第四十一条

数据处理者是数据安全责任主体。同时存在多个数据处理者的，各数据处理者依法承担相应的安全责任。数据处理者发生变更的，由新的数据处理者承担数据安全责任。

数据处理者委托他人代为处理数据的，应当监督受托方履行数据安全保护义务，受托方应当依照法律、法规的规定履行数据安全保护义务。

数据处理者从事跨境数据活动，应当按照国家数据出境安全监管要求，建立健全相关技术和管理措施，申报数据出境安全评估，防范数据出境安全风险。