中华人民共和国主席令
第八十四号
《中华人民共和国数据安全法》已由中华人民共和国第十三届全国人民代表大会常务委员会第二十九次会议于2021年6月10日通过，现予公布，自2021年9月1日起施行。

中华人民共和国主席习近平
2021年6月10日

中华人民共和国数据安全法

第一章　总 则
第一条　为了规范数据处理活动，保障数据安全，促进数据开发利用，保护个人、组织的合法权益，维护国家主权、安全和发展利益，制定本法。
第二条　在中华人民共和国境内开展数据处理活动及其安全监管，适用本法。
在中华人民共和国境外开展数据处理活动，损害中华人民共和国国家安全、公共利益或者公民、组织合法权益的，依法追究法律责任。
第三条　本法所称数据，是指任何以电子或者其他方式对信息的记录。
数据处理，包括数据的收集、存储、使用、加工、传输、提供、公开等。
数据安全，是指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。
第四条　维护数据安全，应当坚持总体国家安全观，建立健全数据安全治理体系，提高数据安全保障能力。
第五条　中央国家安全领导机构负责国家数据安全工作的决策和议事协调，研究制定、指导实施国家数据安全战略和有关重大方针政策，统筹协调国家数据安全的重大事项和重要工作，建立国家数据安全工作协调机制。
第六条　各地区、各部门对本地区、本部门工作中收集和产生的数据及数据安全负责。
工业、电信、交通、金融、自然资源、卫生健康、教育、科技等主管部门承担本行业、本领域数据安全监管职责。
公安机关、国家安全机关等依照本法和有关法律、行政法规的规定，在各自职责范围内承担数据安全监管职责。
国家网信部门依照本法和有关法律、行政法规的规定，负责统筹协调网络数据安全和相关监管工作。
第七条　国家保护个人、组织与数据有关的权益，鼓励数据依法合理有效利用，保障数据依法有序自由流动，促进以数据为关键要素的数字经济发展。
第八条　开展数据处理活动，应当遵守法律、法规，尊重社会公德和伦理，遵守商业道德和职业道德，诚实守信，履行数据安全保护义务，承担社会责任，不得危害国家安全、公共利益，不得损害个人、组织的合法权益。
第九条　国家支持开展数据安全知识宣传普及，提高全社会的数据安全保护意识和水平，推动有关部门、行业组织、科研机构、企业、个人等共同参与数据安全保护工作，形成全社会共同维护数据安全和促进发展的良好环境。
第十条　相关行业组织按照章程，依法制定数据安全行为规范和团体标准，加强行业自律，指导会员加强数据安全保护，提高数据安全保护水平，促进行业健康发展。
第十一条　国家积极开展数据安全治理、数据开发利用等领域的国际交流与合作，参与数据安全相关国际规则和标准的制定，促进数据跨境安全、自由流动。
第十二条　任何个人、组织都有权对违反本法规定的行为向有关主管部门投诉、举报。收到投诉、举报的部门应当及时依法处理。
有关主管部门应当对投诉、举报人的相关信息予以保密，保护投诉、举报人的合法权益。
第二章　数据安全与发展
第十三条　国家统筹发展和安全，坚持以数据开发利用和产业发展促进数据安全，以数据安全保障数据开发利用和产业发展。
第十四条　国家实施大数据战略，推进数据基础设施建设，鼓励和支持数据在各行业、各领域的创新应用。
省级以上人民政府应当将数字经济发展纳入本级国民经济和社会发展规划，并根据需要制定数字经济发展规划。
第十五条　国家支持开发利用数据提升公共服务的智能化水平。提供智能化公共服务，应当充分考虑老年人、残疾人的需求，避免对老年人、残疾人的日常生活造成障碍。
第十六条　国家支持数据开发利用和数据安全技术研究，鼓励数据开发利用和数据安全等领域的技术推广和商业创新，培育、发展数据开发利用和数据安全产品、产业体系。
第十七条　国家推进数据开发利用技术和数据安全标准体系建设。国务院标准化行政主管部门和国务院有关部门根据各自的职责，组织制定并适时修订有关数据开发利用技术、产品和数据安全相关标准。国家支持企业、社会团体和教育、科研机构等参与标准制定。
第十八条　国家促进数据安全检测评估、认证等服务的发展，支持数据安全检测评估、认证等专业机构依法开展服务活动。
国家支持有关部门、行业组织、企业、教育和科研机构、有关专业机构等在数据安全风险评估、防范、处置等方面开展协作。
第十九条　国家建立健全数据交易管理制度，规范数据交易行为，培育数据交易市场。
第二十条　国家支持教育、科研机构和企业等开展数据开发利用技术和数据安全相关教育和培训，采取多种方式培养数据开发利用技术和数据安全专业人才，促进人才交流。
