上周一个做跨境SaaS的客户在微信问我：网信办这套《网络数据安全风险评估办法》三部门一起发了，他们这种把客户数据存华东、把分析跑在新加坡的小团队，要不要做这个评估？

先把判断给出来——不是所有处理数据的公司都被卷进来，但门槛比很多创始人想的低。

谁是这次的"主要被规范对象"

办法明确指向两类主体：一类是重要数据处理者，一类是关键信息基础设施运营者。前一个概念是核心。

什么是"重要数据"？目前的口径仍以《数据安全法》框架下的行业目录为准，各地各行业逐步出台具体目录。判断逻辑大致是：一旦数据被泄露、篡改、损毁，会不会危害国家安全、经济运行、公共利益或群体权益。比如出行轨迹聚合、跨境人口流动、特定行业的生产数据、地理信息等。

普通C端APP的注册数据，未必构成"重要数据"；但只要业务体量大、聚合后能反映宏观特征，就要小心。

评估到底评什么

我把它拆成四块给客户讲：

第一，数据本身——分类分级是否清楚，敏感程度是否识别到位。
第二，处理活动——收集、存储、使用、传输、共享、出境，每个环节谁在做、依据是什么。
第三，安全措施——技术上有没有加密、访问控制、日志留痕；管理上有没有责任人和应急预案。
第四，风险闭环——发现问题以后，整改路径写没写清楚。

这套逻辑跟我之前给中企做拉美出海合规时拆解GDPR、墨西哥LFPDPPP的思路是一致的——监管不在乎你用什么工具，在乎你能不能复盘。

跨境的同行额外要看的一点

办法把数据出境作为重点评估场景之一。这跟2022年以来已有的《数据出境安全评估办法》《标准合同办法》《认证办法》形成叠加。

我的判断是：之前很多企业把数据出境合规当"过一关"，签了标准合同备案完事；这次以后，年度评估会成为常态——不是申报一次了事，而是定期回看。

如果你公司涉及把研发数据、客户数据、供应链数据流到境外母公司或服务器，建议尽早把"数据流转地图"画出来。我接的咨询里，最常见的卡点不是法律不会做，是业务部门自己说不清楚数据到底走了哪些路径。

中小企业怎么务实落地

不是每家都要请四大或国际所做一整套。务实的三步：

一，做一次内部数据资产盘点，把字段、用途、存储位置列清楚；
二，把跨境流向单独画出来，标注每条流向的法律依据；
三，把现有的安全制度文件梳理成一份"评估报告底稿"，至少能在监管问询时拿得出来。

预算有限的，可以先内部自评，发现核心风险点再请外部律师介入。我自己接这类咨询，通常第一步就是先做这份盘点，再决定是否需要做完整的合规改造。

具体落地路径每家不同，跨境业务相关条款的适用建议结合现行有效法律和当地合规要求确认。

———
吴展鵾律师 · 涉外律师
涉外/跨境为主 · 办理广州/大湾区/全国刑事民商诉讼与法律顾问 · 中/英/西/日4语
主站：wzklaw.com · 预约：wzklaw.com/booking.php