ICS35.240.01CCSL70T/CI646—2024數(shù)據(jù)資產(chǎn)數(shù)據(jù)確權(quán)合規(guī)指南Dataassets—Complianceguidefordataconfirmationandrights2024-12-24發(fā)布2024-12-24實(shí)施中國(guó)國(guó)際科技促進(jìn)會(huì)發(fā)發(fā)出布版ⅠT/CI646—2024前言 Ⅲ1范圍 2規(guī)范性引用文件 3術(shù)語(yǔ)和定義 4數(shù)據(jù)確權(quán)原則 25數(shù)據(jù)主體分類維度的確權(quán)合規(guī) 5.1組織數(shù)據(jù)的確權(quán)合規(guī) 25.2個(gè)人信息的確權(quán)合規(guī) 26數(shù)據(jù)加工程度維度的確權(quán)合規(guī) 6.1原始數(shù)據(jù)的確權(quán)合規(guī) 36.2衍生數(shù)據(jù)的確權(quán)合規(guī) 37數(shù)據(jù)生命周期維度的確權(quán)合規(guī) 7.1數(shù)據(jù)收集環(huán)節(jié)的合規(guī)性考慮 37.2數(shù)據(jù)存儲(chǔ)環(huán)節(jié)的合規(guī)性考慮 47.3加工、使用環(huán)節(jié)的合規(guī)性考慮 47.4流通環(huán)節(jié)合規(guī)性考慮 4附錄A（規(guī)范性）創(chuàng)新性投入的相關(guān)建議 參考文獻(xiàn) T/CI646—2024Ⅲ本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定起草。請(qǐng)注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別專利的責(zé)任。本文件由螞蟻科技集團(tuán)股份有限公司提出。本文件由中國(guó)國(guó)際科技促進(jìn)會(huì)歸口。本文件起草單位：螞蟻科技集團(tuán)股份有限公司、哈爾濱工程大學(xué)電子政務(wù)建模仿真國(guó)家工程實(shí)驗(yàn)室、上海漢盛律師事務(wù)所、北京盈科（太原）律師事務(wù)所、摩達(dá)數(shù)據(jù)策略（西安）有限公司、鄭州數(shù)據(jù)交易中心有限公司、廣州賽寶認(rèn)證中心服務(wù)有限公司、湖北數(shù)據(jù)集團(tuán)有限公司、飛諾門陣（北京）科技有限公司、宣城市大數(shù)據(jù)有限公司、浪潮卓數(shù)大數(shù)據(jù)產(chǎn)業(yè)發(fā)展有限公司、北方自動(dòng)控制技術(shù)研究所、安徽省文化產(chǎn)權(quán)交易所有限公司、陜西瀚光數(shù)字科技有限公司、北京市通商律師事務(wù)所、漳州興政信息科技有限公司、廣州廣電運(yùn)通信息科技有限公司、廣州數(shù)據(jù)交易所有限公司、廣州市數(shù)字政府運(yùn)營(yíng)中心、國(guó)浩律師（成都）事務(wù)所、數(shù)字湖南有限公司、北京小凌泰科科技有限公司、上海數(shù)科（深圳）律師事務(wù)所、陜西省大數(shù)據(jù)集團(tuán)有限公司、東軟集團(tuán)股份有限公司、北京洛斯達(dá)科技發(fā)展有限公司、盤古云鏈（天津）數(shù)字科技有限公司、齊魯云商數(shù)字科技股份有限公司、胥瓷信息科技（蘇州）有限公司、浙江創(chuàng)鄰科技有限公司、中汽信息科技（天津）有限公司、天津市駿銘科技有限公司、揚(yáng)州市數(shù)據(jù)局、數(shù)族科技（南京）股份有限公司、華東江蘇大數(shù)據(jù)交易中心股份有限公司、江蘇無(wú)錫大數(shù