ARTICLES
專業(yè)文章
關(guān)于《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例（征求意見稿）》的三十四個核心問題（下）
在上篇中，我們對《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例（征求意見稿）》（下稱"《數(shù)安條例》"中的部分核心問題進行了解答。下篇中我們將繼續(xù)對《數(shù)安條例》的相關(guān)探索，以期幫助企業(yè)進一步理清法規(guī)的重要內(nèi)容。
?
關(guān)于數(shù)據(jù)跨境
?
21、哪些情況下，個人信息跨境提供無需簽訂標準合同、獲得認證或者通過安全評估？
?
根據(jù)《數(shù)安條例》第三十五條第二款，以下兩種情形無需履行《個人信息保護法》（下稱"《個保法》"）第三十八條設(shè)定的個人信息跨境傳輸合法路徑：
?
1) 為訂立、履行個人作為一方當事人的合同所必需向境外提供個人信息；
2) 為了保護個人生命健康和財產(chǎn)安全而必須向境外提供個人信息；
?
其中，對于為訂立、履行合同所必需而向境外提供個人信息的場景可見于跨境網(wǎng)購、與境外證券公司開展交易等境內(nèi)個人直接與境外處理者發(fā)生個人信息傳輸?shù)膱鼍?，根?jù)《數(shù)安條例》，此等場景無需再履行《個保法》第三十八條設(shè)定的個人信息跨境傳輸合法路徑。
?
我們理解，這可能由于此等場景下境外處理者將直接根據(jù)《個保法》第三條第二款構(gòu)成《個保法》項下的義務(wù)主體（進而需滿足個人信息處理者的一系列要求），據(jù)此無需再以跨境傳輸?shù)暮戏窂綄惩鈹?shù)據(jù)處理者的數(shù)據(jù)安全能力等予以重復(fù)規(guī)制。
?
22、哪些主體需要通過國家網(wǎng)信部門組織的數(shù)據(jù)出境安全評估？
?
|
主體 |
跨境傳輸數(shù)據(jù)類型 |
法律依據(jù) |
|
數(shù)據(jù)處 理者 |
重要數(shù)據(jù) |
《網(wǎng)絡(luò)安全法》（下稱"《網(wǎng)安法》"）第三十七條 《個保法》第四十條 《數(shù)據(jù)出境安全評估辦法（征求意見稿）》第四條 《數(shù)安條例》第三十七條 |
|
累計向境外提供超過十萬人以上個人信息或者一萬人以上敏感個人信息 |
||
|
關(guān)鍵信息基礎(chǔ)設(shè)施運營者（"CIIO"）＆處理100萬人以上個人信息的數(shù)據(jù)處理者 |
個人信息 |
|
|
國家網(wǎng)信部門規(guī)定的其他情形 |
||
?
23、向境外提供數(shù)據(jù)的具體義務(wù)有哪些？
?
|
序號 |
個人信息 |
重要數(shù)據(jù) |
法律依據(jù) |
|
1 |
在報送網(wǎng)信部門的個人信息保護影響評估報告中所明確的目的、范圍、方式和數(shù)據(jù)類型、規(guī)模內(nèi)向境外提供 |
N/A |
《數(shù)安條例》第三十九條 *《個保法》第五十五條僅規(guī)定個人信息處理者在跨境傳輸前的個人信息保護影響評估義務(wù)，但此等義務(wù)內(nèi)容尚未明確應(yīng)向網(wǎng)信部門報送，故《數(shù)安條例》規(guī)定的本項義務(wù)有待進一步觀察。 |
|
2 |
在網(wǎng)信部門安全評估所明確的出境目的、范圍、方式和數(shù)據(jù)類型、規(guī)模等向境外提供 |
《數(shù)安條例》第三十九條 *見上第2問關(guān)于安全評估的要求。 |
|
|
3 |
采取合同等有效措施監(jiān)督數(shù)據(jù)接收方按照雙方約定的目的、范圍、方式使用數(shù)據(jù) |
《數(shù)安條例》第三十九條 《個保法》第三十八條第三款 《數(shù)據(jù)出境安全評估辦法（征求意見稿）》第九條 |
|
|
4 |
接受和處理數(shù)據(jù)出境所涉及的用戶投訴 |
