网络数据安全管理条例

网络数据安全管理条例一、总则（一）立法目的。为规范网络数据安全管理，保护公民、法人和其他组织合法权益，维护国家安全和社会公共利益，促进网络数据依法有序流动，制定本条例。保障措施。国家建立网络数据分类分级保护制度，明确数据安全保护义务，落实数据安全责任，提升数据安全治理能力。（二）适用范围。本条例适用于在中国境内开展的网络数据处理活动，以及与数据处理相关的网络运营者、数据处理者、数据提供者、数据使用者和数据传输者等。跨境数据流动。涉及国家秘密、商业秘密和个人信息的跨境数据流动，应当符合国家有关规定。二、数据分类分级（一）分类标准。网络数据按照来源、性质、敏感程度等进行分类，分为公共数据、企业数据和个人数据。公共数据包括政府数据、公共事业数据和行业数据。企业数据包括经营数据、科研数据和产品数据。个人数据包括身份标识数据、生物识别数据、行为数据和财产数据。（二）分级保护。网络数据按照安全风险等级进行分级，分为核心数据、重要数据和一般数据。核心数据是指关系国家安全、国民经济命脉、重要民生、重大公共利益等的数据。重要数据是指特定领域、特定行业、特定群体等的数据。一般数据是指除核心数据和重要数据之外的数据。三、数据安全保护义务（一）网络运营者责任。网络运营者应当建立健全网络安全管理制度，采取技术措施和管理措施，保障网络安全和数据安全。网络运营者应当定期开展网络安全风险评估，及时消除网络安全风险隐患。网络运营者应当配合有关部门开展网络安全监督检查，如实提供网络安全相关信息。（二）数据处理者责任。数据处理者应当制定数据安全管理制度，明确数据安全责任，采取技术措施和管理措施，保障数据安全。数据处理者应当对数据进行分类分级管理，对核心数据和重要数据采取更加严格的安全保护措施。数据处理者应当定期开展数据安全风险评估，及时消除数据安全风险隐患。（三）数据提供者责任。数据提供者应当确保提供的数据真实、准确、完整，并采取技术措施和管理措施，保障数据安全。数据提供者应当对提供的数据进行分类分级管理，对核心数据和重要数据采取更加严格的安全保护措施。数据提供者应当配合有关部门开展数据安全监督检查，如实提供数据安全相关信息。（四）数据使用者责任。数据使用者应当按照约定使用数据，不得超出约定范围使用数据。数据使用者应当采取技术措施和管理措施，保障数据安全。数据使用者应当定期开展数据安全风险评估，及时消除数据安全风险隐患。四、数据安全保护措施（一）技术措施。网络运营者、数据处理者、数据提供者、数据使用者和数据传输者应当采取以下技术措施，保障数据安全：数据加密。对核心数据和重要数据进行加密存储和传输。数据脱敏。对个人数据进行脱敏处理，防止个人数据泄露。访问控制。对数据访问进行严格控制，确保只有授权人员才能访问数据。安全审计。对数据访问进行安全审计，及时发现异常访问行为。（二）管理措施。网络运营者、数据处理者、数据提供者、数据使用者和数据传输者应当采取以下管理措施，保障数据安全：安全制度。建立健全数据安全管理制度，明确数据安全责任。安全培训。定期对员工进行数据安全培训，提高员工数据安全意识。应急响应。制定数据安全应急预案，及时处置数据安全事件。安全评估。定期开展数据安全评估，及时发现数据安全风险隐患。五、数据安全监督管理（一）主管部门职责。国家网信部门负责统筹协调网络数据安全管理工作，制定网络数据安全政策法规，监督指导网络数据安全工作。公安部门负责打击网络数据安全犯罪，维护网络数据安全秩序。工信部门负责指导网络运营者、数据处理者、数据提供者、数据使用者和数据传输者开展网络数据安全工作。（二）监督检查。主管部门应当定期开展网络数据安全监督检查，对违反本条例的行为进行查处。监督检查包括现场检查、远程检查和抽查检查等方式。被检查单位和个人应当配合主管部门开展监督检查，如实提供相关资料。（三）投诉举报。任何单位和个人发现网络数据安全违法行为，可以向主管部门投诉举报。主管部门应当及时处理投诉举报，并对举报人信息予以保密。六、法律责任（一）行政责任。违反本条例规定，有下列行为之一的，由主管部门责令改正，给予警告，没收违法所得，对单位处十万元以上五十万元以下罚款，对个人处一万元以上十万元以下罚款：未建立健全网络安全管理制度；未采取技术措施和管理措施保障网络安全和数据安全；未定期开展网络安全风险评估；未及时消除网络安全风险隐患；未配合主管部门开展网络安全监督检查。（二）刑事责任。违反本条例规定，构成犯罪的，依法追究刑事责任。构成犯罪的，包括非法获取计算机信息系统数据罪、非法控制计算机信息系统罪、提供侵入、非法控制计算机信息系统程序、工具罪等。七、附则（一）解释权。本条例由国家网信部门负责解释。（二）施行日期。本条例自发布之日起施行