一个只有三个人的小公司开了个卖货小程序，注册了几千个会员；一个在新加坡办公的机构专门做境内用户的市场调研；一个普通人把朋友的照片发到家庭群里——这三件事，网络数据安全管理条例管谁、管不管、管到什么程度，答案都不一样。这部条例由国务院于2024年9月24日公布，2025年1月1日起施行，是网络安全法、数据安全法、个人信息保护法之下的配套行政法规，把三法里原则性的数据安全义务落到了可执行的操作层面。很多人搜「网络数据安全管理条例管谁」「条例适用范围包括什么」「个人发朋友圈受管吗」，这篇就从条文出发，把适用对象、地域范围和排除情形一次讲清，帮中小企业和普通网民先定位自己有没有进圈。
先看这三个要点
- 管的是「网络数据处理者」：第62条把网络数据处理者定义为在网络数据处理活动中自主决定处理目的和处理方式的个人、组织——关键在「自主决定」四个字，谁拍板用数据，谁担责。
- 地域上有域外效力：第2条第二款规定，境外处理境内自然人个人信息、符合个人信息保护法第三条第二款情形的，也适用本条例；损害我国国家安全、公共利益的，还要依法追究责任。
- 个人和家庭事务明确豁免：第63条第二款写明，自然人因个人或者家庭事务处理个人信息的，不适用本条例——发朋友圈、管家长群不在管辖圈内。
一、条文原文
- 第二条 在中华人民共和国境内开展网络数据处理活动及其安全监督管理，适用本条例。
- 在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动，符合《中华人民共和国个人信息保护法》第三条第二款规定情形的，也适用本条例。
- 在中华人民共和国境外开展网络数据处理活动，损害中华人民共和国国家安全、公共利益或者公民、组织合法权益的，依法追究法律责任。
- 第六十二条（节选） 本条例下列用语的含义：（一）网络数据，是指通过网络处理和产生的各种电子数据。（二）网络数据处理活动，是指网络数据的收集、存储、使用、加工、传输、提供、公开、删除等活动。（三）网络数据处理者，是指在网络数据处理活动中自主决定处理目的和处理方式的个人、组织。
- 第六十三条（第二款） 自然人因个人或者家庭事务处理个人信息的，不适用本条例。
二、适用要件对照
| 要件·维度 | 条文依据 | 对你的意义 |
|---|---|---|
| 数据范围 | 第六十二条第一项 | 通过网络处理和产生的各种电子数据都算，不只限于个人信息 |
| 行为范围 | 第六十二条第二项 | 收集、存储、使用、加工、传输、提供、公开、删除全流程都算处理活动 |
| 主体资格 | 第六十二条第三项 | 自主决定处理目的和方式者担主体责任，受托干活的不算处理者 |
| 地域范围 | 第二条 | 境内活动直接适用；境外处理境内个人信息符合个保法第三条第二款的也适用 |
| 排除情形 | 第六十三条第二款 | 个人、家庭事务处理个人信息豁免；国家秘密、核心数据另有专门规定 |
三、谁在圈内，谁在圈外
做网站、做APP、开小程序的中小企业，几乎必然在圈内。第62条的定义只问一个问题：你是不是自主决定这批数据怎么用。三个人的小公司自己运营会员系统，收集谁的手机号、存多久、要不要推广告，都是自己拍的板，那它就是网络数据处理者，第9条的安全防护义务（等级保护基础上的加密、备份、访问控制等）、第20条的投诉举报渠道义务、第22条的个人同意规则，一条都跑不掉。条例没有给中小企业设豁免门槛，只是义务强度不同——比如第30条的数据安全负责人、第33条的年度风险评估报告，这些重义务挂在重要数据处理者头上，普通小企业先不沾，但一般规定这一章的底线义务（第8条不非法获取、不非法出售，第9条安全防护，第12条对外提供要签合同并留存记录三年）人人适用。
受托干活的技术服务商要分两截看。第62条把「委托处理」定义为受托按约定的目的和方式开展处理活动，受托方不自主决定目的，所以不是第62条意义上的处理者主体，但它依然要履行网络数据安全保护义务（第12条第二款），并且未经同意不得访问、获取、留存委托方的数据。帮客户做服务器运维、做数据分析外包的公司，别以为「我只是干活的」就能置身事外——合同里必须写清处理目的、方式、范围，超了范围一样追责。
