网络数据安全管理条例（征求意见稿）解读

2021-11-16

2021年11月14日，国家互联网信息办公室（“网信办”）首次公布了《网络数据安全管理条例（征求意见稿）》（“条例征求意见稿”）并向社会公开征求意见。条例征求意见稿以《个人信息保护法》、《数据安全法》和《网络安全法》等法律为上位法，落实法律中提出的数据安全制度，执行上位法设立的制度，给出了这些制度的实施路径。进一步细化上位法的原则，对“合法、正当、必要”原则、告知事项、同意制度、数据出境这些关于个人信息和重要数据保护的规定做了细化。并回应了网信办在今年7月份发布的《网络安全审查办法》（征求意见稿）（“办法征求意见稿”）所留下的一些疑问。

解读

《条例》的上位法有三个，分别是《网络安全法》《数据安全法》和《个人信息保护法》。

《条例》针对的是“网络数据”，且重在落实法律中提出的数据安全制度。除去法律位阶不同外，两者也在其他方面有所差别。《数据安全法》第三条规定，本法所称数据，是指任何以电子或者其他方式对信息的记录。“网络数据”范畴比数据要小。《条例》的很多条款是在执行上位法的规定。

具体而言，《条例》与《数据安全法》和《个人信息保护法》的关系体现在三个方面：

一、执行实施

《条例》很多条款是为了执行上位法设立的制度，给出了这些制度的实施路径。如上位法中提出的条件、数量等作了明确。

对于一些重要的制度，比如同意、“单独同意”等，《条例》都作了规定。后续需要制定部门规章和规范性文件的，《条例》也都作了指定。

二、原则细化

上位法中有一些规定比较原则，有必要进一步细化。《条例》在这些问题上都作了明确规定。

（一）处理个人信息的“合法、正当、必要”原则

《个人信息保护法》第五条规定，处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、 欺诈、胁迫等方式处理个人信息。

《条例》第十九条数据处理者处理个人信息，应当具有明确、合理的目的，遵循合法、正当、必要的原则。基 于个人同意处理个人信息的，应当满足以下要求：（一）处理的个人信息是提供服务所必需的，或者是履行法律、行政法规规定的义务所必需的；（二）限于实现处理目的最短周期、最低频次，采取对个人权益影响最小的方式；（三）不得因个人拒绝提供服务必需的个人信息以外的信息，拒绝提供服务或者干扰个人正常使用服务。

可以认为是逐条阐释了合法、正当、必要。

（二）处理个人信息前，向个人告知事项的具体要求

《个人信息保护法》规定了三处告知，《条例》第二十条是详细落实告知，比如制定个人信息处理规则并集中公开展示7项内容。

（三）阐述了同意制度

《个人信息保护法》规定了同意作为一项处理信息的基本原则，《条例》第十二条落实了同意的日志留存时间。《条例》第二十一条则规定了数据处理者如何获取同意，包括按照服务类型获取同意，敏感个人信息需要单独同意，监护人同意，不得强迫同意，不得通过误导、欺诈、胁迫等方式获得个人的同意，不得通过捆绑不同类型服务、批量申请同意等方式诱导、强迫个人进行批量个人信息同意，不得超出个人授权同意的范围处理个人信息，不得在个人明确表示不同意后，频繁征求同意、干扰正常使用服务，个人信息种类发生变更数据处理者应当重新取得个人同意，数据处理者负有同意行为有效性举证责任，等。

（四）数据出境

条例用了一章来细化数据安全法出境制度。对于数据出境，《数据安全法》第三十一条规定，关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理，适用《中华人民共和国网络安全法》的规定；其他数据处理者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理办法，由国家网信部门会同国务院有关部门制定。

条例第五章用整个一章规定了出境条件、获取同意、出境安全评估条件、执行条约情形、出境9大义务、数据出境安全报告、数据跨境安全网关、跨境安全技术措施等。

三、新增重要数据安全章节、备案、年度报告、出境安全管理、网络平台责任

作为行政法规，《条例》单独增加一章规定了重要数据安全，作为对数据安全法第四章数据安全保护义务的重要补充，相对上位法还增加了重要数据处理者备案要求和年度报告要求、数据出境安全管理义务、网络平台责任等。

四、小结

条例征求意见稿以《个人信息保护法》、《数据安全法》和《网络安全法》等法律为上位法，落实法律中提出的数据安全制度，执行上位法设立的制度，给出了这些制度的实施路径。进一步细化上位法的原则，对“合法、正当、必要”原则、告知事项、同意制度、数据出境这些关于个人信息和重要数据保护的规定做了细化。其中，重要数据安全、重要数据处理者备案要求和年度报告要求、数据出境安全管理义务、网络平台责任等是比较新的重要合规义务和要求。

本文作者：