中華人民共和國國務(wù)院令
第790號
《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例》已經(jīng)2024年8月30日國務(wù)院第40次常務(wù)會議通過,現(xiàn)予公布,自2025年1月1日起施行。
總理 李強(qiáng)
2024年9月24日
網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例
第一章 總則
第一條 為了規(guī)范網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng),保障網(wǎng)絡(luò)數(shù)據(jù)安全,促進(jìn)網(wǎng)絡(luò)數(shù)據(jù)依法合理有效利用,保護(hù)個(gè)人、組織的合法權(quán)益,維護(hù)國家安全和公共利益,根據(jù)《中華人民共和國網(wǎng)絡(luò)安全法》、《中華人民共和國數(shù)據(jù)安全法》、《中華人民共和國個(gè)人信息保護(hù)法》等法律,制定本條例。
第二條 在中華人民共和國境內(nèi)開展網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng)及其安全監(jiān)督管理,適用本條例。
在中華人民共和國境外處理中華人民共和國境內(nèi)自然人個(gè)人信息的活動(dòng),符合《中華人民共和國個(gè)人信息保護(hù)法》第三條第二款規(guī)定情形的,也適用本條例。
在中華人民共和國境外開展網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng),損害中華人民共和國國家安全、公共利益或者公民、組織合法權(quán)益的,依法追究法律責(zé)任。
第三條 網(wǎng)絡(luò)數(shù)據(jù)安全管理工作堅(jiān)持中國共產(chǎn)黨的領(lǐng)導(dǎo),貫徹總體國家安全觀,統(tǒng)籌促進(jìn)網(wǎng)絡(luò)數(shù)據(jù)開發(fā)利用與保障網(wǎng)絡(luò)數(shù)據(jù)安全。
第四條 國家鼓勵(lì)網(wǎng)絡(luò)數(shù)據(jù)在各行業(yè)、各領(lǐng)域的創(chuàng)新應(yīng)用,加強(qiáng)網(wǎng)絡(luò)數(shù)據(jù)安全防護(hù)能力建設(shè),支持網(wǎng)絡(luò)數(shù)據(jù)相關(guān)技術(shù)、產(chǎn)品、服務(wù)創(chuàng)新,開展網(wǎng)絡(luò)數(shù)據(jù)安全宣傳教育和人才培養(yǎng),促進(jìn)網(wǎng)絡(luò)數(shù)據(jù)開發(fā)利用和產(chǎn)業(yè)發(fā)展。
第五條 國家根據(jù)網(wǎng)絡(luò)數(shù)據(jù)在經(jīng)濟(jì)社會發(fā)展中的重要程度,以及一旦遭到篡改、破壞、泄露或者非法獲取、非法利用,對國家安全、公共利益或者個(gè)人、組織合法權(quán)益造成的危害程度,對網(wǎng)絡(luò)數(shù)據(jù)實(shí)行分類分級保護(hù)。
第六條 國家積極參與網(wǎng)絡(luò)數(shù)據(jù)安全相關(guān)國際規(guī)則和標(biāo)準(zhǔn)的制定,促進(jìn)國際交流與合作。
第七條 國家支持相關(guān)行業(yè)組織按照章程,制定網(wǎng)絡(luò)數(shù)據(jù)安全行為規(guī)范,加強(qiáng)行業(yè)自律,指導(dǎo)會員加強(qiáng)網(wǎng)絡(luò)數(shù)據(jù)安全保護(hù),提高網(wǎng)絡(luò)數(shù)據(jù)安全保護(hù)水平,促進(jìn)行業(yè)健康發(fā)展。
第二章 一般規(guī)定
第八條 任何個(gè)人、組織不得利用網(wǎng)絡(luò)數(shù)據(jù)從事非法活動(dòng),不得從事竊取或者以其他非法方式獲取網(wǎng)絡(luò)數(shù)據(jù)、非法出售或者非法向他人提供網(wǎng)絡(luò)數(shù)據(jù)等非法網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng)。
任何個(gè)人、組織不得提供專門用于從事前款非法活動(dòng)的程序、工具;明知他人從事前款非法活動(dòng)的,不得為其提供互聯(lián)網(wǎng)接入、服務(wù)器托管、網(wǎng)絡(luò)存儲、通訊傳輸?shù)燃夹g(shù)支持,或者提供廣告推廣、支付結(jié)算等幫助。
第九條 網(wǎng)絡(luò)數(shù)據(jù)處理者應(yīng)當(dāng)依照法律、行政法規(guī)的規(guī)定和國家標(biāo)準(zhǔn)的強(qiáng)制性要求,在網(wǎng)絡(luò)安全等級保護(hù)的基礎(chǔ)上,加強(qiáng)網(wǎng)絡(luò)數(shù)據(jù)安全防護(hù),建立健全網(wǎng)絡(luò)數(shù)據(jù)安全管理制度,采取加密、備份、訪問控制、安全認(rèn)證等技術(shù)措施和其他必要措施,保護(hù)網(wǎng)絡(luò)數(shù)據(jù)免遭篡改、破壞、泄露或者非法獲取、非法利用,處置網(wǎng)絡(luò)數(shù)據(jù)安全事件,防范針對和利用網(wǎng)絡(luò)數(shù)據(jù)實(shí)施的違法犯罪活動(dòng),并對所處理網(wǎng)絡(luò)數(shù)據(jù)的安全承擔(dān)主體責(zé)任。
