中國網絡安全條例——新條例草案說了什麼？

隨著一系列新措施的出台，中國的網絡安全法規正在進一步加強，以加強現有數據保護和網絡安全法律的要求。新法規擴大並明確了公司在多個領域保護數據和網絡的要求，包括處理“重要”數據、跨境數據傳輸、個人信息保護以及互聯網平台的責任。

2021年11月14日，國家互聯網信息辦公室（CAC）發布《網絡數據安全管理條例（徵求意見稿）》（以下簡稱《條例》），徵求公眾意見至2021年12月13日。

這份內容豐富的文件是基於中國現有的由網絡安全法（CSL）、數據安全法（DSL ）和個人信息保護法（PIPL）組成的數據和網絡安全框架中規定的規則，並充實了對公司的法律要求尤其是處理中國大陸用戶的“重要”數據和個人信息。

下面我們簡要概述該條例的四個主要章節，涉及網絡安全責任、個人信息保護、跨境數據傳輸和互聯網平台的法律義務。

該條例適用於誰？

該條例適用於在中國境內從事數據處理活動的境內外實體。對於位於中國境外的實體，該條例適用於處理中國境內個人和組織的數據以提供國內產品和服務，分析和評估中國境內個人或公司的行為，或處理“重要”國內數據。

一般來說，“重要”數據被定義為可能對國家安全、經濟穩定和技術進步構成威脅，或對中國工業和電信部門產生重大影響的信息。然而，中國尚未提供任何構成“重要”數據的具體例子，導致定義和應用存在一些不確定性。

該法規對網絡安全有什麼要求？

該條例概述了數據處理者有義務建立和維護數據安全保護體系，實施備份、加密和訪問控制等措施以保證數據安全的新規定，並詳細規定了防止丟失、損壞、被盜的必要安全措施，或篡改數據和在發生此類犯罪活動或疏忽時採取的應急措施。

數據處理器還需要根據其處理的數據的安全級別來加強數據處理系統、數據傳輸網絡和數據存儲環境的安全性。

這是指2021年10月30日發布的一套辦法草案，將數據分為“一般數據”、“重要數據”和“核心數據”三類，並根據數據類型規定了不同級別的安全要求。正在處理的數據

新規要求處理“重要”數據的系統原則上必須滿足“三級”以上網絡安全防護和關鍵信息基礎設施運營商的安全要求。處理核心數據的系統必須按照相關規定嚴格保護。

該條例還要求數據處理者在事件發生後三天內通知任何涉及數據洩露的個人或組織，並在涉嫌犯罪活動的情況下向公安機關報告事件。此外，如果安全漏洞涉及超過 100,000 名用戶的個人信息，數據處理者必須在事件發生後 5 天內通知當地網絡空間主管部門並提交調查評估報告。

網絡安全審查

該條例規定了企業必須對境內外業務進行安全審查的多種場景。

網絡安全審查要求已廣泛涵蓋在美國以前的法規和立法中，包括 PIPL、CSL 和 DSL。在此基礎上，今年7月10日發布了《網絡安全審查辦法》，規定中國用戶超過100萬的企業境外上市必須通過安全審查。

此後，今年10月29日，又出台了另一套詳細規定跨境數據傳輸安全審查要求的辦法草案。這套規定明確了安全審查的要求。

新規的主要發展之一是網絡安全審查已擴大到計劃在香港股票市場和海外市場上市的公司。

以下是公司必須接受法規規定的網絡安全審查的第一組場景。

除上述情況外，向國家機構和關鍵信息基礎設施 (CII) 運營商提供雲計算服務的公司還必須接受安全審查。

《條例》對個人信息保護有何要求？

該條例的很大一部分致力於個人信息保護，既重申了 PIPL 的一些規定，又擴展了某些要求以幫助規則的實施。

新條例中重複的一些要求是規定處理個人信息只能出於“明確、合理的目的”，並遵循“正當、合法、必要”的核心原則。

它還重申了數據處理基於用戶明確和知情同意的要求，同時禁止數據處理者拒絕向拒絕同意使用非必要個人信息的個人提供產品或服務，這是 PIPL 的一個重要立法里程碑.

