第一章 总则
第一条 为了规范网络数据处理活动，保障网络数据安全，促进网络数据依法合理有效利用，保护个人、组织的合法权柄，掩护国家安全和公共利益，根据《中华公民共和国网络安全法》、《中华公民共和国数据安全法》、《中华公民共和国个人信息保护法》等法律，制订本条例。
第二条 在中华公民共和国境内开展网络数据处理活动及其安全监督管理，适用本条例。
在中华公民共和国境外处理中华公民共和国境内自然人个人信息的活动，符合《中华公民共和国个人信息保护法》第三条第二款规定环境的，也适用本条例。
在中华公民共和国境外开展网络数据处理活动，危害中华公民共和国国家安全、公共利益或者公民、组织合法权柄的，依法深究法律任务。
第三条 网络数据安全管理事情坚持中国共产党的领导，贯彻总体国家安全不雅观，统筹促进网络数据开拓利用与保障网络数据安全。
第四条 国家鼓励网络数据在各行业、各领域的创新运用，加强网络数据安全防护能力培植，支持网络数据干系技能、产品、做事创新，开展网络数据安全宣扬教诲和人才培养，促进网络数据开拓利用和家当发展。
第五条 国家根据网络数据在经济社会发展中的主要程度，以及一旦遭到修改、毁坏、透露或者造孽获取、造孽利用，对国家安全、公共利益或者个人、组织合法权柄造成的危害程度，对网络数据实施分类分级保护。
第六条 国家积极参与网络数据安全干系国际规则和标准的制订，促进国际互换与互助。
第七条 国家支持干系行业组织按照章程，制订网络数据安全行为规范，加强行业自律，辅导会员加强网络数据安全保护，提高网络数据安全保护水平，促进行业康健发展。
第二章 一样平常规定
第八条 任何个人、组织不得利用网络数据从事造孽活动，不得从事盗取或者以其他造孽办法获取网络数据、造孽出售或者造孽向他人供应网络数据等造孽网络数据处理活动。
任何个人、组织不得供应专门用于从事前款造孽活动的程序、工具；明知他人从事前款造孽活动的，不得为其供应互联网接入、做事器托管、网络存储、通讯传输等技能支持，或者供应广告推广、支付结算等帮助。
第九条 网络数据处理者应该依照法律、行政法规的规定和国家标准的逼迫性哀求，在网络安全等级保护的根本上，加强网络数据安全防护，建立健全网络数据安全管理制度，采纳加密、备份、访问掌握、安全认证等技能方法和其他必要方法，保护网络数据免遭修改、毁坏、透露或者造孽获取、造孽利用，处置网络数据安全事宜，戒备针对和利用网络数据履行的违法犯罪活动，并对所处理网络数据的安全承担主体任务。
第十条 网络数据处理者供应的网络产品、做事应该符合干系国家标准的逼迫性哀求；创造网络产品、做事存在安全毛病、漏洞等风险时，应该立即采纳补救方法，按照规定及时奉告用户并向有关主管部门报告；涉及危害国家安全、公共利益的，网络数据处理者还应该在24小时内向有关主管部门报告。
第十一条 网络数据处理者应该建立健全网络数据安全事宜应急预案，发生网络数据安全事宜时，应该立即启动预案，采纳方法防止危害扩大，肃清安全隐患，并按照规定向有关主管部门报告。
网络数据安全事宜对个人、组织合法权柄造成危害的，网络数据处理者应该及时将安全事宜和风险情形、危害后果、已经采纳的补救方法等，以电话、短信、即时通信工具、电子邮件或者公告等办法关照短长关系人；法律、行政法规规定可以不通知的，从其规定。网络数据处理者在处置网络数据安全事宜过程中创造涉嫌违法犯罪线索的，应该按照规定向公安机关、国家安全机关报案，并合营开展侦查、调查和处置事情。
第十二条 网络数据处理者向其他网络数据处理者供应、委托处理个人信息和主要数据的，应该通过合同等与网络数据吸收方约定处理目的、办法、范围以及安全保护责任等，并对网络数据吸收方履行责任的情形进行监督。向其他网络数据处理者供应、委托处理个人信息和主要数据的处理情形记录，应该至少保存3年。
网络数据吸收方应该履行网络数据安全保护责任，并按照约定的目的、办法、范围等处理个人信息和主要数据。
