数据要素流通安全白皮书

“中国数谷” 数据要素流通安全 白皮书 (V1.0) 2024年4月8日 “中国数谷”建设推进专班 版权声明 本白皮书版权属于“中国数谷”建设推进专班，未经版权所有者书面许可， 不得以任何形式或任何方式复制、分发、发布、传输、修改或使用本文档的任 何部分。本文档中的信息和观点仅供参考，不构成投资建议。在使用本文档时，请遵守相关法律法规和道德规范。 本文档中的技术和观点可能会发生变化，恕不另行通知。版权所有者不对 本文档中的任何错误、疏漏或误导承担任何责任。 在涉及技术、产品、服务等方面的讨论时，请务必与相关厂商联系，以获 取最新、最准确的信息： 如需获取本文档的许可，请联系版权所有者， 第1页 前言 党和政府长期以来高度重视数据流通安全，致力于加强数据安全治理和监 管，保护国家信息安全和个人隐私。2023年12月31日，国家数据局等17部 门联合发布了&“数据要素×”三年行动计划（2024一2026年）"，盲在充分 发挥数据要素乘数效应，赋能经济社会发展。2024年国务院政府工作报告对“探入推进数学经济创新发展”作出具体部署，强调“健全数据基础制度，大力推动数据开发开放和流通使用”。这也是“数据安全”连续第四年被写入政 府工作报告，彰显了数据安全在国家安全、经济安全以及社会稳定中的重要地位。此外，中国积极参与国际合作，共同探索全球数据安全治理体系建设，促进数据合规流通， 本白皮书旨在分析数据要素流通安全的现状，趋势和挑战，提出相应的安全低架，保障方案及其实践案例，以促进数据要素的合规流通和安全保障，希毕通过本白皮书，引导社会各界从发展的角度关江数据要素流通安全问题，为数据要素流通安全提供行益的参考，助力数据要素赋能实体经济 在缩写木白皮书的过程巾，得到了众多专家，学者和业内人士的支持与帮助。在此表示裹心感谢。同时欢迎广大读者提出宝贵意见和建议，以不断优化和完普白皮书内容。 第2页 编制单位 主要编制单位： 杭州高新数商科技集团有限公司 杭州安恒信息技术股份有限公司 北京启明星辰信息安全技术有限公司杭州领信数科信息技术有限公司 北京市长城企业战略研究所 参编单位： 数安云智（杭州）科技有限公司杭州富算科技有限公司 中国移动通信集团浙江有限公司 中移动信息技术有限公司杭州教据交易所有限公司 浙江大数据交易中心行限公司浙江零跑科技有限公司 浙江核新同花顺网络信息股份有限公司 浙江孚临科技有限公司 浙江容亿投资管理有限公司 杭州览众数据科技有限公司 飞诺门库（北京）科技有限公司浙江科澜信息技术有限公司玛泽咨询（上海）有限公司杭州趣链科技有限公司 指导单位： 中国软件评测中心 中国云计算技术与产业联盟清华大学互联网产业研究院隐秘私计算联盟 第3页 杭州市滨江区浙工大人工智能创新研究院 上海临港数字安全产业联盟 第4页 目 第1章概述， 第2章数据要素流通安全面临的排战 2.1.数据作为新型生产要素的新特点 2.2.数据要素流通安全的新需求 10 2.3.数据要靠流通安全的新排战 第3章数据要素流通安全新拍势 3.1.国外及国内法律法现措势 .11 3.2.制度建设势.21 3.3.技术发展趋势17 3.1.市场发展道势.24 第4章数据要素流通安个推架30 1.1.设据要素济通安全法律规标准忙架30 4.2.数据流通安全的组织与管理休系 4.3.微据安全治押柜架32 4.4.效据安全流通框架.35 4.5.改据安全流通范式一中国敬谷“三敌一链”柜架体系.3G 第5章数据要素流通安全保障38 5.1.可信流通基础设施 5.2.可信流通制度工具， .43 第6章数据要素流通安全技术解决方案与实践48 6.1.基于TEE的机密计算在AI大模型安全中的应用 6.2.基于AI的数据安全分类分级实践 48 .50 6.3.基于“三数一链”数据可信流通基础设随52 6.4.链式可信数据跨域流通合规安全.56 6.5.面向数据交易报合的数据可信安全流通协作58 第5页 6.6.