政策解读与合规分析

核心要义：确立"告知-同意"为核心的个人信息处理规则，首次将敏感个人信息（生物识别、医疗健康、金融账户、行踪轨迹等）纳入专门保护。企业须取得单独同意方可处理敏感信息，违规最高可处5000万元或上年营业额5%罚款。

战略定位：与《网络安全法》《个人信息保护法》构成中国数据治理"三驾马车"。核心建立数据分类分级保护制度，要求企业根据数据重要程度采取差异化保护措施。明确数据处理活动的全生命周期安全义务。

双轨并进：《网络安全法》确立网络运营者安全保护义务，等保2.0（GB/T 22239-2019）将其工程化落地。等保2.0新增云计算、物联网、移动互联、工控、大数据五大扩展安全要求，三级以上系统须每年测评。

跨境红线：明确数据处理者向境外提供数据的安全评估路径。重要数据和个人信息达到一定量级（100万人以上个人信息、或累计10万人敏感信息）必须申报安全评估，否则不得出境。

分级体系：将个人金融信息分为C3（账户信息）、C2（可识别身份信息）、C1（机构内部信息）三个等级。C3类信息（银行卡密码、CVV等）禁止传输和共享，C2类需加密传输，C1类可使用。这是中国金融行业DLP方案实施的核心依据。

分级方法论：提供金融数据安全定级的四要素框架：安全性（保密性、完整性、可用性）遭受破坏后的影响对象+影响程度+影响范围。将数据分为5级，其中5级为最高安全级别。

治理升级：首次以专门办法形式规范银行保险机构数据安全，要求建立数据安全治理架构（董监高责任），明确数据分类分级、全生命周期保护、个人信息保护三大核心要求。

全球支付卡安全基准：PCI DSS v4.0.1 在v4.0基础上进行了澄清和勘误，核心12项要求不变但更强调持续安全而非静态合规。新增对网络分段、多因素认证、自动化监控的细化要求。

域外效力：GDPR不仅约束欧盟境内企业，凡处理欧盟居民数据的企业均受管辖。核心权利包括访问权、更正权、删除权（被遗忘权）、数据可携带权。违规罚款最高可达全球年营收4%或2000万欧元（取高者）。

美国版GDPR：CCPA赋予加州居民知情权、删除权、拒绝出售权。CPRA（2023年生效）进一步加强保护，新增敏感个人信息类别（SSN、精确地理位置、种族、健康信息等），并设立加州隐私保护局（CPPA）作为专门执法机构。

PHI保护：HIPAA Privacy Rule和Security Rule定义了受保护健康信息（PHI）的18类标识符（姓名、生日、SSN、医疗记录号等）。去标识化（de-identification）是HIPAA合规的关键技术手段。

三位一体：将多法规要求转化为DLP检测规则的三步法：
1️⃣ 数据发现 — 按法规分类（PII/PHI/PFI/CHD）建立数据字典
2️⃣ 策略映射 — 一条法规要求 → 多条DLP规则（关键字+正则+文件指纹）
3️⃣ 响应分级 — 阻断（C3/PHI）、审批（C2/一般PII）、审计（内部数据）