企业数据合规指引

企业数据合规指引

目录：：：

第一章总则

第二章数据合规治理组织系统建设

第三章数据合规治理制度系统建设

第四章数据全性命周期合规

第一节数据网络和使用

第二节数据存储

第三节数据传输和提供

第四节数据买卖

第五节数据删除和销毁

第五章数据出境合规

第六章附则

附录：：：企业可参考的有关司法律规与尺度

总则

第一条【主张和凭据】

为疏导企业加强数据合规治理，，，推进企业数据合规利用，，，保险企业数据安全，，，凭据《中华人民共和国数据安全法》《中华人民共和国小我信息保�；しā� 《中华人民共和国网络安全法》等司法律规，，，制订本指引。。

第二条【合用领域和效力】

丽江市各类企业进行数据处置活动可参照本指引发展数据合规治理。。本指引不拥有强制性，，，司法、律例及有关国度、行业尺度还有专门划定的，，，从其划定。。

第三条【涉案企业合规从宽】

企业参照本指引成立并严格执行数据合规治理制度，，，推广数据合规使命，，，积极共同监管，，，自动采取措施有效减轻、解除危�：：蠊�，，，切合涉案企业合规合用前提的，，，检察机关可凭据具体情况发展合规调查。。

对于涉案企业合规建设经评估切合有效性尺度的，，，检察机关能够参考评估结论依法作出不核准扣留、调换强制措施、不告状的决定，，，或提出从宽处罚的量刑建议；；切合行政处罚律例定前提的，，，能够向有关主管机关提出从轻或者减轻行政处罚等建议、定见。。

第四条【数据合规指引的必要性】

疏导各类企业发展数据合规治理是提高企业数据合规意识，，，提高数据保�；に�，，，降低企业及其员工涉数据类违法犯罪风险的重要行动。。企业能够通过成立美满的数据合规治理系统，，，有效预防数据安全风险事务。。

第五条【职责明确准则】

企业该当通过成立美满的数据合规治理组织系统和制度系统，，，明确企业内部各部门数据安全治理职责，，，落实数据合规主体责任。。

第六条【合法、正当和诚信准则】

企业处置数据该当切合司法、律例和强制性尺度的划定，，，遵循合法、正当和诚信准则，，，不得从事危�：：劝踩�、公共利益的数据处置活动，，，不得犯法网络、使用、加工、传输、买卖、提供、公开他人小我信息，，，不得通过误导、诓骗、胁迫等方式处置小我信息。。

第七条【数据质量保险准则】

企业该当采取适当措施保障数据质量，，，并定期对数据进行更新，，，预防因数据不正确、不齐全、不实时产生的不利影响。。

第八条【掌管准则】

企业该当对其数据处置活动掌管，，，并采取必要措施保险所处置数据的安全。。

第九条【分类分级保�；ぷ荚颉�

企业该当成立数据分类分级保�；ぶ贫�，，，依照数据对国度安全、公共利益或者小我、组织合法权利的影响和重要水平进行分类分级，，，针对分歧类别级此外数据采取相应的治理和保�；ご胧�。。

第十条【风险导向准则】

企业该当采取必要措施对国度主题数据、重要数据、敏感小我信息等存在较高合规风险的数据予以重点保�；�，，，加强合规治理。。

第十一条【可追忆准则】

企业对数据进行批改、查问、导出、删除等处置时，，，该当纪录相应操作，，，确保操作纪录可追忆、可审查。。

数据合规治理组织系统建设

第十二条【通常要求】

企业发展数据处置活动该当遵循司法、律例的划定，，，成立健全数据合规治理组织系统和常态化沟通合作机制，，，明确数据合规责任主体，，，组织发展数据合规教育培训，，，加强人力资源查核与保险，，，强化数据合规意识。。

第十三条【数据合规决策层的职责】

数据合规第一掌管人由企业法定代表人或重要掌管人担任，，，对数据合规负辅导责任。。数据合规第一掌管人与董事会该当承担以下职责：：：

(一) 为企业数据合规治理制度系统的建构和运行提供必要的资源保险和前提支持，，，确保�：：瞎嬷卫碇贫认低秤行г诵胁⒊中慕�；

(二) 确立数据合规方针和合规指标，，，并确保企业战术方向与合规方针和指标维持一致；；

(三) 保险数据合规治理部门具备独立推广职责的能力与权限；；

(四) 审批企业重大数据合规事项；；

(五) 确保将数据合规治理要求融入企业的业务过程；；

(六) 确保成立有效的数据违规举报与惩处机制；；

(七) 疏导造就企业数据合规自主性，，，促成数据合规企业文化。。

第十四条【数据合规治理层的职责】

企业该当设立专门的数据合规治理部门，，，或由合规治理、法务等有关部门承担数据合规治理职能，，，并建设数据合规专员。。数据合规治理部门在部门掌管人的领导下发展工作，，，承担以下职责：：：

