重要数据：谁来认定、企业怎么申报、没被确认的能不能直接出境

一句话定义：重要数据不是企业自行判断的标签，而是由目录认定、企业申报、主管部门确认的一套结果。数据安全法第二十一条把认定权交给「国家数据安全工作协调机制统筹协调有关部门制定重要数据目录」；网络数据安全管理条例第二十九条第二款要求企业「按照国家有关规定识别、申报重要数据」。★这套机制难的不是背定义，而是三件事：怎么找到适用的目录、申报材料写什么、申报后没被确认能不能按一般数据处理。

本词条属于网络与数据栏目。上一篇讲数据分类分级的制度框架，这一篇只讲一条数据从「企业觉得可能重要」走到「主管部门确认」要过哪几道关。大量合规事故不是因为企业不知道这个概念，而是申报卡在半路，企业就默认按一般数据处理，等到被认定时处罚口径直接从「未申报」起算。

构成要件

一、身份的两条来源：目录列明，或者申报后确认。

第一条是目录列明。数据安全法第二十一条第三款规定「各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录」。这条路自上而下：主管部门先做目录，企业再拿数据比对。被目录列中的数据，无论企业是否知道，法律地位上就是重要数据，以「不知道有这份目录」抗辩，通常不被接受。

第二条是申报后确认。条例第二十九条第二款提供了这条路：企业按国家有关规定识别、申报，主管部门确认后告知或者公开发布。这条路自下而上：企业先动，主管部门后认。

要强调一点：「新增」重要数据不是企业的权力。企业能做的是「识别」和「申报」，做不了的是「宣布」。反过来也无权「自我豁免」：不能因为自己判断「这数据不算重要」就不申报，这个判断本身就要交给主管部门做。

二、识别的四个维度：领域、群体、区域、精度与规模。

条例第六十二条第四项的定义里有四个限定语，每一个都是独立的识别入口，命中一个就可能构成重要数据，不需要四个同时满足。

「特定领域」最容易查到，也最容易漏。金融、医疗健康、交通、能源、水利、工业、电信、自然资源、气象、人口、地理信息、公共资源交易，这些行业基本都有自己的分类分级规则或者重要数据识别指南。第一步应当找本行业那一份，而不是自己从头推演。实务中的问题是「找不到」：有的以行业标准形式发布，有的以主管部门通知形式下发。这时正确动作是向本行业主管部门书面询问并留存记录，这份记录能证明企业履行了「识别」义务。

「特定群体」看数据指向的人群。涉及未成年人、患者、残障人士、重点岗位人员、特定地域居民的数据，即使单条不敏感，聚合后也可能构成重要数据，典型是大规模的人口健康数据、教育数据、用工数据。

「特定区域」看数据覆盖的地理范围。涉及军事管理区周边、重要经济目标、边境地区、生态保护红线区域的数据，即使看起来是普通的地理或遥感数据，也可能因区域属性而升级。

「达到一定精度和规模」最容易被低估。单条不敏感、聚合后敏感，是重要数据最典型的产生方式。判断口径是「聚合效应」：一个路口的车流数据是普通数据，全国主要路口连续三年的车流数据就可能构成重要数据；一份企业用电数据普通，一个行业全部企业的用电数据就可能反映经济运行情况。所以识别时不能只看单条敏感度，还要看手上这批数据在整个行业里占多大比重。

三、申报：向谁报、报什么、报完等什么。

向谁报，法律只给原则。条例第二十九条第二款说「按照国家有关规定识别、申报」，没有指定唯一受理机关。实务格局是：行业主管部门受理本行业申报，网信部门受理跨行业、跨领域或者行业不明确的情形，数据管理部门在承担数据管理工作的范围内受理。报错机关不影响申报效力，但会拖延时间，材料里建议写一句「如受理机关认为不属于本部门职责，请依法移送」。