)據(jù)交易有限公司、廣州信安數(shù)據(jù)有限公司、山西數(shù)字政府建設(shè)運(yùn)營(yíng)有限公司、中電金信軟件有限公司、西安數(shù)源數(shù)據(jù)科技有限公司、無(wú)錫金可諾格科技有限公司、嘉興市文諾財(cái)經(jīng)大數(shù)據(jù)技術(shù)研究院、華企網(wǎng)聯(lián)資信評(píng)估有限公司、南方電網(wǎng)能源發(fā)展研究院有限責(zé)任公司、深圳市網(wǎng)安計(jì)算機(jī)安全檢測(cè)技術(shù)有限公司、福州市數(shù)字產(chǎn)業(yè)互聯(lián)科技有限責(zé)任公司、國(guó)家工業(yè)信息安全發(fā)展研究中心、中國(guó)工業(yè)互聯(lián)網(wǎng)研究院。本文件主要起草人：趙笑、張曉蒙、王小芳、錫慶海、滿婷婷、金震華、張金才、侯柯南、傅瑜、劉維、葉燁、張海寧、張承業(yè)、魏東、王駿、劉國(guó)棟、李海嘉、侯強(qiáng)、代云、宋燁、張海剛、許強(qiáng)、孔維莉、解景新、T/CI646—2024數(shù)據(jù)資產(chǎn)數(shù)據(jù)確權(quán)合規(guī)指南1本文件提供了各類組織在進(jìn)行數(shù)據(jù)確權(quán)時(shí)的原則和合規(guī)考慮等方面的建議。本文件適用于各類組織在數(shù)據(jù)收集、存儲(chǔ)、加工、使用等數(shù)據(jù)處理過(guò)程中涉及的數(shù)據(jù)確權(quán)活動(dòng)。2規(guī)范性引用文件本文件沒有規(guī)范性引用文件。3術(shù)語(yǔ)和定義下列術(shù)語(yǔ)和定義適用于本文件。組織數(shù)據(jù)organizationdata組織在自身生產(chǎn)經(jīng)營(yíng)活動(dòng)中收集、產(chǎn)生的不涉及個(gè)人信息和公共利益的數(shù)據(jù)。[來(lái)源：GB/T43697—2024，3.9]個(gè)人信息personalinformation以電子或者其他方式記錄的與已識(shí)別或者可識(shí)別的自然人有關(guān)的各種信息記錄，不包括匿名化處理后的信息。敏感個(gè)人信息sensitivepersonalinformation一旦泄露或者非法使用，容易導(dǎo)致自然人的人格尊嚴(yán)受到侵害或者人身、財(cái)產(chǎn)安全受到危害的個(gè)人信息。[來(lái)源：GB/T43697—2024，3.6]數(shù)據(jù)資產(chǎn)dataasset組織合法擁有或者控制的，能進(jìn)行計(jì)量的，為組織帶來(lái)經(jīng)濟(jì)和社會(huì)價(jià)值的數(shù)據(jù)資源。[來(lái)源：GB/T40685—2021，3.1]數(shù)據(jù)資源持有dataresourceownership在相關(guān)法律法規(guī)或合同約定下，相關(guān)主體可對(duì)數(shù)據(jù)資源進(jìn)行管理、使用、收益或處分等行為。數(shù)據(jù)加工使用dataprocessingandutilization在相關(guān)法律法規(guī)體系或合同約定下，相關(guān)主體以各種方式、技術(shù)手段對(duì)數(shù)據(jù)進(jìn)行采集、治理、使用、分析等加工行為。數(shù)據(jù)產(chǎn)品經(jīng)營(yíng)dataproductoperation在相關(guān)法律法規(guī)或合同約定下，相關(guān)主體可對(duì)數(shù)據(jù)產(chǎn)品進(jìn)行占有、使用、收益或處分等行為。