数据安全法罚则全景：五万到一千万，罚款怎么跳档、停业怎么触发

出数据泄露事故，老板问律师的第一句是「会罚多少」——数据安全法罚则的答案取决于违法的是哪条义务、有没有拒不改正、后果多严重，这些开关全写进了第六章。很多科普只说「最高一千万」，却没说清从五万到一千万之间有四道档位、每道档位的触发条件完全不同。2026 年写的这篇，把第四十五条、第四十六条逐款拆开，配一张罚则对照表，让你看懂罚款怎么跳、停业怎么来、责任人怎么罚。

⁠​‌​‌​​‌​‌‌‌​‌​‌​​‌​​​‌‌​‌‌​‌‌‌​‌‌​​‌‌​‌​‌​‌​‌‌​​⁠

先看这三个要点

一、条文原文

二、罚则对照表

三、跳档开关在哪里

开关一：态度。「责令改正」之后拒不改正，罚款直接翻档——收到整改通知当天就启动整改方案并书面反馈，是最便宜的止损动作。

开关二：后果。「造成大量数据泄露等严重后果」是客观标准，泄露规模、数据敏感度、波及人群都会被评估。事故后有没有立即处置、及时报告（第二十九条），直接影响「严重后果」的认定。

开关三：类型。碰核心数据管理制度、重要数据出境两条高压线，起点档就比普通义务高——这不是普通合规瑕疵，是国安层面的违法。

开关四：个人。每档罚款都「点名」直接负责的主管人员和其他直接责任人员——数据安全负责人、CTO、分管副总都可能自掏腰包，这就是为什么负责人和管理机构要白纸黑字落实（第二十七条第二款）：职责写在文件里，追责才有边界。

五、常见问题快答

问：警告算不算处罚，能不能不当回事？ 警告是行政处罚的法定种类之一，而且第四十五条的模型是「责令改正＋警告」起步——警告之后拒不改正，就是跳到第二档的理由。收到警告决定书的同时启动整改并书面反馈，是防止跳档的最直接动作。

问：「造成大量数据泄露」的「大量」有标准吗？ 法律没有写死数字，执法中结合数据条数、敏感程度、波及人群、社会影响综合认定。实务建议反向操作：不纠结「多少条算大量」，而是按「会被称为大量」的标准做防护——分级加密、最小化收集、泄露后立即处置，把后果的量级压下去，跳档的开关就握在自己手里。

问：罚款交给公司，个人的罚款单位能报销吗？ 个人罚款针对的是「直接负责的主管人员和其他直接责任人员」的个人责任，由其个人承担；单位替个人缴罚款没有法律依据，还可能引发内部追偿与劳动争议。这也是为什么职责边界要写进文件——职责清晰的人，抗辩空间也清晰。

问：对处罚决定不服，走什么程序？ 一般行政处罚可以依法申请行政复议或提起行政诉讼；但注意数据安全法第二十四条的安全审查决定是最终决定，那类决定不在救济通道里。收到决定书后先看救济期限（复议、诉讼时效各有限制），再决定动作，过期即失权。

问：怎么判断罚款会落在区间里的哪一点？ 罚款幅度内的裁量看情节：违法持续时间、后果严重程度、整改态度、是否主动消除影响。主动整改、及时报告、赔偿到位的，裁量上通常向低处走；隐瞒、拖延、再犯的向高处走。把裁量要素当成合规行动指南，就是这张罚则表的正确用法。

六、从罚则反推合规优先级

把第六章倒过来读，能得出一张合规优先级清单：最优先的是「不出后果」——第二十七条、第二十九条、第三十条的义务履行直接决定第一档与第二档的分界，制度、监测、风险评估三件事是性价比最高的投入；其次是「不碰高压线」——核心数据管理制度与重要数据出境，两条线罚款起点高、顶格到千万，涉足前必须做专项合规评审；第三是「留好痕迹」——整改反馈、报告凭证、评估卷宗，裁量与抗辩都靠它们；最后是「管好责任人的职责边界」——任命文件、职责清单、培训记录齐全，个人的「直接负责」才有据可抗。合规预算有限时，就按这个顺序投，每一分钱都花在罚则的杠杆支点上。

七、边界与误区

• 误区一：「罚款上限一千万，交钱了事」。资格罚（停业、吊照）对很多业务的杀伤力超过罚款本身；构成犯罪的（如向境外非法提供、拒不配合情节严重），还有刑事责任等着。
• 误区二：「出了事把锅甩给外包或离职员工」。直接负责的主管人员的认定看管理责任，制度缺失、疏于履职的负责人跑不掉。
• 误区三：「民事赔偿与行政罚款二选一」。给他人造成损害的依法承担民事责任（第五十二条），行政罚款与民事赔偿并行，受害用户的集体索赔常常比罚款更贵。
• 参照系：网络安全法2025年修正后，最高档罚款同样到一千万（如第六十一条第三款、第六十九条第二款）——两部法在重罚立场上一致，别指望钻哪部法罚得轻的空子。

八、实操建议

1. 收到责令改正通知后，先出书面整改方案给主管部门，主动整改姿态是罚款幅度内的最大变量；
2. 把「大量数据泄露」的认定要素前置管理：分级、加密、最小化收集，降低事故后果的「量级」；
3. 数据安全负责人的任命文件与职责清单存档，出事时厘清个人责任范围；
4. 罚单落地后评估行政复议的可能——一般处罚决定可以复议诉讼，但注意第二十四条的安全审查决定是最终决定，那类风险只能在事前防。

站内平台泄露你的信息，网安法怎么罚、数据出境怎么合规：安全评估、标准合同、认证三条路怎么选、平台不删违法信息，会被追责吗？对相关义务与路径有专文，可对照使用。

八、罚款之外的连带账单

算违法成本别只算罚款那一栏。第一笔是信用账：违法行为按有关法律、行政法规记入信用档案并予以公示（对应网安法的公示机制，数安法框架下同样有信用约束的制度接口），招投标、融资、政府合作都会被翻出来看。第二笔是民事账：给他人造成损害的依法承担民事责任（第五十二条），数据泄露事件的受害用户索赔、平台合作方的违约索赔常常比行政罚款更贵，集体纠纷的诉讼成本与商誉损失更是长尾支出。第三笔是刑事账：构成犯罪的依法追究刑事责任（第四十五条第二款明确写入），向境外非法提供重要数据、拒不配合情节严重等情形都有对应的刑事罪名射程。第四笔是资格账：暂停业务、停业整顿、吊销证照的资格罚对现金流型业务是灭顶之灾，直接责任人个人另附从业限制的可能。四笔账加总，才是「不合规」的真实标价——这笔账算完，多数企业会重新排一遍合规预算的优先级。

再提醒一个程序性细节：罚则里的「责令改正」本身不是罚款，但它是罚款的前置程序——多数档位都是「责令改正＋警告」起步，拒不改正才升级。所以收到责令改正通知书的那一刻，企业其实站在一个可以主动选择的岔路口：按期整改、书面反馈、留存凭证，走的是低档路径；无视通知，等于亲手扳动跳档开关。建议把「责令改正通知书」列为公司级最高优先级文书，收文即上报管理层、五日内出整改方案、限期反馈并附证据——这套动作花的是流程成本，省的是五十万到二百万的差额。

一句话总结：数据安全法罚款是一条四档曲线——普通义务五万起、拒改跳五十万、核心数据与情节严重出境两千万封顶；每档都有个人罚款跟随，停业吊照的资格罚往往比罚款更致命。

---

以上内容为一般性法律知识介绍，不构成正式法律意见。收到行政处罚通知后的应对与救济，请及时咨询执业律师处理。