網(wǎng)絡(luò)數(shù)據(jù)安全管理新規(guī)解讀課件

網(wǎng)絡(luò)數(shù)據(jù)安全管理新規(guī)解讀匯報(bào)人：XXX前言主要內(nèi)容解讀13目錄3適用范圍01前言前言

2024年9月30日,網(wǎng)絡(luò)數(shù)據(jù)安全管理新規(guī)正式公布,于2025年1月1日起正式施行。自網(wǎng)信辦于2021年11月公布征求意見稿以來(lái),新規(guī)經(jīng)歷3年的等待終于“靴子落地”。其出臺(tái)標(biāo)志著我國(guó)網(wǎng)絡(luò)安全與數(shù)據(jù)領(lǐng)域的合規(guī)監(jiān)管逐漸成熟,并將正式邁入新的階段。02適用范圍適用范圍適用范圍

其適用于“網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng)”和“網(wǎng)絡(luò)數(shù)據(jù)處理者”。03內(nèi)容解讀內(nèi)容解讀

內(nèi)容基本承襲了“數(shù)據(jù)三法”的框架,但其中對(duì)于“數(shù)據(jù)三法”進(jìn)行重申或補(bǔ)充的部分,很可能成為未來(lái)監(jiān)管部門關(guān)注和執(zhí)法的重點(diǎn):

(一)爬蟲與AIGC

1.規(guī)范使用爬蟲等自動(dòng)化采集工具對(duì)于使用爬蟲等自動(dòng)化采集工具訪問(wèn)、收集網(wǎng)絡(luò)數(shù)據(jù)的熱門場(chǎng)景,繼今年5月從反不正當(dāng)競(jìng)爭(zhēng)角度提出監(jiān)管要求后,新規(guī)進(jìn)一步從網(wǎng)絡(luò)數(shù)據(jù)安全角度新增兩項(xiàng)義務(wù)——第18條對(duì)網(wǎng)絡(luò)數(shù)據(jù)處理者新增了評(píng)估影響的義務(wù)、第24條則新增了合規(guī)處置特殊個(gè)人信息的義務(wù)。(一)爬蟲與AIGC

2.加強(qiáng)管理AIGC訓(xùn)練數(shù)據(jù)及其處理活動(dòng)

對(duì)于時(shí)興的生成式人工智能(AIGC),繼去年7月發(fā)布的《生成式人工智能服務(wù)管理暫行辦法》,新規(guī)第19條首次對(duì)訓(xùn)練數(shù)據(jù)提出安全管理要求——提供AIGC的網(wǎng)絡(luò)數(shù)據(jù)處理者應(yīng)加強(qiáng)對(duì)訓(xùn)練數(shù)據(jù)及其處理活動(dòng)的安全管理,采取有效措施防范和處置網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)。(二)網(wǎng)絡(luò)平臺(tái)服務(wù)

1.加強(qiáng)對(duì)接入平臺(tái)的第三方產(chǎn)品/服務(wù)提供者的監(jiān)督

《第40條強(qiáng)調(diào)網(wǎng)絡(luò)平臺(tái)服務(wù)者對(duì)接入其平臺(tái)的第三方產(chǎn)品和服務(wù)提供者具有監(jiān)督義務(wù)并負(fù)有相應(yīng)連帶責(zé)任:

應(yīng)通過(guò)平臺(tái)規(guī)則或者合同等明確接入其平臺(tái)的第三方產(chǎn)品和服務(wù)提供者的網(wǎng)絡(luò)數(shù)據(jù)安全保護(hù)義務(wù)應(yīng)督促第三方產(chǎn)品和服務(wù)提供者加強(qiáng)網(wǎng)絡(luò)數(shù)據(jù)安全管理(如因該第三方違法違規(guī)或違約開展網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng),對(duì)用戶造成損害的,網(wǎng)絡(luò)平臺(tái)服務(wù)提供者與該第三方產(chǎn)品和服務(wù)提供者將承擔(dān)相應(yīng)責(zé)任)

此外,該條款還特別強(qiáng)調(diào)“預(yù)裝應(yīng)用程序的智能終端等設(shè)備生產(chǎn)者”同樣需適用上述規(guī)定。注意，涉及生產(chǎn)智能家電、醫(yī)療化工器械(例如,檢測(cè)儀預(yù)裝分析程序)等設(shè)備的企業(yè)也應(yīng)予以注意,及時(shí)更新相應(yīng)合作協(xié)議、加強(qiáng)監(jiān)督工作,還可考慮投保網(wǎng)絡(luò)數(shù)據(jù)損害賠償相關(guān)責(zé)任險(xiǎn)種。(二)網(wǎng)絡(luò)平臺(tái)服務(wù)

2. “大型網(wǎng)絡(luò)平臺(tái)”的認(rèn)定和義務(wù)

首次從行政法規(guī)層面明確了“大型網(wǎng)絡(luò)平臺(tái)”的量化標(biāo)準(zhǔn)。此外,尚未明確企業(yè)是需要自行開展認(rèn)定,還是后續(xù)會(huì)由主管部門公布相應(yīng)名單。(二)網(wǎng)絡(luò)平臺(tái)服務(wù)