2T/CI646—2024數(shù)據(jù)確權(quán)conformationofdataright權(quán)利主體將數(shù)據(jù)資源持有權(quán)、數(shù)據(jù)加工使用權(quán)和數(shù)據(jù)產(chǎn)品經(jīng)營(yíng)權(quán)等權(quán)益依法合規(guī)地進(jìn)行確認(rèn)的行為。4數(shù)據(jù)確權(quán)原則數(shù)據(jù)確權(quán)旨在明確數(shù)據(jù)的歸屬、使用權(quán)限及責(zé)任范圍，確保數(shù)據(jù)的安全流通，促進(jìn)數(shù)據(jù)價(jià)值釋放，數(shù)據(jù)確權(quán)遵循以下原則：a）合法性原則：數(shù)據(jù)的收集、處理和使用符合法律法規(guī)要求，尊重?cái)?shù)據(jù)主體的合法權(quán)益；b）責(zé)任明確原則：數(shù)據(jù)的持有者、使用者和運(yùn)營(yíng)者對(duì)其處理數(shù)據(jù)的行為負(fù)責(zé)，包括確保數(shù)據(jù)的準(zhǔn)確性、安全性和合規(guī)性；c）安全合規(guī)原則：在保障數(shù)據(jù)安全前提下，進(jìn)行確權(quán)，明確數(shù)據(jù)使用的具體范圍、方式及期限，不超范圍確權(quán)；d）可追溯性原則：數(shù)據(jù)處理活動(dòng)具備可追溯性，確保數(shù)據(jù)流動(dòng)的每一步都可被追蹤和審計(jì)，便于監(jiān)管和責(zé)任追究；e）促進(jìn)數(shù)據(jù)流通與價(jià)值轉(zhuǎn)化原則：在尊重?cái)?shù)據(jù)主體權(quán)益和保護(hù)數(shù)據(jù)安全的前提下，引導(dǎo)數(shù)據(jù)的合法流通和開放共享，促進(jìn)數(shù)據(jù)資源的有效利用和價(jià)值創(chuàng)造。5數(shù)據(jù)主體分類維度的確權(quán)合規(guī)5.1組織數(shù)據(jù)的確權(quán)合規(guī)對(duì)組織數(shù)據(jù)進(jìn)行確權(quán)的過(guò)程中，可參考如下因素：a）明確數(shù)據(jù)均源自組織合法的經(jīng)營(yíng)活動(dòng)，包括但不限于生產(chǎn)系統(tǒng)日志、銷售記錄、業(yè)務(wù)產(chǎn)生的數(shù)據(jù)、從外部購(gòu)買的數(shù)據(jù)等；b）核實(shí)相關(guān)的資質(zhì)證書、行政許可文件、數(shù)據(jù)處理活動(dòng)的合規(guī)記錄等；c）分析數(shù)據(jù)的具體屬性，包括敏感信息、商業(yè)秘密等，并根據(jù)數(shù)據(jù)的敏感度、價(jià)值及用途對(duì)組織數(shù)據(jù)進(jìn)行分類，采取相應(yīng)級(jí)別的保護(hù)措施，為后續(xù)的數(shù)據(jù)使用、共享或轉(zhuǎn)讓提供依據(jù)；d）分析數(shù)據(jù)具體信息，如數(shù)據(jù)產(chǎn)生、收集方式、存儲(chǔ)位置、使用歷史及當(dāng)前狀態(tài)等；e）在數(shù)據(jù)產(chǎn)品開發(fā)過(guò)程中，投入的實(shí)質(zhì)性加工和創(chuàng)新性勞動(dòng)，描述數(shù)據(jù)加工流程，包括采用的算法、程序、模型及標(biāo)準(zhǔn)等方面的創(chuàng)新性，并按附錄A執(zhí)行；f）明確數(shù)據(jù)使用的具體范圍、方式及期限，確保與數(shù)據(jù)收集目的相一致，并宜考慮超范圍使用。