Article 21

数据处理者处理重要数据的，应当履行下列义务：

（一）建立数据安全工作体系，明确数据安全管理机构和责任人，落实不同岗位数据安全管理职责；

（二）要求关键岗位人员签署数据安全责任书，责任书内容包括数据安全岗位职责、义务、处分措施、注意事项等；

（三）建立内部登记、审批等工作机制，对重要数据的处理活动进行严格管理并留存记录；

（四）综合运用加密、备份、鉴权、认证、脱敏、校验、审计等技术手段进行安全保护；

（五）自行或者委托第三方机构，对其数据处理活动每年开展一次风险评估；

（六）法律、法规规定的其他数据安全保护义务。

风险评估结束后，有关数据处理者应当及时整改风险隐患，并于十五个工作日内将风险评估报告报送有关行业主管部门。风险评估报告保存时间不得少于三年。