各相关单位：根据《关于公布商用密码应用安全性评估从业人员考核知识点的通知》，我局组织编制了参考题库（见附件），涵盖第1至58个考核知识点，供相关人员备考使用。题库知识产权归属国家密码管理局，仅供学习参考，不得用于商业营利目的。现将题库发相关单位，对题库如有意见建议，请反馈至：mplwh@cacrnet.org.cn。                                 附件.商用密码应用安全性评估从业人员考核参考题库国家密码管理局2023年6月28日原文链接：https://www.oscca.gov.cn/sca/xwdt/2023-06/29/content_1061081.shtml

各相关单位：根据商用密码应用安全性评估（以下简称密评）从业人员考核工作安排，现将考核工作有关事宜通知如下。一、参加范围根据我局《关于开展商用密码应用安全性评估从业人员考核的公告》，已向所在地省级密码管理部门提交报名信息的人员，经考前信息确认并打印准考证，可参加本次考核。二、组织方式本次考核由国家密码管理局组织，各省级密码管理部门具体实施，采取线下集中、线上参加考核的模式。考核平台开放2天，每天开放时间为8：00至20：00，每场考试用时90分钟。考核人员参加考核的地点和具体时间由所在地省级密码管理部门安排。参加考核人员请在规定时间内提前打印准考证，并按照准考证载明的时间、地点参加考核。三、考核内容密码政策法规（占比10%）、密码技术基础及相关标准（占比20%）、密码产品原理、应用及相关标准（占比20%）、密评理论、技术及相关标准（占比20%）、密码应用与安全性评估实务综合（占比30%）。考核试卷根据预置题库按上述比例随机抽取、自动生成。四、题型分值均为客观题，共140道，其中单项选择题60题，每题0.5分；多项选择题60题，每题1分；判断题20题，每题0.5分。答题限时90分钟，到时自动交卷。通过考核的人员，印发通过考核证明。五、时间安排（一）资格审核。各单位报名人员若有因离职、弃考等原因导致参加考核人数不足原报名数量的，可在差额内替换补报人员参加本次考核。各报名单位请于7月3日前向所在地省级密码管理部门确认以本单位名义参加考核的人员名单。各省级密码管理部门于7月6日前将审核通过的名单汇总报送国家密码管理局，报名条件及审核要求与原报名时一致。（二）信息确认及准考证打印。考生本人于7月8日9：00至9日18：00自行登录信息确认平台，确认报名信息，上传免冠证件照。访问地址：https://c.exam-sp.com/index.html#/e/mpksqr/login。参加考核人员请于7月11日9：00至12日18：00再次登录，确认本人信息是否通过审核并打印准考证。（三）考核演练。参加考核人员可于7月13日9：00至18：00登录信息确认平台，按照平台信息提示参加考核演练，熟悉考核平台相关操作。（四）正式考核。参加考核人员按照准考证载明的考试时间、地点自行前往，配合工作人员进行进入考场前的身份核验。进入考场后，扫描考场张贴的二维码登陆考核平台参加考核。考核平台开放时间为7月15日至16日，每天8：00-20：00。所有参加考核人员均安排在此时间段内参加考核。（五）结果查询。7月24日8：00起，考生可登录信息确认平台查询成绩，通过考核的需自行下载打印证明文件。六、注意事项（一）考生应至少提前30分钟到达指定地点，完成身份核验及签到后根据监考人员指引对号入座。考生需自带有显示屏、能够上网、安装浏览器的智能手机作为考核设备，确保可以正常访问考核平台，并确认其续航能力能够支撑考核全程。因本人携带设备问题导致无法正常参加考核的，责任自负。（二）考核开始前，建议关闭手机消息通知提醒功能，避免来电、微信等其他应用打断考试过程。考核全程设有切换屏幕限制，离开考核平台界面5次及以上（超过5秒记为1次），本次考核自动记为不合格。（三）各考场将为考核配备符合要求的网络接入条件。如发生手机设备或网络故障，考生可重新登录平台继续答题，之前数据实时保存，但考核时间不予弥补。（四）考核时间限定90分钟，到时自动交卷，无法修改。七、考核纪律（一）进入考场，不得携带任何书籍、资料、笔记、纸张，以及除答题终端以外的任何电子设备，全程不得接打电话或其他任何在线即时交流。（二）有下列行为之一，将取消其本次考试资格及成绩，监考人员有权责令退出考场：1.偷看他人答题、帮助他人作答、纵容他人抄袭；2.交头接耳，互打暗号或手势；3.在考场内喧哗、吸烟或实施其他影响考场秩序的行为；4.除考试规定携带的物品外，拒不将其他物品放到指定物品存放处；5.除答题手机之外的电子设备没有彻底关闭，甚至使用其它电子设备查看资料、信息，或与考场内外任何人通讯或试图通讯；6.夹带、抄袭或者试图夹带、抄袭纸质资料、电子材料；  7.未经监考人员允许擅自中途离开考场；  8.未严格按照准考证明确时间参加考核，提前超过5分钟。（三）有以下行为之一，相关人员所在单位所有参加考核人员考核成绩均计为不合格：1.使用虚假身份证件，或者冒名顶替参加考核；2.恶意操作或对考核平台尝试实施攻击；3.采取截屏、抄录等方式保存试题；4.威胁、辱骂工作人员、其他考生或危及其他人员安全，严重扰乱考试秩序；5.组织、串通规模性舞弊或参与有组织作弊。 附件：附件1.信息确认及准考证打印平台操作手册附件2.考核平台操作手册国家密码管理局             2023年6月28日原文链接：https://www.oscca.gov.cn/sca/xwdt/2023-06/29/content_1061082.shtml

为加强商用密码检测机构管理，规范商用密码检测活动和商用密码应用安全性评估工作，根据《中华人民共和国密码法》和新修订的《商用密码管理条例》等有关法律法规，国家密码管理局研究起草了《商用密码检测机构管理办法（征求意见稿）》和《商用密码应用安全性评估管理办法（征求意见稿）》，现向社会公开征求意见。公众可以在2023年7月9日前，通过以下途径和方式提出意见：1．登录“中华人民共和国司法部 中国政府法制信息网”（网址：www.moj.gov.cn、www.chinalaw.gov.cn），进入首页“立法意见征集”栏目提出意见。2．电子邮件：gmzcfg@sca.gov.cn。3．通信地址：北京市丰台区靛厂路7号国家密码管理局政策法规室，邮政编码100036，请在信封上注明“《商用密码检测机构管理办法》和《商用密码应用安全性评估管理办法》反馈意见”字样。国家密码管理局  2023年6月9日

