公司存着客户的身份信息和手机号，要不要做数据安全风险评估

数据安全风险评估要不要做，这两年问的人越来越多，问的多半是手里存着几万条客户身份证号和手机号的中小公司老板。答案分两层：法律只对一类主体设了每年一次的硬性义务，就是处理重要数据的网络数据处理者；对普通企业，这份评估不是每年要交的作业，但碰上新产品上线、信息对外提供、数据出境这些节点，另一部法律里的影响评估就跑不掉。2026 年 8 月 20 日施行的《网络数据安全风险评估办法》共 25 条，把评估的对象、频次、报告、第三方、责任一次写全；它上面还有《中华人民共和国数据安全法》第三十条，旁边站着《中华人民共和国个人信息保护法》第五十五条。三份文件管三件事，混着读就容易得出「小公司也要每年做」的错误结论。

⁠​‌​‌​​‌​‌‌‌​‌​‌​‌‌‌‌​​‌​‌‌​‌‌​‌​​‌‌‌‌​‌​‌​‌​‌‌​​⁠

一、谁必须做：一条分界线，把企业分成三类

结论：强制每年做一次评估的只有一类主体，就是处理重要数据的网络数据处理者；处理个人信息达到一千万人以上的企业被按重要数据口径管理；普通小公司没有年度评估义务，但另有别的评估在等着它。

数据安全法第三十条把义务挂在「重要数据的处理者」身份上，评估办法第五条把频次落到年度。这条身份线决定你要不要每年做、要不要报。

重要数据处理者。 重要数据指一旦遭到篡改、破坏、泄露或者非法获取、利用，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的数据，范围由行业主管部门按分类分级制度确定目录。进了目录，每年一次就是硬义务。

处理个人信息达到一定规模的企业。 《网络数据安全管理条例》第二十八条规定，处理一千万人以上个人信息的，还要遵守条例第三十条、第三十二条对重要数据处理者作出的规定，即设安全负责人和管理机构、在合并分立解散破产时报告处置方案。但条文援引的是第三十条、第三十二条，年度评估报送在第三十三条——一千万人以上并不自动等于每年必须报送报告，还要看行业规定。

普通小公司。 存着几万条客户手机号、开票信息的企业，绝大多数不处理重要数据，也未达到前述规模。办法的表述是「鼓励至少每3年开展一次」，不是「应当」，不做不会因这一条被罚；但只要处理个人信息，另一套义务一直在。

办法第六条还留了接口：主管部门对本行业评估另有规定的从其规定，金融、医疗、汽车、工信各有要求。条文原文可在《网络数据安全风险评估办法》全文逐条核对；条例整体加了哪些义务，网络数据安全管理条例实施，企业收集数据有什么新要求讲得更全。

二、多久做一次，哪几个节点要临时加做

结论：年度评估是底线，五类节点要单独加做：重要数据安全状态发生重大变化、对外提供或委托处理重要数据、合并分立解散破产、数据出境、新业务上线导致处理目的方式改变。

状态重大变化。 办法第五条第二款要求，重要数据安全状态发生重大变化可能造成不利影响的，及时对变化部分开展评估。注意是「部分」，不是全量重做：新增一类数据、换一套系统、接一个新供应商，就评这一块。

对外提供、委托处理、共同处理。 条例第三十一条要求重要数据处理者在提供、委托、共同处理前评估，重点看接收方处理的目的方式范围是否合法正当必要、数据被篡改泄露的风险、合同里的安全要求能否真正约束对方。这一条最容易被跳过：业务部门签完协议就上线，法务根本不知道数据出去了。

合并、分立、解散、破产。 条例第三十二条要求采取措施保障重要数据安全，并向省级以上主管部门报告处置方案和接收方信息。这类交易里数据常被当资产打包，交割时才发现报告义务没人履行。

数据出境。 出境有独立的安全评估、标准合同、认证三条通道，判断标准和境内风险评估不是一套。三条路怎么选，数据出境怎么合规：安全评估、标准合同、认证三条路怎么选拆得比较细。出境评估通过，不等于境内评估可以免。

