一、结论先行：三步走，三个义务主体，三类评估
重要数据合规不是一道"要不要做"的选择题，而是一条有明确节点的程序链。《数据安全法》第二十一条建立数据分类分级保护制度，并明确"国家数据安全工作协调机制统筹协调有关部门制定重要数据目录"；《网络数据安全管理条例》（国务院令第790号，2025年1月1日起施行）第二十九条至第三十三条把这条制度落到操作层面。落地路径可以概括为三步：
- 识别与申报。网络数据处理者应当按照国家有关规定识别、申报重要数据；对确认为重要数据的，相关地区、部门应当及时向网络数据处理者告知或者公开发布（条例第二十九条第三款、第四款）。
- 建立组织与人员。重要数据的处理者应当明确网络数据安全负责人和网络数据安全管理机构；负责人须具备专业知识与相关管理工作经历，由管理层成员担任，有权直接向有关主管部门报告（条例第三十条）。
- 完成评估与报送。提供、委托处理、共同处理重要数据前应当开展风险评估（第三十一条）；每年度对网络数据处理活动开展风险评估，并向省级以上有关主管部门报送风险评估报告（第三十三条）。
此外还有一条常被忽略的"视同"规则：网络数据处理者处理1000万人以上个人信息的，还应当遵守条例第三十条、第三十二条对重要数据处理者作出的规定（第二十八条）。也就是说，即便没有被列入重要数据目录，只要个人信息处理规模达到该门槛，就要按重要数据处理者的标准配置负责人与管理机构，并在合并、分立、解散、破产时履行报告义务。
二、什么是重要数据：法律没有下定义，靠目录识别
《数据安全法》第二十一条没有给出"重要数据"的定义，而是采用目录管理的方式确定范围：国家数据安全工作协调机制统筹协调有关部门制定重要数据目录；各地区、各部门按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据进行重点保护。
这一定性带来三个实务推论：
- 企业不能自行"认定"某类数据是或者不是重要数据。判断依据是所在地区、所在行业主管部门发布的具体目录，以及主管部门的确认结果。
- 未被列入目录，不等于没有义务。条例第二十九条要求网络数据处理者主动识别、申报，申报后由主管部门确认或者公开发布。消极等待目录出台，可能构成"未按规定识别、申报"。
- 国家核心数据是更严格的一层。关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据，实行更加严格的管理制度（《数据安全法》第二十一条第二款），罚则也明显更重。
三、识别与申报：四层结构拆开看
条例第二十九条用四款搭了一个闭环：
- 国家层：国家数据安全工作协调机制统筹协调有关部门制定重要数据目录。
- 地区与部门层：各地区、各部门按照分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的网络数据进行重点保护。
- 处理者层：网络数据处理者应当按照国家有关规定识别、申报重要数据。
- 反馈层：对确认为重要数据的，相关地区、部门应当及时向网络数据处理者告知或者公开发布；网络数据处理者应当履行网络数据安全保护责任。
第四款还写了一项鼓励性措施：国家鼓励网络数据处理者使用数据标签标识等技术和产品，提高重要数据安全管理水平。标签标识不是法定义务，但在监管检查与出境评估中是有效的证明手段。
需要区分"识别申报"与"出境评估申报"两件事。前者是分类分级制度下的常规动作，后者是数据出境路径选择中的一个选项，触发条件、受理机关与法律后果都不同，不能混为一谈。
四、负责人与管理机构：三个硬性要求
条例第三十条对重要数据处理者的组织建设提出三项硬性要求：
- 人员要求：网络数据安全负责人应当具备网络数据安全专业知识和相关管理工作经历，由网络数据处理者管理层成员担任，有权直接向有关主管部门报告网络数据安全情况。这意味着不能由中层技术负责人挂名。
- 机构职责：网络数据安全管理机构应当履行三项职责——制定实施网络数据安全管理制度、操作规程和网络数据安全事件应急预案；定期组织开展风险监测、风险评估、应急演练、宣传教育培训等活动，及时处置风险与事件；受理并处理网络数据安全投诉、举报。
