国家网信办拟建立数据分类分级保护制度

11月14日，国家互联网信息办公室就《网络数据安全管理条例(征求意见稿)》公开征求意见。《意见稿》指出，国家建立数据分类分级保护制度。

《意见稿》明确，按照数据对国家安全、公共利益或者个人、组织合法权益的影响和重要程度，将数据分为一般数据、重要数据、核心数据，不同级别的数据采取不同的保护措施。国家对个人信息和重要数据进行重点保护，对核心数据实行严格保护。

根据《意见稿》，数据处理者应当按照有关法律、行政法规的规定和国家标准的强制性要求，建立完善数据安全管理制度和技术保护机制。数据处理者应当采取备份、加密、访问控制等必要措施，保障数据免遭泄露、窃取、篡改、毁损、丢失、非法使用，应对数据安全事件，防范针对和利用数据的违法犯罪活动，维护数据的完整性、保密性、可用性。

按照《意见稿》要求，数据处理者应当按照网络安全等级保护的要求，加强数据处理系统、数据传输网络、数据存储环境等安全防护，处理重要数据的系统原则上应当满足三级以上网络安全等级保护和关键信息基础设施安全保护要求，处理核心数据的系统依照有关规定从严保护。数据处理者应当使用密码对重要数据和核心数据进行保护。

《意见稿》指出，数据处理者向第三方提供个人信息，或者共享、交易、委托处理重要数据的，留存个人同意记录及提供个人信息的日志记录，共享、交易、委托处理重要数据的审批记录、日志记录至少五年；不得超出约定的目的、范围、处理方式处理个人信息和重要数据。

《意见稿》强调，数据处理者在相应条件下应该申报网络安全审查，这些条件包括：汇聚掌握大量关系国家安全、经济发展、公共利益的数据资源的互联网平台运营者实施合并、重组、分立，影响或者可能影响国家安全的；处理一百万人以上个人信息的数据处理者赴国外上市的；数据处理者赴香港上市，影响或者可能影响国家安全的等等。大型互联网平台运营者在境外设立总部或者运营中心、研发中心，也应当向国家网信部门和主管部门报告。

《意见稿》对个人信息保护进行规范。根据《意见稿》，数据处理者利用生物特征进行个人身份认证的，应当对必要性、安全性进行风险评估，不得将人脸、步态、指纹、虹膜、声纹等生物特征作为唯一的个人身份认证方式，以强制个人同意收集其个人生物特征信息。

（文章来源：中国证券报）