政府與企業間數據開放共享的 安全問題研究

賽迪智庫

當今世界，信息化發展較快的發達國家在大數據開發利用方面和促進大數據產業發展方面已經走在了前面，政府與企業之間的數據交換和共享已經成為常態，尤其是歐盟、美國等國家，在數據安全保護方面出臺了很多有針對性的法律法規，有效規范了個人隱私保護和數據跨境保護工作，有利于保障本國公民利益和維護數據主權，值得我們借鑒。

當前我國政府與企業間

數據開放共享現狀及問題

按照數據生產或持有主體來劃分數據，數據可分為政府數據、企業數據和個人數據。企業數據：是指反映企業基本狀況的數據資源，包括企業財務數據、經營數據（研發、采購、生產、銷售等）以及人力資源數據，也包括通過授權直接或間接采集的個人數據。個人數據：是指以電子或其他方式記錄的能夠單獨或與其他信息結合識別自然人個人身份的信息，包括但不限于自然人的姓名、出生日期、身份證號碼、個人生物識別信息、住址、電話號碼等。政府數據：是指人民政府及其行政機關在依法履行職責過程中產生或獲取的，以一定形式記錄、保存的各類數據資源。

政府數據、企業數據、個人數據之間存在交集和相關性。政府和企業之間共享數據時，不可避免的會含有個人數據，因此，在共享數據時不僅要注意保護國家秘密、商業秘密，特別要保護個人隱私數據，維護公民個人的權利。

參與數據共享的相關責任主體可以定義為五種角色，包括：數據提供方、數據使用方、平臺管理方、服務提供方和監管方。數據提供方：指生產或收集數據，并提供數據進行共享的各類相關主體，包括各政務部門或企業。數據使用方：指通過數據共享獲取、應用共享數據的各政務部門或企業。平臺管理方：指負責建設、管理和運營數據共享平臺，在數據開放和數據交易中為數據提供方和使用方提供平臺服務的政務部門或企業。服務提供方：指為數據提供方、使用方或平臺管理方提供數據存儲、數據分析處理、數據安全保障、數據保護能力測評等技術和安全服務，對平臺管理方的工作提供支撐的企業或專業機構。監管方：指依照國家法律法規和政策文件的授權，對政府與企業間數據共享進行指導、監督管理的政府部門，包括網信、公安、安全、保密等部門。政府與企業之間共享數據的方式主要分為三種，一是數據開放，二是數據交換，三是數據交易。下面針對三種數據共享方式分別描述相關方的權責和義務。數據開放。數據開放是指數據提供方通過數據開放平臺為數據使用方提供開放數據資源的在線檢索、下載及調用等服務。

數據提供方確保所提供的開放數據準確有效、及時更新和安全可靠。提供方應依據相關法律法規對數據進行脫敏后進行開放。

平臺管理方負責對數據開放平臺進行管理、維護和安全保障工作，對開放數據進行清洗、審核、編目、歸集、存儲、提供等工作，對數據提供和數據使用活動進行記錄。服務提供方為數據提供方和平臺管理方提供技術和服務支撐工作，遵守并配合平臺管理方的相關規定和工作。具備相關安全測評資質的服務提供方可作為第三方向平臺管理方提供數據安全保護能力測評服務。監管方負責制定數據開放管理制度、數據監管規則以及數據依申請開放的協調機制。在責任主體間產生沖突時進行協調和仲裁。依法進行數據安全審查、安全檢查和違法違規行為的處罰，組織對重大數據安全事件的調查和處置。數據提供方授權使用方獲得數據資源，一般通過數據共享交換簽訂協議來明確數據使用范圍、權限、使用方式、知識產權及安全保護等要求。提供方應確保所提供的數據準確有效、及時更新和安全可靠，并依據相關法律法規要求對數據進行脫敏后進行交換。

數據使用方需要在授權范圍內獲取和使用數據，并采取措施，確保交換數據不丟失、不泄露、不被未授權讀取或擴大使用范圍。服務提供方為數據提供方和數據使用方提供技術和服務支撐工作，如數據整理、數據脫敏、數據接口定制等。必要時，數據提供方可請具備相關安全測評資質的服務提供方對數據使用方的數據安全保護能力進行測評。

監管方依照國家法律法規和政策文件的授權，對政府與企業間的數據交換工作進行指導和安全監管。在責任主體間產生沖突時進行協調和仲裁。依法進行數據安全審查、安全檢查和違法違規行為的處罰，組織對重大數據安全事件的調查和處置。

數據提供方應具備交易數據的知識產權，并保證數據準確有效、及時更新和安全可靠。數據提供方按照相關制度和交易規則，以及市場供求情況進行數據定價。數據提供方應根據國家相關保密法規要求以及個人隱私保護相關規定進行數據脫敏后進行交易。數據使用方需要在合法授權范圍內使用數據，并采取措施，確保交易數據不丟失、不泄露、不被未授權讀取或擴大使用范圍。