第三章　数据安全制度
第二十一条　国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护。
关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据，实行更加严格的管理制度。
各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据进行重点保护。
第二十二条　国家建立集中统一、高效权威的数据安全风险评估、报告、信息共享、监测预警机制。国家数据安全工作协调机制统筹协调有关部门加强数据安全风险信息的获取、分析、研判、预警工作。
第二十三条　国家建立数据安全应急处置机制。发生数据安全事件，有关主管部门应当依法启动应急预案，采取相应的应急处置措施，防止危害扩大，消除安全隐患，并及时向社会发布与公众有关的警示信息。
第二十四条　国家建立数据安全审查制度，对影响或者可能影响国家安全的数据处理活动进行国家安全审查。
依法作出的安全审查决定为最终决定。
第二十五条　国家对与维护国家安全和利益、履行国际义务相关的属于管制物项的数据依法实施出口管制。
第二十六条　任何国家或者地区在与数据和数据开发利用技术等有关的投资、贸易等方面对中华人民共和国采取歧视性的禁止、限制或者其他类似措施的，中华人民共和国可以根据实际情况对该国家或者地区对等采取措施。
第四章　数据安全保护义务
第二十七条　开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。利用互联网等信息网络开展数据处理活动，应当在网络安全等级保护制度的基础上，履行上述数据安全保护义务。
重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。
第二十八条　开展数据处理活动以及研究开发数据新技术，应当有利于促进经济社会发展，增进人民福祉，符合社会公德和伦理。
第二十九条　开展数据处理活动应当加强风险监测，发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施；发生数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告。
第三十条　重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。
风险评估报告应当包括处理的重要数据的种类、数量，开展数据处理活动的情况，面临的数据安全风险及其应对措施等。
第三十一条　关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理，适用《中华人民共和国网络安全法》的规定；其他数据处理者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理办法，由国家网信部门会同国务院有关部门制定。
第三十二条　任何组织、个人收集数据，应当采取合法、正当的方式，不得窃取或者以其他非法方式获取数据。
法律、行政法规对收集、使用数据的目的、范围有规定的，应当在法律、行政法规规定的目的和范围内收集、使用数据。
第三十三条　从事数据交易中介服务的机构提供服务，应当要求数据提供方说明数据来源，审核交易双方的身份，并留存审核、交易记录。
第三十四条　法律、行政法规规定提供数据处理相关服务应当取得行政许可的，服务提供者应当依法取得许可。
第三十五条　公安机关、国家安全机关因依法维护国家安全或者侦查犯罪的需要调取数据，应当按照国家有关规定，经过严格的批准手续，依法进行，有关组织、个人应当予以配合。
第三十六条　中华人民共和国主管机关根据有关法律和中华人民共和国缔结或者参加的国际条约、协定，或者按照平等互惠原则，处理外国司法或者执法机构关于提供数据的请求。非经中华人民共和国主管机关批准，境内的组织、个人不得向外国司法或者执法机构提供存储于中华人民共和国境内的数据。
第五章　政务数据安全与开放
第三十七条　国家大力推进电子政务建设，提高政务数据的科学性、准确性、时效性，提升运用数据服务经济社会发展的能力。
第三十八条　国家机关为履行法定职责的需要收集、使用数据，应当在其履行法定职责的范围内依照法律、行政法规规定的条件和程序进行；对在履行职责中知悉的个人隐私、个人信息、商业秘密、保密商务信息等数据应当依法予以保密，不得泄露或者非法向他人提供。

