數據安全技術數據分類分級規則

《數據安全技術 數據分類分級規則》（標準號：GB/T 43697-2024）是全國網路安全標準化技術委員會在2024年3月15日發布、2024年10月1日實施的推薦性國家標準。

基本介紹

• 中文名：數據安全技術 數據分類分級規則
• 外文名：Data security technology — Rules for data classification and grading 
• 頒布時間：2024年3月15日 
• 實施時間：2024年10月1日 
• 發布單位：全國網路安全標準化技術委員會  
• 標準類別：安全 
• 中國標準分類號：L80 
• 國際標準分類號：35.030 
• 主管部門：國家標準化管理委員會 

簡介

國家標準《數據安全技術 數據分類分級規則》 由TC260（全國網路安全標準化技術委員會）歸口 ，主管部門為國家標準化管理委員會。

標準目次

前言 ................................................................................ III

引言 ................................................................................. IV

1 範圍 ............................................................................... 1

2 規範性引用檔案 ..................................................................... 1

3 術語與定義 ......................................................................... 1

4 基本原則 ........................................................................... 2

5 數據分類規則 ....................................................................... 3

5.1 數據分類框架 ................................................................... 3

5.2 數據分類方法 ................................................................... 3

6 數據分級規則 ....................................................................... 4

6.1 數據分級框架 ................................................................... 4

6.2 數據分級方法 ................................................................... 4

6.3 數據分級要素 ................................................................... 4

6.4 數據影響分析 ................................................................... 5

6.5 級別確定規則 ................................................................... 6

6.6 綜合確定級別 ................................................................... 7

7 數據分類分級流程 ................................................................... 7

7.1 行業領域數據分類分級流程 ....................................................... 7

7.2 處理者數據分類分級流程 ......................................................... 8

附錄A（資料性） 基於描述對象與數據主體的數據分類參考 .................................. 9

附錄B（資料性） 個人信息分類示例 ..................................................... 10

附錄C（資料性） 數據分級要素識別常見考慮因素 ......................................... 12

附錄D（資料性） 安全風險常見考慮因素 ................................................. 14

附錄E（資料性） 影響對象考慮因素 ..................................................... 15

附錄F（資料性） 影響程度參考示例 ..................................................... 17

附錄G（規範性） 重要數據識別指南 ..................................................... 19

附錄H（資料性） 一般數據分級參考 ..................................................... 21

附錄I（資料性） 衍生數據分級參考 ..................................................... 23

附錄J（資料性） 動態更新情形參考 ..................................................... 24

參考文獻 ............................................................................. 25

標準全文

前言

本檔案按照GB/T 1.1—2020《標準化工作導則 第1部分：標準化檔案的結構和起草規則》的規定起草。

請注意本檔案的某些內容可能涉及專利。本檔案的發布機構不承擔識別專利的責任。

本檔案由全國信息安全標準化技術委員會（SAC/TC 260）提出並歸口。

本檔案起草單位：

中國電子技術標準化研究院、中國科學技術大學、國家計算機網路應急技術處理協調中心、國家信息技術安全研究中心、中國信息安全測評中心、中國網路空間研究院、中國網路安全審查技術與認證中心、國家工業信息安全發展研究中心、國家信息中心、北京市政務信息安全保障中心（北京信息安全測評中心）、公安部第三研究所、中國信息通信研究院、清華大學、中國人民公安大學、中國科學院軟體研究所、交通運輸部科學研究院、杭州安恆信息技術股份有限公司、三六零數字安全科技集團有限公司、北京抖音信息服務有限公司、北京快手科技有限公司、中國核能行業協會、中國石油化工集團有限公司、中國銀聯股份有限公司、中國郵政儲蓄銀行股份有限公司、阿里巴巴（北京）軟體服務有限公司、螞蟻科技集團股份有限公司、華為技術有限公司、北京百度網訊科技有限公司、中國移動通信集團有限公司、中國電信集團有限公司、北京愛奇藝科技有限公司、數庫（上海）科技有限公司、北京奇虎科技有限公司、深信服科技股份有限公司、啟明星辰信息技術集團股份有限公司、奇安信科技集團股份有限公司。

本檔案主要起草人：

姚相振、左曉棟、胡影、周晨煒、吳夢婷、陳琦、周亞超、上官曉麗、盧磊、任英傑、陳特、晏慧、楊晨、楊曉偉、李文婷、卓子寒、邢瀟、楊韜、李敏、段靜輝、許靜慧、李媛、任衛紅、金波、胡振泉、耿貴寧、單博深、許皖秀、張敏、晏敏、都婧、楊光、姜偉、楊帥鋒、孫岩、劉蓓、郭明多、張夕夜、曹京、蘆天亮、楊驍涵、楊博龍、落紅衛、王昕、郝春亮、朱雪峰、沙睿、蔣楠、郭延玲、劉磊、田鑫、張放、朱晨紅、彭駿濤、孫勇、白曉媛、彭晉、常新苗、李實、王海棠、鐘舒翔、張驍、張妍婷、江為強、范東媛、楊立寶、許琛超、樊慶君、張宇光、藍宇娜、張屹、陸忠明、葉潤國、宋博韜、姚卓、宋曉鵬、劉前偉、安錦程。

引言

2021年9月1日，《中華人民共和國數據安全法》正式施行，明確規定“國家建立數據分類分級保護制度”，提出“根據數據在經濟社會發展中的重要程度，以及一旦遭到篡改、損毀、泄露或者非法獲取、非法使用，對國家安全、公共利益或者個人、組織合法權益造成的危害程度，對數據實行分類分級保護”。

開展數據分類分級保護工作，首先需要對數據進行分類分級，識別涉及的重要數據和核心數據，然後建立相應的數據安全保護措施。本檔案在國家數據安全工作協調機制指導下，根據《中華人民共和國數據安全法》《中華人民共和國網路安全法》《中華人民共和國個人信息保護法》及有關規定，給出了數據分類分級的通用規則，用於指導各行業領域、各地區、各部門和數據處理者開展數據分類分級工作。

1 範圍

本檔案規定了數據分類分級的原則、框架、方法和流程，給出了重要數據識別指南。

本檔案適用於行業領域主管（監管）部門參考制定本行業本領域的數據分類分級標準規範，也適用於各地區、各部門開展數據分類分級工作，同時為數據處理者進行數據分類分級提供參考。

本檔案不適用於涉及國家秘密的數據和軍事數據。

2 規範性引用檔案

下列檔案中的內容通過文中的規範性引用而構成本檔案必不可少的條款。其中，注日期的引用檔案，僅該日期對應的版本適用於本檔案；不注日期的引用檔案，其最新版本（包括所有的修改單）適用於本檔案。

