件里该写什么：一份清单式的拆解
很多企业卡在「制度怎么写」这一步。其实第二十七条的三个要件可以逐一翻译成制度章节：写「全流程管理制度」，就要有数据采集登记、存储加密与备份、使用授权与审批、加工与传输管控、对外提供审批、公开与删除流程，每个环节一张流程卡；写「教育培训」，就要有年度培训计划、新员工入职数据安全必修、关键岗位专项培训、考核与补考规则；写「技术措施」，就要有权限分级与定期复核、重要数据加密存储、日志留存与告警、备份与恢复演练。这三章之外再加一章「组织与责任」：谁来当数据安全负责人、管理机构怎么设置、出了事谁决策谁对外——四五章齐了，制度骨架就立住了。
制度之外还有一个常被忽略的动作：把制度「跑一遍」。制度发布后做一次模拟检查——按制度里的流程走一遍数据出境审批、走一遍事件报告演练，把卡壳的环节改掉。监管检查看的就是制度与实际的贴合度，纸面制度与真实流程两张皮，等于自己递上未履行义务的证据。
四、常见问题快答
问：小公司没有专门 IT 团队，义务怎么履行？ 义务不因规模打折，动作可以按体量简化：制度可以是一份几页的文件，培训可以季度一次、线上打卡，技术措施选成熟云产品的自带能力。关键是「有制度、有记录、有责任人」三有，检查时拿得出东西。
问：数据安全负责人必须是高管吗？ 第二十七条第二款只要求重要数据的处理者「明确数据安全负责人和管理机构」，没有强制高管，但负责人要能真正调动资源——挂一个没有任何权限的人当负责人，出了事追责时他第一个被罚，企业的问题也解决不了。实务上建议由分管技术的负责人或合规负责人兼任，任命文件留档。
问：「按照规定及时告知用户」的时限是多少？ 数据安全法本身没有写死小时数，行业主管部门的规定、应急预案分级标准会细化。实务口径是从严从快：能当天告知的不过夜，行业有明确时限的（如金融、电信领域的事件报告规则）从其规定。拿不准时限的，先按最严的理解准备报告与告知材料。
问：风险监测要买到什么程度才算履行义务？ 与数据体量和业务形态匹配：有对外服务的系统至少要有入侵检测、漏洞扫描和日志告警；纯内网小系统也要有定期漏洞排查和备份核验。条文用的是「加强风险监测」，监管看的是你有没有主动发现风险的能力和记录——扫描报告、整改台账就是答案。
问：出了事件已经报了警，还需要向主管部门报告吗？ 需要。报警与向行业主管、网信等部门报告是两条独立的线，报警解决打击犯罪，报告履行监管义务，互相不能替代。两条线并行推进，材料可以共用。
五、边界与误区
- 误区一：「制度文件网上抄一份就行」。检查时监管会核对制度与实际动作是否一致——有制度没培训记录、有预案没演练痕迹，按未履行义务处理。
- 误区二：「出了事先内部消化，瞒过去再说」。第二十九条把「告知用户＋报告主管部门」写成了法定动作，隐瞒不报本身就是违法情节，罚款从五万档直接跳到五十万档（第四十五条：拒不改正或造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，可责令停业）。
- 误区三：「我们用云服务器，安全是云厂商的事」。数据处理活动的义务主体是开展活动的组织，云厂商的合同义务不能替代你的法定义务，只能作为技术措施的一部分。
- 衔接提醒：个人信息处理另受个人信息保护法约束，两套义务并行，取其严者执行。
六、实操建议
- 先做差距测评：对照上表六个要件逐项打分，缺什么补什么，一个月内能落地的先落地；
- 把「事件响应流程卡」贴进运维值班手册：发现→处置→告知→报告四步，每步写明责任人和时限；
- 重要数据处理者每年按第三十条出风险评估报告，报送记录存档，这是检查时最硬的自证材料；
- 与网安法衔接：走网络的数据处理还要同时满足网安法第二十三条等保五项义务，两套清单合并成一张检查表最省事。
站内软件有漏洞，厂商必须告诉你吗、等级保护不是口号：网络运营者的五项等保义务、数据交易怎么走合规路径：交易所、授权运营与数据中介义务对相关义务与路径有专文，可对照使用。
七、与网安法等保义务的并表技巧
利用互联网开展数据处理的企业同时背着两套清单：数据安全法的制度、培训、技术措施、负责人、风险评估，加上网安法第二十三条的等保五项义务——内部安全管理制度和操作规程、防病毒防攻击技术措施、日志留存不少于六个月、数据分类与重要数据备份加密。两套清单有大量交集，聪明的做法是并表：一张总台账，左列义务条款，中列制度文件与证据，右列责任部门，交集处（如「数据分类」同时服务数安法分级与网安法第四项）标注一次建设、多处引用。并表的好处是双重的：投入不重复——一次摸底同时满足两套评级；检查不遗漏——监管条线不同，检查人员引用的条款不同，总台账保证任何一列被抽查都有对应证据。每年复核一次台账，法律修订、业务变化、组织调整都触发更新，这张表就是企业数据安全治理的活地图。
最后说说检查应对。监管对第二十七条、第二十九条的检查通常是「要材料＋看现场」两段式：材料段要看制度文本、培训记录、负责人任命、风险评估报告、事件台账，建议按这五类做成一个常备档案盒，电子纸质双版本，随时能取；现场段会核对制度与实际的一致性——权限审批是否真的走流程、日志是否真的留存、值班是否真的有预案卡。应对的要诀只有一个：平时怎么运行，检查时怎么展示。临时补造的文件在时间戳与内容细节上很容易露馅，而一套真实运转的制度，现场怎么看都经得起看。把检查当成制度运行的季度考，而不是突击作业，这条义务的履行就顺了。
一句话总结：数据安全保护义务背两条——第二十七条管平时（制度、培训、技术措施、等保底座），第二十九条管出事（补救、处置、告知、报告）；重要数据处理者再加负责人、机构、年度风险评估三件套。
以上内容为一般性法律知识介绍，不构成正式法律意见。企业数据合规体系的建设与整改，请结合行业监管要求与实际业务，咨询执业律师后推进。