一句话回答：《数据安全法》第三十条规定，重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。《网络数据安全风险评估办法》进一步明确，重要数据处理者应当每年度开展一次风险评估，一般数据处理者鼓励每三年开展一次。评估完成后的报告要按主管部门要求报送，不履行这项义务的，可能被责令改正、警告并处罚款。

一、法律依据

《数据安全法》第三十条的原文是：重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。这一条是整项义务的总开关——只要企业被认定为处理“重要数据”，定期评估就不再是可选项。

在此基础上，《网络数据安全管理条例》（国务院令第790号）进一步要求重要数据的处理者每年度对其网络数据处理活动开展风险评估；《网络数据安全风险评估办法》则把流程细化：重要数据处理者每年度开展一次评估，一般数据处理者鼓励每三年开展一次，重要数据处理者应当在年度风险评估完成后的20个工作日内按有关主管部门要求报送评估报告。具体口径以主管部门最新公布为准。

法律责任在《数据安全法》第四十五条：不履行本法第二十七条、第二十九条、第三十条规定的数据安全保护义务的，由有关主管部门责令改正、给予警告，可以并处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员也可以罚款。

二、实务中要注意什么

第一，先解决“是不是重要数据处理者”这个问题。重要数据不是自己说了算，要按行业主管部门发布的重要数据目录或者识别指南来比对。很多企业的问题不是不做评估，而是根本没做过重要数据识别，等被检查了才发现自己落在目录里。

第二，别把三项评估混为一谈。数据安全风险评估（依据《数据安全法》第三十条，面向重要数据处理者的定期合规动作）、个人信息保护影响评估（依据《个人信息保护法》第五十五条，在特定处理场景发生前做）、数据出境安全评估（向境外提供数据达到条件时向网信部门申报），三者的触发条件、评估对象、报送对象都不一样。实务中最常见的就是把三份报告互相替代，结果被认定为没做。

第三，把评估做成“可检查”的档案。评估方法、发现的隐患、整改计划和整改结果、评估报告的留存，要能一条线串起来。检查时看的不只是有没有报告，还看有没有整改闭环。

第四，一般数据处理者虽然只是“鼓励”每三年一检，但一旦发生数据安全事件，能不能拿出风险评估和整改记录，直接影响责任认定轻重。这是性价比很高的一项投入。

三、案例分析（示意情景）

（以下为示意情景，用来说明合规逻辑，不是真实案件）某平台企业业务涉及大量用户行踪和车辆位置信息，被行业主管部门列入重要数据范围。企业当年做了等级保护测评和个人信息保护影响评估，就认为合规义务已经履行完毕，没有单独做数据安全风险评估、也没有报送报告。检查中被指出未履行《数据安全法》第三十条义务，被责令改正并给予警告，同时被要求限期补做评估、报送报告。整改方向很清楚：先按目录完成重要数据识别，再建立年度评估机制，把评估报告和整改记录留档备查。

四、常见问题（FAQ）

问：数据安全风险评估几年做一次？

答：重要数据处理者每年度开展一次；一般数据处理者鼓励每三年开展一次。重要数据处理者应当在年度评估完成后的20个工作日内按要求报送评估报告。

问：哪些企业必须做数据安全风险评估？

答：处理“重要数据”的企业必须做，具体以行业主管部门发布的重要数据目录或识别指南为准。只处理一般数据的企业目前是鼓励开展，不是强制。

问：不做数据安全风险评估会有什么后果？

答：《数据安全法》第四十五条规定，不履行第二十七条、第二十九条、第三十条义务的，由有关主管部门责令改正、给予警告，可以并处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员也可以罚款。

问：数据安全风险评估和个人信息保护影响评估是一回事吗？

答：不是。前者依据《数据安全法》第三十条，是重要数据处理者的定期合规动作；后者依据《个人信息保护法》第五十五条，在自动化决策、处理敏感个人信息等特定场景发生前做。两者不能互相替代。

问：评估报告要交给谁？

答：按有关主管部门的规定和要求报送，通常是行业主管部门。报送时限是年度风险评估完成后20个工作日内，具体以主管部门要求为准。

问：评估报告要保存多久？

答：要留档备查，并且能和整改记录对应起来。发生数据安全事件或者接受检查时，评估报告和整改闭环记录是判断企业是否尽到义务的重要依据。

相关阅读

王冠律师｜北京浩略律师事务所联合创始人｜咨询电话：17813108512