中华人民共和国数据安全法
全国人民代表大会常务委员会 · 2021年6月10日第十三届全国人民代表大会常务委员会第二十九次会议通过
数据领域的基础法律，确立国家数据分类分级保护制度与国家核心数据的更严格管理（第二十一条），要求数据处理者建立全流程数据安全管理制度（第二十七条），重要数据处理者定期风险评估并报送报告（第三十条），并在第三十六条设置「未经主管机关批准不得向外国司法或者执法机构提供境内数据」的阻断规则。第二十五条明确对属于管制物项的数据实施出口管制。
四类业务动作触发本法：（1）在境内开展任何数据处理活动（第二条第一款），包括模型训练语料的收集、清洗、存储与共享；（2）境外处理活动损害中国国家安全、公共利益或公民组织合法权益的（第二条第二款）；（3）业务数据被所在行业主管部门列入重要数据目录——具身智能与自动驾驶企业的高精地图、道路与厂区环境采集数据是典型候选；（4）境外客户、母公司或外国监管机构要求调取存储在中国境内的数据（第三十六条），这在美欧诉讼开示、FCPA 调查、上市审计中非常常见。
重点行业：通用、大模型 / 生成式 AI、具身智能与机器人、智能驾驶、AI 硬件与算力
2021-09-01
全法施行
数据分类分级保护、重要数据处理者的负责人与管理机构、定期风险评估、对外国司法执法机构提供数据的审批要求同日生效。
2025-01-01
《网络数据安全管理条例》细化重要数据义务
重要数据处理者的年度风险评估、安全负责人任职条件、提供与委托处理前的风险评估等要求落到可执行层面。
2026-08-20
《网络数据安全风险评估办法》（三部门令第24号）施行，第三十条的定期风险评估落成可执行流程
重要数据处理者每年度开展风险评估，评估完成后 20 个工作日内向有关主管部门报送报告，报告至少保存 3 年；可自行或委托第三方评估机构；按部门要求委托评估的，整改完成后 15 个工作日内报送整改情况报告。鼓励一般数据处理者至少每 3 年开展一次。
每条都写明触发条件、需要留存的证据与条款出处
按国家数据分类分级保护制度，结合本行业、本领域主管部门发布的重要数据具体目录，对自有数据逐类定级，识别其中是否包含重要数据与国家核心数据。未被相关部门、地区告知或者公开发布为重要数据的，不需要作为重要数据申报出境安全评估，但识别过程本身应有书面结论以备核查。
首次达标投入估算：15–40 人日（估算，非承诺）
依照法律法规建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应技术措施和其他必要措施保障数据安全。利用互联网等信息网络开展数据处理活动的，应在网络安全等级保护制度的基础上履行上述义务。重要数据的处理者还须明确数据安全负责人和管理机构。
首次达标投入估算：20–45 人日（估算，非承诺）
重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。报告应包括处理的重要数据种类与数量、数据处理活动情况、面临的数据安全风险及应对措施。《网络数据安全管理条例》第三十三条进一步明确为每年度开展并向省级以上有关主管部门报送。自 2026 年 8 月 20 日起，《网络数据安全风险评估办法》（三部门令第24号）把流程做实：第五条重申重要数据处理者每年度开展（一般数据处理者鼓励至少每 3 年一次）；第七条允许自行或委托第三方评估机构；第十五条要求风险评估报告至少保存 3 年；第十六条要求年度评估完成后 20 个工作日内向有关主管部门报送，主管部门不明确的向省级或国家网信部门报送；第十八条第（四）项要求按部门要求委托评估的，整改完成后 15 个工作日内报送整改情况报告。
首次达标投入估算：10–25 人日（估算，非承诺）
非经中华人民共和国主管机关批准，境内的组织、个人不得向外国司法或者执法机构提供存储于中华人民共和国境内的数据。企业需要事前建立「外国机构调取请求」的接收、冻结、评估与报批流程，避免业务或法务人员在诉讼开示、监管问询压力下直接交付。
首次达标投入估算：5–12 人日（估算，非承诺）
国家对与维护国家安全和利益、履行国际义务相关的属于管制物项的数据依法实施出口管制。企业应把「数据是否构成管制物项」并入出口管制分类（ECCN 式）判定流程，与《出口管制法》《两用物项出口管制条例》的许可与最终用户审查衔接，而不是只按个人信息出境流程处理。
首次达标投入估算：8–20 人日（估算，非承诺）
第四十五条：不履行第二十七条、第二十九条、第三十条义务的，责令改正、警告，可并处五万元以上五十万元以下罚款，对责任人处一万元以上十万元以下；拒不改正或造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，可责令暂停业务、停业整顿、吊销许可或营业执照。违反国家核心数据管理制度、危害国家主权安全和发展利益的，处二百万元以上一千万元以下罚款。第四十六条：违反第三十一条向境外提供重要数据的，处十万元以上一百万元以下；情节严重的一百万元以上一千万元以下。第四十八条：未经批准向外国司法或执法机构提供数据的，处十万元以上一百万元以下；造成严重后果的一百万元以上五百万元以下。
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。