日志、爬虫、数据出境，工程师的责任线在哪一步

上周有位做数据平台的同学问了个问题。他们公司的 BI 用的是海外 SaaS，为了做分析，把用户主表全量同步了过去，跑了大半年。字段里有姓名、证件号码、常驻地址、订单金额和联系方式字段。

他想知道这算不算事。

我反问三句：这批数据做过分类分级没有，出境走的哪条通道，同步链路的操作日志还留着吗。

三个都答不上来。

写代码的人对合规两个字的直觉，通常停在"我有没有恶意"。法律看的不是恶意，是动作本身落在哪个格子里。

一、《数据安全法》自己不设罪名，它把口子交给刑法

《数据安全法》2021年9月1日施行，主体是一部行政法。罚则集中在第四十五条到第四十九条，处理的是责令改正、警告、罚款、停业整顿、吊销执照这一层。

第四十五条管的是不履行数据安全保护义务：五万到五十万；拒不改正或者造成大量数据泄露等严重后果的，五十万到二百万，直接负责的主管人员和其他直接责任人员另处五万到二十万。第四十六条单独管重要数据出境，最高一档到一千万，责任人同样要罚。

注意直接责任人员这五个字，不是只罚公司。谁写的同步任务、谁审批的导出、谁给的库权限，处罚决定书上是有名字的。

把行政层和另一层连起来的，是第五十二条：违反本法规定，构成犯罪的，依法追究刑事责任。数据安全法刑事责任这个说法，落点全在这句衔接条款上。它自己不定罪名，定罪名的是刑法。

二、判断从哪一步开始变性质

同样是拿到了一批数据，行政处理还是被追究，实务上看这几个变量。

权限。 你是在自己的授权范围内取数，还是绕过了校验。绕验证码、伪造登录态、复用他人凭证、拿测试账号读生产，都属于突破。刑法第二百八十五条第二款说的非法获取计算机信息系统数据，核心就是侵入或者采用其他技术手段。

数据性质。 财产信息、行踪轨迹、通信内容、征信信息是一档；住宿、通信记录、健康生理、交易信息是另一档；普通信息又是一档。2017年两高关于侵犯公民个人信息案件的司法解释给的门槛分别是五十条、五百条、五千条，违法所得五千元也单独成立。在履行职责或者提供服务过程中获得的，标准减半。后台岗位天天在履职中接触数据，减半这条最不利。

流向与数量。 数据留在系统里，和被导出、被外发、被卖掉，性质完全不同。出售和提供在法条里是并列的，不收钱也算提供。数量与获利最容易被量化，也是事后辩护里最难绕开的部分。

后果。 删改数据导致系统跑不起来，走的是第二百八十六条破坏计算机信息系统那条线，和拿数据不是一回事。运维执行一条没加 where 的 update，如果被认定为故意，性质就变了。

三、三个日常动作的具体边界

爬虫。 抓公开页面、遵守 robots、频率不压垮对方，通常停在民事和行政层面。一旦开始破解验证码、模拟登录、绕过风控读取需要授权才能看的内容，就落到第二百八十五条第二款，情节严重的三年以下，特别严重的三年以上七年以下。判断标准很朴素：你有没有为了拿数据而破过什么东西。

日志和导出。 《网络安全法》第二十一条要求留存网络日志不少于六个月。很多团队只留了访问日志，没留操作日志。真出事的时候能救人的恰恰是后者：哪个账号、什么时间、执行了什么语句、导出多少行、落到哪台机器。没有这层记录，"不是我干的"没有任何支撑。

数据出境。 三条通道：安全评估、标准合同备案、个人信息保护认证。2024年3月施行的《促进和规范数据跨境流动规定》放宽了小体量场景，当年累计出境不满十万人的非敏感个人信息可以免走这三条；十万到一百万人之间，或者不满一万人的敏感个人信息，走标准合同或者认证；超过一百万人，或者敏感个人信息超过一万人，要申报安全评估。重要数据另算，不论量级都要评估。

开头那位同学的问题到这儿就有答案了。全量同步、字段里有证件号码和财产信息、跑了大半年，量早过线，通道一条没走。

四、可落地的清单

生产库不给个人账号直连权限，取数走堡垒机加工单，写清字段和行数。

操作日志和访问日志分开留，不少于六个月，审计日志写到运维本人删不掉的地方。

导出设阈值告警：单次超量、非工作时间、导出后外发，命中一条就要有人复核。

测试环境禁用生产真实数据，用合成或者脱敏样本。掩码中间几位不算脱敏。

跨境链路先做数据分类分级，把重要数据和敏感个人信息标出来再定通道。服务商的机器在境外，就是出境。

离职清点本地导出文件、私人仓库、云盘副本。带走一份用户表，代价可能远超年薪。

需求里出现绕过、不留痕、先补授权这类字眼，留一份书面记录再动手。

数据安全合规刑事责任这类问题，企业往往到了被查才开始翻材料。个人信息保护刑事风险的防线，就在这些平时觉得麻烦的流程里。

五、换个角度看这些日志

北京百环律所深圳办案团队处理这类案子时，最先要的材料不是代码，是权限表和日志。技术人员在链条里处在什么位置，靠自述说不清楚，靠审批流说得清楚。

有完整审批记录、按规范留痕、发现异常上报过的人，和什么都没有的人，事后处境差很多。前者能证明自己尽到了注意义务，后者只能靠回忆。

工程师最容易吃亏的地方，是把合规流程当成拖慢迭代的累赘。它其实是你个人的证据链。

韩宝玉律师，北京百环律所深圳办案团队核心成员，曾任某省直属法院高级法官，37年审判经验。熟悉各类案件全流程，擅长从实务角度帮助当事人理清头绪、做出正确决策。

本文为普法内容，不构成针对具体个案的法律意见。