第四十条

数据处理者是数据安全责任主体；同时存在多个数据处理者的，各数据处理者依法承担相应的数据安全责任。

数据处理者应当履行下列数据安全保护义务：

（一）建立健全全流程数据安全管理制度，维护数据安全，保护个人隐私和商业秘密；

（二）采取加密、备份、访问控制、安全认证等技术措施和其他必要措施，保护数据免遭篡改、破坏、泄露、非法获取或者非法利用；

（三）加强风险监测，发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施；

（四）发生数据安全事件时，立即采取处置措施，按照规定及时告知用户并向网信、公安、数据等有关部门报告；

（五）法律、法规规定的其他数据安全义务。