两个以上的网络数据处理者共同决定个人信息和主要数据的处理目的和处理办法的，应该约定各自的权利和责任。
第十三条 网络数据处理者开展网络数据处理活动，影响或者可能影响国家安全的，应该按照国家有关规定进行国家安全审查。
第十四条 网络数据处理者因合并、分立、终结、破产等缘故原由须要转移网络数据的，网络数据吸收方应该连续履行网络数据安全保护责任。
第十五条 国家机关委托他人培植、运行、掩护电子政务系统，存储、加工政务数据，应该按照国家有关规定经由严格的批准程序，明确受托方的网络数据处理权限、保护任务等，监督受托方履行网络数据安全保护责任。
第十六条 网络数据处理者为国家机关、关键信息根本举动步伐运营者供应做事，或者参与其他公共根本举动步伐、公共做事系统培植、运行、掩护的，应该依照法律、法规的规定和条约约定履行网络数据安全保护责任，供应安全、稳定、持续的做事。
前款规定的网络数据处理者未经委托方赞许，不得访问、获取、留存、利用、透露或者向他人供应网络数据，不得对网络数据进行关联剖析。
第十七条 为国家机关供应做事的信息系统应该参照电子政务系统的管理哀求加强网络数据安全管理，保障网络数据安全。
第十八条 网络数据处理者利用自动化工具访问、网络网络数据，应该评估对网络做事带来的影响，不得造孽侵入他人网络，不得滋扰网络做事正常运行。
第十九条 供应天生式人工智能做事的网络数据处理者应该加强对演习数据和演习数据处理活动的安全管理，采纳有效方法戒备和处置网络数据安全风险。
第二十条 面向社会供应产品、做事的网络数据处理者应该接管社会监督，建立便捷的网络数据安全投诉、举报渠道，公布投诉、举报办法等信息，及时受理并处理网络数据安全投诉、举报。
第三章 个人信息保护
第二十一条 网络数据处理者在处理个人信息前，通过制订个人信息处理规则的办法依法向个人奉告的，个人信息处理规则应该集中公开展示、易于访问并置于能干位置，内容明确详细、清晰易懂，包括但不限于下列内容：
（一）网络数据处理者的名称或者姓名和联系办法；
（二）处理个人信息的目的、办法、种类，处理敏感个人信息的必要性以及对个人权柄的影响；
（三）个人信息保存期限和到期后的处理办法，保存期限难以确定的，应该明确保存期限的确定方法；
（四）个人查阅、复制、转移、更正、补充、删除、限定处理个人信息以及注销账号、撤回赞许的方法和路子等。
网络数据处理者按照前款规定向个人奉告网络和向其他网络数据处理者供应个人信息的目的、办法、种类以及网络数据吸收方信息的，应该以清单等形式予以列明。网络数据处理者处理不满十四周岁未成年人个人信息的，还应该制订专门的个人信息处理规则。
第二十二条 网络数据处理者基于个人赞许处理个人信息的，应该遵守下列规定：
（一）网络个人信息为供应产品或者做事所必需，不得超范围网络个人信息，不得通过误导、敲诈、胁迫等办法取得个人赞许；
（二）处理生物识别、宗教崇奉、特定身份、医疗康健、金融账户、行踪轨迹等敏感个人信息的，应该取得个人的单独赞许；
（三）处理不满十四周岁未成年人个人信息的，应该取得未成年人的父母或者其他监护人的赞许；
（四）不得超出个人赞许的个人信息处理目的、办法、种类、保存期限处理个人信息；
（五）不得在个人明确表示不同意处理其个人信息后，频繁搜聚赞许；
（六）个人信息的处理目的、办法、种类发生变更的，应该重新取得个人赞许。
法律、行政法规规定处理敏感个人信息应该取得书面赞许的，从其规定。
第二十三条 个人要求查阅、复制、更正、补充、删除、限定处理其个人信息，或者个人注销账号、撤回赞许的，网络数据处理者应该及时受理，并供应便捷的支持个人行使权利的方法和路子，不得设置不合理条件限定个人的合理要求。
第二十四条 因利用自动化采集技能等无法避免采集到非必要个人信息或者未依法取得个人赞许的个人信息，以及个人注销账号的，网络数据处理者应该删除个人信息或者进行匿名化处理。法律、行政法规规定的保存期限未届满，或者删除、匿名化处理个人信息从技能上难以实现的，网络数据处理者应该停滞除存储和采纳必要的安全保护方法之外的处理。
