上周跟一个做电商小程序的朋友喝茶，他说现在做线上业务最怕踩合规坑，尤其想问数据安全法规定了哪些核心内容，怕一不小心就违规被罚。其实不光是他，我最近碰到好几个做站点、做内容平台的朋友都在问这个问题，索性整理一下我梳理出来的核心内容，给大家做个参考，省得大家自己翻厚厚的法条找重点。
数据安全法规定的适用范围
首先得说清楚，这个法管哪些事儿。根据法条，只要是在我国境内开展数据处理活动，不管你是企业、机构还是个人，都得遵守这个法。什么叫数据处理活动？收集、存储、加工、传输、提供、公开数据，这些全算。比如说你做个个人博客，加个评论框要留访客昵称和邮箱，你做个团购小程序要收集用户的收货地址和电话，甚至你做个社区站点收集本地商家信息，这些全都是数据处理活动，都在适用范围内。很多小站长觉得我就是个小破站，没人会来查我，话是这么说，但懂点规则总比踩坑强，真等出事儿了再补功课就晚了。
核心数据的分级保护要求
第二个核心就是对核心数据和重要数据提出了分级分类保护的要求。啥是核心数据？简单说就是那些一旦泄露、篡改或者破坏，会直接危害国家安全、公共利益的 data，比如能源、交通、金融、通信这些领域的关键基础设施数据。对这类数据，要求相关责任单位必须建立分级分类保护制度，定期开展风险评估，还要对应落实安全保护措施，不能马虎。哪怕你做的站点只是涉及普通的民生信息，也要分清楚哪些是敏感数据哪些是公开数据，该保护的要保护起来。
数据处理活动的基本合规义务
这个应该是普通人最关心的部分了，所有开展数据处理的主体都要遵守几个基本原则：合法、正当、必要。啥意思呢？就是不能过度收集数据，你开个网店只需要收货地址，就不能非得要人家的身份证号对吧？然后收集数据之前必须明确告诉用户，你收集这些数据要用来干嘛，会给到谁，保障用户的知情权。另外用户还享有更正、删除自己数据的权利，不能说用户要求删数据你偏不给，那就是违规了。我之前见过一个做会员站的朋友，偷偷把用户的联系方式卖给第三方推广公司，后来被用户举报，罚了不少钱，这就是典型的违反了这个合规义务。
数据安全事件的处置要求
数据安全法规定，发生数据安全事件的时候，责任单位必须及时采取处置措施，通知受影响的用户，还要上报给相关监管部门，不能捂着藏着想着蒙混过关。比如说你的网站被黑客入侵了，用户数据被拖库泄露了，你不能假装没这回事儿，必须第一时间启动应急响应，该通知的通知，该上报的上报。我之前碰到过一个地方资讯站的站长，他的网站存了几千本地商户的联系方式，结果服务器被黑，数据全泄露了，虽然最后没到被罚的地步，但前前后后折腾了三个多月，又是加固服务器又是给用户道歉，花了不少精力和钱，就是因为一开始没重视数据安全防护。
对普通站长和中小企业的影响
很多小站长和中小企业主都觉得，数据安全法是管大企业的，跟我这点小业务没关系，这个想法真的错了。只要你在网上开展业务，只要你处理用户数据，你就得遵守。哪怕你就是一个个人博客，只收集用户评论信息，你也要对这些数据负责，要是因为你网站防护不到位导致数据泄露，你一样要承担责任。其实对小站来说，要求也不高，做好基础的防护就行了：比如定期备份数据，给服务器打好补丁，不要随便开放不必要的权限，不要把用户敏感数据明文存在数据库里，这些小事做好了，基本上就能避开大部分风险了。
总的来说，数据安全法的核心内容，其实就是围绕数据的全生命周期，明确各个数据处理主体的责任，强化对数据尤其是核心数据的保护，规范数据处理活动。不管你是大企业还是小站长，提前了解清楚这些核心要求，早做合规准备，总比出事了再补救要好得多。如果你想要了解完整的要求，最好去查看官方原文，具体细则以官方说明为准。
【版权声明】：本站所有内容均来自网络，若无意侵犯到您的权利，请及时与我们联系将尽快删除相关内容!
