数据分类分级：一般数据、重要数据、核心数据怎么分，企业自己说了算吗

一句话定义：数据分类分级是数据安全法第二十一条确立的基础制度，按照数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。它由两把尺子组成：分类回答「这是什么数据、属于谁、在哪个领域」，分级回答「一旦出事有多严重」；落成三个层级，即一般数据、重要数据、核心数据。★最关键的一点是：重要数据不是企业自己认定的，而是由各地区、各部门按照分类分级保护制度制定具体目录来确认；企业负有识别、申报的义务，但没有自行「宣布」的权力。

本词条属于网络与数据栏目。企业在这个问题上最常见的两个错误方向相反：一种是把所有数据都当重要数据，层层加码，结果合规成本压垮业务；另一种是把所有数据都当一般数据，出了事才发现自己处理的是重要数据，罚款直接跳到高额档。这两种错的根源相同：把分类分级当成一份自己可以随手填写的表格，而它实际上是一套「目录认定加企业申报」的双向机制。

构成要件

一、两把尺子：分类看归属，分级看后果。

分类和分级不是一回事，混着做必然做乱。分类解决「是什么」：按来源分，有公共数据、政务数据、企业数据、个人数据；按主体分，有个人信息、法人信息、国家机关信息。分级解决的是「多重要」：同一类数据，在不同场景下级别可能完全不同，一份普通的客户名单在一般企业是一般数据，在掌握全国人口信息的机构里就可能触及重要数据。

数据安全法第二十一条把这两件事写在同一条里，判断标准给了两个维度：一是「在经济社会发展中的重要程度」，二是「一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度」。第二个维度里「国家安全」排在第一位，说明分级首先是国家安全视角的分级，不是企业视角的「值多少钱」。商业秘密价值再高，也不必然构成重要数据；反过来，看起来「不值钱」的地理、气象、人口数据，可能因涉及国家安全而属于重要数据。

二、三个层级：一般数据、重要数据、核心数据。

数据安全法第二十一条只明确写了两个特殊层级：重要数据和核心数据。一般数据是剩下的部分，法律没有专门定义，但它是默认状态。

重要数据的定义在网络数据安全管理条例第六十二条第四项：「特定领域、特定群体、特定区域或者达到一定精度和规模，一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的数据」。定义里三个抓手：「特定领域」指行业目录已列明的领域；「达到一定精度和规模」指单条不敏感但聚合起来敏感，比如精确到米级的地理坐标、覆盖百万人的行踪轨迹；「可能直接危害」注意是「直接」，间接影响不算。

核心数据的门槛更高。数据安全法第二十一条第二款用的是「关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据，实行更加严格的管理制度」。核心数据不由企业申报，也不由行业目录常规列明，按国家有关规定执行，条例第六十三条第一款只有一句衔接。对绝大多数企业而言，实务中只需要判断「是不是重要数据」，核心数据属于另一套机制。

这里有一个容易被漏掉的「视为」规则。网络数据安全管理条例第二十八条规定，网络数据处理者处理 1000 万人以上个人信息的，还应当遵守本条例第三十条、第三十二条对重要数据处理者作出的规定。注意它的写法：不是「认定为重要数据」，而是「遵守重要数据处理者的规定」。区别在于：这类企业要设数据安全负责人和管理机构、在合并分立破产时报告处置方案，但不等于其数据成了重要数据。

三、谁来认定：目录制度在前，企业申报在后。

这是整篇最重要的一节，也是企业最容易越位的地方。

认定权在主管部门，不在企业。第二十一条第一款说「国家数据安全工作协调机制统筹协调有关部门制定重要数据目录」，第三款说「各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录」。产生路径是「先有目录，后有重要数据」。

企业有识别、申报义务。网络数据安全管理条例第二十九条第二款写得很清楚：「网络数据处理者应当按照国家有关规定识别、申报重要数据。对确认为重要数据的，相关地区、部门应当及时向网络数据处理者告知或者公开发布」。三层意思：企业要主动识别申报，不能等主管部门上门；最终确认权在主管部门；确认之后主管部门有告知或者公开发布的义务。

反过来还有一条保护企业的规定。条例第三十七条第二款：「网络数据处理者按照国家有关规定识别、申报重要数据，但未被相关地区、部门告知或者公开发布为重要数据的，不需要将其作为重要数据申报数据出境安全评估」。这一句解决了很多企业的困境：按程序申报而未被确认为重要数据的，出境时不用按重要数据做安全评估。前提是「已经按程序识别、申报」，没申报过的援引不了。

四、分级之后义务递增：义务是跟着级别走的。

分类分级本身不是目的，配置差异化保护措施才是目的。三个层级的义务差别，可以列成一张对照：

一般数据，义务底线来自数据安全法第二十七条和网络安全法第二十三条：建立全流程数据安全管理制度、组织教育培训、采取技术措施，利用互联网开展处理活动的还要在网络安全等级保护制度基础上履行义务。

