数据安全负责人：谁必须设、由谁担任、和网络安全负责人有什么区别

一句话定义：数据安全负责人是重要数据处理者依法必须明确的一个岗位，由管理层成员担任，有权直接向有关主管部门报告网络数据安全情况。数据安全法第二十七条第二款规定「重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任」；网络数据安全管理条例第三十条进一步写明「网络数据安全负责人应当具备网络数据安全专业知识和相关管理工作经历，由网络数据处理者管理层成员担任，有权直接向有关主管部门报告网络数据安全情况」。★最容易搞混的一点是：企业里常说的「三个负责人」——网络安全负责人、数据安全负责人、个人信息保护负责人——是三套不同的法定岗位，依据不同、触发条件不同、职责也不同，不能用一个岗位名称把三件事一起交差。

本词条属于网络与数据栏目。实务中最常见的做法是「一份任命书管三个岗」：标题写「关于任命某某为公司网络安全及数据安全及个人信息保护负责人的决定」，正文一句话，盖章了事。这种做法在检查时的风险不在于「任错了人」，而在于三件事：一是根本没判断自己是不是「重要数据处理者」，不该设的设了，该设的没设；二是负责人不是管理层成员，形式上就不符合条例第三十条；三是没有授权、没有汇报线、没有履职记录，出事后无法证明这个岗位真实存在过。

构成要件

一、三个「负责人」不是一个人：三套依据、三个触发条件。

第一个是网络安全负责人。依据是网络安全法第二十三条：国家实行网络安全等级保护制度，网络运营者应当履行五项义务，第一项就是「制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任」。注意它的触发条件：只要是「网络运营者」，就适用，门槛最低，几乎所有联网运营的企业都在范围内。

第二个是数据安全负责人。依据是数据安全法第二十七条第二款和网络数据安全管理条例第三十条。触发条件高得多：只有「重要数据的处理者」才必须设。条例第二十八条还加了一个「视为」规则：处理 1,000 万人以上个人信息的网络数据处理者，还应当遵守第三十条、第三十二条对重要数据处理者作出的规定，也就是说这类企业虽未被认定为重要数据处理者，但同样要设负责人和管理机构。

第三个是个人信息保护负责人。依据是个人信息保护法第五十二条：「处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人，负责对个人信息处理活动以及采取的保护措施等进行监督」，并要求「公开个人信息保护负责人的联系方式，并将个人信息保护负责人的姓名、联系方式等报送履行个人信息保护职责的部门」。它的触发条件是「达到国家网信部门规定数量」，与「重要数据」不是同一个标准。

三者的关系可以这样记：网络安全负责人看「有没有网」，数据安全负责人看「有没有重要数据（或者一千万人以上个人信息）」，个人信息保护负责人看「处理个人信息的数量」。三个条件可能只命中一个，也可能全部命中。全部命中的企业，应当设三个岗位，或者至少设三个职责清单，而不是发一份任命书了事。

二、谁必须设：两类企业，两种触发。

第一类是重要数据的处理者。判断路径是「先识别、后确认」：按行业目录或者地方目录比对，命中即属于；没有目录可依的，按定义自行识别并向主管部门申报，由主管部门确认。确认之后，设负责人就是法定义务。

第二类是处理 1,000 万人以上个人信息的企业。这一类的依据是条例第二十八条，注意它的表述是「还应当遵守本条例第三十条、第三十二条对处理重要数据的网络数据处理者作出的规定」，不是「认定为重要数据」。这个区别的实务意义在于：这类企业要设负责人和管理机构、要在合并分立破产时报告处置方案，但不等于其处理的数据成了重要数据。

「1,000 万人」怎么算，法律没有细化。稳妥口径是按「累计处理过的自然人数量」估算，去重计算，并在内部形成书面测算说明。注意这个数字只增不减：用户注销后是否从累计数中扣除，法律没有规定，保守做法是保留历史峰值作为判断依据。

三、由谁担任：三个硬条件。

第一个条件，必须是「管理层成员」。条例第三十条的表述是「由网络数据处理者管理层成员担任」，这是身份要求，不是能力要求。「管理层成员」通常指董事、监事、高级管理人员，以及公司章程或者治理文件明确列为管理层的人员。指定一个信息安全部门经理、数据部主管、法务专员担任，形式上就不符合。