中华人民共和国国务院令第760号《商用密码管理条例》已经2023年4月14日国务院第4次常务会议修订通过，现予公布，自2023年7月1日起施行。总理　　李强2023年4月27日　　　　　商用密码管理条例（1999年10月7日中华人民共和国国务院令第273号发布　2023年4月27日中华人民共和国国务院令第760号修订）第一章　总　　则第一条　为了规范商用密码应用和管理，鼓励和促进商用密码产业发展，保障网络与信息安全，维护国家安全和社会公共利益，保护公民、法人和其他组织的合法权益，根据《中华人民共和国密码法》等法律，制定本条例。第二条　在中华人民共和国境内的商用密码科研、生产、销售、服务、检测、认证、进出口、应用等活动及监督管理，适用本条例。本条例所称商用密码，是指采用特定变换的方法对不属于国家秘密的信息等进行加密保护、安全认证的技术、产品和服务。第三条　坚持中国共产党对商用密码工作的领导，贯彻落实总体国家安全观。国家密码管理部门负责管理全国的商用密码工作。县级以上地方各级密码管理部门负责管理本行政区域的商用密码工作。网信、商务、海关、市场监督管理等有关部门在各自职责范围内负责商用密码有关管理工作。第四条　国家加强商用密码人才培养，建立健全商用密码人才发展体制机制和人才评价制度，鼓励和支持密码相关学科和专业建设，规范商用密码社会化培训，促进商用密码人才交流。第五条　各级人民政府及其有关部门应当采取多种形式加强商用密码宣传教育，增强公民、法人和其他组织的密码安全意识。第六条　商用密码领域的学会、行业协会等社会组织依照法律、行政法规及其章程的规定，开展学术交流、政策研究、公共服务等活动，加强学术和行业自律，推动诚信建设，促进行业健康发展。密码管理部门应当加强对商用密码领域社会组织的指导和支持。第二章　科技创新与标准化第七条　国家建立健全商用密码科学技术创新促进机制，支持商用密码科学技术自主创新，对作出突出贡献的组织和个人按照国家有关规定予以表彰和奖励。国家依法保护商用密码领域的知识产权。从事商用密码活动，应当增强知识产权意识，提高运用、保护和管理知识产权的能力。国家鼓励在外商投资过程中基于自愿原则和商业规则开展商用密码技术合作。行政机关及其工作人员不得利用行政手段强制转让商用密码技术。第八条　国家鼓励和支持商用密码科学技术成果转化和产业化应用，建立和完善商用密码科学技术成果信息汇交、发布和应用情况反馈机制。第九条　国家密码管理部门组织对法律、行政法规和国家有关规定要求使用商用密码进行保护的网络与信息系统所使用的密码算法、密码协议、密钥管理机制等商用密码技术进行审查鉴定。第十条　国务院标准化行政主管部门和国家密码管理部门依据各自职责，组织制定商用密码国家标准、行业标准，对商用密码团体标准的制定进行规范、引导和监督。国家密码管理部门依据职责，建立商用密码标准实施信息反馈和评估机制，对商用密码标准实施进行监督检查。国家推动参与商用密码国际标准化活动，参与制定商用密码国际标准，推进商用密码中国标准与国外标准之间的转化运用，鼓励企业、社会团体和教育、科研机构等参与商用密码国际标准化活动。其他领域的标准涉及商用密码的，应当与商用密码国家标准、行业标准保持协调。第十一条　从事商用密码活动，应当符合有关法律、行政法规、商用密码强制性国家标准，以及自我声明公开标准的技术要求。国家鼓励在商用密码活动中采用商用密码推荐性国家标准、行业标准，提升商用密码的防护能力，维护用户的合法权益。第三章　检测认证第十二条　国家推进商用密码检测认证体系建设，鼓励在商用密码活动中自愿接受商用密码检测认证。第十三条　从事商用密码产品检测、网络与信息系统商用密码应用安全性评估等商用密码检测活动，向社会出具具有证明作用的数据、结果的机构，应当经国家密码管理部门认定，依法取得商用密码检测机构资质。第十四条　取得商用密码检测机构资质，应当符合下列条件：（一）具有法人资格；（二）具有与从事商用密码检测活动相适应的资金、场所、设备设施、专业人员和专业能力；（三）具有保证商用密码检测活动有效运行的管理体系。第十五条　申请商用密码检测机构资质，应当向国家密码管理部门提出书面申请，并提交符合本条例第十四条规定条件的材料。国家密码管理部门应当自受理申请之日起20个工作日内，对申请进行审查，并依法作出是否准予认定的决定。需要对申请人进行技术评审的，技术评审所需时间不计算在本条规定的期限内。国家密码管理部门应当将所需时间书面告知申请人。第十六条　商用密码检测机构应当按照法律、行政法规和商用密码检测技术规范、规则，在批准范围内独立、公正、科学、诚信地开展商用密码检测，对出具的检测数据、结果负责，并定期向国家密码管理部门报送检测实施情况。商用密码检测技术规范、规则由国家密码管理部门制定并公布。第十七条　国务院市场监督管理部门会同国家密码管理部门建立国家统一推行的商用密码认证制度，实行商用密码产品、服务、管理体系认证，制定并公布认证目录和技术规范、规则。第十八条　从事商用密码认证活动的机构，应当依法取得商用密码认证机构资质。申请商用密码认证机构资质，应当向国务院市场监督管理部门提出书面申请。申请人除应当符合法律、行政法规和国家有关规定要求的认证机构基本条件外，还应当具有与从事商用密码认证活动相适应的检测、检查等技术能力。国务院市场监督管理部门在审查商用密码认证机构资质申请时，应当征求国家密码管理部门的意见。第十九条　商用密码认证机构应当按照法律、行政法规和商用密码认证技术规范、规则，在批准范围内独立、公正、科学、诚信地开展商用密码认证，对出具的认证结论负责。商用密码认证机构应当对其认证的商用密码产品、服务、管理体系实施有效的跟踪调查，以保证通过认证的商用密码产品、服务、管理体系持续符合认证要求。第二十条　涉及国家安全、国计民生、社会公共利益的商用密码产品，应当依法列入网络关键设备和网络安全专用产品目录，由具备资格的商用密码检测、认证机构检测认证合格后，方可销售或者提供。第二十一条　商用密码服务使用网络关键设备和网络安全专用产品的，应当经商用密码认证机构对该商用密码服务认证合格。第四章　电子认证第二十二条　采用商用密码技术提供电子认证服务，应当具有与使用密码相适应的场所、设备设施、专业人员、专业能力和管理体系，依法取得国家密码管理部门同意使用密码的证明文件。第二十三条　电子认证服务机构应当按照法律、行政法规和电子认证服务密码使用技术规范、规则，使用密码提供电子认证服务，保证其电子认证服务密码使用持续符合要求。电子认证服务密码使用技术规范、规则由国家密码管理部门制定并公布。第二十四条　采用商用密码技术从事电子政务电子认证服务的机构，应当经国家密码管理部门认定，依法取得电子政务电子认证服务机构资质。第二十五条　取得电子政务电子认证服务机构资质，应当符合下列条件：（一）具有企业法人或者事业单位法人资格；（二）具有与从事电子政务电子认证服务活动及其使用密码相适应的资金、场所、设备设施和专业人员；（三）具有为政务活动提供长期电子政务电子认证服务的能力；（四）具有保证电子政务电子认证服务活动及其使用密码安全运行的管理体系。第二十六条　申请电子政务电子认证服务机构资质，应当向国家密码管理部门提出书面申请，并提交符合本条例第二十五条规定条件的材料。国家密码管理部门应当自受理申请之日起20个工作日内，对申请进行审查，并依法作出是否准予认定的决定。需要对申请人进行技术评审的，技术评审所需时间不计算在本条规定的期限内。国家密码管理部门应当将所需时间书面告知申请人。第二十七条　外商投资电子政务电子认证服务，影响或者可能影响国家安全的，应当依法进行外商投资安全审查。第二十八条　电子政务电子认证服务机构应当按照法律、行政法规和电子政务电子认证服务技术规范、规则，在批准范围内提供电子政务电子认证服务，并定期向主要办事机构所在地省、自治区、直辖市密码管理部门报送服务实施情况。电子政务电子认证服务技术规范、规则由国家密码管理部门制定并公布。第二十九条　国家建立统一的电子认证信任机制。国家密码管理部门负责电子认证信任源的规划和管理，会同有关部门推动电子认证服务互信互认。第三十条　密码管理部门会同有关部门负责政务活动中使用电子签名、数据电文的管理。政务活动中电子签名、电子印章、电子证照等涉及的电子认证服务，应当由依法设立的电子政务电子认证服务机构提供。第五章　进出口第三十一条　涉及国家安全、社会公共利益且具有加密保护功能的商用密码，列入商用密码进口许可清单，实施进口许可。涉及国家安全、社会公共利益或者中国承担国际义务的商用密码，列入商用密码出口管制清单，实施出口管制。商用密码进口许可清单和商用密码出口管制清单由国务院商务主管部门会同国家密码管理部门和海关总署制定并公布。大众消费类产品所采用的商用密码不实行进口许可和出口管制制度。