合肥市企业数据合规指引(试行)
合肥市企业数据合规指引(试行)
合肥市数据资源管理局合肥市司法局
合肥市律师协会
2024年8月1日
目 录
第一章 总则
第二章 数据合规管理组织体系
第三章 数据合规管理制度体系
第四章 数据全生命周期合规
第五章 数据合规运行及保障
第六章 数据跨境流动合规
第七章 附则
第一章总则
第一条【目的和依据】
为引导企业规范数据合规管理，统筹推进企业数据权益保护，保障企业数据安全，依据《中共中央、国务院关于构建数据基础制度更好发挥数据要素作用的意见》《促进和规范数据跨境流动规定》等政策文件、《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》等法律法规，制定本指引。
第二条【数据合规指引的必要性】
引导各类企业开展数据合规管理是对企业经营活动中依法开发和利用数据资源，维护合法权益的重要保障，也是降低企业及其员工涉数据类违法违规风险的重要举措，企业可以通过建立完善的数据合规管理体系，有效预防数据安全事件。
第三条【适用范围和效力】
该指引立足合肥市企业数据法治需求，对企业数据合规管理组织体系、制度体系，数据全生命周期合规和数据合规运行及保障、数据跨境流通合规等作出指导，合肥市各类企业，尤其是人工智能、工业互联网、普惠金融、网络货运、民用航空、空天信息、政府采购等领域数据资源丰富的企业，进行数据处理活动时可参考本指引开展数据合规管理。
本指引由合肥市数据资源管理局、合肥市司法局、合肥市律师协会共同编制，安徽省数字江淮中心参与编制。
本指引不具有强制性，法律、法规及有关国家、行业标准另有专门规定的，从其规定。
第四条【合法、正当和诚信原则】
企业开展数据处理活动，行使相关数据权益，应当遵守法律、法规，尊重社会公德，诚实守信，承担社会责任，不得危害国家安全、公共利益，不得损害他人合法权益。
第五条【数据权益保护】
鼓励企业依法开发和利用数据资源，保护企业在使用、加工等数据处理活动中形成的法定或者约定的财产权益，以及在数字经济发展中有关数据创新活动取得的合法财产权益。
第六条【数据安全保护】
企业应当建立数据安全制度，采取技术措施或其他必要措施，防止数据丢失、毁损、泄露和篡改，确保收集、存储的数据安全，对数据的准确、完整、及时性负责。鼓励企业探索运用人工智能技术保护数据安全。
第七条【数据分级分类制度】
企业应当建立数据分类分级，按对国家安全、公共利益、或者个人、组织合法权益的影响程度和重要程度，对数据实行分类分级保护，鼓励企业建立重要数据目录。倡导企业通过人工智能技术进行数据自动化和智能化分类分级。
第八条【数据合规管理责任主体】
企业是数据合规管理的责任主体，负责其数据处理活动和合规管理中各项要求的推进落实，对其数据处理活动、合规管理和运行效果负责。
第九条【涉第三方数据管理】
企业接受第三方委托或者委托第三方，共同开展数据处理活动，应当符合法律、法规和强制性标准的规定，明确各方的权利和义务，有效预防数据合作法律关系中的风险。
第十条【数据保护影响评估】
企业应建立事前数据保护影响评估报告制度，梳理归纳启动事前数据保护影响评估的情形，有效防范数据安全风险事件。
第十一条【风险导向原则】
企业应当采取必要措施对国家核心数据、重要数据、敏感个人信息等存在较高合规风险的数据予以重点保护，加强合规管理。
第十二条【可追溯原则】
企业对数据进行修改、查询、导出、删除等处理时，应当记录相应操作，确保操作记录可追溯、可审查。
第二章数据合规管理组织体系
第十三条【一般要求】
为确保企业数据处理活动的合法性与合规性，企业应严格遵循相关法律法规，构建完善的数据合规管理组织体系，明确数据合规责任主体，组织开展数据合规教育培训，加强人力资源考核与保障，加强跨部门合作交流，强化员工数据合规意识。
第十四条【数据合规决策层的职责】
数据合规负责人由企业主要负责人担任，对数据合规负领导责任。数据合规负责人应当承担以下职责：
(一)为企业数据合规管理制度体系的建构和运行提供必要的资源保障和条件支持；
(二)确立数据合规方针和合规目标，并确保企业战略方向与合规方针和目标保持一致；
(三)确保将数据合规管理要求融入企业的业务过程；
(四)确保合规管理制度体系有效运转并持续改进；
(五)保障数据合规管理部门具备独立履行职责的能力与权限；
(六)确保建立有效的数据违规举报与惩处机制和跨部门合作机制；
(七)审批企业重大数据合规事项；
(八)引导培育企业数据合规自主性，促成数据合规企业文化；
(九)对数据合规管理层工作情况进行监督。
第十五条【数据合规管理层的职责】
企业应当设立专门的数据合规管理部门，或由合规管理、法务、审计、监督等相关部门承担该职能，并配备数据合规专员。数据合规管理部门对数据合规决策层负责，承担以下职责：
(一)确立、坚持并推广数据合规企业文化；
(二)组织制定企业数据合规管理制度规范与合规计划，并推动其有效实施；
(三)统筹规划和实施数据合规管理工作，定期对数据合规管理情况进行全面评估与检查，并制作详尽的书面记录；
(四)建立数据合规举报与调查机制，对数据合规举报制定调查方案并开展调查；
(五)定期组织或协助人事部门开展数据安全合规培训，为企业相关内部职能部门提供数据合规咨询与支持；
(六)推动跨部门合作机制，促进部门间的沟通与协作，确保企业在数据处理各环节均严格遵守相关法规和数据合规管理；
