2024年9月24日，由国务院总理李强签署并公布的《网络数据安全管理条例》，旨在规范网络数据处理活动，保障网络数据安全，促进网络数据的依法合理有效利用，保护个人、组织的合法权益，维护国家安全和公共利益。条例详细规定了网络数据处理的各个方面，从总则到个人信息保护、重要数据安全及跨境数据管理，确保网络数据的安全和合理利用，自2025年1月1日起施行。
一、条例解读、主要内容及条款
司法部在关于《网络数据安全管理条例》的解读中，介绍了条例的出台背景、总体思路、主要内容以及对相关部门职责分工的规定。
党中央和国务院高度重视网络数据安全，强调提升数据安全治理监管能力。随着信息技术的发展，数据处理活动频繁，数据安全风险集中在网络数据领域。现有法律对数据安全和个人信息保护作了基本规定，但需要配套行政法规来规范网络数据处理活动。
坚持党的领导，贯彻党的二十大和二十届二中、三中全会精神。统筹发展和安全，既加强网络数据安全保护，又促进其依法合理利用。聚焦个人信息、重要数据、数据跨境流动等突出问题，健全制度措施。统筹协调上位法关系，细化、补充和完善相关制度规定。
《条例》共9章64条，以下是主要章节内容及具体条款：
1. 总则
目的：第1条 规范网络数据处理活动，保障数据安全，促进数据合理利用。
适用范围：第2条 适用于在中国境内开展的网络数据处理活动及其安全监督管理。
基本原则：第3条 坚持党的领导，统筹数据开发利用与安全保护，鼓励创新应用。
2. 一般规定
禁止非法活动：第8条 不得窃取、非法出售或提供网络数据，不得提供用于非法活动的工具。
数据安全防护：第9条 网络数据处理者需加强防护，建立健全安全管理制度，采取技术措施。
应急预案：第11条 制定并启动应急预案，及时处置安全事件，通知相关利害关系人。
3. 个人信息保护
明确个人信息处理规则的告知义务内容和形式。规定基于个人同意处理个人信息的基本要求。明确行使个人信息权利的要求，细化个人信息转移的具体条件。要求在境内设立专门机构或指定代表。规定处理1000万人以上个人信息的额外义务。
处理规则：第21条 明确处理个人信息的目的、方式、种类及保存期限，需获得个人同意。
权利保障：第23条 提供便捷的行使权利方法和途径，不得设置不合理条件限制请求。
敏感信息：第22条 对生物识别、宗教信仰等敏感信息需取得单独同意，处理未成年人信息需父母或监护人同意。
4. 重要数据安全
明确重要数据的定义及其危害性。制定重要数据目录，规定识别和申报义务。规定网络数据安全负责人和管理机构的责任。要求进行风险评估，明确评估内容和年度报告要求。
目录制定：第29条 国家数据安全工作协调机制统筹制定重要数据目录，各地区、部门需确定具体目录。
责任落实：第30条 网络数据处理者需识别、申报重要数据，并履行安全保护责任，明确安全负责人和管理机构。
5. 跨境数据管理
建立国家数据出境安全管理专项工作机制。规定网络数据处理者向境外提供个人信息的条件。明确数据出境后的目的、方式、范围和种类限制。国家采取措施防范和处置跨境数据安全风险。
提供条件：第35条 网络数据处理者可向境外提供个人信息，但需符合特定条件和程序。
国际条约：第36条 可按照缔结或参加的国际条约、协定向境外提供个人信息。
6. 网络平台服务提供者义务
规定网络平台服务提供者的数据安全保护义务。针对个性化推荐服务等问题，设置易于操作的关闭选项。推进网络身份认证公共服务，鼓励用户使用。大型平台每年发布个人信息保护社会责任报告，防范跨境安全风险。
安全保护：第45条 需遵守网络数据安全保护要求，采取措施防范跨境安全风险。
社会责任：第44条 大型平台需发布个人信息保护社会责任年度报告。
二、网络数据安全职责、要求与监管
1、网络数据安全职责
国家网信部门负责统筹协调网络数据安全和相关监督管理工作；公安机关、国家安全机关负责在各自职责范围内防范和打击危害网络数据安全的违法犯罪活动；国家数据管理部门负责具体承担数据管理工作中履行相应的网络数据安全职责；各地区、各部门对本地区、本部门工作中收集和产生的网络数据及网络数据安全负责；各有关主管部门承担本行业、本领域网络数据安全监督管理职责。
2、数据安全要求
《条例》中提到的数据安全要求包括：
- 实行分类分级保护，根据数据的重要性和潜在风险进行不同级别的保护；
- 建立健全网络数据安全管理制度，包括安全风险报告和安全事件处置等；
- 对于个人信息的处理，需遵循明确的规则和规定，提供支持个人行使权利的方法和途径；
- 对于重要数据的跨境传输，需符合特定条件和国际条约、协定；
- 网络平台服务提供者需履行特定的安全保护要求，如发布个人信息保护社会责任年度报告等。
3、数据安全的监管条款
条例中关于数据安全的监管有以下条款：第8条规定了禁止利用网络数据从事非法活动，不得非法获取或提供网络数据；第9条规定了网络数据处理者应加强数据安全防护，建立安全管理制度，采取技术措施保护数据；第11条规定了网络数据处理者应建立数据安全事件应急预案，及时处理安全事件并报告；第12条规定了网络数据处理者在提供或委托处理数据时应与接收方签订合同，明确安全保护义务；第13条规定了处理可能影响国家安全的数据时应进行国家安全审查。
4、数据安全管理制度
数据安全管理制度应包括以下内容：
制定实施网络数据安全管理制度、操作规程和网络数据安全事件应急预案；