平臺管理方負責數據交易平臺的運營、管理和維護工作，對落地的交易數據進行清洗、審核、編目、歸集、存儲、提供等工作，對交易雙方的資質進行審核，制定數據交易規則、安全管理制度，對數據交易活動進行記錄，可以有償提供數據分析、數據關聯整合等服務。

服務提供方為數據提供方、數據使用方及平臺管理方提供技術和服務支撐工作，遵守并配合平臺管理方的相關規定和工作。具備相關安全測評資質的服務提供方可為平臺管理方提供數據安全保護能力測評服務。

監管方依照國家法律法規和政策文件的授權，對政府與企業間的數據交易活動進行指導和安全監管。在責任主體間產生沖突時進行協調和仲裁。依法進行數據安全審查、安全檢查和違法違規行為的處罰，組織對重大數據安全事件的調查和處置。

國內的數據共享雖然取得了一定的成果，但是依舊存在許多問題需要解決。在國內數據的共享交換、交易流通過程中，存在以下問題：

一是法律法規不完善。數據共享過程中存在數據擁有者與管理者不同、數據所有權和使用權分離的情況，即數據會脫離數據提供方的控制而存在，從而會帶來數據濫用、權屬不明確、安全監管責任不清晰等法律制度的挑戰。二是行業發展不規范。國內數據共享行業仍處于起步發展階段，也缺少國家層面的標準規范，政府部門、企業、社會組織等開展數據共享的時候缺少相關文件指導，容易各自發展自成體系，同時數據共享行業缺乏監管，不利于行業的健康發展。三是數據共享不積極。和國外數據資源主要集中在企業手中不同，國內的數據資源80%集中在政府部門。由于認識不到數據共享開放的價值、缺乏開放數據的動力，各部門企業不愿意共享開放;由于缺乏相關的法規文件，擔心出現問題后責任認定不清，各部門企業不敢共享開放;由于行業的技術比較落后，缺少相應的實踐，各部門企業不會共享開放。

國外對數據開放共享安全

治理的經驗借鑒

近些年來，歐盟、美國等國家紛紛出臺數據保護立法，例如歐盟的《通用數據保護條例》、美國的《加州消費者隱私法案》、日本的《個人信息保護法》等等。綜合看來，國外立法主要有如下特點：

法律對數據共享的管轄從“屬地”擴展到“屬人”。國外法律規定的管轄對象不僅包括在境內成立的機構，還包括一部分在境外成立的機構，只要其在提供產品或者服務的過程中（不論是否收費）處理了境內個體的個人數據;無論通信、記錄或其他信息是否存儲在境內，服務提供者均應當按照義務要求進行保存、備份、披露，只要上述數據為該服務提供者所擁有、監管或控制。國外法律對數據共享的管轄范圍從“屬地”擴展到“屬人”既是對數據保護范圍的擴大也是對數據主權的擴張。

明確了數據共享參與主體的權責。國外法律對數據共享的參與角色進行了明確的劃分，同時對各參與角色的權力和責任作出說明，例如明確個人對其個人信息所有的權力，要求企業在內部建立完善的問責機制，確保其員工能夠遵守有關保密的要求，不得對處理的數據進行二次分包等。國外法律明確數據共享參與主體的權責可以確定數據共享活動中各方的權力和責任，便于監管。

對個人信息有完善的保護。國外法律明確了個人對于其個人信息具有的權利，例如知情權、訪問權、反對權、個人數據可攜權、被遺忘權等權利，對數據控制者和處理者規定了其必須遵守的制度和履行的義務，甚至對教育等專項個人信息專門立法進行保護，成立相應的數據安全管理部門來開展個人信息保護工作，加大對個人信息保護的力度。國外針對公民個人權利和個人信息有明確的立法，對個人信息提出嚴格的保護要求，建立相應的機構，從各個方面加強個人信息保護。

對數據跨境傳輸提出明確的安全要求。國外法律規定服務提供者應當按照義務要求保存、備份、披露個人信息，只要涉及境內公民的個人信息為該服務提供者所擁有、監管或控制，不考慮服務提供者將信息存儲在境內還是境外;公民個人數據不得轉移至不能達到與本國同等保護水平的國家，并給出跨境數據傳輸的合法途徑和要求，保障了數據跨境傳輸共享的安全。

對違法行為進行嚴厲處罰。國外法律尤其是歐盟的GDPR對數據違法行為作出嚴厲處罰，針對不同程度的違法行為分兩檔進行處罰。對沒有實施充分的IT安全保障措施、沒有提供全面的透明的隱私政策、沒有簽訂書面的數據處理協議等違法行為，處1000萬歐元或者上一年度全球營收的2%的罰金，兩者取其高。國外法律對違法行為作出嚴厲處罰，有利于推動企業在進行數據相關活動過程中依法對數據進行充分的安全保障。