报什么，最容易做砸。法律没给统一模板，但结合条例第三十三条的六项内容，至少要讲清六件事：数据基本情况（种类、数量、覆盖范围、更新频率）；来源与处理目的；聚合后的影响分析；现有保护措施；共享与出境情况；企业初步结论。第六项很多企业不敢写，其实应当写，它把判断过程固定下来，是「已履行识别义务」的直接证据。

报完等什么，法律给了时间点，没给期限。条例第二十九条第二款只规定「对确认为重要数据的，应当及时告知或者公开发布」，没有规定「多久之内必须给出结论」，于是产生一个空档：企业报了，主管部门既没说「是」，也没说「不是」。下一节专门处理。

四、三种结果，三种法律后果。

第一种，被确认为重要数据。此后按重要数据处理者的全套义务执行：设负责人和管理机构、年度评估并报送、提供委托共同处理前评估、变动时报告处置方案、出境前做安全评估。这一档没有选择空间。

第二种，明确未被确认。条例第三十七条第二款的效果是：不需要将其作为重要数据申报数据出境安全评估。前提是「按照有关规定识别、申报」，没申报过的用不上。射程也要看清：豁免的是出境安全评估这一项，不是全部重要数据义务。主管部门事后改变认定的，从改变之日起仍按重要数据处理。

第三种，申报后一直没有结论。这是最常见也最危险的状态。法律既没规定「逾期未答复视为不确认」，也没规定「申报即视为确认」。稳妥处理是「两条腿走路」：技术上按重要数据保护，管理上保留凭证并定期催办。理由很直接：最终被认定为重要数据的，企业已经有措施，属主动履行；最终未被认定的，多做的保护不构成违法。反过来，按一般数据处理而事后被认定，企业拿不出任何措施，处罚从「未履行义务」起算。

五、确认之后的五项义务，落地要点各不相同。

第一项，数据安全负责人和管理机构。条例第三十条要求负责人「由网络数据处理者管理层成员担任，有权直接向有关主管部门报告」，这是硬要求，不能指定信息安全部门主管充数。掌握特定种类、规模重要数据的企业，还要对负责人和关键岗位人员做安全背景审查，可以申请公安机关、国家安全机关协助。

第二项，年度风险评估并报送。向「省级以上有关主管部门」报送，不是区县级。报告第二项特别写明「不包括网络数据内容本身」，报送的是处理情况，不是数据本身。第六条要求写「网络数据出境情况」，没有出境也要写「无」。

第三项，提供、委托、共同处理前的风险评估。条例第三十一条六项内容里，第三项「接收方的诚信、守法等情况」最容易被写成空话。可核查的写法是列明接收方名称、统一社会信用代码、近三年是否受过数据安全处罚、是否有失信记录、合同里有哪些可审计条款。

第四项，变动时的报告义务。因合并、分立、解散、破产可能影响重要数据安全的，要采取措施并向省级以上有关主管部门报告处置方案、接收方信息。坑在时间点：很多企业交割完成后才报告，此时数据已转移，报告沦为事后备案。正确做法是把报告作为交割的先决条件。

第五项，出境安全评估。数据安全法第三十一条把重要数据出境分成两条线：关键信息基础设施运营者适用网络安全法，其他处理者按网信部门会同有关部门制定的办法。条例第三十七条明确要通过国家网信部门组织的数据出境安全评估，且不得超出评估时明确的目的、方式、范围和种类、规模，含义是「一次评估对应一个场景」，业务模式变了要重新评估。

法条依据

与相邻概念的区别

第一，与关键信息基础设施的区别。这一对混得最厉害。关键信息基础设施是「设施」，指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域中，一旦遭到破坏、丧失功能或者数据泄露可能严重危害国家安全、国计民生、公共利益的网络设施、信息系统，认定主体是保护工作部门。重要数据是「数据」，认定主体是行业或者地区主管部门。交叉点在于：运营者手上往往也掌握重要数据，所以数据安全法第三十一条要单独规定它的出境问题。但两者不是一回事：可能不是运营者却处理重要数据，也可能是运营者而数据普通。判断方法就问「认定的是什么」：设施走等级保护加关键信息基础设施条例，数据走分类分级加网络数据安全管理条例。

