2021年11月14日，国家互联网信息办公室（“网信办”）发布《网络数据安全管理条例（征求意见稿）》（“《条例稿》”），并向社会公开征求意见。在2019年5月，网信办曾发布《数据安全管理办法（征求意见稿）》（“《办法稿》”），并公开征求意见，此次新版规定由部门规章升格至行政法规，内容性质从数据保护双法（《数据安全法》和《个人信息保护法》）出台前的填补空白到出台后的实施细则，规制维度也从安全处理扩展至公平处理。

目前，构成中国网络安全和数据保护基石的法律、法规包括：

《条例稿》一共有九章、七十五条的内容，较《个人信息保护法》（“《个保法》”）更多一条。《条例稿》的内容繁多，既包括个人信息保护，也包括重要数据安全；既规定了数据跨境传输合规义务，也引入了数据跨境安全网关的相关要求；既详细列举了一般数据处理者的义务，也特别规定了互联网平台运营者的数据合规义务。以下是《条例稿》和《办法稿》整体结构的对比：

《个保法》已于11月1日生效，其中一大亮点为在《网络安全法》（“《网安法》”）、《数据安全法》（“《数安法》”）所规定的消极域外管辖权的基础上设置了积极域外管辖权。而《条例稿》在此基础上进一步拓展了《个保法》项下的积极域外管辖权，补充了“涉及境内重要数据处理”的情形。相关规定对比如下：

《条例稿》在《网安法》、《数安法》和《个保法》的基础上，将前述各项法律项下对网络运营者、关键信息基础设施运营者和个人信息处理者等主体的一般性义务打通，用数据处理者[1]加以统一规定。

（一）一般性义务概述

《条例稿》要求数据处理者应当注意以下合规要求：

（二）一般性义务重点内容详述

1. 安全事件应对

《条例稿》要求数据处理者建立数据安全应急处置机制，并在发生数据安全事件时及时启动应急响应机制，采取措施防止危害扩大，消除安全隐患。除应急处置外，数据处理者还应当根据安全事件是否会对个人、组织造成危害，以及是否涉及重要数据或十万人以上个人信息，履行如下通知义务：

2. 网络安全审查触发条件

2021年年中的滴滴等企业在境外上市过程中引发的数据跨境传输问题引发了监管部门和社会的广泛关注，网信办也因此即刻就2020年6月1日生效的《网络安全审查办法》发布修订稿并向社会公开征求意见。对比《网络安全审查办法》现行生效版和修订版，以及《条例稿》中有关网络安全审查启动条件的规定，可以看出，《条例稿》在《网络安全审查办法》修订版的基础上进一步做出了修订，具体如下：

《条例稿》补充了赴香港上市的情形以应对受滴滴事件影响，相关企业（例如KEEP、小鹏汽车）由赴美上市转为赴港上市的情形。不同于赴国外上市需达到处理一百万人以上个人信息的客观标准而无需企业事先判断对国家安全的影响，赴港上市的审查必要性以对国家安全影响的事前判断为依据，并无信息处理量的客观标准。

3. 并购重组的报告义务

《个保法》规定，如果个人信息处理者因合并、分立、解散、被宣告破产等原因需要转移个人信息的，其应当向个人告知接收方的名称或者姓名和联系方式。接收方应当继续履行个人信息处理者的义务。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。可以看出，《个保法》对个人信息处理者的合并、分立、解散、被宣告破产等相关事项下涉及的个人信息转移问题，更多强调的是个人的知情权和个人信息接收方继续履行义务。而《条例稿》则对此引入了向相关主管部门报告的义务：

• 当数据处理者的合并、重组、分立等涉及重要数据和一百万人以上个人信息时，数据处理者应当向设区的市级主管部门报告；

• 如数据处理者发生解散、被宣告破产等情况，应当向设区的市级主管部门报告，按照相关要求移交或删除数据，主管部门不明确的，应当向设区的市级网信部门报告。
  

4. 数据安全投诉举报

与《个保法》一致，《条例稿》也要求数据处理者应当建立便捷的数据安全投诉举报渠道，及时受理、处置数据安全投诉举报。此外，数据处理者应当公布接受投诉、举报的联系方式、责任人信息，并且每年公开披露受理和收到的个人信息安全投诉数量、投诉处理情况、平均处理时间情况，接受社会监督。

