【律师点评】：2024年8月30日，国务院常务会议审议通过《网络数据安全管理条例（草案）》，会议指出，要对网络数据实行分类分级保护，明确各类主体责任，落实网络数据安全保障措施。要厘清安全边界，保障数据依法有序自由流动，为促进数字经济高质量发展、推动科技创新和产业创新营造良好环境。2024年9月30日下午，《网络数据安全管理条例》（以下简称《条例》）正式发布并自2025年1月1日起施行，这意味在我国网络安全、个人信息保护和数据安全领域一份相对综合的指导落地实践的配套规章终于落地，也可以预见在3个月左右的“过渡期”之后，《条例》的正式公布生效将在业内开启新一轮的合规整改和监督执法行动。本文试通过比对《条例》与《条例（草案）》、相关上位法及规章、办法的条款，系统梳理《条例》的细化、落地和新增内容，并就若干重点部分进行分析和讨论，以期为理解《条例》的深远影响及未来实施效果提供有价值的参考。
上篇回顾：兰迪研究 | 三载终落地：《网络数据安全管理条例》全文对比分析（上）
三、个人信息保护的细化和补充
在个人信息保护方面，《条例》规定主要来源于《个人信息保护法》，但对其中的内容进行了细化与补充，以进一步保障个人信息安全，同时也对企业提出了具体的要求以便促进安全合规工作的落地。
1. 优化个人信息处理规则
《条例》第二十条更加详细地规定了数据处理者应当遵守的个人信息处理规则，要求“应当以清单等形式列明”告知内容中的收集和共享行为，此举标志着对传统冗长且晦涩的“服务协议”与“隐私政策”的重大改进，用户无需再费力解读密集的文字内容，信息的呈现变得直观易懂。对用户而言，这无疑是一个重大的利好，大大提升了透明度，使个人能够更加主动和便捷地了解自己的信息如何被收集及使用，增强了对个人数据保护的意识和控制能力。
此外，《条例》第二十八条明确网络数据处理者处理1000万人以上个人信息的，须遵守重要数据处理者的相关规定，相较于《征求意见稿》中100万人以上的要求有了进一步的提高。
2. 补充取得个人同意的具体要求
《条例》进一步细化《个人信息保护法》对于处理个人信息时知情同意权的规定，包括要求“不得超范围收集个人信息，不得通过误导、欺诈、胁迫等方式取得个人同意”，“个人明确表示不同意后，频繁征求同意、干扰正常使用服务”等情形，删除了《征求意见稿》中列举性的一些规定。此外，《条例》删除了《征求意见稿》中对个人同意行为有效性存在争议时，数据处理者负有举证责任的规定。
四、强化数据跨境安全管理
《条例》第五章专门规定了数据跨境安全管理，对数据出境相关事项提出了进一步的要求。
1. 个人信息跨境传输
《条例》新增了“为履行法定职责或者法定义务，确需向境外提供个人信息”作为豁免跨境合规机制的情形之一，而未沿袭《征求意见稿》中将《个人信息保护法》项下的个人信息跨境传输要求（包括签署数据处理合同）扩展到所有类型的数据。除此以外，《条例》还将关于国际条约、协定的内容作为新增第三十六条单独列出，体现出与国际规则相衔接的立法趋势。
2. 数据出境安全评估
《条例》未沿袭《征求意见稿》以及国家网信办于2024年3月22日公布的《促进和规范数据跨境流动规定》规定的需要通过国家网信部门组织的数据出境安全评估的几种情形，而是仅概括性地规定了对于重要数据出境，应通过数据出境安全评估。另外，《条例》亦未规定出境安全评估的有效期。
3. 国家跨境数据安全保护措施
值得注意的是，《条例》新增了对于为规避国家跨境数据安全技术保护措施提供技术工具、技术支持或帮助的个人和组织的禁止性条款。从目前表述来看，此处的“国家措施”尚有进一步明确的空间，但联想到近期频发的VPN“翻墙”类案例似乎在本《条例》中有了执法依据（当前更多引用其他法规进行处罚）。
五、法律责任
《条例》第八章从第五十五条到第六十一条用7条的篇幅对罚则进行了明确规定，主要在其上位法的基础之上对于网络数据处理者、重要数据的处理者、个人和组织、网络平台服务提供者等主体违反相关法律规定的行政责任进行了压实和细化。此外，《条例》第五十九条还规定“首次违规轻微不罚”的情形，即：网络数据处理者存在主动消除或者减轻违法行为危害后果、违法行为轻微并及时改正且没有造成危害后果或者初次违法且危害后果轻微并及时改正等情形的，从轻、减轻或者不予行政处罚。一方面充分体现出《条例》是一部长“牙齿”的法律文件，一方面也为执法监管给出了明确的量化依据。
除上述内容之外，《条例》还有其他诸多细化和创新，如第六章专门规定了网络平台服务提供者义务，对于网络平台合规要求更加明确。《条例》第四十条强调了网络平台服务提供者的主体责任（明确规定了包括预装应用程序的智能终端等设备生产者，即IoT），第六十二条第（八）款明确了大型网络平台的定义（根据相关法规文件，“大型网络平台，是指注册用户5000万以上或者月活跃用户1000万以上，业务类型复杂，网络数据处理活动对国家安全、经济运行、国计民生等具有重要影响的网络平台”）。再如《条例》第十八条明确设置了自动化工具的限制性规定，《条例》第十九条首次将关于生成式人工智能的规定引入，《条例》第四十条则提到了网络数据损害赔偿责任险，将现代保险理念引入数据安全保护领域。另外在体系上也日趋完善，如《条例》附则部分第六十二条首次对“共同处理”进行了明确，与委托处理作平行列举，第六十三条将适用《保守国家秘密法》的内容扩充至“工作秘密”。因篇幅所限，本文仅就部分要点进行初步分析，具体内容可详询作者。总体来看，《条例》主要针对三部上位法的相关要求和规定进行了细化和展开，衔接了相关规章办法中的部分规定，同时在《征求意见稿》及《草案》的基础上进一步优化完善，以上对于推动数据安全建设的落地无疑具有重要意义。
产品介绍
团队介绍