第三十二条　进口商用密码进口许可清单中的商用密码或者出口商用密码出口管制清单中的商用密码，应当向国务院商务主管部门申请领取进出口许可证。商用密码的过境、转运、通运、再出口，在境外与综合保税区等海关特殊监管区域之间进出，或者在境外与出口监管仓库、保税物流中心等保税监管场所之间进出的，适用前款规定。第三十三条　进口商用密码进口许可清单中的商用密码或者出口商用密码出口管制清单中的商用密码时，应当向海关交验进出口许可证，并按照国家有关规定办理报关手续。进出口经营者未向海关交验进出口许可证，海关有证据表明进出口产品可能属于商用密码进口许可清单或者出口管制清单范围的，应当向进出口经营者提出质疑；海关可以向国务院商务主管部门提出组织鉴别，并根据国务院商务主管部门会同国家密码管理部门作出的鉴别结论依法处置。在鉴别或者质疑期间，海关对进出口产品不予放行。第三十四条　申请商用密码进出口许可，应当向国务院商务主管部门提出书面申请，并提交下列材料：（一）申请人的法定代表人、主要经营管理人以及经办人的身份证明；（二）合同或者协议的副本；（三）商用密码的技术说明；（四）最终用户和最终用途证明；（五）国务院商务主管部门规定提交的其他文件。国务院商务主管部门应当自受理申请之日起45个工作日内，会同国家密码管理部门对申请进行审查，并依法作出是否准予许可的决定。对国家安全、社会公共利益或者外交政策有重大影响的商用密码出口，由国务院商务主管部门会同国家密码管理部门等有关部门报国务院批准。报国务院批准的，不受前款规定时限的限制。第六章　应用促进第三十五条　国家鼓励公民、法人和其他组织依法使用商用密码保护网络与信息安全，鼓励使用经检测认证合格的商用密码。任何组织或者个人不得窃取他人加密保护的信息或者非法侵入他人的商用密码保障系统，不得利用商用密码从事危害国家安全、社会公共利益、他人合法权益等违法犯罪活动。第三十六条　国家支持网络产品和服务使用商用密码提升安全性，支持并规范商用密码在信息领域新技术、新业态、新模式中的应用。第三十七条　国家建立商用密码应用促进协调机制，加强对商用密码应用的统筹指导。国家机关和涉及商用密码工作的单位在其职责范围内负责本机关、本单位或者本系统的商用密码应用和安全保障工作。密码管理部门会同有关部门加强商用密码应用信息收集、风险评估、信息通报和重大事项会商，并加强与网络安全监测预警和信息通报的衔接。第三十八条　法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施，其运营者应当使用商用密码进行保护，制定商用密码应用方案，配备必要的资金和专业人员，同步规划、同步建设、同步运行商用密码保障系统，自行或者委托商用密码检测机构开展商用密码应用安全性评估。前款所列关键信息基础设施通过商用密码应用安全性评估方可投入运行，运行后每年至少进行一次评估，评估情况按照国家有关规定报送国家密码管理部门或者关键信息基础设施所在地省、自治区、直辖市密码管理部门备案。第三十九条　法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施，使用的商用密码产品、服务应当经检测认证合格，使用的密码算法、密码协议、密钥管理机制等商用密码技术应当通过国家密码管理部门审查鉴定。第四十条　关键信息基础设施的运营者采购涉及商用密码的网络产品和服务，可能影响国家安全的，应当依法通过国家网信部门会同国家密码管理部门等有关部门组织的国家安全审查。第四十一条　网络运营者应当按照国家网络安全等级保护制度要求，使用商用密码保护网络安全。国家密码管理部门根据网络的安全保护等级，确定商用密码的使用、管理和应用安全性评估要求，制定网络安全等级保护密码标准规范。第四十二条　商用密码应用安全性评估、关键信息基础设施安全检测评估、网络安全等级测评应当加强衔接，避免重复评估、测评。第七章　监督管理第四十三条　密码管理部门依法组织对商用密码活动进行监督检查，对国家机关和涉及商用密码工作的单位的商用密码相关工作进行指导和监督。第四十四条　密码管理部门和有关部门建立商用密码监督管理协作机制，加强商用密码监督、检查、指导等工作的协调配合。第四十五条　密码管理部门和有关部门依法开展商用密码监督检查，可以行使下列职权：（一）进入商用密码活动场所实施现场检查；（二）向当事人的法定代表人、主要负责人和其他有关人员调查、了解有关情况；（三）查阅、复制有关合同、票据、账簿以及其他有关资料。第四十六条　密码管理部门和有关部门推进商用密码监督管理与社会信用体系相衔接，依法建立推行商用密码经营主体信用记录、信用分级分类监管、失信惩戒以及信用修复等机制。第四十七条　商用密码检测、认证机构和电子政务电子认证服务机构及其工作人员，应当对其在商用密码活动中所知悉的国家秘密和商业秘密承担保密义务。密码管理部门和有关部门及其工作人员不得要求商用密码科研、生产、销售、服务、进出口等单位和商用密码检测、认证机构向其披露源代码等密码相关专有信息，并对其在履行职责中知悉的商业秘密和个人隐私严格保密，不得泄露或者非法向他人提供。第四十八条　密码管理部门和有关部门依法开展商用密码监督管理，相关单位和人员应当予以配合，任何单位和个人不得非法干预和阻挠。第四十九条　任何单位或者个人有权向密码管理部门和有关部门举报违反本条例的行为。密码管理部门和有关部门接到举报，应当及时核实、处理，并为举报人保密。第八章　法律责任第五十条　违反本条例规定，未经认定向社会开展商用密码检测活动，或者未经认定从事电子政务电子认证服务的，由密码管理部门责令改正或者停止违法行为，给予警告，没收违法产品和违法所得；违法所得30万元以上的，可以并处违法所得1倍以上3倍以下罚款；没有违法所得或者违法所得不足30万元的，可以并处10万元以上30万元以下罚款。违反本条例规定，未经批准从事商用密码认证活动的，由市场监督管理部门会同密码管理部门依照前款规定予以处罚。第五十一条　商用密码检测机构开展商用密码检测，有下列情形之一的，由密码管理部门责令改正或者停止违法行为，给予警告，没收违法所得；违法所得30万元以上的，可以并处违法所得1倍以上3倍以下罚款；没有违法所得或者违法所得不足30万元的，可以并处10万元以上30万元以下罚款；情节严重的，依法吊销商用密码检测机构资质：（一）超出批准范围；（二）存在影响检测独立、公正、诚信的行为；（三）出具的检测数据、结果虚假或者失实；（四）拒不报送或者不如实报送实施情况；（五）未履行保密义务；（六）其他违反法律、行政法规和商用密码检测技术规范、规则开展商用密码检测的情形。第五十二条　商用密码认证机构开展商用密码认证，有下列情形之一的，由市场监督管理部门会同密码管理部门责令改正或者停止违法行为，给予警告，没收违法所得；违法所得30万元以上的，可以并处违法所得1倍以上3倍以下罚款；没有违法所得或者违法所得不足30万元的，可以并处10万元以上30万元以下罚款；情节严重的，依法吊销商用密码认证机构资质：（一）超出批准范围；（二）存在影响认证独立、公正、诚信的行为；（三）出具的认证结论虚假或者失实；（四）未对其认证的商用密码产品、服务、管理体系实施有效的跟踪调查；（五）未履行保密义务；（六）其他违反法律、行政法规和商用密码认证技术规范、规则开展商用密码认证的情形。第五十三条　违反本条例第二十条、第二十一条规定，销售或者提供未经检测认证或者检测认证不合格的商用密码产品，或者提供未经认证或者认证不合格的商用密码服务的，由市场监督管理部门会同密码管理部门责令改正或者停止违法行为，给予警告，没收违法产品和违法所得；违法所得10万元以上的，可以并处违法所得1倍以上3倍以下罚款；没有违法所得或者违法所得不足10万元的，可以并处3万元以上10万元以下罚款。