工業(yè)數據流通 數據交易實施規(guī)范

ICS25.040.40CCSL7021遼寧省市場監(jiān)督管理局發(fā)布IDB21/T3894—2023前言 2規(guī)范性引用文件 3術語和定義 4交易標的 4.1概述 4.2合規(guī)性要求 4.3質量要求 5交易主體要求 5.1數據供方要求 5.2數據需方要求 5.3數據交易服務機構要求 6數據交易服務平臺要求 6.1基本要求 6.2擴展要求 7交易實施 7.1標的掛牌 7.2交易磋商 7.3合規(guī)評估 7.4數據交付 7.5支付清算 7.6售后服務 8安全要求 8.1交易過程可追溯要求 8.2跨境交易 附錄A（資料性）交易標的類型 7附錄B（資料性）交易標的定價方法 9參考文獻 DB21/T3894—2023本文件按照GB/T1.1-2020《標準化工作導則第1部分：標準化文件的結構和起草規(guī)則》的規(guī)定起請注意本文件的某些內容可能涉及專利。本文件的發(fā)布機構不承擔識別專利的責任。本文件由遼寧省工業(yè)和信息化廳提出并歸口。本文件起草單位：沈陽華睿博信息技術有限公司、上海數據交易所、國家計算機網絡應急技術處理協調中心遼寧分中心、遼寧艾特斯智能交通技術有限公司、東北大學、遼寧職業(yè)學院、遼寧省大數據管理中心、北京賽迪時代信息產業(yè)股份有限公司、遼寧省先進裝備制造業(yè)基地建設工程中心。本文件主要起草人：邵華、申翔宇、李凱、黃書鵬、王宇飛、宋憲輝、譚振華、王義剛、楊成實、張翔宇、魏國偉、劉洋。本文件發(fā)布實施后，任何單位和個人如有問題和意見建議，均可以通過來電和來函等方式進行反饋，我們將及時答復并認真處理，根據實際情況依法進行評估及復審。歸口管理部門通信地址：沈陽市遼寧省沈陽市皇姑區(qū)北陵大街45-2號。歸口管理部門聯系電話文件起草單位通訊地址：遼寧省沈陽市和平區(qū)青年大街386號華陽國際大廈2396。文件起草單位聯系電話1DB21/T3894—2023工業(yè)數據流通數據交易實施規(guī)范本文件規(guī)定了工業(yè)數據交易標的、交易主體要求、數據交易服務平臺要求、交易實施及交易安全等方面的內容。本文件適用于工業(yè)數據的交易實施。2規(guī)范性引用文件下列文件中的內容通過文中的規(guī)范性引用而構成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T22239-2019信息安全技術網絡安全等級保護基本要求GB/T35273-2020信息安全技術個人信息安全規(guī)范GB/T37728-2019信息技術數據交易服務平臺通用功能要求GB/T37932-2019信息安全技術數據交易服務安全要求GB/T37988-2019信息安全技術數據安全能力成熟度模型GB/T39400-2020工業(yè)數據質量通用技術規(guī)范3術語和定義下列術語和定義適用于本文件。3.1數據供方datasupplier數據交易中提供數據的組織機構。[來源:GB/T37932-2019，3.2]3.2數據需方dataacquirer數據交易中購買和使用數據的組織機構。[來源:GB/T37932-2019，3.3]3.3數據交易datatransaction數據供方和需方之間以數據商品作為交易對象，進行的以貨幣或貨幣等價物交換數據商品的行為。注2：數據交易包括以大數據或其衍生品作為數據商品的數據交易，也包括以傳統數據或其衍生品作為數據商品的[來源:GB/T37932-2019，3.1]3.4數據交易服務機構datatransactionservice2DB21/T3894—2023為數據供需雙方提供數據交易服務的組織機構。