合肥市企业数据合规指引(试行)
合肥市数据资源治理局合肥市司法局
合肥市状师协会
2024年8月1日
目?录
第一章 总则
第二章 数据合规治理组织系统
第三章 数据合规治理制度系统
第四章 数据全生命周期合规
第五章 数据合规运行及包管
第六章 数据跨境流动合规
第七章 附则
第一章总则
第一条【目的和依据】
为指导企业规范数据合规治理，， ，，，，统筹推进企业数据权益�；；；；；ぃ�， ，，，，包管企业数据清静，， ，，，，依据《中共中央、国务院关于构建数据基础制度更好施展数据要素作用的意见》《增进和规范数据跨境流动划定》等政策文件、《中华人民共和国数据清静法》《中华人民共和国小我私家信息�；；；；；しā贰吨谢嗣窆埠凸缜寰卜ā返戎绰衫颍�， ，，，，制订本指引。。。。。 。
第二条【数据合规指引的须要性】
指导种种企业开展数据合规治理是对企业谋划运动中依法开发和使用数据资源，， ，，，，维护正当权益的主要包管，， ，，，，也是降低企业及其员工涉数据类违法违规危害的主要行动，， ，，，，企业可以通过建设完善的数据合规治理系统，， ，，，，有用预防数据清静事务。。。。。 。
第三条【适用规模和效力】
该指引驻足合肥市企业数据法治需求，， ，，，，对企业数据合规治理组织系统、制度系统，， ，，，，数据全生命周期合规和数据合规运行及包管、数据跨境流通合规等作出指导，， ，，，，合肥市种种企业，， ，，，，尤其是人工智能、工业互联网、普惠金融、网络货运、民用航空、空天信息、政府采购等领域数据资源富厚的企业，， ，，，，举行数据处置惩罚运动时可参考本指引开展数据合规治理。。。。。 。
本指引由合肥市数据资源治理局、合肥市司法局、合肥市状师协会配合体例，， ，，，，安徽省数字江淮中心加入体例。。。。。 。
本指引不具有强制性，， ，，，，执法、规则及有关国家、行业标准尚有专门划定的，， ，，，，从其划定。。。。。 。
第四条【正当、正当和诚信原则】
企业开展数据处置惩罚运动，， ，，，，行使相关数据权益，， ，，，，应当遵守执法、规则，， ，，，，尊重社会公德，， ，，，，忠实守信，， ，，，，肩负社会责任，， ，，，，不得危害国家清静、公共利益，， ，，，，不得损害他人正当权益。。。。。 。
第五条【数据权益�；；；；；ぁ�
勉励企业依法开发和使用数据资源，， ，，，，�；；；；；て笠翟谑褂谩⒓庸さ仁荽χ贸头Ｔ硕行纬傻姆ǘɑ蛘咴级ǖ墓ひ等ㄒ妫�， ，，，，以及在数字经济生长中有关数据立异运动取得的正当工业权益。。。。。 。
第六条【数据清静�；；；；；ぁ�
企业应当建设数据清静制度，， ，，，，接纳手艺步伐或其他须要步伐，， ，，，，避免数据丧失、毁损、泄露和改动，， ，，，，确保网络、存储的数据清静，， ，，，，对数据的准确、完整、实时性认真。。。。。 。勉励企业探索运用人工智能手艺�；；；；；な萸寰病�。。。。 。
第七条【数据分级分类制度】
企业应当建设数据分类分级，， ，，，，按对国家清静、公共利益、或者小我私家、组织正当权益的影响水平和主要水平，， ，，，，对数据实验分类分级�；；；；；ぃ�， ，，，，勉励企业建设主要数据目录。。。。。 。提倡企业通过人工智能手艺举行数据自动化和智能化分类分级。。。。。 。
第八条【数据合规治理责任主体】
企业是数据合规治理的责任主体，， ，，，，认真其数据处置惩罚运动和合规治理中各项要求的推进落实，， ，，，，对其数据处置惩罚运动、合规治理和运行效果认真。。。。。 。
第九条【涉第三方数据治理】
企业接受第三方委托或者委托第三方，， ，，，，配合开展数据处置惩罚运动，， ，，，，应当切合执法、规则和强制性标准的划定，， ，，，，明确各方的权力和义务，， ，，，，有用预防数据相助执法关系中的危害。。。。。 。
第十条【数据�；；；；；び跋炱拦馈�
企业应建设事前数据�；；；；；び跋炱拦辣ǜ嬷贫龋�， ，，，，梳理归纳启动事前数据�；；；；；び跋炱拦赖那樾危�， ，，，，有用提防数据清静危害事务。。。。。 。
第十一条【危害导向原则】
企业应当接纳须要步伐对国家焦点数据、主要数据、敏感小我私家信息等保存较高合规危害的数据予以重点�；；；；；ぃ�， ，，，，增强合规治理。。。。。 。
第十二条【可追溯原则】
企业对数据举行修改、盘问、导出、删除等处置惩罚时，， ，，，，应当纪录响应操作，， ，，，，确保操作纪录可追溯、可审查。。。。。 。
第二章数据合规治理组织系统
第十三条【一样平常要求】
为确保企业数据处置惩罚运动的正当性与合规性，， ，，，，企业应严酷遵照相关执律例则，， ，，，，构建完善的数据合规治理组织系统，， ，，，，明确数据合规责任主体，， ，，，，组织开展数据合规教育培训，， ，，，，增强人力资源审核与包管，， ，，，，增强跨部分相助交流，， ，，，，强化员工数据合规意识。。。。。 。
第十四条【数据合规决议层的职责】
数据合规认真人由企业主要认真人担当，， ，，，，对数据合规负向导责任。。。。。 。数据合规认真人应当肩负以下职责：
(一)为企业数据合规治理制度系统的建构和运行提供须要的资源包管和条件支持；；；；；
(二)确立数据合规目的和合规目的，， ，，，，并确保企业战略偏向与合规目的和目的坚持一致；；；；；
(三)确保将数据合规治理要求融入企业的营业历程；；；；；
(四)确保合规治理制度系统有用运转并一连刷新；；；；；
(五)包管数据合规治理部分具备自力推行职责的能力与权限；；；；；
(六)确保建设有用的数据违规举报与惩办机制和跨部分相助机制；；；；；
(七)审批企业重大数据合规事项；；；；；
(八)指导培育企业数据合规自主性，， ，，，，促成数据合规企业文化；；；；；
(九)对数据合规治理层事情情形举行监视。。。。。 。
第十五条【数据合规治理层的职责】
企业应当设立专门的数据合规治理部分，， ，，，，或由合规治理、法务、审计、监视等相关部分肩负该职能，， ，，，，并配备数据合规专员。。。。。 。数据合规治理部分对数据合规决议层认真，， ，，，，肩负以下职责：
(一)确立、坚持并推广数据合规企业文化；；；；；
(二)组织制订企业数据合规治理制度规范与合规妄想，， ，，，，并推动其有用实验；；；；；
(三)统筹妄想和实验数据合规治理事情，， ，，，，按期对数据合规治理情形举行周全评估与检查，， ，，，，并制作详尽的书面纪录；；；；；
(四)建设数据合规举报与视察机制，， ，，，，对数据合规举报制订视察计划并开展视察；；；；；
(五)按期组织或协助人事部分开展数据清静合规培训，， ，，，，为企业相关内部职能部分提供数据合规咨询与支持；；；；；
(六)推动跨部分相助机制，， ，，，，增进部分间的相同与协作，， ，，，，确保企业在数据处置惩罚各环节均严酷遵守相关规则和数据合规治理；；；；；