第二个条件，要具备专业知识和相关管理工作经历。条例第三十条要求「具备网络数据安全专业知识和相关管理工作经历」，这一条在检查时通常看两样东西：学历或者培训证明、过往任职经历。实务中可以用「外部培训证书加内部授权文件」补强，但不能只有一纸任命。

第三个条件，要有「直接报告权」。条例第三十条明确「有权直接向有关主管部门报告网络数据安全情况」，这句话的实质是「可以绕过业务负责人直达监管」，所以企业内部制度里必须把这条汇报线写出来，否则这个权利在纸面上存在、在实际中不存在。

四、三项职责：不是「负责安全」四个字。

条例第三十条把管理机构的职责列了三项，注意这三项是「机构」的职责，负责人是领导这个机构的人。

第一项是「制定实施网络数据安全管理制度、操作规程和网络数据安全事件应急预案」。关键词是「制定实施」，不是「参与制定」，这意味着制度和预案的落地责任在负责人身上。

第二项是「定期组织开展网络数据安全风险监测、风险评估、应急演练、宣传教育培训等活动，及时处置网络数据安全风险和事件」。这里有四个动作要定期做：监测、评估、演练、培训。「定期」没有给具体频次，实务中按年度至少各一次是普遍做法，重要数据的处理者按条例第三十三条要做年度风险评估，正好可以合并做。

第三项是「受理并处理网络数据安全投诉、举报」。这一项最容易被忽略，因为它看起来像客服工作。但它是法定职责，意味着企业必须有一条能到达负责人的投诉通道，并且有处理记录。

五、安全背景审查：只针对特定种类和规模。

条例第三十条第三款规定：「掌握有关主管部门规定的特定种类、规模的重要数据的网络数据处理者，应当对网络数据安全负责人和关键岗位的人员进行安全背景审查，加强相关人员培训。审查时，可以申请公安机关、国家安全机关协助」。

这一条有三个限定要看清：一是对象限定在「特定种类、规模的重要数据」，不是所有重要数据处理者都要做；二是审查对象包括负责人和关键岗位人员；三是可以申请公安机关、国家安全机关协助，说明审查内容涉及违法犯罪记录这类信息，企业自行核查有困难。

实务中的操作要点：审查应当在任职前完成，任职后定期复核；审查结果应当书面留档，但不应当扩散；审查不合格的处理方式要在制度里写清楚（调岗、不任命、解除）。注意「背景审查」不等于「政治审查」，企业不要自行扩大审查范围。

六、不设的后果：罚则跟着「重要数据」走。

数据安全法第四十五条：不履行第二十七条、第二十九条、第三十条规定的数据安全保护义务的，责令改正、警告，可以并处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；拒不改正或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销许可证。

网络数据安全管理条例第五十七条：违反第二十九条第二款、第三十条第二款和第三款、第三十一条、第三十二条规定的，责令改正、警告，可以并处五万元以上五十万元以下罚款；拒不改正或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款。

注意两条的差别：条例第五十七条明确指向「第三十条第二款和第三款」，也就是负责人由管理层成员担任这一款、以及安全背景审查这一款。所以「负责人不是管理层成员」这件事，本身就是可处罚的违法行为，不是「形式瑕疵」。

法条依据

与相邻概念的区别

第一，与网络安全负责人的区别。两者的依据和门槛完全不同：网络安全负责人依据网络安全法第二十三条，只要企业是「网络运营者」就必须确定，门槛最低；数据安全负责人依据数据安全法第二十七条和条例第三十条，只有重要数据处理者（含处理 1,000 万人以上个人信息的企业）才必须设，门槛高得多。职责也不同：网络安全负责人管的是「系统安全」，即等级保护、防范攻击、日志留存、安全事件处置；数据安全负责人管的是「数据安全」，即分类分级、风险评估、提供委托前的评估、投诉举报。一个中型企业完全可能只命中网络安全负责人这一档，此时强行设「数据安全负责人」并不违法，但不能对外宣称已履行数据安全法义务，因为义务本身就不触发。

