大數據領域國內外立法及中國國家標準推進情況綜述

劉瑩瑩 史江峰

一、引言

2020 年4 月9 日，中共中央、國務院印發了《關于構建更加完善的要素市場化配置體制機制的意見》，其中，數據被首次列為與土地、勞動力、資本、技術相并列的生產要素。隨著數據應用領域的不斷擴展，數據又被稱為“21 世紀的石油”。然而，在數據被廣泛應用于多個領域的過程中，對數據的采集、傳輸、標記、存儲、分析處理、管理、呈現等環節逐漸顯現出了權屬不清、無法可依等亂象，因此，通過立法保護個人權益并規范數據在多個環節的使用和處理，成為推動數字經濟更好發展的一項必須的任務；同時，由于各種大數據產品被應用于各行各業，因此，急需通過標準化的途徑規范認知，整合資源，促進各方達成共識，為中國大數據產業的健康發展打下基礎，為數據安全應用提供保障。

二、大數據領域國外立法情況概述

為了解及對比國際上對數據保護的相關政策，本文對歐盟及美國大數據領域立法情況進行了簡單的梳理。

（一）歐盟

為了保護個人數據隱私，歐盟于2016 年4 月14日出臺制定了《通用數據保護條例》（General Data Protection Regulation，GDPR），該條例設置了兩年的緩沖期，并于2018 年5 月28 日正式生效，可以直接適用于歐盟各個成員國。

GDPR 是一項比較全面的法律，其賦予了歐盟居民更多的個人數據控制權，并試圖澄清在線服務對歐洲用戶使用的規則和責任。歐盟的每個成員國都可以有自己的GDPR 執行機制。除了歐盟的公司以外，GDPR 面向所有收集、處理或管理歐盟成員國公民個人信息的組織，其限制了這些組織收集與處理用戶個人信息的權限，因此，從實質上來看，該條例為個人數據處理和保護設定了一個相對嚴格的統一標準①歐盟新數據保護法詳解：與你我也有關，https://baijiahao.baidu.com/s?id=1601422824638867312&wfr=spider&for=pc&searchword=%E6%AC%A7%E7%9B%9F%E6%95%B0%E6%8D%AE%E4%BF%9D%E6%8A%A4%E6%B3%95，2018 年5 月25 日。。GDPR 保護廣泛的個人數據，例如，不僅可以保護姓名、電話等個人的直接信息，也可以保護個人的網絡信息和間接信息。GDPR 規定了企業必須將保護個人信息和數據融入到產品的最初設計和公司的日常運營中，要求使用數據的數據擁有者以及處理數據的數據處理者都要承擔合規風險和義務，并規定企業必須獲得數據提供者關于某明確合法用途的授權，以及出示數據獲取方法的證明。GDPR 保護消費者權益并且設立了嚴格的處罰機制，其對未成年人還具有特殊保護政策，要求必須經過監護人的同意才能處理16 歲及以下兒童的個人信息②解讀歐盟通用數據保護條例(GDPR)，https://www.sohu.com/a/233200887_463913，2018 年5 月28 日。。

為了保證GDPR 的適用性和標準執行的一致性，歐盟數據保護委員會（EDPB）在2020 年發布了數個包括新冠疫情、新技術、個人數據傳輸等與數據保護相關的通用指南，具體有《車聯網個人數據保護指南》《公共機構間個人數據傳輸指南》《關于新冠疫情中為科學研究目的處理健康數據的指南》《關于在新冠疫情中使用位置數據和接觸追蹤工具的指南》《關于GDPR 中有關同意的指南》《關于〈支付服務指令II〉和GDPR 協調適用關系的指南》《關于GDPR 中控制者和處理者概念的指南》《關于針對社交媒體用戶提供定向服務的指南》《關于GDPR 中“相關且合理異議”的指南》《關于GDPR 第23 條限制主體權利的指南》《關于確保符合歐盟個人數據保護水平而采取數據跨境傳輸工具補充措施的建議》《關于通過視頻設備處理個人數據的指南》《關于GDPR 搜索引擎案件中被遺忘權認定標準的指南》和《關于 GDPR 第25 條的設計和默認隱私保護指南2.0》③歐盟數據保護委員會（EDPB）在2020 年都發布了哪些指南？劉笑岑，“互聯網mate”微信公眾號，2021 年6 月5 日。。

