一句话回答：重要数据不是泛指重要信息，而是指特定领域、特定群体、特定区域或者达到一定精度和规模，一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的数据。企业要做三件事：对照目录识别自己有没有重要数据、列入目录的做重点保护、按年度开展风险评估并向主管部门报送报告。不做，最高可处二百万元罚款。

一、法律依据：数据安全法怎么规定的

《中华人民共和国数据安全法》第二十一条规定：国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护；各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据进行重点保护。

第三十条规定：重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。也就是说，识别只是第一步，定期评估加按规报送才是硬义务。国务院《网络数据安全管理条例》（国务院令第790号）进一步细化了重要数据的认定与保护要求，并已被相关主管部门解读为上述定义口径；《网络数据安全风险评估办法》要求处理重要数据的网络数据处理者每年度开展一次风险评估，一般数据处理者鼓励三年一次，年度评估完成后按规定时限向主管部门报送。

二、罚则：不履行义务会被罚多少

《数据安全法》第四十五条规定，不履行第二十七条、第二十九条、第三十条规定的数据安全保护义务的，由有关主管部门责令改正、给予警告，可以并处五万元以上五十万元以下罚款；拒不改正或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可或者吊销营业执照。注意，这条罚的是“不履行义务”，不是等你出了大事才罚，达到报送条件却什么也没做，本身就是违法状态。

三、实务中要注意什么

第一，识别重要数据不能靠自己拍脑袋。行业目录是分领域下发的，先查本行业、本地区有没有公布重要数据具体目录，再对照国标方法做全量数据盘点，把“看起来敏感”和“依法属于重要数据”分开。第二，年度风险评估报告是有报送义务的，不是内部文档，建议把评估报告、报送凭证、整改记录一并留档，这是监管检查时最直接的合规证据。第三，一般数据也别完全不管，办法鼓励一般数据处理者三年一次做评估，一旦企业规模、数据量或业务场景变化被划入重要数据处理者，历史没做评估会成为从重情节。第四，数据出境、并购合并等场景会触发额外的评估与报送义务，重要数据往往同时是数据出境安全评估的触发项，两套流程要一起排。

四、案例分析（示意情景）

以下为示意情景，不指向任何真实企业。某地理信息企业为地图产品采集了大量高精度道路与设施数据，自认为只是商业数据，既未做分类分级，也未开展年度风险评估和报送。监管检查认定其数据达到特定领域、达到一定精度和规模的标准，属于重要数据，企业未履行第三十条规定的定期评估与报送义务，依第四十五条责令改正、给予警告并处三十万元罚款，同时责令限期完成全量数据盘点与整改。若拒不改正或期间发生数据泄露，罚款区间会直接升到五十万元以上二百万元以下。

五、常见问题（FAQ）

问：怎么判断自己的数据是不是重要数据？

答：先看本地区、本部门、本行业有没有公布重要数据具体目录，再对照国家标准的识别方法做全量盘点，核心看是否属于特定领域、特定群体、特定区域或者达到一定精度和规模，且一旦泄露可能直接危害国家安全等。

问：重要数据处理者必须多久做一次风险评估？

答：按《网络数据安全风险评估办法》，处理重要数据的网络数据处理者应当每年度开展一次风险评估，一般数据处理者鼓励三年一次。

问：评估报告要报送吗？

答：要。数据安全法第三十条明确要求向有关主管部门报送风险评估报告，年度评估完成后按规定时限报送，具体报送对象按行业主管部门要求确定。

问：不做会有什么处罚？

答：依数据安全法第四十五条，责令改正、给予警告，可并处五万元以上五十万元以下罚款；拒不改正或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，并可能被停业整顿、吊销相关业务许可或营业执照。

问：一般数据处理者可以不做评估吗？

答：鼓励三年做一次。但企业数据规模、业务场景一旦变化被认定为重要数据处理者，就要按年度开展，历史缺评估会成为监管认定情节时的不利因素。

相关阅读

王冠律师｜北京浩略律师事务所联合创始人｜咨询电话：17813108512