【华东政法大学数据法律研究中心】2023数据跨域管控白皮书_62页_2mb

数据跨域管控白皮书总结

核心内容

本白皮书由华东政法大学数据法律研究中心与蚂蚁集团联合发布，旨在探讨数据流通时代的到来及其带来的安全风险，并提出构建适合数据及其价值的跨域管控体系的解决方案。数据作为新的生产要素，其流通对数字经济的发展至关重要，但同时也带来了前所未有的安全挑战，如数据泄露、数据滥用和责任不清等问题。

主要观点

• 数据流通是实现数据价值的关键，但其带来的安全风险远高于传统的数据利用方式。
• 数据具有非排他性、易复制性和难追溯性等特性，使其在流通过程中面临更高的风险。
• 数据流通风险贯穿其全生命周期，从数据传输交付阶段，到数据跨域使用过程，再到数据使用后的责任认定。
• 当前数据流通安全规范尚不完善，数据市场缺乏对跨域过程的有效管控。

关键信息

数据流通场景类型

• 数据交换：双方互易数据使用权，如政府部门之间的数据交换。
• 数据共享：多方共享数据使用和收益，如行业数据空间、政务数据共享。
• 数据交易：以金钱为媒介支付对价的数据使用权交易，是数据要素市场化流通的主要形式。
• 数据开放：数据提供者以无偿或有偿方式对外提供数据使用权，以公共数据为主。

数据流通风险

• 数据泄露风险：数据在跨域过程中可能因外部攻击、人员失误或技术漏洞导致泄露。
• 数据滥用风险：数据在跨域使用过程中可能被越权使用或二次转售，带来安全和法律风险。
• 责任不清风险：由于数据流通链条复杂，数据事故的责任认定困难，导致法律追责链条过长。

数据流通风险防范现状

• 数据持有者安全义务体系不健全：现行法律对数据持有者的义务规定较为分散，缺乏系统化。
• 数据市场缺乏跨域过程管控：目前数据交易所多采用撮合交易模式，对数据交付和使用过程的监管不足。

跨域管控解决方案

• 基本思路：构建技术、法律和管理三位一体的跨域管控体系，实现数据的全生命周期管控。
• 责任主体：包括数据流通主体和数据流通运营者，需明确各自在数据流通过程中的责任。
• 管控机制：结合技术手段（如隐私计算、区块链）、法律手段（如数据使用协议）和管理措施（如数据分类和审计）进行综合管控。
• 技术要求：
  • 数据来源可确认：通过可信远程验证、区块链、数字签名、时间戳和CA证书等技术手段确保数据来源合法。
  • 数据可用不可见：利用多方安全计算、隐私集合求交、匿踪查询、同态加密等技术，实现数据在使用过程中不被直接访问。
  • 数据可算不可识：通过受控匿名化、混淆技术、差分隐私等技术手段，确保数据在计算过程中保持匿名性。
  • 数据使用可界定：采用可信访问控制、可信密态计算等技术手段，明确数据的使用范围和权限。
  • 数据流通可追溯：通过数据标识、数据追踪、可信审计和零知识证明等技术手段，实现数据流通全过程的可追溯性。

数据流通者安全责任

• 数据持有者：需明确数据使用范围、目的及安全义务，如在合同中进行约定，并在发生数据滥用时承担相应责任。
• 数据接受/使用者：需保障数据的合规性和安全性，对数据使用行为负责，并承担因违规使用数据带来的法律责任。
• 数据流通运营者：需制定并执行严格的数据流通和共享政策，履行网络安全等级保护义务，确保数据安全流通。

建议与展望

本白皮书建议构建中国的可信数据流通参考架构，推动数据要素市场的健康发展，实现数据的合规、高效流通使用。通过技术、法律和管理的综合应用，实现数据跨域管控，保障数据安全和合法权益，为数据经济共同体建设奠定基础。