数据安全法怎么执行？

wen IT资讯 2026-07-21 2

本文目录导读：

数据安全法怎么执行？

《中华人民共和国数据安全法》自2021年9月1日起施行，它的执行并非由单一部门“一刀切”地执行，而是建立了一个“中央统筹、地方监管、行业自律、主体负责”的多元共治体系，具体执行方式可以从以下几个层面来理解：

核心监管主体与职责划分

数据安全法的执行,主要依赖以下几个层次的机构：

中央国家安全领导机构（宏观决策层）：
- 负责统筹协调国家数据安全工作的重大事项和重大决策。
- 制定国家数据安全战略,建立国家数据安全工作协调机制（如国家数据局等）。
各地区、各部门（行业监管层）：
- 工业与信息化部（工信部）： 负责工业、电信、互联网等领域的行业数据安全监管。
- 中国人民银行、银保监会（现国家金融监督管理总局）、证监会： 负责金融领域的数据安全。
- 国家卫生健康委员会： 负责医疗健康数据。
- 交通运输部、公安部、自然资源部等： 分别负责各自行业领域的数据安全。
- 地方各级政府： 负责本行政区域内的数据安全工作，通常由网信办、大数据局、通信管理局等具体执行。
公安机关、国家安全机关（执法与处罚层）：
- 对于违反数据安全法,构成犯罪的（如泄露国家秘密、侵犯公民个人信息等），由公安机关或国家安全机关依法追究刑事责任。
- 对于不构成犯罪的违法行为,由有关主管部门（如网信办）进行行政处罚。

作为执行链条中最关键的一环,企业（数据处理者）需要通过以下“合规动作”来主动执行法律要求：

建立数据安全管理制度：
- 制定内部数据分类分级制度、数据安全操作规程、应急预案等。
- 明确数据安全管理责任人（如数据安全负责人或首席数据安全官）。
进行数据分类分级：
- 根据《数据安全法》第21条，国家建立数据分类分级保护制度，企业需要根据数据的重要程度（核心数据、重要数据、一般数据）采取不同级别的保护措施。
- 特别是对于重要数据，需要向主管部门申报、评估并定期进行风险评估。
开展数据安全风险评估：

对数据处理活动（如收集、存储、使用、加工、传输、提供、公开等）定期进行风险评估，并向有关主管部门报送评估报告。
落实数据出境的合规要求：
- 如果涉及向境外提供重要数据或个人信息,必须通过国家网信办组织的安全评估，或通过专业机构认证、签订标准合同等方式合规出境。
履行告知与同意义务：

在收集个人信息时,必须明示目的、方式、范围，并取得用户明确同意（这与《个人信息保护法》一致）。
建立应急响应机制：

发生数据安全事件（如数据泄露、丢失）时，应立即启动应急预案，并向主管机关报告。

当法律被违反时,监管部门会通过以下方式执行：

日常监督检查：

网信办、工信部等会定期或不定期对关键信息基础设施运营者、大型互联网平台、金融、医疗、交通等重点行业进行现场检查、远程检测或审查报表。
举报与投诉处理：

任何个人或组织发现数据安全违法行为,可向网信办、12377举报中心等举报，监管部门接到举报后必须依法处理。
行政处罚：
- 责令改正、警告： 对轻微违规行为（如未建立制度、未履行分类分级义务）。
- 罚款： 对一般违法行为，最高可罚50万元；情节严重的，最高可罚款1000万元，或处上一年度营业额百分之五的罚款（对大型企业而言，数额可能极为巨大）。
- 责令暂停相关业务、停业整顿、吊销相关业务许可证或营业执照： 对严重违规的企业，甚至可以强制关停。
追究刑事责任：

如果行为构成犯罪（如非法获取计算机信息系统数据罪、侵犯公民个人信息罪、为境外非法提供国家秘密罪等），直接移送司法机关。

某互联网公司违规收集用户数据。

网信办约谈该公司,要求立即停止违法收集行为，并处以罚款，若拒不整改，可能被下架App、吊销资质。
某金融机构将客户信息非法出售给第三方。

公安机关直接立案侦查,追究相关责任人刑事责任，金融监管部门同时对该银行处以巨额罚款。
某跨境物流企业向境外传输涉及国家经济命脉的重要数据。

国家安全机关介入,可能构成“为境外窃取、刺探、收买、非法提供国家秘密、情报罪”，面临严厉刑事处罚。

对普通公民和企业而言,《数据安全法》的执行不是上级部门“管你”，而是要求每个数据处理者“管好自己”，执行的核心是：

建议企业和机构：

《数据安全法》的执行，最终依靠的是全社会的合规意识与严格的司法行政监督相结合。 如果您面临具体的数据合规问题，建议咨询专业的法律或网络安全顾问。