2025数据资产数据确权合规指南.docx

数据资产 数据确权合规指南

Dataassets—Complianceguidefordataconfirmationandrights

Ⅰ

Ⅰ

Ⅲ

Ⅲ

目 次

前言 Ⅲ

范围 1

规范性引用文件 1

术语和定义 1

数据确权原则 2

数据主体分类维度的确权合规 2

组织数据的确权合规 2

个人信息的确权合规 2

数据加工程度维度的确权合规 3

原始数据的确权合规 3

衍生数据的确权合规 3

数据生命周期维度的确权合规 3

数据收集环节的合规性考虑 3

数据存储环节的合规性考虑 4

加工、使用环节的合规性考虑 4

流通环节合规性考虑 4

附录A（规范性）创新性投入的相关建议 5

参考文献 6

PAGE

PAGE1

PAGE

PAGE2

数据资产 数据确权合规指南

范围

本文件提供了各类组织在进行数据确权时的原则和合规考虑等方面的建议。

本文件适用于各类组织在数据收集、存储、加工、使用等数据处理过程中涉及的数据确权活动。

规范性引用文件

本文件没有规范性引用文件。

术语和定义

下列术语和定义适用于本文件。

3.1

组织数据 organizationdata

组织在自身生产经营活动中收集、产生的不涉及个人信息和公共利益的数据。

[来源：GB/T43697—2024，3.9]

3.2

个人信息 personalinformation

以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息记录，不包括匿名化处理

后的信息。

3.3

敏感个人信息 sensitivepersonalinformation

一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息。

[来源：GB/T43697—2024，3.6]

3.4

数据资产 dataasset

组织合法拥有或者控制的，能进行计量的，为组织带来经济和社会价值的数据资源。

[来源：GB/T40685—2021，3.1]

3.5

数据资源持有 dataresourceownership

在相关法律法规或合同约定下，相关主体可对数据资源进行管理、使用、收益或处分等行为。

3.6

数据加工使用 dataprocessingandutilization

在相关法律法规体系或合同约定下，相关主体以各种方式、技术手段对数据进行采集、治理、使用、分

析等加工行为。

3.7

数据产品经营 dataproductoperation

在相关法律法规或合同约定下，相关主体可对数据产品进行占有、使用、收益或处分等行为。

3.8

数据确权 conformationofdataright

权利主体将数据资源持有权、数据加工使用权和数据产品经营权等权益依法合规地进行确认的

行为。

数据确权原则

数据确权旨在明确数据的归属、使用权限及责任范围，确保数据的安全流通，促进数据价值释放，数据确权遵循以下原则：

合法性原则：数据的收集、处理和使用符合法律法规要求，尊重数据主体的合法权益；

责任明确原则：数据的持有者、使用者和运营者对其处理数据的行为负责，包括确保数据的准确性、安全性和合规性；

安全合规原则：在保障数据安全前提下，进行确权，明确数据使用的具体范围、方式及期限，不超范围确权；

可追溯性原则：数据处理活动具备可追溯性，确保数据流动的每一步都可被追踪和审计，便于监管和责任追究；

促进数据流通与价值转化原则：在尊重数据主体权益和保护数据安全的前提下，引导数据的合法流通和开放共享，促进数据资源的有效利用和价值创造。

数据主体分类维度的确权合规

组织数据的确权合规

对组织数据进行确权的过程中，可参考如下因素：

明确数据均源自组织合法的经营活动，包括但不限于生产系统日志、销售记录、业务产生的数据、从外部购买的数据等；

核实相关的资质证书、行政许可文件、数据处理活动的合规记录等；

分析数据的具体属性，包括敏感信息、商业秘密等，并根据数据的敏感度、价值及用途对组织数据进行分类，采取相应级别的保护措施，为后续的数据使用、共享或转让提供依据；

分析数据具体信息，如数据产生、收集方式、存储位置、使用历史及当前状态等；

在数据产品开发过程中，投入的实质性加工和创新性劳动，描述数据加工流程，包括采用的算法、程序、模型及标准等方面的创新性，并按附录A执行；

明确数据使用的具体范围、方式及期限，确保与数据收集目的相一致，并宜考虑超范围使用。

个人信息的确权合规

个人信息是与已识别或者可识别的自然人有关的各种信息，在进行个人信息确权时，宜考虑如下因素：

在收集个人信息前，获得个人的同意或具有其他合法性基础，向数据主体明确告知数据收集的目的、方式、范围、使用期