2002 年，歐盟委員會發布了《電子隱私指令》（ePD），并于2009 年對ePD 做了最后一次的修訂。2017 年1 月，歐盟委員會發布了《電子隱私條例》（ePR）草案，該草案的目的是希望可以將ePD 轉變為法規。后續歐洲理事會對文本進行了很多次的修改，最終在2021 年2 月10 日，常駐代表委員會通過了《ePR 提案》，這是迄今為止文本的第14 個草案?，F在，輪值主席國葡萄牙將開始與歐洲議會就電子PR的最終文本進行談判④下一代隱私：審視歐盟電子隱私條例（EU’ s ePrivacy Regulation，ePR），何淵，“數據法盟”微信公眾號，2021 年3 月8 日。。

為了使歐盟成為世界上最具吸引力、競爭力和最安全的數字經濟體，歐盟委員會在2020 年2 月19日發布了《歐洲數據戰略》的總體規劃。2020 年11月25 日，歐盟委員會通過了歐盟《數據治理法》草案，該草案是在《歐洲數據戰略》規劃下公布的第一個成果，其目的是在歐洲共同數據空間的政策下，通過增加對數據中介機構的信任，并通過加強整個歐盟的數據共享機制，來為公共數據的二次利用建立一個統一的架構。2020 年12 月15 日，歐盟公布了《數字服務法》（Digital Service Act,DSA）和《數字市場法》（Digital Market Act,DMA）兩部草案。其中，《數字服務法》更新了歐盟現有的《電子商務指令》，對向歐盟用戶提供服務的在線中介服務提供者的法律責任和義務制定了新規則?！稊底质袌龇ā穭t從業務規模、用戶數量和預期地位來判斷對歐盟內部市場有影響的平臺是否是“守門人”，強調了對“守門人”要增強監管，以防止科技巨頭差異化地對待企業和消費者，并遏制大型網絡平臺的不良競爭行為。

2021 年4 月21 日，歐盟委員會公布了制定關于人工智能的統一規則并修正了一些聯盟立法法案的條例，其中，大部分內容側重于高風險的人工智能系統。上述內容是歐盟委員會及其顧問幾年來準備工作的結果，包括發表了一份“人工智能白皮書”，是歐盟委員會在歐洲數據戰略中的一個關鍵部分⑤重磅！歐盟全新《人工智能法》及配套立法包含哪些內容？，何淵，“數據法盟”微信公眾號，2021 年4 月23 日。。

（二）美國

在聯邦層面，1974 年12 月，美國國會通過了《隱私權法》，該法案旨在保護公民隱私權和知情權，具體針對聯邦行政部門收集、利用和保護個人數據等方面做出了規定。

1999 年，美國頒布了《金融服務現代化法》，該法案規定了金融信息的收集、使用和披露的規則，限制了非公開個人信息的披露，數據主體有選擇不共享其信息的自由。

1970 年頒布的《公平信用報告法》與2003 年頒布的《公平準確信用交易法》明確規定了消費者信用信息的使用用途。

2012 年3 月，白宮發布《大數據研究和發展倡議》，并成立了大數據高級指導小組。2013 年11 月，白宮推出“數據-知識-行動”計劃。2014 年5 月，美國總統辦公室提交《大數據：把握機遇，維護價值》政策報告。2015 年，白宮發布報告《大數據：抓住機遇、保持價值觀》。2016 年5 月，白宮發布《聯邦大數據研發戰略計劃》。2016 年7 月，國家科技委員會（NSTC）發布《國家隱私研究戰略》。2016 年10 月，聯邦通信委員會制定了針對網絡服務提供商的隱私條例。

2018 年6 月，作為第一個頒布數據泄露報告法的州，加州立法機構頒布了加州里程碑式的《加州消費者隱私法》（CCPA），該法案為加州的“消費者”賦予了新的數據隱私權，并要求機構遵守其規定的綜合性隱私框架⑥美國保護個人數據隱私的法律法規及監管體系，https://www.163.com/dy/article/ETO4OMOU0514R8DE.html，2019 年11 月11 日。。2020 年11 月3 日，加州通過了《2020 年加州隱私權法》（CPRA），該提案修正并擴展了CCPA，為加州居民確立了新的數據隱私權，對企業和服務提供商施加了新的義務和責任，并將創建一個獨立的數據監管機構，授權其實施加州隱私法并起訴違規行為。CPRA 將于2023 年1 月1 日生效，除一些例外情況外，將適用于2022 年1 月1 日之后由機構收集的加州居民個人信息⑦全網首發-加州隱私權法，何淵，“數據法盟”微信公眾號，2021 年2 月22 日。。

