作為效力僅次于“法律”的行政法規(guī),《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》不是對上位法進行簡單的重復(fù),而是充分發(fā)揮“行政法規(guī)”在法律體系中的重要作用。一方面細化《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個人信息保護法》,并落實三法中明確“行政法規(guī)”可以補充規(guī)定或另行規(guī)定的事項,進行補充性或創(chuàng)新性規(guī)定。另一方面,結(jié)合近年數(shù)據(jù)治理經(jīng)驗,聚焦信息技術(shù)創(chuàng)新及數(shù)字經(jīng)濟發(fā)展中的突出問題,銜接、協(xié)調(diào)上位法律及下位部門規(guī)章相關(guān)規(guī)定。總的來說,《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》確立的規(guī)則呈現(xiàn)以下變化與延續(xù):
六、補充數(shù)據(jù)跨境安全規(guī)則
數(shù)據(jù)跨境安全規(guī)則是重要的對外經(jīng)貿(mào)規(guī)則。黨的二十屆三中全會《決定》再次強調(diào),“要提升數(shù)據(jù)安全治理監(jiān)管能力,建立高效便利安全的數(shù)據(jù)跨境流動機制”。近年來,我國數(shù)據(jù)出境規(guī)則在監(jiān)管與產(chǎn)業(yè)的互動、磨合中迅速調(diào)試?!毒W(wǎng)絡(luò)數(shù)據(jù)安全管理條例》在總結(jié)《數(shù)據(jù)出境安全評估辦法》《促進和規(guī)范數(shù)據(jù)跨境流動規(guī)定》等部門規(guī)章制定、實施經(jīng)驗基礎(chǔ)上,進一步優(yōu)化了數(shù)據(jù)跨境流動機制,尤其是吸納了《促進和規(guī)范數(shù)據(jù)跨境流動規(guī)定》諸多規(guī)則。
一是明確國家網(wǎng)信部門統(tǒng)籌協(xié)調(diào)有關(guān)部門建立國家數(shù)據(jù)出境安全管理專項工作機制。二是擴展個人信息可自由出境的情形?!毒W(wǎng)絡(luò)數(shù)據(jù)安全管理條例》吸納《促進和規(guī)范數(shù)據(jù)跨境流動規(guī)定》豁免規(guī)定,在《個人信息保護法》的基礎(chǔ)上新增“明確為訂立、履行個人作為一方當事人的合同”、“按照依法制定的勞動規(guī)章制度和依法簽訂的集體合同實施跨境人力資源管理”、“緊急情況下為保護自然人的生命健康和財產(chǎn)安全”情形下確需向境外提供個人信息的,個人信息可以出境。值得注意的是,《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》在《促進和規(guī)范數(shù)據(jù)跨境流動規(guī)定》基礎(chǔ)上又增加了“為履行法定職責或者法定義務(wù),確需向境外提供個人信息”,作為可以向境外提供個人信息的情形?!洞龠M和規(guī)范數(shù)據(jù)跨境流動規(guī)定》規(guī)定的“關(guān)鍵信息基礎(chǔ)設(shè)施運營者以外的數(shù)據(jù)處理者自當年1月1日起累計向境外提供不滿10萬人個人信息(不含敏感個人信息)的”則并未納入《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》。但基于《個人信息保護法》第38條明確法律、行政法規(guī)或者國家網(wǎng)信部門規(guī)定可以對個人信息出境條件做出規(guī)定。《促進和規(guī)范數(shù)據(jù)跨境流動規(guī)定》作為“國家網(wǎng)信部門規(guī)定”,該條款依然有效。三是吸納《促進和規(guī)范數(shù)據(jù)跨境流動規(guī)定》規(guī)定,明確未被相關(guān)地區(qū)、部門告知或者公開發(fā)布為重要數(shù)據(jù)的,不需要將其作為重要數(shù)據(jù)申報數(shù)據(jù)出境安全評估。值得注意的是,相較2021年征求意見稿,《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》還規(guī)定國家采取措施,防范、處置網(wǎng)絡(luò)數(shù)據(jù)跨境安全風險和威脅。大型網(wǎng)絡(luò)平臺服務(wù)提供者應(yīng)當健全相關(guān)技術(shù)和管理措施,防范網(wǎng)絡(luò)數(shù)據(jù)跨境安全風險。