第三十九条　国家机关应当依照法律、行政法规的规定，建立健全数据安全管理制度，落实数据安全保护责任，保障政务数据安全。

第四十条　国家机关委托他人建设、维护电子政务系统，存储、加工政务数据，应当经过严格的批准程序，并应当监督受托方履行相应的数据安全保护义务。受托方应当依照法律、法规的规定和合同约定履行数据安全保护义务，不得擅自留存、使用、泄露或者向他人提供政务数据。

第四十一条　国家机关应当遵循公正、公平、便民的原则，按照规定及时、准确地公开政务数据。依法不予公开的除外。

第四十二条　国家制定政务数据开放目录，构建统一规范、互联互通、安全可控的政务数据开放平台，推动政务数据开放利用。

第四十三条　法律、法规授权的具有管理公共事务职能的组织为履行法定职责开展数据处理活动，适用本章规定。

第六章　法律责任

第四十四条　有关主管部门在履行数据安全监管职责中，发现数据处理活动存在较大安全风险的，可以按照规定的权限和程序对有关组织、个人进行约谈，并要求有关组织、个人采取措施进行整改，消除隐患。

第四十五条　开展数据处理活动的组织、个人不履行本法第二十七条、第二十九条、第三十条规定的数据安全保护义务的，由有关主管部门责令改正，给予警告，可以并处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；拒不改正或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款。

违反国家核心数据管理制度，危害国家主权、安全和发展利益的，由有关主管部门处二百万元以上一千万元以下罚款，并根据情况责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照；构成犯罪的，依法追究刑事责任。

第四十六条　违反本法第三十一条规定，向境外提供重要数据的，由有关主管部门责令改正，给予警告，可以并处十万元以上一百万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；情节严重的，处一百万元以上一千万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款。

第四十七条　从事数据交易中介服务的机构未履行本法第三十三条规定的义务的，由有关主管部门责令改正，没收违法所得，处违法所得一倍以上十倍以下罚款，没有违法所得或者违法所得不足十万元的，处十万元以上一百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。

第四十八条　违反本法第三十五条规定，拒不配合数据调取的，由有关主管部门责令改正，给予警告，并处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。

违反本法第三十六条规定，未经主管机关批准向外国司法或者执法机构提供数据的，由有关主管部门给予警告，可以并处十万元以上一百万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；造成严重后果的，处一百万元以上五百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处五万元以上五十万元以下罚款。

第四十九条　国家机关不履行本法规定的数据安全保护义务的，对直接负责的主管人员和其他直接责任人员依法给予处分。

第五十条　履行数据安全监管职责的国家工作人员玩忽职守、滥用职权、徇私舞弊的，依法给予处分。

第五十一条　窃取或者以其他非法方式获取数据，开展数据处理活动排除、限制竞争，或者损害个人、组织合法权益的，依照有关法律、行政法规的规定处罚。

第五十二条　违反本法规定，给他人造成损害的，依法承担民事责任。

违反本法规定，构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。

第七章　附则

第五十三条　开展涉及国家秘密的数据处理活动，适用《中华人民共和国保守国家秘密法》等法律、行政法规的规定。

在统计、档案工作中开展数据处理活动，开展涉及个人信息的数据处理活动，还应当遵守有关法律、行政法规的规定。

第五十四条　军事数据安全保护的办法，由中央军事委员会依据本法另行制定。

第五十五条　本法自2021年9月1日起施行。

        日前，《中华人民共和国数据安全法》（以下简称《数据安全法》）正式通过并公布，自2021年9月1日起施行。该法有何亮点？透露出哪些信号？有何重要意义？下面为五位专家的解读。
沈昌祥
中国科学院院士