[來源:GB/T37932-2019，3.5]3.5數據交易服務平臺datatransactionserviceplatform為數據交易提供各項服務的信息化平臺。[來源:GB/T37932-2019，3.6]3.6數據流通datacirculation數據及數據產品在不同實體間流轉的行為。4交易標的4.1概述交易標的類型見附錄A，交易標的定價方法見附錄B。4.2合規(guī)性要求交易標的應按照《工業(yè)數據流通合規(guī)性檢查規(guī)范》進行合規(guī)性檢查。4.3質量要求交易標的應按照GB/T39400-2020進行質量控制，并有相應的數據質量報告。5交易主體要求5.1數據供方要求數據供方應符合以下要求：a）為三年內無重大數據類違法違規(guī)記錄的合法組織機構；b）完成在數據交易服務機構的注冊與審核，遵守數據交易服務機構的管理制度；c）按照GB/T37932-2019中5.1d）的要求，向數據交易服務機構提供書面的安全承諾；d）協助數據需方進行交易標的權屬轉移及其他必要的或者約定的后續(xù)工作。5.2數據需方要求數據需方應符合以下要求：a）為三年內無重大數據類違法違規(guī)記錄的合法組織機構；b）完成在數據交易服務機構的注冊與審核，遵守數據交易服務機構的管理制度；c）向數據交易服務機構提供書面的交易標的使用承諾，明確界定交易標的需求內容、用途等；d）按照GB/T37932-2019中5.2d）的要求，向數據交易服務機構提供書面的安全承諾；e）應及時按照相關規(guī)定銷毀交易標的，并妥善保管銷毀證明或記錄。5.3數據交易服務機構要求數據交易服務機構應符合以下要求：a）已取得行政或主管部門的授權或許可；b）為三年內無重大數據類違法違規(guī)記錄的合法組織機構；3DB21/T3894—2023c）為境內注冊的組織機構，至少滿足GB/T37988-2019中的三級要求；d）應對交易過程中所涉及的數據資源嚴格保密，不得使用、泄露、出售或者非法向他人提供，未經數據供方授權，不得留存所交易的數據資源；e）應要求數據供方和數據需方提交其身份、地址、聯系方式、行政許可等信息，并進行核驗、登記，建立登記檔案，并定期核驗更新；f）應設立數據安全負責人和管理機構，落實數據安全保護責任，依照相關法律法規(guī)和國家標準的強制性要求，建立全流程數據交易安全管理制度，定期組織開展數據安全教育培訓，采取相應的技術措施和其他必要措施，確保數據交易安全。6數據交易服務平臺要求6.1基本要求數據交易服務平臺應符合以下要求：a）功能至少滿足GB/T37728-2019的基本要求；b）在境內部署，至少符合GB/T22239-2019中第三級的相關安全要求；c）提供對數據泄露進行處置的緊急預案，并報上級管理部門備案，定期演練；d）應使用國家密碼管理主管部門認證核準的密碼技術和產品，按要求開展密碼應用安全性評估；e）應當依據相關法律法規(guī)建立健全網絡安全等級保護制度和全流程數據安全管理制度，并根據需要支持數據存儲、加密、銷毀、存取控制，以及數據庫、中間件、數據接口等功能，為數據供需雙方開展數據交易提供運行環(huán)境和技術支撐。6.2擴展要求數據交易服務平臺擴展要求參考GB/T37728-2019和GB/T37932-2019。7交易實施7.1標的掛牌7.1.1標的掛牌前應對數據進行準備和清洗，包括對數據進行整理、清洗、脫敏等處理，確保數據的質量和安全性。7.1.2標的掛牌前應對數據的價值進行評估，評估宜基于數據的特征、歷史價值、市場需求等方面進行，以確定合理的掛牌價格。7.1.3在掛牌之前，應向相關機構或平臺申請掛牌。通常進行填寫相關表格、提交掛牌申請文件等步驟。