# 中华人民共和国数据安全法 （2021年6月10日第十三届全国人民代表大会常务委员会第二十九次会议通过） ## 第一章　总则 ### 第一条　立法目的 为了规范数据处理活动，保障数据安全，促进数据开发利用，保护个人、组织的合法权益，维护国家主权、安全和发展利益，根据宪法，制定本法。 ### 第二条　数据与数据处理活动 在中华人民共和国境内开展数据处理活动及其安全监管，适用本法。 本法所称数据，是指任何以电子或者其他方式对信息的记录。 数据处理，包括数据的收集、存储、使用、加工、传输、提供、公开等。 数据安全，是指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。 ### 第三条　基本原则 国家坚持总体国家安全观，构建数据安全治理体系，提高数据安全保障能力。 国家保护个人、组织与数据有关的权益，鼓励数据依法合理有效利用，保障数据依法有序自由流动，促进以数据为关键要素的数字经济发展。 ### 第四条　安全与发展 国家实施大数据战略，推进数据基础设施建设，鼓励和支持数据在各行业、各领域的创新应用。 省级以上人民政府应当将数字经济发展纳入本级国民经济和社会发展规划，并根据需要制定数字经济发展规划。 ### 第五条　监管体制 中央国家安全领导机构负责国家数据安全工作的决策和议事协调，研究制定、指导实施国家数据安全战略和有关重大方针政策，统筹协调国家数据安全的重大事项和重要工作，建立国家数据安全工作协调机制。 ### 第六条　行业监管 各地区、各部门应当按照本法及其有关规定，履行本地区、本部门数据安全保护职责。 国家网信部门依照本法的规定，负责统筹协调网络数据安全和相关监管工作。 ## 第二章　数据安全与发展 ### 第七条　数据分类分级保护 国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。 ### 第八条　数据安全保护义务 开展数据处理活动，应当依照法律、行政法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。 ### 第九条　风险监测与应急处置 开展数据处理活动应当加强风险监测，发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施；发生数据安全事件时，应当立即采取处置措施，按照规定及时向有关主管部门报告。 ### 第十条　数据交易管理 从事数据交易中介服务的机构应当要求数据提供方说明数据来源，审核交易双方身份，并留存审核、交易记录。 ### 第十一条　数据安全标准 国家制定和完善与数据安全相关标准体系。 标准化工作的管理部门依照法律、行政法规的规定，制定数据安全相关标准并组织实施。 ### 第十二条　数据安全技术创新 国家支持数据安全基础技术研发和成果转化应用，支持企业、科研机构、高等学校等参与数据安全标准制定和关键技术攻关。 ### 第十三条　促进数据开发利用 国家实施大数据战略，推进数据基础设施建设，鼓励和支持数据在各行业、各领域的创新应用。 县级以上人民政府应当将数字经济发展纳入本级国民经济和社会发展规划，并根据需要制定数字经济发展规划。 ## 第三章　数据安全制度 ### 第十四条　数据安全审查制度 国家建立数据安全审查制度，对影响或者可能影响国家安全的数据处理活动进行国家安全审查。 ### 第十五条　数据出口管制 国家对与维护国家安全和利益、履行国际义务相关的属于管制物项的数据依法实施出口管制。 ### 第十六条　数据反制措施 任何国家或者地区在与数据和数据开发利用技术等有关的投资、贸易等方面对中华人民共和国采取歧视性的禁止、限制或者其他类似措施的，中华人民共和国可以根据实际情况对该国家或者地区对等采取措施。 ### 第十七条　数据安全认证 国家促进数据安全检测评估、认证等服务的发展，支持有关机构依法开展数据安全检测评估、认证等服务。 ## 第四章　数据安全保护义务 ### 第十八条　重要数据保护 重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。 ### 第十九条　重要数据目录 重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。 ### 第二十条　数据分类分级 重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。 风险评估报告应当包括处理重要数据的种类、数量、开展数据处理活动的情况，可能带来的安全风险等内容。 ### 第二十一条　数据安全应急预案 开展数据处理活动应当加强风险监测，发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施；发生数据安全事件时，应当立即采取处置措施，按照规定及时向有关主管部门报告。 ### 第二十二条　境内存储 关键信息基础设施运营者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理，适用网络安全法的规定；其他数据处理者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理办法，由国家网信部门会同国务院有关部门制定。 ### 第二十三条　跨境数据传输 非关键信息基础设施运营者在中国境内运营中收集和产生的重要数据的出境安全管理办法，由国家网信部门会同国务院有关部门制定。 ## 第五章　政务数据安全与开放 ### 第二十四条　政务数据安全管理 国家制定政务数据开放目录，构建统一规范、互联互通、安全可控的政务数据开放平台，推动政务数据开放利用。 ### 第二十五条　政务数据安全保护 国家制定政务数据安全管理制度和操作规范，建立健全政务数据安全运营体系。 ### 第二十六条　数据开放平台 国家制定政务数据开放目录，构建统一规范、互联互通、安全可控的政务数据开放平台，推动政务数据开放利用。 ## 第六章　法律责任 ### 第二十七条　一般违法责任 违反本法第二十一条规定，开展数据处理活动未按照规定建立健全全流程数据安全管理制度，或者未组织对数据处理活动定期开展风险评估的，由有关主管部门责令改正，给予警告，可以并处罚款；情节严重的，处一百万元以上一千万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款。 ### 第二十八条　违法交易责任 违反本法第三十一条规定，未取得相关许可从事数据交易中介服务的，由有关主管部门责令改正，没收违法所得，并处违法所得一倍以上十倍以下罚款；没有违法所得或者违法所得不足十万元的，处十万元以上一百万元以下罚款；情节严重的，依法追究刑事责任。 ### 第二十九条　拒不改正的责任 违反本法规定，有下列行为之一的，由有关主管部门责令改正，予以警告，可以并处罚款；情节严重的，处一百万元以上五百万元以下罚款，并可以责令暂停相关业务、停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处五万元以上五十万元以下罚款： （一）违反本法第二十三条规定，向境外提供重要数据的； （二）未按照本法第二十四条规定向有关主管部门报送风险评估报告的。 ### 第三十条　刑事责任 违反本法规定，构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。 ### 第三十一条　公益诉讼 因数据安全相关活动侵害个人或者组织合法权益的，个人或者组织可以依法向人民法院提起民事诉讼。 --- **施行日期**：2021年9月1日 **效力状态**：现行有效