（一）数据分类分级：合规的“第一道门槛”
数据分类分级是全国全行业强制法定义务，无企业规模豁免条款。《数据安全法》第二十一条确立了数据分类分级保护制度；2025年1月1日起施行的《网络数据安全管理条例》（国务院令第790号）进一步明确，国家根据网络数据在经济社会发展中的重要程度实行分类分级保护。
投资人会首先要求企业提供数据分类分级的书面制度和数据清单。尽调团队必须首先确定目标企业处理的是仅一般数据，还是涉及重要数据或核心数据。未开展分类分级的企业，一旦发生数据泄露或监管抽查，会被直接认定为“未履行数据安全保护义务”——这意味着投资人的钱可能打了水漂。
（二）数据资产来源合法性：数据的“出身”决定价值
投资人会追溯关键数据的来源、授权范围和使用限制。对于AI等数据驱动型初创企业，训练数据的来源合法性是尽调的重中之重。投资人会要求企业提供训练数据来源的完整清单，并逐项核实授权链的合规性——自采数据需确保符合目标网站的robots协议及服务条款；采购数据需检查是否附有供应商的权利保证条款及完整授权文件。
实践中，一些企业早期为快速扩充数据量，从灰色数据渠道采购企业名录和联系人信息，这类“脏数据”虽已被部分清洗，但其痕迹仍可能混杂在现有数据库中，构成潜在的法律“原罪”。数据资产权属不清是投资并购中的数据合规高频风险点之一。目标企业的数据资产只有在合法获取的前提下才具有价值——非法获取的数据可能面临多部法律下的追责风险。
（三）数据处理全流程合规：从“收集”到“销毁”的闭环
《数据安全法》第二十七条要求数据处理者“建立健全全流程数据安全管理制度”。《网络数据安全管理条例》进一步系统规定了网络数据处理者的各项义务，包括建立健全网络数据安全管理制度、采取加密和访问控制等技术措施。
投资人会检查数据收集、存储、使用、共享、销毁的全流程——用户同意是否真正“知情且自愿”、数据最小化原则是否落实、数据加密和访问控制等技术措施是否到位。实务中，部分企业声称数据已“脱敏处理”，但经外部专家对脱敏样本数据进行“再识别”攻击测试后，发现可成功以较高概率重新关联到特定个人或企业——这表明其脱敏技术未达到监管要求的“无法复原”标准，存在严重的隐私泄露风险。
（四）数据出境合规：跨境业务的高压线
对于有跨境业务或接受境外投资的初创企业，数据出境是高频风险点。根据《数据出境安全评估申报指南（第三版）》，只要将境内运营中收集和产生的数据传输至境外，或允许境外机构查询、调取、下载，即属于数据出境行为。
投资人会审查企业是否依法履行了数据出境安全评估申报、标准合同备案或保护认证等义务。根据《促进和规范数据跨境流动规定》，除法定豁免情形外，非关键信息基础设施运营者且未达到安全评估门槛的企业，必须在“订立标准合同”与“通过保护认证”之间做出抉择。截至2025年3月，我国通过安全评估的项目仅298个，涉及重要数据的44个项目中不通过率达15.9%，凸显了合规门槛之高。
（五）数据安全事件应对能力：最后的防线
投资人会核查企业是否发生过数据泄露事件、如何处理的，以及是否具备事件响应预案。缺乏数据泄露应急处置能力的企业，会被视为重大风险项。实务中，一些企业虽然通过了ISO27001等认证，但内部数据访问权限控制存在过度宽松的问题，日志审计系统不完善，无法有效追溯所有敏感数据的访问记录。更有甚者，内部员工曾因不满导出客户数据作为“谈判筹码”，事件被内部低调处理而未升级为系统整改——这暴露出内部数据管控文化的严重松懈。
此外，2025年5月1日起施行的《个人信息保护合规审计管理办法》规定，处理超过1000万人个人信息的处理者应当至少每两年开展一次合规审计。处理100万人以上个人信息的，应当指定个人信息保护负责人。虽然多数初创企业尚未达到强制审计门槛，但该办法为投资人提供了评估企业合规水平的参照标准。