7.1.4在掛牌過程中，應對數據進行加密、權限控制、防止數據泄露等措施，以保護數據的隱私和安全性。7.1.5在進行數據交易掛牌時，通常需要支付包括平臺使用費、掛牌手續(xù)費等相關掛牌費用。7.2交易磋商7.2.1數據供方應明確說明交易標的的來源、內容、權屬情況和使用范圍，提供對交易標的的描述信息和樣本數據。7.2.2數據需方應披露數據需求內容、數據用途。7.2.3數據交易服務機構應對數據供需雙方披露的信息進行審核，督促雙方依法及時、準確地披露信4DB21/T3894—20237.2.4數據供需雙方應對交易標的的用途、使用范圍、交易方式和使用期限等進行協商和約定，形成交易訂單。7.2.5數據交易服務機構應對交易訂單進行審核，確保交易訂單符合相關要求，并對審核通過的訂單進行備案。7.3合規(guī)評估7.3.1數據交易服務平臺應對數據供需雙方的交易資質進行評估，數據供需雙方應分別符合本文件5.1、5.2中的要求，避免數據交易過程中出現風險。7.3.2數據交易服務平臺應通過公開數據收集、自行生產、間接獲取、直接采集等方式對交易標的數據來源進行合規(guī)性分析，數據供方應提供第三方出具的合規(guī)性評估證明。7.3.3數據交易服務平臺應根據GB/T37932-2019中6.1的要求對數據的可交易性進行評估，應明確數據產品權屬。7.3.4數據交易服務平臺應對數據的使用和場景做相應的評估，數據供方應明確數據使用條件和約束機制，即提供“使用說明書”。7.4數據交付7.4.1基本要求數據交易服務機構應與數據供方和數據需方簽訂三方合同，明確數據內容、數據用途、數據質量、交付方式、交易金額、交易參與方安全責任、保密條款等內容。如發(fā)現數據交易存在違法違規(guī)情形，數據交易服務機構應當依法采取必要的處置措施，并向有關主管部門報告。7.4.2交付方式交付方式包括但不限于：數據終端、數據文件、數據接口服務、多方數據計算服務及數據應用服務等方式。a）數據終端：開發(fā)專用應用程序供用戶下載封閉式使用。b）數據文件：生成的數據集文件，通常以EXCEL、CSV、TXT、壓縮包等形式對外提供。c）數據接口服務：通過HTTP請求查詢條件，將滿足要求的數據通過XML或JSON的形式返回。d）多方數據計算服務：采用數據加密技術保護原始數據，采用多方計算實現數據的密文計算，數據交互全流程加密留痕，在保證數據安全的前提下實現數據流通。e）數據應用服務：接受客戶委托，進行針對性的基于數據的應用定制服務。7.4.3交付流程數據交付流程如下：a）供需雙方應在合同中約定數據的交付方式，確保雙方對交付方式的選擇達成一致；b）數據供方應根據交易合同的要求，對數據進行準備和整理，包括對數據進行清洗、脫敏、轉換等處理，確保數據的質量和準確性；c）數據供方將準備好的數據進行打包和加密，宜通過加密算法和密鑰管理等措施，以確保數據在傳輸過程中的安全性和完整性；d）數據供方應使用約定的交付方式，將加密后的數據傳輸給買方；e）數據需方接收到數據后，進行數據的接收驗證，并進行解密操作以恢復原始數據；f）數據需方對接收到的數據進行驗收，比較數據與合同約定的內容和要求是否一致，若一致，數據需方可以確認數據交付的完成；g）數據需方在接收到數據后，應及時進行數據備份和存儲，以確保數據的安全性和可用性。7.5支付清算5DB21/T3894—20237.5.1數據需方應在交易合同約定的期限內，通過數據交易服務平臺或數據供方和數據需方認可的其他方式完成支付。7.5.2通過數據交易服務平臺進行交易支付的，數據交易服務平臺宜給出交易手續(xù)費相關信息，且應保存支付信息。7.6售后服務7.6.1數據供方和數據需方可通過數據交易服務平臺，對交易過程和服務質量進行評價，評價信息應在數據交易服務平臺上展現。