《网数安全条例》合规提示

《网数安全条例》适用于网络数据处理者。“网络数据”中的“网络”二字是“网络空间”之意，用以修饰和限定“数据”，即网络空间中的数据，相对于非网络空间中的数据而言。

网络数据处理者包括个人信息处理者、重要数据处理者及其他网络数据处理者，这是从数据类型维度对网络数据处理者做的分类。个人信息处理者中有一类特殊类型，即处理1000万人以上个人信息的处理者，这是从规模维度对个人信息处理者做的进一步细分。

此外，《网数安全条例》还规定了 “网络平台服务提供者”与“大型网络平台服务提供者”的义务，前者可以理解为特殊的网络数据处理者，这是从交易身份维度对网络数据处理者做的细分；后者则是特殊的网络平台服务提供者，这是从规模和影响力维度对网络平台服务提供者做的进一步细分。

要注意的是，数据类型和交易身份是两种不同的分类维度，故存在交叉重叠。比如，网络平台服务提供者，可能同时是个人信息处理者或重要数据处理者。

《网数安全条例》新增“24小时内报告义务”，此条规定与《网络产品安全漏洞管理规定》进行衔接，即发生或者获知所提供网络产品存在安全漏洞后应在2日内向工信部网络安全威胁和漏洞信息共享平台报送相关漏洞信息，如涉及危害国家安全、公共利益的则在24小时内进行报告。

《网数安全条例》第11条则规定了网络数据安全事件应急响应要求，包括事件上报、通知利害关系人等。我们建议企业建立较为详细的网络数据安全事件应急预案，对安全事件进行分级，明确各类事件上报的时限、对接的主管部门、通知利害关系人（如受影响的用户、上下游合作方等）的模板，以便应对未来可能发生的网络安全事件。

现行法律规定及部分行业有关漏洞缺陷与安全事件的上报条件、上报时限等要求如下所示：

（1）建立系列数据处理协议（DPA）模板

《个人信息保护法》规定在共同处理、委托处理个人信息场景下签署协议，明确约定双方权利和义务。《网数安全条例》将前述协议的要求扩大至“对外提供个人信息”的场景，并进一步扩展至重要数据处理，明确要求在共同处理、委托处理、对外提供个人信息和重要数据的情形，均需与第三方签署合同，约定数据处理目的、方式、范围及安全保护义务。

基于我们的服务经验，我们建议企业搭建系列的数据保护协议模板，根据不同的数据法律关系制定不同的数据保护协议模板。在与第三方开展数据交互合作时，准确适当地识别或构建双方数据法律关系，并签署对应版本的数据保护协议。

（2）搭建第三方数据合作管理台账

《网数安全条例》中规定需存储对外提供、委托处理活动记录至少3年。为满足法律要求、监督管控企业数据流转情况，建议企业建立第三方数据合作管理台账，明确记录合作方信息、数据法律关系、数据流转情况、DPA签署情况、安全技术措施、PIA评估情况等。

（1）梳理完善产品个人信息处理规则，增加个人信息保护“双清单”

《网数安全条例》第31条重申了个人信息处理告知规则，并明确了个人信息保护“双清单”要求，“双清单”要求首次列入法律法规中。该要求最早源于2021年工业和信息化部发布《关于开展信息通信服务感知提升行动的通知》（“524”行动），当时要求39家头部企业建立已收集个人信息清单和与第三方共享个人信息清单，并在APP二级菜单中展示。而后在2023年，工信部发布《关于进一步提升移动互联网应用服务能力的通知》，进一步明确了个人信息收集清单和第三方SDK清单的要求。然而，实践中仍有不少企业未落实“双清单”要求，我们建议企业可先着手梳理设置静态的个人信息收集清单、个人信息共享清单（第三方SDK清单可并入本清单，亦可单独成文），并在App、小程序等网络载体的二级菜单进行展示。