(一) 组织制订企业数据合规治理制度规范与合规打算，，，并推动其有效执行；；

(二) 两全执行数据合规治理工作，，，并对数据合规治理情况进行评估与查抄；；

(三) 成立数据合规举报与调查机制，，，对数据合规举报制订调查规划并发展调查；；

(四) 定期组织或协助人事部门发展数据安全合规培训，，，为企业有关内部职能部门提供数据合规征询与支持；；

(五) 向数据合规第一掌管人与董事会汇报数据合规重大风险和数据合规工作落实情况。。

第十五条【数据合规执行层的职责】

企业内部发展数据处置工作的各职能部门掌管本部门业务领域内的数据合规工作，，，并承担以下职责：：：

(一) 结合企业数据合规治理制度和合规指引，，，明确本部门日常数据处置活动的全性命周期合规要求和具体工作机制；；

(二) 确保本部门员工遵守企业合规制度规范，，，推广数据合规使命；；

(三) 共同数据合规治理掌管人和合规治理部门发展合规风险审查、评估、整改等各项合规工作；；

(四) 亲昵监测日常数据处置工作中的数据安全合规风险，，，并采取适当的安全保�；ご胧�；

(五) 当发现数据处置活动存在较大合规风险或者产生数据安全事务时，，，实时向数据合规治理掌管人和合规治理部门汇报，，，并共同采取应急措置和整改措施。。

第十六条【小我信息保�；ふ乒苋说闹付ḿ霸鹑巍�

处置小我信息达到国度网信部门划定数量的企业该当指定专门的小我信息保�；ふ乒苋�，，，并承担以下职责：：：

(一) 两全执行企业内部的小我信息合规工作；；

(二) 组织制订小我信息合规方面的内部制度和操作规程，，，并督促落实；；

(三) 组织发展小我信息安全影响评估，，，督促整改安全隐患；；

(四) 定期组织发展合规审计；；

(五) 实时受理有关投诉、举报；；

(六) 与监管部门维持沟通，，，传递或汇报小我信息保�；ず褪挛翊胫玫惹榭�。。

企业该当公开小我信息保�；ふ乒苋说男彰�、联系方式等情况，，，并报送推广小我信息保�；ぶ霸鸬牟棵�。。

第十七条【数据合规教育和培训】

企业该当定期组织发展数据合规教育培训及查核，，，确保内部人员充分相识数据律例、数据合规打算、数据合规使命与举报法式等，，，提升内部人员数据合规意识，，，推进企业合规守法经营。。

第十八条【人力资源治理与保险】

企业该当在数据合规治理制度规范中明确员工的数据合规使命，，，激励将数据合规落实成效纳入查核系统，，，作为决定评优评先、职务提升与薪酬待遇的重要凭据。。

企业该当将遵守数据合规要求和推广数据合规使命作为人员聘用前提。。对于数据处置关键岗位的员工该当发展必要的布景调查，，，相识其犯罪纪录、诚信情况等有关信息，，，并通过签署合规承诺书、保密和谈等方式明确其应遵守的数据合规要求和推广的数据合规使命，，，并成立相应的赏罚机制督促落实。。关键岗位员工离岗后，，，该当依照数据合规治理要求执行离岗交代、审计、脱密等措施。。

第十九条【合规承诺制度】

企业该当成立数据合规承诺制度，，，明确违反数据合规承诺的后果与问责机制，，，数据合规第一掌管人、数据合规治理部门掌管人以及其他数据处置关键岗位员工应作出并严格推广数据合规承诺。。

第二十条【举报与调查机制】

企业该当成立内部数据合规举报机制，，，激励、支持内部人员对试图、涉嫌或现实存在的数据不合规行为进行举报，，，并采取必要措施保�；つ诓烤俦ㄈ诵畔�，，，不得因而对举报人采取不利措施。。

收到举报后，，，数据合规治理部门该当结合举报线索的真实性、有效性实时启动调查法式，，，确保调查过程的独立性、公正性，，，形成调查了局汇报并采取相应处置和改进措施，，，持续美满数据合规治理制度系统。。

第二十一条【文件化信息】

企业该当以适当的大局和载体纪录数据合规治理系统运行产生的文件化信息。。文件化信息该当以清澈、易读和易检索的方式保留，，，并采取必要措施预防泄密、不当使用或齐全性受损。。

数据合规治理制度系统建设

第二十二条【通常要求】

企业该当遵循司法、律例划定，，，结合自身业务，，，建立健全覆盖数据全性命周期的数据合规治理制度系统，，，明确企业内部数据合规管理的有关尺度、规范和操作规程，，，对峙安全和发展并重，，，确保数据合规治理制度与出产运营、业务发展同步规划、同步建设、同步运行。。

第二十三条【数据分类分级保�；ぶ贫取�

企业该当凭据自身业务内容定期对企业数据资产进行全面梳理，，，并结合所属行业、地域的有关尺度，，，对数据进行分类分级，，，经数据合规治理部门审批后，，，形成数据分类分级清单。。对无明确分类分级尺度的数据，，，可凭据数据的重要水平、对国度安全、公共利益或者小我、组织合法权利造成的危�：：λ降瘸煞�，，，依照就高从严准则进行分类分级。。

企业应确立数据分类分级管控尺度，，，明确分歧类别级别数据的操作要求和保护措施。。同时处置分歧级别数据且难以别离采取保�；ご胧┑�，，，企业该当依照其中级别最高的要求赐与保�；�。。

