網(wǎng)絡(luò )數據安全管理的操作規范開(kāi)始征求意見(jiàn)。
11月14日，國家互聯(lián)網(wǎng)信息辦公室發(fā)布《網(wǎng)絡(luò )數據安全管理條例（征求意見(jiàn)稿）》公開(kāi)征求意見(jiàn)的通知。意見(jiàn)反饋截止12月13日。征求意見(jiàn)稿是《中華人民共和國網(wǎng)絡(luò )安全法》《中華人民共和國數據安全法》《中華人民共和國個(gè)人信息保護法》等法律在網(wǎng)絡(luò )數據安全方面監管的進(jìn)一步細化，具有較強操作性。
征求意見(jiàn)稿共九章，明確了條例的適用范圍，開(kāi)展數據處理活動(dòng)的一般規定，并對個(gè)人信息保護、重要數據安全、數據跨境安全管理等作出了詳細規定。
其中，文件明確數據處理者開(kāi)展四類(lèi)活動(dòng)應當按照國家有關(guān)規定，申報網(wǎng)絡(luò )安全審查。包括：處理一百萬(wàn)人以上個(gè)人信息的數據處理者赴國外上市的；數據處理者赴香港上市，影響或者可能影響國家安全的等。
建立數據分類(lèi)分級保護制度
征求意見(jiàn)稿明確，在境外處理中華人民共和國境內個(gè)人和組織數據的活動(dòng)，有下列情形之一的，適用本條例。一是以向境內提供產(chǎn)品或者服務(wù)為目的；二是分析、評估境內個(gè)人、組織的行為；三是涉及境內重要數據處理；四是法律、行政法規規定的其他情形。自然人因個(gè)人或者家庭事務(wù)開(kāi)展數據處理活動(dòng)，不適用本條例。
征求意見(jiàn)稿提出，國家建立數據分類(lèi)分級保護制度。按照數據對國家安全、公共利益或者個(gè)人、組織合法權益的影響和重要程度，將數據分為一般數據、重要數據、核心數據，不同級別的數據采取不同的保護措施。國家對個(gè)人信息和重要數據進(jìn)行重點(diǎn)保護，對核心數據實(shí)行嚴格保護。
何為重要數據信息。征求意見(jiàn)稿明確，各地區、各部門(mén)按照國家有關(guān)要求和標準，組織本地區、本部門(mén)以及相關(guān)行業(yè)、領(lǐng)域的數據處理者識別重要數據和核心數據，組織制定本地區、本部門(mén)以及相關(guān)行業(yè)、領(lǐng)域重要數據和核心數據目錄，并報國家網(wǎng)信部門(mén)。
并要求，重要數據的處理者，應當明確數據安全負責人，成立數據安全管理機構。
征求意見(jiàn)稿提出，數據處理者應當建立數據安全應急處置機制，發(fā)生數據安全事件時(shí)及時(shí)啟動(dòng)應急響應機制，采取措施防止危害擴大，消除安全隱患。
四類(lèi)情形應申報網(wǎng)絡(luò )安全審查
征求意見(jiàn)稿第十三條提出，數據處理者開(kāi)展以下活動(dòng)，應當按照國家有關(guān)規定，申報網(wǎng)絡(luò )安全審查。
一是匯聚掌握大量關(guān)系國家安全、經(jīng)濟發(fā)展、公共利益的數據資源的互聯(lián)網(wǎng)平臺運營(yíng)者實(shí)施合并、重組、分立，影響或者可能影響國家安全的。
二是處理一百萬(wàn)人以上個(gè)人信息的數據處理者赴國外上市的。
三是數據處理者赴香港上市，影響或者可能影響國家安全的。
四是其他影響或者可能影響國家安全的數據處理活動(dòng)。
并強調，大型互聯(lián)網(wǎng)平臺運營(yíng)者在境外設立總部或者運營(yíng)中心、研發(fā)中心，應當向國家網(wǎng)信部門(mén)和主管部門(mén)報告。
對比7月份發(fā)布的《網(wǎng)絡(luò )安全審查辦法（修訂草案征求意見(jiàn)稿）》，本次文件的要求有了新變化。
此外，征求意見(jiàn)稿提出，數據處理者發(fā)生合并、重組、分立等情況的，數據接收方應當繼續履行數據安全保護義務(wù)，涉及重要數據和一百萬(wàn)人以上個(gè)人信息的，應當向設區的市級主管部門(mén)報告；數據處理者發(fā)生解散、被宣告破產(chǎn)等情況的，應當向設區的市級主管部門(mén)報告，按照相關(guān)要求移交或刪除數據，主管部門(mén)不明確的，應當向設區的市級網(wǎng)信部門(mén)報告。
處理金融賬戶(hù)等敏感個(gè)人信息應當取得個(gè)人單獨同意