第十條 網(wǎng)絡(luò)數(shù)據(jù)處理者提供的網(wǎng)絡(luò)產(chǎn)品、服務(wù)應(yīng)當(dāng)符合相關(guān)國家標(biāo)準(zhǔn)的強(qiáng)制性要求;發(fā)現(xiàn)網(wǎng)絡(luò)產(chǎn)品、服務(wù)存在安全缺陷、漏洞等風(fēng)險(xiǎn)時(shí),應(yīng)當(dāng)立即采取補(bǔ)救措施,按照規(guī)定及時(shí)告知用戶并向有關(guān)主管部門報(bào)告;涉及危害國家安全、公共利益的,網(wǎng)絡(luò)數(shù)據(jù)處理者還應(yīng)當(dāng)在24小時(shí)內(nèi)向有關(guān)主管部門報(bào)告。
第十一條 網(wǎng)絡(luò)數(shù)據(jù)處理者應(yīng)當(dāng)建立健全網(wǎng)絡(luò)數(shù)據(jù)安全事件應(yīng)急預(yù)案,發(fā)生網(wǎng)絡(luò)數(shù)據(jù)安全事件時(shí),應(yīng)當(dāng)立即啟動(dòng)預(yù)案,采取措施防止危害擴(kuò)大,消除安全隱患,并按照規(guī)定向有關(guān)主管部門報(bào)告。
網(wǎng)絡(luò)數(shù)據(jù)安全事件對個(gè)人、組織合法權(quán)益造成危害的,網(wǎng)絡(luò)數(shù)據(jù)處理者應(yīng)當(dāng)及時(shí)將安全事件和風(fēng)險(xiǎn)情況、危害后果、已經(jīng)采取的補(bǔ)救措施等,以電話、短信、即時(shí)通信工具、電子郵件或者公告等方式通知利害關(guān)系人;法律、行政法規(guī)規(guī)定可以不通知的,從其規(guī)定。網(wǎng)絡(luò)數(shù)據(jù)處理者在處置網(wǎng)絡(luò)數(shù)據(jù)安全事件過程中發(fā)現(xiàn)涉嫌違法犯罪線索的,應(yīng)當(dāng)按照規(guī)定向公安機(jī)關(guān)、國家安全機(jī)關(guān)報(bào)案,并配合開展偵查、調(diào)查和處置工作。
第十二條 網(wǎng)絡(luò)數(shù)據(jù)處理者向其他網(wǎng)絡(luò)數(shù)據(jù)處理者提供、委托處理個(gè)人信息和重要數(shù)據(jù)的,應(yīng)當(dāng)通過合同等與網(wǎng)絡(luò)數(shù)據(jù)接收方約定處理目的、方式、范圍以及安全保護(hù)義務(wù)等,并對網(wǎng)絡(luò)數(shù)據(jù)接收方履行義務(wù)的情況進(jìn)行監(jiān)督。向其他網(wǎng)絡(luò)數(shù)據(jù)處理者提供、委托處理個(gè)人信息和重要數(shù)據(jù)的處理情況記錄,應(yīng)當(dāng)至少保存3年。
網(wǎng)絡(luò)數(shù)據(jù)接收方應(yīng)當(dāng)履行網(wǎng)絡(luò)數(shù)據(jù)安全保護(hù)義務(wù),并按照約定的目的、方式、范圍等處理個(gè)人信息和重要數(shù)據(jù)。
兩個(gè)以上的網(wǎng)絡(luò)數(shù)據(jù)處理者共同決定個(gè)人信息和重要數(shù)據(jù)的處理目的和處理方式的,應(yīng)當(dāng)約定各自的權(quán)利和義務(wù)。
第十三條 網(wǎng)絡(luò)數(shù)據(jù)處理者開展網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng),影響或者可能影響國家安全的,應(yīng)當(dāng)按照國家有關(guān)規(guī)定進(jìn)行國家安全審查。
第十四條 網(wǎng)絡(luò)數(shù)據(jù)處理者因合并、分立、解散、破產(chǎn)等原因需要轉(zhuǎn)移網(wǎng)絡(luò)數(shù)據(jù)的,網(wǎng)絡(luò)數(shù)據(jù)接收方應(yīng)當(dāng)繼續(xù)履行網(wǎng)絡(luò)數(shù)據(jù)安全保護(hù)義務(wù)。
第十五條 國家機(jī)關(guān)委托他人建設(shè)、運(yùn)行、維護(hù)電子政務(wù)系統(tǒng),存儲、加工政務(wù)數(shù)據(jù),應(yīng)當(dāng)按照國家有關(guān)規(guī)定經(jīng)過嚴(yán)格的批準(zhǔn)程序,明確受托方的網(wǎng)絡(luò)數(shù)據(jù)處理權(quán)限、保護(hù)責(zé)任等,監(jiān)督受托方履行網(wǎng)絡(luò)數(shù)據(jù)安全保護(hù)義務(wù)。
第十六條 網(wǎng)絡(luò)數(shù)據(jù)處理者為國家機(jī)關(guān)、關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者提供服務(wù),或者參與其他公共基礎(chǔ)設(shè)施、公共服務(wù)系統(tǒng)建設(shè)、運(yùn)行、維護(hù)的,應(yīng)當(dāng)依照法律、法規(guī)的規(guī)定和合同約定履行網(wǎng)絡(luò)數(shù)據(jù)安全保護(hù)義務(wù),提供安全、穩(wěn)定、持續(xù)的服務(wù)。
前款規(guī)定的網(wǎng)絡(luò)數(shù)據(jù)處理者未經(jīng)委托方同意,不得訪問、獲取、留存、使用、泄露或者向他人提供網(wǎng)絡(luò)數(shù)據(jù),不得對網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行關(guān)聯(lián)分析。
第十七條 為國家機(jī)關(guān)提供服務(wù)的信息系統(tǒng)應(yīng)當(dāng)參照電子政務(wù)系統(tǒng)的管理要求加強(qiáng)網(wǎng)絡(luò)數(shù)據(jù)安全管理,保障網(wǎng)絡(luò)數(shù)據(jù)安全。
第十八條 網(wǎng)絡(luò)數(shù)據(jù)處理者使用自動(dòng)化工具訪問、收集網(wǎng)絡(luò)數(shù)據(jù),應(yīng)當(dāng)評估對網(wǎng)絡(luò)服務(wù)帶來的影響,不得非法侵入他人網(wǎng)絡(luò),不得干擾網(wǎng)絡(luò)服務(wù)正常運(yùn)行。