（2）梳理敏感个人信息处理场景，补足敏感个人信息单独告知书与单独同意功能

网络数据处理者提供产品或服务过程中，存在多个处理敏感个人信息的场景，如实名认证、绑定银行卡、线上购药或问诊时提供历史病历等。企业应在用户触发该等场景时，通过单独的敏感个人信息告知书说明处理情况、必要性及对个人权益的影响，并通过勾选或同意按钮等方式获得用户的单独同意。如具备其他合法事由，企业可不获取用户的单独同意，但应落实增强告知的义务。

实务中，企业在界定敏感个人信息时会存在歧义，如身份证照片等个人身份信息、身高体重体脂率骨骼肌含量等个人健康数据。我们建议结合业务场景，参考《网络安全标准实践指南-敏感个人信息识别指南》，对个人信息的敏感程度进行判定，并落实相应要求。

（3）建立个人信息授权同意管理平台（CMP），设置隐私更新弹窗等类似产品交互机制，个人信息处理情况发生变化时重新获得个人的同意

为更好地记录和管理用户的授权情况，履行合规证明，我们建议企业搭建个人信息授权同意日志管理平台，记录用户授权同意的情况，如个人信息的处理目的、方式、种类发生变更的，应当重新通过恰当方式取得个人同意。通常企业可采取设置隐私更新弹窗模块功能，在前述事宜发生变化时及时更新隐私政策，并通过同意平台圈选适用的用户人群包进行弹窗重获授权，用户不同意的则根据产品情况为其提供浏览模式或旧版模式，避免强迫用户同意。如个人信息的处理目的、方式、种类发生变更后可依赖除同意外的其他合法事由，则可仅通过站内信、push等方式告知用户即可。

（1）搭建内部个人信息行权响应机制与工作规范

实践中，不少企业对个人信息主体行权响应的工作并不重视，对外公示的邮箱或客服电话往往没有专人维护，无法保障及时与专业地回复。但随着数据保护工作的深入、用户隐私意识的提升，个人行权如未及时处理，可能导致事件升级，对企业来说是一个非常大的风险敞口。因此，我们建议企业建立畅通的个人信息行权响应机制，根据企业情况设置专人专岗或明确工作流，制定工作流程与规范、个人信息行权响应话术，及时处理维护对外公示的邮箱中接收到的反馈问题。

（2）关注个人信息转移权

《个人信息保护法》第45条第三款规定了“个人信息转移权”，然而实践中，由于技术发展、商业竞争等多种原因，个人信息转移权一直未落实。本次《网数安全条例》通过单独条款明确了“个人信息转移权”的条件，企业需将这一权利的响应与落实列上日程。值得关注的是，条款中明确可适用转移权的个人信息是基于个人同意或履行合同所必需提供的个人信息，基于其他合法事由的个人信息不适用个人信息转移请求。

至于如何落实转移权以及适用的个人信息范围，可以参考TC260在今年4月发布的《数据安全技术 基于个人请求的个人信息转移要求》（征求意见稿），其中列明了3种个人信息转移的实现方式，具体如下：

《网数安全条例》再次重申了个人信息保护合规审计要求，结合2023年8月国家网信办发布的《个人信息保护合规审计管理办法》（征求意见稿）《个人信息保护合规审计参考要点》以及今年7月TC260发布的《数据安全技术 个人信息保护合规审计要求》（征求意见稿），我们猜测个保审计规则将年底或明年出台。前述征求意见稿中要求处理超过100万个人信息的个人信息处理者应每年至少开展一次个保审计，其余应至少每2年开展一次个保审计。

因此，我们建议企业提前着手合规审计工作，委托专业机构全面开展合规审计，尽早发现内部数据合规风险点或问题项，落实整改措施，留存个人信息处理合规记录与合规审计报告，以衔接平台社会责任报告、合规自证等要求。