GB/T 25069—2022 信息安全技術 術語

3 術語與定義

GB/T 25069—2022界定的以及下列術語和定義適用於本檔案。

3.1 數據 data

任何以電子或者其他方式對信息的記錄。

3.2 重要數據 key data

特定領域、特定群體、特定區域或達到一定精度和規模的，一旦被泄露或篡改、損毀，可能直接危害國家安全、經濟運行、社會穩定、公共健康和安全的數據。

註：僅影響組織自身或公民個體的數據一般不作為重要數據。

3.3 核心數據 core data

對領域、群體、區域具有較高覆蓋度或達到較高精度、較大規模、一定深度的，一旦被非法使用或共享，可能直接影響政治安全的重要數據。

註：核心數據主要包括關係國家安全重點領域的數據，關係國民經濟命脈、重要民生、重大公共利益的數據，經國家有關部門評估確定的其他數據。

3.4 一般數據 general data

核心數據、重要數據之外的其他數據。

3.5 個人信息 personal information

以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息。

3.6 敏感個人信息 sensitive personal information

一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害的個人信息。

3.7 行業領域數據 industry sector data

在某個行業領域內依法履行工作職責或開展業務活動中收集和產生的數據。

3.8 公共數據 public data

各級政務部門、具有公共管理和服務職能的組織及其技術支撐單位，在依法履行公共事務管理職責或提供公共服務過程中收集、產生的數據。

3.9 組織數據 organization data

組織在自身生產經營活動中收集、產生的不涉及個人信息和公共利益的數據。

3.10 衍生數據 derived data

經過統計、關聯、挖掘、聚合、去標識化等加工活動而產生的數據。

3.11 數據處理者 data processor

在數據處理活動中自主決定處理目的、處理方式的組織、個人。

4 基本原則

遵循國家數據分類分級保護要求，按照數據所屬行業領域進行分類分級管理，依據以下原則對數據進行分類分級。

a) 科學實用原則：

從便於數據管理和使用的角度，科學選擇常見、穩定的屬性或特徵作為數據分類的依據，並結合實際需要對數據進行細化分類。

b) 邊界清晰原則：

數據分級的各級別應邊界清晰，對不同級別的數據採取相應的保護措施。

c) 就高從嚴原則：

採用就高不就低的原則確定數據級別，當多個因素可能影響數據分級時，按照可能造成的各個影響對象的最高影響程度確定數據級別。

d) 點面結合原則：

數據分級既要考慮單項數據分級，也要充分考慮多個領域、群體或區域的數據匯聚融合後的安全影響，綜合確定數據級別。

e) 動態更新原則：

根據數據的業務屬性、重要性和可能造成的危害程度的變化，對數據分類分級、重要數據目錄等進行定期審核更新。

5 數據分類規則

5.1 數據分類框架

數據按照先行業領域分類、再業務屬性分類的思路進行分類。

a) 按照行業領域，將數據分為工業數據、電信數據、金融數據、能源數據、交通運輸數據、自然資源數據、衛生健康數據、教育數據、科學數據等。

b) 各行業各領域主管（監管）部門根據本行業本領域業務屬性，對本行業領域數據進行細化分類。常見業務屬性包括但不限於：

1) 業務領域：按照業務範圍、業務種類或業務功能進行細化分類；

2) 責任部門：按照數據管理部門或職責分工進行細化分類；

3) 描述對象：按照數據描述的對象進行細化分類；

注1：按照描述對象分為用戶數據、業務數據、經營管理數據、系統運維數據，見附錄A的A.1。

4) 流程環節：按照業務流程、產業鏈環節進行細化分類；

注2：能源數據按照流程環節分為探勘、開採、生產、加工、銷售、使用等數據。

5) 數據主體：按照數據主體或屬主進行細化分類；

注3：按照數據主體分為公共數據、組織數據、個人信息，見A.2。

6) 內容主題：按照數據描述的內容主題進行細化分類；

7) 數據用途：按照數據處理目的、用途進行細化分類；

8) 數據處理：按照數據處理活動或數據加工程度進行細化分類；

9) 數據來源：按照數據來源、收集方式進行細化分類。

c) 如涉及法律法規有專門管理要求的數據類別（如個人信息等），應按照有關規定和標準進行識別和分類。

注4：個人信息分類示例見附錄B，敏感個人信息識別和分類見敏感個人信息國家標準。

5.2 數據分類方法

數據分類可根據數據管理和使用需求，結合已有數據分類基礎，靈活選擇業務屬性將數據細化分類。具體參考以下步驟開展行業領域數據分類。

a) 明確數據範圍：按照行業領域主管（監管）部門職責，明確本行業本領域管理的數據範圍。

b) 細化業務分類：對本行業本領域業務進行細化分類，包括：

1) 結合部門職責分工，明確行業領域或業務條線的分類；

注1：工業領域數據，按照部門職責分成原材料、裝備製造、消費品、電子信息製造、軟體和信息技術服務等類別。

2) 按照業務範圍、運營模式、業務流程等，細化行業領域或明確各業務條線的關鍵業務分類。

注2：原材料分為鋼鐵、有色金屬、石油化工等；裝備製造分為汽車、船舶、航空、航天、工業母機、工程機械等。

c) 業務屬性分類：選擇合適的業務屬性，對關鍵業務的數據進行細化分類。

d) 確定分類規則：梳理分析各關鍵業務的數據分類結果，根據行業領域數據管理和使用需求，確定行業領域數據分類規則，例如：

1) 可採取“業務條線—關鍵業務—業務屬性分類”的方式給出數據分類規則； 全國網路安全標準化技術委員會

注3：鋼鐵數據按照數據描述對象，分為用戶數據、業務數據、經營管理數據、系統運維數據等，業務數據細分為研發設計數據、控制信息、工藝參數等，其中研發設計數據類別能標識為“工業數據-原材料數據-鋼鐵數據-業務數據-研發設計數據”。

2) 也可對關鍵業務的數據分類結果進行歸類分析，將具有相似主題的數據子類進行歸類。

注4：工業領域數據也按照數據處理、流程環節等業務屬性進行分類，首先按照數據處理者類型分為工業企業工業數據、平台企業工業數據，再將工業企業工業數據分為研發數據、生產數據、運維數據、管理數據、外部數據，然後按照數據主題將生產數據分為控制信息、工況狀態、工藝參數、系統日誌等。

6 數據分級規則

6.1 數據分級框架

根據數據在經濟社會發展中的重要程度，以及一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，對國家安全、經濟運行、社會秩序、公共利益、組織權益、個人權益造成的危害程度，將數據從高到低分為核心數據、重要數據、一般數據三個級別。

6.2 數據分級方法

數據分級是為了保護數據安全，具體可參考以下步驟進行數據分級。

a) 確定分級對象：確定待分級的數據，如數據項、數據集、衍生數據、跨行業領域數據等。

注1：數據項通常表現為資料庫表某一列欄位等。數據集是由多個數據記錄組成的集合，如資料庫表、資料庫一行或多行記錄集合、數據檔案等。

注2：跨行業領域數據是指某個行業領域收集或產生的數據流轉到另一個行業領域，以及兩個或兩個以上行業領域的數據融合加工產生的數據。

b) 分級要素識別：結合自身數據特點，按照6.3識別數據涉及的分級要素情況。

c) 數據影響分析：結合數據分級要素識別情況，分析數據一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，可能影響的對象（見6.4.1）和影響程度（見6.4.2）。

d) 綜合確定級別：按照6.5和6.6，綜合確定數據級別。

6.3 數據分級要素

影響數據分級的要素，包括數據的領域、群體、區域、精度、規模、深度、覆蓋度、重要性等，其中領域、群體、區域、重要性通常屬於定性描述的分級要素，精度、規模、覆蓋度屬於定量描述的分級要素，深度通常作為衍生數據的分級要素。數據分級應首先識別以下數據分級要素情況，具體考慮因素見附錄C。

