《网络数据安全管理条例》中关于数据安全的总结

《网络数据安全管理条例》以保障网络数据安全为核心目标，聚焦数据处理全流程安全规范，旨在通过法治手段平衡安全与发展。从多方面对数据安全进行了规定，旨在全方位保障网络数据在处理活动中的安全性，主要内容如下：

1. 总体要求与原则：网络数据安全管理工作要坚持党的领导，贯彻总体国家安全观，统筹促进网络数据开发利用与保障网络数据安全。鼓励网络数据在各行业、各领域创新应用，支持相关技术、产品、服务创新，开展宣传教育和人才培养，促进产业发展。同时，明确任何个人、组织不得利用网络数据从事非法活动。

1. 数据处理者责任：

• 安全防护义务：需依照法律法规和国家标准强制性要求，在网络安全等级保护基础上，采取加密、备份、访问控制、安全认证等技术及其他必要措施，保护网络数据免遭篡改、破坏、泄露或非法获取、利用，处置安全事件，防范违法犯罪活动，并对所处理网络数据安全承担主体责任。若提供的网络产品、服务存在安全缺陷、漏洞等风险，应立即补救，按规定告知用户并向主管部门报告，危害国家安全、公共利益的需在 24 小时内报告。

• 安全事件应急：要建立健全网络数据安全事件应急预案，事件发生时立即启动预案，防止危害扩大、消除隐患并按规定报告。对个人、组织合法权益造成危害的，及时通知利害关系人，发现违法犯罪线索要报案并配合侦查、调查和处置工作。

• 数据提供与委托处理：向其他网络数据处理者提供、委托处理个人信息和重要数据时，需通过合同约定处理目的、方式、范围及安全保护义务等，并监督接收方履行情况，相关处理情况记录至少保存 3 年。接收方也应履行安全保护义务，按约定处理数据。

• 国家安全审查：开展网络数据处理活动影响或可能影响国家安全的，需按国家有关规定进行国家安全审查。

1. 数据分类分级保护：国家根据网络数据的重要程度以及数据遭到破坏等情况对国家安全、公共利益或个人、组织合法权益造成的危害程度，对网络数据实行分类分级保护。国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，各地区、各部门确定本地区、本部门及相关行业、领域的重要数据具体目录，对列入目录的网络数据进行重点保护。网络数据处理者要按规定识别、申报重要数据。

1. 个人信息保护：

• 告知义务：处理个人信息前，需通过制定个人信息处理规则依法向个人告知相关内容，包括网络数据处理者的名称或姓名和联系方式、处理目的、方式、种类、敏感个人信息处理必要性及对个人权益影响、个人信息保存期限及到期后处理方式、个人行使相关权利的方法和途径等。处理不满十四周岁未成年人个人信息的，还需制定专门规则。

• 同意规则：基于个人同意处理个人信息时，收集个人信息应为提供产品或服务所必需，不得超范围收集，不得误导、欺诈、胁迫取得同意；处理敏感个人信息需取得单独同意；处理不满十四周岁未成年人个人信息需取得其父母或其他监护人同意；不得超出同意范围处理个人信息；不得频繁征求同意；处理目的、方式、种类变更需重新取得同意。

• 个人权利保障：个人请求查阅、复制、更正、补充、删除、限制处理其个人信息，或注销账号、撤回同意的，网络数据处理者应及时受理并提供便捷途径，不得设置不合理条件限制。对符合条件的个人信息转移请求，应为指定的其他网络数据处理者提供访问、获取途径。

• 合规审计：网络数据处理者应定期自行或委托专业机构对处理个人信息遵守法律法规情况进行合规审计。处理 1000 万人以上个人信息的，还需遵守对重要数据处理者的相关规定。

1. 重要数据安全管理：

• 安全责任落实：重要数据的处理者需明确网络数据安全负责人和管理机构，履行相关安全保护义务。

• 风险评估要求：提供、委托处理、共同处理重要数据前要进行风险评估（履行法定职责或法定义务的除外），评估内容包括数据的合法性、必要性、安全性等。且每年度要对网络数据处理活动开展风险评估，形成风险评估报告。

1. 网络数据跨境安全管理：网络数据处理者在境内运营中收集和产生的重要数据确需向境外提供的，应通过国家网信部门组织的数据出境安全评估。明确向境外提供个人信息的条件，包括通过安全评估、认证、签订标准合同等，以及在特定情形下（如为订立、履行合同，保护自然人生命健康和财产安全等）可向境外提供个人信息。境外网络数据处理者处理境内自然人个人信息，按规定在境内设立专门机构或指定代表的，需报送相关信息。

1. 监督管理与法律责任：网信部门统筹协调数据安全工作，各行业主管部门承担监管责任。对违反条例的行为，依法追究行政、民事或刑事责任，包括罚款、吊销许可证等处罚措施 。

原文始发于微信公众号（数据安全矩阵）：《网络数据安全管理条例》中关于数据安全的总结