中国的网络安全与数据合规

《个人信息保护法》的合规要求围绕一系列义务展开——对熟悉GDPR的人来说，这些义务看似眼熟，但决定公司是否真正合规的，恰恰是那些不同的操作细节。

       与GDPR不同，《个人信息保护法》不承认“合法利益”作为一般合法性基础——私营企业的多数处理活动依赖同意，这使得正确取得同意至关重要。同意还必须建立在知情之上：收集个人信息之前，公司必须以显著方式告知——谁在处理数据、出于什么目的、以什么方式、保存多久、个人如何行使权利。对敏感个人信息、跨境传输以及其他若干场景，《个人信息保护法》要求“单独同意”——一种明确、具体、肯定性的选择加入，而非对一揽子隐私政策的捆绑接受。这一单独同意要求在实践中比GDPR更严格，也是常见的合规缺口。

       《个人信息保护法》下的敏感个人信息——生物识别、金融账户、医疗健康、宗教信仰、行踪轨迹，以及不满十四周岁未成年人的任何个人信息——承担额外义务，包括留档的必要性论证，以及在许多情形下开展个人信息保护影响评估（《个人信息保护法》对高风险处理所要求的评估）。数据主体有权查阅、复制、更正、删除其个人信息并请求转移，且有权撤回同意——公司必须在操作层面真正落实这些权利。

       《个人信息保护法》的个人信息保护负责人要求，适用于处理个人信息达到规定数量的处理者——这是一个指定的、可问责的角色，在GDPR中没有直接对应项。满足这些监管要求不是一次性的文书工作；它意味着把同意流程、评估流程和对数据主体请求的响应能力，内建到公司在中国的实际运营方式之中。

中国的数据执法由多个管辖权交叉的监管机构共同承担。国家互联网信息办公室是主要的数据和网络安全监管机构；工业和信息化部监管电信及大量与应用相关的义务；公安部负责网络安全执法和等保体系。行业监管机构再叠加更多层级。

执法力度已然加强，处罚分量可观——滴滴案以超过80亿元人民币的罚款和对高级管理人员的个人罚款定下基调。中国的数据泄露通知和事件响应有时限、有程序：《个人信息保护法》和《网络安全法》规定了向监管机构以及特定情形下向受影响个人的泄露通知义务，专门的网络安全事件报告制度按事件严重程度设定了报告时限。公司在最初几天如何处理通知、监管沟通和补救措施，往往决定事件是止于可控事项，还是演变为更大的责任。有能直接对接监管机构的本地法律顾问，正是可控响应与不断升级之间的分野。

作为常驻中国的网络安全与数据合规法律团队，我们为必须同时遵守《个人信息保护法》、《网络安全法》和《数据安全法》的外国企业提供数据合规服务。我们的中国执业律师在本地处理相关工作：回应企业关于数据安全和个人信息保护的咨询，开展等保定级与数据分类分级分析，起草隐私通知和政策，并协助准备和办理数据出境合规手续——安全评估申报、标准合同备案或保护认证。

我们中国团队的数据保护律师还负责面向监管机构的一侧——回应国家互联网信息办公室及其他机构的问询、办理泄露通知、在调查中代表客户——而我们的欧洲及亚洲网络，会把中国项目与公司的GDPR及其他义务对齐，使中欧数据流动在两端得到协调一致的处理。

由于数据合规很少孤立存在，同一团队还依托我们的公司、雇佣和合同业务——供应协议中的数据条款、人力资源中的员工数据、交易中的尽职调查——让公司得到的是一个协调一致的项目，而非来自不同律所的零散建议。

修订后的《网络安全法》于2026年1月1日起施行，旨在应对数字技术的快速发展和新型网络安全挑战，加强网络治理体系，保障数字经济和网络空间安全。《数据安全法》于2021年施行，建立数据分类分级保护制度，并引入数据安全审查和跨境规则。《个人信息保护法》同样于2021年施行，是中国全面的个人信息保护立法。三部法律相互叠加：同一项数据处理活动可能同时触发三部法律下的义务——这是从单一法规环境进入中国的公司最先感到意外的地方。