- 背景审查：掌握有关主管部门规定的特定种类、规模的重要数据的网络数据处理者，应当对网络数据安全负责人和关键岗位人员进行安全背景审查，加强培训；审查时可以申请公安机关、国家安全机关协助。
这三项要求与《个人信息保护法》第五十二条的"个人信息保护负责人"制度容易混淆。两者不是同一个岗位：前者对应重要数据安全，依据是数据安全法与网络数据安全管理条例；后者对应个人信息保护，依据是个保法。规模达到一定标准的企业可能同时需要设置两个角色，也可能由同一人兼任，但职责清单应当分别列明，避免检查时无法对应。
五、三类风险评估：触发条件、时点与内容各不相同
"风险评估"在重要数据合规中出现三次，含义并不相同。混为一谈是常见错误。
| 类型 | 触发情形 | 时点 | 主要内容与报送 |
|---|---|---|---|
| 处理前的专项评估 | 重要数据的处理者提供、委托处理、共同处理重要数据（履行法定职责或者法定义务的除外） | 处理前 | 六项重点内容：处理目的方式范围是否合法正当必要；数据遭篡改破坏泄露或者非法获取利用的风险及对国家安全、公共利益、个人组织合法权益的影响；接收方诚信守法情况；合同中的数据安全要求能否有效约束接收方；技术与管理措施能否有效防范风险；主管部门规定的其他内容（第三十一条） |
| 年度评估 | 重要数据的处理者 | 每年度 | 向省级以上有关主管部门报送风险评估报告，主管部门及时通报同级网信部门、公安机关（第三十三条） |
| 变动报告 | 重要数据的处理者因合并、分立、解散、破产等可能影响重要数据安全 | 变动时 | 采取措施保障安全，并向省级以上有关主管部门报告处置方案、接收方名称或者姓名和联系方式；主管部门不明确的，向省级以上数据安全工作协调机制报告（第三十二条） |
除上述三类外，还有两项与"评估"相关但性质不同的义务：合规审计——网络数据处理者应当定期自行或者委托专业机构对其处理个人信息遵守法律、行政法规的情况进行合规审计（第二十七条）；重要数据出境——在境内运营中收集和产生的重要数据确需向境外提供的，应当通过国家网信部门组织的数据出境安全评估（第三十七条）。
六、年度评估报告写什么：七项内容与两个易错点
条例第三十三条第二款列明了年度风险评估报告的七项内容：
- 网络数据处理者基本信息、网络数据安全管理机构信息、网络数据安全负责人姓名和联系方式；
- 处理重要数据的目的、种类、数量、方式、范围、存储期限、存储地点等，开展网络数据处理活动的情况，不包括网络数据内容本身；
- 网络数据安全管理制度及实施情况，加密、备份、标签标识、访问控制、安全认证等技术措施和其他必要措施及其有效性；
- 发现的网络数据安全风险，发生的网络数据安全事件及处置情况；
- 提供、委托处理、共同处理重要数据的风险评估情况；
- 网络数据出境情况；
- 有关主管部门规定的其他报告内容。
两个易错点值得单独提示。第一，报告不要求提交数据内容本身。第二项的括号是明确的限制，实践中不少企业把数据样本、字段明细一并报送，反而扩大了泄露面。第二，处理重要数据的大型网络平台服务提供者，除上述内容外还应当充分说明关键业务和供应链网络数据安全等情况（第三十三条第三款）。是否属于"大型网络平台服务提供者"，按主管部门认定，不由企业自行判断。
此外，条例第十二条要求网络数据处理者向其他处理者提供、委托处理个人信息和重要数据的，应当通过合同等约定处理目的、方式、范围以及安全保护义务，并对接收方履行义务的情况进行监督，处理情况记录至少保存3年。这项记录义务常与第三十一条的处理前评估配套出现，检查时通常一并调阅。
七、罚则与责任：三档罚款与"责令改正"的先行性
《数据安全法》第四十五条是重要数据违规的主要罚则，分三档：
- 第一档：不履行第二十七条、第二十九条、第三十条规定的数据安全保护义务的，责令改正，给予警告，可以并处五万元以上五十万元以下罚款；对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款。
