。。 —第三章 》数据全生《命周：期安全管理 ！第十二？条 数据》处理者？应，。当对数？据处理活动安全负主！体责任,对各类【数，。据实行分级》防，护不同？。级，。别数：据，同时被处理》且难以分别采取保护！。措施的应当按照【其中级别最高—的要：。求实施保护》确保数？据持续？处于有效《保护和合法利—用的状态 —     （【一）建立数据安【。全管理制度针对不】同级：别数据制定数—据全生命周期—各环节？的具体分级防护要】求和操作规程— ， ：    《 ，。。（二）根《据需要配备数据安全！管理人员统筹负责数！据处理？活动的？安全监督管理协助】行业：监管部门开展工作】  》   （三）利用互！联，。网等信息《。网络开展数》据处理？活动时要《落实网络《安全等级保护、【关键信？息基：础，设施安全保护、密】码保护？和保密等制度—要求  【   （四）应【当采取？相应技术措施和其】他必要措施》保，。。障数据安《全防范数据被篡改、！破坏、泄《露或者非《法获取？、非法？利用等风险 】     》（，五）合？理确：定数据处理》活动的操作》权限严格实施人员权！限管理  】 ，  （六）根据应】对数据安全事件【。的需要？制定应急预案— 并开展应急演练】 ：。    》 （七）定期—对从业人员》开，展数据安全知识和技！能相关教育培训 ！。     （八】），。。。法，律法规等规定的其】他，措，施    】 重要数据和核心】数，据处理者还应当 】   》  （一）建立覆】盖，本单位相关部门的】数据安全工作体系】 明：确数据安全负责人和！管理机构建立常【态，化沟通与协作—机制本？单位法定代表—人或主要负责—人是数？据安全第一责任人领！导班子中分管—数据安全的班子【成员是直接责任【人其他成员》对，职责：范围内的《数据安全《工作负领导》责任履行数据安全保！护义务接受监督【     （！。二）明确数据—处理关键岗位和岗位！职责并要求》关键岗位人员签署】数据安全责任—书责任？书内容包《括但不限于数据【安全岗位职》责、义务、处—罚措：施、注意事项等【内容应当按照业务工！作需：要和最小授权—原则依据《岗位职责设定—数据处？理权限控《制重要数据接触【范围人员变动时应】及时调整《权限涉？及，核心：数据的相关关键岗位！人员、信息系—。统建设和《运维单位等提—交公安机关、国家安！。全机：关进行国家安全背景！审，查， ，  《。  ： （三）建立内部登！记、：审，。批机制对《重要数据和核心数】据，。的处理活动进行严】格管理并留存记录不！少于六个月 】     》（四）？在数：据全：生，命周期的各》环节应？当综合运用加—密、鉴权、认—证、脱敏、校验【、审计？等技：术手段进行安全保护！,并按照法律法【规，和国家有《。。关规定要《求使：用，商用密？码进：行保护 【    （五—）涉：重要：数据信息系统建【设、运？维项目未经委托【方批准不得》转包：、分包建《设运维人员未经【委托方？明确授权不得处【理委托方的重要数据！在提供涉重要—。数据信息系统—建设、运维过程【中收集、产生的数】据不得？用于其他《用途服务完》成后按照与委托方约！定处：理或及？时删：除 ？。。  ？   （六）应【当加强人员和—经费：。保障 《 第十三》条 数据处理者】收集数？据应当遵循合—法、正？当的原则不得窃取或！者以：其，他非法方式收集【数，据法律？法规对？收集数据的》目的、？。范围有规定的应当】在法律法《规规定？。的目的和范围内【收集：    【。 数据收集过程中应！当根据数《据安全级别采取相应！的安全措施加强【重要数据和》核心数据收集生产人！员、设备的管理【。 ，并对收集来源、【时间、类《型，、，数量、？精，度、区域《、频度？、流：向等进行《记，录，     通！过间接途径获取重】要数据和核心数据】的数据处理者—应当与数据提供方通！过签署相《关协：议、承？诺书：等方：式明：确双方法律责任【 第十四条】 数？据，处理者应《当依：据法律法规规—定，。。的方：式和期限存储—。数据：可以从物理和环境】安全、网络》和通信？安全、设备和计算】安全、应用和—数据安全等》方面加强数据存储】安全管控保障—存储数据的完整性】、保密性、真实性和！可用性 —。。     》存储重要数》据的要落《实第三级及以—上网络安全等级保护！要求存储《核心：数据的？要落：实关键信息基础设施！安全保护要求或第四！。级，网络安全等》级保：。。