七、擴展網(wǎng)絡(luò)平臺服務(wù)提供者安全保護規(guī)則
《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》借鑒了歐盟《數(shù)字服務(wù)法》《數(shù)字市場法》的“守門人”制度,專章規(guī)定了網(wǎng)絡(luò)平臺服務(wù)提供者的安全義務(wù)。與2021年征求意見稿相比,《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》整體體現(xiàn)了對數(shù)字經(jīng)濟更為柔性、靈活的監(jiān)管態(tài)度,如刪除了征求意見稿中“大型互聯(lián)網(wǎng)平臺運營者在境外設(shè)立總部或者運營中心、研發(fā)中心,向國家網(wǎng)信部門和主管部門報告”的要求,平臺規(guī)則、隱私政策制定或者對用戶權(quán)益有重大影響的修訂需要公開征求意見以及網(wǎng)絡(luò)平臺服務(wù)提供者先行賠付要求,調(diào)整法律責任的設(shè)置等。何為“網(wǎng)絡(luò)平臺服務(wù)提供者”,《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》并未做出明確界定,僅在附則的含義中明確“大型網(wǎng)絡(luò)平臺是指注冊用戶5000萬以上或者月活躍用戶1000萬以上,業(yè)務(wù)類型復(fù)雜,網(wǎng)絡(luò)數(shù)據(jù)處理活動對國家安全、經(jīng)濟運行、國計民生等具有重要影響的網(wǎng)絡(luò)平臺”。
《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》第40條規(guī)定,網(wǎng)絡(luò)平臺服務(wù)提供者應(yīng)當通過平臺規(guī)則或者合同等明確接入其平臺的第三方產(chǎn)品和服務(wù)提供者的網(wǎng)絡(luò)數(shù)據(jù)安全保護義務(wù),督促第三方產(chǎn)品和服務(wù)提供者加強網(wǎng)絡(luò)數(shù)據(jù)安全管理。從文義來看,《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》中的“網(wǎng)絡(luò)平臺”應(yīng)當是有第三方產(chǎn)品和服務(wù)提供者接入的。純自營沒有接入第三方產(chǎn)品和服務(wù)提供者是否屬于“網(wǎng)絡(luò)平臺”還有待進一步明確。 《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》一是規(guī)定了網(wǎng)絡(luò)平臺服務(wù)提供者對第三方產(chǎn)品、服務(wù)提供者的監(jiān)督義務(wù),建立了造成用戶損害的責任分配機制,并將規(guī)則適用范圍擴展至預(yù)裝應(yīng)用程序的智能終端等設(shè)備生產(chǎn)者。同時細化了通過自動化決策進行信息推送的用戶拒絕機制。二是用專條對提供應(yīng)用程序分發(fā)服務(wù)的網(wǎng)絡(luò)平臺服務(wù)提供者設(shè)置了特殊的安全要求,包括核驗要求及應(yīng)用程序的處置要求。三是特別關(guān)注大型網(wǎng)絡(luò)平臺服務(wù)提供者安全義務(wù),要求健全相關(guān)技術(shù)和管理措施防范網(wǎng)絡(luò)數(shù)據(jù)跨境安全風險,并明確不得非法利用網(wǎng)絡(luò)數(shù)據(jù)、算法、平臺規(guī)則從事?lián)p害用戶權(quán)益及其他違法違規(guī)活動。