(七)向数据合规认真人与董事会报告数据合规重大危害和数据合规事情情形。。。。。 。
第十六条【数据合规执行层的职责】
企业内部开展数据处置惩罚事情的各职能部分认真本部分营业规模内的数据合规事情，， ，，，，并肩负以下职责：
(一)凭证企业数据合规治理制度及相关合规指引，， ，，，，确立并执行一套严谨的数据处置惩罚全生命周期合规要求和事情机制；；；；；
(二)确保本部分员工遵守企业合规制度规范，， ，，，，推行数据合规义务；；；；；
(三)配合数据合规认真人和合规治理部分开展合规危害审查、评估、整改等各项合规事情；；；；；
(四)亲近监测一样平常数据处置惩罚事情中的数据清静合规危害，， ，，，，并接纳适当的清静�；；；；；げ椒�；；；；；
(五)当发明数据处置惩罚运动保存较大合规危害或者爆发数据清静事务时，， ，，，，实时向数据合规认真人和合规治理部分报告，， ，，，，并配合接纳应急处置惩罚和整改步伐。。。。。 。
【文件化信息】企业应当以适当的方法和载体，， ，，，，对数据合规治理历程中爆发的文档化信息举行纪录。。。。。 。这些文档化信息需以清晰、易懂、易盘问的方法贮存，， ，，，，并应实验须要步伐，， ，，，，以包管其不被泄露、滥用或破损其完整性。。。。。 。
第十七条【小我私家信息�；；；；；と险嫒说闹付霸鹑巍�
处置惩罚小我私家信息抵达国家网信部分划定命目的企业应当指定专门的小我私家信息�；；；；；と险嫒耍�， ，，，，并肩负以下职责：
(一)统筹实验企业内部的小我私家信息合规事情；；；；；
(二)组织制订小我私家信息合规方面的内部制度和操作规程，， ，，，，并催促落实；；；；；
(三)组织开展小我私家信息清静影响评估，， ，，，，催促整改清静隐患；；；；；
(四)按期组织开展合规审计；；；；；
(五)实时受理相关投诉、举报；；；；；
(六)与羁系部分坚持相同，， ，，，，转达或报告小我私家信息�；；；；；ず褪挛翊χ贸头５惹樾巍�。。。。 。
企业应当果真小我私家信息�；；；；；と险嫒说男彰⒘捣椒ǖ惹樾危�， ，，，，并报送推行小我私家信息�；；；；；ぶ霸鸬牟糠帧�。。。。 。
第三章数据合规治理制度系统
第十八条【一样平常要求】
企业应当遵照执法、规则划定，， ，，，，团结自身营业，， ，，，，建设健全笼罩数据全生命周期的数据合规治理制度系统，， ，，，，明确企业内部数据合规治理的相关标准、规范和操作规程，， ，，，，坚持清静和生长并重，， ，，，，确保数据合规治理制度与生产运营、营业生长同步妄想、同步建设、同步运行。。。。。 。
第十九条【数据分类分级�；；；；；ぶ贫取�
企业应当建设数据分类分级�；；；；；ぶ贫龋�， ，，，，凭证所属国家行业、地区的相关标准，， ，，，，凭证数据的主要水平、对国家或者小我私家、组织正当权益的影响水平举行分类分级，， ，，，，形成数据分类分级清单。。。。。 。
企业应凭证数据分类分级清单，， ，，，，制订并执行响应的操作要求和�；；；；；げ椒ァ�。。。。 。同时处置惩罚差别级别数据且难以划分接纳�；；；；；げ椒サ模�， ，，，，企业应当凭证其中级别最高的要求给予�；；；；；ぁ�。。。。 。
企业应当团结相关执法、规则和主管部分、所属行业主要数据详细目录等标准规范，， ，，，，重点识别和确定主要数据和焦点数据清单，， ，，，，明确主要数据和焦点数据的治理职责、操作规范、审批要求、备案机制等事项，， ，，，，建设主要数据和焦点数据的一样平常纪录和容灾备份机制，， ，，，，强化主要数据和焦点数据的清静包管。。。。。 。
第二十条【接纳清静手艺�；；；；；げ椒ァ�
企业应当凭证数据分类分级情形，， ，，，，接纳适当的匿名化、备份、加密、会见控制、入侵提防等数据清静手艺�；；；；；げ椒ィ�， ，，，，增强对数据处置惩罚系统、数据传输网络、数据存储情形、数据会见接口等物理和网络情形的清静防护，， ，，，，将数据清静手艺�；；；；；ち值绞荽χ贸头５娜獭�。。。。 。
处置惩罚主要数据的系统应知足三级以上网络清静品级�；；；；；ず鸵π畔⒒∩枋┣寰脖；；；；；ひ螅�， ，，，，处置惩罚焦点数据的系统遵照有关划定从严�；；；；；ぁ�。。。。 。
第二十一条【权限控制机制】
企业应当凭证最小授权原则合理确定命据会见与操作权限，， ，，，，仅在完成职责所需的规模内授子特定职员最小须要的数据操作权限，， ，，，，并通过手艺手段限制逾越权限的操作空间。。。。。 。
针对主要数据和焦点数据，， ，，，，企业应当通过设置严酷的数据处置惩罚权限、配备危害阻断机制、明确清静审计流程、落实会见和操作留痕等方法，， ，，，，实现权限最小化管控。。。。。 。
第二十二条【依法申报数据清静审查】
勉励企业自主审查其数据处置惩罚运动是否影响或者可能影响国家清静。。。。。 。切合执律例则划定条件的，， ，，，，企业应当凭证有关划定，， ，，，，申报网络清静审查。。。。。 。
掌握凌驾100万用户小我私家信息的网络平台运营者赴外洋上市，， ，，，，必需向网络清静审核办公室申报网络清静审查。。。。。 。
第二十三条【建设合规危害评估机制】
企业应当建设数据合规危害评估机制，， ，，，，每年至少开展一次数据合规危害评估，， ，，，，对数据分类分级�；；；；；で樾巍⑹萸寰彩忠毡；；；；；げ椒ビ杏眯浴⒁∩枋┣寰菜健⑹荽χ贸头：瞎媲樾巍⑹萸寰苍ぞ陀笔挛翊χ贸头Ｄ芰Α⑹萸寰参侍庹暮皖肯抵捶ㄏ煊η樾蔚饶谌菥傩衅拦溃�， ，，，，并形成数据合规危害评估报告。。。。。 。涉及处置惩罚主要数据的，， ，，，，还应对主要数据的处置惩罚情形作出评估，， ，，，，并向有关主管部分报送危害评估报告。。。。。 。对新上线营业、第三方数据相助营业以及重点存量营业，， ，，，，企业可以未必期开展合规危害评估。。。。。 。
企业应当凭证数据合规危害评估报告对相关职能部分、岗位员事情出危害提醒，， ，，，，并要求其接纳响应的危害处置惩罚和整改步伐，， ，，，，须要时应暂�；；；；；蜃鞣暇哂薪细吆瞎嫖：Φ挠翟硕�。。。。 。
第二十四条【监测预警与保存清静缺陷、误差的调解步伐】
企业应当建设数据清静危害监测预警机制，， ，，，，实时监测一样平常数据处置惩罚运动中的异常情形和清静危害，， ，，，，并举行预警。。。。。 。当发明数据清静缺陷、误差等危害时，， ，，，，应当连忙接纳预防、调解步伐；；；；；造成或者可能造成严重效果的，， ，，，，应当实时见告可能受到影响的主体，， ，，，，并向有关主管部分报告。。。。。 。
企业应当建设针对数据不对规行为的监测机制，， ，，，，实时发明一样平常数据处置惩罚运动中的不对规行为，， ，，，，接纳响应的处置惩罚和惩戒步伐，， ，，，，并对类似问题举行排查。。。。。 。爆发可能对企业带来重大数据合规危害的违规行为时，， ，，，，应当实时向数据合规认真人汇报，， ，，，，并确定响应的解决计划。。。。。 。