第二十四条【重要数据、主题数据保�；ぶ贫取�

企业该当结合有关司法、律例和主管部门、所属行业重要数据具体目录等尺度规范，，，鉴别和确定自身业务活动中涉及的重要数据与主题数据，，，形成数据清单。。

企业该当对重要数据与主题数据执行越发严格的合规治理制度，，，明确重要数据、主题数据的治理职责、操作规范、审批要求、登记机制等事项，，，成立重要数据和主题数据的日常纪录和容灾备份机制，，，强化重要数据与主题数据的安全保险。。

第二十五条【采取安全技术保�；ご胧�

企业该当凭据数据分类分级情况，，，采取适当的匿名化、备份、加密、接见节制、入侵防备等数据安全保�；ご胧�，，，加强对数据处置系统、数据传输网络、数据存储环境、数据接见接口等物理和网络环境的安全防护，，，将数据安全技术保�；じ哺堑绞荽χ玫娜�。。

处置重要数据的系统应满足三级以上网络安全等级保�；ず凸丶畔⒒∩枋┌踩；；ひ�，，，处置主题数据的系统遵循有关划定从严保�；�。。

第二十六条【权限节制机制】

企业该当依照最小授权准则合理确定数据接见与操作权限，，，仅在实现职责所需的领域内授予特定人员最小必要的数据操作权限，，，并采取技术措施，，，预防出现越权接见、下载、复制、批改数据等行为。。针对重要数据和主题数据，，，企业该当通过设置严格的数据处置权限、建设风险阻断机制、明确安全审计流程、落实接见和操作留痕等方式，，，实现权限最小化管控。。

第二十七条【依法申报数据安全审查】

激励企业自动审查其数据处置活动是否影响或者可能影响国度安全，，，切合司法律规划定前提的，，，该当依照国度有关划定，，，申报网络安全审查。。

把握超过100万用户小我信息的网络平台运营者赴国外上市，，，必须向网络安全审查办公室申报网络安全审查。。

第二十八条【成立合规风险评估机制】

企业该当成立数据合规风险评估机制，，，每年至少发展一次数据合规风险评估，，，对数据分类分级保�；で榭�、数据安全技术保�；ご胧┯行�、关键基础设施安全水平、数据处置合规情况、司法律规变动和监管动态落实情况、数据安全预警和应急事务措置能力、数据安全问题整改和监管法律响应情况等内容进行评估，，，并形成数据合规风险评估汇报。。涉及处置重要数据的，，，还应对重要数据的处置情况作出评估，，，并向有关主管部门报送风险评估汇报。。对新上线业务、第三方数据合作业务以及重点存量业务，，，企业能够不定期发展合规风险评估。。

企业该当凭据数据合规风险评估汇报对有关职能部门、岗位员工作出风险提示，，，并要求其采取相应的风险措置和整改措施，，，必要时应暂停�；蛉〉抻涤薪细吆瞎娣缦盏囊滴窕疃�。。

第二十九条【定期合规审计】

企业内部该当定期发展数据合规审计，，，或委托拥有有关资质的外部机构进行，，，并形成、保留相应的数据合规审计汇报。。对于审计过程中发现的合规问题与安全隐患应实时采取整改措施。。

企业能够针对风险较高的数据处置行为进行不定期审计，，，确保实时发现问题隐患并予以更正。。

第三十条【监测预警与存在安全缺点、缝隙的补救措施】

企业该当成立数据安全风险监测预警机制，，，实时监测日常数据处置活动中的异常情况和安全风险并进行预警。。当发现数据安全缺点、缝隙等风险时，，，该当立即采取预防、补救措施；；造成或者可能造成严重后果的，，，该当实时奉告可能受到影响的主体，，，并向有关主管部门汇报。。

企业该当成立针对数据不合规行为的监测机制，，，实时发现日常数据处置活动中的不合规行为，，，采取相应的措置和惩戒措施，，，并对类似问题进行排查。。产生可能对企业带来重大数据合规风险的违规行为时，，，该当实时向数据合规掌管人汇报，，，并确定相应的解决规划。。

第三十一条【数据安全应急预案、演练和措置机制】

企业该当制订数据安全应急预案，，，依照危�：：λ�、影响领域等成分对数据安全事务进行分级，，，并结合分级情况确定应急措置的方针战术、人员职责、具体措施、流程规范、物资保险等事项。。企业该当每年至少组织一次应急响应培训和应急预案演练，，，使有关人员把握熟悉应急措置战术和规程。。

当产生数据安全事务时，，，企业该当按响应急预案实时采取措置措施，，，预防危害扩大，，，解除安全隐患，，，纪录事务内容，，，保留有关证据，，，并向有关主管部门汇报。。安全事务对小我、组织造成内容性危�：：Φ�，，，企业还应实时以电话、短信、邮件等方式向所涉主体奉告安全事务情况、危�：：蠊�、已采取的补救措施等信息。。无法逐一奉告的，，，可采取布告方式奉告。。

第三十二条【积极共同监管】

企业该当成立监管法律共同机制，，，受到监管部门调查时应立即通知数据合规掌管人、数据合规治理部门掌管人和有关职能部门掌管人等人员，，，启动必要的内部调查法式并明确监管调查对接人员，，，必要时该当暂停相应的数据处置活动。。