重要数据，在此基础上叠加五项：一是明确数据安全负责人和管理机构，负责人由管理层成员担任，可直接向主管部门报告；二是每年开展风险评估并报送，报告含处理目的、种类、数量、方式、范围、存储期限、存储地点，不含数据内容本身；三是提供、委托、共同处理前做风险评估；四是因合并、分立、解散、破产可能影响重要数据安全的，报告处置方案；五是出境须通过国家网信部门组织的数据出境安全评估。

核心数据，按国家有关规定执行，适用更加严格的管理制度，具体规则不在本条例范围内。

五、分类分级不是等级保护：两套制度，两个对象。

两套制度常被混用，因为名字里都有「级」。等级保护的对象是「网络」，即信息系统、云平台、工业控制系统，依据网络安全法第二十三条，分五级，由公安机关备案、测评。分类分级的对象是「数据」，即被处理的记录本身，依据数据安全法第二十一条，分一般、重要、核心三层。

两者的关系在法条里有明确表述。数据安全法第二十七条第一款后半句：「利用互联网等信息网络开展数据处理活动，应当在网络安全等级保护制度的基础上，履行上述数据安全保护义务」。「在……的基础上」说明等级保护是底座，分类分级是加在底座上的数据层义务，不是二选一。条例第九条重复了同样的逻辑。

系统过了等级保护三级测评，不等于数据分级做到位；反过来，分级做得再细，系统没做等级保护仍违反网络安全法第二十三条。两条线要并行。

法条依据

与相邻概念的区别

第一，与网络安全等级保护的区别。这一对混用率最高。等级保护的对象是系统，分五级，三级以上每年测评、到公安机关备案；分类分级的对象是数据，分一般、重要、核心三层，由行业目录认定。一个系统里可以同时存在三个级别的数据，一个级别的数据也可以散落在多个系统里，两条线是「横向的系统安全」与「纵向的数据安全」，交叉而不同一。判断方法：问「在给什么定级」，答「系统」是等级保护，答「数据」是分类分级。

第二，与个人信息「敏感、一般」两分法的区别。个人信息保护法第二十八条把个人信息分成敏感个人信息和一般个人信息，敏感的范围是生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，以及不满十四周岁未成年人的个人信息。这套两分法解决「要不要单独同意、要不要做影响评估」，属个人权益维度；分类分级解决「对国家安全有多重要」，属国家安全维度。同一份病历在个人信息维度是敏感个人信息，在数据分级维度可能只是一般数据；反过来，一批不含个人信息的遥感影像压根不适用个人信息保护法，却可能是重要数据。两套标签各打各的。

第三，与国家秘密定密的区别。国家秘密按保守国家秘密法定密，分绝密、机密、秘密三级，定密权在定密责任人，有严格的定密程序和期限。数据分类分级里的重要数据、核心数据不是国家秘密，绝大多数重要数据是公开可获取或半公开的行业数据，只是聚合后敏感。两者的关系是可能重叠但不能混同：一份数据既可能被定密，也可能同时列入重要数据目录，此时按更严格的规定执行。实务中常见的错误是「我们这批数据涉密，所以不用做分类分级」，这个推论不成立。

第四，与数据资产入表、数据知识产权登记的区别。数据资产入表解决会计确认问题，看「能不能带来经济利益」；数据知识产权登记解决权属证明问题，看「谁持有、谁加工」。这两件事都按「价值」和「权属」打分，而分类分级按「危害」定级，方向完全相反：价值越高的数据，未必级别越高；级别越高的数据，反而越不适合交易和入表。所以三套材料不能互相套用，给会计看的资产清单，不能直接当分级清单交上去。

实操指引

第一步，先盘家底，画一张数据地图。这一步做不实，后面全是空转。盘的不是「有哪些表」，而是「哪些业务产生什么数据、存在哪里、流向哪里、谁能访问」。按业务线拉清单，每条写清数据项名称、来源、存储位置、存储期限、共享对象、是否含个人信息、数据量级。很多企业直到被检查才发现，某个早已下线的系统里还躺着一批从未清理的历史数据。

第二步，对标行业目录，不要自己另造标准。重要数据目录由各地区、各部门制定，金融、医疗、交通、能源、工业、电信等行业都有自己的口径。找三个东西：本行业主管部门发布的重要数据识别指南或者目录，本地区发布的地方目录，国家标准中关于重要数据识别的规则，逐条比对，命中就打标记。没有行业目录可依的，按条例第六十二条第四项的定义自己走一遍识别，但结论要标明「依据定义识别，未获目录确认」，并履行申报程序。

第三步，判断是不是重要数据，用三问法。第一问：这批数据是不是落在某个行业目录列明的领域里，落在里面，基本可以停在这里。第二问：单条不敏感，但聚合到一定规模后会不会直接危害国家安全、经济运行、社会稳定、公共健康和安全，典型是精确地理信息、大范围人口流动、重点行业产能与库存、关键基础设施运行参数。第三问：泄露只影响本单位，还是会上溯到行业甚至国家层面，只影响本单位商业利益的通常不构成重要数据。三问都答「否」，按一般数据管理，但要留下判断记录。

