深圳经济特区数据条例 （2021年6月29日深圳市第七届人民代表大会常务 委员会第二次会议通过） 目 录 第一章 总 则 第二章 个人数据 第一节 一般规定 第二节 告知与同意 第三节 个人数据处理 第三章 公共数据 第一节 一般规定 第二节 公共数据共享 第三节 公共数据开放 第四节 公共数据利用 第四章 数据要素市场 第一节 一般规定 第二节 市场培育 第三节 公平竞争 第五章 数据安全 第一节 一般规定 第二节 数据安全管理 第三节 数据安全监督 第六章 法律责任 1第七章 附 则 第一章 总则 第一条 为了规范数据处理活动，保护自然人、法人 和非法人组织的合法权益，促进数据作为生产要素开放流 动和开发利用，加快建设数字经济、数字社会、数字政府 ， 根据有关法律、行政法规的基本原则，结合深圳经济特区 实际，制定本条例。 第二条 本条例中下列用语的含义 ： （一）数据，是指任何以电子或者其他方式对信息的 记录。 （二）个人数据，是指载有可识别特定自然人信息的 数据，不包括匿名化处理后的数据 。 （三）敏感个人数据，是指一旦泄露、非法提供或者 滥用，可能导致自然人受到歧视或者人身、财产安全受到 严重危害的个人数据，具体范围依照法律、行政法规的规 定确定。 （四）生物识别数据，是指对自然人的身体、生理、 行为等生物特征进行处理而得出的能够识别自然人独特标 识的个人数据，包括自然人的基因、指纹、声纹、掌纹、 耳廓、虹膜、面部识别特征等数据。 （五）公共数据，是指公共管理和服务机构在依法履 2行公共管理职责或者提供公共服务过程中产生、处理的数 据。 （六）数据处理，是指数据的收集、存储、使用、加 工、传输、提供、开放等活动。 （七）匿名化， 是指个人数据经过处理无法识别特定 自然人且不能复原的过程 。 （八）用户画像，是指为了评估自然人的某些条件而 对个人数据进行自动化处理的活动，包括为了评估自然人 的工作表现、经济状况、健康状况、个人偏好、兴趣、可 靠性、行为方式、位置、行踪等进行的自动化处理。 （九）公共管理和服务机构，是指本市国家机关、事 业单位和其他依法管理公共事务的组织，以 及提供教育、 卫生健康、社会福利、供水、供电、供 气、环境保护、公 共交通和其他公共服务的组织。 第三条 自然人对个人数据享有法律、行政法规 及本 条例规定的人 格权益。 处理个人数据应当具有明确、合理的目的， 并遵循最 小必要和合理 期限原则。 第四条 自然人、法人和非法人组织对其合法处理数 据形成的数据产 品和服务享有法律、行政法规 及本条例规 定的财产权益。 但是，不得危害国家安全和公共利益，不 得损害他人的合法权益 。 3第五条 处理公共数据 应当遵循依法收集、 统筹管理、 按需共享、有序开放、充分利用的原则， 充分发挥公共数 据资源对优化公共管理和服务 、提升城市治理现代化 水平、 促进经济社会发展的积极作用。 第六条 市人民政府 应当建立健全数据 治理制度和标 准体系，统筹推进个人数据保护、公共数据 共享开放、数 据要素市场培育 及数据安全监督管理工作。 第七条 市人民政府设 立市数据工作委员会， 负责研 究、协调本市数据管理工作中的重大事 项。市数据工作委 员会的日常工作 由市政务服务数据管理部 门承担。 市数据工作委员会可以设 立若干专业委员会。 第八条 市网信部门负责统筹协调本市个人数据保护、 网络数据安全、 跨境数据流通等 相关监督管理工作。 市政务服务数据管理部 门负责本市公共数据管理的 统 筹、指导、 协调和监督工作。 市发展改革、工业和信息化、公安、财政、人 力资源 保障、规划和自然 资源、市场监管、审计、国家安全等部 门依照有关法律、法规，在 各自职责范围 内履行数据监督 管理相关职能。 市各行业主管部门负责本行业数据管理工作的 统筹、 指导、 协调和监督。 4第二章 个人数据 第一节 一般规定 第九条 处理个人数据应当充分尊重和保 障自然人与个 人数据相关的各项合法权益。 