企业该当对监管部门的监管法律予以协助、共同，，，不得回绝、反对，，，不得提供虚伪资料、信息或隐匿、销毁、转移证据。。

企业积极共同监管并自动发展合规整改采取措施有效减轻、解除危�：：蠊�，，，能够向监管部门申请酌情从轻或减轻行政处罚。。

第三十三条【成立监管响应和整改机制】

企业该当依照监管部门提出的监管建议实时采取整改措施，，，优化、更新数据合规治理制度，，，成立健全数据合规长效机制，，，有效解除安全隐患。。

第三十四条【外部投诉机制】

企业该当成立便捷的数据合规外部投诉机制，，，颁布受理部门某人员联系方式、受理流程等信息，，，激励受到数据不合规行为影响的主体进行投诉，，，并在合理功夫内向投诉人回复处置情况。。

数据全性命周期合规

第一节数据网络和使用

第三十五条【以爬虫等伎俩抓取数据的合法尺度】

企业选取网络爬虫等自动化工具网络数据的，，，该当遵守司法律规、行业自律协议，，，尊重爬取对象网站的爬虫和谈及规定，，，事前评估对网络服务的机能、职能可能带来的影响，，，预防滋扰网络服务的正常职能或故障推算机信息系统正常运行。。

企业网络涉及他人知识产权、贸易奥秘或非公开的小我信息的数据，，，应事前征得所涉主体赞成。。企业不得以下列不正当的方式获取他人持有的数据：：：

(一) 以偷窃、胁迫、诓骗，，，电子侵入等方式，，，未经授权或超过授权获取数据；；

(二) 违反国度划定，，，侵入国度事务、国防建设、尖端科学技术领域的推算机信息系统获取数据；；

(三) 以犯法获取内部接见、操作权限等方式，，，未经授权或超过授权获取数据；；

(四) 以提供代替性产品或服务为主张，，，违反约定或者合理、正当的数据抓取和谈，，，或以其他违反恳切信誉和贸易道德的方式获取数据；；

(五) 以其他违反司法不容性划定或可能导致不正当竞争的方式获取数据。。

第三十六条【以采办、互换等伎俩网络数据的合法尺度】

企业通过向第三方采办、互换、共享等方式网络数据的，，，该当切合司法、律例要求，，，对第三方的资质以及获取和持罕见据的合规性进行必要审查，，，要求其作出数据起源合法性承诺并提供必要证明。。

对从第三方获取的数据，，，企业该当承担与直接管集的数据一致的安全保�；ぴ鹑斡牒瞎媸姑�。。

第三十七条【在提供产品、服务过程中网络数据的合法尺度】

企业在提供产品、服务过程中网络小我信息，，，该当切合最小必要准则，，，仅网络与实现产品或服务的业务职能直接有关的小我信息。。不得因小我不赞成提供非必要小我信息，，，而回绝向其提供根基职能或服务。。

企业基于开发新型业务职能、提升服务履历等主张，，，超出必要领域网络用户小我信息的，，，该当征得小我赞成。。

企业如需使用在提供产品、服务过程中网络到的数据，，，该当事先获得有关数据主体的授权赞成。。

第三十八条【自动化决策场景的合规使命】

企业利用数据进行自动化决策的，，，该当保障自动化决策的通明度，，，并以适当方式公示其自动化决策的根基道理、主张意图和重要运行机制等信息。。自动化决策的了局可能对小我权利造成显著影响的，，，该当对此种影响及可能产生的后果予以注明，，，并为小我提供回绝自动化决策的选项。。

通过自动化决策方式进行信息推送、贸易营销的，，，该当同时提供不针对小我特点的选项，，，并向小我提供便捷的回绝方式。。

企业不得利用数据分析，，，对买卖前提一样的买卖相对人执行差距待遇，，，但是有下列情景之一的之外：：：

(一) 凭据买卖相对人的现实需要，，，且切合正当的买卖习惯和行业通例，，，尝试分歧买卖前提的；；

(二) 针对新用户在合理期限内发展优惠活动的；；

(三) 基于平正、合理、非歧视规定执行随机性买卖的；；

(四) 司法、律例划定的其他情景。。

前款所称买卖前提一样，，，是指买卖相对人在买卖安全、买卖成本、信誉情况、买卖环节、买卖持续功夫等方面不存在内容性差距。。

第三十九条【分类治理】

企业该当成立小我信息分类治理制度，，，结合小我信息的主体属性、具体种类、敏感水平、处置方式、利用场景、对小我权利的影响、可能存在的安全风险等成明显确小我信息分类尺度，，，并别离确定针对分歧类型个人信息的处置规定、合规使命和保�；こ叨�。。敏感小我信息及未成年人小我信息处置规定该当遵循司法、律例的有关划定。。

第四十条【小我信息保�；び跋炱拦馈�

企业该当针对业务中涉及的对小我权利有重大影响的数据处置活动发展小我信息保�；び跋炱拦�，，，持续检验、监控小我信息处置活动的合法合规水平、对小我合法权利造成侵害的各类风险以及有关保�；� 措施的有效性，，，形成和保留小我信息保�；び跋炱拦阑惚ê痛χ们榭黾吐�，，，并采取相应改进措施。。