第四步，按级别配义务，做成清单而不是口号。一般数据这一档，落实数据安全法第二十七条的「全流程制度、教育培训、技术措施」，加上网络安全法第二十三条的等级保护义务。重要数据这一档，逐项落实五件事：设负责人和管理机构、做年度风险评估并报送、提供委托共同处理前评估、变动时报告处置方案、出境前做安全评估。每一件事都要有责任人、有时间节点、有留痕材料，否则检查组问「做了没有」，只能口头回答。

第五步，留痕，且留得能自证。分类分级最容易在检查中失分的不是「做得不对」，而是「做了但证明不了」。需要留的材料包括：数据资产清单及版本、分级判定记录（含判定理由）、重要数据申报材料及主管部门反馈、年度风险评估报告及报送凭证、培训签到与考核记录、技术措施配置截图。与第三方服务商之间的争议，取证思路可参照网络服务合同纠纷证据清单。这些材料的保存期限，法律没有统一规定，重要数据的评估报告建议至少保存三年，企业的合规体检可以参照企业合规体检全流程逐项自查。

常见问题

公司自己认为某批数据是重要数据，要不要主动申报？

要，而且这是法定义务。网络数据安全管理条例第二十九条第二款写的是「应当按照国家有关规定识别、申报重要数据」，用的是「应当」。申报向本地区、本部门的相关主管部门报送，通常由网信部门或者行业主管部门受理。申报之后两种结果：被确认的，此后按重要数据管理；未被确认的，不需要作为重要数据申报出境安全评估。不申报的风险在于：事后被认定为重要数据时，企业无法证明履行过识别义务，处罚时缺少从轻情节。

只有一条记录泄露了，算不算「大量数据泄露」？

单看条数不够，要看这批数据本身的级别和影响面。「大量数据泄露」出现在数据安全法第四十五条和网络安全法第六十一条第三款，是提高罚款档次的触发条件，但法律没有给「大量」一个统一数字。实务口径是「数量加敏感度加影响范围」三者合看：十万条一般个人信息与一百条核心业务参数，后者可能更严重。分级清单应同时标注数据量级和敏感程度，出事时按级别而不是按条数上报。

拿不准是不是重要数据，能不能先按一般数据处理？

不能默认按一般数据处理，正确做法是「按高标准暂管，同时启动申报」。条例第三十七条第二款给的是「申报后未被确认」的豁免，前提是申报过。没有申报就按一般数据处理的，一旦被认定为重要数据，就是「未履行识别申报义务」，处罚依条例第五十七条：责令改正、警告，可并处五万元以上五十万元以下罚款；拒不改正或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款。过渡期的稳妥做法是技术上先按重要数据保护（加密、访问控制、审计），管理上同时提交申报。

个人信息分级和敏感个人信息是一回事吗？

不是，两套标签分属两个维度。敏感个人信息是个人信息保护法第二十八条给个人权益维度的标签，触发的是单独同意、影响评估、更严格的告知这些义务；数据分级是数据安全法第二十一条给国家安全维度的标签，触发的是负责人、年度评估、出境评估这些义务。一份数据可以同时是敏感个人信息和一般数据，比如一千份门诊病历；也可以既非敏感个人信息又是重要数据，比如某地区全部桥梁的结构监测数据。合规文档要分开列两栏，合成一栏叫「敏感级别」两边都对不上。

等级保护三级是不是就等于重要数据？

不等于，两者没有对应关系。等级保护定的是系统的安全保护等级，重要数据定的是数据本身的级别。一个三级系统里可能只跑一般数据，一个二级系统里也可能存着重要数据。容易混是因为两者都要求加密、备份、审计。判断还是回到对象：问「这次定级定的是机器还是数据」。数据安全法第二十七条要求「在等级保护制度的基础上」履行数据安全义务，说明等级保护是必要条件而非充分条件。

外国客户的数据存在境内服务器上，算什么级别？

先看数据内容，再看处理主体，不看客户国籍。分类分级的判断对象是数据本身和它被处理的方式，不是数据主人的身份。委托处理的个人信息，在境内处理境内自然人信息就适用个人信息保护法；处理境外自然人信息，要看是否属于「向境内提供产品或者服务」或者「分析评估境内自然人行为」。级别仍看这批数据出事会不会直接危害国家安全、经济运行、社会稳定，与客户国籍无关。真正需要另外判断的是出境环节，数据存在境内不构成出境，一旦回传给境外客户就构成出境，此时要按个人信息处理的出境规则另行评估。

分类分级做完要不要向主管部门备案？

分类分级的结果本身没有普遍性的备案要求，但重要数据有申报义务，年度评估报告有报送义务。区分三件事：重要数据的识别申报（条例第二十九条第二款）；重要数据处理者的年度风险评估报告，向省级以上有关主管部门报送（第三十三条）；网络安全等级保护备案，那是针对系统的。一般数据的分类分级结果属企业内部管理资料，法律没要求报送，但检查时会被调阅，所以要有，而且要能说明判定过程。涉及个人信息处理规则的，还要按个人信息保护法第十七条公开，公开本身不是备案。个人要主张权利的，可先用个人信息保护维权判定器判断属哪一类情形。