第15章 合规（三）：数据安全三法与无人机低空
本章导读
前两章的冲突是“能不能做、能不能公开”，这一章往后走：数据存在哪、能不能出去、无人机谁来飞。本章对应原报告 4.6—4.7 节：4.6 节顺着《网络安全法》修订、数据出境规则、个人信息保护三条线讲数据安全三法，核心变化是罚则从“过测评拿证”变成“出事能否免责”；4.7 节讲无人机测绘的资质要求已从部门规章升为行政法规，并给出配套国标。全章最需要记住的是出境判断的顺序：先问是不是重要数据，一旦成立就直接触发安全评估，与人数无关，“我们数据量不大”不是抗辩理由。读完你能为自己的数据出口画出决策路径。
学习目标
读完本章，你应当能够：
- 能说出《网络安全法》修订的施行日期（2026 年 1 月 1 日）与罚则的两个量级（单位最高 1000 万元、直接责任人最高 100 万元）；
- 能画出 4.6.2 节数据出境的三步决策顺序，并解释为什么“重要数据”一旦成立就直接触发安全评估、与人数无关；
- 能区分数据出境三种机制（安全评估、标准合同、保护认证）的适用边界，并说出免予机制的情形；
- 能说明个人信息保护法在三维场景中的落点（点云中的人脸、车牌、行人轨迹），以及建模管线里需要内置什么环节；
- 能引用国务院令、中央军委令第 761 号第三十五条的规定，说明无人机测绘为什么必须先取得测绘资质、外方操控为什么被禁止；
- 能说出 GB/T 45522-2025 的发布与实施日期、适用机型范围，并判断一个航测项目是否需要按它做注册；
- 能列出“重要数据目录未公开”这一现实困境下的合规动作（自行识别、申报审核、留存书面检索记录）。
4.6 数据安全三法：2026 年的新罚则
4.6.1 《网络安全法》完成修订（时效性最强的一条）
2025 年 10 月 28 日，第十四届全国人大常委会第十八次会议通过《关于修改〈中华人民共和国网络安全法〉的决定》，以中华人民共和国主席令第六十一号公布，自 2026 年 1 月 1 日起施行。
〔来源：中国人大网，主席令第六十一号，2025-10-28，http://www.npc.gov.cn/npc/c1773/c1848/c21114/wlaqfxz/wlaqfxz002/202511/t20251103_449246.html〕
罚则的变化是数量级的：修改后按后果分级形成梯度罚则——不履行网络安全保护义务的，区分一般后果、严重后果（如大量数据泄露）、特别严重后果（如关键信息基础设施丧失主要功能），罚款区间从 1 万元直至 1000 万元；对直接负责的主管人员和其他直接责任人员处罚提高至 20 万元至 100 万元。其中造成关键信息基础设施丧失主要功能等特别严重危害后果的，处 200 万元以上 1000 万元以下罚款，对直接负责的主管人员和其他直接责任人员处 20 万元以上 100 万元以下罚款。
对三维 GIS 项目的直接影响：地理信息数据库、三维发布平台、在线服务门户若定级为三级，其“不履行安全保护义务”的责任上限从旧法量级跃升到千万量级，且个人责任被显性化。等保合规的性质从“过测评拿证”变成“出事时能否免责”。
4.6.2 数据出境：先判断“是不是重要数据”
《数据出境安全评估办法》（网信办令第 11 号，2022 年 9 月 1 日施行）与《促进和规范数据跨境流动规定》（网信办令第 16 号，2024 年 3 月 22 日公布并施行）共同构成现行规则。后者的第十三条规定，与前者不一致的以前者为准不再适用，即新规优先。
决策顺序极其重要（这是很多人弄反的地方）：
第一步：是否为“重要数据”？
├─ 是 → 直接触发数据出境安全评估（无论人数多少）
└─ 否 → 进入第二步
第二步：是否含个人信息？
├─ 否 → 一般可自由出境（但仍受行业规定约束）
└─ 是 → 进入第三步
第三步：按人数与敏感程度判断机制
├─ 关基运营者 / 非关基提供重要数据 / 年度累计 100 万人以上一般个人信息 / 1 万人以上敏感个人信息 → 安全评估
├─ 非关基 10 万—100 万人一般个人信息 / 不满 1 万人敏感个人信息 → 标准合同或保护认证
└─ 不满 10 万人一般个人信息（非关基）等情形 → 免予三项机制
地理信息项目的关键结论：只要被认定为“重要数据”，第七条就直接触发评估，与人数无关。因此“我们数据量不大”不是抗辩理由。