第四十一条【成立小我信息权势行使的响应机制】

企业该当为用户行使《中华人民共和国小我信息保�；しā�赋予的各项权势提供便捷的申请受理和响应机制，，，明确合理的响应时限。。

第二节数据存储

第四十二条【分级分域治理】

企业该当凭据分类分级等内部规范对分歧类型、风险等级和重要、敏感水平的数据进行分级分域治理，，，对分歧数据进行物理隔离或强逻辑隔离，，，并采取相适应的安全保�；ご胧┖徒蛹谥苹�，，，守护数据的齐全性、保密性、可用性。。

企业该当通过加密存储、接见节制、校验技术等措施强化对重要数据和敏感小我信息的保�；�。。

第四十三条【数据存储介质治理】

企业该当凭据数据类型、风险等级和重要、敏感水平等成分选择安全机能、防护级别与安全等级相适应的存储设备和介质，，，制订数据存储设备和介质清单，，，成立数据存储设备和介质治理制度，，，规范存储设备和介质的使用、操作、维修和故障处置，，，并对传递、使用数据存储设备和介质的行为成立审批和日志纪录等管控机制，，，强化存储设备和介质的物理安全和加密治理。。

第四十四条【云平台存储】

企业使用第三方云平台进行数据存储的，，，该当要求云服务提供商定期汇报云平台运行状态、安全情况等信息，，，并定期对第三方云平台的不变性和采取的安全保�；ご胧┑冉猩蠹�，，，确保其具备充分的数据安全保�；つ芰�。。

企业终止使用云平台存储服务的，，，有权取回数据、文档等资料并对其齐全性、有效性进行验证。。云服务提供商该当依照约定方式删除、销毁云平台存储的数据及副本。。

第四十五条【技术保�；ご胧�：：去标识化、匿名化】

企业在存储数据时该当采取加密、去标识化、匿名化处置等安全技术措施，，，降低小我信息被篡改、粉碎、泄露或者犯法获取、犯法利用等风险。。经从前标识化处置的小我信息该当与其他小我信息分隔存储，，，并严格节制接见权限。。

第四十六条【数据备份及复原】

企业该当成立重要数据和小我信息的备份与复原机制，，，确定数据备份的领域、频率、步骤和流程，，，并定期对备份数据进行复原测试和齐全性校验，，，防备数据不测损毁、迷失等风险。。

第三节数据传输和提供

第四十七条【数据传输的合规要求】

企业该当采取加密等安全保�；ご胧┤繁� 数据传输介质和环境安全，，，保险重要数据和敏感小我信息传输过程的安全性，，，防备未经授权接见和数据泄露。。

第四十八条【向第三方提供数据的合规要求】

企业因业务必要等正当理由向第三方提供或共享、委托处置数据的，，，该当对数据接管方进行事前资格审查并评估其数据安全保�；つ芰�。。涉及提供重要数据、敏感数据的，，，该当留存相应的日志纪录。。

企业该当通过合一致大局与数据接管方约定处置数据的主张、领域、方式、限度与应采取的安全保�；ご胧┑仁孪�，，，明确双方权势和使命，，，并对数据接管方的处置活动进行必要监督。。发现数据接管方违反司法、律例划定或双方约定处置数据的，，，该当立即要求其终场有关行为并采取必要的补救措施；；必要时该当暂停�；蛑罩瓜蚱涮峁┦�，，，并监督数据接管方实时返还、删除、销毁已获得的数据。。

第四十九条【向第三方提供小我信息的合规要求与豁免】

企业向第三方提供或共享、委托处置小我信息的，，，该当向小我奉告接管方的名称或者姓名、联系方式、处置主张、处置方式和小我信息的种类，，，并依照司律例定征得小我单独赞成。。

第五十条【共同处置场所下的合规要求】

两个以上的企业共同决定小我信息的处置主张和处置方式的，，，该当约定各自的权势和使命、应采取的安全保�；ご胧�、产生数据安全事务时的补救与应急措置措施以及责任承担等事项。。

第五十一条【合作方治理】

企业该当加强对合作方的合规治理，，，明确信息系统开发及运维、数据存储、数据处置等合作方的准入尺度和资格审查机制，，，并通过签定合规和谈等大局明确双方的权势和使命，，，以及合作方的数据处置权限、应采取的安全保�；ご胧┑仁孪�。。

企业该当定期对合作方进行合规查抄和审计，，，并结合风险特点对合作方进行合规分级、分类管控，，，对分歧风险级此外合作方采取相适应的合规治理措施。。发现合作方存在严重违法、违规、违约行为或产生重大数据安全变乱、失落数据安全保险能力、有意不推广数据安全保�；ぶ霸鸬惹榫暗�，，，应实时终止与其合作。。

第五十二条【第三方接入场景/SDK 的合规使命】

企业在其产品或服务中接入由第三方提供的软件开发工具包的，，，该当事前对接入第三方进行安全检测，，，评估是否存在已知的安全缝隙以及可能引起数据泄露等安全事务的行为，，，并成立相应的接入第三方合规治理机制，，，通过签署开发者服务和谈等大局明确双方的权势和使命、应采取的安全保�；ご胧�、产生数据安全事务时的补救与应急措置措施以及责任承担等事项，，，并留存第三方接入日志纪录。。