第二，与国家核心数据的区别。核心数据是重要数据之上更窄的一层，数据安全法第二十一条第二款的表述是「关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据，实行更加严格的管理制度」。三层是递进的：一般数据、重要数据、核心数据。企业能申报的是重要数据，核心数据不通过申报产生，按国家有关规定执行。

第三，与国家秘密的区别。国家秘密按保守国家秘密法定密，分绝密、机密、秘密三级。重要数据绝大多数不是国家秘密，很多是行业运行数据、公开可采集数据，只是聚合后敏感。两者可能重叠：同一批数据既被定密又列入重要数据目录，此时按更严格的规定执行。最典型的错误推论是「这批数据涉密，所以不用做分类分级」，不成立。

第四，与个人信息的区别。个人信息保护法第四条把个人信息定义为「以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息」，保护个人权益；重要数据保护国家安全、经济运行、社会稳定、公共健康和安全。同一批数据可以同时是两者：一千万人的就诊记录，既是个人信息，也可能因规模与领域构成重要数据。但程序完全不同：个人信息走告知同意、影响评估、单独同意；重要数据走目录认定、申报、年度评估、出境评估。两套材料的区别在结论部分一个答「对个人有什么影响」，一个答「对国家有什么影响」。

实操指引

第一步，建立识别台账，把「有没有」变成「在哪里」。字段固定八列：数据项名称、业务场景、数据来源、存储位置、数据量级、覆盖地域、是否含个人信息、初步判断结论。台账要覆盖已下线的系统：历史遗留数据是检查中最常见的失分点，也是「大量数据泄露」的高发区。

第二步，对标三张清单，不要自己另造标准。三张清单是本行业主管部门的重要数据识别指南或者目录、本地区发布的地方目录、国家标准中关于重要数据识别的规则。效力顺序是行业优先、地方补充、标准兜底。同一批数据在行业目录和地方目录里级别不一致的，按较高的执行。比对完成后把命中条目单独成表，标注命中的是目录第几条或者标准第几项，这个标注在申报和事后检查时都是关键证据。

第三步，形成申报材料，六项不能少。数据基本情况、来源与处理目的、聚合影响分析、现有保护措施、共享与出境情况、企业初步结论。「聚合影响分析」决定成败，写法用「从单条到整体」三段式：单条是什么、多少条聚合、聚合后能推断出什么。比如「单条为某路段某时段车流量、覆盖全国主要干线连续三年、聚合后可推断区域经济运行与人员流动规律」，比一句「涉及国家安全」有说服力得多。

第四步，提交与跟踪，把「报了」变成「能证明报了」。用可以留痕的渠道：政务服务平台在线提交并截图，纸质材料用邮政特快专递并保留面单与签收记录。提交后建跟踪表，记录提交日期、受理机关、经办人、答复情况。超过三个月没有答复的书面催办一次，超过六个月仍无答复的再催办并同时向上一级主管部门报备。这套动作是「未履行识别申报义务」指控的唯一有效抗辩。

第五步，结果落地，三种结果三种动作。被确认的，三十日内完成五项义务对照自查，形成整改清单；明确未被确认的，归档答复文件，出境时援引条例第三十七条第二款，但答复只是「已收到」而不是「不属于重要数据」的不能援引；一直没有结论的，按重要数据的技术措施先行落地，同时继续催办。被处罚时，申辩重点不是「不知道」，而是「已申报、已采取措施、未造成后果」，申辩文书参照行政处罚申辩书范本，不服处罚决定的复议路径见行政复议全流程。

常见问题

申报之后主管部门一直不回复，算不算确认？

不算。法律既没有规定「逾期未答复视为确认」，也没有规定「视为不确认」，条例第二十九条第二款只说「对确认为重要数据的，应当及时告知或者公开发布」，既没给答复期限，也没给不答复的后果。正确处理是「技术措施先行、管理催办跟进」：先按重要数据落地加密、访问控制、审计、备份，同时保留申报凭证并定期催办。不要把「没回复」理解成「不用管」，一旦事后被认定，企业拿不出任何措施，处罚直接按「未履行义务」甚至「造成后果」认定。

