《网络数据安全管理条例》解读
2025-02-12
《网络数据安全管理条例（国务院令第790号）》（下文简称《条例》）自2025年1月1日起施行，标志着数据安全领域从“三法一例（《网安法》、《数安法》、《个保法》、《关保条例》）”时代正式迈入“三法二例”时代。
鉴于国家安全部、公安部、国信办等权威部门已经对《条例》进行了权威解读，再照本宣科就没意思了（而且也涉嫌侵犯知识产权）。因此本文力争从落地的角度来解读《条例》。换句话说，作为网络数据处理者（包括第一方、第二方和第三方），在《条例》施行后需要履行哪些合规义务。
立法目的
《条例》的立法目的：为了规范网络数据处理活动，保障网络数据安全，促进网络数据依法合理有效利用，保护个人、组织的合法权益，维护国家安全和公共利益。
《条例》的立法目的一脉相承了《数安法》和《个保法》，有两个核心：既要保护网络数据安全，也要促进网络数据利用。也就是说，《条例》不仅要为数字经济“保驾护航”，更要为数字经济“推波助澜”，要在“安全”和“发展”之间取得完美的平衡。
《条例》也为网络数据处理者的合规义务指明了两大方向：依法保护网络数据安全、依法利用网络数据。
适用范围
“规定解读”
1.一般规定
1.1 依法合规
由于网络数据处理活动包含了网络数据生命周期的每个环节：收集、存储、使用、加工、传输、提供、公开、删除。意味着每个环节都应该做到依法合规。
例如“收集”环节，私生饭跟拍就属于违法行为，因为它侵犯了个人的隐私权（《民法典》第1032条，“自然人享有隐私权。任何组织或者个人不得以刺探、侵扰、泄露、公开等方式侵害他人的隐私权”）。例如“公开”环节，人肉搜索也属于违法行为，因为它同样侵犯了个人的隐私权。
1.2 安全保护义务
作为网络数据处理者，需要承担以下安全保护义务：
1）承担安全主体责任：
由于网络数据具有“流动”的特性，在数据生命周期中可能涉及多个网络数据处理者。那就意味着在不同的环节中，每个网络数据处理者都需要承担安全主体责任。例如A公司收集了网络数据，存储在云平台B，委托C公司加工，那么ABC在各自的环节中都需要承担安全主体责任。
2）落实网络安全等级保护：
网络安全等级保护是网络数据安全防护的基础，也是我国网络安全领域的基本制度。
3）健全网络数据安全管理制度：
网络数据安全管理制度包括数据分类分级、数据安全评估、数据访问权限管理、数据全生命周期管理、数据安全应急响应、数据合作方管理、数据脱敏、数据加密等方面。
4）加强网络数据安全技术措施：
《条例》要求采取技术措施保护网络数据，包括加密、备份、访问控制、安全认证等。数据加密包括传输加密和存储加密，主要是为了防止数据泄露后被非法利用。数据备份主要是为了防止数据破坏，尤其是勒索软件攻击。
5）处置网络数据安全事件：
① 制定网络数据安全事件应急预案。② 向主管部门报告网络数据安全事件。③ 以各种方式通知利害关系人。④ 发现涉嫌违法犯罪的，向公安机关、国家机关报案。
需要特别强调的是：尽管《条例》没有明文要求开展应急演练，但从实践出发，开展应急演练是十分必要的。此外，网络数据处理者应该克服“家丑不可外扬”的心理，及时报案。
1.3 政务数据保护
在政务数据保护方面，国家机关（包括党政机关）和网络数据处理者分别承担以下义务：
1）国家机关---委托他人建设、运行、维护电子政务系统：
按照国家有关规定经过严格审批，明确受托方的网络数据处理权限、保护责任，监督受托方履行网络数据安全保护义务。
2）国家机关---委托他人存储、加工政务数据：
按照国家有关规定经过严格审批，明确受托方的网络数据处理权限、保护责任，监督受托方履行网络数据安全保护义务。
3）网络数据处理者---为国家机关或关基运营者提供服务：