基于公共数据投权运营的全流程监管 .61 第7章总结与建议.63 7.1.关键点回顾63 7.2.未来研究和政策发展方向.65 7.3.国际数据安全竞争与合作.66 7.4.对政府、数商企业的建议.67 第8章阳录.70 8.1.相关标准和柜架清单.70 8.2.参考资源.70 第6页 第2章数据要素流通安全面临的挑战 2.1.数据作为新型生产要素的新特点 数据作为一种新型生产要素，具有其独特的特点和价值，主要体现在如下 几点： 时效性：数据的价值往往随若时间的推移而发生变化，一些数据在产生后 的短时间内具有很高的价值，但随若时间的推移，其价值可能会逐渐降低，因 此，对数据的及时处理和分析至关重要。 多方性：数据生成过程错综复杂，米源广泛、类型多样，常常是多方主体相互协作的结果，包含了不同主体不同程度的入和贡献，数据来源多样，包 拓社交媒体，电子商务、物联网等各种架道。这种多方性使得数据在反映现实 情况和解决复杂问题方面具有更广泛的适用性。 互动性：数据在不同主休间流通或使用，可以促进不同领域之间的亏动和融合，为跨学科研究和创新提供支持：例如，绿色低候数据为1业领域可持续发展带来指列. 非排他性：数据可以被不同主休以不同方式同时利用，因此不具有排他性， 不易主张权利，有一定公共产品的性质。这意味若数据具有很强的共享性，能 够为整个社会带来更大的价值。 高敏感性：数据的内容非带复杂，往往包含大量个人信息和隐私，甚至涉及个人的敏感信息和核心隐私，数据安全和隐私保护问题日益突出。因此，如何在利用数据的同时确保数据的安全和用户隐私，成为当前急需解决的重要问 题。 2.2.数据要系流通安全的新需求 数据要素流通安全的新需求体现在数据隐私保护，分类分级、交易规则、 监管与合规、安全保险等五个方面。在数据要素流通过程中，需要充分考虑以 下这些新需求，确保数据的安全和价值实现。 第B页 1.数据隐私保护：在保护个人隐私和确保数据安全的前提条件下，数据要 系流通需要遵循“原始数据不出域、数据可用不可见”的原则，以确保数据隐 私保护。 2.数据分类分级：根据数据的重要性、敏感性等因素，对数据分类分级进 行差异化管理。对于涉及国家安全和公共利益的数据，需要严格限制其流通： 对于一般性数据，则适度放宽流通限制， 3.数据流通交易规则：建立健全数据流通交易规则，规范数据确权、定价、交易和监管等机制，确保数据要系流通的公平、公正和透明， 4.数据监管与合规：数据要素流通需要符合国内外法律法规和相关政策要 求，加强数据监管以确保数据流通合规，同时，建立数据泄漏应急处理机制， 及时应对数据安全事故。5.数据安全保险：引入数据安全保险机制，为数据要系在各主体问的流通 提供风险保障，有助于进一步支持金融机构融合科技、环保、工商、税务、气 家，消费、医疗等数据，优化信贷业务管理和保险产品创新。 2.3.数据要系流通安全的新挑战 1.数据保护和数据流通难平得：随者数据要系流适的口益广之，数据利用 和数据保护的平衔面临诸多难题和挑战，因此需要在技术和制度上寻求平衡，确保数据使用不侵犯用卢隐私： 2.数据流通安全保障更复亲：数据流涉及多方主体和多个坏节，在数据 人规模使用时显著增加了数据露面，每个环节存在的安全隐患都可能被放大， 从而致使数据在流通中安全保障工作变得更加复杂。3.数据合规难统一：全球数据要素流通未形成统一规则，不同国家和地区 在数据要素流通的法律法规和政策要求存在很大区别，因此如何确保数据要素 流通符合各地合规要求从而避免法律风险，是一大挑战。4.数据基础设施不完善：目前我国数据要素流通存在算力设施紧缺、数据 流通设施尚不完善等问题，因此，驱需建设广泛连接的高速网络设施、强大的 算力设施和完善的数据流通设施，以保障数据安全高效流通。 第9页 5.数据流通安全人才紧缺：数据要紊化和数据流通安全跨界人才短缺，因此需要加强网络安全和数据安全人才培养，提高数据要素流通的安全保障能力。 