5.2個(gè)人信息的確權(quán)合規(guī)個(gè)人信息是與已識(shí)別或者可識(shí)別的自然人有關(guān)的各種信息，在進(jìn)行個(gè)人信息確權(quán)時(shí)，宜考慮如下因素：a）在收集個(gè)人信息前，獲得個(gè)人的同意或具有其他合法性基礎(chǔ)，向數(shù)據(jù)主體明確告知數(shù)據(jù)收集的目的、方式、范圍、使用期限以及個(gè)人信息安全保護(hù)措施，審查文檔包括隱私政策、用戶協(xié)議；b）數(shù)據(jù)處理者采取適當(dāng)?shù)陌踩胧┍Ｗo(hù)個(gè)人信息，防止未經(jīng)授權(quán)的訪問(wèn)、泄露、篡改或損毀；c）數(shù)據(jù)處理者保持?jǐn)?shù)據(jù)處理活動(dòng)的透明度，包括數(shù)據(jù)流向的記錄，并在數(shù)據(jù)泄露等事件發(fā)生時(shí)，及時(shí)通知受影響的數(shù)據(jù)主體并報(bào)告給監(jiān)管機(jī)構(gòu)；d）處理敏感個(gè)人信息前，獲得個(gè)人的單獨(dú)同意，并向個(gè)人告知處理敏感個(gè)人信息的必要性以及對(duì)3T/CI646—2024益?zhèn)€人權(quán)的影響；益e）處理敏感個(gè)人信息開展個(gè)人信息保護(hù)影響評(píng)估，審查文檔為個(gè)人信息保護(hù)影響評(píng)估報(bào)告；f）收集數(shù)據(jù)范圍與期限符合合法、正當(dāng)、必要原則，審查文檔包括收集、存儲(chǔ)、使用、加工、傳輸、提供、公開、刪除的相關(guān)策略及操作日志；g）權(quán)益響應(yīng)機(jī)制的建設(shè)情況，確保數(shù)據(jù)主體能行使查閱、更正、撤回個(gè)人信息，及申請(qǐng)刪除非必要個(gè)人信息等權(quán)利；h）按個(gè)人信息保護(hù)審計(jì)相關(guān)法律法規(guī)要求定期對(duì)個(gè)人信息合規(guī)進(jìn)行審計(jì)，審查文檔為個(gè)人信息保護(hù)審計(jì)報(bào)告。6數(shù)據(jù)加工程度維度的確權(quán)合規(guī)6.1原始數(shù)據(jù)的確權(quán)合規(guī)原始數(shù)據(jù)的確權(quán)合規(guī)流程涉及多個(gè)關(guān)鍵步驟，確保數(shù)據(jù)的合法使用、保護(hù)數(shù)據(jù)主體的權(quán)益，并促進(jìn)數(shù)據(jù)的安全、有序流通，宜考慮如下因素：a）識(shí)別數(shù)據(jù)的來(lái)源、類型及敏感程度進(jìn)行分類分級(jí)，確定適用的法律法規(guī)和確權(quán)規(guī)則；b）采用權(quán)益分割的方法進(jìn)行數(shù)據(jù)分類與確權(quán)，界定各類數(shù)據(jù)的權(quán)利主體，明晰數(shù)據(jù)權(quán)益狀態(tài)，認(rèn)證數(shù)據(jù)權(quán)利主體的身份及其相應(yīng)權(quán)限；c）建立數(shù)據(jù)資產(chǎn)登記制度，記錄數(shù)據(jù)的基本信息、權(quán)利歸屬、使用條件等，形成數(shù)據(jù)資產(chǎn)目錄，確保數(shù)據(jù)可追溯；d）說(shuō)明設(shè)定數(shù)據(jù)使用的具體條款，包括訪問(wèn)權(quán)限、使用范圍、許可期限等，并通過(guò)合同或協(xié)議形式明確各方權(quán)利義務(wù)；e）確保數(shù)據(jù)處理過(guò)程符合隱私保護(hù)要求，采取必要的技術(shù)和管理措施保護(hù)數(shù)據(jù)安全，防止未經(jīng)授權(quán)的訪問(wèn)、泄露或篡改；f）實(shí)施定期的數(shù)據(jù)處理活動(dòng)審計(jì)，監(jiān)控?cái)?shù)據(jù)使用情況，確保數(shù)據(jù)使用符合確權(quán)規(guī)定和約定的用途。