数据安全法有关企业部分小记

《数据安全法》全文见此处，自2021年9月1日起施行。

此处仅对涉及企业部分的条款做记录。

第四章　数据安全保护义务

第二十七条

开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。利用互联网等信息网络开展数据处理活动，应当在网络安全等级保护制度的基础上，履行上述数据安全保护义务。

重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。

小记：

• 说明数据处理活动首先要通过管理制度进行安全保障。
• 首先要在企业中健全数据安全管理体系，包括数据处理的安全管理流程、建立相关的数据安全管理机构及专职人员负责数据安全具体工作，并监督、指导数据安全治理活动。
• 企业要有足够的数据安全管理意识，了解数据的分级分类，了解自己在数据安全工作中应尽的义务与责任，知晓数据安全对自身的影响和损害。
• 企业对数据有直接责任，应该明确哪些数据类型为重要数据，并依据“谁生产、谁负责”的原则进行担责。

第二十八条

开展数据处理活动以及研究开发数据新技术，应当有利于促进经济社会发展，增进人民福祉，符合社会公德和伦理。

小记：

• 说明数据处理活动和发展新技术的前提是为人民造福。
• 在进行数据开发和处理的时候，要优先考虑社会的发展，更好地为人民服务，并且符合社会基本的道德认知。

第二十九条

开展数据处理活动应当加强风险监测，发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施；发生数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告。

小记：

• 说明所有的数据处理活动都需要加强风险管理。
• 个人、企业、组织、单位的数据处理活动的风险要能够有自我发现的能力，安全厂商、服务商及软件开发商在提供产品、服务中能够及时对自己产品中所产生有关危害数据安全行为的漏洞及时进行通告，并采取补救措施。

第三十条

重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。

风险评估报告应当包括处理的重要数据的种类、数量，开展数据处理活动的情况，面临的数据安全风险及其应对措施等。

小记：

• 说明对于重要数据应该有加强的风险评估活动。
• 重要数据目录由国家数据安全工作协调机制统筹协调有关部门制定。一般都和国家安全、关键基础设施相关。
• 根据有关标准要求，数据所有者应定期，通常为每年至少一次，或者当组织发生重大变更时进行风险评估。
• 风险评估活动以自评估为主，检查评估为辅。风险评估结果及时向上级主管机构上报。同时，通过风险评估制定风险控制措施，并在指定的时间完成风险控制，降低风险。

第三十二条

任何组织、个人收集数据，应当采取合法、正当的方式，不得窃取或者以其他非法方式获取数据。

法律、行政法规对收集、使用数据的目的、范围有规定的，应当在法律、行政法规规定的目的和范围内收集、使用数据。

小记：

• 说明数据获取不允许用非法方式进行收集和使用。
• 组织不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。

第三十三条

从事数据交易中介服务的机构提供服务，应当要求数据提供方说明数据来源，审核交易双方的身份，并留存审核、交易记录。

小记：

• 说明提供数据交易的组织必须可溯源，可审计。

第三十四条

法律、行政法规规定提供数据处理相关服务应当取得行政许可的，服务提供者应当依法取得许可。

小记：

• 说明提供数据处理服务的组织必须先行具备相关许可牌照。

第三十五条

公安机关、国家安全机关因依法维护国家安全或者侦查犯罪的需要调取数据，应当按照国家有关规定，经过严格的批准手续，依法进行，有关组织、个人应当予以配合。

小记：

• 说明公安、国安机构可依法获得授权获取相关数据，组织个人应依法配合提供。

第三十六条

中华人民共和国主管机关根据有关法律和中华人民共和国缔结或者参加的国际条约、协定，或者按照平等互惠原则，处理外国司法或者执法机构关于提供数据的请求。非经中华人民共和国主管机关批准，境内的组织、个人不得向外国司法或者执法机构提供存储于中华人民共和国境内的数据。

小记：

• 说明存储在国内的所有数据均需要得到批准才能对境外司法执法机构提供。

第六章　法律责任

第四十四条

有关主管部门在履行数据安全监管职责中，发现数据处理活动存在较大安全风险的，可以按照规定的权限和程序对有关组织、个人进行约谈，并要求有关组织、个人采取措施进行整改，消除隐患。

小记：

• 说明监管机构可依法要求组织进行数据安全风险整改

第四十五条

开展数据处理活动的组织、个人不履行本法第二十七条、第二十九条、第三十条规定的数据安全保护义务的，由有关主管部门责令改正，给予警告，可以并处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；拒不改正或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款。

违反国家核心数据管理制度，危害国家主权、安全和发展利益的，由有关主管部门处二百万元以上一千万元以下罚款，并根据情况责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照；构成犯罪的，依法追究刑事责任。

小记：

• 说明未履行数据安全保护的追责
• 处罚活动为：行政处罚（责令改正、警告、罚款、暂停相关业务、停业整顿、吊销许可及执照等）和刑事追溯两类。
• 处罚主体为：组织；直接负责的主管人员；直接责任人员

第四十六条

违反本法第三十一条规定，向境外提供重要数据的，由有关主管部门责令改正，给予警告，可以并处十万元以上一百万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；情节严重的，处一百万元以上一千万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款。

小记：

• 说明对境外提供重要数据比未履行数据安全保护义务的处罚力度更大

第四十七条

从事数据交易中介服务的机构未履行本法第三十三条规定的义务的，由有关主管部门责令改正，没收违法所得，处违法所得一倍以上十倍以下罚款，没有违法所得或者违法所得不足十万元的，处十万元以上一百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。

小记：

• 说明对提供数据交易的组织未履行数据安全保护义务的处罚力度较一般企业更大

第四十八条

违反本法第三十五条规定，拒不配合数据调取的，由有关主管部门责令改正，给予警告，并处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。

违反本法第三十六条规定，未经主管机关批准向外国司法或者执法机构提供数据的，由有关主管部门给予警告，可以并处十万元以上一百万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；造成严重后果的，处一百万元以上五百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处五万元以上五十万元以下罚款。

小记：

• 说明不配合国家机关提供数据的将受处罚
• 违法向境外司法执法机构提供数据的也将受到处罚，且力度更大

第五十一条

窃取或者以其他非法方式获取数据，开展数据处理活动排除、限制竞争，或者损害个人、组织合法权益的，依照有关法律、行政法规的规定处罚。

小记：

• 窃取或非法方式获取数据行为：适用 《 刑法 》 二百八十五条第二款相关规定
• 开展数据处理活动排除、限制竞争：适用 《 反不正当竞争法 》
• 损害个人、组织合法权益： 适用 《民法典》

第五十二条

违反本法规定，给他人造成损害的，依法承担民事责任。

违反本法规定，构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。

小记：

• 指出给他人造成损害的后果

参考：《数据安全法解读-唐龙》、http://blog.nsfocus.net/data-law/