电信和互联网行业数据共享安全管理初探

目录

0 引言

1 国外数据共享安全管理实践

1.1 欧盟

1.1.1 搭建数据共享信任机制

1.1.2 建立数据共享的前期规划和合同指南

1.1.3 优先推进非个人数据的自由流通

1.2 美国

1.3 英国

1.4 澳大利亚

1.5 新加坡

1.6 小结

2 我国数据共享安全管理实践

3 推进行业数据共享安全管理的思考与建议

3.1 推进行业数据共享安全政策法规制定

3.2 配套建立数据共享安全监管机制

3.3 统筹规划制定数据共享相关行业标准

3.4 提升数据共享安全的技术能力

3.5 积极推进数据共享安全产业发展

4 结束语

---

摘要

从明确数据共享的基本概念、角色出发,分析主要国家和地区数据共享管理现状,探究其数据共享管理目标定位、关键因素等存在的区别与联系,对我国数据共享管理情况进行分析研究。根据数据共享基本情况、国际管理经验、我国现状,提出电信和互联网行业数据共享管理总体思路和建议。

关键词： 电信和互联网; 数据共享; 安全管理

0 引言

近年来,数字经济快速发展,数据作为基础性战略资源和关键性生产要素[1],对全球生产、流通、消费以及经济运行机制、社会生活方式和国家治理能力日益产生深远影响。据测算,2022年我国数字经济规模达到50.2万亿元,同比名义增长10.3%,已连续11年显著高于同期GDP名义增速,数字经济占GDP比重相当于第二产业占国民经济的比重,达到41.5%[2],数字经济地位愈发突出。

数据共享是实现数据价值释放的关键。通过数据资源流通,可以破除“数据孤岛”,有效支撑数据应用的快速发展,发挥数据要素对数字经济的放大、叠加和倍增作用。电信和互联网行业在数据规模、覆盖范围、存储和传输能力等方面价值突出,随着行业应用的快速发展和推进,企业数据的融汇分析、企业上下游的合作等推动数据共享的需求日益增长。而企业数据的共享也存在现实困境——如何合法合规共享数据、如何约束共享各方行为、如何构建技术配套保障措施等成为摆在企业面前的难题,亟需相关部门加强指导和管理。本文聚焦行业企业间的数据共享,通过对国内外数据共享安全管理趋势和行业数据共享现状的分析研判,提出管理思路和应对策略。

本文结合数据共享主体和过程两大要素,并参考已有研究[3],将数据共享定义为企业将其依法产出、实际控制或赋值的数据,通过传输等方式使其他主体可使用的行为。在此基础上,数据共享安全有三层含义:一是共享的数据合法合规;二是数据共享过程中数据未泄露;三是数据共享后数据未滥用。数据共享角色可分为数据提供方、数据使用方、数据共享第三方服务提供者(简称“数据共享第三方”)。数据提供方指生产或收集数据,并提供数据进行共享的相关企业。数据使用方指通过数据共享获取或应用共享数据的相关企业。数据共享第三方指为共享各方提供数据存储、数据分析处理、安全保障等技术和服务的相关企业或专业机构。

1 国外数据共享安全管理实践

数据共享是数据开发利用的重要环节,欧盟、美国、英国、澳大利亚、新加坡等国家和地区普遍关注数据共享,但均处于探索阶段,暂未推出管理性文件专门保障数据共享活动中的安全,涉及个人信息的共享活动需要遵守相关国家及地区的个人信息保护政策法规相关要求。上述国家及地区从促进数据流通和价值有效释放的角度,通过发布政策指南、合同指引等,为企业提供可参考的数据共享行为范本,鼓励相关主体采取规范的方式进行数据共享,避免不正当竞争和纠纷。

1.1 欧盟

欧盟基于数字化单一市场战略,着力从单一市场构建视角对数据共享实施安全管理,以制定欧盟个人数据保护相关法律、数字市场规则等方式,搭建数据共享区域总体法律管理框架。

1.1.1 搭建数据共享信任机制

2022年4月6日,欧洲议会正式通过《数据治理法》,旨在促进各部门和成员国之间的数据共享,其主要内容是搭建三个数据共享架构:数据中介模式、数据利他主义制度和公共部门数据再利用机制。

《数据治理法》力图搭建中立和透明的数据中介模式,此数据中介概念与本文所定义的数据共享第三方具有共同点,其服务范围包括三大类,一是法人、数据持有人和潜在数据用户之间的中介服务;二是提供个人数据的数据主体与潜在数据用户之间的中介服务;三是数据合作社的服务,代表数据主体就数据处理条件、目的进行谈判。可见,数据中介既可处理企业数据,又可处理个人数据;既作为中立第三方提供数据共享技术服务,又直接代表数据主体介入数据共享过程。

为了增强对数据中介的信任,促进数据共享,《数据治理法》详细规定了数据中介机构进行数据共享的限制,并采取措施确保数据中介机构在欧洲公共数据空间内作为可靠的数据共享或汇集组织者发挥作用。一是主管部门以备案方式加强对数据中介的管理。数据中介从事数据共享服务,须向主管部门提交自身基本信息和从事数据共享服务的情况。二是规定数据中介提供数据共享服务的条件。数据中介只能作为连接数据持有者和数据用户的中立第三方发挥作用,为了确保这种中立性,《数据治理法》明确规定数据共享中介不能自行处理数据或者为自身利益使用这些数据,必须严格遵守相应规定。三是主管部门对数据中介的合规情况进行监管。主管部门有权要求数据中介提供所有必要的信息,以核实是否符合规定。处罚措施包括劝阻性经济处罚、停止或推迟其数据共享服务。

数据利他主义制度指数据主体基于公共利益同意处理与其相关的个人数据,或允许其他数据持有人使用其非个人数据且无须向其支付报酬。主管部门以类似认证的方式管理数据利他主义机构。符合登记要求可加入“受认可的欧盟数据利他组织”登记册,在册实体可自称为受认可的欧盟数据利他组织。相应地,相关数据利他机构需保持透明度,对处理数据的自然人或法人、处理日期、处理目的等保留完整准确的记录;向主管部门提交年度活动报告。主管机构监督登记册内实体,一旦发现不合规情况将对其进行处罚。