完善数据安全法律体系

护航数字经济高质量发展

余晓晖

（第十四届全国政协委员、中国信息通信研究院院长）

专家解读二

请向上滑动阅览

随着数字技术的蓬勃发展和广泛运用，社会经济生活的每个领域都在深度网络化、信息化和数据化。没有数据安全就没有国家安全。《网络数据安全管理条例》（以下简称《条例》）以《网络安全法》《数据安全法》《个人信息保护法》等法律为依据，聚焦网络数据，细化相关规定，完善网络数据安全规则，为提升网络数据安全治理体系和能力现代化提供了更有可操作性的法治保障，标志着我国网络数据安全治理进入了新阶段。

《条例》完善了网络数据分类分级保护制度。分类分级保护是网络数据安全制度的重要抓手。《数据安全法》第二十一条规定，国家建立数据分类分级保护制度。数据分类分级保护既是《数据安全法》确定的一项原则，也是《数据安全法》构建的一般制度。《条例》不仅在总则部分明确了数据分类分级的一般标准，而且专章构建了重要数据安全制度。例如，重要数据目录、重要数据的处理者的特别义务和责任、处理前的风险评估的重点内容、风险评估的报告制度、省级以上有关主管部门的监管措施，等等。《条例》有关数据分类分级制度具有可操作性，对于保障数据安全具有指引作用。

《条例》压实了网络数据处理者的主体责任。厘清网络数据安全边界，需要细化数据处理规则，明确各类主体责任。数据安全不是抽象的，而是具体的、全过程的。建立健全网络数据安全管理制度，就意味着数据的收集、存储、使用、加工、传输、提供、公开乃至删除等每一项处理活动和数据处理的每一个环节，都需要落实数据安全管理制度，纳入数据安全的法治轨道。为保障数据安全，基于《数据安全法》和《个人信息保护法》中“数据处理”“个人信息的处理”以及“重要数据的处理者”“个人信息处理者”等表述，《条例》提炼出“网络数据处理者”这一重要概念，并且进一步健全了网络数据处理者在不同场景处理不同数据的义务规则：履行法律、行政法规和国家标准强制性要求、建立健全网络数据安全管理制度、采取必要安全技术措施和其他必要措施、建立健全网络数据安全事件应急预案、处置网络数据安全事件等义务，并对所处理的网络数据的安全承担主体责任。

《条例》细化了网络数据处理活动制度要求。对于个人信息和重要数据的提供、委托处理和共同处理，《条例》对于相关合同的主要条款予以规定，增强了行政法规的指引性。针对现实经济生活中已经出现的网络数据处理者因合并、分立、解散、破产等原因需要转移网络数据的情形，《条例》明确规定网络数据接收方应当继续履行网络数据安全保护义务。同时，针对提供生成式人工智能服务，《条例》专门规定网络数据处理者应当加强对训练数据和训练数据处理活动的安全管理，采取有效措施防范和处置网络数据安全风险，提高了相关规定的效力层级。此外，在《个人信息保护法》的基础上，《条例》专章规定了个人信息保护具体规则，个人信息安全得到更加有效的法治保障。

《条例》优化了网络数据跨境安全管理制度。党的二十届三中全会指出，“提升数据安全治理监管能力，建立高效便利安全的数据跨境流动机制。”为了规范网络数据跨境，《条例》设置专章规定了网络数据跨境安全管理，规定了网络数据处理者可以向境外提供个人信息的条件、重要数据出境的程序。同时，国家采取措施，防范、处置网络数据跨境安全风险和威胁。尤为值得关注的是，为健全网络数据领域的反制裁、反干涉、反“长臂管辖”机制，完善我国参与全球数据安全治理的国内法基础，《条例》以《个人信息保护法》和《数据安全法》的相关规定为依据，在总则部分明确规定了网络数据安全的域外管辖制度。

《条例》明确了网络平台服务提供者责任义务。作为现阶段数字经济的主要形态，平台经济主要是以数据为关键要素的经济活动，因此，网络平台服务提供者对于保障网络数据安全承担着重要作用。《条例》专章规定网络平台服务提供者义务和责任，对于规范网络平台服务提供者的行为、强化平台依法自律、维护用户合法权益，推动平台经济向上向善高质量发展具有重要的规范作用和指导意义。

