《网络数据安全管理条例（征求意见稿）》为企业带来哪些新思考

编者按近日，国家网信办《网络数据安全管理条例》发布，对数据存储、数据流通、数据使用等数据合规问题进行约束。《征求意见稿》紧密贴合当下网络数据安全管理热点，在数据分级、数据“出海”、大数据杀熟、身份认证、信息泄露报备等方面给予了详细的指导意见，同时为大型互联网平台和安全厂商提供了新的思考。

本期，产业安全TALK聚焦《网络数据安全管理条例》，与大家一同探讨意见稿中提及的首创性规定，以及网络数据安全问题该如何应对？作者：金珉锡11月14日，国家互联网信息办公室就《网络数据安全管理条例》向社会公开征求意见。

数据成为基础性、战略性生产要素的数字经济时代，网络数据安全该如何管理成为政府、媒体、企业及个人关注的焦点。UIBE数字经济与法律创新研究中心主任许可认为，随着《网络安全法》、《数据安全法》、《个人信息保护法》的出台，我国网络空间法制的“四梁八柱”已经形成，《征求意见稿》则是落实其规则、充实其内容的关键构件。中国互联网协会研究中心副主任吴沈括表示，《征求意见稿》的制度思路已不是网络安全合规、数据安全合规或者个人信息保护合规的单维方案，其可以广泛重塑数字经济下的数据处理与流转利用规则，在技术基础、组织管理、价值生态等诸多层面深度改造产业发展模式和企业治理架构，全面催生企业数据大合规的崭新需求。

《征求意见稿》从一般规定、个人信息保护、重要数据安全、数据跨境安全管理、互联网平台运营者义务等方面对网络数据安全参与者进行规范。

中南财经政法大学数字经济研究院执行院长盘和林认为，《征求意见稿》将推动互联网平台数据治理模式变革，是推动数字经济和互联网平台实现可持续发展的标线。网络数据安全管理迎新规《征求意见稿》有何亮点和创新点？总体而言，《征求意见稿》具有五大亮点：亮点一：拟建立数据分类分级保护制度国家建立数据分类分级保护制度，按照数据对国家安全、公共利益或者个人、组织合法权益的影响和重要程度，将数据分为一般数据、重要数据、核心数据，不同级别的数据采取不同的保护措施。国家对个人信息和重要数据进行重点保护，对核心数据实行严格保护。

《征求意见稿》相比《数据安全法》，将数据进一步细分、更有层次，这就要求企业对数据资产进行规划盘点，厘清数据资产和个人信息数据分布比例，进而制定重要数据和核心数据目录，从而为数据分类分级后更好地制定精细化数据安全策略打下基础。亮点二：数据“出海”、跨境数据监管即将落地《征求意见稿》提出，数据处理者向境外提供在中华人民共和国境内收集和产生的数据，属于以下情形的，应当通过国家网信部门组织的数据出境安全评估：出境数据中包含重要数据；关键信息基础设施运营者和处理一百万人以上个人信息的数据处理者向境外提供个人信息；国家网信部门规定的其他情形。

经济全球化大背景下，数据“出海”是许多企业的现实需求。

中国社会科学院大学教授李勇坚指出，条例为企业数据“出海”划定了红线。此外，《征求意见稿》对“国外上市”和“香港上市”制定了更严格的网络安全审查。7月以来，近十家中国互联网公司取消了赴美上市计划。

互联网平台企业要想在海量数据未经审查的情况下，赴外国上市，将成为天方夜谭。亮点三：十万人以上信息泄露需在八小时内报备一般规定的第十一条显示，数据处理者应当建立数据安全应急处置机制，发生数据安全事件时及时启动应急响应机制，采取措施防止危害扩大，消除安全隐患。在发生重要数据或者十万人以上个人信息泄露、毁损、丢失等数据安全事件时，数据处理者还应当在八小时内向设区的市级网信部门和有关主管部门报告事件基本信息。中国政法大学互联网金融法律研究院院长李爱君表示，八小时报备能够有效地防范重要数据安全风险发生，并在发生时有效控制风险的扩大化。

亮点四：大数据杀熟、数据过度使用、生物特征身份认证等问题将有解《征求意见稿》强调，互联网平台运营者不得利用数据以及平台规则等从事服务差异化等损害用户合法利益的行为，以及利用数据误导、欺诈、胁迫用户，损害用户对其数据被处理的决定权，违背用户意愿处理用户数据等，同时《征求意见稿》还对强制个人同意收集其个人生物特征信息作出了严格限定，提出不得将人脸、步态、指纹、虹膜、声纹等生物特征作为唯一的个人身份认证方式。中国互联网协会法工委副秘书长胡钢指出：“此举将敦促大型互联网平台企业更加主动积极合规合法。”亮点五：明确重要数据处理者责任、成立数据安全管理机构《征求意见稿》适用范围涵盖境内和境外，适用主体共分为三类，分别为数据处理者、互联网平台运营者、大型互联网平台运营者。