上海市数据条例 （2021年11月25日上海市第十五届人民代表大会 常务委员会第三十七次会议通过） 第一章总则 第一条为了保护自然人、法人和非法人组织与数据有关的权益，规范数据处理活动，促 进数据依法有序自由流动，保障数据安全，加快数据要素市场培育，推动数字经济更好服务 和融入新发展格局，根据《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》 等法律、行政法规，结合本市实际，制定本条例。 第二条本条例中下列用语的含义： （一）数据，是指任何以电子或者其他方式对信息的记录。 （二）数据处理，包括数据的收集、存储、使用、加工、传输、提供、公开等。 （三）数据安全，是指通过采取必要措施，确保数据处于有效保护和合法利用的状态， 以及具备保障持续安全状态的能力。 （四）公共数据，是指本市国家机关、事业单位，经依法授权具有管理公共事务职能的 组织，以及供水、供电、供气、公共交通等提供公共服务的组织（以下统称公共管理和服务 机构），在履行公共管理和服务职责过程中收集和产生的数据。 第三条本市坚持促进发展和监管规范并举，统筹推进数据权益保护、数据流通利用、数 据安全管理，完善支持数字经济发展的体制机制，充分发挥数据在实现治理体系和治理能力 现代化、推动经济社会发展中的作用。 第四条市人民政府应当将数据开发利用和产业发展、数字经济发展纳入国民经济和社会 发展规划，建立健全数据治理和流通利用体系，促进公共数据社会化开发利用，协调解决数 据开发利用、产业发展和数据安全工作中的重大问题，推动数字经济发展和城市数字化转型。区人民政府应当按照全市总体要求和部署，做好本行政区域数据发展和管理相关工作， 创新推广数字化转型应用场景。 乡镇人民政府、街道办事处应当在基层治理中，推进数据的有效应用，提升治理效能。 第五条市政府办公厅负责统筹规划、综合协调全市数据发展和管理工作，促进数据综合 治理和流通利用，推进、指导、监督全市公共数据工作。 市发展改革部门负责统筹本市新型基础设施规划建设和数字经济发展，推进本市数字化 重大体制机制改革、综合政策制定以及区域联动等工作。 市经济信息化部门负责协调推进本市公共数据开放、社会经济各领域数据开发应用和产 业发展，统筹推进信息基础设施规划、建设和发展，推动产业数字化、数字产业化等工作。 市网信部门负责统筹协调本市个人信息保护、网络数据安全和相关监管工作。 市公安、国家安全机关在各自职责范围内承担数据安全监管职责。 市财政、人力资源社会保障、市场监管、统计、物价等部门在各自职责范围内履行相关 职责。 市大数据中心具体承担本市公共数据的集中统一管理，推动数据的融合应用。 第六条本市实行数据工作与业务工作协同管理，管区域必须管数字化转型、管行业必须 管数字化转型，加强运用数字化手段，提升治理能力和治理水平。 本市鼓励各区、各部门、各企业事业单位建立首席数据官制度。首席数据官由本区域、 本部门、本单位相关负责人担任。 第七条市人民政府设立由高校、科研机构、企业、相关部门的专家组成的数据专家委员 会。数据专家委员会开展数据权益保护、数据流通利用、数据安全管理等方面的研究、评估， 为本市数据发展和管理工作提供专业意见。第八条本市加强数字基础设施规划和布局，提升电子政务云、电子政务外网等的服务能 力，建设新一代通信网络、数据中心、人工智能平台等重大基础设施，建立完善网络、存储、 计算、安全等数字基础设施体系。 第九条市、区有关部门应当将数据领域高层次、高学历、高技能以及紧缺人才纳入人才 支持政策体系；完善专业技术职称体系，创新数据人才评价与激励机制，健全数据人才服务 和保障机制。 本市加强数据领域相关知识和技术的宣传、教育、培训，提升公众数字素养和数字技能， 将数字化能力培养纳入公共管理和服务机构教育培训体系。 第十条市标准化行政主管部门应当会同市政府办公厅、市有关部门加强数据标准体系的 统筹建设和管理。 市数据标准化技术组织应当推动建立和完善本市数据基础性、通用性地方标准。 第十一条本市支持数据相关行业协会和组织发展。行业协会和组织应当依法制定并推动 实施相关团体标准和行业规范，反映会员合理诉求和建议，加强行业自律，提供信息、技术、 培训等服务，引导会员依法开展数据处理活动，配合有关部门开展行业监管，促进行业健康 发展。 第二章数据权益保障 第一节一般规定第十二条本市依法保护自然人对其个人信息享有的人格权益。 本市依法保护自然人、法人和非法人组织在使用、加工等数据处理活动中形成的法定或 者约定的财产权益，以及在数字经济发展中有关数据创新活动取得的合法财产权益。 第十三条自然人、法人和非法人组织可以通过合法、正当的方式收集数据。收集已公开 的数据，不得违反法律、行政法规的规定或者侵犯他人的合法权益。法律、行政法规对数据 收集的目的和范围有规定的，应当在法律、行政法规规定的目的和范围内收集。