如企業(yè)初步判斷認(rèn)定其服務(wù)涉及大型網(wǎng)絡(luò)平臺(tái),則需注意新增義務(wù):

每年度發(fā)布《個(gè)人信息保護(hù)社會(huì)責(zé)任報(bào)告》(說(shuō)明個(gè)人信息保護(hù)措施和成效、個(gè)人行使權(quán)利的申請(qǐng)受理情況、主要由外部成員組成的個(gè)人信息保護(hù)監(jiān)督機(jī)構(gòu)履行職責(zé)情況等內(nèi)容)；

跨境提供網(wǎng)絡(luò)數(shù)據(jù)的,應(yīng)遵守國(guó)家數(shù)據(jù)跨境安全監(jiān)管要求；

不得利用網(wǎng)絡(luò)數(shù)據(jù)、算法以及平臺(tái)規(guī)則等損害用戶合法權(quán)益；

處理重要數(shù)據(jù)的,還應(yīng)在其年度風(fēng)險(xiǎn)評(píng)估報(bào)告充分說(shuō)明關(guān)鍵業(yè)務(wù)和供應(yīng)鏈網(wǎng)絡(luò)數(shù)據(jù)安全等情況。(三)個(gè)人信息保護(hù)

1.啟動(dòng)個(gè)人信息合規(guī)審計(jì)準(zhǔn)備工作

個(gè)信法要求個(gè)人信息處理者定期開展合規(guī)審計(jì),第27條從行政法規(guī)層面對(duì)網(wǎng)絡(luò)數(shù)據(jù)處理者重申這一要求,并明確了審計(jì)的開展方式——“自行或者委托專業(yè)機(jī)構(gòu)”。結(jié)合去年公布的意見稿)、今年7月公布的國(guó)家標(biāo)準(zhǔn)個(gè)人信息保護(hù)合規(guī)審計(jì)要求意見稿),這進(jìn)一步預(yù)示個(gè)人信息審計(jì)相關(guān)法律或標(biāo)準(zhǔn)即將正式出臺(tái)。(三)個(gè)人信息保護(hù)

2.指定境內(nèi)專門機(jī)構(gòu)/指定代表并報(bào)送信息(僅限境外企業(yè))

對(duì)于在中國(guó)境外處理中國(guó)境內(nèi)個(gè)人信息的企業(yè)而言,新規(guī)第26條重申了個(gè)信息法下境外個(gè)人信息處理者在境內(nèi)設(shè)立專門機(jī)構(gòu)或指定代表的信息報(bào)送要求,進(jìn)一步明確報(bào)送對(duì)象為“所在地設(shè)區(qū)的市級(jí)網(wǎng)信”,并要求“網(wǎng)信部門應(yīng)當(dāng)及時(shí)通報(bào)同級(jí)有關(guān)主管部門”。(三)個(gè)人信息保護(hù)

3.完善個(gè)人信息轉(zhuǎn)移請(qǐng)求配套機(jī)制

第25條首次明確了個(gè)人行使其個(gè)信保護(hù)法下“轉(zhuǎn)移權(quán)”的具體條件,很有可能增加用戶請(qǐng)求企業(yè)轉(zhuǎn)移其個(gè)人信息的頻次。(三)個(gè)人信息保護(hù)

4.處理1000萬(wàn)人以上個(gè)人信息的企業(yè)

第28條要求處理1000萬(wàn)人以上個(gè)人信息的網(wǎng)絡(luò)數(shù)據(jù)處理者應(yīng)當(dāng)參照遵守重要數(shù)據(jù)處理者的部分義務(wù)。這意味著首次在一般法規(guī)的層面,將滿足一定數(shù)量級(jí)的個(gè)人信息界定為重要數(shù)據(jù)。

根據(jù)目前的規(guī)定,其他有關(guān)重要數(shù)據(jù)的義務(wù)暫時(shí)不適用于處理1000萬(wàn)以上個(gè)人信息的企業(yè),例如專項(xiàng)風(fēng)險(xiǎn)評(píng)估和年度風(fēng)險(xiǎn)評(píng)估和報(bào)送(但個(gè)人信息的提供、委托處理和共同處理在現(xiàn)行法律下也需要進(jìn)行安全影響評(píng)估)。(四) 重要數(shù)據(jù)

1.及時(shí)識(shí)別并申報(bào)重要數(shù)據(jù)

