深圳市第七届人民代表大会常务委员会公告
（第十号）
《深圳经济特区数据条例》经深圳市第七届人民代表大会常务委员会第二次会议于2021年6月29日通过，现予公布，自2022年1月1日起施行。
深圳市人民代表大会常务委员会
2021年7月6日
深圳经济特区数据条例
（2021年6月29日深圳市第七届人民代表大会常务委员会第二次会议通过）
目 录
第一章 总 则
第二章 个人数据
第一节 一般规定
第二节 告知与同意
第三节 个人数据处理
第三章 公共数据
第一节 一般规定
第二节 公共数据共享
第三节 公共数据开放
第四节 公共数据利用
第四章 数据要素市场
第一节 一般规定
第二节 市场培育
第三节 公平竞争
第五章 数据安全
第一节 一般规定
第二节 数据安全管理
第三节 数据安全监督
第六章 法律责任
第七章 附 则
第一章 总则
第一条 为了规范数据处理活动，保护自然人、法人和非法人组织的合法权益，促进数据作为生产要素开放流动和开发利用，加快建设数字经济、数字社会、数字政府，根据有关法律、行政法规的基本原则，结合深圳经济特区实际，制定本条例。
第二条 本条例中下列用语的含义：
（一）数据，是指任何以电子或者其他方式对信息的记录。
（二）个人数据，是指载有可识别特定自然人信息的数据，不包括匿名化处理后的数据。
（三）敏感个人数据，是指一旦泄露、非法提供或者滥用，可能导致自然人受到歧视或者人身、财产安全受到严重危害的个人数据，具体范围依照法律、行政法规的规定确定。
（四）生物识别数据，是指对自然人的身体、生理、行为等生物特征进行处理而得出的能够识别自然人独特标识的个人数据，包括自然人的基因、指纹、声纹、掌纹、耳廓、虹膜、面部识别特征等数据。
（五）公共数据，是指公共管理和服务机构在依法履行公共管理职责或者提供公共服务过程中产生、处理的数据。
（六）数据处理，是指数据的收集、存储、使用、加工、传输、提供、开放等活动。
（七）匿名化，是指个人数据经过处理无法识别特定自然人且不能复原的过程。
（八）用户画像，是指为了评估自然人的某些条件而对个人数据进行自动化处理的活动，包括为了评估自然人的工作表现、经济状况、健康状况、个人偏好、兴趣、可靠性、行为方式、位置、行踪等进行的自动化处理。
（九）公共管理和服务机构，是指本市国家机关、事业单位和其他依法管理公共事务的组织，以及提供教育、卫生健康、社会福利、供水、供电、供气、环境保护、公共交通和其他公共服务的组织。
第三条 自然人对个人数据享有法律、行政法规及本条例规定的人格权益。
处理个人数据应当具有明确、合理的目的，并遵循最小必要和合理期限原则。
第四条 自然人、法人和非法人组织对其合法处理数据形成的数据产品和服务享有法律、行政法规及本条例规定的财产权益。但是，不得危害国家安全和公共利益，不得损害他人的合法权益。
第五条 处理公共数据应当遵循依法收集、统筹管理、按需共享、有序开放、充分利用的原则，充分发挥公共数据资源对优化公共管理和服务、提升城市治理现代化水平、促进经济社会发展的积极作用。
第六条 市人民政府应当建立健全数据治理制度和标准体系，统筹推进个人数据保护、公共数据共享开放、数据要素市场培育及数据安全监督管理工作。
第七条 市人民政府设立市数据工作委员会，负责研究、协调本市数据管理工作中的重大事项。市数据工作委员会的日常工作由市政务服务数据管理部门承担。
市数据工作委员会可以设立若干专业委员会。
第八条 市网信部门负责统筹协调本市个人数据保护、网络数据安全、跨境数据流通等相关监督管理工作。
市政务服务数据管理部门负责本市公共数据管理的统筹、指导、协调和监督工作。
市发展改革、工业和信息化、公安、财政、人力资源保障、规划和自然资源、市场监管、审计、国家安全等部门依照有关法律、法规，在各自职责范围内履行数据监督管理相关职能。
市各行业主管部门负责本行业数据管理工作的统筹、指导、协调和监督。
第二章 个人数据
第一节 一般规定
第九条 处理个人数据应当充分尊重和保障自然人与个人数据相关的各项合法权益。
第十条 处理个人数据应当符合下列要求：
（一）处理个人数据的目的明确、合理，方式合法、正当；
（二）限于实现处理目的所必要的最小范围、采取对个人权益影响最小的方式，不得进行与处理目的无关的个人数据处理；
（三）依法告知个人数据处理的种类、范围、目的、方式等，并依法征得同意；
（四）保证个人数据的准确性和必要的完整性，避免因个人数据不准确、不完整给当事人造成损害；
（五）确保个人数据安全，防止个人数据泄露、毁损、丢失、篡改和非法使用。
第十一条 本条例第十条第二项所称限于实现处理目的所必要的最小范围、采取对个人权益影响最小的方式，包括但是不限于下列情形：
（一）处理个人数据的种类、范围应当与处理目的有直接关联，不处理该个人数据则处理目的无法实现；
（二）处理个人数据的数量应当为实现处理目的所必需的最少数量；
（三）处理个人数据的频率应当为实现处理目的所必需的最低频率；
