场景
苏州工业园区一家做智能传感设备的企业，上周收到下游整车厂的《供应商数据安全审核表》，要求十个工作日内提交公司的数据分类分级清单、重要数据目录、个人信息处理清单，还要附权限管理记录。老板把表甩给行政，行政转给IT，IT说"我们数据都在共享盘上，谁要就给链接"，销售在旁边补了一句："客户名单可千万别往上报，那是我吃饭的家伙。"
同一天，公司刚离职的销售总监在朋友圈晒了新东家的工牌，他电脑里那批客户联系人、报价表、还有几十个员工身份证照片，到底带走了多少，谁也说不清。老板这才意识到，公司连"哪些数据是重要的"都没分过类，更别说保护。
法律规定
先说清一件事：数据分类分级不是哪家客户想出来的花样，是写进法律的义务。
《数据安全法》第二十一条明确，国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。重要数据要按目录管理，各地区、各部门对本地区、本行业的重要数据具体目录负责。
同一部法第二十七条要求，开展数据处理活动应当依照法律法规规定，建立健全全流程数据安全管理制度，采取相应的技术措施和其他必要措施，保障数据安全。这条就是"你得有一套自己的制度并且真的跑起来"的来源。
如果企业手上有个人信息，还要看《个人信息保护法》第五十一条：处理者应当根据处理目的、处理方式、个人信息种类、对个人权益的影响、可能存在的安全风险等，采取相应措施，其中包括制定内部管理制度和操作规程、对个人信息实行分类管理、采取加密和去标识化等技术措施。第五十五条还提到，处理敏感个人信息、自动化决策等情形，事前要办个人信息保护影响评估并留记录。
《民法典》这条线也不能漏。第一千零三十五条讲的是处理个人信息要遵循合法、正当、必要原则，不得过度处理；第一千零三十八条明确，信息处理者不得泄露或者篡改其收集、存储的个人信息，未经自然人同意不得向他人非法提供。
说白了，法律要求的是"先分清楚，再分级管，管了要留痕"。分类分级是整套动作的起点，不是终点。
法院实务怎么判
很多老板关心：我没做分类分级，会不会直接输官司？
从苏州地区法院处理相关纠纷的普遍思路看，法院不会因为一家企业"没有一份叫《数据分类分级管理办法》的文件"就直接判它输，但会把有没有做分类分级、有没有设权限、有没有留操作记录，当作判断它有没有尽到安全管理义务、有没有过错的重要事实。
一类常见案件是员工跳槽带走客户名单、报价资料。这类案子企业往往主张商业秘密被侵犯，而商业秘密的构成要件之一就是权利人采取了相应保密措施。企业有没有对客户数据标注密级、有没有分级授权、离职时有没有数据交接记录，法官在认定"保密措施是否到位"时会重点看这些。如果所有资料都在一个共享盘里，人人可下载，事后再说"这是核心机密"，说服力往往有限。
另一类是个人信息泄露引发的侵权或合同纠纷，比如员工身份证、住址被批量外传，或者外包客服把客户信息带走。法院通常会审查企业是否建立了内部管理制度、是否对敏感信息做了加密或去标识化、权限是否最小化。做了但没做到位，和压根没做，在责任认定和赔偿数额上通常会有差别。
边界与例外
第一，不是所有企业都要去认定"重要数据"。重要数据以行业、地区发布的具体目录为准，绝大多数中小企业日常接触的是企业自身经营数据和一般个人信息。硬凑一份"重要数据目录"报上去，反而给自己添麻烦。不确定的，可以向主管部门或行业协会确认口径。
第二，分类分级不等于越细越好。见过企业搞出六个层级、二十多个标签，结果一线员工根本记不住，最后全部按"内部"处理，等于没分。对多数苏州制造、贸易、服务类企业来说，先把数据分成"个人信息（含敏感个人信息）"和"非个人信息"，再区分"对外提供会出事"和"内部使用无碍"两档，就能覆盖八成日常场景。
第三，个人信息有个边界要记清：《个人信息保护法》第四条里，匿名化处理后的信息不属于个人信息；《民法典》第一千零三十四条也强调是"能够识别特定自然人"的信息。真正做了不可复原的匿名化，处理规则会不一样，但"把姓名去掉、手机号留着"不算匿名化。
第四，客户名单不是天然的商业秘密。公开渠道能查到的企业名称、公开的联系方式，很难被认定为商业秘密。企业主张保护时，得说清这批数据"特别在哪"。
普通人能怎么做
一、先做一次数据盘点，别急着写制度。把公司现在所有存数据的地方列出来：共享盘、企业微信、钉钉、CRM、财务软件、员工个人电脑、打印机缓存。每一项写清存什么、谁能看、保存多久、离职怎么办。这一步花两天，比抄一份模板制度管用得多。
二、做两级分类，标注四个标签。分类上分"个人信息"和"非个人信息"；分级上至少标出"敏感个人信息（身份证、银行账号、生物识别、健康、行踪）""可对外提供的""仅内部使用的""禁止外传的"。
三、把权限收窄并留痕。销售能看到自己负责的客户，不需要能一键导出全库；员工身份证照片统一收在HR系统，别散落在共享盘。导出、转发、批量下载这些动作要留日志，日志至少保存六个月。
四、把义务写进合同。跟员工签保密与数据处理条款，写明离职时数据交回、设备清空；跟供应商、外包客服签数据处理协议，写清用途、期限、返还和删除义务。收数据的一方出事，给数据的一方往往也脱不了干系。
五、留一份"做过"的证据。制度文件、培训签到、权限截图、影响评估记录、数据导出审批单，打包归到一个文件夹里。真到了客户审核、监管检查或者打官司那天，这份东西比任何解释都有用。
律师温馨提示
数据合规这件事，最怕的是"制度上墙、实操照旧"。董坤律师在苏州执业，代理民商事案件，尤其擅长处理企业数据合规体系建设、商业秘密与客户数据保护、员工离职数据带走引发的争议，以及数据泄露后的责任划分。上面这些步骤怎么落到你公司具体的业务流程里，哪些数据必须分级、哪些可以简化，需要结合行业和实际情况判断，欢迎带着你公司现有的数据清单来聊一聊。