网络数据安全管理条例（国务院令第790号）企业合规要求与处罚

一句话回答：《网络数据安全管理条例》以国务院令第790号公布、自2025年1月1日起施行，作用是把《网络安全法》《数据安全法》《个人信息保护法》三部法律的要求落成可执行的具体义务。对企业最直接的影响有三条：一是处理个人信息达到一定数量（个人信息类重要数据的认定门槛提高到1000万人）就要额外履行更重的安全保障义务；二是“内部管理制度、分类管理、加密去标识化、权限管理、应急预案”这些义务被写实，检查时要拿得出记录；三是处罚仍然接回《个人信息保护法》第六十六条，情节严重的可以罚到五千万元或者上一年度营业额百分之五。

一、法律依据：条例与三部上位法的关系

《网络数据安全管理条例》的制定依据是《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律。它本身不是另立一套标准，而是把三部法律中“应当怎么落地”的部分具体化。

落到企业日常，最常用到的还是《个人信息保护法》第五章“个人信息处理者的义务”。第五十一条要求个人信息处理者根据处理目的、处理方式、个人信息种类以及对个人权益的影响、可能存在的安全风险，采取六类措施：制定内部管理制度和操作规程；对个人信息实行分类管理；采取相应的加密、去标识化等安全技术措施；合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训；制定并组织实施个人信息安全事件应急预案；法律、行政法规规定的其他措施。

第五十二条进一步规定，处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人，公开其联系方式，并将姓名、联系方式等报送履行个人信息保护职责的部门。第五十四条要求定期对处理个人信息遵守法律、行政法规的情况进行合规审计。第五十五条列举了必须事前开展个人信息保护影响评估的情形，包括处理敏感个人信息、利用个人信息进行自动化决策、委托处理或者向其他处理者提供、公开个人信息、向境外提供个人信息等。第五十六条要求影响评估报告和处理情况记录至少保存三年。第五十七条要求发生或者可能发生个人信息泄露、篡改、丢失时立即采取补救措施，并通知履行个人信息保护职责的部门和个人。

二、企业最该盯住的三条线

第一条是数量线。处理个人信息达到规定数量（个人信息类重要数据的认定门槛为1000万人）的，属于重点监管对象，对外提供、跨境传输、安全措施等方面的要求都更严。判断自己有没有踩线，要先算清各业务系统里的个人信息总量，而不是只看注册用户数。

第二条是记录线。合规审计、影响评估、教育培训、权限审批，这些工作的共同点是“要有书面记录”。检查时拿不出记录，通常等于没做。第五十六条明确影响评估报告和处理情况记录至少保存三年，这条是底线。

第三条是事件线。发现泄露不能捂着。第五十七条要求立即补救并通知部门和个人，瞒报往往把普通违法推成“情节严重”，罚款档次直接上浮。

三、实务中要注意什么

第一，先做数据地图，再谈制度。很多公司制度写得很全，但没人说得清系统里到底存了多少人、多少条信息，一做审计就露馅。先把“系统—字段—人数—存储位置—对外提供对象”列成一张表，制度才有落点。

第二，别把App、小程序、公众号当成技术问题全甩给研发。监管口径里它们都是收集个人信息的入口，隐私政策、告知同意、权限调用、第三方SDK清单都要纳入合规范围。

第三，影响评估报告不要做成模板填空。第五十六条要求评估处理目的是否合法、正当、必要，评估对个人权益的影响及安全风险，评估所采取的保护措施是否合法、有效并与风险程度相适应。三块都要写实，否则一旦被查，这份报告反而会成为不利证据。

第四，看清罚则的两档。第六十六条规定，违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。换句话说，罚的不只是公司，还有具体的人。

四、案例分析

（示意情景，非真实案件）一家做会员制零售的企业，会员系统里累积约一千二百万条个人信息，包含手机号、收货地址和部分消费记录。公司有隐私政策，但没有做分类管理台账，没有指定个人信息保护负责人，也没有做过影响评估。一次检查中发现，其营销部门可以导出全部会员手机号用于短信推送，且对外合作的短信服务商没有签数据处理协议。处理结果是责令改正并给予警告，责令暂停相关功能，同时要求限期指定个人信息保护负责人并报送。假如后续复查仍未整改，就进入第六十六条“拒不改正”的罚款档次；如果期间发生数据泄露又没有及时通知用户和履行个人信息保护职责的部门，风险会进一步上升到“情节严重”档，罚款上限变成五千万元或者上一年度营业额百分之五。这个情景想说明的是，这类处罚的阶梯取决于“发现问题后改没改、报没报”。

五、常见问题（FAQ）

问：这部条例什么时候开始施行的？

答：《网络数据安全管理条例》以国务院令第790号公布，自2025年1月1日起施行。

问：多少条个人信息才算数量达标？

答：个人信息类重要数据的认定门槛为1000万人，达到这一数量级的网络数据处理者需要额外履行相应的安全保障义务。

问：企业必须指定个人信息保护负责人吗？

答：处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人，公开其联系方式，并将姓名、联系方式等报送履行个人信息保护职责的部门。

问：影响评估报告要保存多久？

答：影响评估报告和处理情况记录应当至少保存三年。

问：违反规定最高会被罚多少？

答：情节严重的，可处五千万元以下或者上一年度营业额百分之五以下罚款，还可能被责令暂停相关业务或者停业整顿、吊销相关业务许可或者营业执照；直接负责的主管人员和其他直接责任人员也会被个人罚款。

问：只写了隐私政策算合规吗？

答：不算。隐私政策只是告知环节，还需要内部管理制度、分类管理、加密去标识化、权限管理、应急预案、合规审计和影响评估记录等配套动作。

一句话收尾：这部条例真正的难点不在“读没读懂”，而在“留没留下记录”——把数据摸清、把制度做实、把记录存好，才是应对检查最稳的姿势。

网络数据安全管理条例对企业有哪些新要求？不落实会面临什么处罚？