(七)向数据合规负责人与董事会报告数据合规重大风险和数据合规工作情况。
第十六条【数据合规执行层的职责】
企业内部开展数据处理工作的各职能部门负责本部门业务范围内的数据合规工作，并承担以下职责：
(一)根据企业数据合规管理制度及相关合规指引，确立并执行一套严谨的数据处理全生命周期合规要求和工作机制；
(二)确保本部门员工遵守企业合规制度规范，履行数据合规义务；
(三)配合数据合规负责人和合规管理部门开展合规风险审查、评估、整改等各项合规工作；
(四)密切监测日常数据处理工作中的数据安全合规风险，并采取适当的安全保护措施；
(五)当发现数据处理活动存在较大合规风险或者发生数据安全事件时，及时向数据合规负责人和合规管理部门报告，并配合采取应急处置和整改措施。
【文件化信息】企业应当以适当的方式和载体，对数据合规管理过程中产生的文档化信息进行记录。这些文档化信息需以清晰、易懂、易查询的方式储存，并应实施必要措施，以保障其不被泄露、滥用或破坏其完整性。
第十七条【个人信息保护负责人的指定及责任】
处理个人信息达到国家网信部门规定数量的企业应当指定专门的个人信息保护负责人，并承担以下职责：
(一)统筹实施企业内部的个人信息合规工作；
(二)组织制定个人信息合规方面的内部制度和操作规程，并督促落实；
(三)组织开展个人信息安全影响评估，督促整改安全隐患；
(四)定期组织开展合规审计；
(五)及时受理相关投诉、举报；
(六)与监管部门保持沟通，通报或报告个人信息保护和事件处置等情况。
企业应当公开个人信息保护负责人的姓名、联系方式等情况，并报送履行个人信息保护职责的部门。
第三章数据合规管理制度体系
第十八条【一般要求】
企业应当依照法律、法规规定，结合自身业务，建立健全覆盖数据全生命周期的数据合规管理制度体系，明确企业内部数据合规管理的相关标准、规范和操作规程，坚持安全和发展并重，确保数据合规管理制度与生产运营、业务发展同步规划、同步建设、同步运行。
第十九条【数据分类分级保护制度】
企业应当建立数据分类分级保护制度，根据所属国家行业、地区的相关标准，按照数据的重要程度、对国家或者个人、组织合法权益的影响程度进行分类分级，形成数据分类分级清单。
企业应根据数据分类分级清单，制定并执行相应的操作要求和保护措施。同时处理不同级别数据且难以分别采取保护措施的，企业应当按照其中级别最高的要求给予保护。
企业应当结合相关法律、法规和主管部门、所属行业重要数据具体目录等标准规范，重点识别和确定重要数据和核心数据清单，明确重要数据和核心数据的管理职责、操作规范、审批要求、备案机制等事项，建立重要数据和核心数据的日常记录和容灾备份机制，强化重要数据和核心数据的安全保障。
第二十条【采取安全技术保护措施】
企业应当根据数据分类分级情况，采取适当的匿名化、备份、加密、访问控制、入侵防范等数据安全技术保护措施，加强对数据处理系统、数据传输网络、数据存储环境、数据访问接口等物理和网络环境的安全防护，将数据安全技术保护覆盖到数据处理的全过程。
处理重要数据的系统应满足三级以上网络安全等级保护和关键信息基础设施安全保护要求，处理核心数据的系统依照有关规定从严保护。
第二十一条【权限控制机制】
企业应当按照最小授权原则合理确定数据访问与操作权限，仅在完成职责所需的范围内授子特定人员最小必要的数据操作权限，并通过技术手段限制超越权限的操作空间。
针对重要数据和核心数据，企业应当通过设置严格的数据处理权限、配备风险阻断机制、明确安全审计流程、落实访问和操作留痕等方式，实现权限最小化管控。
第二十二条【依法申报数据安全审查】
鼓励企业自主审查其数据处理活动是否影响或者可能影响国家安全。符合法律法规规定条件的，企业应当按照有关规定，申报网络安全审查。
掌握超过100万用户个人信息的网络平台运营者赴国外上市，必须向网络安全审查办公室申报网络安全审查。
第二十三条【建立合规风险评估机制】
企业应当建立数据合规风险评估机制，每年至少开展一次数据合规风险评估，对数据分类分级保护情况、数据安全技术保护措施有效性、关键基础设施安全水平、数据处理合规情况、数据安全预警和应急事件处置能力、数据安全问题整改和监管执法响应情况等内容进行评估，并形成数据合规风险评估报告。涉及处理重要数据的，还应对重要数据的处理情况作出评估，并向有关主管部门报送风险评估报告。对新上线业务、第三方数据合作业务以及重点存量业务，企业可以不定期开展合规风险评估。
企业应当根据数据合规风险评估报告对相关职能部门、岗位员工作出风险提示，并要求其采取相应的风险处置和整改措施，必要时应暂停或取消具有较高合规风险的业务活动。
第二十四条【监测预警与存在安全缺陷、漏洞的补救措施】
企业应当建立数据安全风险监测预警机制，及时监测日常数据处理活动中的异常情况和安全风险，并进行预警。当发现数据安全缺陷、漏洞等风险时，应当立即采取预防、补救措施；造成或者可能造成严重后果的，应当及时告知可能受到影响的主体，并向有关主管部门报告。
企业应当建立针对数据不合规行为的监测机制，及时发现日常数据处理活动中的不合规行为，采取相应的处置和惩戒措施，并对类似问题进行排查。发生可能对企业带来重大数据合规风险的违规行为时，应当及时向数据合规负责人汇报，并确定相应的解决方案。
第二十五条【数据安全应急预案、演练和处置机制】
