数据安全及个人信息保护相关法律规定梳理

（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；
（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；
（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；
（四）采取数据分类、重要数据备份和加密等措施；
（五）其他

网络运营者应当加强对其用户发布的信息的管理，发现法律、行政法规禁止发布或者传输的信息的，应当立即停止传输该信息，采取消除等处置措施，防止信息扩散，保存有关记录，并向有关主管部门报告。

任何个人和组织发送的电子信息、提供的应用软件设置恶意程序或含有法律、行政法规禁止发布或者传输的信息的，电子信息发送服务提供者和应用软件下载服务提供者知道其用户有前款规定行为的，应当停止提供服务，采取消除等处置措施，保存有关记录，并向有关主管部门报告。

网络运营者应当建立网络信息安全投诉、举报制度，公布投诉、举报方式等信息，及时受理并处理有关网络信息安全的投诉和举报。

符合相关国家标准的强制性要求。网络产品、服务的提供者不得设置恶意程序；
发现其网络产品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。
网络产品、服务的提供者应当为其产品、服务持续提供安全维护；在规定或者当事人约定的期限内，不得终止提供安全维护。
网络产品、服务具有收集用户信息功能的，其提供者应当向用户明示并取得同意；
涉及用户个人信息的，还应当遵守本法和有关法律、行政法规关于个人信息保护的规定。

网络关键设备和网络安全专用产品应当按照相关国家标准的强制性要求，由具备资格的机构安全认证合格或者安全检测符合要求后，方可销售或者提供。国家网信部门会同国务院有关部门制定、公布网络关键设备和网络安全专用产品目录，并推动安全认证和安全检测结果互认，避免重复认证、检测。

办理网络接入、域名注册服务，
办理固定电话、移动电话等入网手续，
或者为用户提供信息发布、即时通讯等服务，在与用户签订协议或者确认提供服务时

遵守宪法法律，遵守公共秩序，尊重社会公德，不得危害网络安全，不得利用网络从事危害国家安全、荣誉和利益，煽动颠覆国家政权、推翻社会主义制度，煽动分裂国家、破坏国家统一，宣扬恐怖主义、极端主义，宣扬民族仇恨、民族歧视，传播暴力、淫秽色情信息，编造、传播虚假信息扰乱经济秩序和社会秩序，以及侵害他人名誉、隐私、知识产权和其他合法权益等活动。

不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动；
不得提供专门用于从事侵入网络、干扰网络正常功能及防护措施、窃取网络数据等危害网络安全活动的程序、工具；
明知他人从事危害网络安全的活动的，不得为其提供技术支持、广告推广、支付结算等帮助。

任何个人和组织不得窃取或者以其他非法方式获取个人信息，不得非法出售或者非法向他人提供个人信息。

依法负有网络安全监督管理职责的部门及其工作人员，必须对在履行职责中知悉的个人信息、隐私和商业秘密严格保密，不得泄露、出售或者非法向他人提供。

任何个人和组织应当对其使用网络的行为负责，不得设立用于实施诈骗，传授犯罪方法，制作或者销售违禁物品、管制物品等违法犯罪活动的网站、通讯群组。
不得利用网络发布涉及实施诈骗，制作或者销售违禁物品、管制物品以及其他违法犯罪活动的信息。

任何个人和组织发送的电子信息、提供的应用软件，不得设置恶意程序，不得含有法律、行政法规禁止发布或者传输的信息。

按照国务院规定的职责分工，负责关键信息基础设施安全保护工作的部门分别编制并组织实施本行业、本领域的关键信息基础设施安全规划，指导和监督关键信息基础设施运行安全保护工作。

关键信息基础设施的运营者还应当履行下列安全保护义务：
（一）设置专门安全管理机构和安全管理负责人，并对该负责人和关键岗位的人员进行安全背景审查；
（二）定期对从业人员进行网络安全教育、技术培训和技能考核；
（三）对重要系统和数据库进行容灾备份；
（四）制定网络安全事件应急预案，并定期进行演练；
（五）其他

关键信息基础设施的运营者采购网络产品和服务，可能影响国家安全的，应当通过国家网信部门会同国务院有关部门组织的国家安全审查。

关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。
因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估；

关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估，并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门。

国家网信部门应当统筹协调有关部门对关键信息基础设施的安全保护采取下列措施：
（一）对关键信息基础设施的安全风险进行抽查检测，提出改进措施，必要时可以委托网络安全服务机构对网络存在的安全风险进行检测评估；
（二）定期组织关键信息基础设施的运营者进行网络安全应急演练；
（三）促进有关部门、关键信息基础设施的运营者以及有关研究机构、网络安全服务机构等之间的网络安全信息共享；
（四）对网络安全事件的应急处置与网络功能的恢复等，提供技术支持和协助。