《条例稿》以专章形式对数据处理者的个人信息保护义务做出了规定。在满足合法、正当、必要的原则基础之上，《条例稿》特别强调数据处理者和第三方之间的关系（包括第三方提供个人信息，在其产品服务中嵌入第三方代码、插件等）、个人同意的获取、个人的用户权利行使等相关规定。相关内容具体如下：

特别提请关注的是如数据处理者处理超过一百万人个人信息的，还应当遵守《条例稿》第四章对重要数据的处理者作出的规定。根据2021年9月发布的《信息安全技术 重要数据识别指南（征求意见稿）》，重要数据不包括国家秘密和个人信息，但基于海量个人信息形成的统计数据、衍生数据有可能属于重要数据。由此可以看出，一百万人的个人信息将可能成为判断个人信息何时达到“海量”从而构成“重要数据”的一个重要指标。但同时应当关注的是，在一些行业规定中，该数量可能会有所不同，例如今年10月1日刚刚生效的《汽车数据安全管理若干规定（试行）》中将“涉及个人信息主体超过10万人的个人信息”规定为汽车行业的重要数据。

为保护重要数据安全，《条例稿》要求重要数据的处理者应当构建包含组织机构（数据安全负责人和数据安全管理机构）、备案管理、安全评估、第三方管理等在内的全方位管理制度。

（一）组织机构

《条例稿》要求重要数据的处理者应当明确数据安全负责人，其资质要求和职责如下：

《条例稿》还要求，重要数据的处理者应当制定数据安全培训计划，每年组织开展全员数据安全教育培训，数据安全相关的技术和管理人员每年教育培训时间不得少于二十小时。

（二）备案管理

《条例稿》要求重要数据的处理者应当进行备案，具体备案详情如下：

（三）年度安全评估

《条例稿》对于数据处理者处理重要数据或赴境（国）外上市规定了年度安全评估义务；对于共享、交易、委托处理、向境外提供重要数据的行为，《条例稿》还对评估的要点内容做出了专门规定。结合评估要点内容和禁止性规定来看，国家安全、经济发展和公共利益仍是判断是否可以开展相关重要数据处理活动的关键因素。

（四）共享、交易、委托处理重要数据需批准

对于数据处理者共享、交易、委托处理重要数据，《条例稿》一方面要求，数据处理者应当征得设区的市级及以上主管部门同意，主管部门不明确的，应当征得设区的市级及以上网信部门同意。另一方面，数据处理者应当与数据接收方约定处理数据的目的、范围、处理方式，数据安全保护措施等，通过合同等形式明确双方的数据安全责任义务，并对数据接收方的数据处理活动进行监督，且应当留存共享、交易、委托处理重要数据的审批记录、日志记录至少五年。

（一）数据出境的合法路径

与《个保法》类似，《条例稿》也以专章对数据的跨境安全管理进行了规定。然而，对于数据出境的合法路径，《条例稿》和《个保法》存在着一定程度上的差异：

以上对比表明，《个保法》第三十八条的个人信息保护认证仅及于个人信息处理者，不包括数据接收方，而《条例稿》中进行认证的同时包括数据处理者和数据接收方。根据《行政法规制定程序条例》第十三条的规定：“涉及社会公众普遍关注的热点难点问题和经济社会发展遇到的突出矛盾，减损公民、法人和其他组织权利或者增加其义务，对社会公众有重要影响等重大利益调整事项的，应当进行论证咨询”，因此，《条例稿》第三十五条之规定还需进一步论证。

另外，《条例稿》在《个保法》第三十八条的基础上，规定了为订立、履行个人作为一方当事人的合同所必需，以及为保护个人生命健康和财产安全所必需两项可不具备跨境传输保护条件的例外条款，超出了上位法《个保法》的规定范围，亦可能受到进一步讨论和检视。 

在上述出境路径中，《条例稿》亦对其中应当以安全评估为唯一出境路径的情形做出了规定，较之《个保法》进行了补充和明确：

根据上述对比可以看出，《条例稿》一方面将国家网信部门规定数量明确为“一百万人的个人信息”，另一方面将重要数据的出境路径也限定为国家网信部门组织的出境安全评估，这些都和2021年10月29日刚刚公开征求意见的《数据出境安全评估办法（征求意见稿）》的规定相一致。

