重庆搞了个全国第一。不是什么GDP排行，不是什么网红打卡地。是给 数据安全立了部地方性法规。

《重庆市数据安全管理条例》，7月30日人大常委会通过，9月1日施行。 6章45条。听着不多，但分量很足——全国首部系统性规范数据全生命周期安全管理的地方性法规。

你可能会说，不是有《数据安全法》吗？21年就有了啊。

没错，上位法是有了。但你做过落地就知道，上位法那玩意儿像宪法，方向对，但到了具体场景你根本不知道该找谁。谁家数据安全做好了？该报给网信还是公安？为什么同一个合规项不同部门要你 重复交材料？

这就是重庆要治的病。

讲个场景你品品。

一家重庆本地的中大型企业，每年光应付数据安全检查就得掉一层皮。 网信来查一遍，公安来查一遍，大数据局来查一遍，行业主管部门再来查一遍。查的内容大差不差，但每一家都让你准备一套材料、走一套流程、盖一套章。你合规团队一年到头，正经活没干多少，全在迎检。

更离谱的是出了事之后。基层单位发现个数据风险，不知道该往哪个口子上报。打给网信，网信说这个你应该找公安。打给公安，公安说你得先报大数据局。打给大数据局，大数据局说你的行业主管是谁，先跟他们说。

一圈电话打完，数据都已经被人拖走了。

这就叫 “九龙治水”。听起来挺威风的，九个部门都在管，但结果是推诿扯皮、重复检查、出了事找不到人。

所以重庆决定不跟你玩虚的了，立个法，把权责划分清楚。

整部《条例》最核心的，就一句话。

以前数据安全是谁的锅？默认答案：技术部门。出了事第一反应： “IT没管好啊。”但你仔细想，数据是业务部门在用、业务部门在改、业务部门在往外给，凭什么出了事安全责任全甩给IT？

《条例》直接把这个逻辑翻了个个。业务归你管，数据就归你管，安全责任就归你背。别跟我扯什么 “数据安全不是我的专业”，法律说了，是你的。

然后《条例》把各职能部门的活儿也分清楚了。

各有各的地盘， 别串门。

数据按重要性分了三级：

这个框架不是重庆发明的，是《数据安全法》定的。但重庆做了一件特实在的事，就是把 “怎么管”落地了。

重要数据实行 目录管理。目录里要写清楚：数据基本情况、责任主体是谁、怎么处理的、安全风险评估结果。

懂的人一听就懂。以前不少地方搞数据分类分级，最后变成了 “把你所有的敏感数据再给我复制一份交上来”。合着你是来管安全的，还是来扩大攻击面的？

这个设计很重庆。 务实。

以前出数据泄露事件，企业常用的一个借口是： “日志被新数据覆盖了，没法追溯。”

是真覆盖了还是不想追？谁都说不清。但后果是一样的：找不到日志，定不了责。

《条例》直接给你把 “日志覆盖”这条路堵死了。四档标准：

最低6个月起步，最高干到3年。没存够？ 违规本身就可以罚你，用不着等你出事再追责。

做合规的朋友，你每年跑几轮测评？

四套东西，内容重合度不低，但每家都要你重新搞一遍。钱花了不说，人力搭进去大半年。

有企业的人算了笔账，光这一条一年能省 几十万。更重要的是不用每年脱一层皮了。

人工智能

《条例》专门写了一句给搞AI的：提供人工智能研发应用服务的主体， 须依法处理数据、加强个人信息保护。

云服务

数据出境

离施行不到一个月了，给你列个清单：

不是把数据管死，是给你划个 安全区，让你在这个区里放心跑。

这部法规的真正价值，不是重庆定了多严的规矩。而是它第一个让数据安全从 “上位法大框架”变成了 “可执行的本地条文”。

有了第一个，就会有第二个、第三个。其他省市的同行， 作业摆这儿了，看着抄吧。

9月1日，记一下。