数据安全法与实验室数据分类分级：检测机构怎么落地

数据安全法对检测机构的适用性

《数据安全法》是数据领域的基础性法律，2021 年 9 月 1 日起施行。检测机构通常不觉得自己是“数据处理者”，但事实上：客户委托信息、商业秘密性质的检测数据、直报监管平台的数据，都在“数据处理活动”范畴内。

法律要求开展数据分类分级管理：按数据遭篡改、泄露后对国家安全、公共利益或个人合法权益造成的危害程度分级，级别越高保护越强。这为实验室的数据管理提供了法定框架——不再只是“内部管理要求”，而是法律义务。

实验室数据三级分类参考

• 核心级：原始检测数据与记录、直报监管数据、审计追踪——对应系统硬约束：审计追踪不可关闭、修改留前值、导出走审批；
• 重要级：客户与合同信息、检测报告全文——访问控制到人、传输加密、脱敏导出；
• 一般级：公开的资质信息、宣传内容——常规访问控制即可。

系统层面的落地控制项

分类分级落地到 LIMS 的路径：数据字段级权限（谁可见、谁可改、谁可导出分权管理）、按级别的差异化保护（核心级禁止批量导出、强制审计；重要级脱敏显示）、重要数据定期风险评估并留存报告。

与网络安全法的衔接：分级结果决定等保定级参照，核心级数据所在系统按更高等级建设；与《检验检测机构监督管理办法》的衔接：6 年保存期按数据级别分别配置，处置留痕。

机构自查要点

• 建立数据资产清单：系统、数据类别、级别、责任部门四要素齐全；
• 核心级数据的访问、修改、导出全量审计且审计不可篡改；
• 对外共享（客户下载、监管直报）走受控通道并记录；
• 每年一次数据安全风险评估，输出整改清单并闭环。