事件

数据合规职责及义务

1

网络产品和服务存在安全缺陷、漏洞，或者威胁国家安全、危害公共利益

应当立即采取补救措施

2

安全事件对个人、组织造成危害

应当在3个工作日内通知利害关系人

3

发生重要数据或十万人以上个人信息泄露、毁损、丢失

应当在事件发生后八小时内报告，在事件处置完毕后五个工作日内提交调查评估报告

事项

个人信息处理规则内容

1

列清单

依据产品或者服务的功能明确所需的个人信息，以清单形式列明每项功能处理个人信息的目的、用途、方式、种类、频次或者时机、保存地点等，以及拒绝处理个人信息对个人的影响。

2

存储期限

个人信息存储期限或者个人信息存储期限的确定方法、到期后的处理方式。

3

同意的途径和方法

个人查阅、复制、更正、删除、限制处理、转移个人信息，以及注销账号、撤回处理个人信息同意的途径和方法。

4

集中展示第三方信息

以集中展示等便利用户访问的方式说明产品服务中嵌入的所有收集个人信息的第三方代码、插件的名称，以及每个第三方代码、插件收集个人信息的目的、方式、种类、频次或者时机及其个人信息处理规则。

5

向第三方提供信息

向第三方提供个人信息的情形及其目的、方式、种类，数据接收方相关信息等。

6

安保措施

个人信息安全风险及保护措施。

7

争议解决机制

个人信息安全问题的投诉、举报渠道及解决途径，个人信息保护负责人联系方式。

事项

数据合规职责及义务

1

信息采集

“采集”个人信息，应当遵循合法、正当、必要和最小影响的原则，并遵守“不得”实施的禁止性要求。

2

同意

数据处理者征得个人同意，不得使用概括性条款、不得采取任何方式强迫个人单独或批量同意，不得超出授权范围。数据处理者对个人“同意”的有效性承担举证责任。

3

向第三方提供个人信息

数据处理者向第三方提供个人信息，应当充分告知个人并取得个人单独同意，并与数据接收方通过合同明确各自数据安全责任义务，其中，数据处理者对接收方享有监督权；个人同意记录、日志记录、审批记录至少留存5年。

4

删除义务

数据处理者应当按照必须“删除”个人信息的情形、处理方式，在15个工作日内删除或匿名化处理。

5

对个人行使权利的响应

数据处理者应当积极响应个人行使“查阅、复制、更正、补充、限制、删除”其个人信息的合理请求，并在15日内处理及反馈。

6

信息转移

针对个人提出的符合条件的“信息转移请求”，数据处理者除了提供转移服务外，还应对转移请求做合理的风险提示，并对超出合理范围次数的专业享有收费权。

7

风险评估

针对数据处理者利用生物特征进行个人身份认证的，要求进行必要性、安全性的风险评估，不得将生物特征作为唯一的个人身份认证方式强制收集。

8

合规审计

数据处理者应当委托数据安全审计专业机构定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。

9

发生风险事件的报告及调查评估

发生十万人以上个人信息泄露、毁损、丢失等数据安全事件时，数据处理者应当在八小时内向设区的市级网信部门报告，并在事件处置完毕后的五个工作日内提交有关原因、危害后果、责任处理、改进措施等内容的调查评估报告。

10

处理一百万人以上个人信息

还应当遵守第四章“重要数据处理者”的合规职责及义务【视为重要数据】。

11

赴国外上市的网络安全审查

处理一百万以上个人信息的数据处理者赴国外上市的，应当申报网络安全审查。

分级

定义

1

重要数据《条例》

重要数据指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益的数据：

1.未公开的政务数据、工作秘密、情报数据和执法司法数据；

2.出口管制数据，出口管制物项涉及的核心技术、设计方案、生产工艺等相关的数据，密码、生物、电子信息、人工智能等领域对国家安全、经济竞争实力有直接影响的科学技术成果数据；

3.国家法律、行政法规、部门规章明确规定需要保护或者控制传播的国家经济运行数据、重要行业业务数据、统计数据等；

4.工业、电信、能源、交通、水利、金融、国防科技工业、海关、税务等重点行业和领域安全生产、运行的数据，关键系统组件、设备供应链数据；

5.达到国家有关部门规定的规模或者精度的基因、地理、矿产、气象等人口与健康、自然资源与环境国家基础数据；

6.国家基础设施、关键信息基础设施建设运行及其安全数据，国防设施、军事管理区、国防科研生产单位等重要敏感区域的地理位置、安保情况等数据；

7.其他可能影响国家政治、国土、军事、经济、文化、社会、科技、生态、资源、核设施、海外利益、生物、太空、极地、深海等安全的数据。

2

核心数据《数据安全法/条例》

指关系国家安全、国民经济命脉、重要民生和重大公共利益等的数据。

3

个人敏感信息《个人信息保护法》

是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

事项

数据合规职责及义务

1

重要数据的备案

数据处理者在识别其重要数据后，应当在15个工作日内，向设区的市级网信部门进行备案。

2

设置数据安全管理岗位

明确并设置数据安全负责人及岗位，成立数据安全管理机构，履行数据安全管理职责，包括重大决策建议、制定应急预案、开展风险监控及事件处置、开展培训、受理投诉等。

3

安全培训

制定培训计划、组织开展全员数据安全教育培训，技术和关联人员培训时间不得少于20小时/年。

4

共享、交易、委托处理

重要数据

①单独同意。充分告知个人并取得个人单独同意，通过合同落实其与数据接收方各自数据安全责任义务的方法、途径和内容，其中，数据处理者对接收方享有监督权；个人同意记录、日志记录、审批记录至少留存5年。