第五十四条　电子认证服务机构违反法律、行政法规和电子认证服务密码使用技术规范、规则使用密码的，由密码管理部门责令改正或者停止违法行为，给予警告，没收违法所得；违法所得30万元以上的，可以并处违法所得1倍以上3倍以下罚款；没有违法所得或者违法所得不足30万元的，可以并处10万元以上30万元以下罚款；情节严重的，依法吊销电子认证服务使用密码的证明文件。第五十五条　电子政务电子认证服务机构开展电子政务电子认证服务，有下列情形之一的，由密码管理部门责令改正或者停止违法行为，给予警告，没收违法所得；违法所得30万元以上的，可以并处违法所得1倍以上3倍以下罚款；没有违法所得或者违法所得不足30万元的，可以并处10万元以上30万元以下罚款；情节严重的，责令停业整顿，直至吊销电子政务电子认证服务机构资质：（一）超出批准范围；（二）拒不报送或者不如实报送实施情况；（三）未履行保密义务；（四）其他违反法律、行政法规和电子政务电子认证服务技术规范、规则提供电子政务电子认证服务的情形。第五十六条　电子签名人或者电子签名依赖方因依据电子政务电子认证服务机构提供的电子签名认证服务在政务活动中遭受损失，电子政务电子认证服务机构不能证明自己无过错的，承担赔偿责任。第五十七条　政务活动中电子签名、电子印章、电子证照等涉及的电子认证服务，违反本条例第三十条规定，未由依法设立的电子政务电子认证服务机构提供的，由密码管理部门责令改正，给予警告；拒不改正或者有其他严重情节的，由密码管理部门建议有关国家机关、单位对直接负责的主管人员和其他直接责任人员依法给予处分或者处理。有关国家机关、单位应当将处分或者处理情况书面告知密码管理部门。第五十八条　违反本条例规定进出口商用密码的，由国务院商务主管部门或者海关依法予以处罚。第五十九条　窃取他人加密保护的信息，非法侵入他人的商用密码保障系统，或者利用商用密码从事危害国家安全、社会公共利益、他人合法权益等违法活动的，由有关部门依照《中华人民共和国网络安全法》和其他有关法律、行政法规的规定追究法律责任。第六十条　关键信息基础设施的运营者违反本条例第三十八条、第三十九条规定，未按照要求使用商用密码，或者未按照要求开展商用密码应用安全性评估的，由密码管理部门责令改正，给予警告；拒不改正或者有其他严重情节的，处10万元以上100万元以下罚款，对直接负责的主管人员处1万元以上10万元以下罚款。第六十一条　关键信息基础设施的运营者违反本条例第四十条规定，使用未经安全审查或者安全审查未通过的涉及商用密码的网络产品或者服务的，由有关主管部门责令停止使用，处采购金额1倍以上10倍以下罚款；对直接负责的主管人员和其他直接责任人员处1万元以上10万元以下罚款。第六十二条　网络运营者违反本条例第四十一条规定，未按照国家网络安全等级保护制度要求使用商用密码保护网络安全的，由密码管理部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处1万元以上10万元以下罚款，对直接负责的主管人员处5000元以上5万元以下罚款。第六十三条　无正当理由拒不接受、不配合或者干预、阻挠密码管理部门、有关部门的商用密码监督管理的，由密码管理部门、有关部门责令改正，给予警告；拒不改正或者有其他严重情节的，处5万元以上50万元以下罚款，对直接负责的主管人员和其他直接责任人员处1万元以上10万元以下罚款；情节特别严重的，责令停业整顿，直至吊销商用密码许可证件。第六十四条　国家机关有本条例第六十条、第六十一条、第六十二条、第六十三条所列违法情形的，由密码管理部门、有关部门责令改正，给予警告；拒不改正或者有其他严重情节的，由密码管理部门、有关部门建议有关国家机关对直接负责的主管人员和其他直接责任人员依法给予处分或者处理。有关国家机关应当将处分或者处理情况书面告知密码管理部门、有关部门。第六十五条　密码管理部门和有关部门的工作人员在商用密码工作中滥用职权、玩忽职守、徇私舞弊，或者泄露、非法向他人提供在履行职责中知悉的商业秘密、个人隐私、举报人信息的，依法给予处分。第六十六条　违反本条例规定，构成犯罪的，依法追究刑事责任；给他人造成损害的，依法承担民事责任。第九章　附　　则第六十七条　本条例自2023年7月1日起施行。商用密码管理条例

各省、自治区、直辖市及新疆生产建设兵团人力资源社会保障厅（局）、密码管理局，中共海南省委人才发展局：根据《中华人民共和国劳动法》《中华人民共和国职业教育法》有关规定，人力资源社会保障部、国家密码管理局共同制定了密码工程技术人员国家职业标准，现予颁布施行。附件：密码工程技术人员国家职业标准目录人力资源社会保障部办公厅国家密码管理局办公室2023年3月1日附件密码工程技术人员国家职业标准目录序号职业编码职业名称12-02-38-13密码工程技术人员附件下载：·密码工程技术人员国家职业标准.pdf

各相关单位：根据商用密码应用安全性评估（以下简称密评）从业人员考核工作安排，现将密评从业人员考核知识点通知如下。一、考核知识点1. 密码政策法规（占比10%）党和国家关于密码工作的方针政策（1），密码法律法规与规范性文件（2），涉及密码的网络安全相关法律法规（3），密码应用政策文件（4）。2. 密码技术基础及相关标准（占比20%）密码学基础知识（5），分组密码（6）、序列密码（7）、杂凑密码（8）、公钥密码（9）、实体鉴别协议（10）、密钥交换协议（11）、安全通信协议（12）、随机数技术（13）、密钥管理技术（14）、抗抵赖技术（15）、PKI技术（16）、身份认证技术（17）等密码相关国家标准和行业标准。3. 密码产品原理、应用及相关标准（占比20%）密码相关国家标准和行业标准规定的各类密码产品的实现机理、主要功能、使用要求等，包括智能密码钥匙（18）、智能IC卡（19）、POS/ATM密码应用系统（20）、PCI-E/PCI密码卡（21）、IPSec VPN网关（22）、SSL VPN网关（23）、安全认证网关（24）、密码键盘（25）、金融数据密码机（26）、服务器密码机（27）、签名验签服务器（28）、时间戳服务器（29）、安全门禁系统（30）、动态令牌/动态令牌认证系统（31）、安全电子签章系统（32）、电子文件密码应用系统（33）、可信计算密码支撑平台（34）、证书认证系统/证书认证密钥管理系统（35）、对称密钥管理产品（36）、安全芯片（37）、电子标签芯片（38）、智能IC卡密钥管理系统（39）、云服务器密码机（40）、随机数发生器（41）、可信密码模块（42）、区块链密码模块（43）、安全浏览器密码模块（44）、其他密码模块（45）等28类。4. 密评理论、技术及相关标准（占比30%）相关国家标准、行业标准、指导性文件规定的密评工作各项基本要求和实施指引，包括密码应用基本要求（46）、密码应用测评要求（47）、测评过程（48）、测评内容（49）、测评对象选取（50）、测评指标选择（51）、测评方法与实施（52）、测评工具使用（53）、量化评估（54）、风险分析（55）、报告编制（56）、测评案例分析（57）、方案密评（58）等。5. 密码应用与安全性评估实务综合（占比20%）基于上述基础知识和技能，对密码应用与安全性评估的理解、分析、实践、拓展等综合能力（59）。二、参考资料1.《中华人民共和国密码法》2.《中华人民共和国网络安全法》3.《商用密码管理条例》4.《关键信息基础设施安全保护条例》5.《国家政务信息化项目建设管理办法》6.《信息安全等级保护管理办法》7.《商用密码应用安全性评估管理办法（试行）》8.《商用密码应用安全性测评机构管理办法（试行）》9.《政务信息系统密码应用与安全性评估工作指南》（2020版）10.《信息系统密码应用高风险判定指引》11.《商用密码应用安全性评估量化评估规则》12.《商用密码应用安全性评估FAQ（第二版）》13.《商用密码应用安全性评估报告模板（2023版）》14.GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》、GM/T 0115-2021《信息系统密码应用测评要求》、GM/T 0116-2021《信息系统密码应用测评过程指南》15.GM/Y 5001-2021《密码标准使用指南》（2021版）及其相关密码国家标准和行业标准16.其他密码相关的正式出版物                          国家密码管理局                               2023年3月9日