应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。
网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。

网络运营者不得泄露、篡改、毁损其收集的个人信息；
未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。
网络运营者应当采取技术措施和其他必要措施，确保其收集的个人信息安全，防止信息泄露、毁损、丢失。
在发生或者可能发生个人信息泄露、毁损、丢失的情况时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。

网络运营者违反规定收集、使用个人信息，或收集存储的个人信息有错误的，个人有权要求其删除或更正，运营者应当采取措施删除或更正。

第59条：针对第21、25、33、34、36、38条的网络安全保护义务

第60条：针对第22条、第48条规定

第61条：针对第24条要求用户提供真实身份信息的规定

第62条：针对第26条规定的行为

第63条：针对第27条规定的行为

第64条：针对第22、41、43、44条规定的行为

第65条：针对第35条规定的关键信息基础设施的运营行为

第66条：针对第37条规定的关键信息基础设施的运营行为

第67条：针对第46条规定的行为

第68条：针对第47条规定的行为

第69条：针对不配合相关部门的监管的行为

第70条：针对第12条规定的行为

第73条：针对第30条规定的网络安全保护职责行为

以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。

数据，是指任何以电子或者其他方式对信息的记录。

数据处理，包括数据的收集、存储、使用、加工、传输、提供、公开等。

数据安全，是指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。

应当有利于促进经济社会发展，增进人民福祉，符合社会公德和伦理。

应当加强风险监测，发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施；发生数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告。

应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。

不得窃取或者以其他非法方式获取数据。

应当在法律、行政法规规定的目的和范围内收集、使用数据。

从事数据交易中介服务的机构提供服务，应当要求数据提供方说明数据来源，审核交易双方的身份，并留存审核、交易记录。

国家机关对在履行职责中知悉的个人隐私、个人信息、商业秘密、保密商务信息等数据应当依法予以保密

按照规定及时、准确地公开政务数据。

第45条：针对第27、29、30条的数据安全保护义务规定

第46条：针对第31条规定的向境外提供数据行为

第47条：针对第33条规定的数据交易中介行为

第48条：针对第35条规定的配合数据调取以及第69条规定的向外国司法机构提供数据的行为

第3条

市政府办公厅负责推动、监督本市公共数据开放工作。
市经济信息化部门（上海市经济和信息化委员会）负责指导协调、统筹推进本市公共数据开放、利用和相关产业发展。
市大数据中心（由上海市人民政府办公厅举办的事业单位）负责本市公共数据统一开放平台（https://data.sh.gov.cn/，以下简称开放平台）的建设、运行和维护，并制订相关技术标准。
区人民政府确定的部门负责指导、推进和协调本行政区域内公共数据开放工作。
其他公共管理和服务机构根据相关法律、法规和规章，做好公共数据开放的相关工作。

市人民政府建立健全公共数据开放工作的协调机制，协调解决公共数据开放的重大事项。

市经济信息化部门应当建立由高校、科研机构、企业、相关部门的专家组成的公共数据开放专家委员会。
公共数据开放专家委员会负责研究论证公共数据开放中的疑难问题，评估公共数据利用风险，对公共数据开放工作提出专业建议。

第9条

第11条

第14、15条

第17-22条

第23-28条

第42-46条

第2条

第4.3条

第5条

第7条

第8条

第10条

负责本系统、行业公共数据管理的市级部门（以下简称市级责任部门）应当依据业务职能，制定本系统、行业公共数据资源规划，完善管理制度和标准规范，组织开展本系统、行业数据的收集、归集、治理、共享、开放、应用及其相关质量和安全管理。
公共数据管理涉及多个部门或者责任不明确的，由市政府办公厅指定市级责任部门。
区人民政府明确的公共数据主管部门，负责统筹开展本行政区域公共数据管理工作，接受市政府办公厅的业务指导。

第27-37条

第38-43条

第44-46条

第2条

在国家网信部门统筹协调下，国务院公安部门负责指导监督关键信息基础设施安全保护工作。
国务院电信主管部门和其他有关部门依照本条例和有关法律、行政法规的规定，在各自职责范围内负责关键信息基础设施安全保护和监督管理工作。
省级人民政府有关部门依据各自职责对关键信息基础设施实施安全保护和监督管理。

