SEO 百科

数据安全法

本页目录

数据安全法

数据安全法由全国人民代表大会常务委员会制定，用来规范数据处理活动并保障数据安全[1]。它于 2021 年 6 月 10 日通过，自 2021 年 9 月 1 日起施行[1]。站长需要留意它，因为网站收集的访问日志、表单数据与用户画像都算数据处理，都受这部法律约束[1]。

适用范围与数据定义

法律第二条划定了管辖边界：在中华人民共和国境内开展数据处理活动及其安全监管，适用本法[1]。境外活动并非全无约束，在境外开展数据处理活动，损害中华人民共和国国家安全、公共利益或者公民、组织合法权益的，依法追究法律责任[1]。

数据在这里的含义比个人信息宽。条文把数据定义为任何以电子或者其他方式的记录，记录的对象就是信息[1]。处理包括收集、存储、使用、加工、传输、提供、公开等环节[1]。也就是说，日志、订单、图片、评论都在其中。

判定一家网站是否受约束，看它有没有在境内开展这些处理活动，而不是看它属于哪个行业[1]。

数据安全制度

国家层面建立了几项基础制度，网站要按对应要求配合。第一项是数据分类分级保护制度，国家按数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护[1]。关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据，实行更加严格的管理制度[1]。

第二项是风险评估与预警。国家建立集中统一、高效权威的数据安全风险评估、报告、信息共享、监测预警机制[1]。

第三项是应急处置。国家建立数据安全应急处置机制，发生数据安全事件时依法启动应急预案[1]。

第四项是数据安全审查。国家建立数据安全审查制度，对影响国家安全的数据处理活动进行国家安全审查[1]。

数据处理者的保护义务

落到网站身上的义务集中在第四章。开展数据处理活动应当建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全[1]。利用互联网等信息网络开展数据处理活动的，还应当在网络安全等级保护制度的基础上履行这些义务[1]。

风险监测与事件处置是日常动作。开展数据处理活动应当加强风险监测，发现数据安全缺陷、漏洞等风险时立即采取补救措施；发生数据安全事件时立即采取处置措施，按规定及时告知用户并向有关主管部门报告[1]。

重要数据的处理者多一项周期性动作。这类主体应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告[1]。

数据来源的合法性同样被写到。任何组织、个人收集数据，应当采取合法、正当的方式，不得窃取或者以其他非法方式获取数据[1]。这条约束的是爬虫与数据采集。

数据出境与境外调取

重要数据出境有一条专门规则。关键信息基础设施运营者在境内收集、产生的重要数据，其出境安全管理适用网络安全法的规定[2]；其他数据处理者在境内收集、产生的重要数据，其出境安全管理办法由国家网信部门会同国务院有关部门制定[1]。判定是否受这一条约束，先看数据是否被认定为重要数据。

境外机构调取境内数据也被限定。非经中华人民共和国主管机关批准，境内的组织与个人不得把境内存储的数据提供给外国司法或者执法机构[1]。网站收到境外调取要求时，不能直接照办。

违规后果

处罚按违法情形分档，主体是有关主管部门。开展数据处理活动的组织、个人不履行数据安全保护义务的，由有关主管部门责令改正，给予警告，可以并处五万元以上五十万元以下罚款，对直接负责的人员可以处一万元以上十万元以下罚款。拒不改正或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照[1]。

核心数据的管理制度单独设了档位。违反国家核心数据管理制度，危害国家主权、安全和发展利益的，由有关主管部门处二百万元以上一千万元以下罚款，并根据情况责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照[1]。

向境外提供重要数据的处罚另按第四十六条处理，责令改正、给予警告并处罚款，情节严重时从重处罚，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照[1]。

对 SEO 的影响

全流程数据安全管理制度落到日志这一层。访问日志、搜索日志与用户行为数据都在处理范围内，站点需要为它们安排保存期限与访问权限[1]。

数据出境规则影响统计与托管选型。采集到的境内数据若被认定为重要数据，向境外传输前要先确认适用的出境办法[1]。用境外分析工具的站点，需要先评估数据流向。

收集方式的合法性直接约束抓取与采集内容。以窃取或者其他非法方式获取数据被明文禁止，采集他人站点数据要另找合法来源[1]。

数据安全事件会影响收录与信任。发生泄露后既要处置又要告知用户和报告，处理不及时还会拖累站点的整体评价[1]。

等级保护与数据安全义务绑定。利用互联网开展数据处理，要在等级保护的基础上履行数据安全义务，意味着服务器加固与访问控制要一并做到[1]。

常见误用

一个误用是把数据安全法当成只管大企业的法。条文按是否开展数据处理活动判定，收入规模不影响适用[1]。

另一个误用是以为只管个人信息。数据的定义覆盖任何电子记录，订单、日志与业务数据同样在内[1]。

还有一种误用是收到境外调取数据的要求就直接配合。条文要求先取得境内主管机关批准[1]。

附录

参见

参考资料

官方（国内）

  1. 《中华人民共和国数据安全法》，全国人民代表大会常务委员会，2021-06-10 通过。
  2. 《中华人民共和国网络安全法》，全国人民代表大会常务委员会，2025 年修正。

外部链接

无。