                                              第七届全国密码技术竞赛密码是国之重器，是保障网络安全的核心技术和基础支撑 。为深入贯彻落实《中华人民共和国密码法》，迎接党的“二十大”的胜利召开，推动密码技术的发展，提高密码意识，普及密码知识，实践密码技术，发现密码人才，中国密码学会定于2022年7月至11月举办2022第七届全国密码技术竞赛。现将有关事项通知如下：一、指导单位国家密码管理局二、主办单位中国密码学会三、承办单位中国密码学会教育与科普工作委员会武汉大学华中科技大学北京数字认证股份有限公司四、支持单位天津灵创智恒软件技术有限公司湖北省商用密码协会北京信息灾备技术产业联盟五、参赛对象高等院校与科研院所师生、密码从业人员等。六、竞赛内容及要求密码发展史、古典密码、分组密码、序列密码、公钥密码、密码杂凑函数、密码协议、密钥管理、密码算法实现、密码应用、密码分析、SM系列密码算法、密码标准与法律法规等。竞赛作品应是独立设计和开发的原创性作品。严禁抄袭、剽窃等行为，一经发现，将取消参赛资格。凡已公开发布并已获得商业价值的产品、凡有知识产权纠纷的作品和与企业合作即将对外发布的产品不得参赛，本竞赛不支持论文参赛。竞赛作品不能涉及国家秘密。七、赛程设置竞赛分为三个阶段：初赛、复赛和决赛。初赛和复赛在参赛单位的本地计算机终端上通过竞赛平台完成，决赛为现场评审。初赛和复赛成绩将以适当比例纳入决赛成绩。每个学校推荐1名领队老师和若干参赛团队，每个团队由3名参赛成员和1名指导老师组成。推荐参赛团队个数不限。1.初赛主要考查参赛学生对密码学基本知识、基础概念的理解和掌握程度，以客观题为主。基于浏览器/服务器（B/S）模式，参赛团队通过全国密码技术竞赛平台在本地完成在线答题。初赛后参赛团队通过竞赛官网查询初赛成绩。初赛当天，密码技术竞赛平台9:00正式开放，18:00关闭，参赛团队可以选择其中任意时间开始答题，答题时间为1个小时。初赛题目类型有选择题和判断题，满分为100分。其中，单项选择40题，每题1分；多项选择20题，每题2分；判断题20个，每题1分。可提前提交或时间到系统自动提交试卷。所有参赛者都应独立完成，团队3名成员的成绩之和为团队总成绩。初赛结束后系统关闭，系统自动判卷并统计个人、团队成绩与团队排名。3个工作日内组委会将成绩通知领队老师和指导老师，参赛队也可通过竞赛平台查询本团队成绩。成绩优异者进入复赛。2.复赛主要考查参赛学生对密码技术的综合运用与解决实际问题能力。参赛团队可选择组委会发布的复赛题目或自拟题目完成1个参赛作品，并在复赛截止时间之前通过竞赛平台提交作品，截止时间到系统自动关闭。竞赛平台对收集的每个复赛作品随机分配5名专家进行在线评审，取总评成绩作为该参赛团队的复赛成绩，成绩优异者进入决赛。参赛作品要体现一定的创新性和实用性，可以是软件、硬件或系统，鼓励应用商用密码算法设计软硬件系统。复赛可涉及密码算法、密码芯片、密码协议、密码应用、密码分析等网络空间安全相关技术。3.决赛主要考查决赛作品软件、硬件或系统的实际运行状况。决赛团队讲解并演示自己的软、硬件系统，组委会组织专家对决赛入围作品进行现场评审。八、奖励设置比赛设特等奖、一等奖、二等奖、三等奖，颁发奖金或证书。特等奖从一等奖的作品中产生，奖金30000元。2022年第七届全国密码技术竞赛设优秀组织奖，奖励比赛参与程度高、取得成绩好、组织有序的参赛单位领队。九、时间安排1．参赛注册2022年9月1日17:00点前，领队老师登录2022第七届全国密码技术竞赛官方网站（www.chinacodes.com.cn）在线注册参赛团队信息。2．基本信息审核2022年9月2-3日组委会对参赛团队信息进行审核。3．竞赛报名2022年9月7日（周三）17:00点前，领队老师通过竞赛平台提交本单位的报名信息表（报名信息表须加盖单位公章）。4．初赛2022年9月17日（星期六）9:00-18:00。一周后通知进入复赛名单，并进行复赛选题。注：2022年8月20日开放初赛模拟练习系统，各参赛团队可登录大赛官网关注最新通知并进行模拟练习。5．复赛2022年10月26日（周三）9:00到2022年10月28号（周五）17:00提交复赛作品。6．决赛2022年12月1-3日（1日报到）在国家网络安全人才与创新基地举行。地址: 湖北省武汉市东西湖区新径公路十、参赛费用1. 缴费方式（1）扫码支付（2）银行汇款户 名：中国密码学会开户行：中国工商银行北京万寿路南口支行账 号：0200 1864 1920 0001 7272. 收费标准参赛报名费：300元/队，请于2022年9月7日之前通过转账或汇款方式打入中国密码学会账户。注意：请在汇款附言中注明“2022密码竞赛+领队老师姓名”财务联系电话：010-59703687（米老师、梁老师） 十一、竞赛联系方式竞赛官网：www.chinacodes.com.cn何德彪（竞赛组织）：15389050739徐  鹏（竞赛组织）：18627724077夏鲁宁（竞赛组织）：18910771080汤天阳（竞赛协调）：13301260123姜雯雯（竞赛协调）：13406531209张德强（竞赛平台）：18649034909，022-59185550，zhangdq@cistsec.com.cn。

2022年6月1日，密码法治实践创新基地揭牌仪式在江苏省苏州市举行。来自国家密码管理局和江苏、河北、内蒙古、吉林、江西、云南、西藏、陕西等地方密码管理部门的相关负责同志，各地商用密码协会和商用密码产业界代表，网络安全和密码领域专家学者，全国密码从业人员等共8600余人通过线上和线下相结合方式参加活动。国家密码管理局副局长何良生同志出席活动并致辞。江苏省国家密码管理局、西安交通大学苏州研究院、苏州工业园区管委会、苏州市国家密码管理局相关领导同志出席活动，签署基地共建合作协议，并共同为基地揭牌。2021年，经国家密码管理局批准，江苏省国家密码管理局、西安交通大学苏州研究院、苏州工业园区管委会、苏州市国家密码管理局等四家单位在苏州市联合筹建密码法治实践创新基地。基地以“密码法治实践创新”为主题，整合密码领域相关学术和产业、技术、行业资源，开展国际国内密码相关政策、法规和战略研究，是国内首个专门从事密码法治研究，促进密码应用与创新发展的智库和服务平台。经过半年多的精心筹备，此次活动的成功举办标志着基地正式成立并投入运行。何良生同志指出，基地的建设是一项开创性、长期性的工作，需要各有关方面共同努力，为基地的长远发展聚众力、汇众智、集众志。希望基地以总体国家安全观为指导，充分运用政产学研用各方优势资源，以服务密码工作重大决策为宗旨，以密码政策法规和战略研究咨询为主攻方向，以完善组织形式和管理方式为重点，立足智力支持、平台渠道、桥梁纽带定位，着力提升综合研判与战略谋划能力，在国家密码战略、规划、布局、政策研究制定等方面发挥支撑作用，成为党和政府信得过、用得上的新型密码智库。签约各方表示将加强统筹协调，完善工作机制，健全管理措施，落实工作责任，不断提升基地建设的质量和水平，充分运用好基地研究成果，为推动密码法治建设和密码事业发展积极贡献力量。