②进行安全评估。安全评估的重点内容：提供重要数据的合法、正当、必要性，重要数据毁损、被泄露、篡改、滥用，以及对国家安全、经济发展、公共利益代理的风险，数据接收方的诚信、守法等背景，其安全保护责任能力，合同约定，管理和技术风险防控措施等。

③应当征得设区的市级及以上网信部门同意。

5

年度评估报告

针对重要数据的处理情况、数据安全风险的识别及处置措施、数据安全事件及处置情况、数据安全管理制度等内容，每年自行或者委托第三方进行一次数据安全年度评估，并于每年1月31日前将评估报告上报设区的市级网信部门。风险评估报告至少保留3年。

6

发生风险事件的报告及 调查评估

发生重要数据信息泄露、毁损、丢失等数据安全事件时，数据处理者应当在八小时内向设区的市级网信部门报告，并在事件处置完毕后的五个工作日内提交有关原因、危害后果、责任处理、改进措施等内容的调查评估报告。

主体

数据处理

活动

数据合规职责及义务

1

数据处理者

向境外提供个人信息

应当将境外接收方的名称、联系方式，信息处理目的及方式，信息种类、个人信息主体权利行使方式等事项告知个人，并获得个人的单独同意。

2

数据处理者

向境外提供数据

不得超出评估报告明确的目的、范围、方式和数据类型、规模等；采取有效措施监督接收方使用数据；接受投诉；对个人、组织或公共利益造成的损害承担责任；出境审批记录存留3年以上。

3

①数据处理者

出境数据中包含重要数据

应当通过国家网信部门组织的数据出境安全评估。安全评估的重点内容：提供重要数据的合法、正当、必要性，重要数据毁损、被泄露、篡改、滥用，以及对国家安全、经济发展、公共利益代理的风险，数据接收方的诚信、守法、境外政府合作关系、是否被中国政府制裁等背景，其安全保护责任能力，合同约定，风险防控措施等。

②关键信息基础设施运营者

向境外提供个人信息

③处理一百万以上个人信息的

数据处理者

4

数据处理者

向境外提供个人信息和

重要数据的

应当针对如下内容，每年1月31日前向设区的市级网信部门提供年度数据出境安全报告：全部数据接收方的名称、联系方式，数据的类型、梳理及目的，数据存在在境外的地点、期限、使用范围和方式，安全保护机制及争议处理机制，数据再转移等情况。

5

赴境外上市的数据处理者

年度数据处理

应当针对重要数据的处理情况、数据安全风险的识别及处置措施、数据安全事件及处置情况、数据安全管理制度等内容，每年自行或者委托第三方进行一次数据安全年度评估，并于每年1月31日前将年度评估报告上报设区的市级网信部门。

6

处理一百万人以上个人信息的

数据处理者

赴国外上市的

应当申报网络安全审查。

7

数据处理者

赴香港上市，影响或可能影响国家安全的

主体

活动

数据合规职责及义务

1

互联网平台

信息、规则披露

建立与数据相关的平台规则、隐私政策和算法策略的披露制度，并及时披露制定程序、裁决程序，保障平台的规则、隐私政策和算法公平公开公正；平台规则、隐私政策应当公开征求意见，时常不少于30个工作日；

2

日活跃用户超过1亿的大型互联网平台（超级平台）

制度修订

平台规则、隐私政策制定或者对用户权益有重大影响的修订的，应当经第三方机构评估及并上报省级及以上网信部门和电信主管部门同意。

3

互联网平台运营者

利用人工智能、虚拟现实、深度合成等新技术开展数据处理活动

应当进行安全评估。

4

互联网平台运营者

利用个人信息和个性化推送算法

应当取得单独同意，设置易于操作的一键关闭选项，等。

5

互联网平台运营者

为国家机关提供服务，参与公共基础设施、公共服务系统建设

收集、产生的数据不得用于其他用途。

6

互联网平台运营者

平台内第三方的责任

对接入平台的第三方产品和服务承担数据安全管理责任，并第三方产品和服务对用户造成的损害承担先行赔偿责任。

7

互联网平台运营者

禁止不公平竞争

不得实施“大数据杀熟”“损害公平竞争”的行为，不得有欺诈、胁迫、误导，损害用户决定权的行为；不得通过各种方式限制平台上的中小企业获取平台产生的行业、市场数据。

8

互联网平台运营者

个人身份认证

应当支持并优先使用国家网络身份认证公共服务基础设施的个人身份认证服务。

9

大型互联网平台运营者

/

对平台数据安全情况、规则和承诺的执行情况、个人信息保护情况、数据开发利用情况等进行年度审计，并披露审计结果的义务。

10

大型互联网平台

运营者

在境外设立总部或者运营中心、研发中心

应当向国家网信部门和主管部门报告。

11

提供应用程序分发服务的

互联网平台运营者

/

应当建立、披露应用程序审核规则，并对应用程序进行安全审核。

12

提供即时通信服务的互联网平台

运营者

用户数据互通

应当为其他互联网平台运营者的即时通信服务提供数据接口，支持不同即时通信服务之间的用户数据互通。

13

汇聚掌握大量关系国家安全、经济发展、公共利益的数据资源的互联网平台运营者

实施合并、重组、分离，影响或可能影响国家安全的

应当申报网络安全审查。

情形

合规职责及义务

1

数据处理者发生合并、重组、分立的

数据接收方应当继续履行数据安全保护义务。

涉及重要数据和一百万人以上个人信息的

应当向设区的市级主管部门报告。

2

数据处理者发生解散、被宣告破产的

应当向设区的市级主管部门报告，移交或删除数据；主管部门不明的，向设区的市级网信部门报告。