第三方软件开发工具包具备网络、处置小我信息职能的，，，企业该当要求该第三方如实、齐全披露网络、处置小我信息的具体情况，，，并应将有关情况实时、正确奉告所涉小我，，，并依照司律例定征得小我赞成。。

企业该当对第三方软件开发工具包进行持续安全监测，，，发现接入第三方存在违反司法、律例划定或双方约定处置数据，，，或未落实数据安全保�；ぴ鹑卧斐山洗蟀踩缦盏�，，，该当实时堵截接入，，，并督促其采取整改措施。。对于存在流量劫持、资费亏损、隐衷窃取等恶意行为的第三方软件开发工具包该当取缔其接入权限。。

第五十三条【归并、重组、分立、遣散、破产场所下的合规要求】

企业因归并、重组、破产等原因必要转移数据的，，，该当制订数据转移规划，，，明确数据承接方及其该当推广的数据安全保�；ぴ鹑蔚仁孪�，，，并以相宜的方式通知受影响的小我。。

作为数据承接方的企业该当持续承担数据合规使命和数据安全责任。。因业务必要等正当理由确需扭转数据处置主张、领域、方式的，，，该当重新征得所涉小我赞成。。

第四节数据买卖

第五十四条【数据买卖场所的合规使命】

数据买卖场所该当成立数据起源可确认、使用领域可界定、买卖过程可追忆、安全风险可防备的可信数据买卖环境，，，制订平台准入、数据质量评估、买卖治理、合规审查、信息披露、自律监管等规定，，，对场内买卖进行治理，，，买卖参加主体该当予以共同。。

数据买卖场所该当对场内买卖进行合法性与合规性评估，，，并推广以下使命：：：

(一) 要求数据提供方注明数据起源，，，并审核有关信息；；

(二) 审核数据买卖双方身份和数据买卖合同；；

(三) 留存有关审核、买卖纪录；；

(四) 监督数据买卖、结算和交付；；

(五) 采取必要技术伎俩确保数据买卖安全，，，保�；ば∥倚畔�、小我隐衷、贸易奥秘、保密商务信息和重要数据；；

(六) 司法、律例划定的其他使命。。

第五十五条【数据起源合规】

发展数据买卖的企业该当成立针对数据起源的合规审查机制，，，确保数据获取伎俩合法合规、数据起源链路清澈，，，并经过所涉主体明确授权赞成，，，不存在加害国度、公共利益或其他组织、小我合法权利的情况。。

第五十六条【数据内容合规】发展数据买卖的企业该当成立针对数据内容的合规审查机制，，，不得买卖含有以下内容的数据产品或服务：：：

(一) 含有未经授权的小我信息的；；

(二) 含有加害他人知识产权或贸易奥秘的内容的；；

(三) 含有未经依法盛开的公共数据的；；

(四) 含有国度主题数据或国度奥秘的；；

(五) 含有司法、律例划定不容买卖的其他数据的。。

第五十七条【数据质量合规】

发展数据买卖的企业该当成立必要的数据质量校验机制，，，提升买卖数据的正确性、齐全性和实时性，，，并通过数据复核、交叉验证等方式强化重要数据、敏感数据的质量审查。。

第五十八条【反馈批改机制】

发展数据买卖的企业该当成立问题反馈和批改机制，，，对证明存在谬误或侵权的数据实时采取更正、删除等补救措施。。

第五十九条【买卖数据的使用监测】

发展数据买卖的企业该当通过与买卖相对方签定数据使用和谈等方式，，，明确买卖数据的使用主张、领域、方式、处置限制与应采取的安全保�；ご胧┑仁孪�，，，以及产生违约、侵权行为时的司法责任，，，并在合理领域内对数据使用行为进行监督。。

数据采办方该当依照约定的主张、场景和方式合规使用数据，，，不得将通过买卖获取的数据用于违反司法律规或双方约定的其他用处。。

第六十条【免责事由/容错机制】

发展数据买卖的企业对超出其可预感领域和技术节制能力的数据谬误等质量瑕疵，，，在实时采取补救措施后仍造成损失的，，，该当允许其通过事前约定等方式减轻或免去相应责任，，，但对损失的产生计在有意或重大错误的之外。。

发展数据买卖的企业参照本指引数据买卖合规要求，，，推广数据合规使命，，，其销售的买卖标的已依照丽江数据买卖所的上市合规评估流程实现合法性与合规性评估的，，，检察机关可视情况合用涉案企业合规法式。。

第五节数据删除和销毁

第六十一条【该当删除、销毁数据的情景】

企业该当成立数据存储冗余治理战术，，，定期对存储数据进行盘点，，，对于对实现处置主张不再必要的数据，，，该当实时进行删除或匿名化处置。。

当出现以下情景时，，，企业该当对其持有的全数数据或有关数据进行删除、销毁：：：

(一) 企业终止运营、遣散或破产，，，且没罕见据承接方的；；

(二) 约定的数据存储期限已经届满的，，，或产生约定的数据删除、销毁事由的；；

(三) 凭据司法、律例划定该当删除、销毁数据的其他情景。。

第六十二条【数据删除与销毁的合规要求】

企业该当成立数据删除和销毁的操作规程和治理制度，，，明确删除和销毁的对象、权限、流程和技术等要求，，，确保被销毁数据不成复原，，，并对有关活动进行纪录和留存。。

企业对数据存储设备和介质进行报废处置的，，，该当事先采取体式化、反复删除、介质消磁等方式删除其中存储的数据，，，并采取物理损毁等方式对介质进行彻底销毁。。

第六十三条【删除小我信息的情景】

切合下列情景之一的，，，企业该当在十五个工作日之内对有关小我信息进行删除或匿名化处置，，，并遵循可审计准则纪录删除功夫、操作人、数据内容等有关信息。。小我信息处置者未删除的，，，小我有权要求删除：：：