《条例》健全了网络数据监督管理体制机制。数据作为新型生产要素，是数字化、网络化、智能化的基础，已快速融入生产、分配、流通、消费和社会服务管理等各环节，深刻改变着生产方式、生活方式和社会治理方式。规范网络数据处理活动，保障网络数据安全，促进网络数据依法合理有效利用，保护个人、组织的合法权益，维护国家安全和公共利益，是一项需要政府、企业、社会和个人等各方共同参与的系统工程，特别是建立健全科学高效的监管体制，更好发挥政府的作用。《条例》构建了分工与协同相结合的网络数据监督管理体制机制，有助于形成网络数据安全监管合力。

坚持高质量发展和高水平安全良性互动是《条例》的立法导向。准确理解和正确适用《条例》，必须全面准确把握《条例》的立法目标，以实现纲举目张，充分发挥其法律效应。规范网络数据处理活动，既要保障网络数据安全，又要促进网络数据依法合理有效利用，还要保护个人、组织的合法权益，维护国家安全和公共利益。可见，《条例》坚持以高质量发展促进高水平安全，以高水平安全保障高质量发展，与《网络安全法》《数据安全法》《个人信息保护法》一脉相承。《条例》设定了网络数据安全的底线，划清了网络数据安全的红线，明确网络数据安全的责任，在法治轨道上明晰了网络数据安全边界，提升了网络数据安全治理体系和能力的现代化的法治保障。我们期待，以高水平的数据安全法治建设，保障数据依法有序自由流动，助力充分发挥我国海量数据规模和丰富应用场景优势，做强做优做大数字经济，赋能高质量发展，为实现中国式现代化持续注入强劲动能。

专家解读三

请向上滑动阅览

习近平总书记强调，要坚持依法治网、依法办网、依法上网，让互联网在法治轨道上健康运行。近年来，我国加快网络数据安全法律制度体系建设，《网络安全法》《数据安全法》《个人信息保护法》等法律相继颁布实施，确立了网络数据安全的基本制度框架和基本法律原则；制定出台《促进和规范数据跨境流动规定》《数据出境安全评估办法》《个人信息出境标准合同办法》《汽车数据安全管理若干规定（试行）》等部门规章，对网络数据安全管理工作作出明确规定；研制发布数据安全国家标准33项，在研标准18项，覆盖数据分类分级、数据安全风险评估、个人信息保护等方面，网络数据安全法规制度标准体系取得重大进展和显著成效。

《网络数据安全管理条例》（以下简称《条例》）作为网络数据安全法规制度体系的重要组成部分，提供了更具操作性的法律制度依据，对于全面提升治理监管能力具有深刻意义。

一、深刻领会《条例》对网络数据安全管理工作的重要意义

党中央高度重视数据安全工作，习近平总书记多次就数据安全工作作出重要指示，强调“要维护国家数据安全，保护个人信息和商业秘密”。

（一）《条例》是贯彻落实党中央决策部署的重要举措

党的二十届三中全会提出“提升数据安全治理监管能力”“建立高效便利安全的数据跨境流动机制”等网络数据安全领域重要任务。出台《条例》是构建我国网络数据安全治理体系的重要举措，是实现网络数据安全治理监管能力现代化的关键环节，是落实党中央关于网络数据安全工作重大部署的有效路径。《条例》围绕新时期、新形势下网络数据安全工作重点，对《网络安全法》《数据安全法》《个人信息保护法》作了进一步细化，为我国深入开展网络数据安全保护工作提供了重要保障。

（二）《条例》是应对新形势下网络数据安全风险的迫切需求

随着网络化、数字化、智能化的迅猛发展，网络数据高度汇聚、高频流动、高度开放加剧网络数据泄露风险。新型网络欺诈、黑客攻击等安全事件频发，金融、生物、能源等重点领域敏感数据被窃取风险加剧。违法违规收集个人信息、滥采滥用现象仍然存在，侵害人民群众合法权益，危害社会安全。《条例》的出台，围绕数据处理活动安全、个人信息保护、重要数据保护、网络平台服务提供者义务等方面提出明确要求，有力提升国家数据安全保障能力。