企业应当制定数据安全应急预案，按照危害程度、影响范围等因素对数据安全事件进行分级，并结合分级情况确定应急处置的方针策略、人员职责、具体措施、流程规范、物资保障等事项。企业应当每年至少组织一次应急响应培训和应急预案演练，使相关人员掌握熟悉应急处置策略和规程。
当发生数据安全事件时，企业应当按照应急预案及时采取处置措施，防止危害扩大，消除安全隐患，记录事件内容，保留相关证据，并向有关主管部门报告。安全事件对个人、组织造成实质性危害的，企业还应及时以电话、短信、邮件等方式向所涉主体告知安全事件情况、危害后果、已采取的补救措施等信息。无法逐一告知的，可采取公告方式告知。
第二十六条【积极配合监管】
企业应当建立监管执法配合机制，受到监管部门调查时应立即通知数据合规负责人、数据合规管理部门负责人和相关职能部门负责人等人员，启动必要的内部调查程序并明确监管调查对接人员，必要时应当暂停相应的数据处理活动。
企业应当对监管部门的监管执法予以协助、配合，不得拒绝、阻挠，不得提供虚假材料、信息或隐匿、销毁、转移证据。
企业积极配合监管并主动开展合规整改采取措施有效减轻、消除危害后果的，可以向监管部门申请酌情从轻或减轻行政处罚。
第二十七条【建立监管响应和整改机制】
企业应当按照监管部门提出的监管建议及时采取整改措施，优化、更新数据合规管理制度，建立健全数据合规长效机制，有效消除安全隐患。
企业应该根据法律法规变化和监管动态落实情况动态调整数据合规相关机制和技术手段。
第二十八条【外部投诉机制】
企业应当建立便捷的数据合规外部投诉机制，公布受理部门或人员联系方式、受理流程等信息，鼓励受到数据不合规行为影响的主体进行投诉，并在合理时间内向投诉人回复处理情况。
第四章数据全生命周期合规
第一节数据收集
第二十九条【数据收集的一般性规定】
不得以不正当竞争为目的，违反诚实信用获取数据；不得违法侵入涉密网站和计算机信息系统获取数据；不得以非法获取内部访问、操作权限等方式，未经授权或超越授权范围获取数据；不得干扰被访问网站的正常运营或者妨碍计算机信息系统正常运行；不得以技术破解方式突破网站、计算机信息系统为保护数据而设置的技术保护措施。企业收集涉及他人知识产权、商业秘密或非公开的个人信息的数据，应事前征得所涉主体同意。
第三十条【以爬虫等手段抓取数据的合法标准】
企业采用网络爬虫等自动化工具收集数据的，应当遵守法律法规、行业自律公约，尊重爬取对象网站的爬虫协议及规则，事前评估对网络服务的性能、功能可能带来的影响，避免干扰网络服务的正常功能或妨碍计算机信息系统正常运行。
第三十一条【以购买、交换等手段收集数据的合法标准】
企业通过向第三方购买、交换、共享等方式收集数据的，应当符合法律、法规要求，对第三方的资质以及获取和持有数据的合规性进行必要审查，要求其作出数据来源合法性承诺并提供必要证明。
对从第三方获取的数据，企业应当承担与直接收集的数据同等的安全保护责任与合规义务。
第三十二条【在提供产品、服务过程中收集数据的合法标准】
企业在提供产品、服务过程中收集个人信息，应当符合最小必要原则，仅收集与实现产品或服务的业务功能直接相关的个人信息。不得因个人不同意提供非必要个人信息，而拒绝向其提供基本功能或服务。
企业基于开发新型业务功能、提升服务体验等目的，超出必要范围收集用户个人信息的，应当征得个人同意。
企业如需使用在提供产品、服务过程中收集到的数据，应当事先获得相关数据主体的授权同意。
第三十三条【分类管理】
企业应当建立个人信息分类管理制度，结合个人信息的主体属性、具体种类、敏感程度、处理方式、应用场景、对个人权益的影响、可能存在的安全风险等因素明确个人信息分类标准，并分别确定针对不同类型个人信息的处理规则、合规义务和保护标准。敏感个人信息及未成年人个人信息处理规则应当遵循法律、法规的相关规定。
第三十四条【个人信息保护政策合规】
企业在收集用户数据前，应当通过弹窗、文本链接、附件、常见问题(FAQs)等简洁明显且易于访问的方式，以清晰易懂的语言告知用户个人信息保护政策，个人信息保护政策所告知的信息应当包含相关法律、法规、行业自律公约等规定的内容，所告知的信息应真实、准确、完整，且内容应清晰易懂，符合通用的语言习惯，使用标准化的数字、图示等，避免使用有歧义的语言；个人信息保护政策应公开发布且易于访问。
第二节数据存储
第三十五条【分级分域管理】
企业应当根据分类分级等内部规范对不同类型、风险等级和重要、敏感程度的数据进行分级分域管理，对不同数据进行物理隔离或强逻辑隔离，确定数据存储的期限、位置，并采取相适应的安全保护措施和访问控制机制，维护数据的完整性、保密性、可用性。
企业应当通过加密存储、访问控制、校验技术等措施强化对重要数据和敏感个人信息的保护。
第三十六条【数据存储介质管理】
企业应当根据数据类型、风险等级和重要、敏感程度等因素选择安全性能、防护级别与安全等级相适应的存储设备和介质，制定数据存储设备和介质清单，建立数据存储设备和介质管理制度，规范存储设备和介质的使用、操作、维修和故障处理，并对传递、使用数据存储设备和介质的行为建立审批和日志记录等管控机制，强化存储设备和介质的物理安全和加密管理。
第三十七条【云平台存储】
企业使用第三方云平台进行数据存储的，应当要求云服务提供商定期报告云平台运行状态、安全状况等信息，并定期对第三方云平台的稳定性和采取的安全保护措施等进行审计，确保其具备充分的数据安全保护能力。
