导语

未履行数据安全保护义务的，可以处五万元以上五十万元以下罚款；造成大量数据泄露等严重后果的，罚款可达二百万元并可责令停业整顿。合规投入与技术风险之间的对照，是内部决策的重要依据。

本篇说明责任档次与合规投入的结构。

规则出处与规范指向

《中华人民共和国公司法》第二十七条（本条见《数据安全法》第二十七条·数据安全保护义务与全流程管理制度）：《中华人民共和国数据安全法》第二十七条规定：开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。利用互联网等信息网络开展数据处理活动，应当在网络安全等级保护制度的基础上，履行上述数据安全保护义务。重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。

一、责任档次

未履行数据安全保护义务的，责令改正、给予警告，可以并处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款；拒不改正的从重处罚。

造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可或者营业执照。

二、合规投入的结构

合规投入主要集中在技术措施建设、制度体系搭建与人员培训三块，其中技术措施通常占据较大比例。

与数据泄露事件带来的应急处置、通知、赔偿与业务影响相比，日常的制度与措施投入更易于规划和控制。

操作清单

按一般情形与严重后果两档说明处罚后果，形成责任对照表。

把技术措施建设、制度体系搭建与人员培训三块投入分别测算。

将数据泄露事件的应急处置、通知与赔偿成本计入风险敞口。

对高风险环节优先安排投入，提高合规资源的边际效益。