数据合规︱个人信息权益保护细化 网络平台责任再加强 ——《网络数据安全管理条例》要点解读

一、 加强保护个人信息权益

我国自2017年起陆续施行《网络安全法》、《数据安全法》和《个人信息保护法》，对保障网络安全、维护数据安全和保护个人信息权益等方面作了基本规定。2021年11月《网络数据安全管理条例（征求意见稿）》向社会公开征求意见。本次《条例》历时近3年正式予以公布，就个人信息权益保护方面的告知义务、同意权利和个人信息转移等方面进行了细化规定。

（一）细化个人信息处理规则的告知、公示内容。

《条例》在《个人信息保护法》要求处理个人信息前需要提前告知的基础上，进一步细化明确了信息处理者制定个人信息处理规则的具体内容、展示方式。此次《条例》以列举方式列明个人信息权益包括但不限于查阅、复制、转移、更正、补充、删除、限制处理以及注销、撤回同意等内容。《条例》还强调了对于不满十四周岁未成年人应当制定专门的个人信息处理规则，这一规定与2024年1月施行的《未成年人网络保护条例》中对于未成年人个人信息权益的网络保护要求是相一致的。

（二）规范数据处理机制。

《条例》规定数据处理者在提供、委托数据接收方处理个人信息和重要数据时，应当书面形式进行事前约定，且在履行过程中数据处理提供方有明确的监督义务。在《个人信息保护法》中就曾原则性地规定了信息处理者应当告知个人可以依据该法规定行使权利，但并没有细化具体的方式和程序，此次《条例》细化了基于个人同意前提下，个人信息在个人行使信息查阅、复制、更正、补充、删除等个人信息权利时，对于个人授权同意个人信息处理者处理个人信息时，规定可以行使权利方式和程序。同时，《条例》明确了境外数据处理者处理境内自然人个人信息时，其境内设立机构或指定代报送相关材料手续的职责部门。此外，《条例》还明确了网络数据处理者进行个人信息转移的条件和安全保护义责任。

（三） 对处理个人信息数量划分标准有新规定。

在2024年3月实施的《促进和规范数据跨境流动规定》中已经明确规定，数据处理者在向境外提供境内个人信息数据时有相对严格的安全责任，除了重要数据和关键信息基础设施运营者外，一般数据处理者主要按照自然年度累计传输的信息数量为标准划分不同的安全责任要求，或申报数据出境安全评估，或订立个人信息处境标准合同，或通过个人信息保护认证等。此次《条例》还明确了数据处理者处理1000万人以上个人信息的，应当遵守重要数据处理者的相关安全保护责任。在此之前，我国对于重要数据的认定并没有具体数量的划分标准，此次《条例》这一数量标准的明确，填补了企业难以自行判断是否符合适用重要数据处理者规定的空白。对没有向境外传输数据需求但涉及境内大量处理个人信息达到一定规模的数据处理者而言，即使不属于网络平台服务提供者，也应当严格根据重要数据处理者的管理要求履行网络数据安全保护的责任。因此，符合《条例》规定的个人信息数据处理者、经营者，需要尽快自查数据合规风险评估，加强数据安全保护责任。

网络平台在促进数字经济发展、优化公共服务方面发挥着重要作用，网络平台服务提供者不仅面向个人和组织机构，还可能需要为政府部门提供服务，如果网络平台利用自身优势滥用数据，不履行数据安全保护职责，将引发重大数据安全问题，所以明确网络平台服务提供者的安全保护义务和职责刻不容缓。

一是明确适用网络平台数据安全管理义务的范围。根据《条例》规定，不仅网络平台服务提供者需要根据规定通过平台规则明确网络安全保护义务，还应当督促平台的第三方产品和服务提供者在接入平台时，遵守平台规则要求的或者合同条款约定的安全保护义务，对于预装应用程序的智能终端等设备生产者等也应当加强网络安全管理义务。

二是规定了大型网络平台额外的数据安全保护义务。根据《条例》定义，注册用户5000万以上或者月活跃用户1000万以上的网络平台，业务类型负责，对国家安全、经济运行和国计民生等既有重要影响的，属于大型网络平台。对于大型网络平台，如果处理的数据属于重要数据，不仅需要遵守网络平台服务提供者需要遵守一般网络平台的数据安全保护责任，还需要遵守重要数据安全管理的要求，例如，根据《条例》规定，担任处理重要数据的网络平台，担任数据安全负责人职位的，不能是公司普通员工，而是需要具备网络数据安全相关的专业知识和工作经历背景，还应当属于管理层成员；对于特定种类、规模的重要数据处理者还需要接受安全背景审查等。同时，对于处理重要数据的网络平台还需要履行每年度的风险评估并报送相关监管部门。

三是进一步扩大网络平台发布社会责任报告涵盖的内容。在《未成年人网络保护条例》^[3]中规定，网络平台服务提供者应当建立健全未成年人网络保护合规制度体系，每年发布专门的未成年人网络保护社会责任报告。 此次《条例》将网络平台发布网络保护社会责任报告涵盖的范围内容进一步扩大，通过社会的监督，加强网络平台对网络数据安全保护责任的重视程度。

《条例》将于2025年1月1日正式施行，在生效前的过渡时期，数商企业尤其是网络平台服务提供者、经营者，应当根据《条例》要求，自查、评估企业现有的数据合规管理情况，针对具体要求进行完善和细化数据安全管理活动。

首先，建立和完善确权体系。无论是数据处理委托方还是数据处理接收方，作为数据处理者，应当根据《条例》要求，建立数据安全管理制度，制定操作规程和安全事件应急预案。开展项目合作前，做好可行性数据合规评估，通过合同等书面形式明确约定数据流转各方之间的权利义务，并确保及时跟进数据接收方数据安全保护义务的履行情况。此外，根据《条例》的细化要求，企业还需要实际情况完善个人信息权益行使及响应机制、个人信息保护合规审计、重要数据风险评估、自动化等相关数据合规管理活动。

其次，规范数据处理机制。根据《条例》要求，虽然明确了数据处理者在收集、使用、传输、提供、删除等数据处理活动中的适用标准和强制性要求，但是也通过以行业制定、行业自律、合同约定、自行制定处理规则公示告知、自行制定平台规则等方式，给企业更多的自主权，使企业可以结合数据处理活动的实际情况，制定符合自身需求的数据安全管理制度。同时通过报送、发布社会责任报告等形式，强化企业与主管部门、企业与个人之间的监管联系和纽带。

数据信息安全关乎国家、社会和个人的切身利益，在数字经济快速发展的时代，企业在开展数据处理活动时必须确保以安全、合法、合规为前提。《条例》的出台完善了网络信息数据处理的安全管理要求，明确了数字经济活动中各方的权利和数据安全保护责任，也为进一步激发数据要素活力，保障和促进数字经济的高质量发展指明了方向，为加快数据资源开发利用提供了合规管理依据。