重要数据的定义与识别规则虽在多个法律法规及标准文件中出现，但各地区、各行业重要数据目录仍在探索制定中。过去两年部分行业主管部门仅就部分地区部分企业开展重要数据识别试点工作，如工信部的“数安护航”专项行动，依据《工业领域重要数据和核心数据识别指南（试行）》《电信领域重要数据和核心数据识别指南（试行）》开展重要数据识别试点工作，目前该等文件并未对外公示。

后《促进和规范数据跨境流动规定》提出“未被相关部门、地区告知或者公开发布为重要数据的，数据处理者不需要作为重要数据申报数据出境安全评估”，侧面说明“企业如未被告知或公布涉及处理重要数据，则不构成重要数据处理者”，该逻辑同“关键信息基础设施运营者”。《网数安全条例》重申了此规则，将重要数据的识别与认定工作交给了监管部门。

我们理解，接下来重要数据识别工作将从部分试点走向全面推行，目前尚未接到重要数据识别通知的企业，仍应提前着手准备重要数据安全管理工作，梳理筹备重要数据处理者的合规义务，以便后续及时顺利地响应监管要求。

（1）内部机构设置

同上文处理1000万以上个人信息的企业的组织设置要求。

（2）重要数据识别与目录梳理

企业可根据所在行业制定的重要数据识别指南或公开的目录识别重要数据，并按要求填写重要数据目录，并按要求报主管部门。目前各行业可参考的重要数据识别规则如下：

（3） 重要数据风险评估

风险评估分为定期风险评估与触发型风险评估。定期评估是指重要数据处理者每年需对网络数据处理活动开展风险评估，并向省级以上有关主管部门报送评估报告，部分行业有特殊规定的还需遵循特殊规定，如汽车领域每年12月15日前向省级网信部门及通管部门报送汽车数据处理年报；工信领域每年12月25日前向省级网信部门及相关部门进行报送；触发型风险评估是指触发相应场景时，如委托处理、共同处理、对外提供重要数据的，重要数据处理者需开展风险评估；如基于履行法定职责或法定义务的情形委托处理、共同处理、对外提供重要数据的，则豁免风险评估。

如何开展风险评估？风险评估有哪些要素呢？风险评估报告何时向谁报送？根据现在已有规则，我们梳理了不同行业重要数据主体开展风险评估的要素、形式与报送要求等内容，具体如下：

（4）并购重组时的重要数据管理

如涉及合并、分立、解散、破产等可能影响重要数据安全的，应当采取措施保障网络数据安全，并向省级以上有关主管部门报告重要数据处置方案、接收方的名称或者姓名和联系方式等；主管部门不明确的，应当向省级以上数据安全工作协调机制报告。

《网数安全条例》设专章规定网络平台服务提供者的义务，常见的电商平台、应用程序分发平台、软件开放平台、预置应用的智能终端设备生产者、智能网联汽车运营商等均适用该等要求。

《网数安全条例》颁布前，《个人信息保护法》第58条提出过“重要互联网平台”的概念，但并未给出明确界定标准。后《互联网平台分类分级指南（征求意见稿）》（征求意见稿）中给出了界定标准，但至今仍为征求意见稿状态。

本次《网数安全条例》对“大型网络平台”给出了定义，即指注册用户5000万以上或者月活跃用户1000万以上，业务类型复杂，网络数据处理活动对国家安全、经济运行、国计民生等具有重要影响的网络平台。

企业应识别自身是否构成大型网络平台服务提供者，并结合要求落实如下合规义务：

随着监管审查的深化和用户隐私保护意识的提升，企业在数据安全和隐私保护方面的工作必须从最初的建设思维转变为落地执行和运营思维。过去从零开始搭建的合规体系已无法满足当前和未来的合规要求。因此，我们建议企业以《网数安全条例》为契机，建立专项项目，全面审视数据安全实践，开展个人信息保护的合规审计，制定重要数据的合规应对策略，以确保企业的稳健和安全发展。