《网络数据安全管理条例》公布，2025年1月1日开始施行

中国政府网30日消息，《网络数据安全管理条例》(下称《条例》)已经2024年8月30日国务院第40次常务会议通过，现予公布，自2025年1月1日起施行。

《条例》共九章六十四条，依次为总则、一般规定、个人信息保护、重要数据安全、网络数据跨境安全管理、网络平台服务提供者义务、监督管理、法律责任、及附则。

总则方面，《条例》明确，国家鼓励网络数据在各行业、各领域的创新应用，加强网络数据安全防护能力建设，支持网络数据相关技术、产品、服务创新，开展网络数据安全宣传教育和人才培养，促进网络数据开发利用和产业发展。

《条例》指出，国家根据网络数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对网络数据实行分类分级保护。

一般规定方面，《条例》要求，任何个人、组织不得利用网络数据从事非法活动，不得从事窃取或者以其他非法方式获取网络数据、非法出售或者非法向他人提供网络数据等非法网络数据处理活动。

任何个人、组织不得提供专门用于从事前款非法活动的程序、工具；明知他人从事前款非法活动的，不得为其提供互联网接入、服务器托管、网络存储、通讯传输等技术支持，或者提供广告推广、支付结算等帮助。

《条例》提到，提供生成式人工智能服务的网络数据处理者应当加强对训练数据和训练数据处理活动的安全管理，采取有效措施防范和处置网络数据安全风险。

个人信息保护方面，《条例》明确，网络数据处理者基于个人同意处理个人信息的，应当遵守下列规定：

(一)收集个人信息为提供产品或者服务所必需，不得超范围收集个人信息，不得通过误导、欺诈、胁迫等方式取得个人同意；

(二)处理生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等敏感个人信息的，应当取得个人的单独同意；

(三)处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意；

(四)不得超出个人同意的个人信息处理目的、方式、种类、保存期限处理个人信息；

(五)不得在个人明确表示不同意处理其个人信息后，频繁征求同意；

(六)个人信息的处理目的、方式、种类发生变更的，应当重新取得个人同意。

法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。

《条例》指出，个人请求查阅、复制、更正、补充、删除、限制处理其个人信息，或者个人注销账号、撤回同意的，网络数据处理者应当及时受理，并提供便捷的支持个人行使权利的方法和途径，不得设置不合理条件限制个人的合理请求。

重要数据安全方面，《条例》表示，国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护。各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的网络数据进行重点保护。

网络数据处理者应当按照国家有关规定识别、申报重要数据。对确认为重要数据的，相关地区、部门应当及时向网络数据处理者告知或者公开发布。网络数据处理者应当履行网络数据安全保护责任。

国家鼓励网络数据处理者使用数据标签标识等技术和产品，提高重要数据安全管理水平。

网络数据跨境安全管理方面，《条例》显示，符合下列条件之一的，网络数据处理者可以向境外提供个人信息：

(一)通过国家网信部门组织的数据出境安全评估；

(二)按照国家网信部门的规定经专业机构进行个人信息保护认证；

(三)符合国家网信部门制定的关于个人信息出境标准合同的规定；

(四)为订立、履行个人作为一方当事人的合同，确需向境外提供个人信息；

(五)按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息；

(六)为履行法定职责或者法定义务，确需向境外提供个人信息；

(七)紧急情况下为保护自然人的生命健康和财产安全，确需向境外提供个人信息；

(八)法律、行政法规或者国家网信部门规定的其他条件。

关于网络平台服务提供者义务，《条例》明确，大型网络平台服务提供者不得利用网络数据、算法以及平台规则等从事下列活动：

(一)通过误导、欺诈、胁迫等方式处理用户在平台上产生的网络数据；

(二)无正当理由限制用户访问、使用其在平台上产生的网络数据；

(三)对用户实施不合理的差别待遇，损害用户合法权益；

(四)法律、行政法规禁止的其他活动。

此外，《条例》就监督管理、法律责任、附则等明确多项规定。