数据安全是国家安全的重要组成部分，与国家经济运行、社会治理、公共服务等方面密切相关。本文所称“数据安全治理”，是指国家部门、行业组织、平台企业及其他数据处理者，针对数据处理活动中的安全风险，通过健全制度规范、强化技术防护、完善管理机制等手段，确保数据处于有效保护、合法利用和持续安全状态的治理过程。数据安全治理与“数据治理”“网络安全治理”既有相关性又有区别。数据治理是上位概念，关注数据质量、权属、开放、流动、合规和价值实现等综合问题。数据安全治理是其中以安全风险控制为核心的子领域。网络安全治理重点防范针对网络的攻击、侵入、干扰、破坏和非法使用行为，保障网络稳定可靠运行及网络数据的完整性、保密性、可用性。数据安全治理与网络安全治理在技术防护、事件处置、数据泄露防范等方面相互交叉，但前者的治理重心在于数据及其处理活动，后者的治理重心在于网络、系统及其运行环境。本文在对比研究世界主要国家和地区的数据安全治理特点的基础上，全面分析我国数据安全治理现状、特点和未来趋势，提出进一步提升我国数据安全治理水平的对策建议。

1.1 美国：促进数据利用和强化国家安全

美国在联邦层面尚未出台专门的数据保护法，但通过提倡数据自由高效流动，充分挖掘数据利用价值，依托美国联邦贸易委员会（Federal Trade Commission,FTC）执法、行业监管及国家安全审查等多重机制，共同构建数据安全治理体系。FTC在隐私和数据安全领域，主要依据反不公平或欺骗性商业行为的相关规则开展执法，重点处理企业误导消费者，未履行敏感信息保护义务或造成消费者损害等问题。近年来，美国进一步凸显数据安全的国家安全属性，其中司法部推出的数据安全项目对其境外获取美国大规模敏感个人数据和政府相关数据设置限制，体现出其在数据安全治理领域强化国家安全的特点。

1.2 欧盟：权利保护、规则统一与建设数据市场相结合

欧盟数据安全治理制度体现了以个人数据保护为中心的治理逻辑，《通用数据保护条例》（General Data Protection Regulation,GDPR）被认为是全球最严格的数据安全框架。该框架下个人享有访问、更正、删除、限制处理、数据可携带和反对处理等多项权利。为确保GDPR和相关执法指令在欧洲经济区内统一适用，并促进各国数据保护监管机构合作，欧盟成立欧洲数据保护委员会，以协调各成员国的个人数据保护和权利保障工作。在《欧洲数据战略》（A European Strategy for Data）的总体框架下，欧盟相继通过《数据治理法》（Data Governance Act）和《数据法》（Data Act），以横向立法方式完善数据共享、再利用和访问等相关规则，促进欧洲数据单一市场建设目标。

1.3 东盟：通过渐进策略构建区域共识

东盟成员国数字经济发展水平、法律传统和监管能力存在差异，因此其数据安全治理重心并不在于建立类似欧盟的统一规则体系，而是通过区域框架、示范合同条款和实施指南，降低数据跨境流动的不确定性。《东盟数据管理框架》（ASEAN Data Management Framework）和《东盟跨境数据流动示范合同条款》（ASEAN Model Contractual Clauses for Cross Border Data Flows）是其数据安全治理的重要制度文件。前者强调数据分类、治理责任和安全保护措施，后者则为平台主体开展数据跨境流动提供标准化合同范本。这一模式体现了东盟在成员国差异较大的条件下，以渐进协调方式推进数据安全治理的思路。

1.4 小结

总体而言，全球主要国家和地区的数据安全治理呈现以下特点和趋势：一是将数据安全纳入国家战略顶层设计，注重在安全基础上实现数据的开发利用；二是强化个人权益保障，在个人信息保护方面的要求愈发严格，加强对敏感个人数据、特殊群体数据的管理；三是治理范式从单一隐私合规走向综合治理，从内部监管走向跨境协同。