在個人信息保護方面,《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》在現(xiàn)行法律法規(guī)框架下補充了以下規(guī)則:
一是在行政法規(guī)層面確立“清單”告知要求?!毒W(wǎng)絡(luò)數(shù)據(jù)安全管理條例》吸收2024年行業(yè)、領(lǐng)域在個人信息保護領(lǐng)域的治理經(jīng)驗,在用戶告知方面引入“雙清單”,即已收集個人信息清單和與第三方共享個人信息清單告知要求。 二是明確自動化采集特殊要求,明確通過自動化采集技術(shù)等無法避免采集到非必要個人信息,或者未依法取得個人同意的個人信息的情形,應(yīng)當及時刪除個人信息或者進行匿名化處理,如技術(shù)上難以實現(xiàn),應(yīng)停止除存儲和采取必要的安全保護措施之外的處理。 三是細化個人信息可攜權(quán)規(guī)定,明確該權(quán)利行使的前提包括限于基于個人同意或合同收集的個人信息場景,基于法定職責、法定義務(wù)等其他事由收集的個人信息不適用。此外,還應(yīng)當在技術(shù)上具備可行性。 四是明確處理1000萬人以上個人信息處理者應(yīng)履行重要數(shù)據(jù)處理者在人員和機構(gòu)設(shè)置及處置方案報告方面(而非2021年征求意見稿中重要數(shù)據(jù)處理者的全部義務(wù))的增強要求。
九、調(diào)整網(wǎng)絡(luò)數(shù)據(jù)安全監(jiān)管機制
《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》在延續(xù)《數(shù)據(jù)安全法》確立的監(jiān)管機制基礎(chǔ)上,一是回應(yīng)國家數(shù)據(jù)局的成立,將國家數(shù)據(jù)局納入監(jiān)管機制,明確“國家數(shù)據(jù)管理部門在具體承擔數(shù)據(jù)管理工作中履行相應(yīng)的網(wǎng)絡(luò)數(shù)據(jù)安全職責”。此前施行的《促進和規(guī)范數(shù)據(jù)跨境流動規(guī)定》就已明確自貿(mào)區(qū)負面清單需要報國家網(wǎng)信部門、國家數(shù)據(jù)管理部門備案。二是增加公安機關(guān)、國家安全機關(guān)依法防范和打擊危害網(wǎng)絡(luò)數(shù)據(jù)安全違法犯罪活動職責。三是細化行業(yè)、領(lǐng)域監(jiān)管職責的具體內(nèi)容,包括明確網(wǎng)絡(luò)數(shù)據(jù)安全保護工作機構(gòu)、統(tǒng)籌制定并組織應(yīng)急預(yù)案,定期開展相關(guān)風險評估,對網(wǎng)絡(luò)數(shù)據(jù)處理者進行監(jiān)督檢查、指導(dǎo)督促整改等等。
此外,《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》建立了監(jiān)管機構(gòu)協(xié)調(diào)規(guī)則,特別是明確個人信息保護合規(guī)審計、重要數(shù)據(jù)安全風險評估、重要數(shù)據(jù)出境安全評估等應(yīng)當加強銜接,避免重復(fù)評估、審計。重要數(shù)據(jù)風險評估和網(wǎng)絡(luò)安全等級測評的內(nèi)容重合的,相關(guān)結(jié)果可以互相采信。
十、明確對利用數(shù)據(jù)從事非法活動的全鏈條打擊
《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》首次在網(wǎng)絡(luò)數(shù)據(jù)使用環(huán)節(jié)明確要求“不得利用網(wǎng)絡(luò)數(shù)據(jù)從事非法活動”。在三法基礎(chǔ)上,吸收《刑法》及相關(guān)司法解釋中對于侵犯公民個人信息罪、幫助信息網(wǎng)絡(luò)犯罪活動罪的相關(guān)規(guī)定和表述,涵蓋了包括竊取、以其他非法方式獲取、非法出售、非法提供網(wǎng)絡(luò)數(shù)據(jù)等禁止性行為規(guī)定,并進一步禁止提供非法活動的程序、工具,禁止提供技術(shù)支持和推廣、結(jié)算幫助,明確對利用數(shù)據(jù)從事非法活動的全鏈條打擊要求。