第3章数据要素流通安全新趋势 3.1.国外及国内法律法规趋势 3.1.1.国家竞争导致数据要系流通存在法律阻得 在分析国外和国内法律法规趋势之前，我们需要强调一个客观事实，我国始终秉承若公平、公正、公开的原则在全球范内积极侣导和推行数据要素的全球化流通，但在当今复杂的国际局势下，国家之间的日益激烈的竞争，导致 应该基于法律的数据要素流通存在各种各样的阻碍客观因系，并且趋向对抗化 2024年2月28H，关国总统开登正式签署了关于防止关注国家获取关 国公民大量感个人数据和美国政府相关数据的行政命令》（ExeculiveOrder onIreventingAccesstoAmericansBulkSensitivePersonalDataand UnitedStatesGovernmentRelatedDatabyCountriesofConcern,以下简 称“行政命令”），授权关国司法部颁布条例，限制问包含中国、罗斯在内 民的个人数据被大规模转移到受关注国家，并防止可能使这些国家获得美国公民敏感信息的其他活动。这是美国历更上首次禁止向中国跨境传输数据，但大概率不会是最后一次，美国及部分国家未来还将会有更加激进的行为。 区”，未来将采取措施防止外国参与方获取美国人的大量敏感个人数据，包括 卫生和人类基因组数据，并对涉及这些数据的合作伙伴和协议进行审查。 对于中国涉及美国敏感个人数据的企业来说，特别是那些在汽车，测绘。医药、生物识别和金融等领域从事业务的企业，如果处理美国的敏感个人数据， 可能会受到监管：对于一些出海企业来说，中国企业向美国出海的可能会因为 在中国境内处理美国敏感个人数据而受到监管；另外对于一些投资企业而言， 第10页 投资美国企业的中国公司可能因为在投资协议中涉及对敏感个人数据的访间或 处理而受到监管。 对于中国科研人员来说，最直接的影响体现在数据库访问上。美国由于生物技术发展历史悠久，因此在论文检索、基因等方面数据库储备较为充足。比 如“美国国立生物技术信息中心”（NCBI），NCBI设置有与生物技术和生物医 学相关的一系列数据库，是生物信息学工具和服务的重要资源。比如“癌症基因组图谱”（TCGA），TCGA是由美国国家癌症研究所和国家人类基因组研究所2005年共同发起的癌症基因组计划，目前已经成为全世界最大的癌症基因数据 库之一。再比如“艾伦脑科学研究所”，其曾公布了首个活人脑细胞开放获取 数据库，这些数据在脑科学研究中有若非常高的价值。但在行政命令的颁布后， 这些数据将难以让中国科研人员白由访问，生物技术或将成为中关下一争端焦 点。 中国外交部发言人办公室对此发表评论：关国泛化国家安全概念，谢称中方购买关国公民敏感数据从事恶意活动，禁止数据流问包拓中国在内的所请“受关注国家”，是明显针对特定国家的岐视性做法，中方对此坚决反对。中 国政府一问高度重视保护数据陷私与安全，从来没有也不会要求企业或个人以违反当地法律的方式，为中国政时采集或提供位于外国境内的数据、信息和情报。中方已经率先提出全球数据安全侣议》，如果关方真的关心数据安全，可以公并支持中国的这一倡设，或署作出类似的示诺，与各方共同制定普逼性 的数据安全规则，促进全球数据有序白由流动。 3.1.2.数据要系流通的不可能三角理论 不可能三角理论（Impossibletrinity）由2008年诺贝尔经济学奖获得 者、美国经济学家保罗·克吾格曼（PaulR.Krugman）提出，是指一个国家不 可能同时兼顾资本自由流动、固定汇率和独立自主的货市政策三个方面的自标。 我们认为数据要素流通同样存在不可能三角理论（即数据要素流通的自主、公义，有效的不可能三角理论），为了让读者都能更加理解这个模糊的理论， 第11页 一是有效型（efficient）法律，突出效率优先，以生产数据、传输数据 和消费数据的分配效率为评价标准，以成本收益分析和卡尔多希克斯效率 （KaldorHicksPr