第二十五条【数据清静应急预案、演练和处置惩罚机制】
企业应当制订数据清静应急预案，， ，，，，凭证危害水平、影响规模等因素对数据清静事务举行分级，， ，，，，并团结分级情形确定应急处置惩罚的目的战略、职员职责、详细步伐、流程规范、物资包管等事项。。。。。 。企业应当每年至少组织一次应急响应培训和应急预案演练，， ，，，，使相关职员掌握熟悉应急处置惩罚战略和规程。。。。。 。
当爆发数据清静事务时，， ，，，，企业应当凭证应急预案实时接纳处置惩罚步伐，， ，，，，避免危害扩大，， ，，，，消除清静隐患，， ，，，，纪录事务内容，， ，，，，保存相关证据，， ，，，，并向有关主管部分报告。。。。。 。清静事务对小我私家、组织造成实质性危害的，， ，，，，企业还应实时以电话、短信、邮件等方法向所涉主体见告清静事务情形、危害效果、已接纳的调解步伐等信息。。。。。 。无法逐一见告的，， ，，，，可接纳通告方法见告。。。。。 。
第二十六条【起劲配合羁系】
企业应当建设羁系执法配合机制，， ，，，，受到羁系部分视察时应连忙通知数据合规认真人、数据合规治理部分认真人和相关职能部分认真人等职员，， ，，，，启动须要的内部视察程序并明确羁系视察对接职员，， ，，，，须要时应当暂停响应的数据处置惩罚运动。。。。。 。
企业应当对羁系部分的羁系执法予以协助、配合，， ，，，，不得拒绝、阻挠，， ，，，，不得提供虚伪质料、信息或隐匿、销毁、转移证据。。。。。 。
企业起劲配合羁系并自动开展合规整改接纳步伐有用减轻、消除危害效果的，， ，，，，可以向羁系部分申请酌情从轻或减轻行政处分。。。。。 。
第二十七条【建设羁系响应和整改机制】
企业应当凭证羁系部分提出的羁系建议实时接纳整改步伐，， ，，，，优化、更新数据合规治理制度，， ，，，，建设健全数据合规长效机制，， ，，，，有用消除清静隐患。。。。。 。
企业应该凭证执律例则转变和羁系动态落真相形动态调解数据合规相关机制和手艺手段。。。。。 。
第二十八条【外部投诉机制】
企业应当建设便捷的数据合规外部投诉机制，， ，，，，宣布受理部分某职员联系方法、受理流程等信息，， ，，，，勉励受到数据不对规行为影响的主体举行投诉，， ，，，，并在合理时间内向投诉人回复处置惩罚情形。。。。。 。
第四章数据全生命周期合规
第一节数据网络
第二十九条【数据网络的一样平常性划定】
不得以不正当竞争为目的，， ，，，，违反忠实信用获取数据；；；；；不得违法侵入涉密网站和盘算机信息系统获取数据；；；；；不得以不法获取内部会见、操作权限等方法，， ，，，，未经授权或逾越授权规模获取数据；；；；；不得滋扰被会见网站的正常运营或者故障盘算机信息系统正常运行；；；；；不得以手艺破解方法突破网站、盘算机信息系统为�；；；；；な荻柚玫氖忠毡；；；；；げ椒ァ�。。。。 。企业网络涉及他人知识产权、商业神秘或非果真的小我私家信息的数据，， ，，，，应事前征得所涉主体赞成。。。。。 。
第三十条【以爬虫等手段抓取数据的正当标准】
企业接纳网络爬虫等自动化工具网络数据的，， ，，，，应当遵守执律例则、行业自律条约，， ，，，，尊重爬取工具网站的爬虫协议及规则，， ，，，，事前评估对网络效劳的性能、功效可能带来的影响，， ，，，，阻止滋扰网络效劳的正常功效或故障盘算机信息系统正常运行。。。。。 。
第三十一条【以购置、交流等手段网络数据的正当标准】
企业通过向第三方购置、交流、共享等方法网络数据的，， ，，，，应当切合执法、规则要求，， ，，，，对第三方的资质以及获取和持有数据的合规性举行须要审查，， ，，，，要求其作出数据泉源正当性允许并提供须要证实。。。。。 。
对从第三方获取的数据，， ，，，，企业应当肩负与直吸网络的数据一律的清静�；；；；；ぴ鹑斡牒瞎嬉逦瘛�。。。。 。
第三十二条【在提供产品、效劳历程中网络数据的正当标准】
企业在提供产品、效劳历程中网络小我私家信息，， ，，，，应当切合最小须要原则，， ，，，，仅网络与实现产品或效劳的营业功效直接相关的小我私家信息。。。。。 。不得因小我私家差别意提供非须要小我私家信息，， ，，，，而拒绝向其提供基本功效或效劳。。。。。 。
企业基于开发新型营业功效、提升效劳体验等目的，， ，，，，凌驾须要规模网络用户小我私家信息的，， ，，，，应当征得小我私家赞成。。。。。 。
企业如需使用在提供产品、效劳历程中网络到的数据，， ，，，，应当事先获得相关数据主体的授权赞成。。。。。 。
第三十三条【分类治理】
企业应当建设小我私家信息分类治理制度，， ，，，，团结小我私家信息的主体属性、详细种类、敏感水平、处置惩罚方法、应用场景、对小我私家权益的影响、可能保存的清静危害等因素明确小我私家信息分类标准，， ，，，，并划分确定针对差别类型小我私家信息的处置惩罚规则、合规义务和�；；；；；け曜肌�。。。。 。敏感小我私家信息及未成年人小我私家信息处置惩罚规则应当遵照执法、规则的相关划定。。。。。 。
第三十四条【小我私家信息�；；；；；ふ吆瞎妗�
企业在网络用户数据前，， ，，，，应当通过弹窗、文本链接、附件、常见问题(FAQs)等精练显着且易于会见的方法，， ，，，，以清晰易懂的语言见告用户小我私家信息�；；；；；ふ撸�， ，，，，小我私家信息�；；；；；ふ咚娴男畔⒂Φ卑ㄏ喙刂捶ā⒐嬖颉⑿幸底月商踉嫉然ǖ哪谌荩�， ，，，，所见告的信息应真实、准确、完整，， ，，，，且内容应清晰易懂，， ，，，，切合通用的语言习惯，， ，，，，使用标准化的数字、图示等，， ，，，，阻止使用有歧义的语言；；；；；小我私家信息�；；；；；ふ佑嫘记乙子诨峒�。。。。 。
第二节数据存储
第三十五条【分级分域治理】
企业应当凭证分类分级等内部规范对差别类型、危害品级和主要、敏感水平的数据举行分级分域治理，， ，，，，对差别数据举行物理隔离或强逻辑隔离，， ，，，，确定命据存储的限期、位置，， ，，，，并接纳相顺应的清静�；；；；；げ椒ズ突峒刂苹疲�， ，，，，维护数据的完整性、保密性、可用性。。。。。 。
企业应当通过加密存储、会见控制、校验手艺等步伐强化对主要数据和敏感小我私家信息的�；；；；；ぁ�。。。。 。
第三十六条【数据存储介质治理】
企业应当凭证数据类型、危害品级和主要、敏感水一律因素选择清静性能、防护级别与清静品级相顺应的存储装备和介质，， ，，，，制订数据存储装备和介质清单，， ，，，，建设数据存储装备和介质治理制度，， ，，，，规范存储装备和介质的使用、操作、维修和故障处置惩罚，， ，，，，并对转达、使用数据存储装备和介质的行为建设审批和日志纪录等管控机制，， ，，，，强化存储装备和介质的物理清静和加密治理。。。。。 。
第三十七条【云平台存储】
