LawHub

为了 规范数据处理活动， 保护自然人、法人和非法人组织的 合法 权益，促进数据 作为生产要素 开放 流动 和开发利用， 加快建设数字经济、数字社会、数字政府， 根据有关法律、行政法规的基本原则，结合深圳经济特区实际，制定本条例。

本条例中下列用语的含义 ： （一） 数据，是指任何以电子或者 其他方式 对信息的记录。 （二） 个人数据 ，是指 载有可识别特定自然人信息的数据，不包括匿名化处理后的数据 。 （三） 敏感 个人数据 ，是指一旦泄露、非法提供或者滥用，可能导致自然人受到歧视或者人身、财产安全受到严重危害的 个人数据 ， 具体范围依照法律、行政法规的规定确定 。 （四） 生物 识别数据 ，是指对自然人的身体、生理、行为等生物特征进行处理而得出的能够识别自然人独特标识的 个人数据 ，包括 自然人的 基因、指纹、声纹、掌纹、耳廓、虹膜、面部识别特征等 数据 。 （五） 公共数据，是指 公共管理和服务机构 在依法履行公共管理 职责或者提供公共服务 过程中 产生、处理 的数据。 （六） 数据 处理 ，是指数据的收集、存储、 使用、 加工 、传输 、 提供、开放 等活动。 （七）匿名化， 是指个人 数据 经过处理无法识别特定自然人且不能复原的过程 。 （八） 用户画像，是指为了评估自然人的某些条件而对 个人数据 进行自动化处理的 活动 ， 包括 为了评估自然人的工作表现、经济状况、健康 状况 、个人偏好、兴趣、可靠性、行为方式、位置 、 行踪 等 进行的 自动化 处理。 （九）公共管理和服务机构，是指本市国家机关、事业单位和其他依法管理公共事务的组织，以及提供教育、卫生健康、 社会福利 、 供水、供电、供气、环境保护、公共交通 和其他 公共服务的组织。

自然人对个人数据享有法律、行政法规及本条例规定的人格权益。 处理 个人数据 应当具有明确、合理的目的，并遵循最小必要和合理期限原则。

自然人、法人和非法人组织对其合法处理数据形成的数据产品和服务享有法律、行政法规及本条例规定的财产权益。但是，不得危害国家安全和公共利益，不得损害 他人的合法权益 。

处理公共数据应当遵循依法收集、统筹管理、 按需共享 、有序开放 、 充分利用 的原则，充分发挥公共数据资源对 优化公共管理和服务 、 提升城市治理现代化水平、促进经济 社会 发展的积极作用。

市人民政府 设立市数据工作委员会 ， 负责研究 、协调 本市数据管理工作中的重大事项 。市数据工作委员会的 日常工作 由 市政务服务数据管理部门承担。 市 数 据工作委员会可以设立若干专业委员会。

处理 个人数据 应当充分尊重和保障自然人与 个人数据 相关的各项合法权益。

处理 个人数据 应当符合下列要求： （一）处理 个人数据 的目的明确、合理，方式合法、正当； （二）限于实现处理目的所必要的最小范围、采取对个人权益影响最小的方式，不得进行与处理目的无关的 个人数据 处理； （三）依法告知 个人数据 处理 的 种类、范围、 目的、方式等 ，并依法征得同意； （四）保证 个人数据 的准确性和必要的完整性，避免因 个人数据 不准确、不完整给当事人造成损害； （五）确保 个人数据 安全， 防止 个人数据 泄露、毁损、丢失、篡改和非法使用 。

本条例第十条第二项所称限于实现处理目的所必要的最小范围 、 采取对个人权益影响最小的方式， 包括但是不限于下列情形： （一）处理 个人数据 的种类、范围 应当 与处理目的有直接关联，不处理该 个人数据 则处理目的无法实现； （二）处理 个人数据 的数量 应当 为实现处理目的所必需的最少数量； （三）处理 个人数据 的频率 应当 为实现处理目的所必需的最低频率； （四） 个人数据 存储期限 应当 为 实现处理目的 所必需的最短时间，超出存储期限的，应当对 个人数据 予以删除或者匿名化，法律、法规另有规定或者 经 自然人同意的除外； （五）建立最小授权的访问控制策略，使被授权访问 个人数据 的人员仅能访问完成职责所需的最少 个人数据 ，且仅具备完成职责所需的最少数据 处理 权限。

