26年大数据应用执行规范

26年大数据应用执行规范演讲人2026-04-28

规范制定背景与核心原则01重点场景大数据应用专项执行规范02大数据应用全生命周期通用执行规范03违规风险监控与责任落实机制04目录

作为拥有六年一线大数据合规落地咨询经验的从业者，近两年来我接触了近百家不同行业的市场主体与公共服务机构，见过太多因执行环节不规范，轻则百万级罚款、业务整改，重则核心业务停摆的案例。去年我牵头处理某头部生成式AI企业的合规整改，就是因为训练数据爬取阶段未规范清理个人敏感信息，被监管部门处以近千万元罚款，这个案例让我更加深刻意识到：大数据应用的合规不能停留在纸面包袱式的条文，必须有可落地、可执行、可核查的操作规范。2026年随着生成式AI大规模商业化落地，我国《数据安全法》《个人信息保护法》的监管体系进一步细化，原有框架性要求已经无法匹配一线业务的实际需求，因此我结合最新监管规则与千余个项目的落地经验，整理了这套大数据应用执行规范。下文将从规范制定的背景与核心原则、全生命周期通用执行要求、重点场景专项执行规范、风险管控与责任落实四个维度循序渐进展开说明，最后对核心要求做总结提炼。01ONE规范制定背景与核心原则

1制定背景1.1监管环境的新变化2025年底网信办、工信部联合更新了《生成式人工智能服务数据安全管理办法》《数据出境安全评估申报指南》，针对大数据应用的违规行为明确了“穿透式监管”的要求，不再只追责企业主体，还会倒查具体环节负责人的责任。监管层面已经从“结果合规”转向“过程合规”，哪怕最终未造成数据泄露，只要执行环节不符合规范，就会被要求整改甚至处罚，这是近两年我感受最明显的变化。

1制定背景1.2产业发展的实际需求国内大数据产业已经从早期的流量驱动转向价值驱动，企业对大数据的应用从“求规模”转向“求质量”，用户对个人信息保护的意识也在不断提升，据我去年做的行业调研，近72%的用户会主动拒绝非必要的信息授权，合规已经成为企业获取用户信任、获得市场竞争力的核心要素，一套明确的执行规范是所有开展大数据应用的主体的刚需。

2核心执行原则2.1合法正当必要原则所有大数据应用必须符合现行法律法规要求，不得通过欺诈、胁迫、诱导等方式获取数据，应用目的不得损害国家利益、公共利益和用户合法权益，所有数据采集与应用都必须有明确、合理的业务需求，不得为了“潜在用途”提前囤积数据。

2核心执行原则2.2最小够用原则我见过太多企业犯同一个错误：做普通零售会员注册非要收集用户身份证号、家庭住址，做本地生活服务非要申请通讯录、相册权限，实际上核心业务只需要一个手机号就能完成，这种超额采集就是典型违反最小够用原则。本规范要求，能少采集就不多采集，能不碰敏感个人信息就不碰，能匿名化处理就不保留可识别身份的信息。

2核心执行原则2.3权责一致原则谁采集谁负责，谁应用谁负责，谁管理谁负责，每个环节都必须明确责任主体，不得通过合作、外包等方式转移合规责任。

2核心执行原则2.4公开透明原则所有数据采集与应用的规则必须对用户公开，不得隐藏规则、暗地采集，用户对个人信息的知情权、决定权必须得到保障。

3适用范围3.1适用主体本规范适用于所有开展大数据采集、加工、存储、应用、流通、销毁活动的市场主体、公共服务机构、科研机构，覆盖ToC、ToB、公共服务等所有类型的大数据应用活动。

3适用范围3.2效力说明本规范为行业落地执行参考，具体要求以现行法律法规与监管部门要求为准，核心是将法律条文转化为可执行的操作标准。以上明确了本规范的制定背景、核心原则与适用范围，接下来我们进入核心内容，对大数据应用全生命周期的各个环节明确具体执行要求。02ONE大数据应用全生命周期通用执行规范

1数据采集环节执行规范1.1采集前的合规审查所有采集活动启动前必须完成三项审查：第一是数据来源合法性审查，通过第三方获取的数据必须索要来源证明、授权证明，不得从非法交易渠道、未获得授权的爬取渠道获取数据，我接触过的近八成数据违规案件，根源都是数据来源不合法；第二是数据安全与个人信息影响评估，采集个人信息超过10万人份、采集重要数据的，必须完成正式的个人信息保护影响评估（PIA），形成评估报告存档；第三是授权合规性审查，必须提前准备好符合要求的告知内容与授权入口，不得打包授权、默认授权。