為保障個人信息的保護，《個人信息處理法》第58條規定，個人信息處理者提供重要的互聯網平台服務、用戶眾多、業務結構複雜的，應當自行製定平台規則。然而，PIPL 並沒有具體說明平台規則應該包含什麼。

該條例明確了要求，規定規則必須易於理解和用戶易於訪問，並且必須包括（但不限於）以下內容：

闡明提供產品或服務功能所需的個人信息以及個人信息的目的和用途清單、收集和處理方法、收集的個人信息類型、收集個人信息的頻率或場合的聲明，以及每個功能的個人信息存儲位置。它還必須說明拒絕處理個人信息可能對個人產生什麼影響。
個人信息的保存期限或個人信息保存期限的確定方法，到期後的處理方式。
個人查找、複製、修改、刪除、管理限制、轉移其個人數據、註銷賬戶和撤銷同意處理其個人數據的手段和方法。
產品或服務中嵌入的所有收集個人信息的第三方代碼和插件的名稱，以易於訪問的方式呈現，以及收集目的、收集方法、收集的個人信息類型，以及每個第三方代碼或插件的收集頻率或場合，及其個人信息處理規則。
與向第三方提供個人信息相關的信息，例如提供的目的、方式、個人信息的類型，以及與數據接收者相關的信息。
個人信息的安全風險和保護措施。
個人信息安全問題的投訴、舉報渠道及解決方案，個人信息保護負責人聯繫方式。

該條例還概述了獲得同意處理個人信息的規則，如下所列。

獲得同意處理個人信息的規則

數據處理者不得使用籠統的條款來獲得同意，必須針對每種服務類型單獨獲得同意。
處理敏感數據需要個人同意，例如與生物識別、宗教和信仰、特定身份、健康、財務賬戶和行踪有關的信息。
數據處理者必須徵得監護人同意才能處理14歲以下未成年人的個人信息。
數據處理者不得以提高服務質量、改善用戶體驗、研發新產品或其他理由強行同意。
數據處理者不得通過錯誤信息、欺詐或脅迫獲得同意。
數據處理者不得通過將不同類型的服務捆綁或一起申請多種服務的同意，誘導或強迫個人同意多種類型的個人信息。
數據處理者不得為超出個人授權同意範圍的目的處理個人信息。
數據處理者不得頻繁徵求同意或在個人明確拒絕同意後乾擾服務的正常使用。

如果數據處理者不再需要處理數據以提供服務、存儲期限已到、服務或用戶帳戶被註銷或任何非必要的個人信息被取消，數據處理者也需要在 15 天內刪除或匿名化個人信息。未經同意收集。

個人信息的刪除、匿名化、轉移

該條例允許個人請求刪除或轉移其個人信息，並就數據處理者應如何處理此類請求提供一些指導。

首先，數據處理者有義務為個人提供對已收集的個人信息的類型和數量的查詢提供方便的手段，並為個人提供複製、修改和補充其個人信息，或刪除或限制訪問的手段。其個人信息，撤銷授權和同意，或註銷其帳戶。

數據處理者必須在 15 天內就對個人信息進行任何更改或刪除的請求提供反饋。

數據處理者還必鬚根據個人的請求將個人信息轉移給另一個數據處理者，前提是個人信息是在雙方同意的情況下獲得的，可以驗證個人的合法身份，並且該請求不違反他人的意願。

該條例還規定，如果數據處理者收到超出“合理範圍”的大量請求，則可能允許其“收取合理費用”，但並未明確說明合理費用或合理範圍的含義。

法規對“重要”數據有何要求？

處理和擁有“重要”數據伴隨著許多額外的責任。數據處理者必須向當局報告他們擁有的數據，並遵守更嚴格的安全要求。如果公司希望將數據出口到海外，也有額外的要求，這在之前的立法中有規定。

請注意，該條例對待處理超過一百萬用戶個人信息的實體的方式與處理“重要”數據的實體相同，因此遵守下述相同的規則和要求。

“重要”數據的定義

新法規包括對被歸類為“重要”數據的最廣泛定義，擴展了先前法規中概述的定義。

該條例將“重要”數據定義為“如果被篡改、銷毀、洩露、非法獲取或非法使用，可能危及國家安全和公共利益”的數據。

以下是屬於“重要”數據范圍的數據列表。

“重要”數據的定義

1.未公開的政務數據、工作秘密、情報數據、執法司法數據。

2.出口管制數據、核心技術、設計方案、生產工藝等與出口管制物項有關的數據，台胞證以及密碼學、生物等領域直接影響國家安全和經濟競爭力的科技成果數據、電子信息和人工智能。

（三）國家法律、行政法規和部門規章規定需要保護或者控制的國民經濟數據、重要行業業務數據、統計數據等。

（四）工業、電信、能源、交通、水利、金融、國防科技、海關、稅務等重點行業和領域安全生產經營數據，關鍵系統部件和裝備供應鏈數據。

（五）符合國家有關部門要求的規模或精度的基因、地理、礦產、氣象等人口健康、自然資源、環境等國家基本數據。

（六）國家基礎設施和關鍵信息基礎設施建設運營數據及相關安全數據、國防設施、軍事管理區域、國防科研生產單位等敏感區域的地理位置、安全狀況等。

7.其他可能影響國家政治、領土、軍事、經濟、文化、社會、科技、生態、資源、核設施、海外利益、生物、航天、極地、深海安全的數據。

報告重要數據

《條例》要求各區、政府部門對本區、本部門以及相關行業和領域的數據處理者進行監督，識別出重要的核心數據，並整理成目錄，報國家網信部門。 .