（三）《条例》是开展网络数据安全综合治理工作的重要保障

保障网络数据安全是激活数据要素价值、推动数字经济健康发展的重要基础。我国依法开展了数据跨境安全管理、App专项治理、汽车数据安全管理、重点领域数据安全风险评估等重点工作，有效规范网络数据处理活动和处理行为，推进网络数据安全高质量发展。《条例》的出台，围绕数据安全、个人信息保护的重点、难点问题进一步明确管理要求，划定底线、红线，为网络数据安全治理工作提供重要法规保障。

二、《条例》对网络数据安全管理工作提出了具体要求

贯彻总体国家安全观，《条例》界定了适用范围、保护对象、监管主体，提出了责任义务、安全要求，为网络数据安全管理工作提供系统指引和工作遵循。

（一）压实网络数据处理者责任义务。压实网络数据处理者的主体责任是做好网络数据安全管理工作的关键。《条例》提出，一是网络数据处理者对所处理网络数据的安全承担主体责任，并要求做好管理制度建设、技术措施使用、漏洞发现上报、事件应急处置等工作。二是针对为国家机关和关键信息基础设施运营者提供服务的网络数据处理者、提供生成式人工智能服务的网络数据处理者、面向社会提供产品服务的网络数据处理者、网络平台服务提供者等不同网络数据主体提出了具体要求。

（二）强化个人信息、重要数据保护。个人信息保护已成为广大人民群众最关心最直接最现实的利益问题之一，重要数据关系国家安全、经济运行、社会稳定、公共健康和安全，做好个人信息、重要数据保护工作是网络数据安全管理工作的重点。《条例》在上位法的基础上，针对网络数据处理者提出，一是响应个人信息转移请求，提供访问、获取其个人信息的途径。二是定期开展个人信息保护合规审计。三是处理1000万人以上个人信息的，还应当履行明确网络数据安全负责人和管理机构等义务。《条例》针对重要数据的处理者明确，一是应当按照国家有关规定识别、申报重要数据，落实网络数据安全保护责任。二是明确网络数据安全负责人和管理机构。三是定期开展风险评估。

（三）做好网络数据跨境安全管理。当前，网络数据跨境交流共享需求旺盛，场景丰富，构建安全有序便捷的网络数据跨境流动管理机制是网络数据安全管理工作的重要探索。国家已明确数据出境安全评估、个人信息出境标准合同、个人信息保护认证等数据出境安全管理制度，今年发布的《促进和规范数据跨境流动规定》对上述制度作出进一步优化调整。《条例》明确了重要数据出境需要评估，一般数据依法流动的管理原则，提出了个人信息出境的条件，建立了与新发展格局相适宜的网络数据跨境流动安全监管模式。

（四）规范网络平台服务提供者义务。党的二十届三中全会明确提出“促进平台经济创新发展，健全平台经济常态化监管制度”。网络平台为处理个人信息提供了基础技术服务、设定基本处理规则，是个人信息保护的关键。《条例》提出，一是网络平台应加强对接入其平台的第三方产品和服务的网络数据安全管理，对应用程序进行安全核验，规范使用自动化决策方式进行信息推送，鼓励使用国家网络身份认证公共服务。二是明确了大型网络平台的定义，并要求其每年发布年度个人信息保护社会责任报告、报送风险评估报告等要求。

三、充分发挥好数据安全标准的规范引导作用，支撑《条例》落地实施

标准化工作是国家网络数据安全治理体系的重要组成部分，也是落实《条例》的重要抓手。《条例》对标准化工作提出了要求。全国网络安全标准化技术委员会作为网络和数据安全国家标准的统一技术归口组织，研制发布了一批网络数据安全重点标准，为《条例》的落地实施提供标准保障。