個(gè)人信息保護法已于11月1日起實(shí)施。個(gè)人信息保護法將生物識別、宗教信仰、特定身份、醫療健康、金融賬戶(hù)、行蹤軌跡等列為敏感個(gè)人信息。征求意見(jiàn)稿明確，處理敏感個(gè)人信息應當取得個(gè)人單獨同意。
數據處理者利用生物特征進(jìn)行個(gè)人身份認證的，應當對必要性、安全性進(jìn)行風(fēng)險評估，不得將人臉、步態(tài)、指紋、虹膜、聲紋等生物特征作為唯一的個(gè)人身份認證方式，以強制個(gè)人同意收集其個(gè)人生物特征信息。
日活用戶(hù)超過(guò)一億的大型互聯(lián)網(wǎng)平臺運營(yíng)者平臺規則、隱私政策制定或者對用戶(hù)權益有重大影響的修訂的，應當經(jīng)國家網(wǎng)信部門(mén)認定的第三方機構評估，并報省級及以上網(wǎng)信部門(mén)和電信主管部門(mén)同意。
中國政法大學(xué)副校長(cháng)時(shí)建中教授曾公開(kāi)表示， “數據”一詞沒(méi)有出現在個(gè)人信息保護法中，但這并不意味著(zhù)個(gè)人信息保護法和數據安全法沒(méi)有關(guān)系。個(gè)人信息是以電子或其他形式記錄的，而電子形式的信息，或者說(shuō)以電子形式作為載體的個(gè)人信息，是要受到數據安全法的調整和規范的。
他呼吁，在關(guān)于數據、網(wǎng)絡(luò )和個(gè)人信息方面的行為立法以及相對的基本框架搭建完成后，我們應當把立法的重點(diǎn)轉到一個(gè)權利的立法上來(lái)。加快電信法的制定工作。
數據跨境應通過(guò)評估認證
在數據跨境方面，征求意見(jiàn)稿提出明確數據處理者因業(yè)務(wù)等需要，確需向中華人民共和國境外提供數據的，應當具備下列條件之一。
一是通過(guò)國家網(wǎng)信部門(mén)組織的數據出境安全評估。二是數據處理者和數據接收方均通過(guò)國家網(wǎng)信部門(mén)認定的專(zhuān)業(yè)機構進(jìn)行的個(gè)人信息保護認證。三是按照國家網(wǎng)信部門(mén)制定的關(guān)于標準合同的規定與境外數據接收方訂立合同，約定雙方權利和義務(wù)。四是法律、行政法規或者國家網(wǎng)信部門(mén)規定的其他條件。
數據處理者為訂立、履行個(gè)人作為一方當事人的合同所必需向境外提供當事人個(gè)人信息的，或者為了保護個(gè)人生命健康和財產(chǎn)安全而必須向境外提供個(gè)人信息的除外。
值得注意的是，屬于以下情形的，數據處理者應當通過(guò)國家網(wǎng)信部門(mén)組織的數據出境安全評估，包括：出境數據中包含重要數據；關(guān)鍵信息基礎設施運營(yíng)者和處理一百萬(wàn)人以上個(gè)人信息的數據處理者向境外提供個(gè)人信息；國家網(wǎng)信部門(mén)規定的其它情形。
情節嚴重違法行為或收5000萬(wàn)或上年度營(yíng)業(yè)額5%以下罰單
在法律責任方面，征求意見(jiàn)稿共分13條對不同行為的處罰予以規定。與個(gè)人信息保護法一致，征求意見(jiàn)稿明確，數據處理者不履行條例個(gè)人信息保護章節相關(guān)規定，由有關(guān)部門(mén)責令改正，給予警告，沒(méi)收違法所得，對違法處理個(gè)人信息的應用程序，責令暫?；蛘呓K止提供服務(wù)；拒不改正的，并處一百萬(wàn)元以下罰款；對直接負責的主管人員和其他直接責任人員處一萬(wàn)元以上十萬(wàn)元以下罰款。
有前款規定的違法行為，情節嚴重的，由有關(guān)部門(mén)責令改正，沒(méi)收違法所得，并處五千萬(wàn)元以下或者上一年度營(yíng)業(yè)額百分之五以下罰款，并可以責令暫停相關(guān)業(yè)務(wù)或者停業(yè)整頓、通報有關(guān)主管部門(mén)吊銷(xiāo)相關(guān)業(yè)務(wù)許可證或者吊銷(xiāo)營(yíng)業(yè)執照；對直接負責的主管人員和其他直接責任人員處十萬(wàn)元以上一百萬(wàn)元以下罰款，并可以決定禁止其在一定期限內擔任相關(guān)企業(yè)的董事、監事、高級管理人員和個(gè)人信息保護負責人。
征求意見(jiàn)稿也提出，數據處理者違反本條例規定，給他人造成損害的，依法承擔民事責任；構成違反治安管理行為的，依法給予治安管理處罰；構成犯罪的，依法追究刑事責任。