      2021年12月21日，第二届密码行业标准化技术委员会第三次全体会议在北京顺利召开。国家密码管理局、国家标准委相关领导莅临指导，密标委顾问、全体委员以及特邀专家、相关标准化组织代表、中国密码学会、各省（区、市）和新疆生产建设兵团密码管理部门、行业协会及从业单位有关人员共两千余人通过线上线下相结合的方式参加了本次会议。　　密标委主任委员徐汉良同志作工作报告，对密标委成立十年来的工作进行系统总结，对下一阶段重点工作进行部署。特邀专家围绕区块链、金融和广电领域密码应用等作了专题报告，密标委顾问予以指导，委员代表交流发言。国家标准委国焕新副司长对密标委十年来的工作成果予以充分肯定，认为密码标准化工作质量高、发展快、特点鲜明，希望今后进一步发挥密码标准化规范与引领作用。　　会议指出，新形势下做好密码标准化工作，对于推动密码高质量发展、新发展格局下畅通密码供需循环、提升密码治理体系和治理能力现代化水平具有重要意义，密标委要紧密团结在以习近平同志为核心的党中央周围，认真贯彻落实党中央、国务院决策部署，以史为鉴、开创未来，埋头苦干、勇毅前行，推动密码标准化工作取得新成绩、再上新台阶，为推动新时代密码工作高质量发展，维护国家安全和发展利益作出新的更大贡献，以优异成绩迎接党的二十大胜利召开！来源：密码行业标准化技术委员会网站

中华人民共和国主席令第九十一号 《中华人民共和国个人信息保护法》已由中华人民共和国第十三届全国人民代表大会常务委员会第三十次会议于2021年8月20日通过，现予公布，自2021年11月1日起施行。中华人民共和国主席　习近平2021年8月20日 中华人民共和国个人信息保护法（2021年8月20日第十三届全国人民代表大会常务委员会第三十次会议通过） 目　　录第一章　总　　则第二章　个人信息处理规则　　第一节　一般规定　　第二节　敏感个人信息的处理规则　　第三节　国家机关处理个人信息的特别规定第三章　个人信息跨境提供的规则第四章　个人在个人信息处理活动中的权利第五章　个人信息处理者的义务第六章　履行个人信息保护职责的部门第七章　法律责任第八章　附　　则 第一章　总　　则第一条　为了保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用，根据宪法，制定本法。第二条　自然人的个人信息受法律保护，任何组织、个人不得侵害自然人的个人信息权益。第三条　在中华人民共和国境内处理自然人个人信息的活动，适用本法。在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动，有下列情形之一的，也适用本法：（一）以向境内自然人提供产品或者服务为目的；（二）分析、评估境内自然人的行为；（三）法律、行政法规规定的其他情形。第四条　个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。第五条　处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。第六条　处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。第七条　处理个人信息应当遵循公开、透明原则，公开个人信息处理规则，明示处理的目的、方式和范围。第八条　处理个人信息应当保证个人信息的质量，避免因个人信息不准确、不完整对个人权益造成不利影响。第九条　个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全。第十条　任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息；不得从事危害国家安全、公共利益的个人信息处理活动。第十一条　国家建立健全个人信息保护制度，预防和惩治侵害个人信息权益的行为，加强个人信息保护宣传教育，推动形成政府、企业、相关社会组织、公众共同参与个人信息保护的良好环境。第十二条　国家积极参与个人信息保护国际规则的制定，促进个人信息保护方面的国际交流与合作，推动与其他国家、地区、国际组织之间的个人信息保护规则、标准等互认。 第二章　个人信息处理规则第一节　一般规定第十三条　符合下列情形之一的，个人信息处理者方可处理个人信息：（一）取得个人的同意；（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；（三）为履行法定职责或者法定义务所必需；（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；（七）法律、行政法规规定的其他情形。依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。第十四条　基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。第十五条　基于个人同意处理个人信息的，个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式。个人撤回同意，不影响撤回前基于个人同意已进行的个人信息处理活动的效力。第十六条　个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。第十七条　个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：（一）个人信息处理者的名称或者姓名和联系方式；（二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；（三）个人行使本法规定权利的方式和程序；（四）法律、行政法规规定应当告知的其他事项。前款规定事项发生变更的，应当将变更部分告知个人。个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存。第十八条　个人信息处理者处理个人信息，有法律、行政法规规定应当保密或者不需要告知的情形的，可以不向个人告知前条第一款规定的事项。紧急情况下为保护自然人的生命健康和财产安全无法及时向个人告知的，个人信息处理者应当在紧急情况消除后及时告知。第十九条　除法律、行政法规另有规定外，个人信息的保存期限应当为实现处理目的所必要的最短时间。第二十条　两个以上的个人信息处理者共同决定个人信息的处理目的和处理方式的，应当约定各自的权利和义务。但是，该约定不影响个人向其中任何一个个人信息处理者要求行使本法规定的权利。个人信息处理者共同处理个人信息，侵害个人信息权益造成损害的，应当依法承担连带责任。第二十一条　个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。受托人应当按照约定处理个人信息，不得超出约定的处理目的、处理方式等处理个人信息；委托合同不生效、无效、被撤销或者终止的，受托人应当将个人信息返还个人信息处理者或者予以删除，不得保留。未经个人信息处理者同意，受托人不得转委托他人处理个人信息。第二十二条　个人信息处理者因合并、分立、解散、被宣告破产等原因需要转移个人信息的，应当向个人告知接收方的名称或者姓名和联系方式。接收方应当继续履行个人信息处理者的义务。