第十条 处理个人数据应当符合下列要 求： （一）处理个人数据的目的 明确、合理，方式合法、 正当； （二） 限于实现处理目的 所必要的最小范围、 采取对 个人权益 影响最小的方式，不得进行与处理目的无关的 个 人数据处理； （三）依法告知 个人数据处理的种类、范围、目的、 方式等，并依法征得同意 ； （四）保 证个人数据的准确性和 必要的完整性，避免 因个人数据不准确、不 完整给当事人造成损害； （五）确保个人数据安全， 防止个人数据泄露、 毁损、 丢失、篡改和非法使用。 第十一条 本条例第 十条第二 项所称限于实现处理目 的所必要的最小范围、采取对个人权益 影响最小的方式， 包括但是不限于下列情形： 5（一）处理个人数据的种类、范围应当与处理目的有 直接关联，不处理 该个人数据则处理目的无法实现 ； （二）处理个人数据的数量应当为实现处理目的 所必 需的最少数量； （三）处理个人数据的频率应当为实现处理目的 所必 需的最低频率； （四）个人数据存储期限应当为实现处理目的 所必需 的最短时间，超出存储 期限的，应当对个人数据予以删除 或者匿名化，法律、法规 另有规定或者经自然人同意的 除 外； （五）建 立最小授权的访问控制策略，使被授权访问 个人数据的人员 仅能访问完成职责所需的最少个人数据， 且仅具备完成职责所需的最少数据处理权限。 第十二条 数据处理者不得以自然人不同意处理 个人 数据为由，拒绝向其提供 相关核心功能或者服务。 但是， 该个人数据为提供 相关核心功能或者服务 所必需的除外。 第十三条 市网信部门应当会同市工业和信息化、公 安、市场监管等部 门以及相关行业 主管部门建立健全个人 数据保护监督管理 联合工作机制，加 强对个人数据保护和 相关监督管理工作的 统筹和指导 ；建立个人数据保护投诉 举报处理机制，依法处理 相关投诉举报。 6第二节 告知与同意 第十四条 处理个人数据应当在处理前以通俗易懂、 明确具体、 易获取的方式 向自然人 完整、真实、准确地告 知下列事 项： （一）数据处理者的 姓名或者名 称以及联系方式； （二）处理个人数据的种类和范围 ； （三）处理个人数据的目的和方式 ； （四）存储个人数据的期限； （五）处理个人数据可能存在的安全 风险以及对其个 人数据采取的安全保护 措施； （六）自然人依法享有的 相关权利以 及行使权利的方 式； （七）法律、法规规定 应当告知的其他事 项。 处理敏感个人数据的，应当依照前款规定，以 更加显 著的标识或者 突出显示的形式告知处理敏感 个人数据的必 要性以 及对自然人可能产生的 影响。 第十五条 紧急情况下为了保护自然人的人身、财产 安全等重大合法权益，无法依照本条例第 十四条规定进行 事前告知的， 应当在紧急情况消除后及时告知。 处理个人数据有法律、行政法规规定 应当保密或者无 需告知情形的，不 适用本条例第 十四条规定。 第十六条 数据处理者 应当在处理个人数据前，征得 7自然人的同意， 并在其同意范围 内处理个人数据，但是法 律、行政法规以 及本条例 另有规定的 除外。 前款规定应当征得同意的事 项发生变更的，应当重新 征得同意。 第十七条 数据处理者不得通过 误导、欺骗、胁迫或 者其他违背自然人 真实意愿的方式 获取其同意。 第十八条 处理敏感个人数据的，应当在处理 前征得 该自然人的 明示同意。 第十九条 处理生物识别数据的， 应当在征得 该自然 人明示同意时，提供处理其他非生物识别数据的 替代方案。 但是，处理生物识别数据为处理 个人数据目的所必需，且 不能为其他个人数据所替代的除外。 基于特定目的处理生物识别数据的， 未经自然人 明示 同意，不得将该生物识别数据用 于其他目的。 生物识别数据 具体管理办法由市人民政府 另行制定。 第二十条 处理未满十四周岁的未成年人个人数据的， 按照处理敏感个人数据的有关规定 执行，并应当在处理 前 征得其监护人的 明示同意。 处理无民事行为能 力或者限制民事行为能 力的成年人 个人数据的，应当在处理 前征得其监护人的 明示同意。 第二十一条 处理个人数据有下列 情形之一的，可以 在处理 前不征得自然人的同意： 8