6.2衍生數(shù)據(jù)的確權(quán)合規(guī)衍生數(shù)據(jù)涉及多個(gè)數(shù)據(jù)源確定數(shù)據(jù)資源持有、數(shù)據(jù)加工使用、數(shù)據(jù)產(chǎn)品經(jīng)營(yíng)等權(quán)利，衍生數(shù)據(jù)確權(quán)可參考如下因素：a）明確數(shù)據(jù)的來(lái)源，并針對(duì)不同數(shù)據(jù)主體進(jìn)行分類，包括個(gè)人信息、組織數(shù)據(jù)，以便后續(xù)針對(duì)性地進(jìn)行確權(quán)；b）建立數(shù)據(jù)資產(chǎn)登記制度，記錄數(shù)據(jù)的基本信息、權(quán)利狀態(tài)、權(quán)利主體等，形成數(shù)據(jù)資產(chǎn)目錄，為后續(xù)確權(quán)提供基礎(chǔ)；c）宜考慮其獨(dú)特性、稀缺性、需求度等因素，為數(shù)據(jù)交易和利益分配提供依據(jù)；d）明確數(shù)據(jù)的使用權(quán)、加工權(quán)、經(jīng)營(yíng)權(quán)等具體權(quán)利歸屬，確保各權(quán)利主體的權(quán)益得到合理界定；e）制定和簽訂數(shù)據(jù)使用協(xié)議，明確各方的權(quán)利與義務(wù)，包括數(shù)據(jù)使用范圍、期限、條件以及數(shù)據(jù)安全責(zé)任等；f）實(shí)施定期的數(shù)據(jù)確權(quán)審查和審計(jì)，確保數(shù)據(jù)權(quán)屬清晰，跟蹤數(shù)據(jù)使用情況，及時(shí)調(diào)整確權(quán)策略。7數(shù)據(jù)生命周期維度的確權(quán)合規(guī)7.1數(shù)據(jù)收集環(huán)節(jié)的合規(guī)性考慮數(shù)據(jù)收集環(huán)節(jié)的合規(guī)性考慮，可參考如下因素：T/CI646—20244a）委托第三方收集數(shù)據(jù)，核實(shí)第三方機(jī)構(gòu)的安全保障能力，審查文檔包括各類信息安全認(rèn)證資質(zhì)；b）核實(shí)針對(duì)收集個(gè)人信息、重要數(shù)據(jù)采取數(shù)據(jù)內(nèi)容加密、鏈路加密等安全控制措施，審查文檔包括數(shù)據(jù)收集安全保障策略及工作日志；c）對(duì)收集的數(shù)據(jù)進(jìn)行定位溯源，審查文檔包括技術(shù)措施說(shuō)明、技術(shù)日志；d）定期對(duì)數(shù)據(jù)收集的安全性進(jìn)行風(fēng)險(xiǎn)評(píng)估，審查文檔為數(shù)據(jù)風(fēng)險(xiǎn)評(píng)估報(bào)告。7.2數(shù)據(jù)存儲(chǔ)環(huán)節(jié)的合規(guī)性考慮數(shù)據(jù)存儲(chǔ)環(huán)節(jié)的合規(guī)性考慮，可參考如下因素：a）委托第三方存儲(chǔ)數(shù)據(jù)，核實(shí)第三方機(jī)構(gòu)的安全保障能力，審查文檔包括各類信息安全認(rèn)證資質(zhì)；b）核實(shí)數(shù)據(jù)分類分級(jí)制度及具體操作指引，根據(jù)數(shù)據(jù)敏感程度和重要性進(jìn)行分類存儲(chǔ)并實(shí)施不同級(jí)別的安全技術(shù)措施，審查文檔為數(shù)據(jù)分類分級(jí)制度、策略及操作日志；c）核實(shí)數(shù)據(jù)備份和恢復(fù)機(jī)制，應(yīng)對(duì)數(shù)據(jù)丟失或損壞的風(fēng)險(xiǎn)，審查文檔為數(shù)據(jù)備份及恢復(fù)制度及策略；d）核實(shí)安全事件應(yīng)急預(yù)案，審查文檔為數(shù)據(jù)安全事件應(yīng)急預(yù)案、網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案和密碼安全事件應(yīng)急預(yù)案。