第二十条

数据处理者对在业务活动中产生、获取的数据承担安全管理主体责任，应当履行下列义务：

（一）建立健全全流程数据安全管理制度；

（二）采取访问控制、安全认证等技术措施保障数据安全；

（三）制定数据安全事件应急预案，每年开展应急演练；

（四）加强风险监测，发现数据安全缺陷、漏洞等风险隐患时，立即采取补救措施；

（五）及时报告与处置数据安全事件；

（六）每年组织开展数据安全教育培训；

（七）委托他人建设、维护信息系统和开展数据处理活动的，应当明确双方数据安全保护义务和责任，并加强对受委托单位的监督管理；

（八）法律、法规规定的其他数据安全保护义务。

数据处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。