第一章  总则

第1条  【目的】

为建立安全有序的数据流通机制，推进数据要素市场建设，为共同探索和遵守商业驱动、技术支撑、法律保障融为一体的数据流通最佳实践制度规则，制定本公约。

第2条  【数据流通最佳实践共同体】

凡是认同最佳实践共识，在中华人民共和国域内合法注册并存续、有数据流通需求的组织机构，自愿组成“数据流通最佳实践共同体”（简称“共同体”），共同体在“数据驱动中国共同体”体系下运行。

“共同体”旨在探索数据要素市场合法有效的建设路径，寻求数据资源化和市场化配置利用的共识，认同和推广数据流通最佳实践关于数据流通的解决方案，推进最佳实践在共同体的实施。

第3条  【共同体成员承诺】

共同体的各成员组织，应遵守国家法律、行政法规、部门规章等规范性文件，建立、健全内部管理制度和风险防控机制。同时，应对数据持有和流通行为的合法性负责，对自己或委托专业数据处理服务方进行的数据处理行为负责，对为数据流通提供相关服务的质量与相应风险负责。

第4条  【数据流通】

利用计算机网络技术，数据提供方向数据接收方分享其合法持有的流通数据，许可接收方开展数据分析和应用的行为。

基于数据分析形成的画像、预测、推论等知识而形成决策或后续动作，对个体或群体产生影响的行为称为“数据应用”。

第5条  【流通数据】

进入分享或流通的数据是适合接收方数据应用的数据，且须满足以下条件：

① 基于合法取得、合法持有并实际控制的数据；

②  按照流通数据标准加工处理后的数据或数据集；

③  数据的持有和流通不违反法律强制性规定、不侵犯他人合法权益。

第6条  【数据流通域】

数据分享或流通应当在数据流通域中进行，遵循和服从数据流通最佳实践的共识开展。

数据流通域，指一种特定的计算机域(一个有安全边界，域内相互信任的计算机集合)，是维护数据流通的安全边界，支持多方形成相互信任的数据流通与网络连接的环境，使数据提供方、接收方通过流通域实现安全有序的数据分享与应用。

数据流通域应具备防止泄露和非法获取的安全措施。

第7条  【数据流通最佳实践】

数据流通最佳实践是共同体依据《中华人民共和国民法典》、《中华人民共和国网络安全法》等法律规定，结合大数据分析应用商业实践，发展出的实现数据合法流通的行业准则。

在现阶段，数据流通合法性基础为：“数据接收方征得数据主体的同意，同时数据提供方征得数据主体同意或将数据经过处理无法识别特定个体且不能复原”。

共同体认可上述合法性基础的数据流通条件为：多个参与主体共同组成“技术安全+模型评估+过程控制”的相互制衡的控制与服务体系，通过以去标识数据为基础单元的“数据流通域”，基于数据流通合规评估见证与实时映射控制，结合政府督导抽检等监管措施，实现安全有序的数据流通。

除“接收方取得同意+提供方取得同意”条件下的个人数据的直接流通利用外，遵循提供方去标识数据在特定数据流通域的流通规则（简称“去标识流通”）。根据接收方的数据应用对个体/群体的影响，去标识流通的数据根据不同类型的应用采取不同的合规控制措施：

①  非识别身份的应用：数据应用指向群体或身份不明确个体，接收方无需取得同意，直接获取去标识数据开展数据应用。其数据流通遵循“提供方数据去标识+接收方无需取得同意+禁止重标识”的路径（例如用于统计的数据）。

② 已识别身份下的应用：数据应用指向个体，接收方已事先取得同意，以所获取的个体识别符获取对应数据，从而开展数据应用。其数据流通遵循“提供方数据去标识+接收方取得同意+受控重标识”的路径（例如身份验真、贷款审批）。

③ 用于识别身份的应用：数据应用可识别个体身份，接收方未事先取得同意，依据其他相关法律法规而获取数据以开展数据应用。其数据流通遵循“提供方数据去标识+接收方依据法律法规应用+受控重标识”的路径（例如根据防疫法律法规，权力机构从医疗、运营商、交通等机构获取密切接触者联系方式）。

其中，“受控重标识”，指在数据流通域的过程控制下，当数据接收方取得了数据主体的有效同意，获得数据主体身份识别标识符后，基于合规评估见证与实时映射控制，将去标识化的流通数据，重新关联到该特定数据主体或一组数据主体的过程。（参见：GB/T 37964-2019）

第二章  数据流通最佳实践的运行

第8条  【数据流通最佳实践参与主体】

如上图所示组织关系，数据流通最佳实践的参与主体包括三类：

一、流通主体，指控制并供应数据的数据提供组织（简称提供方）和需求数据以开展数据应用的接收组织（简称接收方）。

① 提供方基于合法收集的数据，经处理形成流通数据，在平台方的支持下，向接收方有限输出流通数据，获得数据收益权。提供方应当遵守平台方的流通数据管理标准，确保提供的数据具有可流通性并满足法律规定的合法条件。

② 接收方是流通数据的使用者，在平台方的支持下，从提供方获取流通数据使用权，直接开展非身份识别下的数据利用，或基于数据对象主体的同意而识别身份使用数据，或基于相关法律依据而识别使用数据。接收方应当严格依据与提供方签署的数据使用许可协议使用数据，对任何超越范围和违反协议的使用行为承担法律责任。

汇聚数据融合计算后对外服务的机构，应区分汇聚过程和计算后服务过程，分别承担接收方和提供方的权利义务。

二：服务主体，指为提供方和接收方实现交互媒介、中介撮合、传输流动、清算结算、服务整合等数据流通服务的数据流通平台组织（简称平台方），如数据交易所/交易中心等类似组织，或由提供方/接收方自身兼任。