（四）个人数据存储期限应当为实现处理目的所必需的最短时间，超出存储期限的，应当对个人数据予以删除或者匿名化，法律、法规另有规定或者经自然人同意的除外；
（五）建立最小授权的访问控制策略，使被授权访问个人数据的人员仅能访问完成职责所需的最少个人数据，且仅具备完成职责所需的最少数据处理权限。
第十二条 数据处理者不得以自然人不同意处理个人数据为由，拒绝向其提供相关核心功能或者服务。但是，该个人数据为提供相关核心功能或者服务所必需的除外。
第十三条 市网信部门应当会同市工业和信息化、公安、市场监管等部门以及相关行业主管部门建立健全个人数据保护监督管理联合工作机制，加强对个人数据保护和相关监督管理工作的统筹和指导；建立个人数据保护投诉举报处理机制，依法处理相关投诉举报。
第二节 告知与同意
第十四条 处理个人数据应当在处理前以通俗易懂、明确具体、易获取的方式向自然人完整、真实、准确地告知下列事项：
（一）数据处理者的姓名或者名称以及联系方式；
（二）处理个人数据的种类和范围；
（三）处理个人数据的目的和方式；
（四）存储个人数据的期限；
（五）处理个人数据可能存在的安全风险以及对其个人数据采取的安全保护措施；
（六）自然人依法享有的相关权利以及行使权利的方式；
（七）法律、法规规定应当告知的其他事项。
处理敏感个人数据的，应当依照前款规定，以更加显著的标识或者突出显示的形式告知处理敏感个人数据的必要性以及对自然人可能产生的影响。
第十五条 紧急情况下为了保护自然人的人身、财产安全等重大合法权益，无法依照本条例第十四条规定进行事前告知的，应当在紧急情况消除后及时告知。
处理个人数据有法律、行政法规规定应当保密或者无需告知情形的，不适用本条例第十四条规定。
第十六条 数据处理者应当在处理个人数据前，征得自然人的同意，并在其同意范围内处理个人数据，但是法律、行政法规以及本条例另有规定的除外。
前款规定应当征得同意的事项发生变更的，应当重新征得同意。
第十七条 数据处理者不得通过误导、欺骗、胁迫或者其他违背自然人真实意愿的方式获取其同意。
第十八条 处理敏感个人数据的，应当在处理前征得该自然人的明示同意。
第十九条 处理生物识别数据的，应当在征得该自然人明示同意时，提供处理其他非生物识别数据的替代方案。但是，处理生物识别数据为处理个人数据目的所必需，且不能为其他个人数据所替代的除外。
基于特定目的处理生物识别数据的，未经自然人明示同意，不得将该生物识别数据用于其他目的。
生物识别数据具体管理办法由市人民政府另行制定。
第二十条 处理未满十四周岁的未成年人个人数据的，按照处理敏感个人数据的有关规定执行，并应当在处理前征得其监护人的明示同意。
处理无民事行为能力或者限制民事行为能力的成年人个人数据的，应当在处理前征得其监护人的明示同意。
第二十一条 处理个人数据有下列情形之一的，可以在处理前不征得自然人的同意：
（一）处理自然人自行公开或者其他已经合法公开的个人数据，且符合该个人数据公开时的目的；
（二）为了订立或者履行自然人作为一方当事人的合同所必需；
（三）数据处理者因人力资源管理、商业秘密保护所必需，在合理范围内处理其员工个人数据；
（四）公共管理和服务机构为了依法履行公共管理职责或者提供公共服务所必需；
（五）新闻单位依法进行新闻报道所必需；
（六）法律、行政法规规定的其他情形。
第二十二条 自然人有权撤回部分或者全部其处理个人数据的同意。
自然人撤回同意的，数据处理者不得继续处理该自然人撤回同意范围内的个人数据。但是，不影响数据处理者在自然人撤回同意前基于同意进行的合法数据处理。法律、法规另有规定的，从其规定。
第二十三条 处理个人数据应当采用易获取的方式提供自然人撤回其同意的途径，不得利用服务协议或者技术等手段对自然人撤回同意进行不合理限制或者附加不合理条件。
第三节 个人数据处理
第二十四条 个人数据不准确或者不完整的，数据处理者应当根据自然人的要求及时补充、更正。
第二十五条 有下列情形之一的，数据处理者应当及时删除个人数据：
（一）法律、法规规定或者约定的存储期限届满；
（二）处理个人数据的目的已经实现或者处理个人数据对于处理目的已经不再必要；
（三）自然人撤回同意且要求删除个人数据；
（四）数据处理者违反法律、法规规定或者双方约定处理数据，自然人要求删除；
（五）法律、法规规定的其他情形。
有前款第一项、第二项规定情形，但是法律、法规另有规定或者经自然人同意的，数据处理者可以保留相关个人数据。
数据处理者根据本条第一款规定删除个人数据的，可以留存告知和同意的证据，但是不得超过其履行法定义务或者处理纠纷需要的必要限度。
第二十六条 数据处理者向他人提供其处理的个人数据，应当对个人数据进行去标识化处理，使得被提供的个人数据在不借助其他数据的情况下无法识别特定自然人。法律、法规规定或者自然人与数据处理者约定应当匿名化的，数据处理者应当依照法律、法规规定或者双方约定进行匿名化处理。
第二十七条 数据处理者向他人提供其处理的个人数据有下列情形之一的，可以不进行去标识化处理：