       “十四五”规划提出要激活数据要素潜能，推进网络强国建设，加快建设数字经济、数字社会、数字政府，以数字化转型整体驱动生产方式、生活方式和治理方式变革。
       数据已成为新兴的生产要素，是国家基础性和战略性资源，数据安全需求也越发凸显。加强对数据安全的保护不仅关乎每个人、每个组织的利益，而且与经济社会发展和国家安全密切相关，必须全方位保护其安全。
       《数据安全法》的出台，将有助于进一步提升国家数据安全保障能力，有助于加强我国应对因数据引发的国家安全风险与挑战，有助于全面维护国家主权、安全和发展利益。
       加强数据安全防护，要坚持积极防范，构建基于等级保护的数据纵深防御防护体系架构，加强可信免疫、主动防护以确保数据可信、可控、可管。
       一是要加强数据资源、环境、系统整体防护，建设多重防护、多级互联体系结构，确保数据处理环境可信；二是要加强处理流程控制，防止内部攻击，提高计算节点自我免疫能力；三是要加强全局层面安全机制，制定数据控制策略，梳理数据处理流程，建立安全的数据处理新模式；四是要加强技术平台支持下的安全管理，基于安全策略，与业务处理、监控及日常管理制度有机结合，实施技管并重、全程管控。
李凤华
中国科学院信息工程研究所二级研究员，第七应用工程部主任
       数据是国家基础性战略资源，《数据安全法》将数据安全上升到国家安全层面，明确了数据、数据处理、数据安全的范畴，厘清了数据安全防护的主体责任，规范了国家行政主管部门、企业、个人的职责与权力，为数据安全防护奠定了基础。

       从数据全生命周期角度出发，《数据安全法》明确了数据的收集、存储、使用、加工、传输、提供、公开等环节，为后续的执法检查、标准制定、企业数据安全防护、个人权益保障等方面指明了方向，并将促进相关技术手段在不同环节的应用。
       为进一步落实《数据安全法》，企业未来应该加强数据安全的自监管，国家行政主管部门的执法监管要与企业自监管有机结合，以促进数据有序使用。
       要强化数据安全标准体系建设，广泛吸收国家行政主管部门、企业、科研机构、个人的意见，平衡各利益攸关方的关切点，提高执法有效性，促进企业对数据的合法合规使用，减少企业防护成本，确保个人权益保障有效可查，充分调动全社会各利益攸关方的积极性，真正推动《数据安全法》有效落地。
李建华
上海交通大学网络安全技术研究院院长、教授

       《数据安全法》作为我国首部与数据安全相关的法律，自2020年6月28日以来经历了三次审议与修改，在此期间持续引发了社会各界的广泛关注。该法的出台标志着我国在数据安全领域的法律空白得以有效填补，我国各行业的数据安全建设工作及监管工作将进入有法可循、有法可依的新时代。
       《数据安全法》明确提出了以坚持数据开发利用和产业发展来促进数据安全的工作方向，在深化数据安全体制改革与建设、强化数据安全监管制约、深度覆盖全场景的数据安全评估与防护等方面都提出了具体要求。同时对于政务数据开放共享中的安全机制建设问题以及对于违法犯罪的惩处力度等问题都作出了进一步的强调。
       《数据安全法》不但对数据安全主管机构的监管职责进行了明确，而且对数据安全协同治理体系的建立与健全起到了积极的促进作用。该法对数据保护范围进行了必要的扩展，有效提升了国家在数据安全方面的保障能力，进而也将使数据在开发、利用、出境以及自由流动等环节中的安全性得到明显加强，从而切实提高数据利用的价值，同时其也必将为数字经济的发展与创新注入新的源动力。
       《数据安全法》将有力推动实现维护国家主权、国家安全、国家利益以及维护全体公民和组织数据合法权益的任务目标，也将成为我国数字化经济成功转型与健康、安全发展的强大保障力量。
黄鹏
国家工业信息安全发展研究中心副总工程师兼信息政策所所长，正高级工程师

