数据分类政策文本制度如何搭建？

探寻合规之道，共筑数据保障之堡。专注为数据安全管理者、技术专家、隐私法务、律师等专业人士打造的知识共享与交流平台。

点击 "合规社" > 点击右上角“···” > 设为星标⭐

□ 作者 | 合规社星球用户奥德丽

物流运输业的法务一员，日常工作里有一小部分涉及个人信息与数据保护，仍在摸爬滚打、努力精进。目前已考取CISP、PIPP、PIPCA、CIPP/E、ISO 27001等证书，其他证书也在学习备考中，继续加油！

网络信息安全方向文本制度搭建（三）

---数据分类政策

▽

写在开头：

在当今数字化时代，信息安全已成为企业管理的重要组成部分。为了保护企业的核心数据和信息资产，建立健全的网络安全制度是必不可少的。

进入正文：

文本制度之（三）数据分类政策

一、引言

本数据分类政策（以下简称“政策”）建立了一个框架，用于根据数据的敏感性、价值和重要性对公司数据进行分类。数据的敏感性分为五个类别，反映了如果数据的机密性、完整性或可用性受到损害，对公司的潜在影响。

数据分类将有助于确定保护数据的基本安全控制措施，并避免数据未经授权泄露、篡改或销毁对公司造成负面影响。

公司通过员工的行为遵守法律，因此遵守本政策是您的责任。本政策是对公司其他数据保护相关政策和程序的补充。

二、范围

本政策适用于公司、其代理机构、员工、数据所有者和数据托管人。具体可以结合公司情况予以完善。

三、法律冲突的解决（可写可不写）

本政策采用了公认的数据分类框架，但不取代代理机构、数据所有者、数据托管人和员工必须遵守的当地法律。这些法律可能有不同的要求。

如果XXX机构认为任何适用的当地法律或法规将阻止其实施本政策，应立即向XXX团队报告此冲突。在这种情况下，公司将向XXX机构提供指导，以达成保护公司利益并遵守适用数据保护法律和法规的解决方案。

四、定义

除非在本政策中另有定义，本政策中使用的术语与公司商业行为准则或公司数据保护政策中的定义相同。

五、数据分类表

每个公司数据应根据以下定义的五个类别之一进行分类（以下简称“数据分类表”）。

高度机密数据：任何非法/未经授权的披露或访问、篡改、不可用性或非法/未经授权处理此类数据将对公司、其客户、员工、数据主体和/或代理机构造成最大影响和/或不可挽回的损害。
机密数据：任何非法/未经授权的披露或访问、篡改、不可用性或非法/未经授权处理此类数据将对公司、其客户、员工、数据主体和/或代理机构造成重大影响和/或不可挽回的损害。
内部数据：此类数据不打算公开消费，而是供公司和代理机构内部使用。默认情况下，未分类的数据将被归类为内部数据。
公开数据：此类数据是专门准备并由管理层明确批准供公众消费的。任何非法/未经授权的披露或访问、篡改、不可用性或非法/未经授权处理此类数据将对公司、其客户、员工、数据主体和/或代理机构造成低影响和/或不可挽回的损害。
个人数据：与公司数据保护政策中定义的已识别或可识别的自然人相关的数据。根据中国网络安全法及其实施细则的要求，敏感个人数据是指泄露、非法提供或滥用可能损害个人和财产安全、非常容易导致个人声誉和健康损害、歧视性待遇等的个人数据。敏感个人数据应归类为个人数据。