a) 領域：數據描述的業務或內容範疇。數據領域可識別數據描述的行業領域、業務條線、流程環節、內容主題等因素。

b) 群體：數據主體或描述對象集合。數據群體可識別數據描述的人群、組織、網路和信息系統、資源物資等因素。

c) 區域：數據涉及的地區範圍。數據區域可識別數據描述的行政區劃、特定地區等因素。

d) 精度：數據的精確或準確程度。數據精度可識別數值精度、空間精度、時間精度等因素。

e) 規模：數據規模及數據描述的對象範圍或能力大小。數據規模可識別數據存儲量、群體規模、區域規模、領域規模、生產加工能力等因素。

f) 深度：通過數據統計、關聯、挖掘或融合等加工處理，對數據描述對象的隱含信息或多維度細節信息的刻畫程度。數據深度可識別數據在刻畫描述對象的經濟運行、發展態勢、行蹤軌跡、活動記錄、對象關係、歷史背景、產業供應鏈等方面的情況。

g) 覆蓋度：數據對領域、群體、區域、時段等的覆蓋分布或疏密程度。數據覆蓋度可識別對領域、群體、區域、時間段的覆蓋占比、覆蓋分布等因素。

h) 重要性：數據在經濟社會發展中的重要程度。重要性可識別數據在經濟建設、政治建設、文化建設、社會建設、生態文明建設等方面的重要程度。

6.4 數據影響分析

6.4.1 影響對象

影響對象是指數據面臨安全風險時，可能影響的對象。其中，安全風險主要考慮數據遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享等風險，見附錄D。影響對象通常包括國家安全、經濟運行、社會秩序、公共利益、組織權益、個人權益，判斷影響對象的常見考慮因素見附錄E。

a) 國家安全：影響國家政治、國土、軍事、經濟、文化、社會、科技、電磁空間、網路、生態、資源、核、海外利益、太空、極地、深海、生物、人工智慧等國家利益安全。

b) 經濟運行：影響市場經濟運行秩序、巨觀經濟形勢、國民經濟命脈、行業領域產業發展等經濟運行機制。

c) 社會秩序：影響社會治安和公共安全、社會日常生活秩序、民生福祉、法治和倫理道德等社會秩序。

d) 公共利益：影響社會公眾使用公共服務、公共設施、公共資源或影響公共健康安全等公共利益。

e) 組織權益：影響組織自身或其他組織的生產運營、聲譽形象、公信力、智慧財產權等組織權益。

f) 個人權益：影響自然人的人身權、財產權、隱私權、個人信息權益等個人權益。

6.4.2 影響程度

影響程度是指數據一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，可能造成的影響程度。影響程度從高到低可分為特別嚴重危害、嚴重危害、一般危害。對不同影響對象進行影響程度判斷時，採取的基準不同。如果影響對象是國家安全、經濟運行、社會秩序或公共利益，則以國家、社會或行業領域的整體利益作為判斷影響程度的基準。如果影響對象僅是組織或個人權益，則以組織或公民個人的權益作為判斷影響程度的基準。開展數據影響分析時，應按照以下規則確定影響程度，影響程度參考示例見附錄F。

a) 當影響對象是國家安全時：

1) 如果直接影響政治安全，應將影響程度確定為特別嚴重危害；

2) 如果關係其他國家安全重點領域，應將影響程度確定為嚴重危害；

3) 其他直接危害國家安全的情形，應將影響程度確定為一般危害。

b) 當影響對象是經濟運行時：

1) 如果關係國民經濟命脈，應將影響程度確定為特別嚴重危害；

2) 如果直接危害巨觀經濟運行，或對行業領域或地區的經濟發展造成嚴重危害，應將影響程度確定為嚴重危害。

c) 當影響對象是社會秩序時：

1) 如果關係重要民生，應將影響程度確定為特別嚴重危害；

2) 如果直接危害社會穩定，應將影響程度確定為嚴重危害。

d) 當影響對象是公共利益時：

1) 如果關係重大公共利益，應將影響程度確定為特別嚴重危害；

2) 如果直接危害公共健康和安全，應將影響程度確定為嚴重危害。

e) 當影響對象是個人或組織權益時，如果影響大規模的個人或組織權益，需要同時研判是否會對國家安全、經濟運行、社會秩序或公共利益造成影響以及影響程度。

6.5 級別確定規則

核心數據、重要數據、一般數據的確定規則如下，數據級別與影響對象、影響程度的對應關係見表1。

a) 滿足以下任一條件的數據，識別為核心數據：

1) 數據一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，直接對國家安全造成特別嚴重危害（如直接影響政治安全）或嚴重危害（如關係其他國家安全重點領域）；

2) 數據一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，直接對經濟運行造成特別嚴重危害（如關係國民經濟命脈）；

3) 數據一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，直接對社會秩序造成特別嚴重危害（如關係重要民生）；

4) 數據一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，直接對公共利益造成特別嚴重危害（如關係重大公共利益）；

5) 對領域、群體、區域具有較高覆蓋度，直接影響政治安全的重要數據；

6) 達到較高精度、較大規模、較高重要性或深度，直接影響政治安全的重要數據；

7) 經有關部門評估確定的核心數據。

b) 滿足以下任一條件的數據，識別為重要數據：

1) 數據一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，直接對國家安全造成一般危害；

2) 數據一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，直接對經濟運行造成嚴重危害；

3) 數據一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，直接對社會秩序造成嚴重危害（如影響社會穩定）；

4) 數據一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，直接對公共利益造成嚴重危害（如危害公共健康和安全）；

5) 數據直接關係國家安全、經濟運行、社會穩定、公共健康和安全的特定領域、特定群體或特定區域；

6) 數據達到一定精度、規模、深度或重要性，直接影響國家安全、經濟運行、社會穩定、公共健康和安全；

7) 經行業領域主管（監管）部門評估確定的重要數據。

c) 未識別為核心數據、重要數據的其他數據，確定為一般數據。

表1 數據級別確定規則表

影響對象	-	影響程度	-
	特別嚴重危害	嚴重危害	一般危害
國家安全	核心數據	核心數據	重要數據
經濟運行	核心數據	重要數據	一般數據
社會秩序	核心數據	重要數據	一般數據
公共利益	核心數據	重要數據	一般數據
組織權益、個人權益	一般數據	一般數據	一般數據

註：如果影響大規模的個人或組織權益，影響對象可能不只包括個人權益或組織權益，也可能對國家安全、經濟運行、社會秩序或公共利益造成影響。

6.6 綜合確定級別

在分級要素識別、數據影響分析的基礎上，按照以下規則確定數據級別。

a) 應按照6.5規定的數據級別確定規則，識別核心數據、重要數據和一般數據。

b) 重要數據的識別，在符合6.5 b) 的基礎上應按照附錄G執行。

c) 如待分級數據涉及多個要素、多個影響對象或影響程度，應按照就高從嚴原則確定數據級別。

d) 數據集級別可在數據項級別的基礎上，按照就高從嚴的原則，將數據集包含數據項的最高級別作為數據集默認級別，但同時也要考慮分級要素（如數據規模）變化可能需要調高級別。

