网络数据安全管理条例 （征求意见稿） 第一章 总则 第一条 为了规范网络数据处理活动，保障数据安全，保护个人 、 组织在网络空间的合法权益，维护国家安全、公共利益，根据《中 华人民共和国网络安全法》《中华人民共和国数据安全法》《中华 人民共和国个人信息保护法》等法律，制定本条例。 第二条 在中华人民共和国境内利用网络开展数据处理活动，以 及网络数据安全的监督管理，适用本条例。 在中华人民共和国境外处理中华人民共和国境内个人和组织数据 的活动，有下列情形之一的，适用本条例： （一）以向境内提供产品或者服务为目的； （二）分析、评估境内个人、组织的行为； （三）涉及境内重要数据处理； （四）法律、行政法规规定的其他情形。 自然人因个人或者家庭事务开展数据处理活动，不适用本条例。 第三条 国家统筹发展和安全，坚持促进数据开发利用与保障数 据安全并重，加强数据安全防护能力建设，保障数据依法有序自由 流动，促进数据依法合理有效利用。 第四条 国家支持数据开发利用与安全保护相关的技术、产品、 服务创新和人才培养。 国家鼓励国家机关、行业组织、企业、教育和科研机构、有关专 业机构等开展数据开发利用和安全保护合作，开展数据安全宣传教 育和培训。 第五条 国家建立数据分类分级保护制度。按照数据对国家安全 、 公共利益或者个人、组织合法权益的影响和重要程度，将数据分为 一般数据、重要数据、核心数据，不同级别的数据采取不同的保护 措施。 国家对个人信息和重要数据进行重点保护，对核心数据实行严格 保护。 各地区、各部门应当按照国家数据分类分级要求，对本地区、本 部门以及相关行业、领域的数据进行分类分级管理。 第六条 数据处理者对所处理数据的安全负责，履行数据安全保 护义务，接受政府和社会监督，承担社会责任。 数据处理者应当按照有关法律、行政法规的规定和国家标准的强 制性要求，建立完善数据安全管理制度和技术保护机制。 第七条 国家推动公共数据开放、共享，促进数据开发利用，并 依法对公共数据实施监督管理。 国家建立健全数据交易管理制度，明确数据交易机构设立、运行 标准，规范数据流通交易行为，确保数据依法有序流通。 第二章 一般规定 第八条 任何个人和组织开展数据处理活动应当遵守法律、行政 法规，尊重社会公德和伦理，不得从事以下活动： （一）危害国家安全、荣誉和利益，泄露国家秘密和工作秘密； （二）侵害他人名誉权、隐私权、著作权和其他合法权益等； （三）通过窃取或者以其他非法方式获取数据； （四）非法出售或者非法向他人提供数据； （五）制作、发布、复制、传播违法信息； （六）法律、行政法规禁止的其他行为。 任何个人和组织知道或者应当知道他人从事前款活动的，不得为 其提供技术支持、工具、程序和广告推广、支付结算等服务。 第九条 数据处理者应当采取备份、加密、访问控制等必要措施， 保障数据免遭泄露、窃取、篡改、毁损、丢失、非法使用，应对数 据安全事件，防范针对和利用数据的违法犯罪活动，维护数据的完 整性、保密性、可用性。 数据处理者应当按照网络安全等级保护的要求，加强数据处理系 统、数据传输网络、数据存储环境等安全防护，处理重要数据的系 统原则上应当满足三级以上网络安全等级保护和关键信息基础设施 安全保护要求，处理核心数据的系统依照有关规定从严保护。 数据处理者应当使用密码对重要数据和核心数据进行保护。 第十条 数据处理者发现其使用或者提供的网络产品和服务存在 安全缺陷、漏洞，或者威胁国家安全、危害公共利益等风险时，应 当立即采取补救措施。 第十一条 数据处理者应当建立数据安全应急处置机制，发生数 据安全事件时及时启动应急响应机制，采取措施防止危害扩大，消 除安全隐患。安全事件对个人、组织造成危害的，数据处理者应当 在三个工作日内将安全事件和风险情况、危害后果、已经采取的补 救措施等以电话、短信、即时通信工具、电子邮件等方式通知利害 关系人，无法通知的可采取公告方式告知，法律、行政法规规定可 以不通知的从其规定。安全事件涉嫌犯罪的，数据处理者应当按规 定向公安机关报案。 发生重要数据或者十万人以上个人信息泄露、毁损、丢失等数据 安全事件时，数据处理者还应当履行以下义务： （一）在发生安全事件的八小时内向设区的市级网信部门和有关 主管部门报告事件基本信息，包括涉及的数据数量、类型、可能的 影响、已经或拟采取的处置措施等； （二）在事件处置完毕后五个工作日内向设区的市级网信部门和 有关主管部门报告包括事件原因、危害后果、责任处理、改进措施 等情况的调查评估报告。 第十二条 数据处理者向第三方提供个人信息，或者共享、交易、 委托处理重要数据的，应当遵守以下规定： （一）向个人告知提供个人信息的目的、类型、方式、范围、存 储期限、存储地点，并取得个人单独同意，符合法律、行政法规规 定的不需要取得个人同意的情形或者经过匿名化处理的除外； （二）与数据接收方约定处理数据的目的、范围、处理方式，数 据安全保护措施等，通过合同等形式明确双方的数据安全责任义务， 并对数据接收方的数据处理活动进行监督； （三）留存个人同意记录及提供个人信息的日志记录，共享、交 易、委托处理重要数据的审批记录、日志记录至少五年。 数据接收方应当履行约定的义务，不得超出约定的目的、范围、 处理方式处理个人信息和重要数据。 