       《数据安全法》体现了国家对数据安全领域的高度关注，其主要亮点包括以下几个方面：
       一是追求维护数据安全与引导数字经济发展之间实现动态化平衡。该法聚焦数据安全领域的突出问题，提出数据安全制度、数据安全保护义务、政务数据安全与开放等，确保数据活动符合安全要求。
       与此同时，该法纳入发展数字经济理念，推动政务数据开放利用，利用数据提升公共服务的智能化水平，培育数据交易市场。因此，该法总体上体现了国家统筹发展和安全的基本理念。
       二是更加重视数据安全制度的建设。该法将数据安全制度单独作为一章进行规定，明确提出数据分类分级保护制度，确定重要数据具体目录，并提出了核心数据的新概念。通过明确数据安全风险评估、报告、信息共享、监测预警机制、应急处置机制、安全审查制度、出口管制制度等，强化内控制度建设，防控数据安全风险。
       三是加强对国家数据安全工作的统筹，确定行业安全责任、监管与统筹协调的主体。该法重新明确了监管职责，确定各地区、各部门的主体责任，由网信部门发挥统筹协调职能，工业、电信、交通、金融等主管部门承担相关行业和领域的监管职责，公安机关和国家安全机关等承担相关职责范围的监管职责。通过明确国家层面的统筹协调职能，确保后续国家数据安全战略和重大方针政策的有效落地和执行。
       四是增加对数据泄露活动危及国家安全的处罚力度。该法增加了对违反国家核心数据管理制度的处罚力度，对危害国家主权、安全和发展利益的，非法向境外提供重要数据的，处以最高1000万元罚款。因此，该法对数据安全风险设置了基本“红线”，一旦数据泄露事件危及国家安全，将面临巨额罚款。
       《数据安全法》作为数据领域的基础性法律，是数据要素国家战略的法治基础。未来发展数据要素市场将真正做到有法可依、有章可循。
姜伟
中国网络空间研究院网络安全研究所副所长（主持工作）、研究员
       没有数据安全就没有国家安全。数据安全问题已成为关系国家安全和经济社会发展、关系广大人民群众切身利益的重大问题。制定和实施《数据安全法》，是深入贯彻落实习近平总书记重要指示批示精神和党中央决策部署、维护国家安全和广大人民群众切身利益的需要，是全面提升国家数据保护工作法治化水平的需要，具有十分重要的意义。
       一是构建国家安全法律制度体系的重要举措。“十四五”规划提出，加快数据安全、个人信息保护等方面的数据立法工作。数据安全直接关系国家安全和经济安全。党中央对此高度重视，就加强数据安全工作和促进数字化发展作出一系列部署。制定和实施《数据安全法》，对于加快数据法治建设，完善国家安全法律制度体系具有重要意义。
       二是维护国家安全和人民群众利益的重要举措。数据是国家基础性战略资源和核心竞争力。《数据安全法》作为数据安全领域的基础性法律，贯彻落实总体国家安全观，聚焦数据安全领域的风险隐患，建立国家数据安全工作协调机制，建立数据安全风险评估、报告、信息共享、监测预警机制，建立数据安全应急处置机制，建立数据安全审查等基础制度，强化对国家利益、公共利益和个人、组织合法权益的保护。
       《数据安全法》进一步提升国家数据安全保障体系和能力建设，推动形成安全有序、公正合理的数据治理新格局，切实全面维护国家主权、安全和发展利益，让人民群众在信息化发展中有更多获得感、幸福感、安全感。
三是推动数字经济高质量发展的重要举措。人类已全面进入数字经济时代，作为新生产要素的数据已成为数字经济的核心基础。安全是发展的前提，发展是安全的保障，数据安全是数字经济健康发展的基础。《数据安全法》坚持创新发展和确保安全相统一，在规范数据活动的同时，努力为数字经济科技创新、产业发展营造良好环境，促进以数据为关键要素的数字经济高质量发展。