第二十八条【应急处置】工业和信息化部制定工业和信息化领域数据安全事件应急预案，组织协调重要数据和核心数据安全事件应急处置工作。

地方工业和信息化主管部门、通信管理局和无线电管理机构组织开展本地区工业、电信行业和无线电数据安全事件应急处置工作。涉及重要数据和核心数据的安全事件，应当立即上报工业和信息化部，并及时报告事件发展和处置情况。

工业和信息化领域数据处理者在数据安全事件发生后，应当按照应急预案，及时开展应急处置，涉及重要数据和核心数据的安全事件，应当第一时间向地方工业和信息化主管部门（工业领域）或通信管理局（电信领域）或无线电管理机构（无线电领域）报告。事件处置完成后应当在规定期限内形成总结报告，每年向地方工业和信息化主管部门（工业领域）或通信管理局（电信领域）或无线电管理机构（无线电领域）报告数据安全事件处置情况。

工业和信息化领域数据处理者对可能损害用户合法权益的数据安全事件，应当及时告知用户，并提供减轻危害措施。

第二十九条【举报投诉处理】工业和信息化部委托相关行业组织建立工业和信息化领域数据安全违法行为投诉举报渠道，地方工业和信息化主管部门、通信管理局、无线电管理机构建立本地区工业、电信行业和无线电数据安全违法行为投诉举报机制或渠道，依法接收、处理投诉举报，根据工作需要开展执法调查。鼓励工业和信息化领域数据处理者

建立用户投诉处理机制。

第五章 数据安全检测、认证、评估管理

第三十条【安全检测与认证】工业和信息化部鼓励、引导具备相应资质的机构，依据相关标准开展行业数据安全检测、认证工作。

第三十一条【安全评估】工业和信息化部制定行业数据安全评估机构管理制度，开展评估机构管理工作。制定行业数据安全评估规范，指导评估机构开展数据安全风险评估、合规评估、能力评估、出境评估等工作。

地方工业和信息化主管部门、通信管理局和无线电管理机构负责组织开展本地区工业、电信行业和无线电数据安全评估工作。

工业和信息化领域重要数据和核心数据处理者应当自行或委托第三方评估机构，每年至少开展一次安全评估，及时整改风险问题，并向地方工业和信息化主管部门（工业领域）或通信管理局（电信领域）或无线电管理机构（无线电领域）报送评估报告。

第六章 监督检查

第三十二条【监督检查和协助义务】行业（领域）监管部门对工业和信息化领域数据处理者落实本办法要求的情况进行监督检查。

工业和信息化领域数据处理者应当对行业（领域）监管部门监督检查予以配合。

第三十三条【数据安全审查】工业和信息化部在国家数据安全工作协调机制指导下，开展数据安全审查相关工作。

第三十四条【保密要求】行业（领域）监管部门及其委托的数据安全评估机构工作人员对在履行职责中知悉的个人信息和商业秘密等，应当严格保密，不得泄露或者非法向他人提供。

第七章 法律责任

第三十五条【约谈整改】行业（领域）监管部门在履行数据安全监督管理职责中，发现数据处理活动存在较大安全风险的，可以按照规定权限和程序对工业和信息化领域数据处理者进行约谈，并要求采取措施进行整改，消除隐患。

第三十六条【法律责任】有违反本办法规定行为的，由行业（领域）监管部门依照相关法律法规，根据情节严重程度给予没收违法所得、罚款、暂停业务、停业整顿、吊销业务许可证等行政处罚；构成犯罪的，依法追究刑事责任。

第八章 附则

第三十七条【个人信息保护】开展涉及个人信息的数据处理活动，还应当遵守有关法律、行政法规的规定。

第三十八条【其他规定参照】涉及军事、国家秘密信息、密码使用等数据处理活动，按照国家有关规定执行。

第三十九条【政务数据排除】工业和信息化领域政务数据处理活动的具体办法，由工业和信息化部另行规定。

第四十条【国防科工、烟草领域】国防科技工业、烟草领域数据安全管理由国防科工局、国家烟草专卖局负责，具体制度参照本办法另行制定。

第四十一条【施行日期】本办法自 2022 年 月 日起施行。