《中华人民共和国网络安全法》
《网络安全法》是网络运营与个人信息保护的基础性法律。落到 PDF 上，主要影响三件事：系统要不要等保、文件里的个人信息怎么收怎么用、操作日志留多久。
一、法规速览
| 项目 | 内容 |
|---|
| 施行日期 | 2017 年 6 月 1 日 |
| 法域 | 中国 |
| 核心制度 | 网络安全等级保护、个人信息保护、关键信息基础设施保护、网络日志留存 |
| 适用对象 | 网络运营者、网络产品服务提供者、关键信息基础设施运营者 |
二、对 PDF 文档的关键要求
| 要求 | 对 PDF 的具体含义 | 应对动作 |
|---|
| 网络安全等级保护 | 网络运营者应履行安全保护义务，保障网络免受干扰、破坏或未经授权访问 | 承载 PDF 处理与存储的系统按等保要求定级备案与测评 |
| 个人信息收集使用规则 | 收集使用个人信息应合法、正当、必要，公开规则并经同意 | PDF 中个人信息的收集与外发遵循最小必要与告知同意 |
| 个人信息保护义务 | 应采取技术措施防止信息泄露、毁损、丢失 | 对含个人信息的 PDF 做去标识化与加密，并留存访问记录 |
| 网络日志留存 | 应留存相关网络日志不少于法定期限 | 文档处理系统的访问、下载、外发操作留痕并可追溯 |
三、关键条文 / 规则要点
| 条文 / 规则 | 要点 |
|---|
| 第 21 条 | 国家实行网络安全等级保护制度。网络运营者应按等级保护制度要求履行安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。 |
| 第 41 条 | 网络运营者收集、使用个人信息，应遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。 |
| 第 42 条 | 网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。应采取技术措施和其他必要措施确保个人信息安全。 |
| 第 47 条 | 网络运营者应加强对其用户发布的信息的管理，发现法律、行政法规禁止发布或传输的信息的，应立即停止传输该信息。 |
四、文档处理清单
- 承载 PDF 处理与存储的系统按等级保护要求定级备案。
- 梳理 PDF 中涉及的个人信息，遵循最小必要与告知同意。
- 外发前做去标识化，不可逆脱敏而非仅遮盖（/ai-desensitize.html）。
- 清除 metadata、批注与隐藏图层（/remove-pdf-metadata.html）。
- 文档系统的访问、下载、外发操作日志按规定期限留存（/pdf-compliance-checklist.html）。
五、平台能力映射
建议链路：等保定级 → 个人信息梳理 → 去标识化 → 清 metadata → 日志留痕。
六、常见漏点
只做文件处理不做系统合规：单个 PDF 脱敏了，但存储与流转系统未按等保要求防护。
日志留存不足：操作日志未留存或留存期不足，事后无法追溯。
同意与规则缺失：收集使用个人信息未公开规则或未取得同意。
参考与权威来源
作者：PDFnoted 合规研究团队·发布于 2026-09-01·最近更新 2026-09-01
本页条文要点对应 PDFnoted 合规审查引擎中该部法规的条款级索引；引擎法规知识库覆盖 219 部法规源文件、22,671 个条款级索引、11 个垂直行业与中国/美国/欧盟三大法域。内容由团队定期复核更新，用于一般性参考。
免责声明：本页基于公开法律法规与 PDFnoted 平台能力整理，仅供文档合规事务作一般性参考，不构成法律意见、合规咨询或专业服务。条文引用以官方发布的最新有效文本为准，具体适用请咨询具备资质的专业人士。
六、网络安全法真实场景与落地步骤
6.1 四类高频场景