2.1 我国数据安全治理现状

2.1.1 数据安全治理顶层设计不断完善

我国高度重视数据安全治理工作，出台了一系列数据安全保护政策文件，建立健全数据安全管理工作机制，数据安全治理体系持续完善。

一是中央和国家层面印发了一系列数据发展与安全政策文件，为数据安全治理工作提供了科学指引。例如，《中共中央关于坚持和完善中国特色社会主义制度、推进国家治理体系和治理能力现代化若干重大问题的决定》首次将数据列为生产要素，提出要加强数据有序共享，依法保护个人信息；《中共中央 国务院关于构建数据基础制度更好发挥数据要素作用的意见》强调统筹发展和安全，把安全贯穿数据供给、流通、使用全过程。这些文件有效推动了数据安全治理向科学化、精细化、长效化方向迈进。

二是数据安全治理机构设置持续优化。通过职能整合、机制创新与资源统筹，打造了权责清晰、运转高效、协同有力的管理体系，全面提升数据安全治理效能，如表1所示。中央国家安全领导机构负责国家数据安全工作的决策和议事协调等，国家网信部门统筹协调网络数据安全和相关监管等工作。2023年3月，中共中央、国务院印发《党和国家机构改革方案》，组建国家数据局，将中共中央网络安全和信息化委员会办公室承担的拟订数字中国建设方案、协调国家重要信息资源开发利用与共享、推动信息资源跨行业跨部门互联互通等职责划入国家数据局。

表1  我国数据安全与治理机构设置

2.1.2 数据安全治理法律体系建设稳步推进

近年来，我国高度重视数据安全立法及制度设计，构建了数据安全规则体系，明确了数据安全基本概念和原则。基本形成了法律、行政法规、部门规章和规范性文件相互衔接的框架体系，为政府、机构、企业和个人等各主体安全开展数据处理活动提供了法律框架，奠定了制度基础。例如，聚焦数据安全领域突出问题，着眼全局和长远发展，我国出台了《中华人民共和国网络安全法》《数据安全法》《个人信息保护法》《网络数据安全管理条例》等法律法规，构建起覆盖数据全生命周期、融合技术与法律双重保障的数据安全法律框架。明确建立健全数据分类分级保护、数据安全风险评估、数据安全审查、个人信息保护合规审计等制度，对数据安全与发展的支持促进措施、数据安全与开放推进工作等作出规定，为数据安全治理工作提供法治保障。此外，我国各地也密集出台了数据安全治理相关指导文件，着力布局提升区域数据安全治理能力，如《北京地区电信领域数据安全管理实施细则》《深圳市企业数据合规指引》等，为属地开展数据安全治理工作提出了具体要求和指引，进一步充实了我国数据安全治理体系。

2.1.3 数据安全和个人信息保护标准体系持续完善

全国网络安全标准化技术委员会（简称网安标委）负责开展国内数据安全有关的国家标准制修订工作，其中主要由数据安全标准工作组负责大数据和云计算相关的安全标准研制工作。截至2025年8月，网安标委在数据安全和个人信息保护领域，已发布44项国家标准，正在制修订2项强制性国家标准和16项推荐性国家标准，同时配套发布了3项委员会技术文件和21项网络安全标准实践指南，已初步构建起数据安全和个人信息保护标准体系。这些标准的出台与实施，既有效推动了《数据安全法》“国家建立数据分类分级保护制度”等要求落地，也为《个人信息保护法》“个人信息处理规则”“个人信息处理者的义务”等有关条款的具体实施，提供了有力保障和实践指引。

2.1.4 重点领域数据安全治理工作持续加强

金融行业是数据安全治理推进力度最大、成效最为显著的领域之一，该行业较早建立了数据安全分类分级和个人金融信息保护标准，呈现出标准先行、规则细化的特点。例如，该行业发布的JR/T 0197—2020《金融数据安全 数据安全分级指南》既适用于金融机构开展电子数据安全分级工作，也可为第三方评估机构开展检查评估提供参考依据；JR/T 0171—2020《个人金融信息保护技术规范》对个人金融信息保护作出了技术规范。2024年12月，国家金融监督管理总局印发《银行保险机构数据安全管理办法》，要求银行保险机构建立与自身业务发展目标相适应的数据安全治理体系。工业和信息化领域数据安全工作扎实推进，工业和信息化部陆续发布《工业数据分类分级指南（试行）》《工业和信息化领域数据安全管理办法（试行）》等文件，助力工业数据治理制度体系建设。国家网信部门会同国家邮政局开展数据安全和个人信息保护专项检查，组织开展房地产中介和租赁机构数据和个人信息安全专项整治，督促平台企业加强内部管理，阻断个人信息泄露源头。