第十九條 提供生成式人工智能服務(wù)的網(wǎng)絡(luò)數(shù)據(jù)處理者應(yīng)當(dāng)加強(qiáng)對訓(xùn)練數(shù)據(jù)和訓(xùn)練數(shù)據(jù)處理活動(dòng)的安全管理,采取有效措施防范和處置網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)。
第二十條 面向社會提供產(chǎn)品、服務(wù)的網(wǎng)絡(luò)數(shù)據(jù)處理者應(yīng)當(dāng)接受社會監(jiān)督,建立便捷的網(wǎng)絡(luò)數(shù)據(jù)安全投訴、舉報(bào)渠道,公布投訴、舉報(bào)方式等信息,及時(shí)受理并處理網(wǎng)絡(luò)數(shù)據(jù)安全投訴、舉報(bào)。
第三章 個(gè)人信息保護(hù)
第二十一條 網(wǎng)絡(luò)數(shù)據(jù)處理者在處理個(gè)人信息前,通過制定個(gè)人信息處理規(guī)則的方式依法向個(gè)人告知的,個(gè)人信息處理規(guī)則應(yīng)當(dāng)集中公開展示、易于訪問并置于醒目位置,內(nèi)容明確具體、清晰易懂,包括但不限于下列內(nèi)容:
(一)網(wǎng)絡(luò)數(shù)據(jù)處理者的名稱或者姓名和聯(lián)系方式;
(二)處理個(gè)人信息的目的、方式、種類,處理敏感個(gè)人信息的必要性以及對個(gè)人權(quán)益的影響;
(三)個(gè)人信息保存期限和到期后的處理方式,保存期限難以確定的,應(yīng)當(dāng)明確保存期限的確定方法;
(四)個(gè)人查閱、復(fù)制、轉(zhuǎn)移、更正、補(bǔ)充、刪除、限制處理個(gè)人信息以及注銷賬號、撤回同意的方法和途徑等。
網(wǎng)絡(luò)數(shù)據(jù)處理者按照前款規(guī)定向個(gè)人告知收集和向其他網(wǎng)絡(luò)數(shù)據(jù)處理者提供個(gè)人信息的目的、方式、種類以及網(wǎng)絡(luò)數(shù)據(jù)接收方信息的,應(yīng)當(dāng)以清單等形式予以列明。網(wǎng)絡(luò)數(shù)據(jù)處理者處理不滿十四周歲未成年人個(gè)人信息的,還應(yīng)當(dāng)制定專門的個(gè)人信息處理規(guī)則。
第二十二條 網(wǎng)絡(luò)數(shù)據(jù)處理者基于個(gè)人同意處理個(gè)人信息的,應(yīng)當(dāng)遵守下列規(guī)定:
(一)收集個(gè)人信息為提供產(chǎn)品或者服務(wù)所必需,不得超范圍收集個(gè)人信息,不得通過誤導(dǎo)、欺詐、脅迫等方式取得個(gè)人同意;
(二)處理生物識別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等敏感個(gè)人信息的,應(yīng)當(dāng)取得個(gè)人的單獨(dú)同意;
(三)處理不滿十四周歲未成年人個(gè)人信息的,應(yīng)當(dāng)取得未成年人的父母或者其他監(jiān)護(hù)人的同意;
(四)不得超出個(gè)人同意的個(gè)人信息處理目的、方式、種類、保存期限處理個(gè)人信息;
(五)不得在個(gè)人明確表示不同意處理其個(gè)人信息后,頻繁征求同意;
(六)個(gè)人信息的處理目的、方式、種類發(fā)生變更的,應(yīng)當(dāng)重新取得個(gè)人同意。
法律、行政法規(guī)規(guī)定處理敏感個(gè)人信息應(yīng)當(dāng)取得書面同意的,從其規(guī)定。
第二十三條 個(gè)人請求查閱、復(fù)制、更正、補(bǔ)充、刪除、限制處理其個(gè)人信息,或者個(gè)人注銷賬號、撤回同意的,網(wǎng)絡(luò)數(shù)據(jù)處理者應(yīng)當(dāng)及時(shí)受理,并提供便捷的支持個(gè)人行使權(quán)利的方法和途徑,不得設(shè)置不合理?xiàng)l件限制個(gè)人的合理請求。
第二十四條 因使用自動(dòng)化采集技術(shù)等無法避免采集到非必要個(gè)人信息或者未依法取得個(gè)人同意的個(gè)人信息,以及個(gè)人注銷賬號的,網(wǎng)絡(luò)數(shù)據(jù)處理者應(yīng)當(dāng)刪除個(gè)人信息或者進(jìn)行匿名化處理。法律、行政法規(guī)規(guī)定的保存期限未屆滿,或者刪除、匿名化處理個(gè)人信息從技術(shù)上難以實(shí)現(xiàn)的,網(wǎng)絡(luò)數(shù)據(jù)處理者應(yīng)當(dāng)停止除存儲和采取必要的安全保護(hù)措施之外的處理。
第二十五條 對符合下列條件的個(gè)人信息轉(zhuǎn)移請求,網(wǎng)絡(luò)數(shù)據(jù)處理者應(yīng)當(dāng)為個(gè)人指定的其他網(wǎng)絡(luò)數(shù)據(jù)處理者訪問、獲取有關(guān)個(gè)人信息提供途徑:
(一)能夠驗(yàn)證請求人的真實(shí)身份;
(二)請求轉(zhuǎn)移的是本人同意提供的或者基于合同收集的個(gè)人信息;
(三)轉(zhuǎn)移個(gè)人信息具備技術(shù)可行性;
(四)轉(zhuǎn)移個(gè)人信息不損害他人合法權(quán)益。
請求轉(zhuǎn)移個(gè)人信息次數(shù)等明顯超出合理范圍的,網(wǎng)絡(luò)數(shù)據(jù)處理者可以根據(jù)轉(zhuǎn)移個(gè)人信息的成本收取必要費(fèi)用。
第二十六條 中華人民共和國境外網(wǎng)絡(luò)數(shù)據(jù)處理者處理境內(nèi)自然人個(gè)人信息,依照《中華人民共和國個(gè)人信息保護(hù)法》第五十三條規(guī)定在境內(nèi)設(shè)立專門機(jī)構(gòu)或者指定代表的,應(yīng)當(dāng)將有關(guān)機(jī)構(gòu)的名稱或者代表的姓名、聯(lián)系方式等報(bào)送所在地設(shè)區(qū)的市級網(wǎng)信部門;網(wǎng)信部門應(yīng)當(dāng)及時(shí)通報(bào)同級有關(guān)主管部門。
