深圳首個(gè)公共數據安全領(lǐng)域地方標準出爐
伴隨著(zhù)數字經(jīng)濟產(chǎn)業(yè)的快速發(fā)展，如何平衡發(fā)展數字經(jīng)濟與保護個(gè)人數據、數據開(kāi)發(fā)利用與數據安全之間的關(guān)系，成為了產(chǎn)業(yè)健康發(fā)展的重點(diǎn)之一。
今年《數據安全法》和《個(gè)人信息保護法》陸續發(fā)布?！渡钲诮?jīng)濟特區數據條例》于2021年6月29日發(fā)布，自2022年1月1日起實(shí)施，其中全面規范公共數據的開(kāi)放和使用，并對公共數據安全也提出了明確的要求。
數字化時(shí)代下，數據無(wú)處不在，其中哪些屬于公共數據？《要求》明確，公共數據即公共管理和服務(wù)機構及處理大量個(gè)人信息的服務(wù)平臺在依法履行公共管理職責或者提供公共服務(wù)過(guò)程中產(chǎn)生、處理的數據。據此，《要求》適用于公共管理和服務(wù)機構數據安全能力的建設、評估與監管，也適用于處理大量個(gè)人信息的服務(wù)平臺數據安全能力的建設與評估。
劃分安全等級
為規范公共數據安全的基本要求，防范和抵御數據可能面臨的各類(lèi)安全風(fēng)險，《要求》明確，公共管理和服務(wù)機構在處理數據過(guò)程中，應遵循以下總體安全原則：合法正當、權責明確、目的明確、明示同意、最小必要、公開(kāi)透明、動(dòng)態(tài)調整、全程可控。
《要求》明確，公共管理和服務(wù)機構應對數據進(jìn)行分類(lèi)管理，在數據分類(lèi)基礎上，根據數據在經(jīng)濟社會(huì )發(fā)展中的重要程度，以及一旦遭到篡改、破壞、泄露或者被非法獲取、非法利用，對國家安全、社會(huì )秩序和公共利益或者個(gè)人信息主體、公共管理和服務(wù)機構合法權益造成的損害程度，對數據分級。
定級要素包括受侵害的客體以及對客體的侵害程度。其中受侵害的客體分為：個(gè)人信息主體及公共管理和服務(wù)機構的合法權益、社會(huì )秩序和公共利益、國家安全。對客體的侵害程度分為：無(wú)損害、一般損害、嚴重損害、特別嚴重損害。兩者結合，形成對應的安全等級與安全要求。
圖源：《公共數據安全要求》
《要求》指出，數據處理活動(dòng)過(guò)程中，數據級別發(fā)生變更的，應及時(shí)對變更后數據重新級別判定，數據級別可能發(fā)生變更的場(chǎng)景包括但不限于數據匯聚融合、加工、脫敏、超過(guò)時(shí)效等。此外，當不同級別的數據同時(shí)被處理且無(wú)法精細化管控時(shí)，應“就高不就低”，按照數據對象安全等級最高的要求實(shí)施保護。
明確數據交易、數據出境等安全要求
實(shí)現公共數據安全要求的落地，既要從合規性出發(fā)，遵從國家政策法規、標準規范及《深圳經(jīng)濟特區數據條例》中的安全要求，也要從可操作性出發(fā)，實(shí)現真正落地?！兑蟆吩谶M(jìn)行安全管理要求分解和細化的同時(shí)，提供相應的技術(shù)及數據處理活動(dòng)安全能力要求，為落地提供標準參考和指導。
以機構管理為例，根據《要求》的基本安全要求，機構管理應設立數據安全管理機構，明確數據安全責任人，落實(shí)數據安全保護責任，并應按照相關(guān)法律、法規、規章的要求編制公共數據資源目錄，加強數據安全保護。在三級增強安全要求下，機構管理應針對重大數據處理活動(dòng)建立逐級審批機制，以及定期審查審批事項，及時(shí)更新需授權和審批的項目、審批部門(mén)和審批人等信息。
關(guān)于數據合作安全，《要求》也作出了指引。在基本安全要求下，涉及數據合作方的機構，應與數據合作方簽訂合作協(xié)議及數據安全保密協(xié)議，明確雙方數據安全保密責任與義務(wù)，宜定期審核數據合作方資質(zhì)背景、數據安全保障能力等，并組織動(dòng)態(tài)合規評估。
針對數據處理活動(dòng)安全，圍繞數據收集、數據存儲、數據傳輸、數據使用、數據加工、數據開(kāi)放共享、數據交易、數據出境、數據銷(xiāo)毀與刪除9個(gè)過(guò)程，《要求》一一進(jìn)行了分級闡述。
數據交易方面，《要求》明確應按照相關(guān)法律、法規、規章的要求開(kāi)展數據交易，加強交易過(guò)程的數據安全保護。
數據出境方面，《要求》規定的基本安全要求包括：應明確數據出境業(yè)務(wù)場(chǎng)景，嚴格遵守國家法律、行政法規數據出境安全監管要求，符合國家法律、行政法規規定情形的，應提前開(kāi)展數據出境安全評估及網(wǎng)絡(luò )安全審查工作，嚴禁未授權數據出境行為；境內用戶(hù)在境內訪(fǎng)問(wèn)境內網(wǎng)絡(luò )的，其流量不應路由至境外；應建立跨境數據的評估、審批及監管控制流程，并依據流程實(shí)施相關(guān)控制并記錄過(guò)程。
編輯：鐘旭惠
發(fā)布時(shí)間：2022-12-02
來(lái)源：21世紀經(jīng)濟報道
