数据合规负责人是不是所有企业都要设

一句话结论：不是所有企业都必须设"个人信息保护负责人（俗称 DPO）"——处理个人信息达到国家网信部门规定数量的处理者，才强制指定；此外处理重要数据的要指定数据安全负责人和管理机构。没达标的中小企业不强制设专职，但强烈建议明确一名兼任负责人，把责任落到人。

一、什么时候"必须"设

①PIPL 项下：处理个人信息达到网信部门规定数量的处理者，应指定个人信息保护负责人，负责监督处理活动与保护措施，并公开联系方式、报送主管部门；②数据安全法项下：处理重要数据的处理者应明确数据安全负责人和管理机构。境外处理境内个人信息的，还应在境内设专门机构或指定代表。

二、DPO 具体干什么

①制定/更新合规制度与隐私政策；②组织数据盘点、影响评估、自查；③处理个人权利请求（查阅、删除、撤回同意）；④泄露应急与对外沟通；⑤员工培训、对接监管。

三、中小企业怎么办

未达强制门槛的，不必招专职，可由法务、合规、IT 或行政负责人兼任，关键是责任到人、有授权、能推动整改。等业务扩大、数据量上来或涉敏感/重要数据，再升级为专职（体系见：中小企业数据合规体系）。