註：數據集中各數據項級別與數據集級別不一定相同，具體要根據該數據項的影響對象和影響程度進行判斷。

e) 在6.1規定的數據分級框架下，如還需對一般數據進行細化分級保護，可參考附錄H對一般數據進行分級。

f) 衍生數據級別可按照就高從嚴原則，在原始數據級別的基礎上，綜合考慮加工後的數據深度等分級要素對國家安全、經濟運行、社會秩序、公共利益、組織權益、個人權益的影響進行確定，具體見附錄I。

g) 跨行業領域數據分級，原則上可按照數據來源的行業領域數據分級規則確定級別，如果存在跨行業領域數據融合加工，需考慮融合加工對數據分級要素的影響，按照衍生數據確定級別。

h) 根據數據重要程度和可能造成的危害程度的變化，應對數據級別進行動態更新，更新情形見附錄J。

7 數據分類分級流程

7.1 行業領域數據分類分級流程

行業領域主管（監管）部門在遵循國家有關規定要求的基礎上，可參考以下步驟開展行業領域數據分類分級工作。

a) 制定行業標準規範：按照國家數據分類分級保護有關要求，參照本檔案制定本行業本領域的數據分類分級標準規範，重點可明確以下內容：

1) 明確行業數據分類細則，確定數據分類所依據的業務屬性，給出按照業務屬性劃分的數據類別；

2) 分析行業領域數據的領域、群體、區域、精度、規模、深度、重要性等分級要素，明確本行業本領域重要數據識別細則，確定哪些數據可確定為重要數據；

3) 明確本行業本領域核心數據識別細則，提出哪些數據建議確定為核心數據；

4) 明確本行業本領域一般數據範圍。

b) 開展數據分類分級：行業領域主管（監管）部門，根據本行業本領域的數據分類分級標準規範，組織本行業本領域數據處理者開展數據分類分級工作，指導數據處理者準確識別、及時報送重要數據和核心數據目錄信息。

7.2 處理者數據分類分級流程

數據處理者進行數據分類分級時，應在遵循國家和行業領域數據分類分級要求的基礎上，參考以下步驟開展數據分類分級工作。

a) 數據資產梳理：對數據資產進行全面梳理，確定待分類分級的數據資產及其所屬的行業領域。

b) 制定內部規則：按照行業領域數據分類分級標準規範，結合處理者自身數據特點，參考本檔案制定自身的數據分類分級細則：

1) 如行業領域主管部門已制定行業領域數據分類分級規則，處理者應結合自身實際參考本檔案的數據分類分級方法，按照行業領域數據分類分級規則細化執行；

2) 如所屬行業領域沒有行業主管部門認可的數據分類分級標準規範的，或存在行業領域規範未覆蓋的數據類型，按照本檔案進行數據分類分級；

3) 如果業務涉及多個行業領域，可在參考本檔案的基礎上，分別按照各個行業領域的數據分類分級標準規範細化執行。

c) 實施數據分類：對數據進行分類，並對公共數據、個人信息等特殊類別數據進行識別和分類。

d) 實施數據分級：對數據進行分級，確定核心數據、重要數據和一般數據的範圍。

註：由於一般數據涵蓋範圍較廣，數據處理者結合組織自身安全需求，參考附錄H對一般數據進行細化分級。

e) 審核上報目錄：對數據分類分級結果進行審核，形成數據分類分級清單、重要數據和核心數據目錄，並對數據進行分類分級標識，按有關程式報送目錄。

f) 動態更新管理：根據數據重要程度和可能造成的危害程度變化，對數據分類分級規則、重要數據和核心數據目錄、數據分類分級清單和標識等進行動態更新管理，動態更新情形見附錄J。

附錄A

（資料性） 基於描述對象與數據主體的數據分類參考

A.1 基於描述對象的數據分類參考

從數據描述對象角度，可將數據分為用戶數據、業務數據、經營管理數據、系統運維數據四個類別，數據分類參考示例見表A.1。

表A.1 基於描述對象的數據分類參考示例 

數據類別	類別定義	示例
用戶數據	在開展業務服務過程中從個人用戶或組織用戶收集的數據，以及在業務服務過程中產生的歸屬於用戶的數據	如個人信息、組織用戶信息（如組織基本信息、組織賬號信息、組織信用信息等）
業務數據	在業務的研發、生產、運營過程中收集和產生的非用戶類數據	參考業務所屬的行業數據分類分級，結合自身業務特點進行細分，如產品數據、契約協定等
經營管理數據	數據處理者在單位經營和內部管理過程中收集和產生的數據	如經營戰略、財務數據、併購融資信息、人力資源數據、市場行銷數據等
系統運維數據	網路和信息系統運行維護、日誌記錄及網路安全數據	如網路設備和信息系統的配置數據、日誌數據、安全監測數據、安全漏洞數據、安全事件數據等

A.2 基於數據主體的數據分類參考

從數據主體角度，可將數據分為公共數據、組織數據、個人信息三個類別，數據分類參考示例見表A.2。

表A.2 基於數據主體的數據分類參考示例

數據分類	類別定義	示例
公共數據	各級政務部門、具有公共管理和服務職能的組織及其技術支撐單位，在依法履行公共事務管理職責或提供公共服務過程中收集、產生的數據	如政務數據，在供水、供電、供氣等公共服務運營過程中收集和產生的數據等
組織數據	組織在自身生產經營活動中收集、產生的不涉及個人信息和公共利益的數據	如不涉及個人信息和公共利益的業務數據、經營管理數據、系統運維數據等
個人信息	以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息	如個人身份信息、個人生物識別信息、個人財產信息、個人通信信息、個人位置信息、個人健康生理信息等