① 依法依规以及合同约定履行网络数据安全保护义务，提供安全、稳定、持续的服务。
② 未经委托方同意，不得访问、获取、留存、使用、泄露或向他人提供网络数据，不得对网络数据进行关联分析
4）网络数据处理者---参与公共基础设施、公共服务系统建设、运行、维护：
① 依法依规以及合同约定履行网络数据安全保护义务，提供安全、稳定、持续的服务。
② 未经委托方同意，不得访问、获取、留存、使用、泄露或向他人提供网络数据，不得对网络数据进行关联分析。
5）网络数据处理者---为国家机关提供服务的信息系统（但不处理政务数据）：
参照电子政务系统的管理要求加强网络数据安全管理，保障网络数据安全。
2.个人信息保护
《条例》重复《个保法》原文的部分就不重复了。仅对补充的部分（注意：是补充！不是区别）进行解读。
2.1 《隐私政策》
网络数据处理者在制定《隐私政策》时，除了要遵守《个保法》的要求外，还需要满足以下要求。
① 《隐私政策》位置：集中公开展示、易于访问并置于醒目位置，内容明确具体、清晰易懂。
② 《隐私政策》内容：补充了个人信息保存期限到期后的处理方式，保存期限难以确定的，应当明确保存期限的确定方法。
③ 《隐私政策》形式：网络数据处理者向个人告知收集和向其他网络数据处理者提供个人信息的目的、方式、种类以及网络数据接收方信息的，应当以清单等形式予以列明。
2.2 自动化采集
网络数据处理者在使用自动化采集技术收集个人信息时（如公共场所具有人脸识别功能的设备），无法避免采集到非必要的个人信息或者无法依法取得个人同意的个人信息，以及个人注销账号的，网络数据处理者应当删除个人信息或者进行匿名化处理。删除或匿名化个人信息在技术上难以实现的，网络数据处理者应对存储的个人信息采取必要的安全保护措施，不对其进行除存储之外的其他处理活动。换句话说，只能保护，不能利用。
对于自动化采集技术涉嫌违法的难题，在技术没有完美解决方案的时候，《条例》给出了折衷方案。
2.3 可携带权
为了保证个人信息的可携带权，《条例》要求对符合下列条件的个人信息转移请求，网络数据处理者应当为个人指定的其他网络数据处理者访问、获取有关个人信息提供途径：
① 能验证请求人的真实身份；
② 请求转移的是本人同意提供或基于合同收集的个人信息；
③ 转移个人信息具备技术可行性；
④ 转移个人信息不损害他人合法权益。
以损害他人合法权益为前提的个人信息转移，最容易想到的例子就是隐匿财产。
2.4 合规审计
《条例》要求网络数据处理者应当定期自行或者委托专业机构对其处理个人信息遵守法律、行政法规的情况进行合规审计。
考虑到网络数据处理者的数量太过于庞大，合规审计的复杂程度直接决定了该条款能否落地。
3.重要数据保护
根据《条例》要求，重要数据处理者需要履行下列安全保护义务：
1）明确网络数据安全负责人和网络数据安全管理机构：
网络数据安全负责人应当具备网络数据安全专业知识和相关管理工作经历，由网络数据处理者管理层成员担任，有权直接向有关主管部门报告网络数据安全情况。
2）制定实施网络数据安全管理制度、操作规程和网络数据安全事件应急预案；
3）定期组织开展网络数据安全风险监测、风险评估、应急演练、宣传教育培训等活动，及时处置网络数据安全风险和事件；
4）受理并处理网络数据安全投诉、举报
5）提供、委托处理、共同处理重要数据前，应当进行风险评估，但是属于履行法定职责或者法定义务的除外：
风险评估应当重点评估下列内容：