第二十五条 对符合下列条件的个人信息转移要求，网络数据处理者应该为个人指定的其他网络数据处理者访问、获取有关个人信息供应路子：
（一）能够验证要求人的真实身份；
（二）要求转移的是本人赞许供应的或者基于条约网络的个人信息；
（三）转移个人信息具备技能可行性；
（四）转移个人信息不危害他人合法权柄。
要求转移个人信息次数等明显超出合理范围的，网络数据处理者可以根据转移个人信息的本钱收取必要用度。
第二十六条 中华公民共和国境外网络数据处理者处理境内自然人个人信息，依照《中华公民共和国个人信息保护法》第五十三条规定在境内设立专门机构或者指定代表的，应该将有关机构的名称或者代表的姓名、联系办法等报送所在地设区的市级网信部门；网信部门应该及时通报同级有关主管部门。
第二十七条 网络数据处理者应该定期自行或者委托专业机构对其处理个人信息遵守法律、行政法规的情形进行合规审计。
第二十八条 网络数据处理者处理1000万人以上个人信息的，还应该遵守本条例第三十条、第三十二条对处理主要数据的网络数据处理者（以下简称主要数据的处理者）作出的规定。
第四章 主要数据安全
第二十九条 国家数据安全事情折衷机制统筹折衷有关部门制订主要数据目录，加强对主要数据的保护。各地区、各部门应该按照数据分类分级保护制度，确定本地区、本部门以及干系行业、领域的主要数据详细目录，对列入目录的网络数据进行重点保护。
网络数据处理者应该按照国家有关规定识别、报告主要数据。对确认为主要数据的，干系地区、部门应该及时向网络数据处理者奉告或者公开拓布。网络数据处理者应该履行网络数据安全保护任务。
国家鼓励网络数据处理者利用数据标签标识等技能和产品，提高主要数据安全管理水平。
第三十条 主要数据的处理者应该明确网络数据安全卖力人和网络数据安全管理机构。网络数据安全管理机构应该履行下列网络数据安全保护任务：
（一）制订履行网络数据安全管理制度、操作规程和网络数据安全事宜应急预案；
（二）定期组织开展网络数据安全风险监测、风险评估、应急演习训练、宣扬教诲培训等活动，及时处置网络数据安全风险和事宜；
（三）受理并处理网络数据安全投诉、举报。
网络数据安全卖力人应该具备网络数据安全专业知识和干系管理事情经历，由网络数据处理者管理层成员担当，有权直接向有关主管部门报告网络数据安全情形。
节制有关主管部门规定的特定种类、规模的主要数据的网络数据处理者，应该对网络数据安全卖力人和关键岗位的职员进行安全背景审查，加强干系职员培训。审查时，可以申请公安机关、国家安全机关帮忙。
第三十一条 主要数据的处理者供应、委托处理、共同处理主要数据前，应该进行风险评估，但是属于履行法定职责或者法定义务的除外。
风险评估应该重点评估下列内容：
（一）供应、委托处理、共同处理网络数据，以及网络数据吸收方处理网络数据的目的、办法、范围等是否合法、正当、必要；
（二）供应、委托处理、共同处理的网络数据遭到修改、毁坏、透露或者造孽获取、造孽利用的风险，以及对国家安全、公共利益或者个人、组织合法权柄带来的风险；
（三）网络数据吸收方的诚信、遵法等情形；
（四）与网络数据吸收方订立或者制定立的干系条约中关于网络数据安全的哀求能否有效约束网络数据吸收方履行网络数据安全保护责任；
（五）采纳或者拟采纳的技能和管理方法等能否有效戒备网络数据遭到修改、毁坏、透露或者造孽获取、造孽利用等风险；
（六）有关主管部门规定的其他评估内容。
第三十二条 主要数据的处理者因合并、分立、终结、破产等可能影响主要数据安全的，应该采纳方法保障网络数据安全，并向省级以上有关主管部门报告主要数据处置方案、吸收方的名称或者姓名和联系办法等；主管部门不明确的，应该向省级以上数据安全事情折衷机制报告。