近日，深圳發(fā)布《公共數據安全要求》（下稱(chēng)《要求》），這是深圳首個(gè)公共數據安全領(lǐng)域的地方標準。在深圳市政務(wù)服務(wù)數據管理局指導下，《要求》由深圳市信息安全管理中心牽頭起草，將于2022年12月1日起實(shí)施。伴隨著(zhù)數字經(jīng)濟產(chǎn)業(yè)的快速發(fā)展，如何平衡發(fā)展數字經(jīng)濟與保護個(gè)人數據、數據開(kāi)發(fā)利用與數據安全之間的關(guān)系，成為了產(chǎn)業(yè)健康發(fā)展的重點(diǎn)之一。
今年《數據安全法》和《個(gè)人信息保護法》陸續發(fā)布?！渡钲诮?jīng)濟特區數據條例》于2021年6月29日發(fā)布，自2022年1月1日起實(shí)施，其中全面規范公共數據的開(kāi)放和使用，并對公共數據安全也提出了明確的要求。
數字化時(shí)代下，數據無(wú)處不在，其中哪些屬于公共數據？《要求》明確，公共數據即公共管理和服務(wù)機構及處理大量個(gè)人信息的服務(wù)平臺在依法履行公共管理職責或者提供公共服務(wù)過(guò)程中產(chǎn)生、處理的數據。據此，《要求》適用于公共管理和服務(wù)機構數據安全能力的建設、評估與監管，也適用于處理大量個(gè)人信息的服務(wù)平臺數據安全能力的建設與評估。
劃分安全等級
為規范公共數據安全的基本要求，防范和抵御數據可能面臨的各類(lèi)安全風(fēng)險，《要求》明確，公共管理和服務(wù)機構在處理數據過(guò)程中，應遵循以下總體安全原則：合法正當、權責明確、目的明確、明示同意、最小必要、公開(kāi)透明、動(dòng)態(tài)調整、全程可控。
《要求》明確，公共管理和服務(wù)機構應對數據進(jìn)行分類(lèi)管理，在數據分類(lèi)基礎上，根據數據在經(jīng)濟社會(huì )發(fā)展中的重要程度，以及一旦遭到篡改、破壞、泄露或者被非法獲取、非法利用，對國家安全、社會(huì )秩序和公共利益或者個(gè)人信息主體、公共管理和服務(wù)機構合法權益造成的損害程度，對數據分級。
定級要素包括受侵害的客體以及對客體的侵害程度。其中受侵害的客體分為：個(gè)人信息主體及公共管理和服務(wù)機構的合法權益、社會(huì )秩序和公共利益、國家安全。對客體的侵害程度分為：無(wú)損害、一般損害、嚴重損害、特別嚴重損害。兩者結合，形成對應的安全等級與安全要求。
圖源：《公共數據安全要求》
《要求》指出，數據處理活動(dòng)過(guò)程中，數據級別發(fā)生變更的，應及時(shí)對變更后數據重新級別判定，數據級別可能發(fā)生變更的場(chǎng)景包括但不限于數據匯聚融合、加工、脫敏、超過(guò)時(shí)效等。此外，當不同級別的數據同時(shí)被處理且無(wú)法精細化管控時(shí)，應“就高不就低”，按照數據對象安全等級最高的要求實(shí)施保護。
明確數據交易、數據出境等安全要求
實(shí)現公共數據安全要求的落地，既要從合規性出發(fā)，遵從國家政策法規、標準規范及《深圳經(jīng)濟特區數據條例》中的安全要求，也要從可操作性出發(fā)，實(shí)現真正落地?！兑蟆吩谶M(jìn)行安全管理要求分解和細化的同時(shí)，提供相應的技術(shù)及數據處理活動(dòng)安全能力要求，為落地提供標準參考和指導。
以機構管理為例，根據《要求》的基本安全要求，機構管理應設立數據安全管理機構，明確數據安全責任人，落實(shí)數據安全保護責任，并應按照相關(guān)法律、法規、規章的要求編制公共數據資源目錄，加強數據安全保護。在三級增強安全要求下，機構管理應針對重大數據處理活動(dòng)建立逐級審批機制，以及定期審查審批事項，及時(shí)更新需授權和審批的項目、審批部門(mén)和審批人等信息。
關(guān)于數據合作安全，《要求》也作出了指引。在基本安全要求下，涉及數據合作方的機構，應與數據合作方簽訂合作協(xié)議及數據安全保密協(xié)議，明確雙方數據安全保密責任與義務(wù)，宜定期審核數據合作方資質(zhì)背景、數據安全保障能力等，并組織動(dòng)態(tài)合規評估。
針對數據處理活動(dòng)安全，圍繞數據收集、數據存儲、數據傳輸、數據使用、數據加工、數據開(kāi)放共享、數據交易、數據出境、數據銷(xiāo)毀與刪除9個(gè)過(guò)程，《要求》一一進(jìn)行了分級闡述。
數據交易方面，《要求》明確應按照相關(guān)法律、法規、規章的要求開(kāi)展數據交易，加強交易過(guò)程的數據安全保護。
數據出境方面，《要求》規定的基本安全要求包括：應明確數據出境業(yè)務(wù)場(chǎng)景，嚴格遵守國家法律、行政法規數據出境安全監管要求，符合國家法律、行政法規規定情形的，應提前開(kāi)展數據出境安全評估及網(wǎng)絡(luò )安全審查工作，嚴禁未授權數據出境行為；境內用戶(hù)在境內訪(fǎng)問(wèn)境內網(wǎng)絡(luò )的，其流量不應路由至境外；應建立跨境數據的評估、審批及監管控制流程，并依據流程實(shí)施相關(guān)控制并記錄過(guò)程。
編輯：鐘旭惠