企业使用第三方云平台举行数据存储的，， ，，，，应当要求云效劳提供商按期报告云平台运行状态、清静状态等信息，， ，，，，并按期对第三方云平台的稳固性和接纳的清静�；；；；；げ椒サ染傩猩蠹疲�， ，，，，确保其具备充分的数据清静�；；；；；つ芰Α�。。。。 。
企业终止使用云平台存储效劳的，， ，，，，有权取回数据、文档等资料并对其完整性、有用性举行验证。。。。。 。云效劳提供商应当凭证约定方法删除、销毁云平台存储的数据及副本。。。。。 。
第三十八条【手艺�；；；；；げ椒ィ喝ケ晔痘⒛涿�
企业在存储数据时应当接纳加密、去标识化、匿名化处置惩罚等清静手艺步伐，， ，，，，降低小我私家信息被改动、破损、泄露或者不法获取、不法使用等危害。。。。。 。经已往标识化处置惩罚的小我私家信息应当与其他小我私家信息脱离存储，， ，，，，并严酷控制会见权限。。。。。 。
第三十九条【数据备份及恢复】
企业应当建设主要数据和小我私家信息的备份与恢复机制，， ，，，，确定命据备份的规模、频率、要领和流程，， ，，，，并按期对备份数据举行恢复测试和完整性校验，， ，，，，提防数据意外损毁、丧失等危害。。。。。 。
第三节数据传输和提供
第四十条【数据传输加密的合规要求】
企业应当接纳信源加密、通道加密等清静�；；；；；げ椒ト繁Ｊ荽浣橹屎颓樾吻寰玻�， ，，，，包管主要数据和敏感小我私家信息传输历程的清静性，， ，，，，提防未经授权会见和数据泄露。。。。。 。
第四十一条【向第三方提供数据的合规要求】
企业因营业需要等正当理由向第三方提供或共享、委托处置惩罚数据的，， ，，，，应当对数据吸收方举行事前资格审查并评估其数据清静�；；；；；つ芰Α�。。。。 。涉及提供主要数据、敏感数据的，， ，，，，应当留存响应的日志纪录。。。。。 。
企业应当通过条约等形式与数据吸收方约定处置惩罚数据的目的、规模、方法、限制与应接纳的清静�；；；；；げ椒サ仁孪睿�， ，，，，明确双方权力和义务，， ，，，，并对数据吸收方的处置惩罚运动举行须要监视。。。。。 。发明数据吸收方违反执法、规则划定或双方约定处置惩罚数据的，， ，，，，应当连忙要求其阻止相关行为并接纳须要的调解步伐；；；；；须要时应当暂�；；；；；蛑罩瓜蚱涮峁┦荩�， ，，，，并监视数据吸收方实时返还、删除、销毁已获得的数据。。。。。 。
第四十二条【向第三方提供小我私家信息的合规要求与宽免】
企业向第三方提供或共享、委托处置惩罚小我私家信息的，， ，，，，应当向小我私家见告吸收方的名称或者姓名、联系方法、处置惩罚目的、处置惩罚方法和小我私家信息的种类，， ，，，，并凭证执法划定征得小我私家单独赞成，， ，，，，并留存小我私家赞成纪录、提供小我私家信息的日志纪录以及共享、生意、委托处置惩罚主要数据的审批纪录和日志纪录。。。。。 。
第四十三条【配合处置惩罚场合下的合规要求】
两个以上的企业配合决议小我私家信息的处置惩罚目的和处置惩罚方法的，， ，，，，应当约定各自的权力和义务、应接纳的清静�；；；；；げ椒ァ⒈⑹萸寰彩挛袷钡牡鹘庥胗贝χ贸头２椒ヒ约霸鹑渭绺旱仁孪睢�。。。。 。
第四十四条【相助方治理】
企业应当增强对相助方的合规治理，， ，，，，明确信息系统开发及运维、数据存储、数据处置惩罚等相助方的准入标准和资格审查机制，， ，，，，并通过签署合规协议等形式明确双方的权力和义务，， ，，，，以及相助方的数据处置惩罚权限、应接纳的清静�；；；；；げ椒サ仁孪睢�。。。。 。
企业应当按期对相助方举行合规检查和审计，， ，，，，并团结危害特征对相助方举行合规分级、分类管控，， ，，，，对差别危害级别的相助方接纳相顺应的合规治理步伐。。。。。 。发明相助方保存严重违法、违规、违约行为或爆发重大数据清静事故、损失数据清静包管能力、居心不推行数据清静�；；；；；ぶ霸鸬惹樾蔚模�， ，，，，应实时终止与其相助。。。。。 。
第四十五条【第三方接入场景/SDK的合规义务】
企业在其产品或效劳中接入由第三方提供的软件开发工具包的，， ，，，，应当事前对接入第三方举行清静检测，， ，，，，评估是否保存已知的清静误差以及可能引起数据泄露等清静事务的行为，， ，，，，并建设响应的接入第三方合规治理机制，， ，，，，通过签署开发者效劳协议等形式明确双方的权力和义务、应接纳的清静�；；；；；げ椒ァ⒈⑹萸寰彩挛袷钡牡鹘庥胗贝χ贸头２椒ヒ约霸鹑渭绺旱仁孪睿�， ，，，，并留存第三方接入日志纪录。。。。。 。
第三方软件开发工具包具备网络、处置惩罚小我私家信息功效的，， ，，，，企业应当要求该第三方如实、完整披露网络、处置惩罚小我私家信息的详细情形，， ，，，，并应将相关情形实时、准确见告所涉小我私家，， ，，，，并凭证执法划定征得小我私家赞成。。。。。 。
企业应当对第三方软件开发工具包举行一连清静监测，， ，，，，发明接入第三方保存违反执法、规则划定或双方约定处置惩罚数据，， ，，，，或未落实数据清静�；；；；；ぴ鹑卧斐山洗笄寰参：Φ模�， ，，，，应当实时切断接入，， ，，，，并催促其接纳整改步伐。。。。。 。关于流量挟制、资费消耗、隐私窃取、广告刷量、恶意广告、恶意勒索、虚拟币挖矿、远程控制、剪切板挟制等恶意行为的第三方软件开发工具包应当作废其接入权限。。。。。 。
第四十六条【合并、重组、分立、驱逐、休业场合下的合规要求】
企业因吞并、重组、休业等缘故原由需要转移数据的，， ，，，，应当制订数据转移计划，， ，，，，明确数据承接方及其应当推行的数据清静�；；；；；ぴ鹑蔚仁孪睿�， ，，，，并以合适的方法通知受影响的小我私家。。。。。 。
作为数据承接方的企业应当继续肩负数据合规义务和数据清静责任。。。。。 。因营业需要等正当理由确需改变数据处置惩罚目的、规模、方法的，， ，，，，应当重新征得所涉小我私家赞成。。。。。 。
第四节数据生意
第四十七条【数据生意】
勉励数据生意主体通过数据生意场合举行生意。。。。。 。数据生意主体在生意前，， ，，，，可凭证相关执律例则的划定对数据产品或效劳举行数据资源挂号。。。。。 �？？？？ ？？？？故萆馐保�， ，，，，数据生意主体应当遵守以下基本要求：
(一)遵守我国关于数据流通与生意治理的执律例则，， ，，，，尊重社会公德、商业品德，， ，，，，接受监视治理；；；；；
(二)接纳须要步伐，， ，，，，做到生意历程可控制、危害可提防、责任可追溯、合规性可监视；；；；；
(三)数据生意主体应当忠实守信，， ，，，，恪守允许，， ，，，，周全实时推行条约约定及相关允许；；；；；
(四)数据生意主体在享有数据权益的同时，， ，，，，应当推行相关义务，， ，，，，确保数据生意清静合规。。。。。 。
第四十八条【数据生意场合的合规义务】