定期组织开展网络数据安全风险监测、风险评估、应急演练、宣传教育培训等活动；
及时处置网络数据安全风险和事件；
受理并处理网络数据安全相关的投诉和举报。
三、确保跨境数据安全
在跨境数据管理中，确保数据安全的措施包括：条例明确了网络数据处理者向境外提供个人信息的条件，规定了数据出境安全评估的流程和要求，以及国家采取措施防范和处置跨境数据安全风险和威胁。
条例对跨境数据管理的具体规定包括：
- 明确国家网信部门统筹协调有关部门建立国家数据出境安全管理专项工作机制，研究制定国家网络数据出境安全管理相关政策，协调处理网络数据出境安全重大事项。
- 规定网络数据处理者可以向境外提供个人信息的条件，明确未被相关地区、部门告知或者公开发布为重要数据的，不需要将其作为重要数据申报数据出境安全评估。
- 明确网络数据处理者通过数据出境安全评估后向境外提供个人信息和重要数据的，不得超出评估时明确的数据出境目的、方式、范围和种类、规模等。
- 还规定国家采取措施，防范、处置网络数据跨境安全风险和威胁。
四、网络数据处理和安全事件应对
首先，网络数据处理者必须遵守法律法规，如《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》等。其次，网络数据处理者应建立健全网络数据安全管理制度，采取必要的技术措施，如加密、备份、访问控制等，保护网络数据免遭非法获取或利用。再次，网络数据处理者应尊重并保护个人隐私，明确处理个人信息的规则和具体规定，提供便捷的途径供个人行使权利。
此外，对于重要数据的处理，网络数据处理者需识别、申报重要数据，并遵循特定的安全保护要求。最后，网络数据处理者应参与国家安全审查，确保数据处理活动不损害国家安全和公共利益。
1、安全事件处理
步骤如下：
发生网络数据安全事件时，应当立即启动应急预案；
采取措施防止危害扩大，消除安全隐患；
按照规定向有关主管部门报告；
如果网络数据安全事件对个人、组织合法权益造成危害，应当及时通知利害关系人；
在处置过程中发现涉嫌违法犯罪线索的，应当按照规定向公安机关、国家安全机关报案，并配合开展侦查、调查和处置工作。
2、保障个人隐私和避免数据泄露
根据《网络数据安全管理条例》的相关规定，保障个人隐私在数据传输中的安全和避免数据泄露可以采取以下措施：
- 网络数据处理者应当依照法律、行政法规的规定和国家标准的强制性要求，在网络安全等级保护的基础上，加强网络数据安全防护，建立健全网络数据安全管理制度。
- 应采取加密、备份、访问控制、安全认证等技术措施和其他必要措施，保护网络数据免遭篡改、破坏、泄露或者非法获取、非法利用。
- 发现网络产品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，并按照规定及时告知用户并向有关主管部门报告。
- 网络数据处理者应当建立健全网络数据安全事件应急预案，发生网络数据安全事件时，应当立即启动预案，采取措施防止危害扩大，消除安全隐患，并按照规定向有关主管部门报告。
- 网络数据处理者向其他网络数据处理者提供、委托处理个人信息和重要数据的，应当通过合同等与网络数据接收方约定处理目的、方式、范围以及安全保护义务等，并对网络数据接收方履行义务的情况进行监督。
- 网络数据处理者应当定期自行或者委托专业机构对其处理个人信息遵守法律、行政法规的情况进行合规审计。
- 网络数据处理者应当加强对训练数据和训练数据处理活动的安全管理，采取有效措施防范和处置网络数据安全风险。
- 网络数据处理者应当提供便捷的网络数据安全投诉、举报渠道，公布投诉、举报方式等信息，及时受理并处理网络数据安全投诉、举报。
3、网络安全防护计划制定和必备能力
制定有效的网络安全防护计划应包括以下步骤：
风险评估：定期进行网络安全风险评估，识别潜在的安全威胁和脆弱性。
安全策略制定：根据风险评估结果，制定相应的安全策略和控制措施。
技术防护措施：部署防火墙、入侵检测系统、加密技术等，以技术手段加强防护。
安全培训和意识提升：定期对员工进行网络安全培训，提高他们对安全威胁的认识和应对能力。
应急预案制定：制定详细的网络安全事件应急预案，包括事件响应流程、责任分配和资源调配。
定期审查和更新：定期审查网络安全防护计划的有效性，并根据新的威胁和技术发展进行更新。
网络数据安全事件应对必备能力包括：
快速响应能力：在发现安全事件时，能够迅速启动应急预案，采取措施防止危害扩大。
风险评估能力：对安全事件进行快速的风险评估，确定事件的严重性和紧急性，以及可能影响的系统和数据。
数据恢复能力：具备数据备份和恢复的能力，能够在数据丢失或损坏后迅速恢复数据。
法律法规知识：了解相关的法律法规，确保在应对安全事件时的操作合法合规。
协作沟通能力：与内部团队、外部合作伙伴以及执法机构等进行有效沟通和协作。
来源：中国政府网、司法部微信公号，本篇针对全文由生成式 AI 做出的核心摘要和解答，仅作为参考，请以原文为准。
领取数字人才中国方案，直通数治x行业社群、AIGC+X 成长营，一起产研内训、知识平台共建！
请在页面底部扫码关注我们的微信公众号“idtzed”，对话框内发送“入”添加老邪企业微信获取。
在此声明以上观点和内容，仅代表原作者和出处，与数治网DTZed 无关，如有出错或侵害到相关合法权益，请通过电邮与我们联系：cs@dtzed.com。