第29條重申了數(shù)安法有關(guān)部門制定重要數(shù)據(jù)目錄的內(nèi)容,并且繼《促進(jìn)和規(guī)范數(shù)據(jù)跨境流動(dòng)規(guī)定》后再次強(qiáng)調(diào)網(wǎng)絡(luò)數(shù)據(jù)處理者識(shí)別、申報(bào)重要數(shù)據(jù)的義務(wù)。重要數(shù)據(jù)的識(shí)別無(wú)疑是后續(xù)合規(guī)義務(wù)履行的基石。由于數(shù)安法、網(wǎng)安法均無(wú)重要數(shù)據(jù)的定義,數(shù)據(jù)出境安全評(píng)估辦法、汽車數(shù)據(jù)安全管理若干規(guī)定(試行)以及國(guó)家標(biāo)準(zhǔn)《數(shù)據(jù)安全技術(shù)數(shù)據(jù)分類分級(jí)規(guī)則》曾在實(shí)踐中起重要參考作用。(四) 重要數(shù)據(jù)

2.重要數(shù)據(jù)專項(xiàng)風(fēng)險(xiǎn)評(píng)估

第31條新增了重要數(shù)據(jù)的“專項(xiàng)風(fēng)險(xiǎn)評(píng)估”要求——除履行法定職責(zé)或者法定義務(wù)外,重要數(shù)據(jù)的處理者應(yīng)當(dāng)在提供、委托處理、共同處理重要數(shù)據(jù)前進(jìn)行風(fēng)險(xiǎn)評(píng)估(對(duì)比而言,個(gè)人信息的影響評(píng)估還包括處理敏感個(gè)人信息和數(shù)據(jù)出境。但由于重要數(shù)據(jù)本身均屬于“敏感數(shù)據(jù)”,且其出境需要經(jīng)過(guò)安全評(píng)估。重點(diǎn)評(píng)估內(nèi)容包括:

(四) 重要數(shù)據(jù)

3.重要數(shù)據(jù)處理者的年度風(fēng)險(xiǎn)評(píng)估與報(bào)送

對(duì)于處理重要數(shù)據(jù)的網(wǎng)絡(luò)數(shù)據(jù)處理者,第33條新增了“年度風(fēng)險(xiǎn)評(píng)估”與報(bào)送要求:

(五)

網(wǎng)絡(luò)數(shù)據(jù)跨境

1. 個(gè)人信息出境路徑的拓寬

不僅重申了個(gè)信法下的個(gè)人信息出境路徑,更從行政法規(guī)層面將《促進(jìn)和規(guī)范數(shù)據(jù)跨境流動(dòng)規(guī)定》規(guī)定的3種豁免條件確立為出境路徑。(五)

網(wǎng)絡(luò)數(shù)據(jù)跨境

2.數(shù)據(jù)出境安全評(píng)估時(shí)需明確出境規(guī)模

此前數(shù)據(jù)出境安全評(píng)估辦法規(guī)定,如數(shù)據(jù)處理者出境數(shù)據(jù)的目的、方式、范圍與種類發(fā)生變化的,則需重新申報(bào)數(shù)據(jù)出境安全評(píng)估。

對(duì)此,進(jìn)一步增加了對(duì)“規(guī)?！钡南拗茥l件。即,要求網(wǎng)絡(luò)數(shù)據(jù)處理者僅能按照其已通過(guò)數(shù)據(jù)出境安全評(píng)估的出境目的、方式、范圍和種類、規(guī)模等向境外提供個(gè)人信息和重要數(shù)據(jù)。(六)

網(wǎng)絡(luò)數(shù)據(jù)安全事件應(yīng)對(duì)

1.24小時(shí)內(nèi)上報(bào)網(wǎng)絡(luò)產(chǎn)品重大風(fēng)險(xiǎn)

第10條新增有關(guān)網(wǎng)絡(luò)產(chǎn)品或服務(wù)危害國(guó)安、公共利益的上報(bào)要求——當(dāng)網(wǎng)絡(luò)數(shù)據(jù)處理者發(fā)現(xiàn)其提供的網(wǎng)絡(luò)產(chǎn)品、服務(wù)涉及危害國(guó)安、公共利益時(shí),其應(yīng)在24小時(shí)內(nèi)報(bào)告。(六)

網(wǎng)絡(luò)數(shù)據(jù)安全事件應(yīng)對(duì)

2.網(wǎng)絡(luò)數(shù)據(jù)安全事件的上報(bào)與通知義務(wù)

第11條重申了數(shù)安法、網(wǎng)安法中網(wǎng)絡(luò)安全事件的上報(bào)義務(wù),要求網(wǎng)絡(luò)數(shù)據(jù)局處理者在發(fā)生網(wǎng)絡(luò)數(shù)據(jù)安全事件時(shí)“按照規(guī)定向有關(guān)主管部門報(bào)告”。

此外,第11條還新增了網(wǎng)絡(luò)數(shù)據(jù)安全事件的通知義務(wù)——除法律、行政法規(guī)另有規(guī)定外,當(dāng)網(wǎng)絡(luò)數(shù)據(jù)安全事件對(duì)個(gè)人、組織合法權(quán)益造成危害時(shí),網(wǎng)絡(luò)數(shù)據(jù)處理者應(yīng)及時(shí)以特定方式將特定內(nèi)容通知利害關(guān)系人。(七)

監(jiān)管減負(fù)

為合理銜接此前網(wǎng)絡(luò)安全與數(shù)據(jù)合規(guī)領(lǐng)域的既