第二条涉及的重要行业和领域的主管部门、监督管理部门是负责关键信息基础设施安全保护工作的部门

保护工作部门结合本行业、本领域实际，制定关键信息基础设施认定规则，并报国务院公安部门备案。

第8-11条

第12-21条

第39-49条

公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的主管、监管部门（以下统称保护工作部门）应制定本行业、本领域关键信息基础设施认定规则并报公安部备案。
保护工作部门根据认定规则负责组织认定本行业、本领域关键信息基础设施，及时将认定结果通知相关设施运营者并报公安部。
应将符合认定条件的基础网络、大型专网、核心业务系统、云平台、大数据平台、物联网、工业控制系统、智能制造系统、新型互联网、新兴通讯设施等重点保护对象纳入关键信息基础设施。
关键信息基础设施清单实行动态调整机制，有关网络设施、信息系统发生较大变化，可能影响其认定结果的，运营者应及时将相关情况报告保护工作部门，保护工作部门应组织重新认定，将认定结果通知运营者，并报公安部。

公安部负责关键信息基础设施安全保护工作的顶层设计和规划部署，会同相关部门健全完善关键信息基础设施安全保护制度体系。
保护工作部门负责对本行业、本领域关键信息基础设施安全保护工作的组织领导，制定并实施本行业、本领域关键信息基础设施安全总体规划和安全防护策略，落实本行业、本领域网络安全指导监督责任。
关键信息基础设施运营者负责设置专门安全管理机构，组织开展关键信息基础设施安全保护工作，主要负责人对本单位关键信息基础设施安全保护负总责。

中央网络安全和信息化领导机构（中央网络安全和信息化领导小组）统一领导网络安全等级保护工作。
国家网信部门（中共中央网络安全和信息化委员会办公室）负责网络安全等级保护工作的统筹协调。
国务院公安部门主管网络安全等级保护工作，负责网络安全等级保护工作的监督管理，依法组织开展网络安全保卫。
国家保密行政管理部门（国家保密局）主管涉密网络分级保护工作，负责网络安全等级保护工作中有关保密工作的监督管理。
国家密码管理部门（国家密码管理局）负责网络安全等级保护工作中有关密码管理工作的监督管理。
国务院其他有关部门依照有关法律法规的规定，在各自职责范围内开展网络安全等级保护相关工作。
县级以上地方人民政府依照本条例和有关法律法规规定，开展网络安全等级保护工作。

（一）第一级，一旦受到破坏会对相关公民、法人和其他组织的合法权益造成损害，但不危害国家安全、社会秩序和公共利益的一般网络。
（二）第二级，一旦受到破坏会对相关公民、法人和其他组织的合法权益造成严重损害，或者对社会秩序和公共利益造成危害，但不危害国家安全的一般网络。
（三）第三级，一旦受到破坏会对相关公民、法人和其他组织的合法权益造成特别严重损害，或者会对社会秩序和社会公共利益造成严重危害，或者对国家安全造成危害的重要网络。
（四）第四级，一旦受到破坏会对社会秩序和公共利益造成特别严重危害，或者对国家安全造成严重危害的特别重要网络。
（五）第五级，一旦受到破坏后会对国家安全造成特别严重危害的极其重要网络。

网络运营者应当在规划设计阶段确定网络的安全保护等级。
当网络功能、服务范围、服务对象和处理的数据等发生重大变化时，网络运营者应当依法变更网络的安全保护等级。

对拟定为第二级以上的网络，其运营者应当组织专家评审；有行业主管部门的，应当在评审后报请主管部门核准。
跨省或者全国统一联网运行的网络由行业主管部门统一拟定安全保护等级，统一组织定级评审。

第二级以上网络运营者应当在网络的安全保护等级确定后10个工作日内，到县级以上公安机关备案。
因网络撤销或变更调整安全保护等级的，应当在10个工作日内向原受理备案公安机关办理备案撤销或变更手续。
备案的具体办法由国务院公安部门组织制定。