2021 年3 月2 日，美國弗吉尼亞州頒布了《消費者數據保護法》，并且，由于該法案，弗吉尼亞州成為了美國第二個制定全面隱私立法的州。

三、大數據領域國內立法情況概述

（一）國家立法

2016 年11 月7 日，中國頒布《中華人民共和國網絡安全法》（以下簡稱《網絡安全法》），這是中國第一部關于網絡安全的整體性立法。《網絡安全法》維護網絡數據的完整性、保密性、可用性，防止網絡數據的泄漏或者被竊取、篡改，不準提供專門用于危害網絡安全的程序、工具，并且對關鍵信息基礎設施做出了規定，同時規定了重要數據應儲存在境內，未經網信部門或國務院有關部門的安全評估不得跨境傳輸，并要求建立監測預警和應急處置制度，可見，《網絡安全法》明確將數據作為獨立的法益進行保護，規定了公民對個人信息的權利，并且首次提到“重要數據”這一概念，重要數據應儲存于境內，未經審批不得進行跨境流動，這為以后的《中華人民共和國數據安全法》奠定了基礎⑧曾磊，數據跨境流動法律規制的現狀及其應對——以國際規則和中國《數據安全法（草案）》為視角[J]，中國流通經濟，2021(6):96-106.。

2021 年6 月10 日，第十三屆全國人民代表大會常務委員會第二十九次會議通過《中華人民共和國數據安全法》（以下簡稱《數據安全法》），自2021 年9月1 日起施行?！稊祿踩ā钒〝祿踩c發展原則、數據分級分類原則、促進數據跨境安全與自由流動、數據安全相關制度、相關主體的數據安全保護義務、政務數據安全與開放及違法行為的法律責任等內容。在《數據安全法》中，其對數據處理、數據安全均進行了明確定義，提出了建立數據分級分類管理制度，確定重要數據保護目錄，明確政務數據在數字化轉型中起到的重要作用，并明確指示了政務數據的開發利用。

2021 年8 月20 日，第十三屆全國人民代表大會常務委員會第三十次會議通過了《中華人民共和國個人信息保護法》。其中，明確了個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，不包括匿名化處理后的信息，個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開、刪除等。同時，草案中確立了以“告知—同意”為核心的個人信息處理規則，即：處理個人信息應當在事先充分告知的前提下取得個人同意，并且個人有權撤回同意；重要事項發生變更的應當重新取得個人同意；不得以個人不同意為由拒絕提供產品或者服務。

（二）地方條例

根據中國的大數據發展戰略，各個省市政府也相繼出臺了大數據相關條例，積極推動本地的大數據產業發展。

2016 年1 月15 日，貴州省人大常委會通過了《貴州省大數據發展應用促進條例》，這是中國首部大數據地方法規。該條例依據貴州大數據應用的現實需求和發展趨勢，對數據采集、共享開發、權屬、交易、安全以及“云上貴州”等問題作出了規定。

2018 年12 月14 日，天津市人大常委會通過了《天津市促進大數據發展應用條例》，其結合天津市的實際情況，對政務數據、社會數據和數據安全等進行了規定。

2020 年12 月24 日，浙江省人大常委會通過了《浙江省數字經濟促進條例》，明確將重點推進新一代大數據中心、人工智能、區塊鏈等新興數字基礎設施建設，是中國第一部以促進數字經濟發展為主題的地方法規。

2021 年3 月26 日，安徽省人大常委會通過了《安徽省大數據發展條例》，其在數據資源、開發應用、促進措施、安全管理和法律責任方面進行了規定。

2021 年7 月6 日，深圳人大常委會公布了《深圳經濟特區數據條例》，該條例涵蓋了個人數據、公共數據、數據要素市場、數據安全等，是中國數據領域中第一部基礎性、綜合性的立法。

2021 年11 月25 日，上海市人大常委會表決通過《上海市數據條例》。該條例以促進數據利用和產業發展為基本定位，聚焦于數據確權、數據交易和數據安全管理。

2021 年12 月15 日，福建省人大常委會表決通過了《福建省大數據發展條例》，并于2022 年2 月1日起開始施行。該條例從數據資源、基礎設施、發展應用、數據安全、保障措施和法律責任等方面對大數據的發展作出了具體規定。

