中小企业的数据合规从哪开始

数据安全法、个人信息保护法实施以来，大型企业纷纷成立合规部门，中小企业普遍焦虑但无从下手。观察下来，绝大多数中小企业的问题不在法律理解，而在基础管理。

四个能马上做的事

梳理数据清单。判断清楚有哪些个人信息、存在哪里、谁能访问。很多企业做这一步就发现了隐患：员工用个人网盘备份客户资料。

收窄访问权限。按岗位给权限，离职当天回收账号，这是成本最低、收益最高的一步。

给表单加隐私声明。收集手机号、身份证号时说明用途、保存期限和联系方式，只需要一段文字。

处理历史遗留数据。超过保存期限的、不再使用的个人数据，按流程清理。

容易踩的坑

照搬大企业的制度模板，厚厚一本制度挂在墙上，实际执行不了，反而掩盖风险。

只关注线上系统，忽略微信群、个人邮箱、U 盘这些渠道，常见的泄露恰好发生在这里。

把合规当成一次性项目，做完就不再维护，而人员流动和业务变化让制度很快失效。

中小企业合规的原则是：先解决有没有，再讲究好不好。从数据清点和权限回收开始，一步都算数。