另外，结合《条例稿》第四章也可以进一步看出，一百万人的个人信息将可能成为判断个人信息何时达到“海量”从而构成“重要数据”的一个重要指标。

（二）同意

在《个保法》规定的出境单独同意的基础上，《条例稿》补充如果个人信息处理者在收集个人信息时已单独就个人信息出境取得个人同意，且按照取得同意的事项出境的，无需再次取得个人单独同意。

（三）数据出境安全报告

《条例稿》要求，向境外提供个人信息和重要数据的数据处理者，应当进行年度数据出境安全报告。这与前述第五章第三节介绍的重要数据或者赴境外上市的数据处理者的年度安全评估报告义务有所交叉。我们将两者进行了对比：

结合以上对比可以看出，尽管报告时间和报告的部门一致，但二者在报告内容上存在一定的差异。二者在处理重要数据的层面上具有一致性，但在赴境外上市和向境外提供个人信息的问题上考量的点有所不同：赴境外上市更多的强调的是国家安全，而向境外提供个人信息，则在国家安全的考量上有所弱化，而更加关注数据本身的安全。

但是需要注意，对于报告内容的描述，二者均设置有兜底条款用以涵盖其他没有进行明确列举的事项，如若《条例稿》生效，亦不排除二者可能存在交叉援引或合并的情况。

（四）出境安全义务

除上述出境合法路径、个人单独同意和安全评估外，《条例稿》还专门列举了数据处理者向境外提供数据应当履行的其他义务，具体如下：

（五）跨境安全网关

与约束数据从境内向境外流动相对应，《条例稿》首次提出“跨境安全网关”的概念，以此来限制由境外向境内传输禁止性信息和内容的行为。“跨境安全网关”的相关定义、功能、禁止行为等具体如下：

2020年12月，欧盟委员会发布《数字市场法》（Digital Markets Act）和《数字服务法》（Digital Service Acts)草案全文。其中，《数字市场法》主要针对“守门人（gatekeeper）”规定了经营过程中的特定义务。我国《个保法》第五十八条亦规定了“提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者”应当履行的义务。且在此后10月29日，国家市场监督管理总局发布《互联网平台分类分级指南（征求意见稿）》和《互联网平台落实主体责任指南（征求意见稿）》向社会公开征求意见，以期构建和完善我国的“守门人”制度。 

考虑到国际和国内构建“守门人”制度的大背景，《条例稿》也以专章对互联网平台运营者的义务做出了规定。《条例稿》将“互联网平台运营者”定义为“为用户提供信息发布、社交、交易、支付、视听等互联网平台服务的数据处理者”，将“大型互联网平台运营者”定义为“用户超过五千万、处理大量个人信息和重要数据、具有强大社会动员能力和市场支配地位的互联网平台运营者”。

（一）规则制定受监管

《条例稿》对互联网平台运营者制定、披露、修订平台规则进行了规定：

（二）第三方管理

《条例稿》要求，互联网平台运营者应当对接入其平台的第三方产品和服务承担数据安全管理责任：

（三）特定平台的义务

《条例稿》对于应用程序（APP）分发服务平台、即时通信服务平台、个性化推送平台分别做出了特殊性规定，具体如下：

1. 分发服务平台的APP审核义务

2. 即时通信服务平台的互联互通义务

3. 个性化推送平台的增强义务

（四）其他义务

除上述特定的义务外，互联网平台运营者还应当满足如下义务：

（五）平台禁止性行为

《条例稿》要求，互联网平台运营者不得利用数据以及平台规则等从事以下活动：

《条例稿》根据数据处理者满足相关合规义务的具体内容规定了相应的法律责任。

具体内容如下：

除上述法律责任外，如果数据处理者违反《条例稿》的规定，给他人造成损害的，依法承担民事责任；构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。

随着《数安法》和《个保法》的正式施行，我国网络安全和数据保护领域的三部上位法已全部就位。由此，此前因上位法缺失而未能及时发布的相关配套设施相信在不久的时间里将会相继出台。而同时作为《网安法》、《数安法》和《个保法》三部法律的配套文件，《条例稿》在内容上包含了三部法律项下的众多具体落地细则，这也为企业具体落实三大法（尤其是《数安法》和《个保法》）的合规要求吹响了号角。企业应当密切关注《条例稿》和其他相关配套文件的制修订，并相应调整和更新具体的合规工作。

作者：薛颖

作者：陈扬