7.3加工、使用環(huán)節(jié)的合規(guī)性考慮加工、使用環(huán)節(jié)的合規(guī)性考慮，可參考如下因素：a）委托第三方加工、使用數(shù)據(jù)，核實(shí)第三方機(jī)構(gòu)的安全保障能力，審查文檔為各類信息安全認(rèn)證資質(zhì)；b）核實(shí)數(shù)據(jù)加工、使用行為的網(wǎng)絡(luò)環(huán)境符合法律行政法規(guī)，審查文檔為網(wǎng)絡(luò)安全等級(jí)保護(hù)證明、網(wǎng)絡(luò)安全等級(jí)保護(hù)評(píng)估報(bào)告等；c）定期對(duì)數(shù)據(jù)加工、使用行為的安全性進(jìn)行風(fēng)險(xiǎn)評(píng)估，審查文檔為數(shù)據(jù)風(fēng)險(xiǎn)評(píng)估報(bào)告。7.4流通環(huán)節(jié)合規(guī)性考慮流通環(huán)節(jié)合規(guī)性考慮，可參考如下因素：a）委托第三方流通數(shù)據(jù)，核實(shí)第三方機(jī)構(gòu)的安全保障能力，審查文檔為各類信息安全認(rèn)證資質(zhì)；b）核實(shí)針對(duì)流通個(gè)人信息、重要數(shù)據(jù)采取數(shù)據(jù)內(nèi)容加密、鏈路加密等安全控制措施，審查文檔包括數(shù)據(jù)流通負(fù)面清單、數(shù)據(jù)流通安全保障策略及工作日志；c）核實(shí)數(shù)據(jù)跨境流通，若涉及個(gè)人信息、重要數(shù)據(jù)跨境流通，應(yīng)審查相應(yīng)的數(shù)據(jù)出境安全評(píng)估結(jié)果以及其他行政監(jiān)管流程；若涉及核心數(shù)據(jù)，應(yīng)防止核心數(shù)據(jù)跨境流通；d）定期對(duì)數(shù)據(jù)流通行為的安全性進(jìn)行風(fēng)險(xiǎn)評(píng)估的情況，審查文檔為數(shù)據(jù)風(fēng)險(xiǎn)評(píng)估報(bào)告。T/CI646—20245附錄A（規(guī)范性）創(chuàng)新性投入的相關(guān)建議A.1判斷創(chuàng)造性投入建議審查以下內(nèi)容：a）歸集研發(fā)人員投入，包括數(shù)據(jù)采集清洗、打標(biāo)、關(guān)聯(lián)、挖掘，算法優(yōu)化以及產(chǎn)品方案設(shè)計(jì)等崗位，審查文檔包括但不限于研發(fā)人員清單、崗位說(shuō)明書、相關(guān)人員的工資單、工時(shí)單；b）歸集硬件設(shè)備成本，審查文檔包括但不限于硬件設(shè)備清單、購(gòu)買合同、發(fā)票等；c）歸集數(shù)據(jù)資源成本，審查文檔包括但不限于購(gòu)買合同、發(fā)票等；d）歸集運(yùn)營(yíng)資源成本，審查文檔包括但不限于服務(wù)器清單、服務(wù)器租賃合同及發(fā)票、電費(fèi)繳費(fèi)憑證、水費(fèi)繳費(fèi)憑證等。A.2投入過(guò)程的合法性建議審查以下內(nèi)容：a）判斷數(shù)據(jù)內(nèi)容的合法性，確保相關(guān)算法已備案，且不涉及：1）存在不應(yīng)采集的數(shù)據(jù)類型；2）存在危害國(guó)家利益、公共利益等負(fù)面影響的可能性；3）