企业终止使用云平台存储服务的，有权取回数据、文档等资料并对其完整性、有效性进行验证。云服务提供商应当按照约定方式删除、销毁云平台存储的数据及副本。
第三十八条【技术保护措施：去标识化、匿名化】
企业在存储数据时应当采取加密、去标识化、匿名化处理等安全技术措施，降低个人信息被篡改、破坏、泄露或者非法获取、非法利用等风险。经过去标识化处理的个人信息应当与其他个人信息分开存储，并严格控制访问权限。
第三十九条【数据备份及恢复】
企业应当建立重要数据和个人信息的备份与恢复机制，确定数据备份的范围、频率、方法和流程，并定期对备份数据进行恢复测试和完整性校验，防范数据意外损毁、丢失等风险。
第三节数据传输和提供
第四十条【数据传输加密的合规要求】
企业应当采取信源加密、通道加密等安全保护措施确保数据传输介质和环境安全，保障重要数据和敏感个人信息传输过程的安全性，防范未经授权访问和数据泄露。
第四十一条【向第三方提供数据的合规要求】
企业因业务需要等正当理由向第三方提供或共享、委托处理数据的，应当对数据接收方进行事前资格审查并评估其数据安全保护能力。涉及提供重要数据、敏感数据的，应当留存相应的日志记录。
企业应当通过合同等形式与数据接收方约定处理数据的目的、范围、方式、限制与应采取的安全保护措施等事项，明确双方权利和义务，并对数据接收方的处理活动进行必要监督。发现数据接收方违反法律、法规规定或双方约定处理数据的，应当立即要求其停止相关行为并采取必要的补救措施；必要时应当暂停或终止向其提供数据，并监督数据接收方及时返还、删除、销毁已获得的数据。
第四十二条【向第三方提供个人信息的合规要求与豁免】
企业向第三方提供或共享、委托处理个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并按照法律规定征得个人单独同意，并留存个人同意记录、提供个人信息的日志记录以及共享、交易、委托处理重要数据的审批记录和日志记录。
第四十三条【共同处理场合下的合规要求】
两个以上的企业共同决定个人信息的处理目的和处理方式的，应当约定各自的权利和义务、应采取的安全保护措施、发生数据安全事件时的补救与应急处置措施以及责任承担等事项。
第四十四条【合作方管理】
企业应当加强对合作方的合规管理，明确信息系统开发及运维、数据存储、数据处理等合作方的准入标准和资格审查机制，并通过签订合规协议等形式明确双方的权利和义务，以及合作方的数据处理权限、应采取的安全保护措施等事项。
企业应当定期对合作方进行合规检查和审计，并结合风险特征对合作方进行合规分级、分类管控，对不同风险级别的合作方采取相适应的合规管理措施。发现合作方存在严重违法、违规、违约行为或发生重大数据安全事故、丧失数据安全保障能力、故意不履行数据安全保护职责等情形的，应及时终止与其合作。
第四十五条【第三方接入场景/SDK的合规义务】
企业在其产品或服务中接入由第三方提供的软件开发工具包的，应当事前对接入第三方进行安全检测，评估是否存在已知的安全漏洞以及可能引起数据泄露等安全事件的行为，并建立相应的接入第三方合规管理机制，通过签署开发者服务协议等形式明确双方的权利和义务、应采取的安全保护措施、发生数据安全事件时的补救与应急处置措施以及责任承担等事项，并留存第三方接入日志记录。
第三方软件开发工具包具备收集、处理个人信息功能的，企业应当要求该第三方如实、完整披露收集、处理个人信息的具体情况，并应将相关情况及时、准确告知所涉个人，并按照法律规定征得个人同意。
企业应当对第三方软件开发工具包进行持续安全监测，发现接入第三方存在违反法律、法规规定或双方约定处理数据，或未落实数据安全保护责任造成较大安全风险的，应当及时切断接入，并督促其采取整改措施。对于流量劫持、资费消耗、隐私窃取、广告刷量、恶意广告、恶意勒索、虚拟币挖矿、远程控制、剪切板劫持等恶意行为的第三方软件开发工具包应当取消其接入权限。
第四十六条【合并、重组、分立、解散、破产场合下的合规要求】
企业因兼并、重组、破产等原因需要转移数据的，应当制定数据转移方案，明确数据承接方及其应当履行的数据安全保护责任等事项，并以合适的方式通知受影响的个人。
作为数据承接方的企业应当继续承担数据合规义务和数据安全责任。因业务需要等正当理由确需改变数据处理目的、范围、方式的，应当重新征得所涉个人同意。
第四节数据交易
第四十七条【数据交易】
鼓励数据交易主体通过数据交易场所进行交易。数据交易主体在交易前，可根据相关法律法规的规定对数据产品或服务进行数据资源登记。开展数据交易时，数据交易主体应当遵守以下基本要求：
(一)遵守我国关于数据流通与交易管理的法律法规，尊重社会公德、商业道德，接受监督管理；
(二)采取必要措施，做到交易过程可控制、风险可防范、责任可追溯、合规性可监督；
(三)数据交易主体应当诚实守信，恪守承诺，全面及时履行合同约定及相关承诺；
(四)数据交易主体在享有数据权益的同时，应当履行相关义务，确保数据交易安全合规。
第四十八条【数据交易场所的合规义务】
数据交易场所应当建立数据来源可确认、使用范围可界定、交易过程可追溯、安全风险可防范的可信数据交易环境，制定平台准入、数据质量评估、交易管理、合规审查、信息披露、自律监管等规则，对场内交易进行管理，交易参与主体应当予以配合。
数据交易场所应当对场内交易进行合法性与合规性评估，并履行以下义务：
