中伦深度观察2021年9月

数据安全合规要求及企业应对策略

1. 法规概述

• 《网络安全法》：规定了国家实行网络安全等级保护制度，按重要程度分为五个等级。
• 《数据安全法》：建立了数据分类分级保护制度，明确重要数据目录和国家核心数据的管理。
• 《个人信息保护法》：细化了处理个人信息的要求，特别是敏感个人信息的处理和跨境提供的规则。

2. 企业合规义务

• 内部系统与制度完善：企业需采取技术措施（如加密、反病毒等）保障数据安全，并制定内部管理制度、操作规程和应急预案。
• 敏感个人信息处理：处理敏感个人信息需满足特定目的和充分必要性，取得个人单独同意，并告知处理必要性和影响。
• 数据跨境提供：企业跨境提供重要数据和个人信息需履行必要程序，如安全评估、认证等。
• 拟上市企业：赴国外上市需申报网络安全审查，确保符合相关法规要求。

3. 数据安全建设与风险管理

• 完善企业数据安全建设：建议企业依据最新法律法规和技术规范进行全面梳理和评估，确保数据安全合规。
• 数据安全尽职调查：在对外投资时，进行专门的数据安全尽职调查，识别潜在风险并制定解决方案。
• 交易文件中的数据安全条款：在投资交易文件中加入数据安全尽职调查的结果和风险缓释措施，确保双方权益。

4. 结语

• 加强数据安全监管：企业需加强对相关法律法规和政策的掌握，规范自身业务和运营。
• 促进数据要素流通：通过合理管控数据安全风险，推动数字经济的发展。

关键数据

• 网络安全等级保护制度：分为五级，第五级为最高。
• 重要数据目录：由国家建立，加强对重要数据的保护。
• 关键信息基础设施：需在网络安全等级保护基础上重点保护，采取技术及其他必要措施。
• 敏感个人信息：包括生物识别、宗教信仰、特定身份等信息。
• 跨境提供重要数据：需通过安全评估、认证等程序。