(一) 处置主张已实现、无法实现或者为实现处置主张不再必要；；

(二) 企业终场提供产品或者服务，，，或者保留期限已届满；；

(三) 小我撤回赞成；；

(四) 企业违反司法、行政律例或者违反约定处置小我信息；；

(五) 司法、行政律例划定的其他情景。。

司法、行政律例划定的保留期限未届满，，，或者删除小我信息从技术上难以实现的，，，企业当终场除存储和采取必要的安全保�；ご胧┲獾拇χ�。。

数据出境合规

第六十四条【合用数据出境安全评估的情景】

企业向境外提供数据，，，有下列情景之一的，，，该当通过地点地省级网信部门向国度网信部门申报数据出境安全评估：：：

(一) 企业向境外提供重要数据；；

(二) 关键信息基础设施运营者和处置100万人以上小我信息的企业向境外提供小我信息；；

(三) 自上年1月1日起累计向境外提供10万人小我信息或者1 万人敏感小我信息的企业向境外提供小我信息；；

(四) 国度网信部门划定的其他必要申报数据出境安全评估的情景。。

第六十五条【数据出境风险自评估的发展】

企业在申报数据出境安全评估前，，，该当发展数据出境风险自评估，，，重点评估以下事项：：：

(一) 数据出境和境外接管方处置数据的主张、领域、方式等的合法性、正当性、必要性；；

(二) 出境数据的规�！�、领域、种类、敏感水平，，，数据出境可能对国度安全、公共利益、小我或者组织合法权利带来的风险；；

(三) 境外接管方承诺承担的责任使命，，，以及推广责任使命的治理和技术措施、能力等能否保险出境数据的安全；；

(四) 数据出境中和出境后遭到篡改、粉碎、泄露、迷失、转移或者被犯法获取、犯法利用等的风险，，，小我信息权利守护的渠道是否畅达等；；

(五) 与境外接管方拟订立的数据出境有关合同或者其他拥有司法效力的文件等是否充分约定了数据安全保�；ぴ鹑问姑�；

(六) 其他可能影响数据出境安全的事项。。

第六十六条【必要重新评估的情景】

在数据出境安全评估的了局有效期内出现以下情景之一的，，，企业当重新申报评估：：：

(一) 向境外提供数据的主张、方式、领域、种类和境外接管方处置数据的用处、方式产生变动影响出境数据安全的，，，或者耽搁小我信息和重要数据境外保留期限的；；

(二) 境外接管方地点国度或者地域数据安全保�；ふ呗衫屯绨踩肪� 产生变动以及产生其他不成抗力情景、数据处置者或者境外接管方现实节制权产生变动、数据处置者与境外接管方司法文件调换等影响出境数据安全的；；

(三) 出现影响出境数据安全的其他情景。。

通过数据出境安全评估的了局有效期为2年，，，自评估了局出具之日起推算。。有效期届满，，，必要持续发展数据出境活动的，，，数据处置者该当在有效期届满60个工作日前重新申报评估。。

第六十七条【明确约定数据安全保�；ぴ鹑问姑�

企业该当在与境外接管方订立的司法文件中明确约定数据安全保�；ぴ鹑问姑�，，，至少蕴含以下内容：：：

(一) 数据出境的主张、方式和数据领域，，，境外接管方处置数据的用处、方式等；；

(二) 数据在境外保留地址、期限，，，以及达到保留期限、实现约定主张或者司法文件终止后出境数据的处置措施；；

(三) 对于境外接管方将出境数据再转移给其他组织、小我的约束性要求；；

(四) 境外接管方在现实节制权或者经营领域产生内容性变动，，，或者地点国家、地域数据安全保�；ふ呗衫屯绨踩肪巢涠约安渌怀煽沽η榫暗贾履岩员Ｏ帐莅踩�，，，该当采取的安全措施；；