(一)要求数据提供方说明数据来源并审核相关信息，必要时要求提供合规评估法律意见书；
(二)审核数据交易双方身份和数据交易合同；
(三)留存相关审核、交易记录；
(四)监督数据交易、结算和交付；
(五)采取必要技术手段确保数据交易安全，保护个人信息、个人隐私、商业秘密、保密商务信息和重要数据；
(六)法律、法规规定的其他义务。
第四十九条【数据来源合规】
开展数据交易的企业应当建立针对数据来源的合规审查机制，确保数据获取手段合法合规、数据来源链路清晰，并经过所涉主体明确授权同意，不存在侵犯国家、公共利益或其他组织、个人合法权益的情况。
第五十条【数据可交易性】
为保障数据交易的合法合规，开展数据交易的企业应当确认其提供的数据产品属于法律法规允许交易的范围，数据处理符合法律规定，不包含禁止交易的数据。该类数据形成的数据产品具有合法性、可控性、流通性。
第五十一条【数据内容合规】
开展数据交易的企业应当建立针对数据内容的合规审查机制，不得交易含有以下内容的数据产品或服务：
(一)含有未经授权的个人信息的；
(二)含有侵犯他人知识产权或商业秘密的内容的；
(三)含有未经依法开放的公共数据的；
(四)含有国家核心数据或国家秘密的；
(五)含有法律、法规规定禁止交易的其他数据的。
第五十二条【数据质量管控】
开展数据交易的企业应当建立必要的数据质量校验机制，提升交易数据的准确性、完整性和及时性，并通过数据复核、交叉验证等方式强化重要数据、敏感数据的质量审查。
第五十三条【反馈修改机制】
开展数据交易的企业应当建立问题反馈和修改机制，对证明存在错误或侵权的数据及时采取更正、删除等补救措施。
第五十四条【数据交易协议与监督责任】
开展数据交易的企业应当通过与交易相对方签订数据使用协议等方式，明确交易数据的使用目的、范围、方式、处理限制与应采取的安全保护措施、交易价格、保密约定等事项，以及发生违约、侵权行为时的法律责任，并在合理范围内对数据使用行为进行监督。
数据购买方应当按照约定的目的、场景和方式合规使用数据，不得将通过交易获取的数据用于违反法律法规或双方约定的其他用途。
第五十五条【免责事由/容错机制】
开展数据交易的企业对超出其可预见范围和技术控制能力的数据错误等质量瑕疵，在及时采取补救措施后仍造成损失的，应当允许其通过事前约定等方式减轻或免除相应责任，但对损失的发生存在故意或重大过失的除外。
第五节数据的使用
第五十六条【数据处理活动安全保护义务】
企业开展数据处理活动应当履行下列安全保护义务：
(一)建立健全数据安全防护管理制度；
(二)制定数据安全应急预案，定期开展安全评测、风险评估和应急演练；
(三)采取安全保护技术措施，防止数据丢失、毁损、泄露和篡改，保障数据安全；
(四)发生重大数据安全事件时，立即启动应急预案，及时采取补救措施，告知可能受到影响的用户，并按照规定向有关主管部门报告；
(五)法律、法规规定的其他安全保护义务。
产生、使用数据的程序、软件、系统和平台，在开发阶段应当进行安全可控修复手段的检测，保障数据的安全。
第五十七条【数据使用目的限制】
企业收集的个人信息必须用于明确、具体、合法的目的，并且使用时应与收集时的目的相符。不得超出原始目的范围与使用期限使用个人信息。
第五十八条【委托他人处理数据】
企业委托他人处理个人信息时，应当采取以下措施，确保委托处理行为合规：
(一)进行个人信息安全影响评估
(二)明确具体的约定委托处理内容
企业委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等内容。个人信息处理者还应注意，除非属于无需获得同意的情形外，委托处理范围不应超过个人信息主体授权同意的范围
(三)对受托人处理行为进行监督
企业者应对受托人的处理行为进行监督，方式包括通过合同等方式规定受托人的责任和义务、对受托人进行审计等
(四)准确及时记录委托行为
企业应准确并及时记录和存储委托处理个人信息的情况，包括受托人名称、联系方式、资质许可、委托处理目的、范围、期限、处理方式、签署的合同文本等内容。
(五)及时采取补救措施
企业发现受托人未按照委托要求处理个人信息，或未能有效履行个人信息安全保护责任的，应立即要求受托人停止相关行为并采取有效补救措施，控制或消除个人信息面临的安全风险。必要时企业应终止与受托人的业务关系，并要求受托人及时删除其获得的个人信息。
第五十九条【自动化决策场景的合规义务】
企业利用数据进行自动化决策的，应当保证自动化决策的透明度，并以适当方式公示其自动化决策的基本原理、目的意图和主要运行机制等信息。自动化决策的结果可能对个人权益造成显著影响的，应当对此种影响及可能产生的后果予以说明，并为个人提供拒绝自动化决策的选项。
通过自动化决策方式进行信息推送、商业营销的，应当同时提供不针对个人特征的选项，并向个人提供便捷的拒绝方式。
企业不得利用数据分析，对交易条件相同的交易相对人实施差别待遇，但是有下列情形之一的除外：
(一)根据交易相对人的实际需求，且符合正当的交易习惯和行业惯例，实行不同交易条件的；
(二)针对新用户在合理期限内开展优惠活动的；
(三)基于公平、合理、非歧视规则实施随机性交易的；
(四)法律、法规规定的其他情形。
前款所称交易条件相同，是指交易相对人在交易安全、交易成本、信用状况、交易环节、交易持续时间等方面不存在实质性差别。
第六十条【个人信息保护影响评估】