《數(shù)安條例》第三十九條 《個保法》第六十二條 |
|
|
5 |
依法對因數(shù)據(jù)出境對個人、組織合法權(quán)益或者公共利益造成的損害承擔責任 |
《數(shù)安條例》第三十九條 《數(shù)據(jù)安全法》（"《數(shù)安法》"）第四十六條 |
|
|
6 |
存留相關(guān)日志記錄和數(shù)據(jù)出境審批記錄三年以上 |
《數(shù)安條例》第三十九條 |
|
|
7 |
主管部門核驗向境外提供個人信息和重要數(shù)據(jù)的類型、范圍時，以明文、可讀方式予以展示 |
《數(shù)安條例》第三十九條 |
|
|
8 |
國家網(wǎng)信部門認定不得出境的，應(yīng)停止數(shù)據(jù)出境，并采取有效措施對已出境數(shù)據(jù)的安全予以補救 |
《數(shù)安條例》第三十九條 |
|
|
9 |
個人信息出境后確需再轉(zhuǎn)移的，應(yīng)事先與個人約定再轉(zhuǎn)移的條件，并明確數(shù)據(jù)接收方履行的安全保護義務(wù) |
N/A |
《數(shù)安條例》第三十九條 《個保法》第四十五條 |
|
10 |
非經(jīng)中國主管機關(guān)批準，境內(nèi)的個人、組織不得向外國司法或者執(zhí)法機構(gòu)提供存儲于境內(nèi)的數(shù)據(jù) |
《數(shù)安條例》第三十九條 《數(shù)安法》第三十六條 |
|
|
11 |
每年1月31日前編制數(shù)據(jù)出境安全報告，向設(shè)區(qū)的市級網(wǎng)信部門報告上一年度的數(shù)據(jù)出境情況 |
《數(shù)安條例》第四十條 |
|
|
12 |
建立健全相關(guān)技術(shù)和管理措施 |
《數(shù)安條例》第四十二條 |
|
?
24、什么是數(shù)據(jù)跨境安全網(wǎng)關(guān)？
?
數(shù)據(jù)跨境安全網(wǎng)關(guān)在實踐中又常稱為"防火墻"，《數(shù)安條例》第四十一條系國家首次以立法形式明確了"防火墻"的法律地位。具體而言，數(shù)據(jù)跨境安全網(wǎng)關(guān)是指阻斷訪問境外反動網(wǎng)站和有害信息、防止來自境外的網(wǎng)絡(luò)攻擊、管控跨境網(wǎng)絡(luò)數(shù)據(jù)傳輸、防范偵查打擊跨境網(wǎng)絡(luò)犯罪的重要安全基礎(chǔ)設(shè)施（《數(shù)安條例》第七十三條第（十一）項）。
?
網(wǎng)絡(luò)安全審查
?
25、涉及數(shù)據(jù)處理活動的網(wǎng)絡(luò)安全審查如何啟動？
?
此前網(wǎng)信辦于2021年7月10日發(fā)布了《網(wǎng)絡(luò)安全審查辦法（修訂草案征求意見稿）》（以下稱"《審查辦法》"），其中對于數(shù)據(jù)處理活動規(guī)定了主動申報審查和依職權(quán)啟動審查兩種情形，《數(shù)安條例》第十三條在此基礎(chǔ)上新增了部分場景，具體請見下表：
|
審查類型 |
數(shù)據(jù)處理活動 |
法律依據(jù) |
|
主動申報 審查 |
(1) 匯聚掌握大量關(guān)系國家安全、經(jīng)濟發(fā)展、公共利益的數(shù)據(jù)資源的互聯(lián)網(wǎng)平臺運營者實施合并、重組、分立，影響或者可能影響國家安全的（新增）； (2) 處理一百萬人以上個人信息的數(shù)據(jù)處理者赴國外上市的； (3) 數(shù)據(jù)處理者赴香港上市，影響或者可能影響國家安全的（新增）； (4) 其他影響或者可能影響國家安全的數(shù)據(jù)處理活動。 |
《數(shù)安條例》第十三條； 《審查辦法》第二條、第六條 |
|
依職權(quán)啟動審查 |
網(wǎng)絡(luò)安全審查工作機制成員單位認為影響或可能影響國家安全的數(shù)據(jù)處理活動以及國外上市行為。 |
《審查辦法》第十六條 |
?