附錄B

（資料性） 個人信息分類示例

表B.1參考GB/T 35273—2020給出了個人信息的一級類別、二級類別和典型數據示例。

表B.1 個人信息分類參考示例

一級類別	二級類別	典型示例和說明
個人基本資料	個人基本資料	自然人基本情況信息，如個人姓名、生日、年齡、性別、民族、國籍、籍貫、政治面貌、婚姻狀況、家庭關係、住址、個人電話號碼、電子郵件地址、興趣愛好等
個人身份信息	個人身份信息	可直接標識自然人身份的信息，如身份證、軍官證、護照、駕駛證、工作證、社保卡、居住證、港澳台通行證等證件號碼、證件照片或影印件等。其中特定身份信息屬於敏感個人信息，具體參見敏感個人信息國家標準
個人生物識別信息	生物識別信息	個人面部識別特徵、虹膜、指紋、基因、聲紋、步態、耳廓、眼紋等生物特徵識別信息，包括生物特徵識別原始信息（如樣本、圖像）、比對信息（如特徵值、模板）等
網路身份標識信息	網路身份標識信息	可標識網路或通信用戶身份的信息及賬戶相關資料信息（金融賬戶除外），如用戶賬號、用戶ID、即時通信賬號、網路社交用戶賬號、用戶頭像、暱稱、個性簽名、IP位址等
個人健康生理信息	健康狀況信息	與個人身體健康狀況相關的個人信息，如體重、身高、體溫、肺活量、血壓、血型等
	醫療健康信息	個人因疾病診療等醫療健康服務產生的相關信息，如醫療就診記錄、生育信息、既往病史等，具體範圍參見敏感個人信息國家標準
個人教育工作信息	個人教育信息	個人教育和培訓的相關信息，如學歷、學位、教育經歷、學號、成績單、資質證書、培訓記錄、獎懲信息、受資助信息等
	個人工作信息	個人求職和工作的相關信息，如個人職業、職位、職稱、工作單位、工作地點、工作經歷、工資、工作表現、簡歷、離退休狀況等
個人財產信息	金融賬戶信息	金融賬戶及鑑別相關信息，如銀行、證券等賬戶的賬號、密碼等，具體參見敏感個人信息國家標準
	個人交易信息	交易過程中產生的交易信息和消費記錄，如交易訂單、交易金額、支付記錄、透支記錄、交易狀態、交易日誌、交易憑證、賬單，證券委託、成交、持倉信息，保單信息、理賠信息等
	個人資產信息	個人實體和虛擬財產信息，如個人收入狀況、房產信息、存款信息、車輛信息、納稅額、公積金繳存明細、銀行流水、虛擬財產（如虛擬貨幣、虛擬交易、遊戲類兌換碼等）等
	個人借貸信息	個人在借貸過程中產生的信息，如個人借款信息、還款信息、欠款信息、信貸記錄、徵信信息、擔保情況等
身份鑑別信息	身份鑑別信息	用於個人身份鑑別的數據，如賬號口令、數字證書、簡訊驗證碼、密碼提示問題等
個人通信信息	個人通信信息	通信記錄，簡訊、彩信、話音、電子郵件、即時通信等通信內容（如文字、圖片、音頻、視頻、檔案等），及描述個人通信的元數據（如通話時長）等
聯繫人信息	聯繫人信息	描述個人與關聯方關係的信息，如通訊錄、好友列表、群列表、電子郵件地址列表、家庭關係、工作關係、社交關係、父母或監護人信息、配偶信息等
個人上網記錄	個人操作記錄	個人在業務服務過程中的操作記錄和行為數據，包括網頁瀏覽記錄、軟體使用記錄、點擊記錄、Cookie、發布的社交信息、點擊記錄、收藏列表、搜尋記錄、服務使用時間、下載記錄等
	業務行為數據	用戶使用某業務的行為記錄（如遊戲業務：用戶遊戲登錄時間、最近充值時間、累計充值額度、用戶通關記錄）等
個人設備信息	可變更的唯一設備識別碼	Android ID、廣告標識符（IDFA）、套用開發商標識符（IDFV）、開放匿名設備標識符（OAID）等
	不可變更的唯一設備識別碼	國際移動設備識別碼（IMEI）、移動設備識別碼（MEID）、設備媒體訪問控制（MAC）地址、硬體序列號等
	套用軟體列表	用戶在終端上安裝的應用程式列表，如每款套用軟體的名稱、版本等
個人位置信息	粗略位置信息	僅能定位到行政區、縣級等的位置信息，如地區代碼、城市代碼等
	行蹤軌跡信息	與個人所處地理位置、活動地點和活動軌跡等相關的信息，具體範圍參見敏感個人信息國家標準
	住宿出行信息	個人住宿信息，及乘坐飛機、火車、汽車、輪船等交通出行信息等
個人標籤信息	個人標籤信息	基於個人上網記錄等加工產生的個人用戶標籤、畫像信息，如行為習慣、興趣偏好等
個人運動信息	個人運動信息	步數、步頻、運動時長、運動距離、運動方式、運動心率等
其他個人信息	其他個人信息	性取向、婚史、宗教信仰、未公開的違法犯罪記錄等