① 平台方在评估方和安全方的支持下，建设和运营数据流通枢纽服务平台，协助提供方开展数据分享、处理方实施数据加工和接收方进行数据接收应用。平台方应当维护数据流通域安全合规边界，监控数据流通过程、保障数据有序流通。平台方应当以元数据形式管理流通数据，不应当收集、存储和处理流通数据。平台方可以集成安全方、加工方等的第三方服务。集成的第三方服务，依据协议由服务提供者独立承担责任。

三、支持主体，指为数据流通提供技术和法律相关的解决方案和制度规则，或提供帮助实施解决方案和制度规则的第三方支持组织，包括：流通合规评估模型工具提供组织（简称模型方）、流通安全技术提供方（简称技术方）、数据流通过程安全服务组织（简称安全方）、数据流通评估服务组织（简称评估方），支持主体还可以包括接受提供方或接收方的委托进行数据加工处理的组织（简称加工方）。

① 模型方以最佳实践共识和对应国标/地标为基础，结合长期大量的项目经验积累，组织行业、技术与法律专家，形成合规模型及专家支持，以更直观的方式封装成评估与合规留证工具，支持评估方开展评估工作，并形成可核验的评估报告。模型方对评估方法的有效性和正确性负责，及时修正，且及时配合安全方对评估方提交的评估结论进行核验。

② 技术方遵循最佳实践共识和对应国标/地标，提供数据去标识化等安全技术，以软件包、接口等形式，支持安全方开展数据流通过程监管与控制服务。技术方应在安全方提交所收集的合规评估结论和报告后，及时开放技术服务接口，并做好技术接口服务记录存档工作。

③ 安全方负责管理去标识技术的相应设备，在模型方和技术方的支持与制衡下，提供数据流通安全合规的过程监管与过程控制服务，支持平台方、提供方、接收方等流通实施角色开展数据流通。安全方应当在评估方的有效评估结论和报告的基础上开展服务，并及时响应平台方的业务需求，包括通过密钥管理重标识相关的映射关系的建立、暂停、关闭和实时的映射转化等。

④ 评估方在模型方评估工具和规则的支持下，为平台方、提供方、接收方等提供数据流通安全合规的评估服务。评估方对评估报告的真实性、时效性负责，并及时通知安全方相应评估结论。

⑤ 加工方接受提供方或接收方的委托，遵守委托约束，有限获取加工被委托处理的数据，形成更多数据服务，获得服务收益权。加工方应当严格依据与提供方或接收方签署的数据委托协议加工处理数据，对任何超越范围和违反协议的行为承担法律责任。离开委托方平台进行处理加工的数据，须是去标识化的数据，并禁止重识别。

四、共同体认可实操过程中，一个组织机构（企事业单位）可能/可以承接多主体的职责，多角色开展业务。

第三章  共同体支持服务

第9条  【支持平台】

“共同体”委托上海世代企业发展促进中心构建数据流通最佳实践服务技术支持平台www.dataprotection.cn。（简称支持平台）

共同体认可公安部第三研究所提供的xID标记“去识别与流通控制”技术，也认可达到类似效果或更好效果的技术，并集成入支持平台。

组成共同体的所有组织机构应当在“支持平台”注册为用户（ID编码由法人组织编码+平台方编码组成），遵循本公约及平台制定的所有制度规则和政策。平台配置的账号ID是各方从事数据交易与相关服务的身份标志。

第10条  【支持平台的服务】

支持平台服务于平台方、安全方和评估方，为数据流通提供商业、技术、法律解决方案，并为数据流通评估方提供技术支持。

支持平台不直接服务数据供需双方的数据流通，对具体数据流通的合法性不承担责任。

第四章  监督和管理

第11条  【机构自律】

为维护数据流通公正、合法和安全运营，最佳实践参与组织机构共同成立数据流通自律委员会，对依据数据流通最佳实践从事数据流通的行为进行自治管理。每个最佳实践参与主体指派一名专业人士，组成数据流通自律委员会。

第12条  【参与主体自律管理】

最佳实践参与各方有下列情形之一的，数据流通自律委员会视情节轻重，由支持平台暂停其业务或者取消其用户资格： 

① 国家主管机关撤销其工商登记或者予以解散； 

② 法院裁定宣告其破产； 

③ 发生数据泄露事件或其他安全事故；

④ 发生不适合继续从事数据流通的其他情形。

第13条  【流通主体自律管理】

流通主体违反数据流通最佳实践共识、提供/接收双方数据使用许可协议、以及经共同体认可的准则或政策的，数据流通自律委员会视情节轻重采取下列措施：

① 记录违规行为于用户行为信息公示栏 ；

② 书面警示并责令改正；

③ 拒不改正违规行为的，通告安全方中止服务；

④ 有三次违规行为记录的，取消支持平台用户资格。

第14条  【服务主体持续监督】

服务主体应持续监控(包括流通后)流通数据的使用情况的结果，以防止对个人权益造成影响或侵害。

个人信息使用情况的持续监控，应该至少包含以下内容：

① 是否涉及私自变更目的使用数据；

② 是否过多地追踪或监视个人行为；

③ 是否涉及意料之外的数据披露对个人造成影响；

④ 是否引发差别性待遇或有损害个名誉、尊严或隐私的后果。

第15条  【维权投诉】

数据流通主体和服务主体应当设立个人维权投诉渠道，设置专人维护并处理纠纷。

个人对于处理不服或者数据流通实施方认为难以处理的，可以提交支持平台处理。

第16条  【随机检查】

数据流通自律委员会应当不定期进行抽查，对评估后从事数据流通利用的主体的数据利用状况进行检查。如发生违规和不诚信行为，实施第12、13条相应措施。

2020年9月