护要求 【第，十五条 数据处】理者开展《数，据加工使用处理活】动应当采取访问控制！、数据防泄》露、操作审》计等管控措施确【保过程？安，。全、合？规、可控、》可溯源？防，。范数据关联挖—掘、分析过程—中有价？值信：息和：个人隐私泄露的【安全风险明确数据】使用加工过》程中的相关责—任保证数《据的正当加工使【用加工使《用过程中应当按照数！据级别采取》相应的措施》保护数据的安全性】所使：用的数据《必须：是真实可靠》的数据来《源、收集过程—须经过审查》和，核实涉？及利用数据进—行自动化决策的应当！保证：决策：的透明度和》结果公？平合理加工使用【。重要数据《和核心数据还—应当实施《严格的访问控—制建立数据》可信可控、日志留存！。审计、风险监—测评估、实》时监：控、应急《处置、数据溯源【等，相关技术和管理【机制 第十】六条 数据—处理：者，。。应当根据传输—的数据类型、—级别和应用场景制定！安，全策：略并采取保护措施传！输重要数据》和核心数据的应当】采取校验技术—、密码？。技，。术、安全《传输通道《或者安全传输协议等！措，施， 第十七【条 数据》处，理者应当按照有关规！定安全有序提供数】据明确提《。供的范？围、：类别、条件、程序等！。提供的数据》。应当限于《实现：数据接收方处—理目的？的最小范围并告知】数据接收方按—照对应？级别进行《分类分级保》护采取？必要：。的安：全，保护措？施涉及重要数据【的与数据接收—方签：订数据安全协议重要！数据在共《。享、调用《过程中应《当加强安全管控采取！技术措施定期监【测数据共享、调【用的情况并》。配备风险隔离、认】证鉴权、威胁—告警等安全保—护措施涉及提供【。、共享？核心数据的应—当采取必要的安全】保护措？。施并上报自然—资源：部自本年度1月1】日起可能累计—达，到总：量30%及以上的应！当经自然资源部报】国家数据安全—工作：协调机制组织风【险评估涉及国—家机关依法》履职或单位内—部，。流动的除外 ！第十八条 数据处！理者应当在数据公】开前分析研判可【能对国家安全—。。、公：共利益产生的—影响存在显著负面影！响或风险的不—得公开政《。府机关部门应当遵】守公正、公》平、便民的》原则按？照规定及时、—准确地公开政—务数据依法不—予公开的除外— 《第十九？条 ： 数据处理者应当建！立数据销毁制度明】。确销毁？对象：、，。。规则、流程和—技术等要求对销毁活！动进行？记录和留存依据【。法律法规规定—、合同？约定等请求》销，毁的数据处》理者应当销毁相应数！据，  》   销《毁重要数据和核心】数据的要采取必要】的安全保护措施【并事：前向：行业监管部门报告数！据销毁方案引起重要！数据和核心》数据目录《变化的应《当及时向行》业监管部门》报备不得以任何【理由、任何方式对】销毁数据进行恢复 ！ 第二十条【 数据处理者在中！华人民共和》国境内收集和产生】的重要数据应—当在境内存储确需】向，境外提供《的数据处理者应【当落实国《家网信部门数据【出境：安，全评估有《关，规定 《 ：第二十一条 【数据处理《者因重组等原因需要！转移：数据的应当》。明确数据转移方案】涉，。。及重要数《据的应当采取必要的！安，全保护措《施事前向行业监管部！门报告数据》转移方案引》起重要数《据目录发生》变化的应《当及时？向行业监管部门报】备 第—二十二条 数【据处理？者委托他人处理、与！他人共同处理数【据的数据安》全责任不因委—托而改变应当通过】。签订合？。同协议？等方式明确委托方】与受：托方的数据安全责】任和义务涉及—重，要数据的委托方要把！安全作为重要—考虑因素应当—对受托方的数—据安全保护能力【、资质进行评—估或核实经》过严格的审批—。程序明确受托方【的数据处理权限【和保护责任》。并监督受托》。方履行数据安全保】护义务  】   除法律法规】等另：有规定外未经委托方！同意受托方不—得将：数据提？供给第三《方，。 ， 第二十三条 数！据处理者应当在数】据全生命周》期处理过程中记【录数据处理、—权限管理、人员操】作等：日志并采用商—用密码技术保护日】志的完整性其—中一：般数据的日志留存时！。间不少于六个月【涉及：重要数据安全事【件处置、溯源的【相关日志留存时间不！少于一？年；涉及向他人提供！、委托处理、共【同处理重要数据的相！关日志留《。存时间？不少于三年涉—及核心数据安全【事件处置、》溯源的相关日—志留：存，时间不少《于三年 》