附錄C

（資料性） 數據分級要素識別常見考慮因素

C.1 數據領域、群體、區域考慮因素

數據的領域、群體、區域識別常見考慮因素，包括但不限於以下內容。

——數據領域識別的常見考慮因素，例如：

•行業領域；

•業務條線、業務類目；

•生產經營活動；

•流程環節；

•內容主題；

•與國家安全、經濟運行、社會秩序、公共利益相關的領域等。

——數據群體識別的常見考慮因素，例如：

•人群；

•團體、單位、組織；

•網路、信息系統、數據中心；

•資源、原材料、物資；

•元器件、設備；

•項目；

•基礎設施；

•與國家安全、經濟運行、社會秩序、公共利益相關的群體等。

——數據區域識別的常見考慮因素，例如：

•行政區劃；

•特定地區；

•地理環境；

•重要場所；

•網路空間；

•與國家安全、經濟運行、社會秩序、公共利益相關的區域等。

C.2 數據精度考慮因素

數據精度識別的常見考慮因素，例如：

——數值精度，如統計指標的精度等；

——空間精度，如位置定位精度、數字地圖精度等；

——時間精度，如年度、季度、月度、日度等；

——生產工藝精密度，如積體電路精細度、機械加工精度等；

——視頻圖像高清度；

——遙測遙感精度；

——儀器儀表精度。

C.3 數據規模考慮因素

數據規模識別的常見考慮因素，例如：

——數據存儲量；

——企業市值（估值）；

——設備或裝備容量；

——生產、加工、控制、吞吐、輸送、儲存能力；

——資源儲量；

——交易量；

——群體規模，如用戶規模、系統或設備數量、生產加工單元數量、基礎設施數量、項目數量等。

C.4 數據深度考慮因素

數據深度識別的常見考慮因素，例如：

——經濟運行情況統計；

——產業發展態勢分析；

——領域、群體或區域的特徵分析，如人群或用戶特徵分析；

——行蹤軌跡；

——對象關係；

——歷史信息；

——產業供應鏈。

C.5 數據覆蓋度考慮因素

數據覆蓋度識別的常見考慮因素，例如：

——領域覆蓋分布或密度，如領域覆蓋占比、領域覆蓋分布、領域覆蓋密度等；

——群體覆蓋分布或密度，如群體覆蓋占比、群體覆蓋分布、人口密度等；

——區域覆蓋分布或密度，如行政區劃覆蓋度、區域覆蓋分布、區域覆蓋密度等；

——時段覆蓋分布或密度，如時間段覆蓋度、時間段覆蓋分布、時間段覆蓋密度等。

C.6 數據重要性考慮因素

數據重要性識別常見考慮因素，例如：

a) 在數字經濟建設中的重要程度，如數字基礎設施建設、數據要素市場流通、產業數位化轉型、數位化產業競爭力等；

b) 在數字政府和政治建設中的重要程度，如政務數據共享、公共數據開放和開發利用、數位化政務服務、監管治理體系建設、政治制度、法律司法等；

c) 在文化建設中的重要程度，如教育、科學、文學藝術、新聞出版、廣播電視、衛生體育、圖書館、博物館、網路空間等各項文化事業；

d) 在社會建設中的重要程度，如公共服務數位化、智慧城市、數字生活建設、住建、數字農村等；

e) 在生態文明建設中的重要程度，如自然資源、生態環境、交通、水利、氣象、林草、地震等；

f) 在國家安全、維護社會穩定等工作的重要程度，如涉外數據對維護和塑造國家安全意義重大。

附錄D

（資料性） 安全風險常見考慮因素

數據影響分析通常考慮以下安全風險。

a) 數據泄露：數據竊取、未授權訪問數據、違規導出數據等破壞數據保密性風險。

b) 數據篡改：未授權修改、注入、仿冒、偽造數據等破壞數據完整性風險。

c) 數據損毀：也稱數據破壞，數據被損毀、數據質量下降、數據訪問或使用中斷等破壞數據可用性風險。

d) 非法獲取數據：違反法律、行政法規等有關規定，超範圍收集、強制授權、非法獲取公民個人信息等違法違規收集數據風險。

e) 非法使用數據：也稱非法利用數據，違反法律、行政法規等有關規定，使用、加工、委託處理數據。

f) 非法共享數據：違反法律、行政法規等有關規定，向他人提供、交換、轉移、交易、出境、公開數據。

附錄E

（資料性） 影響對象考慮因素

E.1 國家安全

判斷數據是否可能影響國家安全，常見考慮因素包括但不限於：

a) 影響國家政權安全、政治制度安全、意識形態安全、民族和宗教政策安全；

b) 影響領土安全、國家統一、邊疆安全和國家海洋權益；

c) 影響基本經濟制度安全、供給側結構性改革、糧食安全、能源安全、重要資源安全、系統性金融風險、國際開放合作安全；

d) 影響國家科技實力、科技自主創新、關鍵核心技術、國際科技競爭力、科技倫理風險、出口管制物項；

e) 影響社會主義核心價值觀、文化軟實力、中華優秀傳統文化等；

f) 影響國家社會治理體系、社會治安防控體系、應急管理體系等；

g) 影響生態環境安全、綠色生態發展、污染防治、生態系統質量和穩定性、生態環境領域國家治理體系等；

h) 影響國防和軍隊現代化建設等，或者可被其他國家或組織利用發起對我國的軍事打擊；

i) 影響電磁空間、網路空間安全、關鍵信息基礎設施安全、人工智慧安全，或者可能被利用實施對關鍵信息基礎設施、核心技術設備等的網路攻擊，可能導致特別重大或重大網路安全和數據安全事件；

j) 影響核材料、核設施、核活動情況，或可被利用造成核破壞或其他核安全事件；

k) 影響國家生物安全治理體系、生物資源和人類遺傳資源安全、生命安全和生物安全領域的重大科技成果、疾病防控和公共衛生應急體系安全，或者可能導致重大傳染病、重大生物安全風險；

l) 影響在太空、深海、極地等領域的國家利益和國際合作安全；

m) 影響海外重大項目和人員機構安全、海外能源資源安全、海上戰略通道安全等。

E.2 經濟運行

判斷數據是否可能影響經濟運行，常見考慮因素包括但不限於：

a) 影響市場準入、市場行為、市場結構、商品銷售、交換關係、生產經營秩序、涉外經濟關係等市場經濟運行秩序；

b) 影響社會總供給和總需求、國民經濟總值和增長速度、國民經濟中主要比例關係、物價總水平、勞動就業總水平與失業率、貨幣發行總規模與增長速度、進出口貿易總規模與變動等巨觀經濟形勢；

