“客户资料是销售自己从网上找的""离职员工的账号还没关""合作方要一份数据，微信直接发过去了"——这些场景在很多公司每天都在发生，当时没人觉得有问题，直到某天收到监管问询或客户投诉，才发现风险早就埋下了。
数据合规不是法务一家的事，也不只是 IT 的事，它贯穿业务全流程。与其等检查来了再整改，不如先把自查做一遍。下面按制度资产、技术措施、对外提供、落地方法四个部分展开，企业可以照着逐项打勾。
一、制度组织与数据资产自查
制度与组织层面，先确认有没有人真正负责：
- 是否明确了数据安全与个人信息保护的责任部门或责任人。
- 是否制定了数据分类分级、访问控制、应急响应等制度文件，且为现行有效版本。
- 是否建立了数据台账，清楚知道公司有哪些数据、存在哪里、由谁负责。
- 是否定期开展合规培训，并保留签到与考核记录。
数据资产层面，分类分级是第一步：
- 是否完成数据资产盘点，识别出个人信息、重要数据、商业秘密。
- 是否对数据进行分级，并对不同级别设置不同的保护要求。
- 个人信息收集是否有明确合理的目的，是否存在过度收集。
- 是否取得必要的同意或具备其他合法性基础，告知内容是否清晰易懂。
- 是否对敏感个人信息单独识别并采取更严格的保护措施。
避坑提示：制度文件"有"和"在用"是两回事。检查时最常问的一句是"请提供最近一次按此制度执行的记录"。能拿出审批流、工单、会议纪要的，才算通过。
二、系统权限与技术措施自查（含自查清单表）
- 是否做到账号实名、权限最小化，避免全员管理员。
- 离职、调岗人员账号是否在规定时限内停用或调整。
- 是否开启关键操作日志审计，日志留存期限是否满足要求。
- 重要数据是否加密存储，传输是否使用加密通道。
- 是否具备备份与恢复能力，并实际做过恢复验证。
- 测试、开发环境是否使用脱敏数据，而非生产真实数据。
| 自查维度 | 关键检查项 | 常见问题 | 风险等级 |
|---|---|---|---|
| 制度组织 | 责任人、制度、台账、培训 | 有制度无执行记录 | 中 |
| 数据分类 | 资产盘点与分级 | 只盘系统不盘数据 | 中 |
| 收集告知 | 目的、范围、同意 | 告知书冗长看不懂 | 中 |
| 权限管理 | 最小权限、离职清理 | 共享账号、离职未关 | 高 |
| 日志审计 | 覆盖面、留存期、告警 | 日志留存不足 | 中 |
| 备份恢复 | 定期备份、恢复演练 | 只备份不验证 | 高 |
| 外部共享 | 合同、评估、记录 | 口头授权、无台账 | 高 |
| 应急响应 | 预案、演练、上报 | 预案从未演练 | 中 |
三、对外提供与委托处理：最容易出事的环节
- 向第三方提供数据前，是否进行必要性评估并取得合法授权。
- 是否与接收方签署数据处理协议，明确用途、期限、安全责任与返还删除义务。
- 是否建立对外提供数据的台账，记录时间、对象、内容、依据。
- 委托处理场景下，是否对受托方进行安全能力评估并持续监督。
- 涉及数据跨境的，是否按现行规定履行相应程序。
避坑提示："对方是我们长期合作方"不构成合规理由。无论关系多好，对外提供个人信息都要有授权依据、有协议约定、有记录可查，三缺一，风险就落回自己头上。
四、自查怎么落地
- 成立小组：由分管领导牵头，业务、IT、法务、行政共同参与，避免 IT 单打独斗。
- 盘点先行：先把数据资产和流转路径画出来，再谈控制措施。
- 逐项打分：按上表逐项记录"符合 / 部分符合 / 不符合"，并写明证据所在。
- 风险排序：优先处理高风险项，尤其是权限清理、日志留存、外部共享。
- 闭环整改：每一项整改要有责任人、时间点和验收标准。
- 定期复检：至少每年一次全面自查，重大业务变化后及时补充自查。
小结
数据合规的难点从来不是"不知道要做"，而是"知道却没有人持续做"。把这份清单变成一个每季度跑一次的例行动作，把整改变成有责任人和时间点的任务，风险才会真正降下来。具体适用的法规要求与检查口径，以主管部门最新规定和当地执行细则为准。