【网络安全】《数据安全法》解读(下)

主体范围：所有开展数据处理活动的企业，不局限于某一类型的主体，比《网络安全法》所覆盖的网络运营者（网络所有者、管理者和服务提供者）的范围要更广泛。数据处理活动包括了数据的采集，收集、存储、使用、加工、传输、提供、公开等。一切可能处理数据的政府、企业和组织都落在了《数据安全法》规制的范围之内。

客体范围：泛指一切对信息的记录，不论数据的载体(数据库/电子文件/纸质文档等)、 不论收集方式(线上网络采集/线下采集等)。相比于《网络安全法》和亟待出台的《个人信息保护法》所厘定的数据范围都要广泛。

1.关键信息基础设施的运营者：

第三十一条 在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理，适用《中华人民共和国网络安全法》的规定。

◆《网络安全法》中涉及相关内容“在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估。”

2.数据出境企业：

第三十一条 关键信息基础设施运营者之外的其他数据处理者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理办法，由国家网信部门会同国务院有关部门制定。

3.涉及处理重要数据的企业：

第二十七条 重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。

第三十条 重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告；风险评估报告应当包括处理的重要数据的种类、数量，开展数据处理活动的情况，面临的数据安全风险及其应对措施等。

4.数据交易服务机构：

第三十三条 从事数据交易中介服务的机构提供服务，应当要求数据提供方说明数据来源，审核交易双方的身份，并留存审核、交易记录。