新业务上线。 对一般企业，这条的义务来源不是评估办法，而是个人信息保护法第五十五条：处理敏感个人信息、用个人信息做自动化决策、委托处理或向他人提供、向境外提供、其他有重大影响的活动，都要事前做影响评估。很多公司把上线前评审做成产品经理填一张表，风险点全靠自觉，出事时这张表证明不了任何事。

把这五个节点写进立项、采购、上线三个卡点，每个卡点问一句：数据从哪来、给谁、怎么管。

三、评估到底评什么：数据、活动、风险、措施四层

结论：评估不是查漏洞，是把家底按四层摸一遍：先给数据分类分级，再列清处理活动，再找风险点，最后验证措施是不是真的管用。

办法第二条把评估定义为对网络数据和网络数据处理活动安全进行的风险识别、风险分析和风险评价。三个动作，对应四层内容。

第一层，数据本身。 身份证号、手机号、收货地址、订单记录、开票信息，分别是什么类别、什么级别。身份证号在实务中通常按敏感个人信息对待；手机号单独看不敏感，但和身份证号、住址拼在一起，识别度立刻上一个量级。数据安全法第二十一条建立的是分类分级保护制度，企业首先要有一张数据资产清单。

第二层，处理活动。 收集、存储、使用、加工、传输、提供、公开、删除，每个环节谁在做、在哪个系统做、依据是什么。这层最容易露馅：市场部用表单工具收的客户信息往往不在IT部门的清单里。经营者收集消费者个人信息有哪些被禁止的做法，经营者收集消费者个人信息，哪些做法被明令禁止可以当自查表用。

第三层，风险点。 超范围收集、授权过宽、权限没回收、日志不留、离职带走、供应商二次使用、系统漏洞，这些才是报告里该出现的条目，而不是「存在一定风险」这种话。写不出具体场景的风险，等于没评。敏感信息为什么要单独同意、在系统里怎么落地，体检报告、行踪轨迹、人脸信息：敏感个人信息为什么要单独同意讲的是同一件事的另一面。

第四层，措施有效性。 制度有没有、有没有人执行、技术上有没有拦住。条例第三十三条第二款列的报告内容反过来就是现成清单：处理目的种类数量方式范围存储期限地点、管理制度及实施情况、加密备份访问控制等措施及有效性、发现的风险与事件及处置、数据出境情况。照这七项填一遍，框架就齐了。

员工信息同样在范围内。考勤、监控、背调都是处理个人信息，公司怎么处理员工个人信息：背调与考勤监控的合法边界可作参照。离职员工把客户名单拷走这类风险，公司数据被离职员工拷走，能报警立案吗讲了报案与举证的门槛。

四、报告报给谁、保存几年、二十个工作日怎么算

结论：重要数据处理者要在年度评估完成后 20 个工作日内按主管部门要求报送，报告至少保存 3 年；一般数据处理者不强制报送，但报告仍要留档备查。

报给谁。 第一顺位是本行业主管部门；不明确的，报省级网信部门或者国家网信部门。

二十个工作日从哪天起算。 从「年度评估完成」起算，不是从年初、也不是从立项。完成的标志通常是报告定稿并走完内部审批，建议把日期写在报告首页。

保存三年是下限。 三年是最低年限，不是到期就能销毁。报告含数据清单、系统架构，本身是敏感材料要控权限；也正因如此，它是证明你履行过义务的唯一凭据。

核验要配合。 第十六条第三款给了省级以上网信、电信、公安、国安等部门核验真实性的权力。另一面是：报告写「已部署访问控制」而实际没有，核验时就是另一个性质的问题。一般数据处理者虽不必报送，仍建议留档，理由在举证。

五、自己评还是请第三方：什么情况会被要求委托

结论：法律允许自己评，指定专人负责即可；只有监管发现较大安全风险、发生重要数据或大规模个人信息泄露事件等情形，才可以要求你委托通过认证的评估机构，且同一事件不得重复要求。

办法第七条写得很直白：可以自行或者委托第三方评估机构开展评估。自行开展的，应当指定专人负责；委托开展的，应当通过合同或其他有法律效力的文件明确双方权利义务。「自己做不算数」是误解。