- 第二档：拒不改正或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款。
- 第三档（核心数据）：违反国家核心数据管理制度，危害国家主权、安全和发展利益的，处二百万元以上一千万元以下罚款，并根据情况责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照；构成犯罪的，依法追究刑事责任。
值得注意的是，条例作为行政法规，对重要数据义务的违反另有处罚规定，适用时应当按"上位法优先、特别规定优先"的规则确定依据。具体条款的对应关系在个案中可能存在争议，宜在收到责令改正通知后先行核对适用依据。
责任并不止于罚款。条例第三十三条第四款规定，重要数据的处理者存在可能危害国家安全的重要数据处理活动的，省级以上有关主管部门应当责令其采取整改或者停止处理重要数据等措施。停止处理重要数据的后果，对依赖数据开展业务的企业往往是实质性的。
八、常见问题与实务提示
问：没有被主管部门列入重要数据目录，还要做年度评估吗？
要看是否已被确认为重要数据的处理者。条例的逻辑是"识别申报—主管部门确认或者发布—按重要数据处理者履行义务"。在申报结果明确之前，稳妥做法是完成识别并留痕，同时按较重标准准备负责人、机构与评估材料，避免确认后被动补做。
问：处理1000万人以上个人信息，是不是就自动成为重要数据处理者？
不是"自动成为"，而是准用。条例第二十八条的表述是"还应当遵守本条例第三十条、第三十二条对处理重要数据的网络数据处理者作出的规定"，即只准用负责人与机构、变动报告两项义务，并未整体等同。这一区分在监管沟通中很重要。
问：年度评估可以委托第三方做吗？
条例未禁止委托，但报送主体与责任主体仍是网络数据处理者本身。委托第三方时，应当通过合同约定评估范围、数据处理权限与保密义务，并保留评估过程材料，防止"只买报告、不做整改"。
问：集团总部统一做一次评估，子公司还要单独做吗？
按处理者分别判断。每个具有独立数据处理者地位的法人，都应当就其自身的处理活动完成评估与报送；集团统一框架可以作为模板，但不能替代各主体的单独评估。集团层面与法人层面的责任划分，实务中存在争议。
问：重要数据出境，是用年度评估还是单独做安全评估？
两者并行。年度评估报告中的"网络数据出境情况"是披露项；重要数据确需出境的，还须依条例第三十七条通过国家网信部门组织的数据安全评估。前者不能替代后者。
问：违规后主动整改，能否减轻处罚？
《行政处罚法》第三十二条规定了主动消除或者减轻违法行为危害后果等从轻、减轻情形，第三十三条规定了违法行为轻微并及时改正、没有造成危害后果不予处罚的情形。整改的时点、范围与效果是关键，能否适用需结合具体情节判断，不宜预设结论。
律师提示：重要数据合规的成本主要不在"写报告"，而在"讲清楚自己处理了什么数据"。建议按四步推进：先做数据资产盘点（系统、字段、流向、存储位置），再对行业目录做逐项比对，形成识别结论与申报材料；随后配置负责人与机构并把职责写进制度；最后把三类评估排进年度日历，明确触发条件与责任人。四步都留痕，才能在检查或者出境评估时拿出可核查的证据链。
法条与依据核验：《中华人民共和国数据安全法》（2021年9月1日起施行）第二十一条、第二十七条、第二十九条、第三十条、第三十一条、第四十五条；《网络数据安全管理条例》（国务院令第790号，2024年9月24日公布，2025年1月1日起施行）第五条、第十二条、第二十七条、第二十八条、第二十九条、第三十条、第三十一条、第三十二条、第三十三条、第三十七条；《中华人民共和国个人信息保护法》第五十二条；《中华人民共和国行政处罚法》第三十二条、第三十三条。特别说明：本文所引条文序号均依现行有效版本标注；《数据安全法》未对"重要数据"作出定义，范围以国家数据安全工作协调机制统筹、各地区各部门确定的具体目录为准，本文未援引任何具体行业目录的名称与内容，实际适用时应核对本企业所属行业主管部门发布的最新目录；第七节"条例与数据安全法罚则的对应关系"、第八节"集团与法人责任划分"等问题，实务中存在争议，已在正文标注，请以全国人大、国务院、国家网信办官方公布文本为准。