数据生意场合应当建设数据泉源可确认、使用规模可界定、生意历程可追溯、清静危害可提防的可信数据生意情形，， ，，，，制订平台准入、数据质量评估、生意治理、合规审查、信息披露、自律羁系等规则，， ，，，，对场内生意举行治理，， ，，，，生意加入主体应当予以配合。。。。。 。
数据生意场合应当对场内生意举行正当性与合规性评估，， ，，，，并推行以下义务：
(一)要求数据提供方说明数据泉源并审核相关信息，， ，，，，须要时要求提供合规评估执法意见书；；；；；
(二)审核数据生意双方身份和数据生意条约；；；；；
(三)留存相关审核、生意纪录；；；；；
(四)监视数据生意、结算和交付；；；；；
(五)接纳须要手艺手段确保数据生意清静，， ，，，，�；；；；；ば∥宜郊倚畔ⅰ⑿∥宜郊乙健⑸桃瞪衩亍⒈Ｃ苌涛裥畔⒑椭饕�；；；；；
(六)执法、规则划定的其他义务。。。。。 。
第四十九条【数据泉源合规】
开展数据生意的企业应当建设针对数据泉源的合规审查机制，， ，，，，确保数据获取手段正当合规、数据泉源链路清晰，， ，，，，并经由所涉主体明确授权赞成，， ，，，，不保存侵占国家、公共利益或其他组织、小我私家正当权益的情形。。。。。 。
第五十条【数据可生意性】
为包管数据生意的正当合规，， ，，，，开展数据生意的企业应当确认其提供的数据产品属于执律例则允许生意的规模，， ，，，，数据处置惩罚切合执法划定，， ，，，，不包括榨取生意的数据。。。。。 。该类数据形成的数据产品具有正当性、可控性、流通性。。。。。 。
第五十一条【数据内容合规】
开展数据生意的企业应当建设针对数据内容的合规审查机制，， ，，，，不得生意含有以下内容的数据产品或效劳：
(一)含有未经授权的小我私家信息的；；；；；
(二)含有侵占他人知识产权或商业神秘的内容的；；；；；
(三)含有未经依法开放的公共数据的；；；；；
(四)含有国家焦点数据或国家神秘的；；；；；
(五)含有执法、规则划定榨取生意的其他数据的。。。。。 。
第五十二条【数据质量管控】
开展数据生意的企业应当建设须要的数据质量校验机制，， ，，，，提升生意数据的准确性、完整性和实时性，， ，，，，并通过数据复核、交织验证等方法强化主要数据、敏感数据的质量审查。。。。。 。
第五十三条【反响修改机制】
开展数据生意的企业应当建设问题反响和修改机制，， ，，，，对证明保存过失或侵权的数据实时接纳更正、删除等调解步伐。。。。。 。
第五十四条【数据生意协议与监视责任】
开展数据生意的企业应当通过与生意相对方签署数据使用协议等方法，， ，，，，明确生意数据的使用目的、规模、方法、处置惩罚限制与应接纳的清静�；；；；；げ椒ァ⑸饧矍⒈Ｃ茉级ǖ仁孪睿�， ，，，，以及爆发违约、侵权行为时的执法责任，， ，，，，并在合理规模内对数据使用行为举行监视。。。。。 。
数据购置方应当凭证约定的目的、场景和方法合规使用数据，， ，，，，不得将通过生意获取的数据用于违反执律例则或双方约定的其他用途。。。。。 。
第五十五条【免责事由/容错机制】
开展数据生意的企业对凌驾其可预见规模和手艺控制能力的数据过失等质量瑕疵，， ，，，，在实时接纳调解步伐后仍造成损失的，， ，，，，应当允许其通过事前约定等方法减轻或免去响应责任，， ，，，，但对损失的爆发涯在居心或重大过失的除外。。。。。 。
第五节数据的使用
第五十六条【数据处置惩罚运动清静�；；；；；ひ逦瘛�
企业开展数据处置惩罚运动应当推行下列清静�；；；；；ひ逦瘢�
(一)建设健全数据清静防护治理制度；；；；；
(二)制订数据清静应急预案，， ，，，，按期开展清静评测、危害评估和应急演练；；；；；
(三)接纳清静�；；；；；な忠詹椒ィ�， ，，，，避免数据丧失、毁损、泄露和改动，， ，，，，包管数据清静；；；；；
(四)爆发重大数据清静事务时，， ，，，，连忙启动应急预案，， ，，，，实时接纳调解步伐，， ，，，，见告可能受到影响的用户，， ，，，，并凭证划定向有关主管部分报告；；；；；
(五)执法、规则划定的其他清静�；；；；；ひ逦瘛�。。。。 。
爆发、使用数据的程序、软件、系统清静台，， ，，，，在开发阶段应当举行清静可控修复手段的检测，， ，，，，包管数据的清静。。。。。 。
第五十七条【数据使用目的限制】
企业网络的小我私家信息必需用于明确、详细、正当的目的，， ，，，，并且使用时应与网络时的目的相符。。。。。 。不得凌驾原始目的规模与使用限期使用小我私家信息。。。。。 。
第五十八条【委托他人处置惩罚数据】
企业委托他人处置惩罚小我私家信息时，， ，，，，应当接纳以下步伐，， ，，，，确保委托处置惩罚行为合规：
(一)举行小我私家信息清静影响评估
(二)明确详细的约定委托处置惩罚内容
企业委托处置惩罚小我私家信息的，， ，，，，应当与受托人约定委托处置惩罚的目的、限期、处置惩罚方法、小我私家信息的种类、�；；；；；げ椒ヒ约八降娜鸵逦竦饶谌荨�。。。。 。小我私家信息处置惩罚者还应注重，， ，，，，除非属于无需获得赞成的情形外，， ，，，，委托处置惩罚规模不应凌驾小我私家信息主体授权赞成的规模
(三)对受托人处置惩罚行为举行监视
企业者应对受托人的处置惩罚行为举行监视，， ，，，，方法包括通过条约等方法划定受托人的责任和义务、对受托人举行审计等
(四)准确实时纪录委托行为
企业应准确并实时纪录和存储委托处置惩罚小我私家信息的情形，， ，，，，包括受托人名称、联系方法、资质允许、委托处置惩罚目的、规模、限期、处置惩罚方法、签署的条约文本等内容。。。。。 。
(五)实时接纳调解步伐
企业发明受托人未凭证委托要求处置惩罚小我私家信息，， ，，，，或未能有用推行小我私家信息清静�；；；；；ぴ鹑蔚模�， ，，，，应连忙要求受托人阻止相关行为并接纳有用调解步伐，， ，，，，控制或消除小我私家信息面临的清静危害。。。。。 。须要时企业应终止与受托人的营业关系，， ，，，，并要求受托人实时删除其获得的小我私家信息。。。。。 。
第五十九条【自动化决议场景的合规义务】
企业使用数据举行自动化决议的，， ，，，，应当包管自动化决议的透明度，， ，，，，并以适当方法公示其自动化决议的基来源理、目的意图和主要运行机制等信息。。。。。 。自动化决议的效果可能对小我私家权益造成显著影响的，， ，，，，应当对此种影响及可能爆发的效果予以说明，， ，，，，并为小我私家提供拒绝自动化决议的选项。。。。。 。
通过自动化决议方法举行信息推送、商业营销的，， ，，，，应当同时提供不针对小我私家特征的选项，， ，，，，并向小我私家提供便捷的拒绝方法。。。。。 。
企业不得使用数据剖析，， ，，，，对生意条件相同的生意相对人实验差别待遇，， ，，，，可是有下列情形之一的除外：
(一)凭证生意相对人的现实需求，， ，，，，且切合正当的生意习惯和行业老例，， ，，，，实验差别生意条件的；；；；；