第三十三条 主要数据的处理者应该每年度对其网络数据处理活动开展风险评估，并向省级以上有关主管部门报送风险评估报告，有关主管部门应该及时通报同级网信部门、公安机关。
风险评估报告应该包括下列内容：
（一）网络数据处理者基本信息、网络数据安全管理机构信息、网络数据安全卖力人姓名和联系办法等；
（二）处理主要数据的目的、种类、数量、办法、范围、存储期限、存储地点等，开展网络数据处理活动的情形，不包括网络数据内容本身；
（三）网络数据安全管理制度及履行情形，加密、备份、标签标识、访问掌握、安全认证等技能方法和其他必要方法及其有效性；
（四）创造的网络数据安全风险，发生的网络数据安全事宜及处置情形；
（五）供应、委托处理、共同处理主要数据的风险评估情形；
（六）网络数据出境情形；
（七）有关主管部门规定的其他报告内容。
处理主要数据的大型网络平台做事供应者报送的风险评估报告，除包括前款规定的内容外，还应该充分解释关键业务和供应链网络数据安全等情形。
主要数据的处理者存在可能危害国家安全的主要数据处理活动的，省级以上有关主管部门应该责令其采纳整改或者停滞处理主要数据等方法。主要数据的处理者应该按照有关哀求立即采纳方法。
第五章 网络数据跨境安全管理
第三十四条 国家网信部门统筹折衷有关部门建立国家数据出境安全管理专项事情机制，研究制订国家网络数据出境安全管理干系政策，折衷处理网络数据出境安全重大事变。
第三十五条 符合下列条件之一的，网络数据处理者可以向境外供应个人信息：
（一）通过国家网信部门组织的数据出境安全评估；
（二）按照国家网信部门的规定经专业机构进行个人信息保护认证；
（三）符合国家网信部门制订的关于个人信息出境标准条约的规定；
（四）为订立、履行个人作为一方当事人的条约，确需向境外供应个人信息；
（五）按照依法制订的劳动规章制度和依法签订的集体条约履行跨境人力资源管理，确需向境外供应员工个人信息；
（六）为履行法定职责或者法定义务，确需向境外供应个人信息；
（七）紧急情形下为保护自然人的生命康健和财产安全，确需向境外供应个人信息；
（八）法律、行政法规或者国家网信部门规定的其他条件。
第三十六条 中华公民共和国缔结或者参加的国际条约、协定对向中华公民共和国境外供应个人信息的条件等有规定的，可以按照其规定实行。
第三十七条 网络数据处理者在中华公民共和国境内运营中网络和产生的主要数据确需向境外供应的，应该通过国家网信部门组织的数据出境安全评估。网络数据处理者按照国家有关规定识别、报告主要数据，但未被干系地区、部门奉告或者公开拓布为主要数据的，不须要将其作为主要数据报告数据出境安全评估。
第三十八条 通过数据出境安全评估后，网络数据处理者向境外供应个人信息和主要数据的，不得超出评估时明确的数据出境目的、办法、范围和种类、规模等。
第三十九条 国家采纳方法，戒备、处置网络数据跨境安全风险和威胁。任何个人、组织不得供应专门用于毁坏、避开技能方法的程序、工具等；明知他人从事毁坏、避开技能方法等活动的，不得为其供应技能支持或者帮助。
第六章 网络平台做事供应者责任
第四十条 网络平台做事供应者应该通过平台规则或者合同等明确接入其平台的第三方产品和做事供应者的网络数据安全保护责任，督匆匆第三方产品和做事供应者加强网络数据安全管理。
预装运用程序的智能终端等设备生产者，适用前款规定。
第三方产品和做事供应者违反法律、行政法规的规定或者平台规则、条约约定开展网络数据处理活动，对用户造成危害的，网络平台做事供应者、第三方产品和做事供应者、预装运用程序的智能终端等设备生产者应该依法承担相应任务。
国家鼓励保险公司开拓网络数据危害赔偿任务险种，鼓励网络平台做事供应者、预装运用程序的智能终端等设备生产者投保。
第四十一条 供应运用程序分发做事的网络平台做事供应者，应该建立运用程序核验规则并开展网络数据安全干系核验。创造待分发或者已分发的运用程序不符合法律、行政法规的规定或者国家标准的逼迫性哀求的，应该采纳警示、不予分发、停息分发或者终止分发等方法。