26、國外上市和香港上市在網(wǎng)絡(luò)安全審查方面有區(qū)別嗎？
?
《審查辦法》規(guī)定，"掌握超過100萬用戶個人信息的運營者赴國外上市"應(yīng)主動申報網(wǎng)絡(luò)安全審查，相較于《中華人民共和國證券法》以及國務(wù)院的有關(guān)規(guī)定，此條款并未使用"境外"這一概念，而是使用了"國外"一詞。我們之前的解讀《激活網(wǎng)絡(luò)安全審查制度 筑牢數(shù)據(jù)安全防火墻——〈網(wǎng)絡(luò)安全審查辦法（修訂草案征求意見稿）〉評析》認為，這一特殊安排的用意旨在將赴香港上市排除在本條所規(guī)定的網(wǎng)絡(luò)安全審查的適用范圍。《數(shù)安條例》將"赴國外上市"和"赴香港上市"通過第十三條的第二項和第三項分置規(guī)定，顯然印證了這一理解，即《審查辦法》第六條的適用范圍不包括香港上市。
?
我們理解，《數(shù)安條例》并非在《審查辦法》基礎(chǔ)上對香港上市監(jiān)管加碼，而是法律適用的明確。《數(shù)安法》第二十四條規(guī)定，"國家建立數(shù)據(jù)安全審查制度，對影響或者可能影響國家安全的數(shù)據(jù)處理活動進行國家安全審查。"即，只要數(shù)據(jù)處理活動影響或可能影響國家安全，都會觸發(fā)安全審查，赴港上市行為當然也應(yīng)包括在內(nèi)?！秾彶檗k法》第六條雖然不包括香港上市，但在第二條卻有原則性的要求，即："數(shù)據(jù)處理者開展數(shù)據(jù)處理活動，影響或可能影響國家安全的，應(yīng)當按照本辦法進行網(wǎng)絡(luò)安全審查。"
?
據(jù)此，相較于對國外上市所采取的一刀切的量化標準，赴港上市的網(wǎng)絡(luò)安全審查采取是風險導向的標準，只有確實存在影響或可能影響國家安全的風險，才會觸發(fā)網(wǎng)絡(luò)安全審查。同時，為消除該規(guī)定對香港上市帶來的不確定性，我們也建議監(jiān)管部門盡快制定赴港上市的數(shù)據(jù)風險預(yù)判指南。
?
最后，《數(shù)安條例》第三十二條還規(guī)定赴境外上市的數(shù)據(jù)處理者應(yīng)每年開展數(shù)據(jù)安全評估并向市級網(wǎng)信部門報送的義務(wù)。此為赴國外上市和赴香港上市均需遵循的法定義務(wù)。
?
關(guān)于互聯(lián)網(wǎng)平臺運營者
?
27、互聯(lián)網(wǎng)平臺運營者應(yīng)當制定哪些重要規(guī)則？如何公示？
?
《數(shù)安條例》第四十三條規(guī)定，"互聯(lián)網(wǎng)平臺運營者應(yīng)當建立與數(shù)據(jù)相關(guān)的平臺規(guī)則、隱私政策和算法策略披露制度"，并對相關(guān)規(guī)則提出了具體的公示要求，結(jié)合此前網(wǎng)信辦于2021年8月27日發(fā)布的《互聯(lián)網(wǎng)信息服務(wù)算法推薦管理規(guī)定（征求意見稿）》，相關(guān)要求梳理如下：
|
重要規(guī)則 |
公示要求 |
法律依據(jù) |
|
平臺規(guī)則、隱私政策 |
(1) 制定或者對用戶權(quán)益有重大影響的修訂，應(yīng)當在其官方網(wǎng)站、個人信息保護相關(guān)行業(yè)協(xié)會互聯(lián)網(wǎng)平臺面向社會公開征求意見，征求意見時長不得少于三十個工作日； (2)?日活用戶超過一億的大型互聯(lián)網(wǎng)平臺運營者制定或者對用戶權(quán)益有重大影響的修訂的，應(yīng)當經(jīng)國家網(wǎng)信部門認定的第三方機構(gòu)評估，并報省級及以上網(wǎng)信部門和電信主管部門同意。 |
《數(shù)安條例》第四十三條第二款、第三款 |
|
算法策略披露制度 |
算法推薦服務(wù)提供者應(yīng)當以顯著方式告知用戶其提供算法推薦服務(wù)的情況，并以適當方式公示算法推薦服務(wù)的基本原理、目的意圖、運行機制等。 |
《互聯(lián)網(wǎng)信息服務(wù)算法推薦管理規(guī)定（征求意見稿）》第十四條 |
?