第二十七條 網(wǎng)絡(luò)數(shù)據(jù)處理者應(yīng)當(dāng)定期自行或者委托專業(yè)機(jī)構(gòu)對其處理個(gè)人信息遵守法律、行政法規(guī)的情況進(jìn)行合規(guī)審計(jì)。
第二十八條 網(wǎng)絡(luò)數(shù)據(jù)處理者處理1000萬人以上個(gè)人信息的,還應(yīng)當(dāng)遵守本條例第三十條、第三十二條對處理重要數(shù)據(jù)的網(wǎng)絡(luò)數(shù)據(jù)處理者(以下簡稱重要數(shù)據(jù)的處理者)作出的規(guī)定。
第四章 重要數(shù)據(jù)安全
第二十九條 國家數(shù)據(jù)安全工作協(xié)調(diào)機(jī)制統(tǒng)籌協(xié)調(diào)有關(guān)部門制定重要數(shù)據(jù)目錄,加強(qiáng)對重要數(shù)據(jù)的保護(hù)。各地區(qū)、各部門應(yīng)當(dāng)按照數(shù)據(jù)分類分級保護(hù)制度,確定本地區(qū)、本部門以及相關(guān)行業(yè)、領(lǐng)域的重要數(shù)據(jù)具體目錄,對列入目錄的網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行重點(diǎn)保護(hù)。
網(wǎng)絡(luò)數(shù)據(jù)處理者應(yīng)當(dāng)按照國家有關(guān)規(guī)定識別、申報(bào)重要數(shù)據(jù)。對確認(rèn)為重要數(shù)據(jù)的,相關(guān)地區(qū)、部門應(yīng)當(dāng)及時(shí)向網(wǎng)絡(luò)數(shù)據(jù)處理者告知或者公開發(fā)布。網(wǎng)絡(luò)數(shù)據(jù)處理者應(yīng)當(dāng)履行網(wǎng)絡(luò)數(shù)據(jù)安全保護(hù)責(zé)任。
國家鼓勵(lì)網(wǎng)絡(luò)數(shù)據(jù)處理者使用數(shù)據(jù)標(biāo)簽標(biāo)識等技術(shù)和產(chǎn)品,提高重要數(shù)據(jù)安全管理水平。
第三十條 重要數(shù)據(jù)的處理者應(yīng)當(dāng)明確網(wǎng)絡(luò)數(shù)據(jù)安全負(fù)責(zé)人和網(wǎng)絡(luò)數(shù)據(jù)安全管理機(jī)構(gòu)。網(wǎng)絡(luò)數(shù)據(jù)安全管理機(jī)構(gòu)應(yīng)當(dāng)履行下列網(wǎng)絡(luò)數(shù)據(jù)安全保護(hù)責(zé)任:
(一)制定實(shí)施網(wǎng)絡(luò)數(shù)據(jù)安全管理制度、操作規(guī)程和網(wǎng)絡(luò)數(shù)據(jù)安全事件應(yīng)急預(yù)案;
(二)定期組織開展網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)監(jiān)測、風(fēng)險(xiǎn)評估、應(yīng)急演練、宣傳教育培訓(xùn)等活動(dòng),及時(shí)處置網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)和事件;
(三)受理并處理網(wǎng)絡(luò)數(shù)據(jù)安全投訴、舉報(bào)。
網(wǎng)絡(luò)數(shù)據(jù)安全負(fù)責(zé)人應(yīng)當(dāng)具備網(wǎng)絡(luò)數(shù)據(jù)安全專業(yè)知識和相關(guān)管理工作經(jīng)歷,由網(wǎng)絡(luò)數(shù)據(jù)處理者管理層成員擔(dān)任,有權(quán)直接向有關(guān)主管部門報(bào)告網(wǎng)絡(luò)數(shù)據(jù)安全情況。
掌握有關(guān)主管部門規(guī)定的特定種類、規(guī)模的重要數(shù)據(jù)的網(wǎng)絡(luò)數(shù)據(jù)處理者,應(yīng)當(dāng)對網(wǎng)絡(luò)數(shù)據(jù)安全負(fù)責(zé)人和關(guān)鍵崗位的人員進(jìn)行安全背景審查,加強(qiáng)相關(guān)人員培訓(xùn)。審查時(shí),可以申請公安機(jī)關(guān)、國家安全機(jī)關(guān)協(xié)助。
第三十一條 重要數(shù)據(jù)的處理者提供、委托處理、共同處理重要數(shù)據(jù)前,應(yīng)當(dāng)進(jìn)行風(fēng)險(xiǎn)評估,但是屬于履行法定職責(zé)或者法定義務(wù)的除外。
風(fēng)險(xiǎn)評估應(yīng)當(dāng)重點(diǎn)評估下列內(nèi)容:
(一)提供、委托處理、共同處理網(wǎng)絡(luò)數(shù)據(jù),以及網(wǎng)絡(luò)數(shù)據(jù)接收方處理網(wǎng)絡(luò)數(shù)據(jù)的目的、方式、范圍等是否合法、正當(dāng)、必要;
(二)提供、委托處理、共同處理的網(wǎng)絡(luò)數(shù)據(jù)遭到篡改、破壞、泄露或者非法獲取、非法利用的風(fēng)險(xiǎn),以及對國家安全、公共利益或者個(gè)人、組織合法權(quán)益帶來的風(fēng)險(xiǎn);
(三)網(wǎng)絡(luò)數(shù)據(jù)接收方的誠信、守法等情況;
(四)與網(wǎng)絡(luò)數(shù)據(jù)接收方訂立或者擬訂立的相關(guān)合同中關(guān)于網(wǎng)絡(luò)數(shù)據(jù)安全的要求能否有效約束網(wǎng)絡(luò)數(shù)據(jù)接收方履行網(wǎng)絡(luò)數(shù)據(jù)安全保護(hù)義務(wù);
