《網(wǎng)絡數(shù)據(jù)安全管理條例》解讀：核心規(guī)則設計的變化與延續(xù)
發(fā)布時間：2025-01-03
閱讀次數(shù)： 1032 次
作為效力僅次于“法律”的行政法規(guī)，《網(wǎng)絡數(shù)據(jù)安全管理條例》不是對上位法進行簡單的重復，而是充分發(fā)揮“行政法規(guī)”在法律體系中的重要作用。一方面細化《網(wǎng)絡安全法》《數(shù)據(jù)安全法》《個人信息保護法》，并落實三法中明確“行政法規(guī)”可以補充規(guī)定或另行規(guī)定的事項，進行補充性或創(chuàng)新性規(guī)定。另一方面，結(jié)合近年數(shù)據(jù)治理經(jīng)驗，聚焦信息技術(shù)創(chuàng)新及數(shù)字經(jīng)濟發(fā)展中的突出問題，銜接、協(xié)調(diào)上位法律及下位部門規(guī)章相關(guān)規(guī)定?？偟膩碚f，《網(wǎng)絡數(shù)據(jù)安全管理條例》確立的規(guī)則呈現(xiàn)以下變化與延續(xù)：一、明確界定“網(wǎng)絡數(shù)據(jù)處理者”“重要數(shù)據(jù)”等核心概念與《數(shù)據(jù)安全法》主要以行為即“開展數(shù)據(jù)處理活動”為中心構(gòu)建數(shù)據(jù)安全規(guī)則不同，《網(wǎng)絡數(shù)據(jù)安全管理條例》中的網(wǎng)絡數(shù)據(jù)安全保護義務與責任主要圍繞“網(wǎng)絡數(shù)據(jù)處理者”這一主體身份展開。只有“網(wǎng)絡數(shù)據(jù)處理者”需履行等級保護基礎(chǔ)上全流程的數(shù)據(jù)安全保護，網(wǎng)絡數(shù)據(jù)安全風險告知報告，網(wǎng)絡數(shù)據(jù)安全應急處置，提供、委托、共同處理環(huán)節(jié)的風險評估義務等義務。至于何為“網(wǎng)絡數(shù)據(jù)處理者”，基于《數(shù)據(jù)安全法》并未對數(shù)據(jù)處理者做出界定?！毒W(wǎng)絡數(shù)據(jù)安全管理條例》借鑒了《個人信息保護法》中“個人信息處理者”定義，在附則的含義中明確“網(wǎng)絡數(shù)據(jù)處理者是指在網(wǎng)絡數(shù)據(jù)處理活動中自主決定處理目的和處理方式的個人、組織”。由此，能否“自主決定”處理目的和處理方式判定是否屬于“網(wǎng)絡數(shù)據(jù)處理者”的核心標準。“自主決定”蘊含著控制力、影響力和決定性地位的實質(zhì)性判斷，并與是否承擔數(shù)據(jù)安全責任直接關(guān)聯(lián)。實踐中證明某個主體是否具備自主決定數(shù)據(jù)處理目的和處理方式，往往需要結(jié)合場景進行判斷，如數(shù)據(jù)合作或服務協(xié)議中的職責界定，在集團數(shù)據(jù)處理模式中還要考慮企業(yè)股權(quán)架構(gòu)、決策機制等。《網(wǎng)絡數(shù)據(jù)安全管理條例》另一個核心概念是“重要數(shù)據(jù)”，《網(wǎng)絡數(shù)據(jù)安全管理條例》吸納了國家標準《數(shù)據(jù)安全技術(shù) 數(shù)據(jù)分類分級規(guī)則》對“重要數(shù)據(jù)”的界定，在附則的含義中明確“重要數(shù)據(jù)是指特定領(lǐng)域、特定群體、特定區(qū)域或者達到一定精度和規(guī)模，一旦遭到篡改、破壞、泄露或者非法獲取、非法利用，可能直接危害國家安全、經(jīng)濟運行、社會穩(wěn)定、公共健康和安全的數(shù)據(jù)”。關(guān)于重要數(shù)據(jù)的認定，《網(wǎng)絡數(shù)據(jù)安全管理條例》延續(xù)《數(shù)據(jù)安全法》確立的國家數(shù)據(jù)安全工作協(xié)調(diào)機制制定重要數(shù)據(jù)目錄，各地區(qū)、各部門確定本地區(qū)、本部門以及行業(yè)、領(lǐng)域的重要數(shù)據(jù)具體目錄的認定機制，同時吸收近年重要數(shù)據(jù)出境安全評估中的監(jiān)管經(jīng)驗，明確網(wǎng)絡數(shù)據(jù)處理者只需負責重要數(shù)據(jù)的識別、申報。是否屬于重要數(shù)據(jù)的認定交由各地區(qū)、各部門，各地區(qū)、各部門負責審核后告知或公布。