企业应当针对业务中涉及的对个人权益有重大影响的数据处理活动开展个人信息保护影响评估，持续检验、监控个人信息处理活动的合法合规程度、对个人合法权益造成损害的各种风险以及相关保护措施的有效性，形成和保存个人信息保护影响评估报告和处理情况记录，并采取相应改进措施。
第六十一条【建立个人信息权利行使的响应机制】
企业应当为用户行使《中华人民共和国个人信息保护法》赋子的各项权利提供便捷的申请受理和响应机制，明确合理的响应时限。
第六节数据删除和销毁
第六十二条【应当删除、销毁数据的情形】
企业应当建立数据存储冗余管理策略，定期对存储数据进行盘点，
对于对实现处理目的不再必要的数据，应当及时进行删除或匿名化处理。
当出现以下情形时，企业应当对其持有的全部数据或相关数据进行删除、销毁：
(一)企业终止运营、解散或破产，且没有数据承接方的；
(二)约定的数据存储期限已经届满的，或发生约定的数据删除、销毁事由的；
(三)根据法律、法规规定应当删除、销毁数据的其他情形。
第六十三条【数据删除与销毁的合规要求】
企业应当建立数据删除和销毁的操作规程和管理制度，明确删除和销毁的对象、权限、流程和技术等要求，确保被销毁数据不可恢复，并对相关活动进行记录和留存。
企业对数据存储设备和介质进行报废处理的，应当事先采取格式化、重复删除、介质消磁等方式删除其中存储的数据，并采取物理损毁等方式对介质进行彻底销毁。
第六十四条【删除个人信息的情形】
符合下列情形之一的，企业应当在十五个工作日之内对相关个人信息进行删除或匿名化处理，并遵循可审计原则记录删除时间、操作人、数据内容等相关信息。个人信息处理者未删除的，个人有权请求删除：
(一)处理目的已实现、无法实现或者为实现处理目的不再必要；
(二)企业停止提供产品或者服务，或者保存期限已届满；
(三)个人撤回同意；
(四)企业违反法律、行政法规或者违反约定处理个人信息；
(五)法律、行政法规规定的其他情形。
法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，企业当停止除存储和采取必要的安全保护措施之外的处理。
第五章数据合规运行及保障
第六十五条【数据合规教育和培训】
企业应当定期组织开展数据合规教育培训，确保内部人员充分了解数据法规、数据合规计划、数据合规义务与举报程序等，提升内部人员数据合规意识。
第六十六条【数据合规管理体系】
鼓励企业建立健全数据合规管理体系，开展数据合规管理长效机制，鼓励企业设置数据合规责任人、独立数据管理机构、专门管理制度和数据管理规划、计划，建立企业有关数据合规管理的内外部运行监督评价机制。
第六十七条【合规咨询】
企业可以建立数据合规咨询机制，管理层和各部门员工在工作中可以向数据合规管理部门咨询数据合规问题。
第六十八条【人力资源管理与保障】
企业应当在数据合规管理制度规范中明确员工的数据合规义务，鼓励将数据合规落实效果纳入考核体系，作为决定评优评先、职务晋升与薪酬待遇的重要依据。
关键岗位员工离岗后，应当按照数据合规管理要求执行离岗交接、审计、脱密等措施。
第六十九条【合规承诺制度】
企业应当建立数据合规承诺制度，明确违反数据合规承诺的后果与问责机制，数据合规负责人、数据合规管理部门负责人以及其他数据处理关键岗位员工应作出并严格履行数据合规承诺。
第七十条【举报与调查机制】
企业应当建立内部数据合规举报机制，鼓励、支持内部人员对试图、涉嫌或实际存在的数据不合规行为进行举报，并采取必要措施保护内部举报人信息。
企业应当建立外部数据合规举报机制，公布受理部门或人员联系方式、受理流程等信息，鼓励受到数据不合规行为影响的主体进行投诉，并采取必要措施保护外部举报人信息。
收到举报后，数据合规管理部门应当结合举报线索的真实性、有效性及时启动调查程序，确保调查过程的独立性、公正性，形成调查结果报告并采取相应处理和改进措施，持续完善数据合规管理制度体系。
第七十一条【跨部门合作机制】
企业应建立跨部门协作机制，确保各部门在数据处理活动中遵循数据合规政策。包括但不限于定期召开跨部门会议、分享数据合规最佳实践以及协调解决数据合规问题。
第七十二条【定期合规审计】
为保障企业数据管理的合规性和安全性，企业内部应当定期开展数据合规审计，或委托具有相关资质的外部机构进行独立审计，企业需确保生成并妥善保管相关的数据合规审计报告。对于审计过程中发现的合规问题与安全隐患应及时采取整改措施。
第六章数据跨境流动合规
第七十三条【适用数据出境安全评估的情形】
企业向境外提供数据，有下列情形之一的，应当通过所在地省级
网信部门向国家网信部门申报数据出境安全评估：
(一)关键信息基础设施运营者向境外提供个人信息或者重要数据；
(二)关键信息基础设施运营者以外的数据处理者向境外提供重要数据，或者自当年1月1日起累计向境外提供100万人以上个人信息(不含敏感个人信息)或者1万人以上敏感个人信息。
(三)国家网信部门规定的其他需要申报数据出境安全评估的情形。
第七十四条【数据出境风险自评估的开展】
企业在申报数据出境安全评估前，应当开展数据出境风险自评估，重点评估以下事项：
(一)数据出境和境外接收方处理数据的目的、范围、方式等的合法性、正当性、必要性；
(二)出境数据的规模、范围、种类、敏感程度，数据出境可能对国家安全、公共利益、个人或者组织合法权益带来的风险；