（一）为网络数据安全治理重点工作提供标准支撑

已发布的《数据分类分级规则》规定了数据分类分级的原则、框架、方法和流程，给出了重要数据识别指南；在研的《数据安全风险评估方法》给出了数据安全风险评估的实施流程、评估内容、分析评价方法；在研的《个人信息跨境处理活动安全认证要求》等标准规定了跨境处理个人信息时相关方应遵守的基本要求。

（二）为重要数据、个人信息保护提供标准方法

正在研制的《数据安全保护要求》等标准，针对重要数据从数据处理安全、管理与运行安全、安全技术等方面提出保护要求，确保重要数据有效保护和合法利用。《个人信息安全规范》《敏感个人信息处理安全要求》等标准为个人信息保护工作提出了基本要求，规范了开展收集、保存、使用、对外提供等个人信息处理活动应遵循的原则和安全要求。正在研制的《基于个人请求的个人信息转移要求》《个人信息保护合规审计要求》等标准规定了个人信息主体请求转移其个人信息的技术要求、个人信息保护合规审计原则，促进个人信息治理工作走向深入。

（三）为规范网络平台健康发展提供标准指引

已发布的网上购物、即时通信、网络支付、网络预约汽车、网络音视频、快递物流等6项网络服务数据安全标准，引导规范网络服务平台运营者的数据安全活动。已发布的《移动互联网应用程序(App)收集个人信息基本要求》《移动互联网应用程序(App)个人信息安全测评规范》等标准，规范了App等产品和服务收集和处理个人信息的行为。在研的《基于个人信息的自动化决策安全要求》《数据安全和个人信息保护社会责任指南》等标准规定了自动化决策的透明度、社会责任评价指标。

下一步，将持续发挥标准在《条例》实施过程中的重要支撑作用，紧扣国家关于数据要素流通、人工智能等重大战略部署，加强数据安全标准化工作总体研究和规划布局，加快研制数据安全领域重点急需标准。

专家解读四

请向上滑动阅览

为规范网络数据处理活动，保护个人、组织在网络空间的合法权益，维护国家安全、公共利益，国务院正式公布《网络数据安全管理条例》（以下简称《条例》）。《条例》的出台，标志着我国数据安全法规体系的进一步完善，对我国强化数据安全和个人信息保护、保障数据要素有序开发利用、促进数字经济健康有序发展意义重大。

《条例》坚持科学立法、开门立法的原则，一方面，细化、落实《网络安全法》《数据安全法》《个人信息保护法》相关制度，明晰个人信息“告知-同意”规则、重要数据风险评估、个人信息跨境流动条件、网络平台服务提供者第三方安全管理等要求，为后续立法、执法等实践提供了重要依据。另一方面，《条例》针对网络数据安全管理的突出问题，在科学总结过往治理经验的同时，兼顾新技术新应用带来的新的安全问题，提炼个人信息保护、重要数据安全、网络数据跨境安全管理、网络平台服务提供者义务等网络数据治理方案，覆盖了网络数据治理重要领域，为开展网络数据安全管理工作提供了坚实的制度保障。

一、深刻认识《条例》出台的重要意义

党中央、国务院高度重视数据安全工作。习近平总书记多次作出重要指示批示，强调“没有网络安全就没有国家安全”“要切实保障国家数据安全”“强化国家关键数据资源保护能力”。《条例》贯彻落实党中央、国务院关于数据安全的决策部署，统筹发展与安全，鼓励网络数据合理有效利用，促进以数据为关键要素的数字经济发展，并划定安全“底线”和“红线”。

（一）《条例》是落实法律重大制度设计的内在需要

我国《网络安全法》《数据安全法》《个人信息保护法》等法律的相继出台，为网络数据安全提供了基本的法律框架与制度设计。《条例》作为《网络安全法》《数据安全法》《个人信息保护法》的配套行政法规，对上位法中的制度设计和原则性规定进行细化与落实，为网络数据安全保障工作提供了具体的制度保障和实施路径，有助于进一步推动我国建立健全数据安全法律法规体系、强化重大制度衔接。