公安机关应当对网络运营者提交的备案材料进行审核。对定级准确、备案材料符合要求的，应在10个工作日内出具网络安全等级保护备案证明。

适用于所有网络运营者

（一）确定网络安全等级保护工作责任人，建立网络安全等级保护工作责任制，落实责任追究制度；
（二）建立安全管理和技术保护制度，建立人员管理、教育培训、系统安全建设、系统安全运维等制度；
（三）落实机房安全管理、设备和介质安全管理、网络安全管理等制度，制定操作规范和工作流程；
（四）落实身份识别、防范恶意代码感染传播、防范网络入侵攻击的管理和技术措施；
（五）落实监测、记录网络运行状态、网络安全事件、违法犯罪活动的管理和技术措施，并按照规定留存六个月以上可追溯网络违法犯罪的相关网络日志；
（六）落实数据分类、重要数据备份和加密等措施；
（七）依法收集、使用、处理个人信息，并落实个人信息保护措施，防止个人信息泄露、损毁、篡改、窃取、丢失和滥用；
（八）落实违法信息发现、阻断、消除等措施，落实防范违法信息大量传播、违法犯罪证据灭失等措施；
（九）落实联网备案和用户真实身份查验等责任；
（十）对网络中发生的案事件，应当在二十四小时内向属地公安机关报告；泄露国家秘密的，应当同时向属地保密行政管理部门报告。
（十一）法律、行政法规规定的其他网络安全保护义务。

适用于第三级以上网络的运营者

（一）确定网络安全管理机构，明确网络安全等级保护的工作职责，对网络变更、网络接入、运维和技术保障单位变更等事项建立逐级审批制度；
（二）制定并落实网络安全总体规划和整体安全防护策略，制定安全建设方案，并经专业技术人员评审通过；
（三）对网络安全管理负责人和关键岗位的人员进行安全背景审查，落实持证上岗制度；
（四）对为其提供网络设计、建设、运维和技术服务的机构和人员进行安全管理；
（五）落实网络安全态势感知监测预警措施，建设网络安全防护管理平台，对网络运行状态、网络流量、用户行为、网络安全案事件等进行动态监测分析，并与同级公安机关对接；
（六）落实重要网络设备、通信链路、系统的冗余、备份和恢复措施；
（七）建立网络安全等级测评制度，定期开展等级测评，并将测评情况及安全整改措施、整改结果向公安机关和有关部门报告；
（八）法律和行政法规规定的其他网络安全保护义务。

新建的第二级网络上线运行前应当按照网络安全等级保护有关标准规范，对网络的安全性进行测试。
新建的第三级以上网络上线运行前应当委托网络安全等级测评机构按照网络安全等级保护有关标准规范进行等级测评，通过等级测评后方可投入运行。

第三级以上网络的运营者应当每年开展一次网络安全等级测评，发现并整改安全风险隐患，并每年将开展网络安全等级测评的工作情况及测评结果向备案的公安机关报告。

网络运营者应当每年对本单位落实网络安全等级保护制度情况和网络安全状况至少开展一次自查，发现安全风险隐患及时整改，并向备案的公安机关报告。

第三级以上网络运营者应当采用与其安全保护等级相适应的网络产品和服务；对重要部位使用的网络产品，应当委托专业测评机构进行专项测试，根据测试结果选择符合要求的网络产品；采购网络产品和服务，可能影响国家安全的，应当通过国家网信部门会同国务院有关部门组织的国家安全审查。

第三级以上网络应当在境内实施技术维护，不得境外远程技术维护。因业务需要，确需进行境外远程技术维护的，应当进行网络安全评估，并采取风险管控措施。实施技术维护，应当记录并留存技术维护日志，并在公安机关检查时如实提供。

第三级以上网络运营者应当建立健全网络安全监测预警和信息通报制度，按照规定向同级公安机关报送网络安全监测预警信息，报告网络安全事件。有行业主管部门的，同时向行业主管部门报送和报告。

网络运营者应当建立并落实重要数据和个人信息安全保护制度；采取保护措施，保障数据和信息在收集、存储、传输、使用、提供、销毁过程中的安全；建立异地备份恢复等技术措施，保障重要数据的完整性、保密性和可用性。
未经允许或授权，网络运营者不得收集与其提供的服务无关的数据和个人信息；不得违反法律、行政法规规定和双方约定收集、使用和处理数据和个人信息；不得泄露、篡改、损毁其收集的数据和个人信息；不得非授权访问、使用、提供数据和个人信息。

第三级以上网络的运营者应当按照国家有关规定，制定网络安全应急预案，定期开展网络安全应急演练。
网络运营者处置网络安全事件应当保护现场，记录并留存相关数据信息，并及时向公安机关和行业主管部门报告。