28、互聯(lián)網(wǎng)平臺運營者如何管理接入第三方？
?
《數(shù)安條例》第四十四條強調(diào)通過合同等形式明確第三方的數(shù)據(jù)安全責任義務(wù)，并督促第三方加強數(shù)據(jù)安全管理，采取必要的數(shù)據(jù)安全保護措施。同時，如因第三方產(chǎn)品和服務(wù)對用戶造成損害，互聯(lián)網(wǎng)平臺運營者將可能直接向用戶承擔先行賠償?shù)呢熑?/strong>。此外，對于移動通信終端預(yù)裝第三方產(chǎn)品同樣適用于上述規(guī)定，例如信安標委于2021年11月12日發(fā)布的《移動智能終端預(yù)裝應(yīng)用程序分類方法（征求意見稿）》所規(guī)定的不可卸載應(yīng)用程序和可卸載應(yīng)用程序均可視為上述規(guī)定中的"第三方"。
?
具體而言，結(jié)合《GB/T 35273-2020信息安全技術(shù) 個人信息安全規(guī)范》第9.7條的相關(guān)規(guī)定，互聯(lián)網(wǎng)平臺可采取如下措施管理接入的第三方：
|
序號 |
具體內(nèi)容 |
|
1 |
建立第三方產(chǎn)品或服務(wù)接入管理機制和工作流程，必要時應(yīng)建立安全評估等機制設(shè)置接入條件； |
|
2 |
應(yīng)與第三方產(chǎn)品或服務(wù)提供者通過合同等形式明確雙方的安全責任及應(yīng)實施的個人信息安全措施； |
|
3 |
應(yīng)向個人信息主體明確標識產(chǎn)品或服務(wù)由第三方提供； |
|
4 |
應(yīng)妥善留存平臺第三方接入有關(guān)合同和管理記錄，確保可供相關(guān)方查閱； |
|
5 |
應(yīng)要求第三方根據(jù)相關(guān)要求向個人信息主體征得收集個人信息的授權(quán)同意，或要求第三方具備同意之外的其他法律基礎(chǔ)，必要時核驗其實現(xiàn)的方式； |
|
6 |
應(yīng)要求第三方產(chǎn)品或服務(wù)建立響應(yīng)個人信息主體請求和投訴等的機制，以供個人信息主體行權(quán)； |
|
7 |
應(yīng)監(jiān)督第三方產(chǎn)品或服務(wù)提供者加強個人信息安全管理，發(fā)現(xiàn)第三方產(chǎn)品或服務(wù)沒有落實安全管理要求和責任的，應(yīng)及時督促整改，必要時停止接入； |
|
8 |
產(chǎn)品或服務(wù)嵌入或接入第三方自動化工具（如代碼、腳本、接口、算法模型、軟件開發(fā)工具包、小程序等）的，宜采取以下措施： ? ?開展技術(shù)檢測確保其個人信息收集、使用行為符合約定要求； ?對第三方嵌入或接入的自動化工具收集個人信息的行為進行審計，發(fā)現(xiàn)超出約定的行為，及時切斷接入。 |
?
29、互聯(lián)網(wǎng)平臺運營者不能利用數(shù)據(jù)及平臺規(guī)則做哪些事？
?