中国的《个人信息保护法》合规与《通用数据保护条例》有一些共同概念——合法性基础、数据主体权利、泄露通知——但在关键之处存在差异。《个人信息保护法》的同意要求在某些方面更为严格，对敏感个人信息、跨境传输及其他特定场景要求“单独同意”；它对在境外处理中国境内自然人个人信息的活动主张域外效力；同时还叠加了数据本地化义务和出境前安全评估——这些在GDPR中没有直接对应项。把《个人信息保护法》当作“中国版GDPR”，是最常见、代价也最高的错误之一。

中国的数据保护执法由多个管辖权交叉的监管机构共同承担——国家互联网信息办公室居于主导，工业和信息化部及公安部并行——金融服务、医疗健康和关键信息基础设施等领域的行业监管机构再各自叠加规则。执法具有实质威慑力：标志性的滴滴案以超过80亿元人民币的罚款收场，高级管理人员被并处个人罚款。对外国公司而言，这意味着合规不是一次性申报，而是须在多个监管机构面前持续维持的状态。

中国的《网络安全法》适用于几乎所有在中国运营网络的公司——在实践中，这意味着几乎全部公司。它规定了基线网络安全义务、信息系统的网络安全等级保护（等保）定级，以及对关键信息基础设施运营者远为严格的要求——后者采购网络产品和服务可能触发网络安全审查。

《数据安全法》与之并行，建立了数据分类分级制度——一般数据、重要数据和核心数据——各层级义务递进，并对影响国家安全的数据处理活动实施数据安全审查。在中国，网络安全与数据保护合规无法作为相互独立的工作流推进：同一个系统可能同时承担《网络安全法》下的等保义务、《数据安全法》下的分级处理职责，以及《个人信息保护法》下的个人信息规则。对外商投资企业而言，实际结论是：IT基础设施、数据处理和隐私实践必须从一开始就按这套综合框架设计——事后补救要昂贵得多。

数据跨境传输合规，是中国数据合规中操作上最复杂的部分。向境外提供个人信息，需要具备《个人信息保护法》下三种法律机制之一：国家互联网信息办公室的安全评估、中国标准合同备案，或个人信息保护认证。适用哪种机制，主要取决于数据数量和数据类型。

中国的数据跨境流动新规（2024年3月起施行）设定了清晰的阈值。安全评估——要求最高的路径——在下列情形为强制：出境“重要数据”、传输方为关键信息基础设施运营者，或自当年1月1日起累计向境外提供超过100万人的一般个人信息或超过1万人的敏感个人信息。低于上述水平，通常适用标准合同或认证路径；而累计不足10万人的一般个人信息出境——以及跨境人力资源管理、合同履行所必需等特定情形——豁免于全部三种机制。
在实践中，安全评估是最难啃的情形：它需要细致的数据梳理，可能耗时数月，且远非必然通过。对中欧数据流动，两套制度叠加——同一项传输可能同时需要欧盟侧的GDPR传输机制和中国侧的《个人信息保护法》机制。认证路径在2026年施行的办法中最终落地，对跨国公司的集团内传输越来越有吸引力。在这个环节出错绝非理论风险：未经授权的数据出境是当前活跃的执法重点，未经批准的数据输出，可能导致企业赖以运营的数据流被叫停。

外国公司在中国搭建IT基础设施时，常被两项要求打个措手不及：数据本地化和网络安全等级保护制度。

数据本地化最直接适用于关键信息基础设施运营者：其在境内收集和产生的个人信息和重要数据必须存储在中国境内，向境外提供须通过安全评估。网络安全等级保护制度（等保2.0）是《网络安全法》下强制性的网络安全分级框架：网络系统按其重要性和潜在影响定级（多数业务系统通常为二至四级），每一级都有明确的技术和管理要求，并须向公安机关备案。外国公司在中国搭建系统时常常忽视等保，直到审计或交易中才发现这项义务。在这些要求之下，还叠加着《数据安全法》的数据分类分级方案——一般数据、重要数据和核心数据——它决定了特定数据集必须按何种严格程度处理。从一开始就按这些要求设计基础设施和数据处理，远比事后补救便宜。