执业律师--陈爱红

2026年8月20日，国家网信办、工信部、公安部联合出台的《网络数据安全风险评估办法》正式施行。

这一办法的出台，标志着我国网络数据安全风险评估工作进入制度化、规范化阶段。对于广大小微企业、个体工商户而言，虽然其通常不属于“重要数据处理者”范畴，不承担强制性年度评估义务，但随着数据安全执法力度的持续加强，日常经营中涉及的个人信息收集、使用、存储等环节，同样面临明确的法律红线。

本文结合《网络数据安全风险评估办法》《数据安全法》《个人信息保护法》及相关执法实践，梳理小微企业高频数据合规风险点，并提供可操作的自查与整改建议。

一、法律框架与适用范围

（一）《网络数据安全风险评估办法》核心要求

根据该办法第五条规定：

“处理重要数据的网络数据处理者应当每年度开展风险评估。”

“鼓励处理一般数据的网络数据处理者至少每3年开展一次风险评估。”

同时，网络数据处理者可以自行或者委托第三方评估机构开展风险评估，自行开展应当指定专人负责。

（二）“重要数据”的认定标准

当前，“重要数据”的具体识别细则仍在制定中，最终认定标准以行业主管部门正式发布的目录或指南为准。通常情况下，一般小微企业、个体工商户在日常经营中收集的普通客户信息（如姓名、手机号、消费记录等）不属于重要数据范畴。但需注意，最终应以主管部门认定为准，企业应保持对相关法规动态的关注。

（三）不同主体的法律义务对比

主体类型	风险评估义务	法律依据
重要数据处理者	每年强制评估	《网络数据安全风险评估办法》第五条
一般数据处理者	鼓励每3年评估	同上
所有处理个人信息的经营者	合规处理义务（无论是否评估）	《个人信息保护法》第六条

二、小微企业高频违规行为类型化分析

依据各地市场监管部门近期执法实践，以下四类行为是小微企业数据合规的高频风险点：

（一）强制扫码收集非必要个人信息

部分餐饮、零售商户通过扫码点餐系统，强制消费者授权手机号、位置、相册等权限后方可完成点餐或结账。

《个人信息保护法》第六条规定：“处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关。”

点餐行为的核心目的为完成交易，与消费者手机号、位置等信息无直接关联。此类强制收集行为已构成“超范围收集个人信息”，可能面临行政处罚。

（二）未经授权处理会员个人信息

部分美容、健身、教培等行业经营者，在未经客户明确同意的情况下，将会员信息用于电话营销，或向第三方提供、出售客户名单。

《个人信息保护法》第六十六条规定，违法处理个人信息，情节严重的，最高可处五千万元或者上一年度营业额百分之五的罚款，并可以对直接负责的主管人员和其他直接责任人员处以罚款。

（三）第三方服务商安全管理缺位

多数小微企业委托第三方软件服务商运营会员管理系统，但未与对方签订数据安全协议，也未约定数据归属、使用范围及责任承担条款。一旦第三方系统发生数据泄露，小微企业作为数据控制者仍须承担相应法律责任。

（四）缺乏数据泄露应急处置能力

部分经营者收集大量客户信息后，未采取基本的数据加密、访问控制等安全措施，也未制定数据泄露应急预案。一旦发生信息泄露，因无法及时响应处置，可能面临更严厉的行政处罚。

三、企业合规自查清单

建议小微企业对照以下五项内容进行自查：

第一，数据盘点。 梳理所收集的全部客户信息类型、来源、存储方式及使用目的。

第二，数据清理。 删除超出使用期限、与经营目的无关的个人信息。对留存超过两年的会员数据，建议重新确认其使用必要性。

第三，权限与密码管理。 检查后台管理系统是否存在弱口令、默认密码等问题，建立定期更换密码制度。

第四，与服务商签订数据安全协议。 明确约定数据归属、使用范围、安全保障义务及违约责任。

第五，制定数据泄露应急预案。 明确事件发生后的处置流程、责任人、通知机制及报告路径。

四、违法后果

 

违法情形	法律依据	可能的处罚后果
重要数据未按规定评估	《数据安全法》	罚款、责令停业、吊销证照
超范围收集个人信息	《个人信息保护法》第66条	最高五千万元或营业额5%罚款
泄露个人信息未及时处置	《个人信息保护法》	罚款+民事赔偿+声誉损失
直接责任人	《个人信息保护法》第66条	个人罚款+可能限制从业

五、结语

数据合规并非大型企业的专属义务。《网络数据安全风险评估办法》的施行，进一步明确了不同类型数据处理者的合规要求。小微企业虽不必然承担强制性年度评估义务，但在个人信息收集、使用、存储等环节仍需严格遵守法律规定，避免因合规疏漏引发法律责任。

如您在日常经营中存在数据合规疑问，或已收到相关监管部门的问询、通知，建议及时寻求专业法律支持，以降低法律风险。

本文仅为法律信息参考，不构成具体法律意见。如涉及具体法律事务，建议咨询专业律