第三十九条

数据处理者是数据安全责任主体。多个数据处理者共同参与的，各数据处理者承担相应的安全责任。数据处理者发生变更的，由变更后的数据处理者承担数据安全保护责任。

数据处理者应当履行下列安全保护义务：

（一）建立健全全流程数据安全管理制度；

（二）组织开展数据安全宣传教育培训；

（三）制定数据安全事件应急预案，定期开展风险评估和应急演练等活动；

（四）采取安全保护技术措施，防止数据丢失、毁损、泄露和被篡改；

（五）加强风险监测，防范数据汇聚、关联引发的泄密风险，发现数据存在安全缺陷、漏洞等安全风险时，立即采取补救措施；发生数据安全事件时，应当依法启动应急预案，采取相应的应急处置措施，并按照规定向有关主管部门报告；

（六）法律、法规规定的其他安全保护义务。