互聯(lián)網(wǎng)平臺運營者作為平臺數(shù)據(jù)處理者和平臺規(guī)則的制定者，相較于用戶和平臺內(nèi)經(jīng)營者均具有相當?shù)膬?yōu)勢地位。國家市場監(jiān)管管理總局亦于2021年10月29日發(fā)布《互聯(lián)網(wǎng)平臺分類分級指南（征求意見稿）》（以下稱"《平臺分類分級指南》"）《互聯(lián)網(wǎng)平臺落實主體責任指南（征求意見稿）》（以下稱"《平臺責任指南》"），對互聯(lián)網(wǎng)平臺的分類分級規(guī)則以及平臺需落實的主體責任予以明確。其中《平臺責任指南》中與數(shù)據(jù)及平臺規(guī)則相關(guān)的義務(wù)包括平等對待平臺自身和平臺內(nèi)經(jīng)營者（第二條）、建立健全數(shù)據(jù)安全審查與內(nèi)控機制（第四條）、公示服務(wù)協(xié)議與交易規(guī)則（第十四條）、禁止從事壟斷或不正當競爭行為（第十六條、第十七條）、數(shù)據(jù)獲取合規(guī)（第十八條）、遵循算法規(guī)制（第十九條）、規(guī)范價格行為（第二十條）、保護平臺內(nèi)經(jīng)營者（第二十九條）。
?
《數(shù)安條例》第四十六條則從損害后果的角度進行劃分，規(guī)定了四類互聯(lián)網(wǎng)平臺運營者利用數(shù)據(jù)以及平臺規(guī)則的禁止性行為：
|
行為 |
具體內(nèi)容 |
|
損害用戶合法權(quán)益 |
利用平臺收集掌握的用戶數(shù)據(jù)，無正當理由對交易條件相同的用戶實施產(chǎn)品和服務(wù)差異化定價等； |
|
損害公平競爭 |
利用平臺收集掌握的經(jīng)營者數(shù)據(jù)，在產(chǎn)品推廣中實行最低價銷售； |
|
損害用戶對其數(shù)據(jù)的決定權(quán) |
利用數(shù)據(jù)誤導、欺詐、脅迫用戶，違背用戶意愿處理用戶數(shù)據(jù)； |
|
限制中小企業(yè)獲取平臺數(shù)據(jù) |
在平臺規(guī)則、算法、技術(shù)、流量分配等方面設(shè)置不合理的限制和障礙，限制平臺上的中小企業(yè)公平獲取平臺產(chǎn)生的行業(yè)、市場數(shù)據(jù)等，阻礙市場創(chuàng)新。 |
?
30、互聯(lián)網(wǎng)個性化推薦僅能一鍵關(guān)閉還合規(guī)嗎？
?
《個保法》第二十四條第二款規(guī)定，通過自動化決策方式向個人進行信息推送，應(yīng)當同時提供不針對其個人特征的選項，或者向個人提供便捷的拒絕方式。由此一鍵關(guān)閉個性化推薦為法定的明確要求。但是，對于個性化推薦活動的法律基礎(chǔ)如何界定一直是業(yè)界爭議的焦點，如果適用同意這一基礎(chǔ)，則會給企業(yè)帶來包括opt-in在內(nèi)的更重的合規(guī)負擔。
?
然而，《數(shù)安條例》第四十九條對于利用個人信息和個性化推送算法向用戶提供信息提出了一系列的合規(guī)要求，我們理解，《數(shù)安條例》正式稿生效后，此等合規(guī)要求將成為互聯(lián)網(wǎng)平臺提供個性化推薦服務(wù)的法定義務(wù)，僅提供一鍵關(guān)閉功能將面臨較高合規(guī)風險。具體而言，互聯(lián)網(wǎng)平臺運營者需履行的合規(guī)義務(wù)包括：
|
序號 |
具體義務(wù) |
|
1 |
收集個人信息用于個性化推薦時，應(yīng)當取得個人單獨同意； |
|
2 |
設(shè)置易于理解、便于訪問和操作的一鍵關(guān)閉個性化推薦選項，允許用戶拒絕接受定向推送信息，允許用戶重置、修改、調(diào)整針對其個人特征的定向推送參數(shù)； |
|
3 |
允許個人刪除定向推送信息服務(wù)收集產(chǎn)生的個人信息，法律、行政法規(guī)另有規(guī)定或者與用戶另有約定的除外。 |
?