数据处理者不得以自然人不同意处理 个人数据 为由，拒绝向其提供相关核心功能或者服务。但是，该 个人数据 为提供相关核心功能或者服务所必需的除外。

市网信部门应当会同市工业和信息化、公安、市场监管等部门以及相关行业主管部门建立健全 个人数据 保护监督管理联合工作机制，加强对 个人数据 保护和相关监督管理工作的统筹和指导；建立 个人数据 保护投诉举报处理机制， 依法处理相关投诉举报。 第二节 告知与同意

紧急情况下为了保护自然人的人身、财产安全等重大合法权益，无法依照本条例第十四条规定进行事前告知的，应当在紧急情况消除后及时告知。 处理 个人数据 有法律、行政法规规定应当保密或者无需告知情形的，不适用本条例第十四条规定。

数据处理者应当在处理 个人数据 前 ， 征得自然人的同意 ，并在其 同意范围内处理 个人数据 ，但是 法律、行政法规 以及本条例 另有规定的除外。 前款 规定 应当征得同意的事项发生变更的，应当重新征得同意。

数据处理者不得通过误导、欺骗、胁迫 或者其他 违背自然人真实意愿的方式获取其同意。

处理敏感 个人数据 的，应当在处理前征得该自然人的明示同意。

处理生物识别数据的，应当在征得该自然人明示同意时 ， 提供处理其他非生物识别数据的替代方案。但是，处理生物识别数据为处理 个人数据 目的所必需，且不能为其他 个人数据 所替代的除外。 基于特定目的处理生物识别数据的，未经自然人明示同意 ， 不得将 该 生物识别数据用于其他目的。 生物识别数据 具体 管理办法由市人民政府另行制定。

处理 个人数据 有下列情形之一 的， 可以在处理前 不 征得自然人的同意： （一）处理自然人自行公开或者其他已经合法公开的 个人数据 ，且符合该 个人数据 公开时的目的 ； （ 二 ）为了订立或者履行自然人作为一方当事人的合同所必需； （三）数据处理者因人力资源管理、商业秘密保护所必需，在合理范围内处理其员工 个人数据 ； （ 四 ） 公共管理和服务机构 为了 依法 履行 公共管理 职责或者提供公共服务 所必需； （ 五 ）新闻单位 依法进行 新闻报道所必需； （六）法律、行政法规规定的其他情形。

自然人有权撤回 部分或者全部其处理 个人数据 的 同意。 自然人撤回同意的，数据处理者不得继续处理 该自然人撤回同意范围内的 个人数据。 但是 ， 不影响数据处理者在自然人撤回同意前基于同意进行的合法数据处理 。 法律、法规另有规定的 ，从其规定 。

个人数据 不准确或者不完整的， 数据处理者应当根据自然人的要求 及时补充、更正。

有下列情形之一的 ， 数据处理者应当 及时删除 个人数据 ： （一） 法律、法规规定或者 约定的 存储 期限届满； （二）处理 个人数据 的 目的已经实现或者处理 个人数据 对于处理目的已经不再必要； （三）自然人撤回同意 且要求删除 个人数据 ； （四） 数据 处理者违反法律、法规规定或者双方约定处理数据 ，自然人要求删除； （五）法律、法规规定的其他情形。 有 前款第一项、第二项规定 情形 ， 但是 法律、法规 另有 规定 或者 经自然人同意的，数据处理者可以保留相关 个人数据 。 数据处理者 根据 本条 第一款规定 删除 个人数据 的，可 以留存告知和同意的证据，但是不得超过其履行法定义务 或者处理 纠纷 需要 的必要限度。