第四十二条 网络平台做事供应者通过自动化决策办法向个人进行信息推送的，应该设置易于理解、便于访问和操作的个性化推举关闭选项，为用户供应谢绝吸收推送信息、删除针对其个人特色的用户标签等功能。
第四十三条 国家推进网络身份认证公共做事培植，按照政府勾引、用户志愿原则进行推广运用。
鼓励网络平台做事供应者支持用户利用国家网络身份认证公共做事登记、核验真实身份信息。
第四十四条 大型网络平台做事供应者应该每年度发布个人信息保护社会任务报告，报告内容包括但不限于个人信息保护方法和成效、个人行使权利的申请受理情形、紧张由外部成员组成的个人信息保护监督机构履行职责情形等。
第四十五条 大型网络平台做事供应者跨境供应网络数据，应该遵守国家数据跨境安全管理哀求，健全干系技能和管理方法，戒备网络数据跨境安全风险。
第四十六条 大型网络平台做事供应者不得利用网络数据、算法以及平台规则等从事下列活动：
（一）通过误导、敲诈、胁迫等办法处理用户在平台上产生的网络数据；
（二）无正当情由限定用户访问、利用其在平台上产生的网络数据；
（三）对用户履行不合理的差别报酬，危害用户合法权柄；
（四）法律、行政法规禁止的其他活动。
第七章 监督管理
第四十七条 国家网信部门卖力统筹折衷网络数据安全和干系监督管理事情。
公安机关、国家安全机关依照有关法律、行政法规和本条例的规定，在各自职责范围内承担网络数据安全监督管理职责，依法戒备和打击危害网络数据安全的违法犯罪活动。
国家数据管理部门在详细承担数据管理事情中履行相应的网络数据安全职责。
各地区、各部门对本地区、本部门事情中网络和产生的网络数据及网络数据安全卖力。
第四十八条 各有关主管部门承担本行业、本领域网络数据安全监督管理职责，应该明确本行业、本领域网络数据安全保护事情机构，统筹制订并组织履行本行业、本领域网络数据安全事宜应急预案，定期组织开展本行业、本领域网络数据安全风险评估，对网络数据处理者履行网络数据安全保护责任情形进行监督检讨，辅导督匆匆网络数据处理者及时对存在的风险隐患进行整改。
第四十九条 国家网信部门统筹折衷有关主管部门及时汇总、研判、共享、发布网络数据安全风险干系信息，加强网络数据安全信息共享、网络数据安全风险和威胁监测预警以及网络数据安全事宜应急处置事情。
第五十条 有关主管部门可以采纳下列方法对网络数据安全进行监督检讨：
（一）哀求网络数据处理者及其干系职员就监督检讨事变作出解释；
（二）查阅、复制与网络数据安全有关的文件、记录；
（三）检讨网络数据安全方法运行情形；
（四）检讨与网络数据处理活动有关的设备、物品；
（五）法律、行政法规规定的其他必要方法。
网络数据处理者应该对有关主管部门依法开展的网络数据安全监督检讨予以合营。
第五十一条 有关主管部门开展网络数据安全监督检讨，应该客不雅观公道，不得向被检讨单位收取用度。
有关主管部门在网络数据安全监督检讨中不得访问、网络与网络数据安全无关的业务信息，获取的信息只能用于掩护网络数据安全的须要，不得用于其他用场。
有关主管部门创造网络数据处理者的网络数据处理活动存在较大安全风险的，可以按照规定的权限和程序哀求网络数据处理者停息干系做事、修正平台规则、完善技能方法等，肃清网络数据安全隐患。
第五十二条 有关主管部门在开展网络数据安全监督检讨时，应该加强协同合营、信息沟通，合理确定检讨频次和检讨办法，避免不必要的检讨和交叉重复检讨。
个人信息保护合规审计、主要数据风险评估、主要数据出境安全评估等应该加强衔接，避免重复评估、审计。主要数据风险评估和网络安全等级测评的内容重合的，干系结果可以相互采信。
第五十三条 有关主管部门及其事情职员对在履行职责中知悉的个人隐私、个人信息、商业秘密、保密商务信息等网络数据应该依法予以保密，不得透露或者造孽向他人供应。