二、新增網(wǎng)絡數(shù)據(jù)安全風險、事件告知與報告規(guī)則《網(wǎng)絡數(shù)據(jù)安全管理條例》首先在《網(wǎng)絡安全法》基礎(chǔ)上強調(diào)“網(wǎng)絡數(shù)據(jù)處理者提供的網(wǎng)絡產(chǎn)品、服務應當符合相關(guān)國家標準的強制性要求”；其次，在延續(xù)《網(wǎng)絡安全法》關(guān)于“網(wǎng)絡產(chǎn)品、服務提供者”安全風險告知及補救義務規(guī)定的基礎(chǔ)上，首次提出“涉及危害國家安全、公共利益的，網(wǎng)絡數(shù)據(jù)處理者還應當在24小時內(nèi)向有關(guān)主管部門報告”。關(guān)于網(wǎng)絡數(shù)據(jù)安全事件的告知與報告，《網(wǎng)絡數(shù)據(jù)安全管理條例》延續(xù)了《數(shù)據(jù)安全法》《網(wǎng)絡安全法》中安全事件向主管部門的報告要求，未做進一步細化。但重點補充了是否需要向利害關(guān)系人告知以及如何告知的規(guī)則?！毒W(wǎng)絡數(shù)據(jù)安全管理條例》在平衡企業(yè)合規(guī)負擔與個體權(quán)益保障的基礎(chǔ)上，僅規(guī)定網(wǎng)絡數(shù)據(jù)安全事件對個人、組織合法權(quán)益“造成危害的”才需告知。告知方式包括電話、短信、即時通信工具、電子郵件或者公告。此前征求意見稿對于以公告方式告知的，設置了前置條件，僅無法通知的才可公告告知。正式稿刪除了該限制，進一步降低合規(guī)要求。三、補充數(shù)據(jù)流轉(zhuǎn)中的安全保護要求數(shù)據(jù)流轉(zhuǎn)安全問題隨著數(shù)據(jù)要素開發(fā)利用日益頻繁，《數(shù)據(jù)安全法》定義了數(shù)據(jù)安全有效保護和合法利用的兩種狀態(tài)，但并未建立數(shù)據(jù)流轉(zhuǎn)安全的具體規(guī)則?！秱€人信息保護法》針對個人信息對外提供、委托、共同處理確立了一定要求，例如應當開展個人信息保護影響評估。對外提供個人信息的，應當履行告知義務并取得單獨同意。委托處理個人信息的，應當與受托人約定各自權(quán)利義務并進行監(jiān)督等?！毒W(wǎng)絡數(shù)據(jù)安全管理條例》緊抓數(shù)據(jù)流動和利用安全這一數(shù)據(jù)要素時代的數(shù)據(jù)安全核心問題，關(guān)注點從“數(shù)據(jù)安全”到“數(shù)據(jù)合法有效利用”，在《數(shù)據(jù)安全法》《個人信息保護法》基礎(chǔ)上做了諸多規(guī)則補充。一是要求提供、委托處理個人信息和重要數(shù)據(jù)的，應當通過合同等明確安全保護義務、監(jiān)督義務履行情況、記錄處理情況并至少保存3年。值得注意的是，《個人信息保護法》僅要求“委托”處理個人信息的需要約定權(quán)利義務并監(jiān)督，《網(wǎng)絡數(shù)據(jù)安全管理條例》則擴展至“提供”個人信息的場景?！疤峁?、委托處理”重要數(shù)據(jù)的要求則吸收行業(yè)、領(lǐng)域的實踐經(jīng)驗。二是要求重要數(shù)據(jù)的處理者提供、委托處理、共同處理重要數(shù)據(jù)前，除為履行法定職責或者法定義務外，應當進行風險評估。三是明確了針對自動化采集豁免知情同意規(guī)則?！毒W(wǎng)絡數(shù)據(jù)安全管理條例》第二十四條吸收《個人信息保護法》第十三條、第十八條規(guī)定，利用行政法規(guī)層級，實現(xiàn)對自動化采集知情同意規(guī)則的豁免，即免除前端采集環(huán)節(jié)義務，在后續(xù)環(huán)節(jié)處理即可。《網(wǎng)絡數(shù)據(jù)安全管理條例》對網(wǎng)絡數(shù)據(jù)安全的關(guān)注不再是節(jié)點安全而是整個產(chǎn)業(yè)鏈供應鏈的安全?！毒W(wǎng)絡數(shù)據(jù)安全管理條例》不僅明確提出“供應鏈網(wǎng)絡數(shù)據(jù)安全”概念，也構(gòu)建了較為全面的數(shù)據(jù)供應鏈安全體系。在規(guī)則設計上，對國家機關(guān)、關(guān)鍵信息基礎(chǔ)設施運營者、公共基礎(chǔ)設施及公共服務系統(tǒng)運營者、處理重要數(shù)據(jù)的大型網(wǎng)絡平臺服務提供者的供應鏈安全提出新增要求。一是《網(wǎng)絡數(shù)據(jù)安全管理條例》不僅關(guān)注國家機關(guān)網(wǎng)絡數(shù)據(jù)安全，還首次針對為“關(guān)鍵信息基礎(chǔ)設施運營者、參與其他公共基礎(chǔ)設施、公共服務系統(tǒng)建設、運行、維護的”供應商，提出其與“國家機關(guān)”相關(guān)服務供應商同等安全保護要求。