31、公共服務(wù)下收集、產(chǎn)生的數(shù)據(jù)能用于自身平臺發(fā)展的目的嗎？
?
根據(jù)《數(shù)安條例》第五十一條，"互聯(lián)網(wǎng)平臺運營者在為國家機關(guān)提供服務(wù)，參與公共基礎(chǔ)設(shè)施、公共服務(wù)系統(tǒng)建設(shè)運維管理，利用公共資源提供服務(wù)過程中收集、產(chǎn)生的數(shù)據(jù)不得用于其他用途。"
?
據(jù)此，我們理解該條與《數(shù)安法》項下政務(wù)數(shù)據(jù)的相關(guān)規(guī)定有銜接，傾向于認定公共服務(wù)下收集、產(chǎn)生的數(shù)據(jù)僅可用于"為國家機關(guān)提供服務(wù)"這一目的本身，同時，如該互聯(lián)網(wǎng)平臺系專為提供公共服務(wù)所搭建，則將前述數(shù)據(jù)用于此等平臺發(fā)展也可能被認定屬于上述目的范圍。然而，如該互聯(lián)網(wǎng)平臺還存在其他非公共性質(zhì)的平臺服務(wù)內(nèi)容，則我們理解平臺運營者不得將此等基于公共服務(wù)所收集、產(chǎn)生的數(shù)據(jù)概括性地用于平臺發(fā)展。
?
32、大型互聯(lián)網(wǎng)平臺運營者有哪些義務(wù)？
?
《數(shù)安條例》第七十三條第（十）項規(guī)定的大型互聯(lián)網(wǎng)平臺運營者是指"用戶超過五千萬、處理大量個人信息和重要數(shù)據(jù)、具有強大社會動員能力和市場支配地位的互聯(lián)網(wǎng)平臺運營者。"其中關(guān)于"用戶超過五千萬"的量化標準與《平臺分類分級指南》第3.4條所規(guī)定的"大型平臺"之"上年度在中國的年活躍用戶不低于5000萬"相呼應(yīng)?？梢灶A(yù)見，未來正式稿將有較大可能以5000萬年活躍用戶作為大型互聯(lián)網(wǎng)平臺的判斷標準，同時，我們也傾向于認定將以5000萬作為《個保法》第五十八條規(guī)定"用戶數(shù)量巨大"的法定門檻。
?
具體而言，結(jié)合《個保法》《數(shù)安條例》和《平臺責任指南》，根據(jù)對平臺規(guī)制領(lǐng)域側(cè)重的不同，此等大型互聯(lián)網(wǎng)平臺（或《個保法》下的"重要互聯(lián)網(wǎng)平臺"；《平臺責任指南》下的"超大型平臺"[1]）運營者的義務(wù)包括：
|
規(guī)制領(lǐng)域 |
法定義務(wù) |
法律依據(jù) |
|
個人信息 保護 |
(1) 按照國家規(guī)定建立健全個人信息保護合規(guī)制度體系，成立主要由外部成員組成的獨立機構(gòu)對個人信息保護情況進行監(jiān)督； (2) 遵循公開、公平、公正的原則，制定平臺規(guī)則，明確平臺內(nèi)產(chǎn)品或者服務(wù)提供者處理個人信息的規(guī)范和保護個人信息的義務(wù)； (3) 對嚴重違反法律、行政法規(guī)處理個人信息的平臺內(nèi)的產(chǎn)品或者服務(wù)提供者，停止提供服務(wù)； (4)?定期發(fā)布個人信息保護社會責任報告，接受社會監(jiān)督。 |
《個保法》第五十八條 |
|
數(shù)據(jù)安全 |
(1) 在境外設(shè)立總部或者運營中心、研發(fā)中心，應(yīng)當向國家網(wǎng)信部門和主管部門報告； (2) 日活用戶超過一億的大型互聯(lián)網(wǎng)平臺運營者平臺規(guī)則、隱私政策制定或者對用戶權(quán)益有重大影響的修訂的，應(yīng)當經(jīng)國家網(wǎng)信部門認定的第三方機構(gòu)評估，并報省級及以上網(wǎng)信部門和電信主管部門同意； (3)?應(yīng)當通過委托第三方審計方式，每年對平臺數(shù)據(jù)安全情況、平臺規(guī)則和自身承諾的執(zhí)行情況、個人信息保護情況、數(shù)據(jù)開發(fā)利用情況等進行年度審計，并披露審計結(jié)果。 |
《數(shù)安條例》第十三條、第四十三條、第五十三條 |
|
平臺責任 |
應(yīng)當依法依規(guī)采取相關(guān)措施，履行《平臺責任指南》所規(guī)定的各項義務(wù)，落實平臺主體責任。 |
《平臺責任指南》第三十五條 |
?