(五) 违反司法文件约定的数据安全保�；な姑牟咕却胧�、违约责任和争议解决方式；；

(六) 出境数据遭到篡改、粉碎、泄露、迷失、转移或者被犯法获取、犯法利用等风险时，，，妥善发展应急措置的要求和保险小我守护其小我信息权利的蹊径和方式。。

第六十八条【向境外提供小我信息的前提】

企业因业务等必要，，，确需向中华人民共和国境外提供小我信息的，，，该当具备下列前提之一：：：

(一) 遵循《小我信息保�；しā返谒氖醯幕ㄍü韧挪棵抛橹陌踩拦溃�；

(二) 依照国度网信部门的划定经专业机构进行小我信息保�；と现ぃ�；

(三) 依照国度网信部门制订的尺度合同与境外接管方订立合同，，，约定双方的权势和使命；；

(四) 司法、行政律例或者国度网信部门划定的其他前提。。

中华人民共和国缔结或者参与的国际协议、协定对向中华人民共和国境外提供小我信息的前提等有划定的，，，能够依照其划定执行。。

企业该当采取必要措施，，，保险境外接管方处置小我信息的活动达到司律例定的小我信息保�；こ叨�。。

第六十九条【小我数据出境场景下的奉告赞成要求】

企业向中华人民共和国境外提供小我信息的，，，该当向小我奉告境外接管方的名称或者姓名、联系方式、处置主张、处置方式、小我信息的种类以及小我向境外接管方行使《小我信息保�；しā坊ǖ母飨钊ㄊ频姆绞胶头ㄊ降仁孪�，，，并获得小我的单独赞成。。

第七十条【小我信息出境场景下的小我信息保�；び跋炱拦馈�

企业向境外提供小我信息的，，，该当事前进行小我信息保�；び跋炱拦�，，，并对处置情况进行纪录。。

小我信息保�；び跋炱拦栏玫痹毯铝心谌荩�：：

(一) 小我信息的处置主张、处置方式等是否合法、正当、必要；；

(二) 对小我权利的影响及安全风险；；

(三) 所采取的保�；ご胧┦欠窈戏�、有效并与风险水平相适应。。小我信息保�；び跋炱拦阑惚ê痛χ们榭黾吐几玫敝辽俦Ａ羧�。。

第七十一条【合用小我信息保�；と现さ那榫啊�

企业通过经专业机构进行小我信息保�；と现さ姆绞较蚓惩馓峁┬∥倚畔⒌�，，，该当切合TC260-PG-20222A 《小我信息跨境处置活动安全认证规范》、 GB/T 35273 《信息安全技术小我信息安全规范》的要求。。

第七十二条【合用出境尺度合同的情景】

企业通过订立尺度合同的方式向境外提供小我信息的，，，该当同时切合下列情景：：：

(一) 非关键信息基础设施运营者；；

(二) 处置小我信息不满100万人的；；

(三) 自上年1月1日起累计向境外提供小我信息不满10万人的；；

(四) 自上年1月1日起累计向境外提供敏感小我信息不满1万人的。。司法、行政律例或者国度网信部门还有划定的，，，从其划定。。

企业不得采取数量拆分等伎俩，，，将依法该当通过出境安全评估的小我信息通过订立尺度合同的方式向境外提供。。

第七十三条【遵守出口管束要求的合规使命】

国度对与守护国度安全和利益、推广国际使命有关的属于管束物项的数据依法执行出口管束，，，企业向境外提供涉及出口管束的数据的，，，该当依法向有关部门申请出口许可证；；可能危�：：劝踩屠娴�，，，不得向境外提供。。

第七十四条【境外司法或法律机构调取数据场景下的合规使命】

非经中华人民共和国主管机关核准，，，企业不得向外国司法或者法律机构提供存储于中华人民共和国境内的数据。。

附则

第七十五条【根基概念】

本指引所称的概念寓意如下：：：

(一) 数据，，，是指任何以电子或者其他方式对信息的纪录；；

(二) 小我信息，，，是指以电子或者其他方式纪录的与已鉴别或者可识此外天然人有关的各类信息，，，不蕴含匿名化处置后的信息；；

(三) 敏感小我信息，，，是指一旦泄露或者犯法使用，，，容易导致天然人的人格尊严受到侵害或者人身、财富安全受到危�：：Φ男∥倚畔�，，，蕴含生物鉴别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，，，以及不满十周围岁未成年人的小我信息。。

(四) 重要数据，，，是指一旦遭到篡改、粉碎、泄露或者犯法获取、犯法利用等，，，可能危�：：劝踩�、经济运行、社会不变、公共健康和安全等的数据；；

(五) 国度主题数据，，，是指关系国度安全、国民经济命脉、重要民生、重大公共利益等的数据；；

(六) 数据处置，，，蕴含数据的网络、传输、存储、加工、使用、提供、公开等；；

(七) 数据安全，，，是指通过采取必要措施，，，确保数据处于有效保�；ず秃戏ɡ玫淖刺�，，，以及具备保险持续安全状态的能力；；

(八) 数据合规，，，是指企业通过采取必要措施，，，确保其在日常经营活动中的数据处置行为达到小我信息保�；�、网络安全、数据安全等方面的司法要求的状态；；

(九) 数据合规治理，，，是指以预防和降低涉数据违法犯罪和数据安全风险为主张，，，以企业及其员工行为为治理对象，，，发展的一系列治理活动。。

(十) 自动化决策，，，是指通过推算机法式自动分析、评估小我的行为习惯、兴致爱好或者经济、健康、信誉情况等，，，并进行决策的活动。。

(十一) 数据买卖场所，，，是指经丽江市当局核准成立的，，，组织发展数据买卖活动的买卖场所。。

第七十六条【指引的诠释】

本指引由丽江市人民检察院、丽江市互联网信息办公室、丽江市司法局、丽江市发展和鼎新委员会、丽江数据买卖所掌管诠释。。

第七十七条【执行日期】

本指引自颁布之日起执行。。

XKTY.COM