第十三条 数据处理者开展以下活动，应当按照国家有关规定， 申报网络安全审查： （一）汇聚掌握大量关系国家安全、经济发展、公共利益的数据 资源的互联网平台运营者实施合并、重组、分立，影响或者可能影 响国家安全的； （二）处理一百万人以上个人信息的数据处理者赴国外上市的； （三）数据处理者赴香港上市，影响或者可能影响国家安全的； （四）其他影响或者可能影响国家安全的数据处理活动。 大型互联网平台运营者在境外设立总部或者运营中心、研发中心， 应当向国家网信部门和主管部门报告。 第十四条 数据处理者发生合并、重组、分立等情况的，数据接 收方应当继续履行数据安全保护义务，涉及重要数据和一百万人以 上个人信息的，应当向设区的市级主管部门报告；数据处理者发生 解散、被宣告破产等情况的，应当向设区的市级主管部门报告，按 照相关要求移交或删除数据，主管部门不明确的，应当向设区的市 级网信部门报告。 第十五条 数据处理者从其他途径获取的数据，应当按照本条例 的规定履行数据安全保护义务。 第十六条 国家机关应当依照法律、行政法规的规定和国家标准 的强制性要求，建立健全数据安全管理制度，落实数据安全保护责 任，保障政务数据安全。 第十七条 数据处理者在采用自动化工具访问、收集数据时，应 当评估对网络服务的性能、功能带来的影响，不得干扰网络服务的 正常功能。 自动化工具访问、收集数据违反法律、行政法规或者行业自律公 约、影响网络服务正常功能，或者侵犯他人知识产权等合法权益的， 数据处理者应当停止访问、收集数据行为并采取相应补救措施。 第十八条 数据处理者应当建立便捷的数据安全投诉举报渠道， 及时受理、处置数据安全投诉举报。 数据处理者应当公布接受投诉、举报的联系方式、责任人信息， 每年公开披露受理和收到的个人信息安全投诉数量、投诉处理情况、 平均处理时间情况，接受社会监督。 第三章 个人信息保护 第十九条 数据处理者处理个人信息，应当具有明确、合理的目 的，遵循合法、正当、必要的原则。基于个人同意处理个人信息的， 应当满足以下要求： （一）处理的个人信息是提供服务所必需的，或者是履行法律、 行政法规规定的义务所必需的； （二）限于实现处理目的最短周期、最低频次，采取对个人权益 影响最小的方式； （三）不得因个人拒绝提供服务必需的个人信息以外的信息，拒 绝提供服务或者干扰个人正常使用服务。 第二十条 数据处理者处理个人信息，应当制定个人信息处理规 则并严格遵守。个人信息处理规则应当集中公开展示、易于访问并 置于醒目位置，内容明确具体、简明通俗，系统全面地向个人说明 个人信息处理情况。 个人信息处理规则应当包括但不限于以下内容： （一）依据产品或者服务的功能明确所需的个人信息，以清单形 式列明每项功能处理个人信息的目的、用途、方式、种类、频次或 者时机、保存地点等，以及拒绝处理个人信息对个人的影响； （二）个人信息存储期限或者个人信息存储期限的确定方法、到 期后的处理方式； （三）个人查阅、复制、更正、删除、限制处理、转移个人信息， 以及注销账号、撤回处理个人信息同意的途径和方法； （四）以集中展示等便利用户访问的方式说明产品服务中嵌入的 所有收集个人信息的第三方代码、插件的名称，以及每个第三方代 码、插件收集个人信息的目的、方式、种类、频次或者时机及其个 人信息处理规则； （五）向第三方提供个人信息情形及其目的、方式、种类，数据 接收方相关信息等； （六）个人信息安全风险及保护措施； （七）个人信息安全问题的投诉、举报渠道及解决途径，个人信 息保护负责人联系方式。 第二十一条 处理个人信息应当取得个人同意的，数据处理者应 当遵守以下规定： （一）按照服务类型分别向个人申请处理个人信息的同意，不得 使用概括性条款取得同意； （二）处理个人生物识别、宗教信仰、特定身份、医疗健康、金 融账户、行踪轨迹等敏感个人信息应当取得个人单独同意； （三）处理不满十四周岁未成年人的个人信息，应当取得其监护 人同意； （四）不得以改善服务质量、提升用户体验、研发新产品等为由， 强迫个人同意处理其个人信息； （五）不得通过误导、欺诈、胁迫等方式获得个人的同意； （六）不得通过捆绑不同类型服务、批量申请同意等方式诱导、 强迫个人进行批量个人信息同意； （七）不得超出个人授权同意的范围处理个人信息； （八）不得在个人明确表示不同意后，频繁征求同意、干扰正常 使用服务。 个人信息的处理目的、处理方式和处理的个人信息种类发生变更 的，数据处理者应当重新取得个人同意，并同步修改个人信息处理 规则。 对个人同意行为有效性存在争议的，数据处理者负有举证责任。 第二十二条 有下列情况之一的，数据处理者应当在十五个工作 日内删除个人信息或者进行匿名化处理： （一）已实现个人信息处理目的或者实现处理目的不再必要； （二）达到与用户约定或者个人信息处理规则明确的存储期限； （三）终止服务或者个人注销账号； （四）因使用自动化采集技术等，无法避免采集到的非必要个人 信息或者未经个人同意的个人信息。 删除个人信息从技术上难以实现，或者因业务复杂等原因，在十 五个工作日内删除个人信息确有困难的，数据处理者不得开展除存 储和采取必要的安全保护措施之外的处理，并应当向个人作出合理 解释。 法律、行政法规另有规定的从其规定。 第二十三条 个人提出查阅、复制、更正、补充、限制处理、删 除其个人信息的合理请求的，数据处理者