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。第二十三条　个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。接收方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。第二十四条　个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。第二十五条　个人信息处理者不得公开其处理的个人信息，取得个人单独同意的除外。第二十六条　在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。第二十七条　个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；个人明确拒绝的除外。个人信息处理者处理已公开的个人信息，对个人权益有重大影响的，应当依照本法规定取得个人同意。第二节  敏感个人信息的处理规则第二十八条　敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。第二十九条　处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。第三十条　个人信息处理者处理敏感个人信息的，除本法第十七条第一款规定的事项外，还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响；依照本法规定可以不向个人告知的除外。第三十一条　个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。个人信息处理者处理不满十四周岁未成年人个人信息的，应当制定专门的个人信息处理规则。第三十二条　法律、行政法规对处理敏感个人信息规定应当取得相关行政许可或者作出其他限制的，从其规定。第三节　国家机关处理个人信息的特别规定第三十三条　国家机关处理个人信息的活动，适用本法；本节有特别规定的，适用本节规定。第三十四条　国家机关为履行法定职责处理个人信息，应当依照法律、行政法规规定的权限、程序进行，不得超出履行法定职责所必需的范围和限度。第三十五条　国家机关为履行法定职责处理个人信息，应当依照本法规定履行告知义务；有本法第十八条第一款规定的情形，或者告知将妨碍国家机关履行法定职责的除外。第三十六条　国家机关处理的个人信息应当在中华人民共和国境内存储；确需向境外提供的，应当进行安全评估。安全评估可以要求有关部门提供支持与协助。第三十七条　法律、法规授权的具有管理公共事务职能的组织为履行法定职责处理个人信息，适用本法关于国家机关处理个人信息的规定。 第三章　个人信息跨境提供的规则第三十八条　个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：（一）依照本法第四十条的规定通过国家网信部门组织的安全评估；（二）按照国家网信部门的规定经专业机构进行个人信息保护认证；（三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；（四）法律、行政法规或者国家网信部门规定的其他条件。中华人民共和国缔结或者参加的国际条约、协定对向中华人民共和国境外提供个人信息的条件等有规定的，可以按照其规定执行。个人信息处理者应当采取必要措施，保障境外接收方处理个人信息的活动达到本法规定的个人信息保护标准。第三十九条　个人信息处理者向中华人民共和国境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。第四十条　关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估；法律、行政法规和国家网信部门规定可以不进行安全评估的，从其规定。第四十一条　中华人民共和国主管机关根据有关法律和中华人民共和国缔结或者参加的国际条约、协定，或者按照平等互惠原则，处理外国司法或者执法机构关于提供存储于境内个人信息的请求。非经中华人民共和国主管机关批准，个人信息处理者不得向外国司法或者执法机构提供存储于中华人民共和国境内的个人信息。第四十二条　境外的组织、个人从事侵害中华人民共和国公民的个人信息权益，或者危害中华人民共和国国家安全、公共利益的个人信息处理活动的，国家网信部门可以将其列入限制或者禁止个人信息提供清单，予以公告，并采取限制或者禁止向其提供个人信息等措施。第四十三条　任何国家或者地区在个人信息保护方面对中华人民共和国采取歧视性的禁止、限制或者其他类似措施的，中华人民共和国可以根据实际情况对该国家或者地区对等采取措施。 第四章　个人在个人信息处理活动中的权利第四十四条　个人对其个人信息的处理享有知情权、决定权，有权限制或者拒绝他人对其个人信息进行处理；法律、行政法规另有规定的除外。第四十五条　个人有权向个人信息处理者查阅、复制其个人信息；有本法第十八条第一款、第三十五条规定情形的除外。个人请求查阅、复制其个人信息的，个人信息处理者应当及时提供。个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径。第四十六条　个人发现其个人信息不准确或者不完整的，有权请求个人信息处理者更正、补充。个人请求更正、补充其个人信息的，个人信息处理者应当对其个人信息予以核实，并及时更正、补充。第四十七条　有下列情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除：（一）处理目的已实现、无法实现或者为实现处理目的不再必要；（二）个人信息处理者停止提供产品或者服务，或者保存期限已届满；（三）个人撤回同意；（四）个人信息处理者违反法律、行政法规或者违反约定处理个人信息；（五）法律、行政法规规定的其他情形。法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。第四十八条　个人有权要求个人信息处理者对其个人信息处理规则进行解释说明。第四十九条　自然人死亡的，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使本章规定的查阅、复制、更正、删除等权利；死者生前另有安排的除外。第五十条　个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制。拒绝个人行使权利的请求的，应当说明理由。个人信息处理者拒绝个人行使权利的请求的，个人可以依法向人民法院提起诉讼。 第五章　个人信息处理者的义务第五十一条　个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取下列措施确保个人信息处理活动符合法律、行政法规的规定，并防止未经授权的访问以及个人信息泄露、篡改、丢失：（一）制定内部管理制度和操作规程；（二）对个人信息实行分类管理；（三）采取相应的加密、去标识化等安全技术措施；（四）合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训；（五）制定并组织实施个人信息安全事件应急预案；（六）法律、行政法规规定的其他措施。第五十二条　处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人，负责对个人信息处理活动以及采取的保护措施等进行监督。个人信息处理者应当公开个人信息保护负责人的联系方式，并将个人信息保护负责人的姓名、联系方式等报送履行个人信息保护职责的部门。