情景背景

某企业承接了一个涉及大量用户数据的项目，项目周期约一年。团队计划先把系统开发完成、确保按期交付，再回头补数据安全制度与培训。项目中期部分数据已经进入测试环境，团队成员在无权限控制的情况下可以自由复制数据用于调试，参与项目的团队成员约二十人。

争议与处理思路

《中华人民共和国数据安全法》第二十七条要求的是全流程的数据安全管理制度，覆盖数据处理的各个阶段。实务中通常认为，把制度安排在交付之后再补，往往意味着前期的处理活动已经处在缺少管控的状态；测试环境、开发账号这些环节恰恰是数据外流的高风险点，通常应当在项目启动阶段就把制度与权限控制落下去。制度滞后本身也可能被作为未尽保护义务的考量因素。

平台提示

把数据安全要求写进项目启动清单：环境隔离、账号权限、数据脱敏、日志审计与离场交接逐项确认后再开工。测试数据优先使用脱敏或模拟数据。项目过程中定期检查落实情况，发现问题当场整改，不要等到验收前集中处理。

相关阅读：案例情景库 ｜ 实务文章 ｜ 常见问答 ｜ 法条要旨速查