2.2 我国数据安全治理特点

2.2.1 坚持发展与安全并重

在我国数据安全治理的实践过程中，监管部门逐步确立了数据安全与发展并重的基本原则，并围绕这一原则进行了全面的政策文件和制度体系的整体设计。例如，在《中华人民共和国网络安全法》《数据安全法》《个人信息保护法》等法律法规及多项战略文件中，均能看到相关准则表述与具体条款设定。其中，《数据安全法》第二章对数据安全与发展作出规范，《全球数据安全倡议》也明确呼吁秉持发展和安全并重的原则。与此同时，无论是网信部门、数据主管部门还是地方政府发布的相关政策文件中，都能找到相关规定。例如，2024年国家数据局发布的《可信数据空间发展行动计划（2024—2028年）》，在总体思路与目标中明确提出“统筹发展和安全”；上海市数据局在推进公共数据资源授权运营工作中，明确提出“公共数据资源授权运营要坚持发展与安全并重”的核心原则。

总体而言，安全是发展的前提，发展是安全的保障。统筹数据安全与发展，既是我国数据安全制度体系中的突出特点和总则性要求，也是数据治理相关制度制定的依据和基础，充分体现出我国在谋求实现数据安全与发展动态平衡方面的积极尝试与探索。

2.2.2 高度重视数据跨境管理制度建设工作

近年来，我国始终坚持制度创新与实践探索并重，初步构建了以重要数据和个人信息两大类数据出境为监管核心，以数据出境安全评估、个人信息出境标准合同、个人信息保护认证等制度为主要出境路径的数据跨境管理框架，为企业依法合规开展数据跨境流动提供指引。我国创新建立了自贸试验区数据出境负面清单制度，天津、北京、海南、上海、浙江、广西、江苏、重庆、福建共9个自贸试验区（港）已完成数据出境负面清单备案发布，对汽车、零售、民航、再保险、深海业、种业、地理信息与气象、企业信用信息等22个领域的数据跨境流动发挥促进作用。截至2024年底，全国累计完成数据出境安全评估项目285个，个人信息出境标准合同备案1071份。2026年1月，工业和信息化部等八部门印发《汽车数据出境安全指引（2026版）》，明确汽车数据出境活动管理方式、适用条件和豁免情形。此外，我国还积极开展多双边数字治理对话交流活动，数据跨境领域对外合作稳步推进。

2.2.3 把个人信息作为特殊数据予以保护

个人信息保护是我国数据安全治理的核心工作之一。2021年11月《个人信息保护法》正式实施，为个人信息保护工作提供法治指引。近年来，我国围绕法律法规建设、专项行动治理、压实平台责任等多方面发力，切实提升个人信息保护工作水平。2025年7月，《国家网络身份认证公共服务管理办法》正式实施，推进并规范国家网络身份认证公共服务的建设应用。2026年4月，中共中央网络安全和信息化委员会办公室、工业和信息化部、公安部将会同相关部门，进一步深入治理App、软件开发工具包（software development kit,SDK）等服务产品，以及互联网广告、教育、交通、卫生健康、金融等重点领域违法违规收集和使用个人信息的典型问题，切实保护公民个人信息安全。中国网络空间安全协会成立个人信息保护专业委员会，不断健全投诉举报机制，累计受理群众投诉举报9万余条，推动形成监管部门、社会组织、企业、网民协同治理的格局。

加强数据安全治理是筑牢国家安全屏障的必然要求。结合我国数据安全治理工作实际，应坚持发展与安全并重，在充分释放数据资源价值并推动数据开发利用的同时，将安全贯穿数据供给、流通、使用全过程，实现数据要素价值释放与安全防护能力提升的双向赋能。

4.1 提高监管效能，提升数据安全协同治理能力

一是健全以风险为导向的数据安全执法机制。根据数据处理者掌握的数据规模、是否涉及重要数据或核心数据、是否大规模处理个人信息等因素，进行分层分类治理。按照《网信部门行政执法程序规定》等有关要求，加强与司法机关协调配合，完善执法处理信息通报机制，推动执法信息共享和情况互通，避免重复执法增加企业负担，同时防止出现监管盲区。