(五)采取或者擬采取的技術(shù)和管理措施等能否有效防范網(wǎng)絡(luò)數(shù)據(jù)遭到篡改、破壞、泄露或者非法獲取、非法利用等風(fēng)險(xiǎn);
(六)有關(guān)主管部門規(guī)定的其他評估內(nèi)容。
第三十二條 重要數(shù)據(jù)的處理者因合并、分立、解散、破產(chǎn)等可能影響重要數(shù)據(jù)安全的,應(yīng)當(dāng)采取措施保障網(wǎng)絡(luò)數(shù)據(jù)安全,并向省級以上有關(guān)主管部門報(bào)告重要數(shù)據(jù)處置方案、接收方的名稱或者姓名和聯(lián)系方式等;主管部門不明確的,應(yīng)當(dāng)向省級以上數(shù)據(jù)安全工作協(xié)調(diào)機(jī)制報(bào)告。
第三十三條 重要數(shù)據(jù)的處理者應(yīng)當(dāng)每年度對其網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng)開展風(fēng)險(xiǎn)評估,并向省級以上有關(guān)主管部門報(bào)送風(fēng)險(xiǎn)評估報(bào)告,有關(guān)主管部門應(yīng)當(dāng)及時(shí)通報(bào)同級網(wǎng)信部門、公安機(jī)關(guān)。
風(fēng)險(xiǎn)評估報(bào)告應(yīng)當(dāng)包括下列內(nèi)容:
(一)網(wǎng)絡(luò)數(shù)據(jù)處理者基本信息、網(wǎng)絡(luò)數(shù)據(jù)安全管理機(jī)構(gòu)信息、網(wǎng)絡(luò)數(shù)據(jù)安全負(fù)責(zé)人姓名和聯(lián)系方式等;
(二)處理重要數(shù)據(jù)的目的、種類、數(shù)量、方式、范圍、存儲期限、存儲地點(diǎn)等,開展網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng)的情況,不包括網(wǎng)絡(luò)數(shù)據(jù)內(nèi)容本身;
(三)網(wǎng)絡(luò)數(shù)據(jù)安全管理制度及實(shí)施情況,加密、備份、標(biāo)簽標(biāo)識、訪問控制、安全認(rèn)證等技術(shù)措施和其他必要措施及其有效性;
(四)發(fā)現(xiàn)的網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn),發(fā)生的網(wǎng)絡(luò)數(shù)據(jù)安全事件及處置情況;
(五)提供、委托處理、共同處理重要數(shù)據(jù)的風(fēng)險(xiǎn)評估情況;
(六)網(wǎng)絡(luò)數(shù)據(jù)出境情況;
(七)有關(guān)主管部門規(guī)定的其他報(bào)告內(nèi)容。
處理重要數(shù)據(jù)的大型網(wǎng)絡(luò)平臺服務(wù)提供者報(bào)送的風(fēng)險(xiǎn)評估報(bào)告,除包括前款規(guī)定的內(nèi)容外,還應(yīng)當(dāng)充分說明關(guān)鍵業(yè)務(wù)和供應(yīng)鏈網(wǎng)絡(luò)數(shù)據(jù)安全等情況。
重要數(shù)據(jù)的處理者存在可能危害國家安全的重要數(shù)據(jù)處理活動(dòng)的,省級以上有關(guān)主管部門應(yīng)當(dāng)責(zé)令其采取整改或者停止處理重要數(shù)據(jù)等措施。重要數(shù)據(jù)的處理者應(yīng)當(dāng)按照有關(guān)要求立即采取措施。
第五章 網(wǎng)絡(luò)數(shù)據(jù)跨境安全管理
第三十四條 國家網(wǎng)信部門統(tǒng)籌協(xié)調(diào)有關(guān)部門建立國家數(shù)據(jù)出境安全管理專項(xiàng)工作機(jī)制,研究制定國家網(wǎng)絡(luò)數(shù)據(jù)出境安全管理相關(guān)政策,協(xié)調(diào)處理網(wǎng)絡(luò)數(shù)據(jù)出境安全重大事項(xiàng)。
第三十五條 符合下列條件之一的,網(wǎng)絡(luò)數(shù)據(jù)處理者可以向境外提供個(gè)人信息:
(一)通過國家網(wǎng)信部門組織的數(shù)據(jù)出境安全評估;
(二)按照國家網(wǎng)信部門的規(guī)定經(jīng)專業(yè)機(jī)構(gòu)進(jìn)行個(gè)人信息保護(hù)認(rèn)證;
(三)符合國家網(wǎng)信部門制定的關(guān)于個(gè)人信息出境標(biāo)準(zhǔn)合同的規(guī)定;
(四)為訂立、履行個(gè)人作為一方當(dāng)事人的合同,確需向境外提供個(gè)人信息;
(五)按照依法制定的勞動(dòng)規(guī)章制度和依法簽訂的集體合同實(shí)施跨境人力資源管理,確需向境外提供員工個(gè)人信息;
(六)為履行法定職責(zé)或者法定義務(wù),確需向境外提供個(gè)人信息;
(七)緊急情況下為保護(hù)自然人的生命健康和財(cái)產(chǎn)安全,確需向境外提供個(gè)人信息;
(八)法律、行政法規(guī)或者國家網(wǎng)信部門規(guī)定的其他條件。
第三十六條 中華人民共和國締結(jié)或者參加的國際條約、協(xié)定對向中華人民共和國境外提供個(gè)人信息的條件等有規(guī)定的,可以按照其規(guī)定執(zhí)行。
第三十七條 網(wǎng)絡(luò)數(shù)據(jù)處理者在中華人民共和國境內(nèi)運(yùn)營中收集和產(chǎn)生的重要數(shù)據(jù)確需向境外提供的,應(yīng)當(dāng)通過國家網(wǎng)信部門組織的數(shù)據(jù)出境安全評估。網(wǎng)絡(luò)數(shù)據(jù)處理者按照國家有關(guān)規(guī)定識別、申報(bào)重要數(shù)據(jù),但未被相關(guān)地區(qū)、部門告知或者公開發(fā)布為重要數(shù)據(jù)的,不需要將其作為重要數(shù)據(jù)申報(bào)數(shù)據(jù)出境安全評估。
