重磅政策出台！事关网络数据安全

2024年9月30日，《网络数据安全管理条例》（以下简称《条例》）正式发布。《条例》统筹发展和安全，既加强网络数据安全保护，又鼓励和促进网络数据依法合理有效利用；坚持问题导向，聚焦个人信息、重要数据、网络数据跨境流动等方面突出问题，有针对性地健全制度措施。《条例》将于2025年1月1日起施行。

一、条例主要内容

01 关于网络数据处理者的一般义务

《条例》规定，网络数据处理者应履行建立健全网络数据安全管理制度、安全风险报告、安全事件处置等义务。任何个人、组织不得利用网络数据从事非法活动，任何个人、组织不得提供专门用于从事前款非法活动的程序、工具；明知他人从事前款非法活动的，不得为其提供互联网接入、服务器托管、网络存储、通讯传输等技术支持，或者提供广告推广、支付结算等帮助。向其他网络数据处理者提供、委托处理个人信息和重要数据的处理情况记录，应当至少保存3年。

02 关于个人信息保护的规定

《条例》规定，网络数据处理者应提供便捷的支持个人行使权利的方法和途径，不得设置不合理条件限制个人的合理请求。因使用自动化采集技术等无法避免采集到非必要个人信息或者未依法取得个人同意的个人信息，以及个人注销账号的，网络数据处理者应当删除个人信息或者进行匿名化处理。境外网络数据处理者处理境内自然人个人信息，依照规定在境内设立专门机构或者指定代表的，应当将有关机构的名称或者代表的姓名、联系方式等报送所在地设区的市级网信部门。

03 关于重要数据安全管理制度

国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护。各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的网络数据进行重点保护。对确认为重要数据的，相关地区、部门应当及时向网络数据处理者告知或者公开发布。重要数据的处理者应当明确网络数据安全负责人和网络数据安全管理机构。重要数据的处理者应当每年度对其网络数据处理活动开展风险评估，并向省级以上有关主管部门报送风险评估报。

04 关于网络数据跨境安全管理规定

《条例》明确了网络数据处理者可以向境外提供个人信息的八种条件，符合条件之一即可向境外提供个人信息。可以按照缔结或者参加的国际条约、协定向境外提供个人信息。未被相关地区、部门告知或者公开发布为重要数据的，不需要将其作为重要数据申报数据出境安全评估。

05 关于网络平台服务提供者义务

《条例》规定，网络平台服务提供者、预装应用程序的智能终端等设备生产者，应当通过平台规则或者合同等明确接入其平台的第三方产品和服务提供者的网络数据安全保护义务，督促第三方产品和服务提供者加强网络数据安全管理。鼓励保险公司开发网络数据损害赔偿责任险种，鼓励网络平台服务提供者、预装应用程序的智能终端等设备生产者投保。网络平台服务提供者通过自动化决策方式向个人进行信息推送的，应当设置易于理解、便于访问和操作的个性化推荐关闭选项，为用户提供拒绝接收推送信息、删除针对其个人特征的用户标签等功能。鼓励网络平台服务提供者支持用户使用国家网络身份认证公共服务登记、核验真实身份信息。

06 关于政府部门的职责分工

《条例》明确，国家网信部门负责统筹协调网络数据安全和相关监督管理工作。公安机关、国家安全机关在各自职责范围内承担网络数据安全监督管理职责，依法防范和打击危害网络数据安全的违法犯罪活动。国家数据管理部门在具体承担数据管理工作中履行相应的网络数据安全职责。各有关主管部门承担本行业、本领域网络数据安全监督管理职责。《条例》还给政府部门的监管行为划定了边界，要求主管部门开展网络数据安全监督检查，不得向被检查单位收取费用，在网络数据安全监督检查中不得访问、收集与网络数据安全无关的业务信息。各部门应当加强协同配合、信息沟通，避免不必要的检查和交叉重复检查。

07 关于处罚措施

《条例》对违反规定的行为，确定了对应的处罚措施，包括责令改正、警告、没收违法所得、罚款、责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照等。《条例》还规定，网络数据处理者存在主动消除或者减轻违法行为危害后果、违法行为轻微并及时改正且没有造成危害后果或者初次违法且危害后果轻微并及时改正等情形的，依照《中华人民共和国行政处罚法》的规定从轻、减轻或者不予行政处罚。

二、影响分析

整体来看，《条例》更加注重与前期出台的相关法律法规的衔接，各项规定更加明确、科学与合理。

1.重要数据管理要求更加合理

《条例》将触发重要数据管理规定的阈值，由征求意见稿中的“处理一百万条个人信息”，增加至“处理一千万条个人信息”，避免了监管对象的扩大化。《条例》还规定，相关地区、部门应当及时向网络数据处理者告知或者公开发布经确认的重要数据，这也减轻了企业的合规成本。

2.并购活动中应重视重要数据方面的合规要求

《条例》规定，重要数据的处理者因合并、分立、解散、破产等可能影响重要数据安全的，应当采取措施保障网络数据安全，并向省级以上有关主管部门报告重要数据处置方案、接收方的名称或者姓名和联系方式等。

3.数据跨境规定更加明确清晰

在前期发布《促进和规范数据跨境流动规定》等相关规定的基础上，《条例》对于可向境外提供个人信息的8种情形进行了逐一明确，给企业做好数据跨境过程中的合规工作，提供了明确和清晰的指引。

根据《条例》规定，各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，企业应根据自己所在地区、所处行业的具体要求，做好重要数据的安全管理工作。

对于相关重要数据目录的出台情况，中富博睿政策研究团队也将保持密切关注。

-END-