境外机构盯着个人信息看。第2条第二款不是把所有境外数据活动都圈进来，而是限定在处理境内自然人个人信息、且符合个人信息保护法第三条第二款情形的——比如以向境内提供产品服务为目的，或者分析评估境内自然人的行为。做跨境电商、面向境内用户做市场分析的境外机构，要在境内设专门机构或指定代表（第26条），并报送设区的市级网信部门。至于境外活动损害我国国家安全、公共利益或者公民组织合法权益的，第2条第三款和第54条给出了追溯工具，国家网信部门可以会同有关部门采取必要措施。
普通网民的日常不在管辖圈内，但别越线。第63条第二款的豁免只覆盖「因个人或者家庭事务」：发朋友圈、拉家人群、存孩子照片都安全。可一旦越过这条线——比如批量爬取别人的个人信息拿去卖、帮朋友非法获取数据——第8条第一款的禁止性规定立即适用，任何个人都不得窃取或者以其他非法方式获取网络数据、不得非法出售或者非法向他人提供网络数据。豁免挡的是「普通使用」，挡不住「非法活动」。
这条规则的边界
- 国家秘密和核心数据不适用本条例。第63条第一款、第三款写明：开展核心数据的网络数据处理活动按照国家有关规定执行；涉及国家秘密、工作秘密的适用保守国家秘密法等法律法规。政务系统、军工科研单位要走的路径不在条例内。
- 「自主决定」的判断要看实质。集团内子公司用同一套系统，但数据处理规则由集团统一决定的，被追责的可能不是子公司；反过来，挂着加盟牌子实际自己管数据的门店，责任也是自己的。
- 域外效力有触发条件。第2条第三款的追责以「损害」我国国家安全、公共利益或公民组织权益为前提，不是境外任何数据活动都能管；具体怎么认定，要结合损害后果和证据。
- 豁免只及于个人信息处理的个人场景。自然人处理的数据如果涉及国家秘密、商业秘密或者他人个人信息且超出个人事务范围，豁免不再成立。
四、常见疑问快答
我就开了个微信公众号接收客户咨询，算网络数据处理者吗？**
算。你在收集客户的微信名、咨询内容并留存，处理目的是你自主决定的，属于第62条第三项定义的网络数据处理者。义务强度按你的数据规模和性质来，但第8条、第9条、第20条的底线义务从第一天就适用。
给公司做外包开发的程序员受本条例管吗？**
作为个人处理公司业务数据属于履职行为，责任主体是公司这个处理者；但第8条对「任何个人」都适用——程序员擅自复制、留存、外带客户数据，本身就是非法网络数据处理活动，个人责任直接成立。
国外的APP在应用商店能被境内用户下载，条例管得着吗？**
看它是否处理境内自然人个人信息、是否面向境内提供服务。符合个人信息保护法第三条第二款情形的，第2条第二款明确适用本条例，还要按第26条报送境内代表信息；拒不配合又损害境内用户权益的，第54条给了处置工具。
五、实操建议
- 先做主体定位：中小企业对照第62条问自己一句——数据处理目的是不是我定的？是，就按处理者建立安全管理制度；受托的，把合同条款按第12条要求补齐；
- 记住圈内底线四件事：不非法获取、不非法出售提供、做好加密备份访问控制、对外提供数据签合同并留记录至少3年；
- 跨境业务提前查第2条第二款：面向境内用户做业务的境外机构，评估是否需要设境内代表并报送网信部门，别等被约谈才补手续；
- 普通人记住一条线：个人家庭事务豁免的是「使用」，不是「获取」——爬库、买数据、转发他人隐私，第8条一根红线等着。
站内《网络数据安全管理条例实施，企业收集数据有什么新要求》讲了条例对企业收集行为的总体新要求，可配合本篇定位阅读；《境外机构处理境内个人信息：跨境提供的三条合规通道》把第2条第二款的域外适用展开讲了。
相关阅读
一句话总结：网络数据安全管理条例管的是所有自主决定数据怎么用的组织和个人，中小企业从第一天起就在圈内，境外机构处理境内个人信息也逃不掉，只有纯粹的个人家庭事务被第63条豁免——先定位自己在不在圈内，再谈义务怎么扛。
以上内容为一般性法律知识介绍，不构成正式法律意见。具体合规安排请结合业务事实，咨询执业律师后处理。