重庆立法全流程数据安全：日志留存最长3年，云上数据删了也不能“复活”

重庆近日出台数据相关条例，在数据安全法基础上细化全生命周期防护流程，为数据处理主体搭建闭环安全防护体系。最受关注的是对“数据操作日志”的强制留存要求：一般日志留存不少于6个月；互联网政务应用日志留存不少于1年；涉及重要数据安全事件处置溯源的日志留存不少于1年；涉及向他人提供、委托处理、共同处理重要数据和个人信息的，相关日志留存不少于3年。

为什么死磕日志留存

以往不少数据泄露事件处置中，企业常以“日志被新数据覆盖、无法追溯”为由规避追责。条例给不同情形设定强制性留存期限，既为安全事件调查溯源提供完整依据，又从法规层面杜绝“销毁日志规避追责”的行为。这意味着企业的数据操作从此“全程留痕、可回溯”，安全治理从“事后灭火”变成“事前留证”。

条例还对企业上云提出硬约束：国家机关、人民团体采购云计算服务，必须选择通过国家云计算服务安全评估的云平台；云服务商在服务合约到期后，必须按约定处理用户存储在云平台上的全部数据，不能私自留存，更不许用技术手段恢复已删除的数据。这对做官网运营、SaaS系统、数据托管的企业是直接的合规红线——选云不能只看价格，先看有没有过安全评估；和云商签合同，要把“合约到期数据彻底处置”写进条款。

企业数据合规的三个动作

第一，建立日志留存机制，按数据敏感度设6个月到3年的留存档位，别等出事才补。第二，云采购过安全评估，选通过国家云计算服务安全评估的平台，合同写明数据处置条款。第三，定期做数据盘点，分清哪些是对外提供/委托处理的重要数据和个人信息，这些环节日志和管控最严。