第三十八條 通過數(shù)據(jù)出境安全評估后,網(wǎng)絡(luò)數(shù)據(jù)處理者向境外提供個(gè)人信息和重要數(shù)據(jù)的,不得超出評估時(shí)明確的數(shù)據(jù)出境目的、方式、范圍和種類、規(guī)模等。
第三十九條 國家采取措施,防范、處置網(wǎng)絡(luò)數(shù)據(jù)跨境安全風(fēng)險(xiǎn)和威脅。任何個(gè)人、組織不得提供專門用于破壞、避開技術(shù)措施的程序、工具等;明知他人從事破壞、避開技術(shù)措施等活動(dòng)的,不得為其提供技術(shù)支持或者幫助。
第六章 網(wǎng)絡(luò)平臺服務(wù)提供者義務(wù)
第四十條 網(wǎng)絡(luò)平臺服務(wù)提供者應(yīng)當(dāng)通過平臺規(guī)則或者合同等明確接入其平臺的第三方產(chǎn)品和服務(wù)提供者的網(wǎng)絡(luò)數(shù)據(jù)安全保護(hù)義務(wù),督促第三方產(chǎn)品和服務(wù)提供者加強(qiáng)網(wǎng)絡(luò)數(shù)據(jù)安全管理。
預(yù)裝應(yīng)用程序的智能終端等設(shè)備生產(chǎn)者,適用前款規(guī)定。
第三方產(chǎn)品和服務(wù)提供者違反法律、行政法規(guī)的規(guī)定或者平臺規(guī)則、合同約定開展網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng),對用戶造成損害的,網(wǎng)絡(luò)平臺服務(wù)提供者、第三方產(chǎn)品和服務(wù)提供者、預(yù)裝應(yīng)用程序的智能終端等設(shè)備生產(chǎn)者應(yīng)當(dāng)依法承擔(dān)相應(yīng)責(zé)任。
國家鼓勵(lì)保險(xiǎn)公司開發(fā)網(wǎng)絡(luò)數(shù)據(jù)損害賠償責(zé)任險(xiǎn)種,鼓勵(lì)網(wǎng)絡(luò)平臺服務(wù)提供者、預(yù)裝應(yīng)用程序的智能終端等設(shè)備生產(chǎn)者投保。
第四十一條 提供應(yīng)用程序分發(fā)服務(wù)的網(wǎng)絡(luò)平臺服務(wù)提供者,應(yīng)當(dāng)建立應(yīng)用程序核驗(yàn)規(guī)則并開展網(wǎng)絡(luò)數(shù)據(jù)安全相關(guān)核驗(yàn)。發(fā)現(xiàn)待分發(fā)或者已分發(fā)的應(yīng)用程序不符合法律、行政法規(guī)的規(guī)定或者國家標(biāo)準(zhǔn)的強(qiáng)制性要求的,應(yīng)當(dāng)采取警示、不予分發(fā)、暫停分發(fā)或者終止分發(fā)等措施。
第四十二條 網(wǎng)絡(luò)平臺服務(wù)提供者通過自動(dòng)化決策方式向個(gè)人進(jìn)行信息推送的,應(yīng)當(dāng)設(shè)置易于理解、便于訪問和操作的個(gè)性化推薦關(guān)閉選項(xiàng),為用戶提供拒絕接收推送信息、刪除針對其個(gè)人特征的用戶標(biāo)簽等功能。
第四十三條 國家推進(jìn)網(wǎng)絡(luò)身份認(rèn)證公共服務(wù)建設(shè),按照政府引導(dǎo)、用戶自愿原則進(jìn)行推廣應(yīng)用。
鼓勵(lì)網(wǎng)絡(luò)平臺服務(wù)提供者支持用戶使用國家網(wǎng)絡(luò)身份認(rèn)證公共服務(wù)登記、核驗(yàn)真實(shí)身份信息。
第四十四條 大型網(wǎng)絡(luò)平臺服務(wù)提供者應(yīng)當(dāng)每年度發(fā)布個(gè)人信息保護(hù)社會責(zé)任報(bào)告,報(bào)告內(nèi)容包括但不限于個(gè)人信息保護(hù)措施和成效、個(gè)人行使權(quán)利的申請受理情況、主要由外部成員組成的個(gè)人信息保護(hù)監(jiān)督機(jī)構(gòu)履行職責(zé)情況等。
第四十五條 大型網(wǎng)絡(luò)平臺服務(wù)提供者跨境提供網(wǎng)絡(luò)數(shù)據(jù),應(yīng)當(dāng)遵守國家數(shù)據(jù)跨境安全管理要求,健全相關(guān)技術(shù)和管理措施,防范網(wǎng)絡(luò)數(shù)據(jù)跨境安全風(fēng)險(xiǎn)。
第四十六條 大型網(wǎng)絡(luò)平臺服務(wù)提供者不得利用網(wǎng)絡(luò)數(shù)據(jù)、算法以及平臺規(guī)則等從事下列活動(dòng):
(一)通過誤導(dǎo)、欺詐、脅迫等方式處理用戶在平臺上產(chǎn)生的網(wǎng)絡(luò)數(shù)據(jù);
(二)無正當(dāng)理由限制用戶訪問、使用其在平臺上產(chǎn)生的網(wǎng)絡(luò)數(shù)據(jù);
(三)對用戶實(shí)施不合理的差別待遇,損害用戶合法權(quán)益;
(四)法律、行政法規(guī)禁止的其他活動(dòng)。
第七章 監(jiān)督管理
第四十七條 國家網(wǎng)信部門負(fù)責(zé)統(tǒng)籌協(xié)調(diào)網(wǎng)絡(luò)數(shù)據(jù)安全和相關(guān)監(jiān)督管理工作。
公安機(jī)關(guān)、國家安全機(jī)關(guān)依照有關(guān)法律、行政法規(guī)和本條例的規(guī)定,在各自職責(zé)范圍內(nèi)承擔(dān)網(wǎng)絡(luò)數(shù)據(jù)安全監(jiān)督管理職責(zé),依法防范和打擊危害網(wǎng)絡(luò)數(shù)據(jù)安全的違法犯罪活動(dòng)。
國家數(shù)據(jù)管理部門在具體承擔(dān)數(shù)據(jù)管理工作中履行相應(yīng)的網(wǎng)絡(luò)數(shù)據(jù)安全職責(zé)。