四、大數據領域的中國國家標準

中國大數據產業高速發展，各級政府和企業大力推進。大數據標準化是大數據產業發展的重要支撐，為進一步發揮大數據領域的標準化作用，促進大數據技術的推廣和應用，同時保證大數據標準化活動有序開展，中國于2014 年12 月2 日成立了全國信標委大數據標準工作組(以下簡稱工作組)，該工作組由工業和信息化部及國家標準化管理委員會共同領導，主要開展大數據標準體系建立、大數據技術和標準研制、推動國際標準化等工作⑨衛風林，張群，尹卓。大數據系統類國家標準研制與應用[J]，信息技術與標準化，2020(7):50-53.，相繼出臺了多項大數據相關的國家標準以及針對特定行業的管理標準。

（一）國家技術標準

2017 年，中國發布了首批大數據領域的國家標準，包括：GB/T 35295-2017《信息技術 大數據術語》和GB/T 35589-2017《信息技術 大數據技術參考模型》。前者針對大數據系統給出了明確的定義，它首先界定出“大數據參考體系結構”的定義，將大數據參考體系結構界定為一種高層概念模型，并對其包含的邏輯功能構件進行了解釋。后者給出了“大數據參考架構”的定義，并以大數據參考架構圖的形式對此概念進行了描述。

2019 年發布的GB/T 37722-2019《信息技術 大數據 存儲與處理系統功能要求》規定了大數據存儲與處理系統由大數據存儲子系統和大數據處理子系統構成。

2019 年發布的GB/T 37721-2019《信息技術 大數據 分析系統功能要求》給出了大數據分析系統的定義：“在大數據存儲和處理系統提供的原始數據和計算框架的基礎上，集成了一系列數據分析生存周期過程中所用工具的系統”⑩同注釋⑨。。其針對大數據分析系統架構中各模塊的功能提出要求，包括數據準備、分析支撐、數據分析和流程編程4 個模塊。

2020 年發布的GB/T 38633-2020《信息技術 大數據系統運維和管理功能要求》規定了大數據系統的運維和管理功能，包括安裝部署、配置管理、租戶管理、監控告警管理、服務管理、健康檢查和日志管理功能的要求。

2020 年發布的GB/T 38673-2020《信息技術 大數據 大數據系統基本要求》標準中，定義了大數據系統框架，將大數據系統劃分為數據收集、數據預處理、數據存儲、數據處理、數據分析、數據訪問、數據可視化、資源管理和系統管理9 個模塊。

（二）行業標準

《信息安全技術 基因識別數據安全要求》為2020年的標準制定項目，國家標準計劃號為20205158-T-469。該標準定義了基因識別數據，并對基因識別數據在各場景各活動中的安全處理及安全管理要求進行了規定，以保障基因識別數據各場景各活動中的安全。

2020 年12 月14 日，信安標委正式發布了《信息安全技術 健康醫療數據安全指南》（GB/T 39725-2020），其對個人健康醫療數據進行了明確定義，將個人健康醫療數據分為6 個類別，并在每個類別下給出了具體范圍，同時，還針對應用于臨床研究的醫藥醫療研發的數據提出了更詳細的去標識化的要求。

2021 年3 月，國家互聯網信息辦公室、工業和信息化部、公安部、國家市場監督管理總局聯合制定了《常見類型移動互聯網應用程序必要個人信息范圍規定》，明確規定了移動互聯網應用程序（App）運營者不得因用戶不同意收集非必要個人信息，而拒絕用戶使用App 基本功能服務。

2021 年4 月28 日，《信息安全技術 網聯汽車 采集數據的安全要求》標準草案發布，規定了網聯汽車采集的數據在傳輸、存儲和跨境等環節的安全要求；適用于規范具有聯網功能的量產乘用車數據處理相關活動，也適用于相關部門、第三方測評機構等組織開展網聯汽車數據處理監管、評估工作。

五、結語

隨著大數據領域的飛速發展，數據安全與治理成為近年來社會關注的焦點問題之一，數據安全與治理的重要目標是提高數據質量和保證數據安全性，推進信息資源的整合、對接和共享。對大數據領域國內外立法以及中國國家標準推進概況進行梳理分析，有助于我們更好地基于專利保護制度進行數據合規審查。一方面，對數據采集的法律法規深入研究，明確專利法第5 條的相關審查規則,從專利制度層面保護公眾的合法權益，讓技術創新服務于營造良好數字生態，才能促進大數據領域的健康發展；另一方面，加強對大數據領域技術、行業標準相關專利的保護，對提高數據質量、促進產業數字化轉型也有重要意義。

專家點評

本文梳理了歐盟及美國在大數據領域的立法情況，并重點關注了該領域國內立法情況以及國家標準的推進情況，通過國內外政策的橫向對比，有助于運用專利保護制度進行數據合規審查，同時為解決數據安全與治理這一社會關注問題提供一定的法律依據。