现实困境：自然资源部已形成 2024 年度、2025 年度自然资源领域重要数据目录，但未见对外公开的可检索版本〔来源：自然资源部“一张图”建设工作问答（八），2026-05-11〕。企业只能走“自行识别 + 申报审核”路径，并保留书面检索与沟通记录作为善意证明。
汽车行业的专门规定：《汽车数据安全管理若干规定（试行）》（五部门令第 7 号，2021 年 10 月 1 日施行）把“军事管理区、国防科工单位以及县级以上党政机关等重要敏感区域的地理信息、人员流量、车辆流量等数据”直接列为重要数据。
4.6.3 个人信息：三维场景中的人和车
《个人信息保护法》（2021 年 11 月 1 日施行）在三维场景中常被忽视：点云中的人脸、车牌、行人轨迹，在“可识别性”标准下可能构成个人信息甚至敏感个人信息；实景三维模型若保留可辨识的门牌与住户特征，同样存在风险。
工程要求：建模管线中应内置人脸/车牌自动检测与模糊化环节，并保留处理日志。这不是“锦上添花”，而是个人信息保护的法定要求（尤其在公开示人的场景中）。
4.7 无人机与低空：资质要求已上升为行政法规
《无人驾驶航空器飞行管理暂行条例》（国务院令、中央军委令第 761 号，2023 年 5 月 31 日成文，2023 年 6 月 28 日公布，2024 年 1 月 1 日施行）中有两条与三维 GIS 强相关：
- 第三十四条禁止行为，第（一）项“违法拍摄军事设施、军工设施或者其他涉密场所”，第（七）项“非法获取、泄露国家秘密，或者违法向境外提供数据信息”。
- 第三十五条：使用民用无人驾驶航空器从事测绘活动的单位依法取得测绘资质证书后，方可从事测绘活动；外国无人驾驶航空器或者由外国人员操控的无人驾驶航空器不得在我国境内实施测绘、电波参数测试等飞行活动。
〔来源：中国政府网，国务院令第 761 号，https://www.gov.cn/zhengce/zhengceku/202306/content_6888800.htm〕
这条的意义在于层级：把测绘资质要求从部门规章提升到了行政法规层级，处罚依据随之变化，地方自然资源部门的行政检查事项已明确列出对无人机测绘资质的检查。
配套标准：GB/T 45522-2025《无人机遥感测绘注册规范》，2025 年 4 月 25 日发布、2025 年 8 月 1 日实施，适用空机质量 ≤116 kg、起飞全重 ≤150 kg 的民用无人机遥感系统，规定资源注册、任务注册和飞行计划注册规则。这是 2025 年新增的、对航测项目有直接约束力的推荐性国标。
本章小结
- 《网络安全法》修订自 2026 年 1 月 1 日施行，罚则形成梯度：单位最高 1000 万元、直接负责的主管人员和其他直接责任人员最高 100 万元；三级系统出事的责任上限与个人责任都变了。
- 等保的性质随之改变：从“过测评拿证”变成“出事时能否免责”，测评报告与密评结果要当作证据留存，不只是验收材料。
- 出境判断的顺序是先问是不是重要数据、再问有没有个人信息、最后按人数与敏感程度选机制；重要数据一旦成立就直接触发评估，与人数无关。
- 自然资源领域重要数据目录已形成年度版本但未见公开可检索版本，企业只能自行识别并申报，同时保留检索与沟通记录作为善意证明。
- 汽车行业有专门口径：军事管理区、国防科工单位、县级以上党政机关等重要敏感区域的地理信息与人员车流数据，直接列为重要数据。
- 三维场景中的个人信息常被漏掉：点云里的人脸、车牌、行人轨迹，以及可辨识的门牌与住户特征，都要在管线里做检测、模糊化并留日志。
- 无人机测绘的资质要求已由部门规章升为行政法规（国务院令、中央军委令第 761 号，2024 年 1 月 1 日施行），外方无人机与外方人员操控禁止在我国境内实施测绘。
思考与练习
- 查你单位一个三维发布系统在等保中的定级，按 4.6.1 节算出“不履行安全保护义务”可能触及的罚款区间，写进风险台账。
- 为一条真实数据出口画 4.6.2 节的三步决策图：是否重要数据、是否含个人信息、落在哪种机制，最后写结论与依据。
- 辨析：项目组认为“我们数据量不大，出境不用评估”。请用 4.6.2 节条款说明这句话在什么前提下成立、什么前提下不成立。
- 应用题：某实景三维项目要公开发布，点云里可能有人脸与车牌。按 4.6.3 节给出管线改造方案与验收判据。
- 取一份你单位的航测作业计划，按 4.7 节核对资质、空域、外方参与三项，并查 GB/T 45522-2025 是否适用于该机型。
- 写一段不超过 150 字的合规备忘，说明等保测评报告、密评结果、脱敏处理日志三份材料各自在什么场景下能救急。