（一）提供、委托处理、共同处理网络数据，以及网络数据接收方处理网络数据的目的、方式、范围等是否合法、正当、必要；（二）提供、委托处理、共同处理的网络数据遭到篡改、破坏、泄露或者非法获取、非法利用的风险，以及对国家安全、公共利益或者个人、组织合法权益带来的风险；（三）网络数据接收方的诚信、守法等情况；（四）与网络数据接收方订立或者拟订立的相关合同中关于网络数据安全的要求能否有效约束网络数据接收方履行网络数据安全保护义务；（五）采取或者拟采取的技术和管理措施等能否有效防范网络数据遭到篡改、破坏、泄露或者非法获取、非法利用等风险；（六）有关主管部门规定的其他评估内容。
6）每年度对其网络数据处理活动开展风险评估，并向省级以上有关主管部门报送风险评估报告，有关主管部门应当及时通报同级网信部门、公安机关：
风险评估报告应当包括下列内容：（一）网络数据处理者基本信息、网络数据安全管理机构信息、网络数据安全负责人姓名和联系方式等；（二）处理重要数据的目的、种类、数量、方式、范围、存储期限、存储地点等，开展网络数据处理活动的情况，不包括网络数据内容本身；（三）网络数据安全管理制度及实施情况，加密、备份、标签标识、访问控制、安全认证等技术措施和其他必要措施及其有效性；（四）发现的网络数据安全风险，发生的网络数据安全事件及处置情况；（五）提供、委托处理、共同处理重要数据的风险评估情况；（六）网络数据出境情况；（七）有关主管部门规定的其他报告内容。
PS：虽然同为风险评估报告，但关注点不同。前者关注转移重要数据是否合法合规以及重要数据接收方是否安全可信；后者关注重要数据处理者自身是否存在安全风险。此外，处理重要数据的大型网络平台服务提供者报送的风险评估报告，还应当充分说明关键业务和供应链网络数据安全等情况。
4.数据跨境传输
《条例》对网络数据跨境传输的场景进行了规定：
个人信息类型：
① 通过国家网信部门组织的数据出境安全评估；
② 按照国家网信部门的规定经专业机构进行个人信息保护认证；
③ 符合国家网信部门制定的关于个人信息出境标准合同的规定；
④ 为订立、履行个人作为一方当事人的合同，确需向境外提供个人信息;
注意不是履行合同，是履行一方当事人为个人的合同。例如跨境购、跨境游。
⑤ 按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息；
例如跨国集团进行人力资源管理和发放薪酬。
⑥ 为履行法定职责或者法定义务，确需向境外提供个人信息；
例如向国际刑警组织申请国际追逃。
⑦ 紧急情况下为保护自然人的生命健康和财产安全，确需向境外提供个人信息；
⑧ 法律、行政法规或者国家网信部门规定的其他条件;
例如自贸区自行制定的负面清单。
⑨ 中华人民共和国缔结或者参加的国际条约、协定对向中华人民共和国境外提供个人信息的条件等有规定的。
重要数据类型：
① 网络数据处理者在中华人民共和国境内运营中收集和产生的重要数据确需向境外提供的，应当通过国家网信部门组织的数据出境安全评估。
PS：网络数据处理者按照国家有关规定识别、申报重要数据，但未被相关地区、部门告知或者公开发布为重要数据的，不需要将其作为重要数据申报数据出境安全评估。
法律责任
《条例》规定了以下几种行政责任：
“《条例》的出台，起到了很好的承上启下作用。“承上”，体现在《条例》作为行政法规，在与上位法律《网安法》、《数安法》、《个保法》保持了高度一致的基础上，进行了适当的细化，确保上位法律的落地；“启下”，体现在《条例》作为行政法规，为先行发布的部门规章如《促进和规范数据跨境流动规定》补充完善了法律依据。”
更多新闻
如何获取帮助?
请联系我们！
联系我们
浙江区域联系方式：0571-87759285
上海区域联系方式：13116762668
安徽区域联系方式：18156066590
广西区域联系方式：15678890066
北京区域联系方式：18601383688
其他区域联系方式：15158109776
总部地址：浙江杭州滨江区长河路590号东忠科技园4幢2楼
关注公众号