第二，与个人信息保护负责人的区别。个人信息保护负责人的依据是个人信息保护法第五十二条，触发条件是「处理个人信息达到国家网信部门规定数量」，职责是「对个人信息处理活动以及采取的保护措施等进行监督」，并且有两项独特义务：公开联系方式、将姓名和联系方式报送履行个人信息保护职责的部门。数据安全负责人没有这两项义务，条例第三十条只要求「有权直接向主管部门报告」，没有要求公开或者报送。这个差别在实务中很有意义：个人信息保护负责人是「对外可见、向监管备案」的岗位，数据安全负责人是「对内有权、对监管直通」的岗位，两者的制度设计逻辑不同。个人要确认自己属于哪一类处理场景的，可用个人信息保护维权判定器先做初判。

第三，与企业自设的「数据安全官」的区别。很多企业设了「首席数据官」「数据安全官」「数据保护官」，这些是公司治理岗位，不是法定岗位。法定岗位的认定看三件事：法律有没有规定必须设、有没有规定任职条件、有没有规定职责。企业自设岗位如果不满足条例第三十条的三个硬条件（管理层成员、专业知识与经历、直接报告权），就不能用来充抵法定岗位。反过来，企业自设岗位如果满足了这三个条件并在制度里写明职责，即使名称叫「首席数据官」，也可以认定为履行了法定义务，关键在于实质而不是名称。

第四，与法定代表人的区别。法定代表人是民法上的机关，代表法人从事民事活动；数据安全负责人是行政法上的合规岗位，承担的是数据安全履职责任。两者可以由同一人担任，但责任性质不同：法定代表人承担的是代表责任和可能的行政责任，数据安全负责人承担的是履职责任。数据安全法第四十五条和条例第五十七条都规定了对「直接负责的主管人员和其他直接责任人员」的罚款，这个「直接负责的主管人员」在数据安全事项上，通常就指向数据安全负责人。所以「挂名」是有实际风险的，不是荣誉头衔。

实操指引

第一步，判断触发：先算清自己属于哪一档。三个判断依次做：一是是否属于网络运营者（几乎都是），二是是否处理重要数据（按行业目录或者地方目录比对，无目录可依的按定义识别并申报），三是处理的个人信息是否达到 1,000 万人以上（按累计去重估算并留测算说明）。三个判断的结论要写成书面文件，注明判断依据和日期，这份文件本身就是「已履行识别义务」的证据。

第二步，选人：按三个硬条件筛，不按资历筛。硬条件一是管理层成员，核对公司章程、治理文件、任职文件；硬条件二是专业知识与相关管理工作经历，准备培训证明、过往任职材料；硬条件三是有直接报告权，在授权文件里明确写出「有权就网络数据安全事项直接向有关主管部门报告，不受业务负责人审批限制」。三条都满足才任命，只满足前两条的，先补授权文件再任命。

第三步，授权：一份授权书要写清五件事。一是岗位名称与法定依据（写明依据数据安全法第二十七条、条例第三十条）；二是任职条件说明（管理层成员身份、专业背景）；三是职责清单（对条例第三十条三项职责逐项细化到可执行的动作）；四是权限（直接报告权、跨部门调取资料权、暂停相关业务的建议权）；五是任期与变更程序（任期、免职条件、空缺时的代行安排）。这五项缺一项，检查时就会被问「这个负责人到底能做什么」。

第四步，报送与公开：分岗位处理，不要一律公开。个人信息保护负责人要公开联系方式并向履行个人信息保护职责的部门报送，这是个人信息保护法第五十二条的硬要求。数据安全负责人没有法定的公开和报送义务，但实务中建议在向主管部门报送重要数据申报材料、年度风险评估报告时一并写明负责人姓名和联系方式，因为条例第三十三条要求风险评估报告包含「网络数据安全负责人姓名和联系方式」。两个岗位由同一人担任的，公开和报送按个人信息保护负责人的要求执行即可。

第五步，履职留痕：四类记录，按年归集。第一类是制度类（管理制度、操作规程、应急预案及其版本）；第二类是活动类（风险监测记录、风险评估报告、演练记录、培训签到与考核）；第三类是事件类（事件处置记录、报告凭证、整改记录）；第四类是投诉类（投诉受理台账、处理结果、回访记录）。按年归集成册，与年度风险评估报告一并归档。涉及第三方服务商的，取证与合同条款要点可以参照网络服务合同纠纷证据清单，企业整体合规自查可参照企业合规体检全流程。

