杨振煜 白宇思

本文将综合有关法律法规和实践情况，解读企业数据安全和隐私保护的概念、关系及侧重点，供读者参考。

数据安全与隐私保护

《中华人民共和国数据安全法（草案）》（称“数据安全法草案”）经过全国人大常委会二次审议，并于2021年4月29日发布公开征求意见。其中将“数据安全”定义为“指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及保障持续安全状态的能力”。此外，数据安全法草案在“第三章 数据安全制度”部分首要指出国家建立数据分级分类保护制度，加强对重要数据的保护。

结合企业经营及运营，本文对数据安全（Data Security）做进一步延伸解读。本文所称的“数据安全”是指企业为保护数据安全，对于数据全生命周期即数据收集或生成、使用、传输、存储、披露、流转与跟踪、销毁搭建的安全体系，该安全体系侧重数据分类分级及敏感数据全生命周期的保护。

根据数据是否涉及个人信息，我们可以把数据安全体系区分为个人数据安全与业务数据安全。在此基础上，数据安全与隐私保护之间存在交集，即个人数据安全。结合上文所述，企业数据安全的首要目标在于保护企业数据全生命周期的安全状态，其与隐私保护的交集在于对于个人数据的保护，涉及个人信息的数据（如个人敏感信息）可能被企业分类为敏感数据，拥有较高的安全等级，从而加大对此部分数据的保护力度。

企业隐私保护除前述讨论的个人数据保护部分外，因涉及数据主体的隐私（对于企业数据资产来说属于敏感数据），法规法规、企业规章制度、缔约、承诺等对此类敏感数据的全生命周期加以严格约束，要求企业对此履行合规义务。……