二是不僅關(guān)注供應鏈上的服務安全還關(guān)注信息系統(tǒng)安全，要求為國家機關(guān)提供服務的信息系統(tǒng)參照電子政務系統(tǒng)的管理要求。三是對于處理重要數(shù)據(jù)的大型網(wǎng)絡平臺服務提供者，《網(wǎng)絡數(shù)據(jù)安全管理條例》首次明確要求前者應當充分說明關(guān)鍵業(yè)務和供應鏈網(wǎng)絡數(shù)據(jù)安全等情況。五、補充重要數(shù)據(jù)安全保護規(guī)則重要數(shù)據(jù)安全保護制度是國家數(shù)據(jù)安全管理的重要抓手，《數(shù)據(jù)安全法》在一般數(shù)據(jù)基礎(chǔ)上對重要數(shù)據(jù)設置了增強要求，包括明確數(shù)據(jù)安全負責人和管理機構(gòu)、定期開展風險評估以及出境安全管理。近年來，行業(yè)、領(lǐng)域在重要數(shù)據(jù)安全保護工作探索中也提出一些細化、不同強度的保護要求。例如重要數(shù)據(jù)備案要求，《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全管理辦法（試行）》規(guī)定，工業(yè)和信息化領(lǐng)域數(shù)據(jù)處理者應當將本單位重要數(shù)據(jù)和核心數(shù)據(jù)目錄向本地區(qū)行業(yè)監(jiān)管部門備案；重要數(shù)據(jù)安全能力核驗要求，《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全管理辦法（試行）》規(guī)定，委托處理重要數(shù)據(jù)，應當對受托方的數(shù)據(jù)安全保護能力、資質(zhì)進行核驗；重要數(shù)據(jù)年度風險評估要求，《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全管理辦法（試行）》規(guī)定，工業(yè)和信息化領(lǐng)域重要數(shù)據(jù)處理者應當自行或委托第三方評估機構(gòu)，每年對其數(shù)據(jù)處理活動至少開展一次風險評估，并向本地區(qū)行業(yè)監(jiān)管部門報送風險評估報告；重要數(shù)據(jù)的存儲要求，《會計師事務所數(shù)據(jù)安全管理暫行辦法》規(guī)定，存儲重要數(shù)據(jù)的信息系統(tǒng)要落實三級及以上網(wǎng)絡安全等級保護要求；重要數(shù)據(jù)日志留存要求，《會計師事務所數(shù)據(jù)安全管理暫行辦法》規(guī)定，涉及重要數(shù)據(jù)的相關(guān)日志留存時間不少于一年。涉及向他人提供、委托處理、共同處理重要數(shù)據(jù)的相關(guān)日志留存時間不少于三年等。
《網(wǎng)絡數(shù)據(jù)安全管理條例》一是補充了網(wǎng)絡數(shù)據(jù)安全負責人資格要求。包括具備網(wǎng)絡數(shù)據(jù)安全專業(yè)知識、具備相關(guān)管理經(jīng)驗，屬于管理層成員。對于掌握有關(guān)主管部門特定種類、規(guī)模重要數(shù)據(jù)的處理者，還需對網(wǎng)絡數(shù)據(jù)安全負責人和關(guān)鍵崗位人員進行安全背景審查。二是補充了網(wǎng)絡數(shù)據(jù)安全管理機構(gòu)職責。三是細化了風險評估制度?！毒W(wǎng)絡數(shù)據(jù)安全管理條例》規(guī)定了提供、委托處理、共同處理重要數(shù)據(jù)前需要開展風險評估以及重要數(shù)據(jù)安全年度風險評估兩類評估要求。后者評估報告需向省級以上主管部門報送。四是新增了特殊情形下重要數(shù)據(jù)處置方案報告要求。此前《自然資源部數(shù)據(jù)安全管理辦法》規(guī)定，數(shù)據(jù)處理者因重組等原因需要轉(zhuǎn)移數(shù)據(jù)的，應當明確數(shù)據(jù)轉(zhuǎn)移方案。涉及重要數(shù)據(jù)的，應當事前向行業(yè)監(jiān)管部門報告數(shù)據(jù)轉(zhuǎn)移方案。《網(wǎng)絡數(shù)據(jù)安全管理條例》則明確只要因合并、分立、解散、破產(chǎn)等可能影響重要數(shù)據(jù)安全的，均需報告。
轉(zhuǎn)載自網(wǎng)絡
官方訂閱號
官方服務號
第59號
浙公網(wǎng)安備 33010502006954號 