(三)境外接收方承诺承担的责任义务，以及履行责任义务的管理和技术措施、能力等能否保障出境数据的安全；
(四)数据出境中和出境后遭到篡改、破坏、泄露、丢失、转移或者被非法获取、非法利用等的风险，个人信息权益维护的渠道是否通畅等；
(五)与境外接收方拟订立的数据出境相关合同或者其他具有法律效力的文件等是否充分约定了数据安全保护责任义务；
(六)其他可能影响数据出境安全的事项。
第七十五条【需要重新评估的情形】
通过数据出境安全评估的结果有效期为3年，自评估结果出具之日起计算。在数据出境安全评估的结果有效期内出现以下情形之一的，企业应当重新申报评估：
(一)向境外提供数据的目的、方式、范围、种类和境外接收方处理数据的用途、方式发生变化影响出境数据安全的，或者延长个人信息和重要数据境外保存期限的；
(二)境外接收方所在国家或者地区数据安全保护政策法规和网络安全环境发生变化以及发生其他不可抗力情形、数据处理者或者境外接收方实际控制权发生变化、数据处理者与境外接收方法律文件变更等影响出境数据安全的；
(三)出现影响出境数据安全的其他情形。
有效期届满，需要继续开展数据出境活动的，企业应当在有效期届满60个工作日前重新申报评估。
第七十六条【延长评估结果有效期申请】
数据出境安全评估结果有效期届满，需要继续开展数据出境活动且未发生需要重新申报数据出境安全评估情形的，数据处理者可以在有效期届满前60个工作日内通过所在地省级网信部门向国家网信部门提出延长评估结果有效期申请。经国家网信部门批准，可以延长评估结果有效期3年。
第七十七条【明确约定数据安全保护责任义务】
企业应当在与境外接收方订立的法律文件中明确约定数据安全保护责任义务，至少包括以下内容：
(一)数据出境的目的、方式和数据范围，境外接收方处理数据的用途、方式等；
(二)数据在境外保存地点、期限，以及达到保存期限、完成约定目的或者法律文件终止后出境数据的处理措施；
(三)对于境外接收方将出境数据再转移给其他组织、个人的约束性要求；
(四)境外接收方在实际控制权或者经营范围发生实质性变化，或者所在国家、地区数据安全保护政策法规和网络安全环境发生变化以
及发生其他不可抗力情形导致难以保障数据安全时，应当采取的安全措施；
(五)违反法律文件约定的数据安全保护义务的补救措施、违约责任和争议解决方式；
(六)出境数据遭到篡改、破坏、泄露、丢失、转移或者被非法获取、非法利用等风险时，妥善开展应急处置的要求和保障个人维护其个人信息权益的途径和方式。
第七十八条【向境外提供个人信息的条件】
企业因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：
(一)依照《个人信息保护法》第四十条的规定通过国家网信部门组织的安全评估；
(二)按照国家网信部门的规定经专业机构进行个人信息保护认证；
(三)按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；
(四)法律、行政法规或者国家网信部门规定的其他条件。
中华人民共和国缔结或者参加的国际条约、协定对向中华人民共和国境外提供个人信息的条件等有规定的，可以按照其规定执行。
企业应当采取必要措施，保障境外接收方处理个人信息的活动达到《个人信息保护法》规定的个人信息保护标准。
第七十九条【个人数据出境场景下的告知同意要求】
企业向中华人民共和国境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使《个人信息保护法》规定的各项权利的方式和程序等事项，并取得个人的单独同意。
第八十条【个人信息出境场景下的个人信息保护影响评估】
企业向境外提供个人信息的，应当事前进行个人信息保护影响评估，并形成个人信息保护影响评估报告，评估报告和处理情况记录至少保存三年。
评估报告应至少包括以下事项：
(一)个人信息处理者和境外接收方处理个人信息的目的、范围、方式等的合法性、正当性、必要性；
(二)出境个人信息的规模、范围、种类、敏感程度，个人信息出境可能对个人信息权益带来的风险；
(三)境外接收方承诺承担的义务，以及履行义务的管理和技术措施、能力等能否保障出境个人信息的安全；
(四)个人信息出境后遭到篡改、破坏、泄露、丢失、非法利用等的风险，个人信息权益维护的渠道是否通畅等；
(五)境外接收方所在国家或者地区的个人信息保护政策和法规对标准合同履行的影响；
(六)其他可能影响个人信息出境安全的事项。
第八十一条【适用出境标准合同或个人信息保护认证的情形】
企业向境外提供个人信息同时符合下列情形的，应当依法与境外接收方订立个人信息出境标准合同或者通过个人信息保护认证：
(一)关键信息基础设施运营者以外的数据处理者；
(二)自当年1月1日起，累计向境外提供10万人以上、不满100万人个人信息(不含敏感个人信息)的；
(三)自当年1月1日起，累计向境外提供不满1万人敏感个人信息的。
法律、行政法规或者国家网信部门另有规定的，从其规定。
企业不得采取数量拆分等手段，将依法应当通过出境安全评估的个人信息通过订立标准合同或者通过个人信息保护认证的方式向境外提供。
第八十二条【个人信息保护认证规则】
企业通过经专业机构进行个人信息保护认证的方式向境外提供个人信息的，应当符合TC260-PG-20222A《个人信息跨境处理活动安全认证规范》、GB/T 35273《信息安全技术个人信息安全规范》的要求。