1数据采集环节执行规范1.2采集过程的操作要求第一，告知内容必须清晰易懂，不得用晦涩的专业术语模糊核心内容，必须明确告知用户采集的目的、范围、存储期限、使用方式、用户享有的权利；第二，敏感个人信息必须单独获得用户的书面授权，不得与一般授权打包，敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等，凡是属于敏感个人信息的，必须单独弹框、单独确认；第三，不得在用户关闭授权后继续偷偷采集，比如用户关闭位置权限后，不得通过其他方式间接采集用户位置信息，不得诱导用户开启非必要权限。

1数据采集环节执行规范1.3采集后的存证要求所有采集的授权记录、来源证明、评估报告必须完整存档，存档期限不得少于业务停止后三年，应对监管检查与用户诉求核查。

2数据存储与加工环节执行规范2.1分级存储要求按照数据分级分类标准落实存储要求：核心数据必须存储在境内符合安全要求的本地服务器，不得向境外存储或者访问；重要数据必须采用全链路加密存储，访问必须开启双因子认证；个人信息必须做去标识化处理，单独存储可识别身份的标识部分与业务信息部分；公开数据可按照常规要求存储。

2数据存储与加工环节执行规范2.2加工环节合规要求第一，加工目的不得超出采集时告知用户的范围，如需变更加工目的，必须重新获得用户授权，比如采集用户健康数据用于慢病管理，不得擅自转为用于保险定价，这个是很多企业容易踩的坑；第二，匿名化处理必须符合国家标准，不得将简单打码的去标识化数据当做匿名化数据，匿名化处理后的数据必须经过核查，确认无法复原到特定自然人，才能免除个人信息保护相关责任；第三，加工过程必须做脱敏处理，凡是对外输出或者内部非授权岗位调用的数据，必须提前脱敏去掉敏感信息与可识别个人身份的信息。

2数据存储与加工环节执行规范2.3加工质量管控加工完成后必须做数据校验，剔除错误、重复、无效的数据，避免因数据错误导致应用结果偏差，损害用户权益，比如金融风控环节的错误数据，会导致用户被错误判定为高风险，影响用户正常借贷权益，这类问题大多源于加工环节的质量管控缺失。

3数据应用与流通环节执行规范3.1内部应用操作要求严格落实权限分级管控，按照“业务需要最小范围”分配数据访问权限：一线客服仅能查看用户订单相关必要信息，无法查看用户完整身份信息、支付信息；数据分析师仅能调用脱敏后的汇总数据，无法访问单体用户的完整信息；核心敏感数据仅对少数合规管理岗位开放，并且所有访问操作都必须留痕，每一次查询、下载都要有记录可查。

3数据应用与流通环节执行规范3.2对外流通与合作执行要求第一，对外提供个人信息必须获得用户的单独授权，法定要求除外，共同处理个人信息的合作必须签署合规协议，明确双方的权责划分，约定数据使用范围、安全保护责任、违规责任；第二，采用联邦学习、隐私计算等新型数据合作模式的，也要落实合规审查，确认不会泄露原始个人信息，做好存证；第三，所有对外流通的数据必须做脱敏处理，不得直接提供原始可识别个人身份的数据。

3数据应用与流通环节执行规范3.3商业化应用禁止要求不得利用大数据实施“大数据杀熟”，不得基于用户的消费能力、消费习惯实施差异化定价，不得利用大数据侵害消费者的公平交易权，近两年已有近百家平台因为这个问题被处罚，我上个月刚帮一家本地酒店集团做了整改，就是因为给老用户的预定价格高于新用户，被用户投诉后受到了监管处罚。

4数据销毁环节执行规范4.1销毁触发条件达到存储期限、用户主动申请注销账号、业务停止运营、用户要求删除个人信息的，必须在15个工作日内完成对应数据的销毁，不得因“潜在用途”留存数据，很多企业就是因为用户注销后还长期留存信息被处罚，这个细节一定要注意。

4数据销毁环节执行规范4.2销毁操作要求电子存储的数据必须做不可恢复性删除，不得仅做常规删除或者拖入回收站，物理存储介质必须做粉碎处理，销毁过程必须安排两名以上工作人员见证，形成销毁记录存档备查。全生命周期的通用规范是所有大数据应用都必须遵守的基础要求，针对当前几类高风险的重点应用场景，我们还需要明确专项执行要求，接下来展开说明。03ONE重点场景大数据应用专项执行规范

