作为规范网络数据处理活动，保护个人、组织在网络空间的合法权益，维护国家安全和公共利益的重要法律——《网络数据安全管理条例（征求意见稿）》甫一出台，便引起社会各界的广泛关注，成为数据、隐私与互联网监管方向的重要法规。经过将近三年的讨论与修订，结合新质生产力与数字经济的发展趋势，国务院在2024年8月30日第40次常务会议上通过了《网络数据安全管理条例》，并将在2025年1月1日开始正式施行。

在本文中，我们将以律师的视角，对新规的整体亮点以及“网络数据类型”“网络数据处理者义务主体”“网络数据处理者义务”“特殊的网络数据处理活动”“监管重点”以及条例对企业数据合规的指引等方面内容进行解读。希望屏幕前的诸君在“千淘万漉”之中，对新规的整体修订内容以及监管趋势有全面了解，并做好合规对应之策。

• 1）重要数据处理者义务：处理超过1000万条个人信息的网络数据处理者需履行重要数据处理者的安全保护责任和报告义务。说明个人信息和重要数据的边界不会混淆，超过规定数量的个人信息其性质仍然为个人信息。
• 2）个人信息告知义务：个人信息保护规则由处理者自愿制定，但未成年人信息处理规则除外。需明确规则的展示位置和表述方式。必须披露处理敏感信息的必要性及其对个人权益的影响。允许无法确认保存期限的情况，但需明确确定方法。注销账号方式应纳入规则中。应以“双清单”形式披露收集和提供个人信息的情况。处理未成年人信息必须制定专门的规则。
• 3）同意规则的细化：对“单独同意”进行了明确定义，强调处理个人信息必须基于必要性原则，且未经个人同意的信息需依法删除或匿名化处理。禁止超范围收集、误导获取同意及频繁征求不同意的情况。
• 4）个人信息删除义务：网络数据处理者在特定情况下必须删除或匿名化个人信息，包括：自动采集非必要信息、未依法取得同意的信息，以及个人注销账号的情况。
• 5）其他：《条例》还整合了个人信息转移请求的实施方式、境外处理者的报送监管要求及个人信息合规审计义务。

• 1）重要数据识别申报义务：《条例》延续了《数据安全法》的重要数据目录制定方式，并要求网络数据处理者根据国家规定识别和申报重要数据。要求处理者密切关注相关规定，自主识别和申报重要数据，并与重要数据目录形成对接机制，以便监管机构能全面动态管控各行业的重要数据。
• 2）重要数据安全保护责任：网络数据处理者（处理千万条以上个人信息者）需明确安全负责人和管理机构，安全负责人拥有向主管部门报告安全情况的独立权利，并需具备相应的管理和专业背景。处理者需制定网络安全管理制度，定期开展风险监测和应急演练，及时处理安全风险和事件。
• 3）重要数据处理者主体变动报告：处理者在合并、分立、解散或破产时，需采取措施保障重要数据安全，并向省级以上主管部门报告重要数据处置方案及接收方信息。
• 4）重要数据传输风险评估义务：对重要数据的第三方传输活动，处理者需进行风险评估，并对重点内容进行列举，评估内容与数据出境安全评估相似，为重要数据传输风险评估提供参考。
• 5）年度风险评估义务：处理者每年需对网络数据处理活动开展风险评估，并向主管部门报送评估报告。评估内容包括处理情况、相关安全保护义务的落实情况、网络数据安全风险及处置情况等。大型网络平台服务提供者需额外说明关键业务和供应链的网络数据安全情况。

（4）网络平台服务提供者义务

• 1）网络平台服务提供者的督促义务：网络平台服务提供者需对接入其平台的第三方产品和服务提供者履行网络数据安全管理责任，承担相应的督促义务。
• 2）预装应用程序设备生产者的责任：预装应用程序的智能终端等设备生产者，需与网络平台服务提供者一样，对其智能终端预装应用程序的服务提供者履行网络数据安全管理责任，承担督促义务。
• 3）应用程序分发服务的核验义务：提供应用程序分发服务的网络平台服务提供者（通常指应用市场）需对拟上架的应用程序进行网络数据安全核验，确保符合相关安全标准。
• 4）大型网络平台服务提供者的社会责任：大型网络平台服务提供者需通过发布《个人信息保护社会责任报告（年度）》引入社会监督机制，确保其履行网络数据安全保护义务。大型网络平台的定义包括注册用户超过5000万或月活跃用户超过1000万的网络平台，其数据处理活动对国家安全和经济有重要影响。

四、特殊的网络数据处理活动

《条例》不仅关注数据处理者的一般活动，还为某些特殊的网络数据处理活动提供了合规依据。

对于新兴的利用算法的数据处理行为，《条例》提出了明确的合规要求。其中，关于爬虫数据，《条例》第十八条规定，自动化访问和收集网络数据的合规要求为“不得非法侵入他人网络，不得干扰网络服务正常运行”。关于人工智能训练数据，《条例》第十九条明确，提供生成式人工智能服务的网络数据处理者需加强对训练数据的安全管理，防范和处置网络数据安全风险。同时，《条例》第四十六条规定，禁止大型网络平台服务者利用算法非法处理网络数据，损害用户权益。

五、监管重点

《条例》第八章“法律责任”明确了各类合规义务的法律责任。其中，第五十五条至第五十七条设定了针对特定合规义务的明确法律责任，第五十八条作为兜底条款，将其他合规要求的法律责任交由相关法律法规处理，第五十九条借鉴《行政处罚法》的理念，对轻微违法行为给予从轻处理，第六十条则要求国家机关履行网络数据安全保护义务，第六十一条规定了因违反《条例》可能面临的民事责任、行政责任及刑事责任。