重要数据目录由谁制定？简单说，重要数据目录由省级以上数据安全工作协调机制统筹，具体由网信部门会同相关行业主管部门制定。在上海，市民若涉及数据处理活动，可关注上海市网信办会同各行业主管部门发布的相关目录或指引。下面从一个生活场景说起，帮您理清背后的法律逻辑。
场景引入：一家上海企业的困惑
张先生在上海经营一家智能硬件公司，产品收集用户位置、健康等数据。最近他听说“重要数据”需要特别管理，却搞不清目录由谁制定、自己该找哪个部门。这其实是很多企业负责人的共同疑问。重要数据目录的制定主体，法律有明确安排，并非某个单一部门说了算。
事件的法律定性：重要数据目录是什么
重要数据目录是一份清单，列明哪些数据属于重要数据，从而触发更严格的处理要求。它不同于国家秘密，也不同于一般个人信息。根据《中华人民共和国数据安全法》，国家建立数据分类分级保护制度，对重要数据实行目录管理。这里要注意，目录的制定不是企业自行申报，也不是行业协会随意认定，而是有法定权限的机关依法定程序形成。
《中华人民共和国数据安全法》第二十一条：国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护。
从条文看，重要数据目录的制定主体是“国家数据安全工作协调机制统筹协调有关部门”。实践中，省级层面也会根据国家要求制定本地区的重要数据目录。上海地区的一般执行口径是，市网信部门牵头，会同经济信息化、公安、交通、卫生健康等行业主管部门共同研究确定，并动态更新。
争议焦点逐层剖析：到底谁说了算？
国家层面：协调机制统筹，行业部门参与
国家数据安全工作协调机制负责统筹协调，具体目录由网信部门会同相关行业主管部门拟定。比如工业数据、金融数据、医疗数据的重要目录，分别会有对应行业主管部门深度参与。这体现“谁主管谁负责”的原则，避免外行定标准。
地方层面：省级统筹，上海有细化安排
省级数据安全工作协调机制负责本地区重要数据目录的制定和管理。在上海，市网信办承担统筹协调职责，各行业主管部门负责本行业重要数据的识别和目录建议。企业不能自行认定某类数据是否属于重要数据，而应对照已发布目录或向主管部门咨询确认。
企业角色：配合识别，而非自行制定
企业是重要数据目录的适用对象，不是制定主体。企业需要按照目录要求开展数据分类分级，识别自身处理的数据是否落入目录范围。如果目录尚未明确覆盖某一新型数据，企业应主动与行业主管部门沟通，而不是自行“拍板”决定。
实务操作要点：企业如何应对重要数据目录
面对重要数据目录，企业可以从以下步骤入手，确保合规：
- 第一步，梳理自身数据资产，按业务线列出数据种类、来源、处理目的和共享对象，形成数据清单。
- 第二步，对照国家及上海市已发布的重要数据目录或行业指引，逐项比对，初步判断是否涉及重要数据。
- 第三步，对可能属于重要数据的数据项，评估其一旦泄露或篡改可能造成的危害，并记录评估过程。
- 第四步，主动向所在行业主管部门或市网信部门咨询确认，必要时提交数据分类分级情况说明。
- 第五步，根据确认结果，落实重要数据保护要求，包括明确安全负责人、建立管理制度、采取技术措施等。
这里要注意，重要数据目录是动态调整的，企业应持续关注主管部门发布的最新目录或通知。上海地区实践中，行业主管部门可能会通过培训、指引等方式帮助企业理解目录要求。
结尾建议：合规从弄清目录开始
重要数据目录由谁制定，答案已经清晰：国家数据安全工作协调机制统筹协调有关部门制定，地方层面由省级协调机制统筹、行业主管部门参与。对企业和个人而言，关键是养成对照目录、主动确认的习惯。数据合规不是一朝一夕的事，建议结合自身业务特点，定期梳理数据资产，必要时咨询专业律师，把法律要求转化为可落地的管理动作。