1生成式人工智能训练与应用场景1.1训练数据来源合规要求训练数据必须做来源合法性核查，爬取公开网络内容的，不得爬取涉及个人隐私、受著作权保护未授权的内容，不得爬取用户未公开的聊天记录、笔记、私密发布内容，训练数据中涉及个人信息的，必须符合个人信息保护的要求，获得对应授权，去年被罚的几家大模型企业，都是因为训练数据来源不规范。

1生成式人工智能训练与应用场景1.2训练过程合规要求训练前必须对训练数据做过滤脱敏，清理违法违规内容、个人敏感信息、可识别特定自然人的信息，训练过程必须记录数据来源、清洗规则，留存完整日志备查。

1生成式人工智能训练与应用场景1.3落地应用合规要求向用户提供AI生成内容服务的，必须明确告知用户内容为AI生成，不得冒充自然人原创，用户对AI生成内容有异议的，必须在7个工作日内响应用户的申诉请求，及时处理纠正。

2零售与互联网精准营销场景2.1用户画像构建要求不得将敏感个人信息用于用户画像构建，除非获得用户的单独明确授权，且符合法定要求，不得基于敏感个人信息对用户做标签分类，不得构建侵害用户权益的歧视性标签。

2零售与互联网精准营销场景2.2个性化推送合规要求必须为用户提供一键关闭个性化广告推送的选项，入口必须清晰可见，不得隐藏在多层菜单之后，不得向未成年人推送个性化商业广告，不得针对未成年人推送不符合年龄要求的内容。

3金融风控与政务大数据应用场景3.1金融大数据风控应用要求风控所用的数据来源必须合法，不得使用非法获取的社交数据、位置数据做风控，必须为用户提供知情权，用户有权查询风控所用的数据来源，有权对错误的风控结果申请更正，不得基于非法数据拒绝用户的金融服务申请。

3金融风控与政务大数据应用场景3.2政务大数据开放与应用要求政务数据开放必须做脱敏处理，不得开放涉及国家秘密、个人隐私、商业秘密的内容，仅能开放脱敏后的汇总统计数据，政务数据与企业合作开展应用的，必须经过正式审批，不得将政务数据用于商业化变现。

4数据出境场景4.1出境前合规申报凡是向境外提供个人信息、重要数据的，必须按照要求申报数据出境安全评估，或者签署标准合同、完成备案，不得未经申报擅自出境，哪怕数据存储在境内，只要境外机构可以访问，也需要符合出境合规要求。

4数据出境场景4.2出境过程管控不得通过私人邮箱、境外云盘、即时通讯工具等违规渠道传输出境数据，所有出境数据必须做加密处理，留存完整的传输记录，存档不少于三年。明确了各环节各场景的执行要求，合规落地还需要配套的风险管控机制，才能及时发现问题、解决问题，接下来我们说明风险监控与责任落实的执行规范。04ONE违规风险监控与责任落实机制

1常态化风险监控机制1.1定期合规审计企业每季度需要做一次专项数据合规审计，每年做一次全面合规审计，重点检查采集授权、数据存储、应用范围是否符合规范，形成审计报告，针对发现的问题及时整改。

1常态化风险监控机制1.2技术监控手段必须部署数据安全管控系统，对数据访问、下载、外传操作做实时监控，发现异常操作比如批量下载个人信息、违规外传数据，立刻触发告警，及时处置。

1常态化风险监控机制1.3用户诉求响应机制必须设立专门的用户个人信息诉求响应通道，在官方渠道公开响应方式，对用户的查询、更正、删除、注销申请，必须在15个工作日内完成处理并回复用户，不得拖延、拒绝用户的合法诉求。

2违规事件应急处置规范2.1事件分级管控按照影响范围将事件分为三级：影响用户不足1000人的为一般事件，影响用户1000人以上1万人以下的为较大事件，影响用户1万人以上或者涉及核心数据、重要数据泄露的为重大事件，不同等级对应不同的处置流程。

2违规事件应急处置规范2.2标准处置流程发现数据安全事件后，第一时间采取止损措施，关闭违规访问通道，控制事件影响范围；然后按照要求通知受影响的用户，重大事件必须在72小时内向属地监管部门上报；最后完成整改，排查问题根源，完善规范流程。

2违规事件应急处置规范2.3事后复盘改进处置完成后一个月内必须完成复盘，分析事件发生的原因，对应完善执行规范与管控机制，避免同类事件再次发生。

3责任落实与人员培训3.1明确责任体系企业主要负责人是大数据应用合规的第一责任人，