第五十三条　本法第三条第二款规定的中华人民共和国境外的个人信息处理者，应当在中华人民共和国境内设立专门机构或者指定代表，负责处理个人信息保护相关事务，并将有关机构的名称或者代表的姓名、联系方式等报送履行个人信息保护职责的部门。第五十四条　个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。第五十五条　有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录：（一）处理敏感个人信息；（二）利用个人信息进行自动化决策；（三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；（四）向境外提供个人信息；（五）其他对个人权益有重大影响的个人信息处理活动。第五十六条　个人信息保护影响评估应当包括下列内容：（一）个人信息的处理目的、处理方式等是否合法、正当、必要；（二）对个人权益的影响及安全风险；（三）所采取的保护措施是否合法、有效并与风险程度相适应。个人信息保护影响评估报告和处理情况记录应当至少保存三年。第五十七条　发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应当包括下列事项：（一）发生或者可能发生个人信息泄露、篡改、丢失的信息种类、原因和可能造成的危害；（二）个人信息处理者采取的补救措施和个人可以采取的减轻危害的措施；（三）个人信息处理者的联系方式。个人信息处理者采取措施能够有效避免信息泄露、篡改、丢失造成危害的，个人信息处理者可以不通知个人；履行个人信息保护职责的部门认为可能造成危害的，有权要求个人信息处理者通知个人。第五十八条　提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当履行下列义务：（一）按照国家规定建立健全个人信息保护合规制度体系，成立主要由外部成员组成的独立机构对个人信息保护情况进行监督；（二）遵循公开、公平、公正的原则，制定平台规则，明确平台内产品或者服务提供者处理个人信息的规范和保护个人信息的义务；（三）对严重违反法律、行政法规处理个人信息的平台内的产品或者服务提供者，停止提供服务；（四）定期发布个人信息保护社会责任报告，接受社会监督。第五十九条　接受委托处理个人信息的受托人，应当依照本法和有关法律、行政法规的规定，采取必要措施保障所处理的个人信息的安全，并协助个人信息处理者履行本法规定的义务。 第六章　履行个人信息保护职责的部门第六十条　国家网信部门负责统筹协调个人信息保护工作和相关监督管理工作。国务院有关部门依照本法和有关法律、行政法规的规定，在各自职责范围内负责个人信息保护和监督管理工作。县级以上地方人民政府有关部门的个人信息保护和监督管理职责，按照国家有关规定确定。前两款规定的部门统称为履行个人信息保护职责的部门。第六十一条　履行个人信息保护职责的部门履行下列个人信息保护职责：（一）开展个人信息保护宣传教育，指导、监督个人信息处理者开展个人信息保护工作；（二）接受、处理与个人信息保护有关的投诉、举报；（三）组织对应用程序等个人信息保护情况进行测评，并公布测评结果；（四）调查、处理违法个人信息处理活动；（五）法律、行政法规规定的其他职责。第六十二条　国家网信部门统筹协调有关部门依据本法推进下列个人信息保护工作：（一）制定个人信息保护具体规则、标准；（二）针对小型个人信息处理者、处理敏感个人信息以及人脸识别、人工智能等新技术、新应用，制定专门的个人信息保护规则、标准；（三）支持研究开发和推广应用安全、方便的电子身份认证技术，推进网络身份认证公共服务建设；（四）推进个人信息保护社会化服务体系建设，支持有关机构开展个人信息保护评估、认证服务；（五）完善个人信息保护投诉、举报工作机制。第六十三条　履行个人信息保护职责的部门履行个人信息保护职责，可以采取下列措施：（一）询问有关当事人，调查与个人信息处理活动有关的情况;（二）查阅、复制当事人与个人信息处理活动有关的合同、记录、账簿以及其他有关资料;（三）实施现场检查，对涉嫌违法的个人信息处理活动进行调查;（四）检查与个人信息处理活动有关的设备、物品;对有证据证明是用于违法个人信息处理活动的设备、物品，向本部门主要负责人书面报告并经批准，可以查封或者扣押。履行个人信息保护职责的部门依法履行职责，当事人应当予以协助、配合，不得拒绝、阻挠。第六十四条　履行个人信息保护职责的部门在履行职责中，发现个人信息处理活动存在较大风险或者发生个人信息安全事件的，可以按照规定的权限和程序对该个人信息处理者的法定代表人或者主要负责人进行约谈，或者要求个人信息处理者委托专业机构对其个人信息处理活动进行合规审计。个人信息处理者应当按照要求采取措施，进行整改，消除隐患。履行个人信息保护职责的部门在履行职责中，发现违法处理个人信息涉嫌犯罪的，应当及时移送公安机关依法处理。第六十五条　任何组织、个人有权对违法个人信息处理活动向履行个人信息保护职责的部门进行投诉、举报。收到投诉、举报的部门应当依法及时处理，并将处理结果告知投诉、举报人。履行个人信息保护职责的部门应当公布接受投诉、举报的联系方式。 第七章　法律责任第六十六条　违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。有前款规定的违法行为，情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。第六十七条　有本法规定的违法行为的，依照有关法律、行政法规的规定记入信用档案，并予以公示。第六十八条　国家机关不履行本法规定的个人信息保护义务的，由其上级机关或者履行个人信息保护职责的部门责令改正；对直接负责的主管人员和其他直接责任人员依法给予处分。履行个人信息保护职责的部门的工作人员玩忽职守、滥用职权、徇私舞弊，尚不构成犯罪的，依法给予处分。第六十九条　处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。前款规定的损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定;个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。第七十条　个人信息处理者违反本法规定处理个人信息，侵害众多个人的权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起诉讼。第七十一条　违反本法规定，构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。 第八章　附　　则第七十二条　自然人因个人或者家庭事务处理个人信息的，不适用本法。法律对各级人民政府及其有关部门组织实施的统计、档案管理活动中的个人信息处理有规定的，适用其规定。第七十三条　本法下列用语的含义：（一）个人信息处理者，是指在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。（二）自动化决策，是指通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策的活动。（三）去标识化，是指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程。（四）匿名化，是指个人信息经过处理无法识别特定自然人且不能复原的过程。第七十四条　本法自2021年11月1日起施行。来源：中国人大网