网络数据安全管理条例实施，企业收集数据有什么新要求？《网络数据安全管理条例》已于2025年1月1日起施行，作为一部专门规范网络数据处理活动的行政法规，它把企业收集、使用数据尤其是个人信息的要求定得更细、更严。下面把新规带来的主要变化讲清楚。
先说结论
- 《网络数据安全管理条例》自2025年1月1日起施行，网络数据处理者要在网络安全等级保护的基础上，建立健全网络数据安全管理制度，并对所处理网络数据的安全承担主体责任。
- 基于个人同意处理个人信息的，收集必须是为提供产品或者服务所必需，不得超范围收集；不得通过误导、欺诈、胁迫等方式取得同意。
- 处理生物识别、医疗健康、金融账户、行踪轨迹等敏感个人信息，要取得单独同意；处理不满十四周岁未成年人个人信息，要取得监护人同意。
- 处理重要数据的，要按规定识别、申报重要数据，明确网络数据安全负责人和管理机构，并每年度开展风险评估、报送报告。
- 违反规定的，可责令改正、警告、没收违法所得，拒不改正或情节严重的最高罚一百万元；涉及重要数据的最高罚二百万元，并可责令暂停业务、停业整顿、吊销证照。
条例管哪些企业、什么时候开始
结论：《网络数据安全管理条例》自2025年1月1日起施行，凡在中华人民共和国境内开展网络数据处理活动及其安全监督管理的都适用本条例；自主决定处理目的和处理方式的个人、组织，就是条例所说的网络数据处理者。
只要业务涉及通过网络收集、存储、使用、加工、传输、提供、公开、删除数据，就可能落入条例范围，不限于互联网大企业。条例要求网络数据处理者在网络安全等级保护的基础上，加强网络数据安全防护，建立健全网络数据安全管理制度，采取加密、备份、访问控制、安全认证等技术措施和其他必要措施，并对所处理网络数据的安全承担主体责任。安全责任落在处理者自己身上，不能推给别人。
收集个人信息有什么新要求
结论：基于个人同意处理个人信息的，收集必须是为提供产品或者服务所必需，不得超范围收集；不得通过误导、欺诈、胁迫等方式取得个人同意。
条例把「同意」拆成了六项硬要求：一是收集为提供产品或者服务所必需；二是处理敏感个人信息要单独同意；三是处理不满十四周岁未成年人信息要取得监护人同意；四是不得超出同意的目的、方式、种类、保存期限处理；五是个人明确表示不同意后，不得频繁征求同意；六是处理目的、方式、种类变更的，要重新取得同意。此外，因使用自动化采集技术等无法避免采集到非必要个人信息，或者个人注销账号的，处理者应当删除个人信息或者进行匿名化处理。
对普通企业来说，最容易踩坑的是「顺手多收」和「捆绑同意」。新规下，收集范围要与服务所必需相对应，敏感信息要单独勾选，不能默认勾选、不能一揽子授权。
处理重要数据有什么新要求
结论：网络数据处理者应当按照国家有关规定识别、申报重要数据；被确认为重要数据的，处理者要明确网络数据安全负责人和管理机构，在提供、委托、共同处理前进行风险评估，并每年度开展风险评估、报送报告。
重要数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的数据。对这类数据，条例要求更高：要明确由管理层成员担任的安全负责人和专门的安全管理机构；每年度对网络数据处理活动开展风险评估，并向省级以上有关主管部门报送评估报告；因合并、分立、解散、破产等可能影响重要数据安全的，还要报报告处置方案。处理1000万人以上个人信息的处理者，也要遵守针对重要数据的这些要求。
不遵守会有什么后果
结论：违反条例规定的，由网信、电信、公安等主管部门责令改正、给予警告、没收违法所得；拒不改正或者情节严重的，处一百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者营业执照。
涉及重要数据的违规还有更重的档次：违反识别申报、安全负责人、风险评估等规定的，可以并处五万元以上五十万元以下罚款；拒不改正或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款。除企业被罚外，直接负责的主管人员和其他直接责任人员也可能被处一万元以上十万元以下罚款。
法律依据
- 《网络数据安全管理条例》第九条网络数据处理者应当依照法律、行政法规的规定和国家标准的强制性要求，在网络安全等级保护的基础上，加强网络数据安全防护，建立健全网络数据安全管理制度，采取加密、备份、访问控制、安全认证等技术措施和其他必要措施，保护网络数据免遭篡改、破坏、泄露或者非法获取、非法利用，处置网络数据安全事件，防范针对和利用网络数据实施的违法犯罪活动，并对所处理网络数据的安全承担主体责任。
- 第二十一条 网络数据处理者在处理个人信息前，通过制定个人信息处理规则的方式依法向个人告知的，个人信息处理规则应当集中公开展示、易于访问并置于醒目位置，内容明确具体、清晰易懂，包括但不限于下列内容：