各地區(qū)、各部門對本地區(qū)、本部門工作中收集和產(chǎn)生的網(wǎng)絡(luò)數(shù)據(jù)及網(wǎng)絡(luò)數(shù)據(jù)安全負(fù)責(zé)。
第四十八條 各有關(guān)主管部門承擔(dān)本行業(yè)、本領(lǐng)域網(wǎng)絡(luò)數(shù)據(jù)安全監(jiān)督管理職責(zé),應(yīng)當(dāng)明確本行業(yè)、本領(lǐng)域網(wǎng)絡(luò)數(shù)據(jù)安全保護(hù)工作機(jī)構(gòu),統(tǒng)籌制定并組織實(shí)施本行業(yè)、本領(lǐng)域網(wǎng)絡(luò)數(shù)據(jù)安全事件應(yīng)急預(yù)案,定期組織開展本行業(yè)、本領(lǐng)域網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)評估,對網(wǎng)絡(luò)數(shù)據(jù)處理者履行網(wǎng)絡(luò)數(shù)據(jù)安全保護(hù)義務(wù)情況進(jìn)行監(jiān)督檢查,指導(dǎo)督促網(wǎng)絡(luò)數(shù)據(jù)處理者及時(shí)對存在的風(fēng)險(xiǎn)隱患進(jìn)行整改。
第四十九條 國家網(wǎng)信部門統(tǒng)籌協(xié)調(diào)有關(guān)主管部門及時(shí)匯總、研判、共享、發(fā)布網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)相關(guān)信息,加強(qiáng)網(wǎng)絡(luò)數(shù)據(jù)安全信息共享、網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)和威脅監(jiān)測預(yù)警以及網(wǎng)絡(luò)數(shù)據(jù)安全事件應(yīng)急處置工作。
第五十條 有關(guān)主管部門可以采取下列措施對網(wǎng)絡(luò)數(shù)據(jù)安全進(jìn)行監(jiān)督檢查:
(一)要求網(wǎng)絡(luò)數(shù)據(jù)處理者及其相關(guān)人員就監(jiān)督檢查事項(xiàng)作出說明;
(二)查閱、復(fù)制與網(wǎng)絡(luò)數(shù)據(jù)安全有關(guān)的文件、記錄;
(三)檢查網(wǎng)絡(luò)數(shù)據(jù)安全措施運(yùn)行情況;
(四)檢查與網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng)有關(guān)的設(shè)備、物品;
(五)法律、行政法規(guī)規(guī)定的其他必要措施。
網(wǎng)絡(luò)數(shù)據(jù)處理者應(yīng)當(dāng)對有關(guān)主管部門依法開展的網(wǎng)絡(luò)數(shù)據(jù)安全監(jiān)督檢查予以配合。
第五十一條 有關(guān)主管部門開展網(wǎng)絡(luò)數(shù)據(jù)安全監(jiān)督檢查,應(yīng)當(dāng)客觀公正,不得向被檢查單位收取費(fèi)用。
有關(guān)主管部門在網(wǎng)絡(luò)數(shù)據(jù)安全監(jiān)督檢查中不得訪問、收集與網(wǎng)絡(luò)數(shù)據(jù)安全無關(guān)的業(yè)務(wù)信息,獲取的信息只能用于維護(hù)網(wǎng)絡(luò)數(shù)據(jù)安全的需要,不得用于其他用途。
有關(guān)主管部門發(fā)現(xiàn)網(wǎng)絡(luò)數(shù)據(jù)處理者的網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng)存在較大安全風(fēng)險(xiǎn)的,可以按照規(guī)定的權(quán)限和程序要求網(wǎng)絡(luò)數(shù)據(jù)處理者暫停相關(guān)服務(wù)、修改平臺規(guī)則、完善技術(shù)措施等,消除網(wǎng)絡(luò)數(shù)據(jù)安全隱患。
第五十二條 有關(guān)主管部門在開展網(wǎng)絡(luò)數(shù)據(jù)安全監(jiān)督檢查時(shí),應(yīng)當(dāng)加強(qiáng)協(xié)同配合、信息溝通,合理確定檢查頻次和檢查方式,避免不必要的檢查和交叉重復(fù)檢查。
個(gè)人信息保護(hù)合規(guī)審計(jì)、重要數(shù)據(jù)風(fēng)險(xiǎn)評估、重要數(shù)據(jù)出境安全評估等應(yīng)當(dāng)加強(qiáng)銜接,避免重復(fù)評估、審計(jì)。重要數(shù)據(jù)風(fēng)險(xiǎn)評估和網(wǎng)絡(luò)安全等級測評的內(nèi)容重合的,相關(guān)結(jié)果可以互相采信。
第五十三條 有關(guān)主管部門及其工作人員對在履行職責(zé)中知悉的個(gè)人隱私、個(gè)人信息、商業(yè)秘密、保密商務(wù)信息等網(wǎng)絡(luò)數(shù)據(jù)應(yīng)當(dāng)依法予以保密,不得泄露或者非法向他人提供。
第五十四條 境外的組織、個(gè)人從事危害中華人民共和國國家安全、公共利益,或者侵害中華人民共和國公民的個(gè)人信息權(quán)益的網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng)的,國家網(wǎng)信部門會同有關(guān)主管部門可以依法采取相應(yīng)的必要措施。
第八章 法律責(zé)任
第五十五條 違反本條例第十二條、第十六條至第二十條、第二十二條、第四十條第一款和第二款、第四十一條、第四十二條規(guī)定的,由網(wǎng)信、電信、公安等主管部門依據(jù)各自職責(zé)責(zé)令改正,給予警告,沒收違法所得;拒不改正或者情節(jié)嚴(yán)重的,處100萬元以下罰款,并可以責(zé)令暫停相關(guān)業(yè)務(wù)、停業(yè)整頓、吊銷相關(guān)業(yè)務(wù)許可證或者吊銷營業(yè)執(zhí)照,對直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員可以處1萬元以上10萬元以下罰款。
