数据安全法要点

数据安全法要点一、基本原则（一）数据安全保护。国家制定数据安全保护基本制度，明确数据处理活动的基本要求，保障数据安全，促进数据开发利用。各单位应当履行数据安全保护义务，建立健全数据安全管理制度，采取技术措施和其他必要措施，保障数据安全。（二）数据分类分级。数据处理者应当根据数据处理活动对国家安全、公共利益、个人权益的影响程度，对数据处理活动进行分类分级，并采取相应的安全保护措施。数据分类分级标准由国家制定并公布。（三）数据安全风险评估。数据处理者应当定期开展数据安全风险评估，及时发现并处置数据安全风险。风险评估结果应当记录并保存至少五年。（四）数据安全事件处置。数据处理者应当制定数据安全事件应急预案，并定期组织演练。发生数据安全事件的，应当立即采取补救措施，并按照规定向有关主管部门报告。（五）数据安全监测预警。国家建立数据安全监测预警机制，对数据处理活动进行监测，及时发现并处置数据安全风险。监测预警结果应当及时向社会公布。（六）数据安全国际合作。国家开展数据安全国际合作，加强数据安全风险防范和应对，维护国家安全和公共利益。二、数据安全保护义务（一）数据收集处理。数据处理者在收集、存储、使用、加工、传输、提供、公开等处理个人信息时，应当遵循合法、正当、必要原则，并确保数据安全。数据处理者应当制定个人信息收集处理规则，并告知个人信息主体。（二）数据安全保障。数据处理者应当采取技术措施和其他必要措施，保障数据安全，防止数据泄露、篡改、丢失。数据处理者应当定期对数据进行备份，并确保备份数据安全。（三）数据安全审计。数据处理者应当定期进行数据安全审计，评估数据安全保护措施的有效性，并及时发现并整改数据安全风险。（四）数据安全培训。数据处理者应当对员工进行数据安全培训，提高员工的数据安全意识和技能。培训内容应当包括数据安全法律法规、数据安全管理制度、数据安全操作规范等。（五）数据安全责任。数据处理者应当明确数据安全责任人，并建立数据安全责任追究制度。发生数据安全事件的，应当追究相关责任人的责任。三、关键信息基础设施安全保护（一）安全保护要求。关键信息基础设施运营者应当履行数据安全保护义务，建立健全数据安全管理制度，采取技术措施和其他必要措施，保障数据安全。关键信息基础设施运营者应当定期开展数据安全风险评估，及时发现并处置数据安全风险。（二）安全监测预警。关键信息基础设施运营者应当建立数据安全监测预警机制，对数据处理活动进行监测，及时发现并处置数据安全风险。监测预警结果应当及时向有关主管部门报告。（三）安全事件处置。关键信息基础设施运营者应当制定数据安全事件应急预案，并定期组织演练。发生数据安全事件的，应当立即采取补救措施，并按照规定向有关主管部门报告。（四）安全评估。关键信息基础设施运营者应当定期进行安全评估，评估数据安全保护措施的有效性，并及时发现并整改数据安全风险。（五）安全整改。关键信息基础设施运营者发现数据安全风险时，应当立即采取补救措施，并及时向有关主管部门报告。有关主管部门应当对数据安全风险进行处置，并督促关键信息基础设施运营者整改。四、数据安全认证（一）认证机构。国家支持第三方机构开展数据安全认证，对数据处理者的数据安全保护能力进行评估。认证机构应当具备相应的资质和能力，并遵循客观公正的原则开展认证工作。（二）认证标准。国家制定数据安全认证标准，对数据处理者的数据安全保护能力进行评估。认证标准应当包括数据安全管理制度、数据安全技术措施、数据安全操作规范等内容。（三）认证结果应用。数据处理者取得数据安全认证的，应当将认证结果向社会公布。有关主管部门在开展数据安全监管时，应当充分考虑认证结果。（四）认证监督。国家对数据安全认证活动进行监督，确保认证活动的客观公正。认证机构应当接受国家监督，并定期进行自我评估。五、数据安全监管（一）监管职责。有关主管部门按照职责分工，负责数据安全监管工作。有关主管部门应当制定数据安全监管制度，并定期开展数据安全检查。（二）监管措施。有关主管部门在开展数据安全监管时，可以采取以下措施：1.进入现场进行检查；2.查阅有关资料；3.询问相关人员；4.要求数据处理者限期整改。（三）监管处罚。数据处理者违反本法规定的，有关主管部门应当责令限期改正；逾期不改正的，可以处十万元以下的罚款；情节严重的，可以处十万元以上一百万元以下的罚款，并可以责令暂停相关业务、吊销相关业务许可或者吊销营业执照。（四）监管协作。有关主管部门之间应当加强协作，建立数据安全监管信息共享机制。有关主管部门在开展数据安全监管时，可以互相委托进行监督检查。六、法律责任（一）民事责任。数据处理者违反本法规定，侵害个人信息权益的，应当承担民事责任。个人信息主体有权依法请求数据处理者采取补救措施，并有权依法要求赔偿损失。（二）行政责任。数据处理者违反本法规定，有关主管部门应当责令限期改正；逾期不改正的，可以处十万元以下的罚款；情节严重的，可以处十万元以上一百万元以下的罚款，并可以责令暂停相关业务、吊销相关业务许可或者吊销营业执照。（三）刑事责任。数据处理者违反本法规定，构成犯罪的，依法追究刑事责任。七、附则（一）本法所称数据处理，是指对个人信息和重要数据的收集、存储、使用、加工、传输、提供、公开等处理活动。（二）本法所称个人信息，是指以电子