- （一）网络数据处理者的名称或者姓名和联系方式；
- （二）处理个人信息的目的、方式、种类，处理敏感个人信息的必要性以及对个人权益的影响；
- （三）个人信息保存期限和到期后的处理方式，保存期限难以确定的，应当明确保存期限的确定方法；
- （四）个人查阅、复制、转移、更正、补充、删除、限制处理个人信息以及注销账号、撤回同意的方法和途径等。
- 第二十二条 网络数据处理者基于个人同意处理个人信息的，应当遵守下列规定：
- （一）收集个人信息为提供产品或者服务所必需，不得超范围收集个人信息，不得通过误导、欺诈、胁迫等方式取得个人同意；
- （二）处理生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等敏感个人信息的，应当取得个人的单独同意；
- （三）处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意；
- （四）不得超出个人同意的个人信息处理目的、方式、种类、保存期限处理个人信息；
- （五）不得在个人明确表示不同意处理其个人信息后，频繁征求同意；
- （六）个人信息的处理目的、方式、种类发生变更的，应当重新取得个人同意。
- 第二十四条 因使用自动化采集技术等无法避免采集到非必要个人信息或者未依法取得个人同意的个人信息，以及个人注销账号的，网络数据处理者应当删除个人信息或者进行匿名化处理。法律、行政法规规定的保存期限未届满，或者删除、匿名化处理个人信息从技术上难以实现的，网络数据处理者应当停止除存储和采取必要的安全保护措施之外的处理。
- 第二十九条 国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护。各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的网络数据进行重点保护。
- 网络数据处理者应当按照国家有关规定识别、申报重要数据。对确认为重要数据的，相关地区、部门应当及时向网络数据处理者告知或者公开发布。网络数据处理者应当履行网络数据安全保护责任。
- 第三十条 重要数据的处理者应当明确网络数据安全负责人和网络数据安全管理机构。网络数据安全管理机构应当履行下列网络数据安全保护责任：
- （一）制定实施网络数据安全管理制度、操作规程和网络数据安全事件应急预案；
- （二）定期组织开展网络数据安全风险监测、风险评估、应急演练、宣传教育培训等活动，及时处置网络数据安全风险和事件；
- （三）受理并处理网络数据安全投诉、举报。
- 第三十三条 重要数据的处理者应当每年度对其网络数据处理活动开展风险评估，并向省级以上有关主管部门报送风险评估报告，有关主管部门应当及时通报同级网信部门、公安机关。
- 第五十五条 违反本条例第十二条、第十六条至第二十条、第二十二条、第四十条第一款和第二款、第四十一条、第四十二条规定的，由网信、电信、公安等主管部门依据各自职责责令改正，给予警告，没收违法所得；拒不改正或者情节严重的，处100万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员可以处1万元以上10万元以下罚款。
- 第五十七条 违反本条例第二十九条第二款、第三十条第二款和第三款、第三十一条、第三十二条规定的，由网信、电信、公安等主管部门依据各自职责责令改正，给予警告，可以并处5万元以上50万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处1万元以上10万元以下罚款；拒不改正或者造成大量数据泄露等严重后果的，处50万元以上200万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处5万元以上20万元以下罚款。
- 第六十四条 本条例自2025年1月1日起施行。
企业应当对照条例逐项自查：收集个人信息是不是「服务所必需」、有没有超范围收集；敏感信息和未成年人信息有没有单独同意或者监护人同意；有没有建立并集中公开展示个人信息处理规则；如果处理重要数据，有没有识别申报、明确安全负责人和管理机构、开展年度风险评估。收到责令改正通知后要及时、扎实整改并留痕，避免因「拒不改正」跌入更重的处罚档次。本文是一般性法律知识，具体案件请结合证据咨询执业律师。
一句话总结
结论：《网络数据安全管理条例》自2025年1月1日起施行，企业收集个人信息不得超范围、敏感信息要单独同意，处理重要数据要识别申报并年度评估，违者最高可罚二百万元，并可能被责令停业整顿、吊销证照。
延伸阅读
以上内容为一般性法律知识分享，不构成正式法律意见；具体案件请结合证据情况咨询执业律师。