（二）《条例》是服务数字经济有序发展的重要保障

数据作为数字经济的核心要素，其价值在于能够在不同主体之间流动和整合。然而，随着数据的开发、流通与利用，数据价值日益凸显，数据泄露、数据窃取等安全风险也与日俱增，严重影响数字经济活动的稳定性。《条例》紧扣数字经济发展需求，通过构建完善网络数据安全责任义务体系，保障数据在安全的网络环境下得到充分开发和利用，有助于进一步推动我国数字经济高质量、可持续发展。

（三）《条例》是维护网络空间安全秩序的关键举措

近年来，个人信息、企业数据、政务数据等泄露、被非法利用事件时有发生，网络数据安全关系广大人民群众切身利益，关系企业经营活动，关系到国家安全。社会各界十分关注网络数据安全，《条例》的出台就是积极回应社会各界的关切，规范网络数据处理行为，打击网络数据违法活动，保护个人、企业在网络空间的合法权益，保障好经济发展和国家安全。

二、《条例》为开展网络数据安全管理工作提供了基本遵循

（一）建立网络数据安全管理工作闭环，落实好总体国家安全观

《条例》贯彻总体国家安全观，从网络数据分类分级、安全防护、应急处置、事件报告、安全检查、信息共享，以及重要数据申报和告知、提供或者委托处理、风险评估、年度报告等角度，构建数据识别、处理、防护、评估、检查、整改、应急响应等体系化、闭环式管理机制。一是网络数据治理工作需要各方参与，《条例》通过对国家、有关部门和地方层面的网络数据安全监管责任划分，以及网络数据处理者对所处理网络数据的安全承担主体责任的要求，统筹推进网络数据安全管理工作。二是强调网络数据安全管理的动态性。数据要素是流动的，网络数据处理者的网络数据处理情况也是变化的，《条例》强调网络数据处理者主动识别、申报重要数据情况，重要数据的处理者主体发生变化需要报告重要数据处置方案，以及提供、委托处理个人信息和重要数据的安全管理等要求，旨在指导网络数据处理者及时掌握处理网络数据最新情况，及时履行网络数据安全保护责任。

（二）明确个人信息保护要求，加大个人权益保护力度

个人信息保护已成为广大人民群众最关心的利益问题之一，《个人信息保护法》规定个人对其个人信息的处理享有知情权、决定权、删除权等权益，但相关规定的实践、落实，仍需进一步具体的操作指导。一是《条例》明确处理1000万人以上个人信息的网络数据处理者，需按照《条例》第三十条规定，明确网络数据安全负责人和管理机构。二是针对广大人民群众反映较多的隐私政策或者用户协议隐藏过深、内容冗长晦涩等情况，以及个人信息捆绑授权、强制授权等问题，《条例》规定个人信息处理规则包括处理个人信息的目的、方式、种类，处理敏感个人信息的必要性及其对个人权益的影响等内容，要求个人信息处理规则集中公开展示、易于访问并置于醒目位置；明确“单独同意”的具体要求，强调不得通过误导、欺诈、胁迫等方式取得个人同意，不得在个人明确表示不同意处理其个人信息后，频繁征求同意。三是针对自动化采集技术等无法避免采集到非必要个人信息、个人注销账号后个人信息处理问题等新情况，要求网络数据处理者删除个人信息或者进行匿名化处理。