同一批数据在省里目录和行业目录里级别不一样，按哪个？

按较高的执行。行业目录由国家层面主管部门制定，地方目录由省级主管部门制定，两者是不同维度的划分，不是上下级关系。同一批数据在两份目录中结论不同时，从严执行是唯一安全的选择，处罚时适用的往往是更严格的那一条。想弄清为什么不一致，可以向两份目录的制定机关分别书面询问，询问记录本身也是履行识别义务的证据。行业目录没提而地方目录提了的，按地方目录执行。

申报错了会不会被处罚？

不会，申报行为本身不产生处罚风险，反而是法定义务的履行。条例第二十九条第二款用的是「应当」，不申报才是风险点。申报内容有偏差的后果，通常是主管部门要求补正或者直接按目录确认，不构成违法。真正会引发处罚的是三种行为：应当申报而不申报、申报后不落实重要数据义务、落实义务过程中造成数据泄露。这三种分别对应条例第五十七条的不同档次。所以企业的策略应当是「宁可多报，不可漏报」，多报的成本是一份材料，漏报的成本是最高二百万元罚款加停业整顿。

集团总部统一申报，还是各子公司分别申报？

看谁是「网络数据处理者」，即谁自主决定处理目的和处理方式。条例第六十二条第三项的定义是「在网络数据处理活动中自主决定处理目的和处理方式的个人、组织」。子公司自主决定业务数据目的的，它自己就是处理者，应当自己申报；总部统一决定、子公司只是执行的，处理者可能是总部。实务中多为混合：人事、财务由总部决定，生产经营由子公司决定。这时按数据类别拆分申报主体，不要图省事全由总部报，主体认定错误会导致「应报未报」。

重要数据能不能存在境外？

不能，重要数据原则上应当存储在境内。网络安全法第三十九条对关键信息基础设施运营者明确规定「在境内运营中收集和产生的个人信息和重要数据应当在境内存储」，确需向境外提供的应按网信部门会同有关部门制定的办法做安全评估。其他处理者，条例第三十七条要求重要数据出境通过国家网信部门组织的数据出境安全评估。所以路径不是「不能出境」，而是「必须先过评估」，且条例第三十八条规定不得超出评估时明确的目的、方式、范围和种类、规模，即「一次性授权加场景锁定」，不是一次通过终身通行。

境外客户下单，数据要出境，先做哪一步？

先判断数据级别，再判断出境路径，最后才谈合同。顺序颠倒是最常见的错误：很多企业先签合同、接通系统，才发现出境过不了评估，此时要么违约要么违规。三步是：第一步用识别台账判断有没有重要数据、有没有个人信息、达到多少数量；第二步按数据安全法第三十一条区分主体，关键信息基础设施运营者走网络安全法，其他处理者按网信部门办法走；第三步匹配路径，重要数据走安全评估，个人信息走安全评估、保护认证或者标准合同三条之一。合同要写进出境路径未获通过时的解约与免责安排，否则业务部门会在压力下「先传了再说」。

被确认重要数据后，原来的业务还能不能继续做？

能，但要做三件事，不是停业。第一件补组织：明确数据安全负责人（须为管理层成员）和管理机构，把三项职责落到岗位。第二件补评估：按条例第三十三条六项内容写风险评估报告，向省级以上主管部门报送。第三件补合同：梳理提供、委托、共同处理场景，逐份补签数据安全条款并按第三十一条做前置评估，取证思路见网络服务合同纠纷证据清单。真正导致停业的是「被认定后拒不整改」，条例第五十七条对「拒不改正或者造成大量数据泄露等严重后果」罚款上限二百万元，并可责令暂停业务、停业整顿、吊销许可证。节奏应当是「先改，边改边报」。