c) 影響涉及國家安全的行業、支柱產業和高新技術產業中的重要骨幹企業、提供重要公共產品的行業、重大基礎設施和重要礦產資源行業等國民經濟命脈；

d) 影響行業領域或地區的經濟發展、業務生產、技術進步、產業生態等。

E.3 社會秩序

判斷數據是否可能影響社會秩序，常見考慮因素包括但不限於：

a) 影響社會穩定，可能引發社會恐慌，導致重大突發事件、群體性事件、暴力恐怖活動、社會治安問題等；

b) 影響人民民眾的民生保障或日常生活秩序，如扶貧、就業、收入、教育、文體、健康、養老、社保等民生事項或供電、供氣、供水等基本服務保障工程；

c) 影響國家機關、企事業單位、社會團體的生產秩序、經營秩序、教學科研秩序、醫療衛生秩序；

d) 影響各級政務部門依法履行公共管理和服務職能；

e) 影響司法領域的公正、公信或權威性；

f) 影響公共場所的活動秩序、公共運輸秩序。

E.4 公共利益

判斷數據是否可能影響公共利益，常見考慮因素包括但不限於：

a) 影響對重大疾病（尤其是傳染病）的預防、監控和治療，或者可能引發突發公共衛生事件、造成社會公眾健康危害；

b) 影響社會成員使用公共設施；

c) 影響社會成員獲取公開數據資源；

d) 影響社會成員接受公共服務等方面；

e) 其他影響公共利益、社會秩序的數據。

E.5 組織權益

判斷數據是否可能影響組織權益，常見考慮因素包括但不限於：

a) 導致組織遭到監管部門處罰、安全事件或法律訴訟；

b) 影響組織的重要或關鍵業務生產經營；

c) 造成組織經濟損失；

d) 破壞組織聲譽形象、公信力等；

e) 影響組織的智慧財產權、商業秘密、技術損失等；

f) 影響組織的公平競爭利益；

g) 其他影響法人、非法人組織合法權益的數據。

E.6 個人權益

判斷數據是否可能影響個人權益，常見考慮因素包括但不限於：

a) 影響個人私人活動、私有領域、私密部位等個人隱私；

b) 影響自然人的人格尊嚴；

c) 影響自然人的人身安全；

d) 影響自然人的財產安全；

e) 影響個人在個人信息處理活動中的權利，如選擇權、知情權、拒絕權等；

f) 其他影響個人權益的數據。

附錄F

（資料性） 影響程度參考示例

表F.1給出了不同影響對象對應的影響程度參考示例。

表F.1 影響程度參考示例 

影響對象	影響程度	參考說明
國家安全	特別嚴重危害	直接影響國家政治安全
	嚴重危害	關係其他國家安全重點領域，或者對國土、軍事、經濟、文化、社會、科技、電磁空間、網路、生態、資源、核、海外利益、太空、極地、深海、生物、人工智慧等安全造成嚴重威脅
	一般危害	對國土、軍事、經濟、文化、社會、科技、電磁空間、網路、生態、資源、核、海外利益、太空、極地、深海、生物、人工智慧等安全造成威脅
經濟運行	特別嚴重危害	1) 直接影響關係國民經濟命脈的重要行業和關鍵領域的經濟利益安全，如涉及國家安全的行業、提供重要公共產品的行業、重要資源行業等 2) 直接影響關係國民經濟命脈的重點產業、重大基礎設施、重大建設項目以及其他重大經濟利益安全 3) 對一個或多個行業領域的經濟發展、業務生產、技術進步、產業生態造成特別嚴重危害，如對支柱產業和高新技術產業中的重要骨幹企業造成重大損害，導致大面積業務中斷、大量業務處理能力喪失等 4) 對一個或多個省級行政區的經濟運行造成特別嚴重危害，例如導致大範圍停工停產、大規模基礎設施長時間中斷運行等
	嚴重危害	1) 直接影響巨觀經濟運行狀況和發展趨勢，如社會總供給和總需求、國民經濟總值和增長速度、國民經濟主要比例關係、物價總水平、勞動就業總水平與失業率、貨幣發行總規模與增長速度、進出口貿易總規模與變動等 2) 直接影響一個或多個地區、行業內多個企業或大規模用戶，對行業發展、技術進步和產業生態等造成嚴重影響，或者直接影響行業領域核心競爭力、核心業務運行、關鍵產業鏈、核心供應鏈等
	一般危害	1) 對單個行業領域發展、業務經營、技術進步、產業生態等造成一般危害，如受影響的用戶和企業數量較小、生產生活區域範圍較小、持續時間較短、社會負面影響較小 2) 對單個行業領域或地區的經濟運行造成一般危害
社會秩序	特別嚴重危害	1) 關係重要民生，直接影響人民民眾重要民生保障的事項、物資、工程或項目等 2) 直接導致特別重大突發事件、特別重大群體性事件、暴力恐怖活動等，引起一個或多個省級行政區大部分地區的社會恐慌，嚴重影響社會正常運行
	嚴重危害	1) 直接導致重大突發事件、重大群體性事件等，影響一個或多個地區的社會穩定 2) 嚴重影響人民民眾的日常生活秩序 3) 嚴重影響各級政務部門履行公共管理和服務職能 4) 嚴重影響法治和社會倫理道德規範
	一般危害	1) 對人民民眾的日常生活秩序造成一般影響 2) 直接影響企事業單位、社會團體的生產秩序、經營秩序、教學科研秩序、醫療衛生秩序 3) 直接影響公共場所的活動秩序、公共運輸秩序
公共利益	特別嚴重危害	1) 關係重大公共利益，導致一個或多個省級行政區大部分地區的社會公共資源供應長期、大面積癱瘓，大範圍社會成員（如1000萬人以上）無法使用公共設施、獲取公開數據資源、接受公共服務 2) 導致特別重大網路安全和數據安全事件，或者導致特別重大事故級別的安全生產事故，對公共利益造成特別嚴重影響，社會負面影響大 3) 導致特別重大突發公共衛生事件（Ⅰ級），造成社會公眾健康特別嚴重損害的重大傳染病疫情、群體性不明原因疾病、重大食物和職業中毒等嚴重影響公眾健康的事件
	嚴重危害	1) 直接危害公共健康和安全，如嚴重影響疫情防控、傳染病的預防監控和治療等 2) 導致重大突發公共衛生事件（Ⅱ級），造成社會公眾健康嚴重損害的重大傳染病疫情、群體性不明原因疾病、重大食物和職業中毒等嚴重影響公眾健康的事件 3) 導致一個或多個地市大部分地區的社會公共資源供應較長期中斷，較大範圍社會成員（如100萬人以上）無法使用公共設施、獲取公開數據資源、接受公共服務
	一般危害	對公共利益產生一般危害，影響小範圍社會成員使用公共設施、獲取公開數據資源、接受公共服務等
組織權益	特別嚴重危害	導致組織遭到監管部門嚴重處罰（如取消經營資格、長期暫停相關業務等），或者影響重要/關鍵業務無法正常開展的情況，造成重大經濟或技術損失，嚴重破壞機構聲譽，企業面臨破產
	嚴重危害	導致組織遭到監管部門處罰（如一段時間內暫停經營資格或業務等），或者影響部分業務無法正常開展的情況，造成較大經濟或技術損失，破壞機構聲譽
	一般危害	導致個別訴訟事件，或在某一時間造成部分業務中斷，使組織的經濟利益、聲譽、技術等輕微受損
個人權益	特別嚴重危害	個人信息主體遭受重大的、不可消除的、可能無法克服的影響，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害。如遭受無法承擔的債務、失去工作能力、導致長期的心理或生理疾病、導致死亡等
	嚴重危害	個人信息主體遭受較大影響，個人信息主體克服難度高，消除影響代價較大。如遭受詐欺、資金被盜用、被銀行列入黑名單、信用評分受損、名譽受損、造成歧視、被解僱、被法院傳喚、健康狀況惡化等
	一般危害	個人信息主體會遭受困擾，但尚可以克服。如付出額外成本、無法使用應提供的服務、造成誤解、產生害怕和緊張的情緒、導致較小的生理疾病等

附錄G

（規範性） 重要數據識別指南

重要數據識別應在符合6.5 b) 的基礎上，考慮如下因素：

a) 直接影響領土安全和國家統一，或反映國家自然資源基礎情況，如未公開的領陸、領水、領空數據；

b) 可被其他國家或組織利用發起對我國的軍事打擊，或反映我國戰略儲備、應急動員、作戰等能力，如滿足一定精度指標的地理數據或與戰略物資產能、儲備量有關的數據；

c) 直接影響市場經濟秩序，如支撐關鍵信息基礎設施所在行業、領域核心業務運行或重要經濟領域生產的數據；

d) 反映我國語言文字、歷史、風俗習慣、民族價值觀念等特質，如記錄歷史文化遺產的數據；

e) 反映重點目標、重要場所物理安全保護情況或未公開地理目標的位置，可被恐怖分子、犯罪分子利用實施破壞，如描述重點安保單位、重要生產企業、國家重要資產（如鐵路、輸油管道）的施工圖、內部結構、安防情況的數據；

f) 關係我國科技實力、影響我國國際競爭力，或關係出口管制物項，如反映國家科技創新重大成果，或描述我國禁止出口限制出口物項的設計原理、工藝流程、製作方法的數據，以及涉及原始碼、積體電路布圖、技術方案、重要參數、實驗數據、檢測報告的數據；

g) 反映關鍵信息基礎設施總體運行、發展和安全保護情況及其核心軟硬體資產信息和供應鏈管理情況，可被利用實施對關鍵信息基礎設施的網路攻擊，如涉及關鍵信息基礎設施系統配置信息、系統拓撲、應急預案、測評、運行維護、審計日誌的數據；

h) 涉及未公開的攻擊方法、攻擊工具製作方法或攻擊輔助信息，可被用來對重點目標發起供應鏈攻擊、社會工程學攻擊等網路攻擊，如政府、軍工單位等敏感客戶清單，以及涉及未公開的產品和服務採購情況、未公開重大漏洞情況的數據；

i) 反映自然環境、生產生活環境基礎情況，或可被利用造成環境安全事件，如未公開的與土壤、氣象觀測、環保監測有關的數據；

j) 反映水資源、能源資源、土地資源、礦產資源等資源儲備和開發、供給情況，如未公開的描述水文觀測結果、耕地面積或質量變化情況的數據；

k) 反映核材料、核設施、核活動情況，或可被利用造成核破壞或其他核安全事件，如涉及核電站設計圖、核電站運行情況的數據；

l) 關係海外能源資源安全、海上戰略通道安全、海外公民和法人安全，或可被利用實施對我國參與國際經貿、文化交流活動的破壞或對我國實施歧視性禁止、限制或其他類似措施，如描述國際貿易中特殊物項生產交易以及特殊裝備配備、使用和維修情況的數據；

m) 關係我國在太空、深海、極地等戰略新疆域的現實或潛在利益，如未公開的涉及對太空、深海、極地進行科學考察、開發利用的數據，以及影響人員在上述領域安全進出的數據；

n) 反映生物技術研究、開發和套用情況，反映族群特徵、遺傳信息，關係重大突發傳染病、動植物疫情，關係生物實驗室安全，或可能被利用製造生物武器、實施生物恐怖攻擊，關係外來物種入侵和生物多樣性，如重要生物資源數據、微生物耐藥基礎研究數據；

o) 反映全局性或重點領域經濟運行、金融活動狀況，關係產業競爭力，可造成公共安全事故或影響公民生命安全，可引發群體性活動或影響群體情感與認知，如未公開的統計數據、重點企業商業秘密；

p) 反映國家或地區群體健康生理狀況，關係疾病傳播與防治，關係食品藥品安全，如涉及健康醫療資源、批量人口診療與健康管理、疾控防疫、健康救援保障、特定藥品實驗、食品安全溯源的數據；