7.6.2數據交易服務機構應建立投訴機制，支持電話投訴、郵件投訴、在線投訴等方式。7.6.3數據交易服務機構應對投訴記錄和反饋結果進行保存，投訴記錄和反饋結果可通過數據交易服務平臺查詢、追溯。7.6.4數據交易服務機構宜與當地仲裁機構聯合設立爭議解決機制，制定并公示爭議解決規(guī)則，根據自愿原則，公平、公正解決數據供需雙方的爭議。7.6.5交易主體間產生爭議時，可以向數據交易服務機構申請調解，也可以依法向數據仲裁機構申請仲裁或向人民法院提起訴訟。8安全要求8.1交易過程可追溯要求8.1.1數據交易服務機構要求數據交易服務機構滿足以下要求：a）建立和保存包括數據資源審核記錄、身份核驗記錄、數據傳輸過程記錄、數據交換記錄及數據銷毀記錄等；b）提供交易日志，包括且不限于交易時間、交易主體、交易對象、交易數據標識、敏感數據標簽、交易結果等；c）采取必要措施對交易日志妥善保存，防止未授權的更改或刪除，如權限控制、異機備份等；d）提供交易日志訪問接口給監(jiān)管部門或第三方審計機構。8.1.2數據供方要求數據供方應建立和保存包括數據來源記錄、數據分類記錄、數據脫敏記錄、數據質量核驗記錄及數據交付記錄等。8.1.3數據需方要求數據需方獲取數據供方數據后，不可私自將供方數據進行二次交易。數據需方應建立和保存數據接收記錄、數據質量認定記錄、數據使用記錄及數據銷毀記錄等。8.2跨境交易8.2.1跨境交易場景數據跨境交易主要包括以下場景：a）將在境內運營中收集和產生的數據傳輸、存儲至境外；b）收集和產生的數據存儲在境內，境外的機構、組織或者個人可以訪問或者調用。8.2.2風險評估要求6DB21/T3894—2023數據交易服務機構應從以下角度進行數據跨境交易風險評估：a）數據角度：包括規(guī)模、范圍、種類、敏感程度和潛在風險，其中：1）涉及個人數據的，向個人告知境外數據需方的名稱、聯系方式、出境目的、出境方式、個人信息種類及個人向境外數據需方行使權利的方式和程序等，并取得個人明示同意；2）涉及企業(yè)數據的，向企業(yè)告知境外數據需方的名稱、聯系方式、出境目的、出境方式、企業(yè)數據種類及企業(yè)向境外數據需方行使權利的方式和程序等，并取得企業(yè)明示同意。b）行為角度：包括數據出境的目的、范圍、方式等是否合法，是否符合最小必要原則；c）境外數據需方角度：境外數據需方當地的保護政策及保護水平是否國內數據流通的相關要求；d）技術保障角度：數據出境過程中及數據出境后，數據安全和個人信息權益保護途徑是否暢通有效，宜檢查使用境外的數據服務商、傳輸鏈路供應商和第三方組件可能引起的潛在數據傳輸鏈路的數據出境風險情況；e）合同及法律角度：與境外數據需方擬訂的合同、協議及相關的法律文件。合同中應至少約定數據出境的目的及方式、境外數據保存情況、境外數據再轉移、不可抗力、其他違約或侵權事宜及其解決途徑、方式。8.2.3管理要求數據交易服務機構應按相關規(guī)定向數據出境安全相關主管部門申報數據出境安全評估。數據交易服務機構、數據供方和境外數據需方訂立的法律文件中應明確約定數據安全保護責任義務，至少包括以下內容：a）數據出境的目的、方式和數據范圍，境外接收方處理數據的用途、方式等；b）數據在境外保存地點、期限，以及達到保存期限、完成約定目的或者法律文件終止后出境數據的處理措施；c）對于境外需方將出境數據再轉移給其他組織、個人的約束性要求；d）境外數據需方在實際控制權或者經營范圍發(fā)生實質性變化，或者所在國家、地區(qū)數據安全保護政策法規(guī)和網絡安全環(huán)境發(fā)生變化，以及發(fā)生其他不可抗力情形，導致難以保障數據安全時，應當采取的安全措施；e）違反法律文件約定的數據安全保護義務的補救措施