（三）规范网络数据跨境安全管理，促进数据高效便捷安全流动

我国《“十四五”数字经济发展规划》提出要“规范数据采集、传输、存储、处理、共享、销毁全生命周期管理，推动数据使用者落实数据安全保护责任”。规范化的数据处理活动是保障数据准确性、完整性与安全性的关键，也是促进数据高效便捷安全跨境流动、激发数据要素创新活力的关键。《条例》在前期数据出境安全管理工作基础上，探索数据跨境流动便利化机制。一是国家网信部门统筹协调有关部门建立国家数据出境安全管理专项工作机制，研究制定国家网络数据出境安全管理相关政策，协调处理网络数据出境安全重大事项。二是《条例》在数据出境安全评估、安全认证、标准合同等三种向境外提供个人信息方式的基础上，结合数据出境安全实践情况，针对为订立、履行个人作为一方当事人的合同，按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，为履行法定职责或者法定义务，紧急情况下为保护自然人的生命健康和财产安全等确需向境外提供个人信息的五种情形，明确其可以作为向境外提供个人信息的条件，便利数据跨境流动，服务高水平对外开放。三是针对重要数据出境情形，《条例》强调网络数据处理者在中华人民共和国境内运营中收集和产生的重要数据确需向境外提供的，应当通过国家网信部门组织的数据出境安全评估。网络数据处理者按照国家有关规定识别、申报重要数据，但未被相关地区、部门告知或者公开发布为重要数据的，不需要将其作为重要数据申报数据出境安全评估。回应了各方对于研判是否属于重要数据出境、是否需要申报数据出境安全评估的关切。

（四）明晰网络平台服务提供者义务，压实网络数据安全管理责任

随着数字经济的快速发展，网络平台服务提供者在网络数据处理和管理中扮演着重要角色。当前网络平台利用数据实施不正当竞争、算法歧视等问题日益突出，影响用户合法权益和平台的有序发展。为此，一是《条例》明确了网络平台服务提供者、预装应用程序的智能终端等设备生产者第三方安全管理责任，要求其督促平台内第三方产品和服务提供者履行网络数据安全保护责任。二是针对当前个性化推荐服务关闭难、收集个人信息类型多、个人精准画像数据存在滥用风险等问题，《条例》强调设置易于理解、便于访问和操作的个性化推荐关闭选项，为用户提供拒绝接收推送信息、删除针对其个人特征的用户标签等功能，以保障用户合法权益。三是明确大型网络平台服务提供者每年度发布个人信息保护社会责任报告，接受社会各界监督。同时要求平台不得利用数据实施不正当竞争行为，以此维护市场的公平竞争秩序。

三、落实《条例》要求，推动网络数据治理工作的几点思考

（一）汇聚各方力量，推动《条例》纵深落地

一方面，持续做好《条例》等网络数据安全法规政策宣贯工作，通过集中宣讲培训，深入地方和重点企业等方式，引导有关部门用好、用活、用足政策，指导企业及时掌握政策要求，构建网络数据安全合规体系。另一方面，支持网络数据分类分级、风险评估、监测预警等技术、产品研制，加快网络数据安全人才培养，更好地支撑网络数据安全综合保障体系建设。

（二）推动网络数据安全规则指引、标准进一步完善

目前，数据分类分级规则、个人信息安全规范等国家标准已制定实施，重要数据安全管理、敏感个人信息保护等领域多项标准正在研制，工业和信息化、自然资源、金融、教育等领域已制定数据安全管理办法或者数据分类分级规则，为数据安全和个人信息保护工作提供指导。下一步应当鼓励有关主管部门，结合行业实际情况，加快行业领域数据安全相关规则指引、标准的制定实施，以及相关制度的试点工作，推动网络数据治理工作落地落实。

（三）充分发挥风险评估、检查检测等制度作用

风险评估、合规审计、年度报告等工作，既是网络数据处理者应当履行网络数据安全管理责任，也是提高自身网络数据安全管理能力的重要途径。《条例》规定各有关主管部门定期组织开展本行业、本领域网络数据安全风险评估，对网络数据处理者履行网络数据安全保护义务情况进行监督检查；国家网信部门统筹协调有关主管部门及时汇总、研判、共享、发布网络数据安全风险相关信息。有关部门应加强信息共享，统筹各类检查评估工作，在切实发挥检查评估工作效能的同时，减少网络数据运营者合规成本。

《条例》着眼于国内外网络数据治理与安全发展形势，明确网络数据处理者应当履行的义务责任，是我国《网络安全法》《数据安全法》《个人信息保护法》在网络数据治理实践中发挥作用的重要抓手，更是我国建立健全数据安全法规体系、提高数据安全保障能力的关键环节。《条例》的出台与实施将进一步筑牢我国数字经济发展基础，以高水平安全护航网络强国建设。