涉密网络按照存储、处理、传输国家秘密的最高密级分为绝密级、机密级和秘密级。

涉密网络运营者应当依法确定涉密网络的密级，通过本单位保密委员会（领导小组）的审定，并向同级保密行政管理部门备案。

涉密网络运营者规划建设涉密网络，应当依据国家保密规定和标准要求，制定分级保护方案

涉密网络应当由国家保密行政管理部门设立或者授权的保密测评机构进行检测评估，并经设区的市级以上保密行政管理部门审查合格，方可投入使用。
涉密网络运营者在涉密网络投入使用后，应定期开展安全保密检查和风险自评估，并接受保密行政管理部门组织的安全保密风险评估。绝密级网络每年至少进行一次，机密级和秘密级网络每两年至少进行一次。

涉密网络运营者应当制定安全保密管理制度，组建相应管理机构，设置安全保密管理人员，落实安全保密责任。

有下列情形之一的，涉密网络运营者应当按照国家保密规定及时向保密行政管理部门报告并采取相应措施：
（一）密级发生变化的；
（二）连接范围、终端数量超出审查通过的范围、数量的；
（三）所处物理环境或者安全保密设施变化可能导致新的安全保密风险的；
（四）新增应用系统的，或者应用系统变更、减少可能导致新的安全保密风险的。
对前款所列情形，保密行政管理部门应当及时作出是否对涉密网络重新进行检测评估和审查的决定。

县级以上公安机关对网络运营者依照国家法律法规规定和相关标准规范要求，落实网络安全等级保护制度，开展网络安全防范、网络安全事件应急处置、重大活动网络安全保护等工作，实行监督管理；对第三级以上网络运营者按照网络安全等级保护制度落实网络基础设施安全、网络运行安全和数据安全保护责任义务，实行重点监督管理。
县级以上公安机关对同级行业主管部门依照国家法律法规规定和相关标准规范要求，组织督促本行业、本领域落实网络安全等级保护制度，开展网络安全防范、网络安全事件应急处置、重大活动网络安全保护等工作情况，进行监督、检查、指导。
地市级以上公安机关每年将网络安全等级保护工作情况通报同级网信部门。

县级以上公安机关对网络运营者开展下列网络安全工作情况进行监督检查：
（一）日常网络安全防范工作；
（二）重大网络安全风险隐患整改情况；
（三）重大网络安全事件应急处置和恢复工作；
（四）重大活动网络安全保护工作落实情况；
（五）其他网络安全保护工作情况。
公安机关对第三级以上网络运营者每年至少开展一次安全检查。涉及相关行业的可以会同其行业主管部门开展安全检查。必要时，公安机关可以委托社会力量提供技术支持。

市政府办公厅负责统筹规划、综合协调全市数据发展和管理工作。
市发展改革部门（上海市发改委）负责统筹本市综合政策制定以及区域联动等工作。
市经济信息化部门（上海市经济和信息化委员会）负责协调推进本市公共数据开放、社会经济各领域数据开发应用和产业发展，统筹推进信息基础设施规划、建设和发展，推动产业数字化、数字产业化等工作。
市网信部门（上海市互联网信息办公室）负责统筹协调本市个人信息保护、网络数据安全和相关监管工作。
市公安、国家安全机关在各自职责范围内承担数据安全监管职责。
市财政、人力资源社会保障、市场监管、统计、物价等部门在各自职责范围内履行相关职责。
市大数据中心具体承担本市公共数据的集中统一管理，推动数据的融合应用。

第78条

第79条

第80条

第81条

第53-57条

第67条

第2条

网络安全审查办公室设在国家互联网信息办公室，负责制定网络安全审查相关制度规范，组织网络安全审查。

第7条

第8条

第10条

第9、11-15条

第3条

国家网信部门负责统筹协调个人信息保护工作和相关监督管理工作。
国务院有关部门依照本法和有关法律、行政法规的规定，在各自职责范围内负责个人信息保护和监督管理工作。
县级以上地方人民政府有关部门的个人信息保护和监督管理职责，按照国家有关规定确定。

第4条

第5-10条

第13条

第14-16条

第17、18条

第19条

第20条

第21条

第22、23、25条

第24条

第26条

第28-32条

第34-36条

第38-42条

第44-50条

第51-59条

第66-70条

处理个人信息的，应当取得个人同意。

处理个人信息前，应当向个人告知的事项

个人有权请求处理者更正、补充。
个人有权请求删除个人信息的情形

公共场所或者区域，不得以图像采集、个人身份识别技术作为出入该场所或者区域的唯一验证方式。

关于自动化决策的规定

第2条

第3条

第7-18条

第20条

第21条

第23条

第3条

第4条

定义了各类APP 共计39类的具体必要个人信息

第23条

第1条

第2条

第4条

第5条

第6条

第7条

第8条

第9条

第10条

第11条

第12条