q) 其他可能影響國土、軍事、經濟、文化、社會、科技、電磁空間、網路、生態、資源、核、海外利益、太空、極地、深海、生物、人工智慧等安全的數據；

注1：影響國家安全的考慮因素見E.1。

r) 其他可能對經濟運行、社會秩序或公共利益造成嚴重危害的數據。

注2：對經濟運行、社會秩序、公共利益造成嚴重危害的參考示例見表F.1。

具備以上因素之一的數據，可被識別為重要數據。

附錄H

（資料性） 一般數據分級參考

H.1 一般數據分4級參考

按照數據一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，對經濟運行、社會秩序、公共利益或個人、組織合法權益等造成的危害程度，將一般數據從低到高分為1級、2級、3級、4級共四個級別。

a)1級數據：數據一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，不會對個人權益、組織權益等造成危害。1級數據具有公共傳播屬性，可對外公開發布、轉發傳播，但也需考慮公開的數據量及類別，避免由於類別較多或者數量過大被用於關聯分析。

b)2級數據：數據一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，對個人權益、組織權益造成一般危害。2級數據通常在組織內部、關聯方共享和使用，相關方授權後可向組織外部共享。

c)3級數據：數據一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，對個人權益、組織權益造成嚴重危害。3級數據僅可由授權的內部機構或人員訪問，如果要將數據共享到外部，需要滿足相關條件並獲得相關方的授權。

d)4級數據：數據一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，對個人權益、組織權益造成特別嚴重危害，或對經濟運行、社會秩序、公共利益造成一般危害。4級數據按照批准的授權列表嚴格管理，僅能在受控範圍內經過嚴格審批、評估後才可共享或傳播。

H.2 一般數據分3級參考

按照數據一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，對經濟運行、社會秩序、公共利益或個人、組織合法權益等造成的危害程度，將一般數據從低到高分為1級、2級、3級共三個級別。

a)1級數據：數據一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，對個人權益、組織權益造成一般危害或無危害。

b)2級數據：數據一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，對個人權益、組織權益造成嚴重危害。

c)3級數據：數據一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，對個人權益、組織合法權益造成特別嚴重危害，或者對經濟運行、社會秩序、公共利益造成一般危害。

H.3 一般數據分2級參考

按照數據一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，對經濟運行、社會秩序、公共利益或個人、組織合法權益等造成的危害程度，將一般數據從低到高分為1級、2級。

a)1級數據：數據一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，對個人權益、組織權益造成一般、嚴重危害或無危害。

b)2級數據：數據一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，對個人權益、組織權益造成特別嚴重危害，或者對經濟運行、社會秩序、公共利益造成一般危害。

H.4 最低參考級別

一般數據分級應對個人信息、公共數據等特定類型數據設定合理的數據級別，特定類型數據最低參考級別如下。

a)在一般數據分4級框架下，特定類型一般數據的最低參考級別為：

1)敏感個人信息不低於4級，一般個人信息不低於2級；

2)組織內部員工個人信息不低於2級；

3)去標識化的個人信息不低於2級；

4)個人標籤信息不低於2級；

5)有條件開放/共享的公共數據級別不低於2級，禁止開放/共享的公共數據不低於4級。

b)在一般數據3級框架下，特定類型一般數據的最低參考級別為：

1)敏感個人信息不低於3級，一般個人信息不低於2級；

2)有條件開放/共享的公共數據級別不低於2級，禁止開放/共享的公共數據不低於3級。

c)在一般數據2級框架下，敏感個人信息不低於2級，禁止開放/共享的公共數據不低於2級。

附錄I

（資料性） 衍生數據分級參考

按照數據加工程度不同，數據通常可分為原始數據、脫敏數據、標籤數據、統計數據、融合數據，其中脫敏數據、標籤數據、統計數據、融合數據均屬於衍生數據，見表I.1。

表I.1 加工程度維度的數據分類 

數據類別	類別定義	數據示例
原始數據	是指數據的原本形式和內容，未作任何加工處理	如採集的原始數據等
脫敏數據	對敏感數據（如個人信息）採取技術手段進行數據變形處理後的新數據，降低數據敏感性	如去標識化的個人信息等
標籤數據	對用戶行為進行畫像分析，生成用戶標籤數據描述用戶屬性特徵	偏好標籤、關係標籤等
統計數據	是由多個個人或實體對象的數據進行統計或分析後形成的數據	如群體用戶位置軌跡統計信息、群體統計指數、交易統計數據、統計分析報表、分析報告方案等
融合數據	對不同業務目的或群體、區域、領域的數據匯聚，進行挖掘或聚合	如多個業務、多個區域、多個領域的數據整合、匯聚等

衍生數據級別可參考原始數據級別，綜合考慮數據加工對分級要素、影響對象、影響程度的影響，按照第6章進行數據分級：

——脫敏數據級別可比原始數據級別降低；

——標籤數據級別可比原始數據級別降低或升高；

——統計數據級別可比原始數據級別降低或升高；

註：例如，反映國民經濟運行總體情況、行業領域產業發展態勢、影響國家巨觀調控能力的未公開統計數據，可設定比原始數據級別更高的級別；又如，原始數據包含大量原始明細數據，而衍生數據是不敏感的統計特徵，可設定比原始數據級別更低的級別。

——融合數據級別要考慮數據匯聚融合結果，如果結果數據是對大量多維數據進行關聯、分析或挖掘，匯聚了更大規模的原始數據或分析挖掘出更敏感、更深層的數據，級別可以升高，但如果結果數據降低了標識化程度等，級別可以降低。

附錄J

（資料性） 動態更新情形參考

數據分類分級完成後，當數據的業務屬性、重要程度和可能造成的危害程度變化時通常需要進行動態更新，動態更新常見情形包括但不限於：

a) 數據規模變化，導致原有數據的安全級別不再適用；

b) 數據內容未發生變化，但數據時效性、數據規模、數據套用場景、數據加工處理方式等發生顯著變化；

c) 多個原始數據直接合併，導致原有的安全級別不再適用合併後的數據；

d) 因對不同數據選取部分數據進行合併形成的新數據，導致原有數據的安全級別不再適用合併後的數據；

e) 不同數據類型經匯聚融合形成新的數據類別，導致原有的數據級別不再適用於匯聚融合後的數據；

f) 數據進行脫敏或刪除關鍵欄位，或者經過去標識化、匿名化處理；

g) 發生數據安全事件，導致數據敏感性發生變化；

h) 因國家或行業主管部門要求，導致原定的數據級別不再適用；

i) 需要對數據安全級別進行變更的其他情形。

參考文獻

[1]GB/T 21063.4 政務信息資源目錄體系 第4部分：政務信息資源分類

[2]GB/T 35273—2020 信息安全技術 個人信息安全規範

[3]GB/T 39335—2020 信息安全技術 個人信息安全影響評估指南

[4]GB/T 42012—2022 信息安全技術 即時通信服務數據安全要求

[5]GB/T 42013—2022 信息安全技術 快遞物流服務數據安全要求

[6]GB/T 42014—2022 信息安全技術 網上購物服務數據安全要求

[7]GB/T 42015—2022 信息安全技術 網路支付服務數據安全要求

[8]GB/T 42016—2022 信息安全技術 網路音視頻服務數據安全要求

[9]GB/T 42017—2022 信息安全技術 網路預約汽車服務數據安全要求

[10]JR/T 0197—2020 金融數據安全 數據安全分級指南

[11]中華人民共和國數據安全法

[12]中華人民共和國網路安全法

[13]中華人民共和國個人信息保護法