《数据安全法》要点速查：冷链监测数据的合规底线

定位

《中华人民共和国数据安全法》（2021 年 9 月 1 日施行）是我国数据安全领域的基础性法律。冷链数字化系统——温湿度监测平台、AIoT 采集网关、疫苗追溯系统——每天都在产生和处理大量数据，这些活动都在该法的适用范围内。

与冷链数字化相关的核心要求

数据分类分级保护（第二十一条）：国家建立数据分类分级保护制度，对重要数据实行重点保护。冷链企业首先要搞清楚自己手里有什么数据：温度监测数据、报警记录、设备台账、追溯数据、受种者信息……不同级别对应不同保护强度。

全流程数据安全管理（第二十七条）：开展数据处理活动应当建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。这一条是监管检查最常引用的"兜底条款"——有没有制度、有没有培训、有没有技术措施，缺一不可。

风险监测与应急处置：发现数据安全缺陷、漏洞或发生数据安全事件时，应当立即采取处置措施、告知用户并报告主管部门。监测平台被入侵、数据被篡改或泄露，都不是"内部小事"。

实务要点

• 建数据台账：明确哪些系统存什么数据、谁是责任人、属于什么级别。温度原始数据涉及质量追溯的，应按更高级别管理。
• 权限最小化：监测平台账号分级授权，离职人员账号及时回收；管理员操作留痕。
• 备份与可用性：数据安全不只是"防泄露"，也包括"防丢失"——温度记录按 GSP 要求保存不少于 5 年，备份策略要能保证这点。
• 供应商管理：使用第三方云平台或 SaaS 监测系统时，合同中应明确数据归属、安全措施、事件通报责任。

常见误区

• "温度数据不是个人信息，所以不受管"——分类分级保护针对的是所有数据，不只个人信息。
• 只有 IT 部门的事——该法要求的是组织级制度和全员培训，运维、质量部门同样在链条上。
• 系统上云就免责——数据安全责任仍在数据处理者本身，外包不等于外包责任。

参考：《中华人民共和国数据安全法》（2021 年）。