认证证书有效期为3年。在有效期内，通过认证机构的获证后监督，保持认证证书的有效性。证书到期需延续使用的，企业应当在有效期届满前6个月内提出认证委托。
第八十三条【出境标准合同的订立、备案】
企业通过订立标准合同的方式向境外提供个人信息的，应当严格按照国家网信部门制定的标准合同订立，企业可以与境外接收方约定其他条款，但不得与标准合同相冲突。标准合同生效后方可开展个人信息出境活动。
企业应当在标准合同生效之日起10个工作日内向所在地省级网信部门备案。
第八十四条【需要重新备案的情形】
企业在标准合同有效期内出现下列情形之一的，企业应当重新开展个人信息保护影响评估，补充或者重新签订标准合同，并履行相应备案手续：
(一)向境外提供个人信息的目的、范围、种类、敏感程度、方式、保存地点或者境外接收方处理个人信息的用途、方式发生变化，或者延长个人信息境外保存期限的；
(二)境外接收方所在国家或者地区的个人信息保护政策和法规发生变化等可能影响个人信息权益的；
(三)可能影响个人信息权益的其他情形。
第八十五条【数据和个人信息出境的特别规定】
企业处理数据和个人信息，应当根据数据和个人信息的来源、重要性、收集区域等要素进行分析判断，属于《促进与规范数据跨境流动规定》的以下情形之一的，可免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证：
(一)国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中收集和产生的数据向境外提供，不包含个人信息或者重要数据的；
(二)在境外收集和产生的个人信息传输至境内处理后向境外提供，处理过程中没有引入境内个人信息或者重要数据的；
(三)为订立、履行个人作为一方当事人的合同，如跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票酒店预订、签证办理、考试服务等，确需向境外提供个人信息的；
(四)按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息的；
(五)紧急情况下为保护自然人的生命健康和财产安全，确需向境外提供个人信息的；
(六)关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供不满10万人个人信息(不含敏感个人信息)的。
其中(三)至(六)情形所称向境外提供的个人信息，不包括被相关部门、地区告知或者公开发布为重要数据的个人信息。
法律、行政法规或者国家网信部门另有规定的，从其规定。
第八十六条【遵守出口管制要求的合规义务】
国家对与维护国家安全和利益、履行国际义务相关的属于管制物项的数据依法实施出口管制，企业向境外提供涉及出口管制的数据的，应当依法向有关部门申请出口许可证；可能危害国家安全和利益的，不得向境外提供。
第八十七条【境外司法或执法机构调取数据场景下的合规义务】
非经中华人民共和国主管机关批准，企业不得向外国司法或者执法机构提供存储于中华人民共和国境内的数据。
第七章附则
第八十八条【基本概念】本指引所称的概念含义如下：
(一)数据，是指任何以电子或者其他方式对信息的记录；
(二)个人信息，是指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息；
(三)敏感个人信息，是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。
(四)重要数据，是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用等，可能危害国家安全、经济运行、社会稳定、公共健康和安全等的数据；
(五)国家核心数据，是指关系国家安全、国民经济命脉、重要民生、重大公共利益等的数据；
(六)数据处理，包括数据的收集、传输、存储、加工、使用、提供、公开等；
(七)数据安全，是指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力；
(八)数据合规，是指企业通过采取必要措施，确保其在日常经营活动中的数据处理行为达到个人信息保护、网络安全、数据安全等方面的法律要求的状态；
(九)数据合规管理，是指以预防和降低涉数据违法犯罪和数据安全风险为目的，以企业及其员工行为为管理对象，开展的一系列管理活动。
(十)自动化决策，是指通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策的活动。
(十一)数据交易场所，是指经省市政府批准成立的，组织开展数据交易活动的交易场所。
(十二)企业在中华人民共和国境内和境外从事如下活动属于数据出境行为：
(1)企业将在境内运营中收集和产生的数据传输至境外；
(2)企业收集和产生的数据存储在境内，境外的机构、组织或者个人可以查询、调取、下载、导出；
(3)企业在境外处理境内自然人个人信息，以向境内自然人提供产品或者服务；
(4)企业在境外分析、评估境内自然人的行为；
(5)法律、法规规定的认定为数据出境的其他数据处理活动。
第八十九条【指引的解释】
本指引由合肥市数据资源管理局、合肥市司法局负责解释。
第九十条【施行日期】
本指引自发布之日起施行。