第五十六條 違反本條例第十三條規(guī)定的,由網(wǎng)信、電信、公安、國家安全等主管部門依據(jù)各自職責(zé)責(zé)令改正,給予警告,可以并處10萬元以上100萬元以下罰款,對直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員可以處1萬元以上10萬元以下罰款;拒不改正或者情節(jié)嚴(yán)重的,處100萬元以上1000萬元以下罰款,并可以責(zé)令暫停相關(guān)業(yè)務(wù)、停業(yè)整頓、吊銷相關(guān)業(yè)務(wù)許可證或者吊銷營業(yè)執(zhí)照,對直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員處10萬元以上100萬元以下罰款。
第五十七條 違反本條例第二十九條第二款、第三十條第二款和第三款、第三十一條、第三十二條規(guī)定的,由網(wǎng)信、電信、公安等主管部門依據(jù)各自職責(zé)責(zé)令改正,給予警告,可以并處5萬元以上50萬元以下罰款,對直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員可以處1萬元以上10萬元以下罰款;拒不改正或者造成大量數(shù)據(jù)泄露等嚴(yán)重后果的,處50萬元以上200萬元以下罰款,并可以責(zé)令暫停相關(guān)業(yè)務(wù)、停業(yè)整頓、吊銷相關(guān)業(yè)務(wù)許可證或者吊銷營業(yè)執(zhí)照,對直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員處5萬元以上20萬元以下罰款。
第五十八條 違反本條例其他有關(guān)規(guī)定的,由有關(guān)主管部門依照《中華人民共和國網(wǎng)絡(luò)安全法》、《中華人民共和國數(shù)據(jù)安全法》、《中華人民共和國個(gè)人信息保護(hù)法》等法律的有關(guān)規(guī)定追究法律責(zé)任。
第五十九條 網(wǎng)絡(luò)數(shù)據(jù)處理者存在主動(dòng)消除或者減輕違法行為危害后果、違法行為輕微并及時(shí)改正且沒有造成危害后果或者初次違法且危害后果輕微并及時(shí)改正等情形的,依照《中華人民共和國行政處罰法》的規(guī)定從輕、減輕或者不予行政處罰。
第六十條 國家機(jī)關(guān)不履行本條例規(guī)定的網(wǎng)絡(luò)數(shù)據(jù)安全保護(hù)義務(wù)的,由其上級機(jī)關(guān)或者有關(guān)主管部門責(zé)令改正;對直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員依法給予處分。
第六十一條 違反本條例規(guī)定,給他人造成損害的,依法承擔(dān)民事責(zé)任;構(gòu)成違反治安管理行為的,依法給予治安管理處罰;構(gòu)成犯罪的,依法追究刑事責(zé)任。
第九章 附則
第六十二條 本條例下列用語的含義:
(一)網(wǎng)絡(luò)數(shù)據(jù),是指通過網(wǎng)絡(luò)處理和產(chǎn)生的各種電子數(shù)據(jù)。
(二)網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng),是指網(wǎng)絡(luò)數(shù)據(jù)的收集、存儲、使用、加工、傳輸、提供、公開、刪除等活動(dòng)。
(三)網(wǎng)絡(luò)數(shù)據(jù)處理者,是指在網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng)中自主決定處理目的和處理方式的個(gè)人、組織。
(四)重要數(shù)據(jù),是指特定領(lǐng)域、特定群體、特定區(qū)域或者達(dá)到一定精度和規(guī)模,一旦遭到篡改、破壞、泄露或者非法獲取、非法利用,可能直接危害國家安全、經(jīng)濟(jì)運(yùn)行、社會穩(wěn)定、公共健康和安全的數(shù)據(jù)。
(五)委托處理,是指網(wǎng)絡(luò)數(shù)據(jù)處理者委托個(gè)人、組織按照約定的目的和方式開展的網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng)。
(六)共同處理,是指兩個(gè)以上的網(wǎng)絡(luò)數(shù)據(jù)處理者共同決定網(wǎng)絡(luò)數(shù)據(jù)的處理目的和處理方式的網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng)。
(七)單獨(dú)同意,是指個(gè)人針對其個(gè)人信息進(jìn)行特定處理而專門作出具體、明確的同意。
(八)大型網(wǎng)絡(luò)平臺,是指注冊用戶5000萬以上或者月活躍用戶1000萬以上,業(yè)務(wù)類型復(fù)雜,網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng)對國家安全、經(jīng)濟(jì)運(yùn)行、國計(jì)民生等具有重要影響的網(wǎng)絡(luò)平臺。
第六十三條 開展核心數(shù)據(jù)的網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng),按照國家有關(guān)規(guī)定執(zhí)行。
自然人因個(gè)人或者家庭事務(wù)處理個(gè)人信息的,不適用本條例。
開展涉及國家秘密、工作秘密的網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng),適用《中華人民共和國保守國家秘密法》等法律、行政法規(guī)的規(guī)定。
第六十四條 本條例自2025年1月1日起施行。