(二)针对新用户在合理限期内开展优惠运动的；；；；；
(三)基于公正、合理、非歧视规则实验随机性生意的；；；；；
(四)执法、规则划定的其他情形。。。。。 。
前款所称生意条件相同，， ，，，，是指生意相对人在生意清静、生意本钱、信用状态、生意环节、生意一连时间等方面不保存实质性差别。。。。。 。
第六十条【小我私家信息�；；；；；び跋炱拦馈�
企业应当针对营业中涉及的对小我私家权益有重大影响的数据处置惩罚运动开展小我私家信息�；；；；；び跋炱拦溃�， ，，，，一连磨练、监控小我私家信息处置惩罚运动的正当合规水平、对小我私家正当权益造成损害的种种危害以及相关�；；；；；げ椒サ挠杏眯裕�， ，，，，形成和生涯小我私家信息�；；；；；び跋炱拦辣ǜ婧痛χ贸头Ｇ樾渭吐迹�， ，，，，并接纳响应刷新步伐。。。。。 。
第六十一条【建设小我私家信息权力行使的响应机制】
企业应当为用户行使《中华人民共和国小我私家信息�；；；；；しā犯匙拥母飨钊μ峁┍憬莸纳昵胧芾砗拖煊疲�， ，，，，明确合理的响应时限。。。。。 。
第六节数据删除和销毁
第六十二条【应当删除、销毁数据的情形】
企业应当建设数据存储冗余治理战略，， ，，，，按期对存储数据举行盘货，， ，，，，
关于对实现处置惩罚目的不再须要的数据，， ，，，，应当实时举行删除或匿名化处置惩罚。。。。。 。
当泛起以下情形时，， ，，，，企业应当对其持有的所有数据或相关数据举行删除、销毁：
(一)企业终止运营、驱逐或休业，， ，，，，且没有数据承接方的；；；；；
(二)约定的数据存储限期已经届满的，， ，，，，或爆发约定的数据删除、销毁事由的；；；；；
(三)凭证执法、规则划定应当删除、销毁数据的其他情形。。。。。 。
第六十三条【数据删除与销毁的合规要求】
企业应当建设数据删除和销毁的操作规程和治理制度，， ，，，，明确删除和销毁的工具、权限、流程和手艺等要求，， ，，，，确保被销毁数据不可恢复，， ，，，，并对相关运动举行纪录和留存。。。。。 。
企业对数据存储装备和介质举行报废处置惩罚的，， ，，，，应当事先接纳名堂化、重复删除、介质消磁等方法删除其中存储的数据，， ，，，，并接纳物理损毁等方法对介质举行彻底销毁。。。。。 。
第六十四条【删除小我私家信息的情形】
切合下列情形之一的，， ，，，，企业应当在十五个事情日之内对相关小我私家信息举行删除或匿名化处置惩罚，， ，，，，并遵照可审计原则纪录删除时间、操作人、数据内容等相关信息。。。。。 。小我私家信息处置惩罚者未删除的，， ，，，，小我私家有权请求删除：
(一)处置惩罚目的已实现、无法实现或者为实现处置惩罚目的不再须要；；；；；
(二)企业阻止提供产品或者效劳，， ，，，，或者生涯限期已届满；；；；；
(三)小我私家撤回赞成；；；；；
(四)企业违反执法、行政规则或者违反约定处置惩罚小我私家信息；；；；；
(五)执法、行政规则划定的其他情形。。。。。 。
执法、行政规则划定的生涯限期未届满，， ，，，，或者删除小我私家信息从手艺上难以实现的，， ，，，，企业当阻止除存储和接纳须要的清静�；；；；；げ椒ブ獾拇χ贸头！�。。。。 。
第五章数据合规运行及包管
第六十五条【数据合规教育和培训】
企业应当按期组织开展数据合规教育培训，， ，，，，确保内部职员充分相识数据规则、数据合规妄想、数据合规义务与举报程序等，， ，，，，提升内部职员数据合规意识。。。。。 。
第六十六条【数据合规治理系统】
勉励企业建设健全数据合规治理系统，， ，，，，开展数据合规治理长效机制，， ，，，，勉励企业设置数据合规责任人、自力数据治理机构、专门治理制度和数据治理妄想、妄想，， ，，，，建设企业有关数据合规治理的内外部运行监视评价机制。。。。。 。
第六十七条【合规咨询】
企业可以建设数据合规咨询机制，， ，，，，治理层和各部分员工在事情中可以向数据合规治理部分咨询数据合规问题。。。。。 。
第六十八条【人力资源治理与包管】
企业应当在数据合规治理制度规范中明确员工的数据合规义务，， ，，，，勉励将数据合规落实效果纳入审核系统，， ，，，，作为决议评优评先、职务提升与薪酬待遇的主要依据。。。。。 。
要害岗位员工离岗后，， ，，，，应当凭证数据合规治理要求执行离岗交接、审计、脱密等步伐。。。。。 。
第六十九条【合规允许制度】
企业应当建设数据合规允许制度，， ，，，，明确违反数据合规允许的效果与问责机制，， ，，，，数据合规认真人、数据合规治理部分认真人以及其他数据处置惩罚要害岗位员工应作出并严酷推行数据合规允许。。。。。 。
第七十条【举报与视察机制】
企业应当建设内部数据合规举报机制，， ，，，，勉励、支持内部职员对试图、涉嫌或现实保存的数据不对规行为举行举报，， ，，，，并接纳须要步伐�；；；；；つ诓烤俦ㄈ诵畔ⅰ�。。。。 。
企业应当建设外部数据合规举报机制，， ，，，，宣布受理部分某职员联系方法、受理流程等信息，， ，，，，勉励受到数据不对规行为影响的主体举行投诉，， ，，，，并接纳须要步伐�；；；；；ね獠烤俦ㄈ诵畔ⅰ�。。。。 。
收到举报后，， ，，，，数据合规治理部分应当团结举报线索的真实性、有用性实时启动视察程序，， ，，，，确保视察历程的自力性、公正性，， ，，，，形成视察效果报告并接纳响应处置惩罚和刷新步伐，， ，，，，一连完善数据合规治理制度系统。。。。。 。
第七十一条【跨部分相助机制】
企业应建设跨部分协作机制，， ，，，，确保各部分在数据处置惩罚运动中遵照数据合规政策。。。。。 。包括但不限于按期召开跨部分聚会、分享数据合规最佳实践以及协调解决数据合规问题。。。。。 。
第七十二条【按期合规审计】
为包管企业数据治理的合规性和清静性，， ，，，，企业内部应当按期开展数据合规审计，， ，，，，或委托具有相关资质的外部机构举行自力审计，， ，，，，企业需确保天生并妥善保管相关的数据合规审计报告。。。。。 。关于审计历程中发明的合规问题与清静隐患应实时接纳整改步伐。。。。。 。
第六章数据跨境流动合规
第七十三条【适用数据出境清静评估的情形】
企业向境外提供数据，， ，，，，有下列情形之一的，， ，，，，应当通过所在地省级
网信部分向国家网信部分申报数据出境清静评估：
(一)要害信息基础设施运营者向境外提供小我私家信息或者主要数据；；；；；
(二)要害信息基础设施运营者以外的数据处置惩罚者向境外提供主要数据，， ，，，，或者自昔时1月1日起累计向境外提供100万人以上小我私家信息(不含敏感小我私家信息)或者1万人以上敏感小我私家信息。。。。。 。
(三)国家网信部分划定的其他需要申报数据出境清静评估的情形。。。。。 。
第七十四条【数据出境危害自评估的开展】
企业在申报数据出境清静评估前，， ，，，，应当开展数据出境危害自评估，， ，，，，重点评估以下事项：