第五十四条 境外的组织、个人从事危害中华公民共和国国家安全、公共利益，或者侵害中华公民共和国公民的个人信息权柄的网络数据处理活动的，国家网信部门会同有关主管部门可以依法采纳相应的必要方法。
第八章 法律任务
第五十五条 违反本条例第十二条、第十六条至第二十条、第二十二条、第四十条第一款和第二款、第四十一条、第四十二条规定的，由网信、电信、公安等主管部门依据各自职责责令改正，给予警告，没收违法所得；拒不改正或者情节严重的，处100万元以下罚款，并可以责令停息干系业务、停业整顿、吊销干系业务容许证或者吊销业务执照，对直接卖力的主管职员和其他直接任务职员可以处1万元以上10万元以下罚款。
第五十六条 违反本条例第十三条规定的，由网信、电信、公安、国家安全等主管部门依据各自职责责令改正，给予警告，可以并处10万元以上100万元以下罚款，对直接卖力的主管职员和其他直接任务职员可以处1万元以上10万元以下罚款；拒不改正或者情节严重的，处100万元以上1000万元以下罚款，并可以责令停息干系业务、停业整顿、吊销干系业务容许证或者吊销业务执照，对直接卖力的主管职员和其他直接任务职员处10万元以上100万元以下罚款。
第五十七条 违反本条例第二十九条第二款、第三十条第二款和第三款、第三十一条、第三十二条规定的，由网信、电信、公安等主管部门依据各自职责责令改正，给予警告，可以并处5万元以上50万元以下罚款，对直接卖力的主管职员和其他直接任务职员可以处1万元以上10万元以下罚款；拒不改正或者造成大量数据透露等严重后果的，处50万元以上200万元以下罚款，并可以责令停息干系业务、停业整顿、吊销干系业务容许证或者吊销业务执照，对直接卖力的主管职员和其他直接任务职员处5万元以上20万元以下罚款。
第五十八条 违反本条例其他有关规定的，由有关主管部门依照《中华公民共和国网络安全法》、《中华公民共和国数据安全法》、《中华公民共和国个人信息保护法》等法律的有关规定深究法律任务。
第五十九条 网络数据处理者存在主动肃清或者减轻违法行为危害后果、违法行为轻微并及时改正且没有造成危害后果或者初次违法且危害后果轻微并及时改正等环境的，依照《中华公民共和国行政惩罚法》的规定从轻、减轻或者不予行政惩罚。
第六十条 国家机关不履行本条例规定的网络数据安全保护责任的，由其上级机关或者有关主管部门责令改正；对直接卖力的主管职员和其他直接任务职员依法给予处罚。
第六十一条 违反本条例规定，给他人造成危害的，依法承担民事任务；构成违反治安管理行为的，依法给予治安管理惩罚；构成犯罪的，依法深究刑事任务。
第九章 附则
第六十二条 本条例下列用语的含义：
（一）网络数据，是指通过网络处理和产生的各种电子数据。
（二）网络数据处理活动，是指网络数据的网络、存储、利用、加工、传输、供应、公开、删除等活动。
（三）网络数据处理者，是指在网络数据处理活动中自主决定处理目的和处理办法的个人、组织。
（四）主要数据，是指特定领域、特定群体、特定区域或者达到一定精度和规模，一旦遭到修改、毁坏、透露或者造孽获取、造孽利用，可能直接危害国家安全、经济运行、社会稳定、公共康健和安全的数据。
（五）委托处理，是指网络数据处理者委托个人、组织按照约定的目的和办法开展的网络数据处理活动。
（六）共同处理，是指两个以上的网络数据处理者共同决定网络数据的处理目的和处理办法的网络数据处理活动。
（七）单独赞许，是指个人针对其个人信息进行特定处理而专门作出详细、明确的赞许。
（八）大型网络平台，是指注册用户5000万以上或者月生动用户1000万以上，业务类型繁芜，网络数据处理活动对国家安全、经济运行、国计民生等具有主要影响的网络平台。
第六十三条 开展核心数据的网络数据处理活动，按照国家有关规定实行。
自然人因个人或者家庭事务处理个人信息的，不适用本条例。
开展涉及国家秘密、事情秘密的网络数据处理活动，适用《中华公民共和国守旧国家秘密法》等法律、行政法规的规定。
第六十四条 本条例自2025年1月1日起施行。