第十四条自然人、法人和非法人组织对其合法取得的数据，可以依法使用、加工。法律、 行政法规另有规定或者当事人另有约定的除外。 第十五条自然人、法人和非法人组织可以依法开展数据交易活动。法律、行政法规另有 规定的除外。 第十六条市、区人民政府及其有关部门可以依法要求相关自然人、法人和非法人组织提 供突发事件处置工作所必需的数据。 要求自然人、法人和非法人组织提供数据的，应当在其履行法定职责的范围内依照法定 的条件和程序进行，并明确数据使用的目的、范围、方式、期限。收集的数据不得用于与突 发事件处置工作无关的事项。对在履行职责中知悉的个人隐私、个人信息、商业秘密、保密 商务信息等应当依法予以保密，不得泄露或者非法向他人提供。 第十七条自然人、法人和非法人组织开展数据处理活动、行使相关数据权益，应当遵守 法律、法规，尊重社会公德和伦理，遵守商业道德，诚实守信，不得危害国家安全和公共利 益，不得损害他人的合法权益。 第二节个人信息特别保护 第十八条除法律、行政法规另有规定外，处理个人信息的，应当取得个人同意。个人信 息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。 处理个人自行公开或者其他已经合法公开的个人信息，应当依法在合理的范围内进行； 个人明确拒绝的除外。处理已公开的个人信息，对个人权益有重大影响的，应当依法取得个 人同意。 第十九条基于个人同意处理个人信息的，应当保证个人在充分知情的前提下自愿、明确 作出同意，不得通过误导、欺诈、胁迫等违背其真实意愿的方式取得同意。法律、行政法规 规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。处理者在提供产品或者服务时，不得以个人不同意处理其个人信息或者撤回同意为由， 拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。 第二十条处理个人信息前，应当向个人告知下列事项： （一）处理者的名称或者姓名和联系方式； （二）处理个人信息的目的、方式； （三）处理的个人信息种类、保存期限； （四）个人依法享有的权利以及行使权利的方式和程序； （五）法律、行政法规规定应当告知的其他事项。 处理者应当以显著方式、清晰易懂的语言真实、准确、完整地告知前款事项。 第二十一条个人发现其个人信息不准确或者不完整的，有权请求处理者更正、补充。 有下列情形之一的，处理者应当主动删除个人信息；处理者未删除的，个人有权请求删 除： （一）处理目的已实现、无法实现或者为实现处理目的不再必要； （二）处理者停止提供产品或者服务，或者保存期限已届满； （三）个人撤回同意； （四）处理者违反法律、行政法规或者违反约定处理个人信息； （五）法律、行政法规规定的其他情形。 对属于本条第一款、第二款情形的，处理者应当分别予以更正、补充、删除。法律、行 政法规另有规定的，从其规定。 第二十二条处理自然人生物识别信息的，应当具有特定的目的和充分的必要性，并采取 严格的保护措施。处理生物识别信息应当取得个人的单独同意；法律、行政法规另有规定的， 从其规定。第二十三条在本市商场、超市、公园、景区、公共文化体育场馆、宾馆等公共场所，以 及居住小区、商务楼宇等区域，安装图像采集、个人身份识别设备，应当为维护公共安全所 必需，遵守国家有关规定，并设置显著标识。 所收集的个人图像、身份识别信息，只能用于维护公共安全的目的，不得用于其他目的； 取得个人单独同意的除外。 本条第一款规定的公共场所或者区域，不得以图像采集、个人身份识别技术作为出入该 场所或者区域的唯一验证方式。 第二十四条利用个人信息进行自动化决策，应当遵循合法、正当、必要、诚信的原则， 保证决策的透明度和结果的公平、公正，不得对个人在交易价格等交易条件上实行不合理的 差别待遇。 通过自动化决策方式向个人进行信息推送、商业营销的，应当同时提供不针对其个人特 征的选项，或者向个人提供便捷的拒绝方式。 通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求处理者予以说明， 并有权拒绝处理者仅通过自动化决策的方式作出决定。 第三章公共数据 第一节一般规定第二十五条本市健全公共数据资源体系，加强公共数据治理，提高公共 数据共享效率，扩大公共数据有序开放，构建统一协调的公共数据运营机制，推进公共数据 和其他数据融合应用，充分发挥公共数据在推动城市数字化转型和促进经济社会发展中的驱 动作用。 第二十六条负责本系统、行业公共数据管理的市级部门（以下简称市级责任部门）应当 依据业务职能，制定本系统、行业公共数据资源规划，完善管理制度和标准规范，组织开展本系统、行业数据的收集、归集、治理、共享、开放、应用及其相关质量和安全管理。公共 数据管理涉及多个部门或者责任不明确的，由市政府办