2023 年 11 月 1 日，北京市互联网信息办公室通报，依据《数据安全法》第四十五条第一款，对三家企业未履行数据安全保护义务作出行政处罚：责令改正、给予警告，各处罚款五万元；同时对直接负责的主管人员和其他责任人员各处罚款一万元。
金额不高，但处罚结构值得注意。它同时追究单位与个人责任，把“数据安全”从抽象的制度要求，变成管理者个人需要面对的风险。
处罚依据不是网络安全法
本案适用的是《数据安全法》第四十五条第一款。该条针对的是未履行数据安全保护义务，例如未建立健全全流程数据安全管理制度、未采取相应技术措施、未开展风险评估、未对数据安全事件采取补救措施等。
这与《网络安全法》的等级保护义务、《个人信息保护法》的个人信息处理规则构成三条并行的义务线。企业常把三者混为一谈，但在执法中，监管机关会按具体事实选择适用哪一条。数据分类分级、风险评估与安全管理制度，属于《数据安全法》的独立要求，不能以“已经做了等保”替代。
为什么同时罚个人
《数据安全法》的责任主体包括“直接负责的主管人员和其他直接责任人员”。这意味着数据安全不是只由技术部门承担，法定代表人或主要负责人、分管数据的高级管理人员、具体业务负责人，都可能在执法中被认定责任。
本案对个人各罚一万元，数额不大，但传递的信号明确：当制度缺失、风险评估未做、事件处置不当时，监管机关可以越过公司，直接追究管理者责任。
三家企业共同暴露的问题
通报没有披露企业名称与具体事实，但从适用条款看，问题集中在“未履行数据安全保护义务”。实践中，这类认定通常对应以下情形：
其一，没有数据分类分级清单，不知道哪些是重要数据、哪些是核心数据；其二，没有定期风险评估，或评估流于形式；其三，安全管理制度只有原则性表述，缺少责任人、操作流程与记录；其四，发生异常后未及时采取补救措施，也未留存处置记录。
这些问题在中小企业中相当普遍。它们不会因为“公司规模小”而免除，反而因为资源有限，更容易在检查中暴露。
一份可执行的自查清单
第一，列出数据资产。按业务系统、数据类型、存储位置、访问主体四个维度建立清单，标注个人信息、重要数据与敏感数据。
第二，确定责任人。明确数据安全负责人、业务负责人、技术负责人各自职责，并在制度中写明。
第三，做一次风险评估。评估不是为了交文件，而是为了回答：如果这份数据泄露、被篡改或不可用，影响是什么，现有措施能否覆盖。
第四，留下记录。培训、演练、权限变更、事件处置都应有时间和责任人。执法检查看的往往不是“有没有制度”，而是“制度有没有运行”。
第五，把供应商纳入管理。数据处理者、云服务商、外包团队的义务，应通过合同与定期核查落地。
涉及数据分类分级、风险评估与制度建设，可参见数据合规服务；涉及网络安全管理制度与事件处置，参见网络安全合规服务；涉及管理层责任与常年合规支持，另见常年法律顾问服务。
本文依据北京市网信办 2023 年 11 月 1 日通报编写，仅供参考，不构成法律意见。