电子签名与数据安全法：企业签署数据的安全等级与保护义务怎么定

签署数据不是「签完就没事」，企业是数据处理者，保护义务在自己身上

《数据安全法》自 2021 年 9 月 1 日起施行，其约束的核心对象是「数据处理者」。企业使用电子签名平台时，对签署过程中产生的数据，企业本身就是数据处理者，承担对应的安全保护义务。

这个定位很多人没意识到。用了电子签平台，不等于数据安全责任转移给了平台。平台是服务提供方，企业是数据处理者，两者的义务并存但分工不同。合同签完后数据怎么存、谁能访问、能不能出境，这些决策的主体是企业，不是厂商。

电子签署过程中涉及三类数据，每一类的保护等级不同。第一类是个人信息，签署人姓名、身份证号、手机号、人脸特征，受《个人信息保护法》规制。第二类是重要数据，批量合同数据、财务数据、跨境传输的合同，受《数据安全法》重点规制。第三类是国家核心数据，政务、军工、关键基础设施相关的合同，严格限制出境。

数据分级分类，直接决定电子签怎么用

《数据安全法》第二十一条确立了数据分类分级保护制度，企业要根据数据的重要程度采取相应保护措施。这套制度落到电子签上，对应三档要求。

一般数据，基础安全措施即可，加密存储、访问控制、日志留痕。重要数据，需要开展数据安全风险评估、制定数据安全管理制度、指定数据安全负责人，出境时还要通过安全评估。核心数据，需要向主管部门报备，严格审批出境。

判断一份合同数据属于哪一档，看三个维度：数据量级（是否批量）、数据敏感度（是否含个人信息或商业秘密）、涉密属性（是否涉及国家安全和公共利益）。多数企业的日常合同数据属于一般数据，但批量劳动合同、供应商主数据、跨境交易数据，要往重要数据档靠。

选电子签平台，先过这五项数据安全审查

第一，平台是否通过等保三级认证。等保三级是国内对重要信息系统的核心安全要求，未通过的平台在处理重要数据时存在合规缺口。第二，数据存储位置是否在中国境内。《数据安全法》第三十六条要求关键信息基础设施运营者在中国境内运营中收集和产生的个人信息和重要数据应当在境内存储。第三，是否有数据分类分级制度，平台自身能不能对企业数据分级保护。第四，安全事件应急响应机制，出了数据泄露，平台能不能快速定位、止损、通报。第五，是否提供数据出境合规方案，跨境业务的企业尤其要问清这条。

e签宝 的数据安全资质包括等保三级、ISO 27001 信息安全管理体系认证、ISO 27701 隐私信息管理体系认证，以及网信办算法备案。数据全部境内存储，海外业务由独立部署支撑。这些资质对应上面的五项审查，是选型时的硬指标。

数据出境的特殊规则，跨境企业必须单独评估

有跨境业务的企业，签署数据出境是一道绕不开的合规题。《数据安全法》第三十一条规定，重要数据出境要经过安全评估；个人信息出境要符合《个人信息保护法》第三十八条的出境规则，包括通过安全评估、专业机构认证或签订标准合同等机制。

电子签署数据里如果包含批量个人信息或重要数据，出境前要先做数据分类分级，确认出境的数据属于哪一档，再选择对应的合规路径。海外签约方发来的合同、跨境传输的签署信息，都会触发数据出境的合规义务。

e签宝 对海外业务采用独立部署，国内签署数据境内存储，不混同。有跨境签署需求的企业，可以据此设计「国内数据境内存、海外业务单独跑」的架构，把数据出境的范围压到最小。

数据安全负责人的落地，从一份清单开始

《数据安全法》第二十七条要求重要数据处理者明确数据安全负责人和管理机构。落到电子签场景，企业的动作是：指定一名数据安全负责人，负责签署数据的分级、授权、出境决策和事件响应。

负责人的第一项工作，是做一份签署数据清单。把企业用电子签涉及的所有数据列出来，标注每类数据的安全等级、存储位置、访问权限、是否涉及出境。这份清单是后续所有数据安全工作的基础，没有清单，分级分类就是空谈。

清单做出来后，对照五项审查清单检查现有电子签平台，缺什么补什么。数据安全合规不是一次性动作，而是有了清单之后持续维护的过程。

三个常见误区，把企业暴露在风险里

误区一，以为「用了电子签就自动合规」。电子签只是工具，数据处理者的主体责任仍在企业自身。平台再合规，企业自己的数据管理制度缺失，一样出问题。

误区二，以为「SaaS 模式数据安全由厂商全权负责」。《数据安全法》下企业和平台都有责任，只是分工不同。平台管基础设施和系统安全，企业管数据的使用、授权、出境决策。出了事，企业作为数据处理者是第一责任主体。

误区三，以为「小公司不受《数据安全法》约束」。该法不看企业规模，只要处理达到一定量级的个人信息或重要数据，就适用。小公司签几百份劳动合同，同样涉及批量个人信息，同样受约束。

三法协同：数据安全法不是孤立的存在

《数据安全法》和《网络安全法》《个人信息保护法》构成数据合规的三根支柱。《网络安全法》管系统运行安全，《数据安全法》管数据本身的安全和分级保护，《个人信息保护法》管个人信息的处理规则。

电子签场景里，三法叠加生效。签署系统要满足网络安全等级保护，签署数据要满足分类分级保护，签署人的身份信息要满足个人信息处理规则。企业在做电子签合规时，不能只盯一部法，要三法协同看。

落到行动上，企业现在能做的是三件事：梳理自己的签署数据属于哪一档、对照五项审查清单评估现有电子签平台、把数据安全责任写进内部的合同管理制度。