常见问题

一个人能不能同时兼任三个负责人？

法律没有禁止兼任，但要注意两个岗位的资格要求不同。个人信息保护负责人要求「指定」，没有要求必须是管理层成员；数据安全负责人明确要求「由管理层成员担任」。所以由一位副总经理同时兼任，形式上都能满足。兼任的真实风险在履职能力：三个岗位的职责差异很大，网络安全偏技术、数据安全偏治理、个人信息保护偏合规与对外沟通，一人兼任时应当在授权文件里把三套职责分开列明，并配置相应的支持团队。另外要注意「直接报告权」不能被兼任本身削弱，如果这位副总同时分管业务，制度里要写明数据安全事项的报告不受其业务分管身份限制。

负责人必须是高管吗，部门经理行不行？

条例的表述是「管理层成员」，部门经理通常不符合。判断标准不是头衔，而是这个人在公司治理结构中的位置：是不是董事会、监事会成员，是不是公司章程或者治理文件列明的高级管理人员。「数据部经理」「信息安全部经理」一般属于中层，不属于管理层。如果企业确实希望由部门经理实际负责，正确做法是「提拔为管理层成员后再任命」，或者「由管理层成员担任负责人、由部门经理担任管理机构的具体执行人」。后一种安排更常见，也更符合条例的「负责人加管理机构」双层设计。

负责人辞职了，空窗期怎么办？

空窗期本身就是违法状态，应当在制度里预设代行安排。条例第三十条要求「明确」负责人， 没有负责人的状态不满足「明确」。可操作的做法是在授权文件或者管理制度里写明：负责人离职、被免职或者长期不能履职时，由某一位管理层成员代行，代行期限不超过三十日，并在期限内完成新任任命。同时要办三件事：办理工作交接（制度、台账、未结事项）、变更报送信息（个人信息保护负责人要变更报送）、更新公开信息。空窗期超过一个月的，一旦发生数据安全事件，处罚时会被认定为「未落实数据安全保护责任」。

负责人要不要向监管部门备案？

分岗位，只有个人信息保护负责人有法定报送义务。个人信息保护法第五十二条明确要求「将个人信息保护负责人的姓名、联系方式等报送履行个人信息保护职责的部门」，这是硬性义务。数据安全负责人没有独立的报送程序，但条例第三十三条要求年度风险评估报告包含「网络数据安全负责人姓名和联系方式」，所以实际效果是「随年报报送」。网络安全负责人也没有法定报送义务，等级保护备案时通常会在备案材料中体现。三者的差别要分清，不要以为都要单独跑一趟备案。

负责人签字了，出了事还担责吗？

要担责，签字不能免责，但不签字可能更麻烦。数据安全法第四十五条和条例第五十七条都对「直接负责的主管人员和其他直接责任人员」设定了罚款，数据安全负责人通常被认定为「直接负责的主管人员」。免责的空间在于「是否勤勉履职」：有制度、有评估、有演练、有报告、有整改记录，可以主张已尽职责；什么都没有，只签了字，反而证明「签字时未尽审查」。所以正确的做法不是「不签」，而是「签之前要求提供材料、签之后留档」，这也是负责人自我保护的基本动作。

集团能不能由总部一个人管所有子公司？

要看子公司是不是独立的「网络数据处理者」。判断标准是「谁自主决定处理目的和处理方式」，条例第六十二条第三项把网络数据处理者定义为「在网络数据处理活动中自主决定处理目的和处理方式的个人、组织」。子公司自主决定业务数据目的的，它就是独立的处理者，应当自己明确负责人；总部统一决定、子公司只是执行的，处理者可能是总部。实务中多为混合：人事、财务由总部决定，生产经营由子公司决定。这种情况下建议按数据类别拆分，不要用一个任命书覆盖全部主体，因为主体认定错误会导致「应设未设」。

小公司没有重要数据，要不要设？

不需要设「数据安全负责人」，但要注意另外两个岗位可能仍要设。数据安全负责人的触发条件是「重要数据处理者」或者「处理 1,000 万人以上个人信息」，小公司通常两个都不满足。但网络安全负责人是「网络运营者」就要确定，门槛很低；个人信息保护负责人则看是否达到国家网信部门规定的数量。所以小公司的正确动作是：先做一次判断并留书面记录，确认不触发高端岗位后，把网络安全负责人确定下来，把数据安全职责写进岗位说明，不要为了「看起来合规」设一个空壳岗位，也不要因为「公司小」就三个都不设。