- 等级保护定级与备案：信息系统定级后按等级要求落实安全措施，文档管理系统同样纳入等保范围。
- 日志留存与审计：网络日志按规定期限留存，文档访问、下载、外发操作需可审计。
- 安全事件处置：发生泄露或篡改事件时，按规定启动应急预案并向主管部门报告。
- 供应链与外包管理：外部系统接入与外包运维需评估安全风险并约定安全责任。
6.2 标准处理流程
- 定级备案：完成系统定级与备案，明确责任部门。
- 加固：账号权限、加密传输、边界防护与漏洞整改。
- 留痕：开启访问与外发日志，按期限留存。
- 演练：定期开展应急预案演练与备份恢复验证。
- 报告：发生事件时按规定时限报告并通知受影响方。
6.3 最容易踩的坑
- 文档系统未纳入等保范围，成为防护短板。
- 日志留存不足法定期限，事后无法追溯。
- 外包运维账号长期有效且无审计。
- 发生事件后未按规定报告，导致责任加重。
6.4 适用法规要点
- 网络安全法：网络安全等级保护制度。
- 网络安全法第 21 条：日志留存不少于六个月等安全保护义务。
- 网络安全法：网络运营者的安全事件报告与处置义务。
- 关键信息基础设施安全保护条例：CII 运营者的额外义务。
- 数据安全法：与网络安全衔接的数据保护要求。
常见问题
- 《网络安全法》要求网络日志留存多久？
- 该法对网络日志留存有法定期限要求（相关规定要求不少于六个月）。具体适用与期限以现行有效规定与主管部门口径为准，建议按最长适用期限留存并可追溯。
- 等级保护和 PDF 文件有什么关系？
- 等保约束的是承载 PDF 处理、存储与流转的信息系统。文件本身脱敏只是数据层面措施，系统仍需按等保要求定级备案、落实安全技术与管理制度。
- PDF 里的个人信息怎么处理才合规？
- 收集使用应遵循合法、正当、必要原则并公开规则、取得同意；对外提供前应做去标识化或匿名化，并加密传输与留存操作记录。
- 遮盖个人信息能满足要求吗？
- 通常不够。遮盖若保留底层内容可被还原，难以证明已采取充分安全措施。建议不可逆删除或像素层永久涂黑，并复核无法还原。
- 未经同意向他人提供个人信息有什么风险？
- 可能违反《网络安全法》关于不得未经同意向他人提供个人信息的规定，并可能同时触发《个人信息保护法》项下的责任。
- metadata 需要清除吗？
- 需要。metadata 可能含作者、单位、系统与路径信息，属于随文件流转的附带信息，外发前应清除。
- 处理含个人信息 PDF 会泄露吗？
- 处理环境决定是否泄露。建议在本地优先模式处理，敏感文件不上传即可预览与导出。
- 本文能替代法律意见吗？
- 不能。本文为一般性参考与自查清单，不构成法律意见。等保定级与日志留存口径请咨询专业人士并以现行有效规定为准。
- （日志）要留多久？
- 网络安全法要求相关网络日志留存不少于六个月；具体行业或等级保护要求可能更长，按其执行。
- （等保）文档管理系统也要做吗？
- 要。承载业务数据并提供对外服务的系统通常都在定级范围内，文档与协作系统不应遗漏。
- （外包）运维账号怎么管？
- 原则上是最小权限、按需申请、到期回收，并对操作全程审计，禁止共享账号与长期有效凭证。
关键词：网络安全法PDF合规,网络安全等级保护,网络日志留存,网络安全法第21条,个人信息收集使用,PDF网络安全
数据与权威背书
法规条文级合规引擎｜219 部法规源文件 · 22,671 个条款级索引
PDFnoted 合规审查引擎的法规知识库覆盖度
219个法规源文件中 · 美 · 欧三法域
22,671个条款级索引精确至条文粒度
11个垂直行业独立审查框架
3大法域覆盖中国 / 美国 / 欧盟
本页法规要点对应 PDFnoted 合规审查引擎中该部法规的条款级索引，风险结论可回溯至具体条文。 方法论参考 Princeton GEO 论文（arXiv:2311.09735），结构化数据遵循 Schema.org 规范。法规原文以官方发布为准。