什么情况会被要求请人做。 第十七条列了三种：处理活动存在较大安全风险，可能危害国家安全、公共利益的；发生数据安全事件导致重要数据或者大规模个人信息泄露、被窃取的；有关部门规定的其他情形。三种都带前提——是监管部门在核验、检查中发现后「可以要求」，不是企业自己觉得风险大就必须请，且对同一事件或风险不得重复要求。

机构受什么约束。 第十条要求机构对报告真实性、有效性、完整性负责；第十一条禁止转委托；第十二条规定同一机构及其关联机构不得连续 3 次以上对同一处理者开展年度评估；第十四条要求对获知的数据和商业秘密保密。这几条对选机构有直接用处：问一句实际是谁做、会不会转包，问一句你们跟我们合作几年了。

你的义务在第十八条。 提供必要访问权限；限时完成，复杂情况经批准可延长；报送机构出具的报告，报告须由机构主要负责人、风险评估负责人签字并盖公章；按要求整改，并在整改完成后 15 个工作日内报送整改情况报告。最后一句是硬话：不得要求或者示意机构出具不实或不当的报告。合同至少写清四块：范围与交付物、时间与延期、保密与数据删除、签字盖章。真走到被要求委托这一步，通常已经出过事，最怕找到只出结论不出证据的机构，网络平台泄露用户数据，要担责吗讲的责任分配逻辑同样适用。

六、不做、迟报、造假，分别落在哪条罚则上

结论：不做或做得不实，先落在数据安全法第四十五条：责令改正、警告，五万到五十万罚款，直接负责的主管人员一万到十万；拒不改正或者造成大量数据泄露等严重后果的，五十万到二百万，可以责令暂停业务、停业整顿、吊销执照。

第一档，责令改正加警告加罚款。 第四十五条把三条义务绑在一起罚：第二十七条的管理制度、第二十九条的风险监测与事件报告、第三十条的定期评估与报送。不做评估不是单独为此被罚，而是落在「不履行数据安全保护义务」这一档里，连制度、监测一并被评价。单位五万到五十万，人员一万到十万，两个罚则并行。

第二档，严重后果。 拒不改正，或造成大量数据泄露等严重后果的，五十万到二百万，可责令暂停相关业务、停业整顿、吊销许可证或营业执照，人员五万到二十万。触发点是「没做评估加出了事」或者「被要求改还不改」。这类处罚的性质，先看行政处罚；2026 年新网络安全法对泄露事件的四档罚款怎么叠加，网站被黑、数据泄露，公司要罚多少钱有逐档拆解。

造假是另一条线。 第十八条第二款禁止要求或示意机构出具不实报告，第二十二条第二款对违规机构另行处理。企业提交不实报告，可能被认定不履行义务，还可能牵出提供虚假材料；机构则可能失去认证资格。

两个容易被忽略的后果。 一是办法第十九条：可能危害国家安全、公共利益的，责令整改，拒不整改可要求停止处理重要数据——停业务比罚款更疼。二是处罚决定依法公示，个保法第六十七条也规定记入信用档案。被罚之后怎么应对，见被行政处罚了怎么办：从签收告知书到申请听证；消费者因信息泄露索赔的口径，见商家泄露消费者个人信息，能赔多少。

七、和「个人信息保护影响评估」到底差在哪

结论：两者不是一回事：对象上，一个评估数据与数据处理活动的安全，一个评估个人信息处理对个人权益的影响；触发上，一个看身份和状态变化，一个看具体场景；报告上，一个向外报送，一个对内留存三年。

对象不同，结论可能相反。 一份体检报告对国家安全毫无影响，但对个人权益影响很大；一批脱敏的工业运行数据可能涉及重要数据，却和个人权益关系不大。一套模板套两个评估，两边都没评到点上。

触发逻辑不同。 前者看「你是谁、重要数据有没有变」，是身份加状态；后者看「你在做什么」，是场景。一家小公司一年做三次影响评估、一次数据安全风险评估也不做，完全合法。

