《数据安全法》确立数据分类分级、风险评估、监测预警等基础制度并明确域外效力，企业须建立全流程数据安全管理体系，重要数据/核心数据处理者承担更严格义务，违规最高可吊销营业执照。
关键日期
《中华人民共和国数据安全法》（以下简称《数据安全法》）于2021年6月10日经第十三届全国人民代表大会常务委员会第二十九次会议通过，2021年9月1日起正式施行。
该法是我国首部数据安全领域的基础性立法，以总体国家安全观为立法目标，聚焦数据安全领域的突出问题，确立了数据分类分级、风险评估、监测预警、应急处置、数据安全审查等基本制度，并明确了相关主体的数据安全保护义务。
| 时间节点 | 关键事项 |
|---|---|
| 2018年9月 | 数据安全立法被列入十三届全国人大常委会立法规划 |
| 2020年7月3日 | 《数据安全法（草案一次审议稿）》正式发布 |
| 2021年4月29日 | 《数据安全法（草案二次审议稿）》正式发布 |
| 2021年6月7日 | 《数据安全法（草案三次审议稿）》提交审议 |
| 2021年6月10日 | 全国人大常委会正式表决通过 |
| 2021年9月1日 | 正式施行 |
（一）境内适用
在中华人民共和国境内开展数据处理活动及其安全监管，适用本法。
“数据处理”包括数据的收集、存储、使用、加工、传输、提供、公开等。
（二）域外效力（长臂管辖）
《数据安全法》具有明确的域外效力。第二条规定：
“在中华人民共和国境外开展数据处理活动，损害中华人民共和国国家安全、公共利益或者公民、组织合法权益的，依法追究法律责任。”
境外开展数据处理活动的主体，只要损害了我国国家安全、公共利益或公民、组织的合法数据权益，均由我国法律管辖并追究法律责任。
（三）监管体制
《数据安全法》实行 “中央国安委”统筹协调下的行业监管机制：
中央国家安全领导机构：负责国家数据安全工作的决策和议事协调
各地区、各部门：对本地区、本部门工作中收集和产生的数据及数据安全负责
行业主管部门：工业、电信、交通、金融、自然资源、卫生健康、教育、科技等主管部门承担本行业、本领域数据安全监管职责
公安机关、国家安全机关：在各自职责范围内承担数据安全监管职责
国家网信部门：负责统筹协调网络数据安全和相关监管工作
《数据安全法》建立了以下核心制度：
| 制度 | 内容 |
|---|---|
| 数据分类分级保护制度 | 根据数据在经济社会发展中的重要程度及危害程度，对数据实行分类分级保护 |
| 重要数据与核心数据保护 | 区分重要数据目录和重要数据具体目录；国家核心数据的保护严格程度高于重要数据 |
| 数据安全风险评估 | 建立数据安全风险评估机制 |
| 数据安全监测预警 | 建立数据安全监测预警机制 |
| 数据安全应急处置 | 建立数据安全应急处置机制 |
| 数据安全审查 | 建立数据国家安全审查机制 |
《数据安全法》第四章专章规定了数据安全保护义务。对企业的核心要求如下：
（一）建立健全全流程数据安全管理制度
开展数据处理活动，应当依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保证数据安全。
（二）开展数据分类分级
企业应当遵循国家数据分类分级保护制度，开展自身数据分类分级工作，或将已有的分类分级体系与国家出台的分类分级保护制度进行有机衔接。
特别提醒：一旦企业相关数据被纳入 “重要数据目录”或“国家核心数据”，企业很可能需要在一般数据保护措施的基础上履行额外的数据保护义务。
（三）遵守数据处理基本规范
开展数据处理活动，应当遵守法律、法规，尊重社会公德和伦理，遵守商业道德和职业道德，诚实守信，履行数据安全保护义务，承担社会责任，不得危害国家安全、公共利益，不得损害个人、组织的合法权益。
（四）采取合法正当方式收集数据
收集数据应当采取合法、正当的方式，不得窃取或者以其他非法方式获取数据。
（五）配合监管与报告
遵守行业主管部门的数据安全监管要求
配合数据安全风险评估、审查等工作
建立数据安全投诉、举报处理机制
（六）重要数据处理者的额外义务
处理重要数据的企业，可能还需履行额外的数据保护义务，包括更严格的分类分级、风险评估、跨境传输管理等。
《数据安全法》第六章规定了严格的法律责任。处罚措施根据情节轻重分为不同等级：
| 违规情节 | 处罚措施 |
|---|---|
| 一般违规 | 责令改正、给予警告 |
| 情节较重 | 对单位和直接负责的主管人员及其他直接责任人员进行罚款 |
| 情节严重 | 责令暂停相关业务、停业整顿、吊销相关业务许可证或吊销营业执照 |
执法案例（近期） ：
2026年5月：浙江某科技公司擅自将政府部门敏感业务数据上传至公有云服务器且未采取安全保护措施，造成严重数据泄露。公安机关依据《数据安全法》第四十五条，对公司罚款100万元，对项目主管人员、直接责任人员分别罚款8万元、6万元。
2025年：上海某生物医药企业因系统存在数据安全风险隐患且未采取技术防护措施，被责令改正并给予警告。
2026年：西安某电子科技有限公司因系统上线调试中未采取必要措施保障数据安全，导致未授权访问漏洞被境外恶意地址攻击，被处以警告并罚款。
《数据安全法》与《网络安全法》《个人信息保护法》共同构成了中国网络与数据安全领域的基础性法律框架，三部法律各有侧重：
《网络安全法》：主要规范网络的建设、运营和维护过程中的安全保障制度和技术措施
《数据安全法》：主要规定国家数据安全与发展的整体制度，明确数据处理和保护活动中相关主体的义务
《个人信息保护法》：主要规范个人信息处理、使用等过程中的合规要求及个人信息主体的权利
配套法规持续完善：国家相关部门正在陆续出台配套法规和标准，如《网络数据安全管理条例》《数据出境安全评估办法》等，进一步细化《数据安全法》的实施要求。
数据安全风险评估规范：2026年，相关部门发布了数据安全风险评估的规范指引，明确了评估工作的具体要求。
执法力度持续加强：从近期典型案例可以看出，监管部门对数据安全违法行为的执法力度持续加强，处罚金额和范围不断扩大。
1. 立即评估合规状态：对照《数据安全法》要求，审查自身数据处理活动的合规状况。
2. 建立数据分类分级体系：梳理企业所处理的数据类型，按照国家分类分级保护制度进行分级，特别关注是否涉及“重要数据”或“国家核心数据”。
3. 建立健全数据安全管理制度：制定全流程数据安全管理制度，包括数据收集、存储、使用、加工、传输、提供、公开等各环节的安全管理规范。
4. 开展数据安全教育培训：定期组织员工进行数据安全教育培训，提升全员数据安全意识。
5. 采取必要的技术防护措施：部署数据加密、访问控制、安全审计、防泄漏等技术措施，保障数据安全。
6. 建立数据安全应急响应机制：制定数据安全事件应急预案，建立监测预警和应急处置流程。
7. 关注行业监管动态：密切关注本行业主管部门发布的重要数据目录、数据安全标准和合规指引。
8. 审查第三方数据合作：对与第三方（供应商、合作伙伴等）的数据交互及业务合作模式进行合规审查。