《网络数据安全管理条例》要点（2025 年施行）

一、沿革：从一部法律到「三法一条例」

时间线大体是三步：2017 年《网络安全法》先确立了网络运行安全、网络信息安全与关键信息基础设施保护的基本框架；2021 年《数据安全法》引入数据分类分级保护、重要数据与数据出境安全管理制度；同年《个人信息保护法》进一步确立处理规则、个人权利与跨境提供规则。

三部法律构成框架后，实践中的问题是条款偏原则、操作性不足。2024 年 8 月 30 日国务院第 40 次常务会议通过《网络数据安全管理条例》，2024 年 9 月 24 日以国务院令第 790 号公布，自 2025 年 1 月 1 日起施行。条例的定位是把上位法的要求落到具体动作上。

二、适用范围：域内处理与两类域外情形

在中华人民共和国境内开展网络数据处理活动及其安全监督管理，适用本条例（第二条第一款）；
在境外处理境内自然人个人信息，符合《个人信息保护法》第三条第二款规定情形的，也适用本条例（第二条第二款）；
在境外开展网络数据处理活动，损害我国国家安全、公共利益或者公民、组织合法权益的，依法追究法律责任（第二条第三款）。

此外，条例第八条明确任何个人、组织不得利用网络数据从事非法活动，不得非法获取、出售或者非法提供网络数据，也不得为明知从事该类非法活动的行为提供技术支持或者广告推广、支付结算等帮助。

三、个人信息：告知与同意的可执行要求

第二十一条规定，网络数据处理者在处理个人信息前通过制定个人信息处理规则的方式依法向个人告知的，该规则应当集中公开展示、易于访问并置于醒目位置，内容明确具体、清晰易懂，并包括下列内容：处理者的名称或者姓名和联系方式；处理目的、方式、种类，处理敏感个人信息的必要性以及对个人权益的影响；个人信息保存期限和到期后的处理方式，保存期限难以确定的应当明确确定方法；个人查阅、复制、转移、更正、补充、删除、限制处理个人信息以及注销账号、撤回同意的方法和途径。向其他处理者提供个人信息的，还应当以清单等形式列明接收方信息；处理不满十四周岁未成年人个人信息的，应当制定专门的个人信息处理规则。

第二十二条针对基于同意的处理活动列明要求，其中与合规体系最相关的是：收集个人信息为提供产品或者服务所必需，不得超范围收集，不得通过误导、欺诈、胁迫等方式取得个人同意。

四、重要数据与数据出境

第六十二条第四项将重要数据定义为：特定领域、特定群体、特定区域或者达到一定精度和规模，一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的数据。这一定义与《数据安全法》的分类分级思路衔接。

第二十九条要求各地区、各部门按照数据分类分级保护制度确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的网络数据进行重点保护；网络数据处理者应当按照国家有关规定识别、申报重要数据，对确认为重要数据的，由相关地区、部门告知或公开发布。

数据出境方面，第三十五条列举了网络数据处理者向境外提供个人信息可以适用的路径，包括通过国家网信部门组织的数据出境安全评估、经专业机构进行个人信息保护认证、符合关于个人信息出境标准合同的规定，以及为订立、履行个人作为一方当事人的合同确需提供等情形。第四十五条另就大型网络平台服务提供者跨境提供网络数据提出要求，应当遵守国家数据跨境安全管理要求，健全相关技术和管理措施。

五、平台侧义务：第三方、分发、算法与报告

第三方管理（第四十条）：网络平台服务提供者应当通过平台规则或者合同等明确接入其平台的第三方产品和服务提供者的网络数据安全保护义务并督促落实；预装应用程序的智能终端等设备生产者适用同一规则。第三方违反规定或者约定造成用户损害的，平台、第三方与设备生产者应当依法承担相应责任。
分发核验（第四十一条）：提供应用程序分发服务的平台，应当建立核验规则并开展网络数据安全核验；发现不符合强制性要求或者行政法规规定的，应当采取警示、不予分发、暂停分发或者终止分发等措施。
自动化决策与推送（第四十二条）：通过自动化决策方式向个人推送信息的，应当设置易于理解、便于访问和操作的个性化推荐关闭选项，并提供拒绝接收推送、删除个人特征标签等功能。
大型网络平台（第四十四条、第四十六条）：应当每年度发布个人信息保护社会责任报告；不得利用网络数据、算法及平台规则从事以误导、欺诈、胁迫方式处理用户数据，无正当理由限制用户访问、使用其平台数据，以及对用户实施不合理差别待遇等活动。「大型网络平台」的具体认定标准见第六十二条。

六、企业可以按这四步落地

先做数据清单与分级：按业务线梳理数据类型、处理目的与流转路径，区分个人信息、敏感个人信息与可能需要申报的重要数据；
把个人信息处理规则改成可读的版本：对照第二十一条的四项内容逐条核对，补齐保存期限的确定方法、个人权利行使路径与清单式列明；
核对同意与授权的取证方式：检查是否存在默认勾选、捆绑授权、超范围收集等做法；
平台型企业补齐第三方与分发环节的文件：在平台规则或合同中写入网络数据安全义务、核验规则与处置措施，并保留履行记录；
设置年度动作：达到大型网络平台规模的，落实年度社会责任报告安排。

七、常见误区

「三部法律都遵守了，条例只是重复。」——条例的作用是细化与补齐操作性要求，例如告知形式、清单式列明、个性化推荐关闭选项，这些在实务中会直接成为合规检查项。
「数据出境只要签合同就行。」——第三十五条列举的是可选路径，具体适用哪一种取决于数据类型、数量与场景，需要先做判断再选路径。
「重要数据由企业自行判断就够了。」——第二十九条要求按国家有关规定识别与申报，并由相关地区、部门告知或公开发布，企业单方认定不能替代该程序。
「平台只是通道，第三方违法与我无关。」——第四十条要求平台通过规则或合同明确第三方的安全义务并督促落实，造成用户损害时可能承担相应责任。
「条例只约束大公司。」——条例适用于在境内开展网络数据处理活动的组织与个人；大型网络平台另有加重义务，不等于其他主体没有义务。