因此，如果公司擁有重要數據，則必須向網絡安全部門報告，並要求在識別數據後 15 天內提供報告。

重要數據的安全責任

條例要求重要數據的數據處理者指定一名有經驗的工作人員負責重要數據的安全，並設立由該人監督的數據安全機構。數據安全機構必須負責：

研究並為與數據安全相關的決策提出建議
制定和實施數據安全預案和應急預案
進行風險監控和安全事件處理
開展數據安全培訓、教育、風險評估、應急演練等預防措施
處理投訴和舉報
向網絡安全部門報告

其他職責包括但不限於：

制定安全計劃，對員工進行年度數據安全培訓和教育。數據安全相關技術和管理人員每年必須接受至少 20 小時的培訓。
優先購買安全可靠的網絡產品和服務。

《條例》對跨境數據傳輸有何要求？

《條例》對此前數據出境跨境數據傳輸安全審查規定進行了擴展，明確了數據出境的具體要求。

需要將數據傳輸到海外以滿足其業務需求的公司必須滿足一組要求中的一個。其中包括通過出境安全評估，為數據傳輸公司和海外接收方獲得個人信息保護認證，或與海外接收方簽訂合同。

將在中國境內收集和產生的數據提供給外國的公司，如果出現以下情況，必須通過國家信息安全委員會的數據出境安全評估：

它導出的數據包含“重要”數據。
它是處理超過一百萬人個人信息的關鍵信息基礎設施 (CII) 運營商或公司。
符合 CAC 規定的任何其他安全評估標準。

此外，處理“重要”數據的公司希望在海外上市，必須自行進行安全評估或委託數據安全服務機構進行。上一年度的安全評估須於每年1月31日前報送區網絡安全部門。

《條例》對互聯網平台有何要求？

該條例包括一系列關於互聯網平台運營商行為的規定，主要針對使用數據從事反競爭行為或侵犯消費者權益。

該條例包括要求平台建立自己的平台規則、隱私政策和算法披露制度。平台運營商在建立或提議修改平台規則和隱私政策時必須通知用戶，並給予用戶至少三天的時間提交反饋。

日活躍用戶超過 1 億的平台運營商，如果制定或修改任何可能對用戶產生重大影響的平台規則或隱私政策，必須經過網信辦批准的第三方機構的審查。

該條例還禁止平台經營者利用數據或平台規則從事可能損害用戶或競爭的行為。其中包括價格歧視、低價定價等行為，限制平台內的中小企業公平獲取平台產生的行業和市場數據。

該條例加強了用戶的權利。例如，平台必須徵得用戶同意才能收集個人信息，並允許他們拒絕定向推薦和推送通知。

同時，使用人工智能、虛擬現實、合成技術等新技術進行數據處理的平台必須經過安全評估。

法律責任

該條例詳細規定了對違反各項規定的一系列罰款和處罰。不同條款的違規行為各不相同，對於最嚴重違反個人信息保護規定的行為，罰款可能高達 5000 萬元人民幣（780 萬美元）或公司上一年營業額的 5%。任何非法獲得的收入也將被沒收。

在某些情況下，企業還可能被責令停業整頓或吊銷營業執照。對違法行為負有法律責任的人還可能被處以最高 100,000 元人民幣（15,697 美元）的罰款。

對公司的影響

處理個人信息、跨境數據傳輸和處理重要數據的許多要求此前已在其他立法中規定。因此，該條例在很大程度上沒有對已有的規則進行擴展，而是為現有法律的遵守和實施提供了更多的清晰度和細節。

因此，該法規有助於為導航數據和網絡安全環境的公司提供更多指導，並可能幫助他們更好地了解哪些法規將適用於其運營。

例如，對“重要”數據進行更清晰的定義可能有助於公司評估他們正在處理的數據類型以及如何遵守相關法律法規。然而，由於定義仍然存在一些模糊性，公司可能不得不與當地的網絡安全機構合作，以評估其數據的安全級別。

同時，一些新的要求會給部分企業帶來更高的合規負擔。澄清獲得同意和為個人提供更多關於他們自己的個人數據的代理權的規則可能會要求公司重新設計其服務的各個方面以遵守。同樣，平台運營商可能必須加強其平台規則和隱私政策以符合新要求，並且由於對具有一定用戶數量的平台的規定，許多平台運營商還必須接受更多的安全審查。

建議可能受這些法規影響的公司與當地網絡安全部門保持溝通，並在必要時尋求第三方機構的幫助。