二是强化政务数据共享环节的安全责任与治理，明确政务数据共享环节责任分配，建立覆盖数据处理全生命周期的责任体系。

三是提升数据安全治理技术水平，依托数据分类分级及数据出境安全评估等多种规则研发合规算法及产品，对同时涉及重要数据保护、个人信息保护、数据出境安全评估等多种监管要求的场景，允许企业通过一次评估即可满足多重要求。

4.2 推动数据安全社会服务向规范化、专业化、体系化发展

一是创新数据安全服务业态，丰富数据安全服务供给，鼓励符合条件的机构开展数据安全专业服务，包括数据安全咨询、安全评估、安全运营、个人信息保护合规审计、安全教育培训等，推动形成完善的数据安全市场服务体系。

二是按照服务类型对数据安全服务机构进行分类管理，区分合规审计、技术检测、风险评估、数据出境咨询等不同领域，建立相应的能力评价标准。

三是推动数据安全服务从“报告导向”转向“能力建设导向”。当前，部分单位将第三方服务简单理解为购买一份报告，而非借助专业力量完善治理体系；只有将服务成果转化为内部可持续运行的制度和能力，数据安全服务市场才能真正支撑治理实践工作。

4.3 加大复合型数据安全人才培养力度

一是依托现有一流网络安全学院的人才培养模式，拓展数据安全培养方向，坚持理论与实践能力并重，构建以基础理论、技术应用、实战演练、法律法规等为框架的多元化课程体系。

二是推动产学研融合协同育人，通过校企联合培养，共建实验室，创建实习实训基地等方式，培养符合市场需求的高技能人才。

三是加强跨学科课程融合，在垂直领域的专业知识教学中，嵌入数据安全相关学习内容，确保专业能力与安全意识同步提升，同时注重将人工智能、大数据、云计算等前沿技术与数据安全实践紧密结合，拓宽技术视野，全面打造复合型数据安全人才。

4.4 加强企业数据安全建设，提升治理内生动力

一是持续优化企业数据治理机构设置，参考《大型网络平台设立个人信息保护监督委员会规定（征求意见稿）》相关要求，建立健全数据安全和个人信息保护监督机构的设置、职责规范、工作流程，提升内部数据安全监管水平。

二是加强企业内部培训，提升员工数据安全意识和操作规范，减少人为操作引发的安全风险；强化数据采集、传输、存储、使用等环节的安全防护，防止数据泄露；按年度发布个人信息保护社会责任报告，通报个人信息保护工作成效。

三是推动新型数据安全技术产品创新与迭代，依托区块链、隐私计算等技术，探索数据安全技术治理的新模式和新方案，充实数据安全治理的技术工具箱。将人工智能应用场景纳入企业数据安全治理重点，采取有效措施提升训练数据质量，增强数据的真实性、准确性、客观性、多样性，减少对个人信息及重要数据的过度依赖。

4.5 多措并举强化个人信息权益保障

一是强化个人信息权利行使保障机制。平台企业提供便捷入口，支持个人行使查询、复制、修改、撤回同意、关闭个性化推荐等权利；对于涉及金融、医疗、交通等关键领域重大权益的自动化决策，配套提供必要解释和人工复核渠道，遏制算法歧视、决策不透明等问题。

二是持续深化个人信息保护专项整治行动，针对超范围收集、强制同意、个性化推荐关闭不便、个人信息保护措施不到位等侵犯公民个人信息权益的问题，形成监管高压态势。

三是通过加大典型案件通报、建立全国统一投诉受理平台等举措，畅通个人信息保护诉求反馈渠道，强化公众监督作用。

数据安全是维护国家安全和社会稳定的重要基石。数据安全治理是一个动态演进、持续优化的过程，与社会进步、经济发展、技术革新紧密相关。当前我国数据安全治理仍面临诸多不确定挑战，但国家层面对加强数据安全治理的态度十分明确。自《数据安全法》《个人信息保护法》《网络数据安全管理条例》等一系列法律法规颁布实施以来，我国数据安全顶层制度建设持续完善，数据安全工作协调机制不断优化，全社会数据安全和个人信息保护水平得到有效提升。网信企业也在技术研发、安全合规投入等方面持续发力。随着数据安全技术迭代升级、制度标准逐步细化落地，以及多元主体协同共治格局的日益巩固，我国数据安全治理体系必将更加成熟完善，为全面推进网络强国建设提供可靠数据安全保障。