(一)数据出境和境外吸收方处置惩罚数据的目的、规模、方法等的正当性、正当性、须要性；；；；；
(二)出境数据的规模、规模、种类、敏感水平，， ，，，，数据出境可能对国家清静、公共利益、小我私家或者组织正当权益带来的危害；；；；；
(三)境外吸收方允许肩负的责任义务，， ，，，，以及推行责任义务的治理和手艺步伐、能力等能否包管出境数据的清静；；；；；
(四)数据出境中和出境后遭到改动、破损、泄露、丧失、转移或者被不法获取、不法使用等的危害，， ，，，，小我私家信息权益维护的渠道是否通畅等；；；；；
(五)与境外吸收方拟订立的数据出境相关条约或者其他具有执法效力的文件等是否充分约定了数据清静�；；；；；ぴ鹑我逦�；；；；；
(六)其他可能影响数据出境清静的事项。。。。。 。
第七十五条【需要重新评估的情形】
通过数据出境清静评估的效果有用期为3年，， ，，，，自评估效果出具之日起盘算。。。。。 。在数据出境清静评估的效果有用期内泛起以下情形之一的，， ，，，，企业应当重新申报评估：
(一)向境外提供数据的目的、方法、规模、种类和境外吸收方处置惩罚数据的用途、方法爆发转变影响出境数据清静的，， ，，，，或者延伸小我私家信息和主要数据境外生涯限期的；；；；；
(二)境外吸收方所在国家或者地区数据清静�；；；；；ふ吖嬖蚝屯缜寰睬樾伪⒆湟约氨⑵渌豢煽沽η樾巍⑹荽χ贸头Ｕ呋蛘呔惩馕辗较质悼刂迫ū⒆洹⑹荽χ贸头Ｕ哂刖惩馕辗街捶ㄎ募浠坏扔跋斐鼍呈萸寰驳�；；；；；
(三)泛起影响出境数据清静的其他情形。。。。。 。
有用期届满，， ，，，，需要继续开展数据出境运动的，， ，，，，企业应当在有用期届满60个事情日前重新申报评估。。。。。 。
第七十六条【延伸评估效果有用期申请】
数据出境清静评估效果有用期届满，， ，，，，需要继续开展数据出境运动且未爆发需要重新申报数据出境清静评估情形的，， ，，，，数据处置惩罚者可以在有用期届满前60个事情日内通过所在地省级网信部分向国家网信部分提出延伸评估效果有用期申请。。。。。 。经国家网信部分批准，， ，，，，可以延伸评估效果有用期3年。。。。。 。
第七十七条【明确约定命据清静�；；；；；ぴ鹑我逦瘛�
企业应当在与境外吸收方订立的执法文件中明确约定命据清静�；；；；；ぴ鹑我逦瘢�， ，，，，至少包括以下内容：
(一)数据出境的目的、方法和数据规模，， ，，，，境外吸收方处置惩罚数据的用途、方法等；；；；；
(二)数据在境外生涯所在、限期，， ，，，，以及抵达生涯限期、完成约定目的或者执法文件终止后出境数据的处置惩罚步伐；；；；；
(三)关于境外吸收方将出境数据再转移给其他组织、小我私家的约束性要求；；；；；
(四)境外吸收方在现实控制权或者谋划规模爆发实质性转变，， ，，，，或者所在国家、地区数据清静�；；；；；ふ吖嬖蚝屯缜寰睬樾伪⒆湟�
及爆发其他不可抗力情形导致难以包管数据清静时，， ，，，，应当接纳的清静步伐；；；；；
(五)违反执法文件约定的数据清静�；；；；；ひ逦竦牡鹘獠椒ァ⑽ピ荚鹑魏驼榻饩龇椒�；；；；；
(六)出境数据遭到改动、破损、泄露、丧失、转移或者被不法获取、不法使用等危害时，， ，，，，妥善开展应急处置惩罚的要求和包管小我私家维护其小我私家信息权益的途径和方法。。。。。 。
第七十八条【向境外提供小我私家信息的条件】
企业因营业等需要，， ，，，，确需向中华人民共和国境外提供小我私家信息的，， ，，，，应当具备下列条件之一：
(一)遵照《小我私家信息�；；；；；しā返谒氖醯幕ㄍü彝挪糠肿橹那寰财拦�；；；；；
(二)凭证国家网信部分的划定经专业机构举行小我私家信息�；；；；；と现�；；；；；
(三)凭证国家网信部分制订的标准条约与境外吸收方订立条约，， ，，，，约定双方的权力和义务；；；；；
(四)执法、行政规则或者国家网信部分划定的其他条件。。。。。 。
中华人民共和国缔结或者加入的国际条约、协定对向中华人民共和国境外提供小我私家信息的条件等有划定的，， ，，，，可以凭证其划定执行。。。。。 。
企业应当接纳须要步伐，， ，，，，包管境外吸收方处置惩罚小我私家信息的运动抵达《小我私家信息�；；；；；しā坊ǖ男∥宜郊倚畔⒈；；；；；け曜肌�。。。。 。
第七十九条【小我私家数据出境场景下的见告赞成要求】
企业向中华人民共和国境外提供小我私家信息的，， ，，，，应当向小我私家见告境外吸收方的名称或者姓名、联系方法、处置惩罚目的、处置惩罚方法、小我私家信息的种类以及小我私家向境外吸收方行使《小我私家信息�；；；；；しā坊ǖ母飨钊Φ姆椒ê统绦虻仁孪睿�， ，，，，并取得小我私家的单独赞成。。。。。 。
第八十条【小我私家信息出境场景下的小我私家信息�；；；；；び跋炱拦馈�
企业向境外提供小我私家信息的，， ，，，，应当事前举行小我私家信息�；；；；；び跋炱拦溃�， ，，，，并形成小我私家信息�；；；；；び跋炱拦辣ǜ妫�， ，，，，评估报告和处置惩罚情形纪录至少生涯三年。。。。。 。
评估报告应至少包括以下事项：
(一)小我私家信息处置惩罚者和境外吸收方处置惩罚小我私家信息的目的、规模、方法等的正当性、正当性、须要性；；；；；
(二)出境小我私家信息的规模、规模、种类、敏感水平，， ，，，，小我私家信息出境可能对小我私家信息权益带来的危害；；；；；
(三)境外吸收方允许肩负的义务，， ，，，，以及推行义务的治理和手艺步伐、能力等能否包管出境小我私家信息的清静；；；；；
(四)小我私家信息出境后遭到改动、破损、泄露、丧失、不法使用等的危害，， ，，，，小我私家信息权益维护的渠道是否通畅等；；；；；
(五)境外吸收方所在国家或者地区的小我私家信息�；；；；；ふ吆凸嬖蚨员曜继踉纪菩械挠跋�；；；；；
(六)其他可能影响小我私家信息出境清静的事项。。。。。 。
第八十一条【适用出境标准条约或小我私家信息�；；；；；と现さ那樾巍�
企业向境外提供小我私家信息同时切合下列情形的，， ，，，，应当依法与境外吸收方订立小我私家信息出境标准条约或者通过小我私家信息�；；；；；と现ぃ�
(一)要害信息基础设施运营者以外的数据处置惩罚者；；；；；
(二)自昔时1月1日起，， ，，，，累计向境外提供10万人以上、不满100万人小我私家信息(不含敏感小我私家信息)的；；；；；
(三)自昔时1月1日起，， ，，，，累计向境外提供不满1万人敏感小我私家信息的。。。。。 。
执法、行政规则或者国家网信部分尚有划定的，， ，，，，从其划定。。。。。 。
企业不得接纳数目拆分等手段，， ，，，，将依法应当通过出境清静评估的小我私家信息通过订立标准条约或者通过小我私家信息�；；；；；と现さ姆椒ㄏ蚓惩馓峁�。。。。 。
第八十二条【小我私家信息�；；；；；と现す嬖颉�
企业通过经专业机构举行小我私家信息�；；；；；と现さ姆椒ㄏ蚓惩馓峁┬∥宜郊倚畔⒌模�， ，，，，应当切合TC260-PG-20222A《小我私家信息跨境处置惩罚运动清静认证规范》、GB/T 35273《信息清静手艺小我私家信息清静规范》的要求。。。。。 。
认证证书有用期为3年。。。。。 。在有用期内，， ，，，，通过认证机构的获证后监视，， ，，，，坚持认证证书的有用性。。。。。 。证书到期需延续使用的，， ，，，，企业应当在有用期届满前6个月内提出认证委托。。。。。 。
第八十三条【出境标准条约的订立、备案】
企业通过订立标准条约的方法向境外提供小我私家信息的，， ，，，，应当严酷凭证国家网信部分制订的标准条约订立，， ，，，，企业可以与境外吸收方约定其他条款，， ，，，，但不得与标准条约相冲突。。。。。 。标准条约生效后方可开展小我私家信息出境运动。。。。。 。
企业应当在标准条约生效之日起10个事情日内向所在地省级网信部分备案。。。。。 。
第八十四条【需要重新备案的情形】
企业在标准条约有用期内泛起下列情形之一的，， ，，，，企业应当重新开展小我私家信息�；；；；；び跋炱拦溃�， ，，，，增补或者重新签署标准条约，， ，，，，并推行响应备案手续：
(一)向境外提供小我私家信息的目的、规模、种类、敏感水平、方法、生涯所在或者境外吸收方处置惩罚小我私家信息的用途、方法爆发转变，， ，，，，或者延伸小我私家信息境外生涯限期的；；；；；
(二)境外吸收方所在国家或者地区的小我私家信息�；；；；；ふ吆凸嬖虮⒆涞瓤赡苡跋煨∥宜郊倚畔⑷ㄒ娴�；；；；；
(三)可能影响小我私家信息权益的其他情形。。。。。 。
第八十五条【数据和小我私家信息出境的特殊划定】
企业处置惩罚数据和小我私家信息，， ，，，，应当凭证数据和小我私家信息的泉源、主要性、网络区域等要素举行剖析判断，， ，，，，属于《增进与规范数据跨境流动划定》的以下情形之一的，， ，，，，可免予申报数据出境清静评估、订立小我私家信息出境标准条约、通过小我私家信息�；；；；；と现ぃ�
(一)国际商业、跨境运输、学术相助、跨国生产制造和市场营销等运动中网络和爆发的数据向境外提供，， ，，，，不包括小我私家信息或者主要数据的；；；；；
(二)在境外网络和爆发的小我私家信息传输至境内处置惩罚后向境外提供，， ，，，，处置惩罚历程中没有引入境内小我私家信息或者主要数据的；；；；；
(三)为订立、推行小我私家作为一方当事人的条约，， ，，，，如跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票旅馆预订、签证治理、考试效劳等，， ，，，，确需向境外提供小我私家信息的；；；；；
(四)凭证依法制订的劳动规章制度和依法签署的整体条约实验跨境人力资源治理，， ，，，，确需向境外提供员工小我私家信息的；；；；；
(五)紧迫情形下为�；；；；；ぷ匀蝗说纳到『凸ひ登寰玻�， ，，，，确需向境外提供小我私家信息的；；；；；
(六)要害信息基础设施运营者以外的数据处置惩罚者自昔时1月1日起累计向境外提供不满10万人小我私家信息(不含敏感小我私家信息)的。。。。。 。
其中(三)至(六)情形所称向境外提供的小我私家信息，， ，，，，不包括被相关部分、地区见告或者果真宣布为主要数据的小我私家信息。。。。。 。
执法、行政规则或者国家网信部分尚有划定的，， ，，，，从其划定。。。。。 。
第八十六条【遵守出口管制要求的合规义务】
国家对与维护国家清静和利益、推行国际义务相关的属于管制物项的数据依法实验出口管制，， ，，，，企业向境外提供涉及出口管制的数据的，， ，，，，应当依法向有关部分申请出口允许证；；；；；可能危害国家清静和利益的，， ，，，，不得向境外提供。。。。。 。
第八十七条【境外司法或执法机构调取数据场景下的合规义务】
非经中华人民共和国主管机关批准，， ，，，，企业不得向外国司法或者执法机构提供存储于中华人民共和国境内的数据。。。。。 。
第七章附则
第八十八条【基本看法】本指引所称的看法寄义如下：
(一)数据，， ，，，，是指任何以电子或者其他方法对信息的纪录；；；；；
(二)小我私家信息，， ，，，，是指以电子或者其他方法纪录的与已识别或者可识别的自然人有关的种种信息，， ，，，，不包括匿名化处置惩罚后的信息；；；；；
(三)敏感小我私家信息，， ，，，，是指一旦泄露或者不法使用，， ，，，，容易导致自然人的人格尊严受到损害或者人身、工业清静受到危害的小我私家信息，， ，，，，包括生物识别、宗教信仰、特定身份、医疗康健、金融账户、行踪轨迹等信息，， ，，，，以及不满十周围岁未成年人的小我私家信息。。。。。 。
(四)主要数据，， ，，，，是指一旦遭到改动、破损、泄露或者不法获取、不法使用等，， ，，，，可能危害国家清静、经济运行、社会稳固、公共康健和清静等的数据；；；；；
(五)国家焦点数据，， ，，，，是指关系国家清静、国民经济命脉、主要民生、重至公共利益等的数据；；；；；
(六)数据处置惩罚，， ，，，，包括数据的网络、传输、存储、加工、使用、提供、果真等；；；；；
(七)数据清静，， ，，，，是指通过接纳须要步伐，， ，，，，确保数据处于有用�；；；；；ず驼笔褂玫淖刺�， ，，，，以及具备包管一连清静状态的能力；；；；；
(八)数据合规，， ，，，，是指企业通过接纳须要步伐，， ，，，，确保其在一样平常谋划运动中的数据处置惩罚行为抵达小我私家信息�；；；；；ぁ⑼缜寰病⑹萸寰驳确矫娴闹捶ㄒ蟮淖刺�；；；；；
(九)数据合规治理，， ，，，，是指以预防和降低涉数据违法犯法和数据清静危害为目的，， ，，，，以企业及其员工行为为治理工具，， ，，，，开展的一系列治理运动。。。。。 。
(十)自动化决议，， ，，，，是指通过盘算机程序自动剖析、评估小我私家的行为习惯、兴趣喜欢或者经济、康健、信用状态等，， ，，，，并举行决议的运动。。。。。 。
(十一)数据生意场合，， ，，，，是指经省市政府批准建设的，， ，，，，组织开展数据生意运动的生意场合。。。。。 。
(十二)企业在中华人民共和国境内和境外从事如下运动属于数据出境行为：
(1)企业将在境内运营中网络和爆发的数据传输至境外；；；；；
(2)企业网络和爆发的数据存储在境内，， ，，，，境外的机构、组织或者小我私家可以盘问、调取、下载、导出；；；；；
(3)企业在境外处置惩罚境内自然人小我私家信息，， ，，，，以向境内自然人提供产品或者效劳；；；；；
(4)企业在境外剖析、评估境内自然人的行为；；；；；
(5)执法、规则划定的认定为数据出境的其他数据处置惩罚运动。。。。。 。
第八十九条【指引的诠释】
本指引由合肥市数据资源治理局、合肥市司法局认真诠释。。。。。 。
第九十条【施行日期】
本指引自宣布之日起施行。。。。。 。
