深度分析丨从合规视角看《网络数据安全管理条例》

自 2016 年以来，《网络安全法》《数据安全法》《个人信息保护法》（“三法”）和《关键信息基础设施保护条例》构建了中国 “三法一条例” 的基本立法框架。针对三法中述及的以及近年来作为监管关注的诸如数据分类分级、数据跨境流动、个人信息处理等具体制度一直有待一部行政法规展开和细化。

在此背景下，《网络数据安全管理条例》应运而生。2024年9月30日，国务院发布《网络数据安全管理条例》（以下简称《条例》）。《条例》从行政法规层级补充了现有立法框架，构建了“法律-行政法规-部门规章”的全位阶法律规范体系。《条例》对网络数据处理活动及其安全监督管理进行了全面而细致的规范。它进一步明确了数据分类分级的标准和方法，为企业和组织在数据管理中提供了具体的指导。在数据跨境流动方面，条例详细规定了网络数据处理者向境外提供个人信息和重要数据的条件及程序，确保跨境数据安全有序流动。对于个人信息处理活动，条例强化了网络数据处理者的责任和义务，从收集、使用到存储、删除等各个环节，都提出了严格的要求，切实保护个人信息安全。

《条例》作为网络数据安全法规制度体系的关键组成部分，进一步完善了网络数据分类分级保护制度，压实了网络数据处理者的主体责任，细化了网络数据处理活动的制度要求，同时健全了网络数据监督管理机制等，对于全面提升网络数据治理监管能力具有深刻的意义。《条例》的出台，填补了 “三法” 在具体制度实施层面的空白，为我国网络数据安全管理提供了坚实的法律保障。

本文从合规的视角，对《条例》展开深度分析与解读。

• 一般规定

• 条例原文
  • 第九条　网络数据处理者应当依照法律、行政法规的规定和国家标准的强制性要求，在网络安全等级保护的基础上，加强网络数据安全防护，建立健全网络数据安全管理制度，采取加密、备份、访问控制、安全认证等技术措施和其他必要措施，保护网络数据免遭篡改、破坏、泄露或者非法获取、非法利用，处置网络数据安全事件，防范针对和利用网络数据实施的违法犯罪活动，并对所处理网络数据的安全承担主体责任。
• 小知解读
  • 在《数据安全法》第二十七条第一款（开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。利用互联网等信息网络开展数据处理活动，应当在网络安全等级保护制度的基础上，履行上述数据安全保护义务）规定的数据安全保护基础通用义务基础上，《条例》第九条进一步细化了要求。企业必须在《数据安全法》相关规定框架内，严格遵循《条例》第九条。
  • 企业应强化网络数据安全防护意识，建立完善的网络数据安全管理制度。这包括但不限于制定明确的操作流程、人员职责规范以及应急处理预案等。同时，积极采取加密、备份、访问控制、安全认证等技术措施，以及其他符合要求的必要措施，全方位保障网络数据安全。