报告用途不同。 前者是对监管的义务，报了才算履行；后者是对内的记录义务，不报但要有。检查时最常见的错位，是监管要看影响评估记录，企业递上一份风险评估报告。

第三种东西别混进来：合规审计。 个保法第五十四条要求定期对处理个人信息守法情况进行合规审计，对象是「守不守法」，方法是查记录、抽样、出结论。个人信息保护合规审计：谁要审、审什么、什么时候必须审讲的是这条线。三者目的不同、文书不同，谁也不能替代谁。条例还有一句：个人信息保护合规审计、重要数据风险评估、重要数据出境安全评估应当加强衔接，避免重复评估；重要数据风险评估和网络安全等级测评内容重合的，相关结果可以互相采信。可以采信，不等于可以顶替。

八、别把评估做成废纸：报告该回答的四个问题

结论：拿等级测评顶替、把报告写成一堆套话，这两种做法最常见，做完也挡不住责任。

等级测评看边界、主机、网络，评估看数据和处理活动，两份清单交集不大；允许互相采信的前提是内容重合，不是做过一个就不用做另一个。判断标准很朴素：把报告给不了解你公司的人看，他应该能回答四个问题——有哪些数据、怎么流动、哪里可能出事、出了事谁负责。真出了事想靠整改争取从宽，看的也是这套东西是否真实运转，公司出了事，做「合规整改」能换来不起诉吗讲的是同一逻辑。

今天能做的下一个动作

结论：这三步不需要预算也不需要外部机构，今天开工，一周内能拿出第一版可用材料。

• 列一张数据清单：把所有系统、表格、表单工具里存着的个人信息逐项写下来，标出来源、数量级、是否含身份证号或生物识别信息、保存多久、谁能导出。几千、几万、几十万就够判断义务档次。
• 画一张流转图：客户信息从哪进来、经过哪几个系统、给过哪些供应商、有没有传到境外。每线后面写一句「凭什么给」，写不出来的先停掉。
• 定责任人和留档：按办法第七条指定专人负责，把姓名、职务写进制度，把年度评估和重大变化加做写进立项、上线流程。报告、评估记录、整改记录按时间归档，至少存三年；证据怎么固定，个人信息侵权：要收集哪些证据有清单；已被约谈的，先按个人信息被泄露、被冒用怎么办固定事实，书面说明可参照行政处罚申辩书（范本）。

我们只有几千条客户手机号，也要每年做数据安全风险评估吗？

不用。年度义务只给重要数据处理者，一般企业是鼓励至少每3年一次。但一旦处理敏感信息、向他人提供、委托处理、自动化决策或出境，就要按个保法第五十五条事前做影响评估。

客户身份证号和手机号算不算重要数据？

通常不算。重要数据看对国家安全、经济运行、社会稳定、公共健康和安全的影响，由行业主管部门按目录确定，企业不能自己认定也不能自己排除。身份证号是个人信息，实务中按敏感个人信息对待。

报告一定要报送吗，不报会怎样？

只有重要数据处理者需要报，在评估完成后 20 个工作日内按主管部门要求报送，不明确的报省级网信部门或国家网信部门。该报不报，落在数据安全法第四十五条。

自己做评估，监管部门认不认？

认。办法第七条明确可以自行开展，条件是指定专人负责。是否被要求委托第三方，取决于第十七条的三种情形，由监管部门在核验、检查中发现后提出。

请第三方评估，报告谁签字、费用谁承担？

报告由机构主要负责人、风险评估负责人签字并盖公章，企业负责报送。费用由企业承担；主管部门依法检查不得向被检查的重要数据处理者收费，见办法第四条第二款。

评估做完发现一堆问题，是不是自己给自己找麻烦？

不是。第十九条给的是整改路径：可能危害国家安全、公共利益的责令整改，拒不整改才可能被要求停止处理重要数据。主动发现并整改，在裁量里是加分项。

延伸阅读

• 什么情况必须做个人信息保护影响评估：五类场景与操作
• 企业没做数据安全保护，会有什么处罚

---

以上内容为一般性法律知识分享，不构成正式法律意见；具体案件请结合证据情况咨询执业律师。