關(guān)于監(jiān)督管理
?
33、監(jiān)管機構(gòu)可以采取哪些監(jiān)督措施？
?
《數(shù)安條例》第五十七條首次對于監(jiān)管機構(gòu)采取的監(jiān)管措施進行細化，明確處理者的配合義務(wù)，可以采取以下措施對數(shù)據(jù)安全進行監(jiān)督檢查：
|
序號 |
具體內(nèi)容 |
|
1 |
要求數(shù)據(jù)處理者相關(guān)人員就監(jiān)督檢查事項作出說明； |
|
2 |
查閱、調(diào)取與數(shù)據(jù)安全有關(guān)的文檔、記錄； |
|
3 |
按照規(guī)定程序，利用檢測工具或者委托專業(yè)機構(gòu)對數(shù)據(jù)安全措施運行情況進行技術(shù)檢測； |
|
4 |
核驗數(shù)據(jù)出境類型、范圍等； |
|
5 |
法律、行政法規(guī)、規(guī)章規(guī)定的其他必要方式。 |
有關(guān)主管、監(jiān)管部門開展數(shù)據(jù)安全監(jiān)督檢查，應(yīng)當客觀公正，不得向被檢查單位收取費用。在數(shù)據(jù)安全監(jiān)督檢查中獲取的信息只能用于維護數(shù)據(jù)安全的需要，不得用于其他用途。
?
數(shù)據(jù)處理者應(yīng)當對有關(guān)主管、監(jiān)管部門的數(shù)據(jù)安全監(jiān)督檢查予以配合，包括對組織運作、技術(shù)系統(tǒng)、算法原理、數(shù)據(jù)處理程序等進行解釋說明，開放安全相關(guān)數(shù)據(jù)訪問、提供必要技術(shù)支持等。
?
34、數(shù)據(jù)安全審計怎么開展？
?
根據(jù)《數(shù)安條例》第五十八條規(guī)定，數(shù)據(jù)安全審計工作應(yīng)當包括以下內(nèi)容：
?
1）針對國家而言，應(yīng)當建立數(shù)據(jù)安全審計制度；
2）對于數(shù)據(jù)處理者而言，如果數(shù)據(jù)處理者的處理活動涉及個人信息時，應(yīng)當委托專業(yè)的數(shù)據(jù)安全審計機構(gòu)定期對其處理個人信息遵守法律、行政法規(guī)的情況進行合規(guī)審計。上述規(guī)定與《個保法》第五十四條規(guī)定一致；
3）如果數(shù)據(jù)處理者的處理活動涉及重要數(shù)據(jù)時，相關(guān)主管監(jiān)管部門應(yīng)當組織開展對上述處理活動的審計工作，重點審計數(shù)據(jù)處理者履行法律法規(guī)規(guī)定的重要數(shù)據(jù)處理義務(wù)等內(nèi)容。
?
除上述問題之外，還有一些制度或內(nèi)容仍待澄清，包括并不限于公共信息、新技術(shù)安全評估具體流程、個人信息保護行業(yè)組織等。基于此，我們會持續(xù)關(guān)注法律變化和監(jiān)管動態(tài)，對上述仍待澄清的制度或內(nèi)容予以關(guān)注。
?
[注]?
