陕西
作者：周军律师.
咨询请关注，私信必复。
很多企业收集、存储海量用户个人信息，却忽略一项基础强制性义务：数据分类分级。不少经营者误以为，只要做好简单加密就万事大吉，没有开展数据梳理、分类、定级工作。但在现行法律框架下，未落实数据分类分级，属于未履行法定数据安全与个人信息保护义务，一旦被监管核查，轻则警告整改，重则面临巨额罚款、停业整顿，甚至追究负责人个人责任。
一、数据分类分级，是法律强制义务，不是可选动作
《数据安全法》明确建立国家数据分类分级保护制度，企业开展数据处理活动，应当按照数据的重要程度、泄露后的危害后果，对数据分类分级管理。
《个人信息保护法》第51条同样要求，个人信息处理者，需要对个人信息实行分类管理，根据风险等级配套对应的安全防护措施，区分普通个人信息、敏感个人信息、重要数据，实施差异化管控。
简单来说，普通手机号、地址属于一般个人信息；生物识别信息、医疗健康信息、金融账户信息属于敏感个人信息。如果企业不做分类分级，就无法识别高风险数据，不知道哪些数据需要加密、访问权限管控、日志审计，属于根本性的数据治理缺失。
二、不做分类分级，会触发哪些处罚风险
依据《个人信息保护法》第六十六条，未履行个人信息保护义务，监管部门可责令改正、警告、没收违法所得；拒不改正的，最高可罚100万元；情节严重的，最高可处五千万元或者上一年度营业额5%以下罚款，同时可责令暂停业务、停业整顿，甚至吊销相关证照。企业负责人、个人信息保护负责人，最高可处100万元罚款，还可能被行业禁入。
《数据安全法》也配套罚则，不履行数据安全保护义务，拒不改正或造成大量数据泄露等严重后果，最高可罚200万元；涉及核心数据的罚款上限可达一千万元，同时可责令停业整顿。
实务中存在一个关键点：即便暂时没有发生数据泄露，仅因未开展数据分类分级，监管部门在现场检查时，就可以直接认定企业未落实法定安全义务，作出行政处罚。
一旦后续发生数据泄露事件，“没有分类分级”会被认定为重大过错，直接推高处罚档次，从普通罚款升级为高额顶格处罚。海量个人信息场景下，涉案基数大，一旦定性情节严重，处罚金额会呈几何级上升。
三、缺少分类分级带来的连锁法律风险
1.无法完成高风险个人信息PIA评估
处理敏感个人信息，依法需要开展个人信息保护影响评估（PIA）。而PIA的前提就是数据分类分级。没有分类定级，PIA报告本身就存在重大瑕疵，监管核查时会一并追责。
2.数据出境无法合规推进
如果企业计划向境外传输个人信息，无论是安全评估、标准合同还是个人信息保护认证，都要求先完成数据分类分级，识别敏感信息与重要数据。缺少分类分级，直接无法完成数据出境合规手续。
3.民事赔偿风险放大
发生个人信息泄露后，企业不能证明自己已经履行法定安全管理义务，在民事诉讼中，更容易被认定存在过错，需要向大量用户承担损害赔偿责任，产生群体性索赔。
4.刑事风险隐患
海量个人信息泄露，若企业未落实分类分级、权限管控，造成敏感个人信息大量外泄，相关责任人可能触及侵犯公民个人信息罪，承担刑事责任。
四、常见误区澄清
误区1：小企业用户量不大，不用做分类分级。 ❌错误。法律没有设置企业规模门槛，只要处理个人信息，就负有分类管理义务，用户数量越大，风险越高。
误区2：只做技术加密，不做文档化分类分级清单就可以。 ❌错误。监管检查不仅看技术防护，还要求留存数据资产清单、分类分级目录、风险评估材料。只有口头管理，无书面文件，直接视为未落实。
五、实务合规建议
1.全面梳理数据资产清单，盘点全部个人信息，区分一般个人信息、敏感个人信息；
2.制定数据分类分级制度文件，明确不同级别数据的存储、访问、传输、销毁规则；
3.针对敏感个人信息，强化访问权限、操作日志、加密、脱敏等管控措施；
4.将分类分级结果，用于个人信息保护影响评估（PIA）、安全自查、应急预案。
周军律师提醒
数据分类分级不是形式化的纸面工作，是企业数据安全治理的第一道关口。手握海量个人信息却不做分类分级，等于把高敏感数据裸奔式存放，随时面临监管处罚。轻则整改警告，重则数千万罚款、停业整顿，企业负责人也要承担个人法律责任。遇到相关问题，建议及时咨询专业律师，寻求有效的法律帮助，以免错失维权良机。
普及法律常识，帮您维护权益。
点赞关注分享，让亲友都得到法律保护！
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
