附件4 《广东省数据经纪人管理规则（试行）》（征求意见稿）

———广东省数据经纪人管理规则（试行）（征求意见稿）第一章总则第SEQ第\*CHINESENUM3一条【目的】为规范数据经纪人的认定、经营活动和日常监督，根据《广东省数据流通交易管理办法（试行）》，制定本规则。第SEQ第\*CHINESENUM3二条【术语定义】数据经纪人是指经省政务服务数据管理局认定，利用行业整合能力，通过开放、共享、增值服务、撮合等多种方式整合利用有关数据，促进行业数据与公共数据融合流通的中介服务机构，旨在建立供需信任关系、挖掘数据要素价值、维护各方合法权益、活跃数据要素市场，促进数据可信有序流通和市场化利用。数据经纪人根据自身基础及业务范围包括但不限于技术赋能型、数据赋能型、受托行权型：（一）技术赋能型是指自身不拥有数据，通过提供技术支撑促进数据供需对接的数据经纪人；（二）数据赋能型是指将自身数据资源与供方数据融合，以满足需求方特定需求的数据经纪人；（三）受托行权型是指自身不拥有数据，主要代表数据权益人行使数据权利、争取数据权益的数据经纪人。第SEQ第\*CHINESENUM3三条【机构职责】数据经纪人认定遵循严格准入、依法规范、分类监管、属地管理的原则。省政务服务数据管理局制定数据经纪人管理规则，组织开展数据经纪人遴选与认定工作。各地区政务服务数据管理部门根据省政务服务数据管理局授权，配合开展数据经纪人遴选与认定工作。第SEQ第\*CHINESENUM3四条【权利义务】数据经纪人依法优先获得公共数据开发使用权益及相应产品经营权益。数据经纪人利用公共数据资源开发形成数据产品和服务的，应当得到政务服务数据管理部门确认的授权，并应当坚持公益原则，公平对待各类数据应用需求。数据经纪人应当承担数据经纪活动主体责任，应遵守国家相关法律法规要求，保障数据经纪活动合法合规，对数据经纪业务过程中因自身原因引发的重大数据安全事件依法承担相关风险责任。第二章认定、变更和退出第SEQ第\*CHINESENUM3五条【认定原则】按照总量控制、合理布局、审慎认定的原则，未经省政务服务数据管理局同意，任何单位或个人不得认定数据经纪人，不得以数据经纪人的名义组织相关活动。省政务服务数据管理局应当推动建立跨省数据经纪人认定机制。第SEQ第\*CHINESENUM3六条【认定程序】（一）申报要求。1.申报主体应为中华人民共和国境内依法登记注册的法人及非法人组织。2.申报主体未被列入企业经营异常名录、严重违法失信名单（黑名单），不存在严重漏缴、欠缴税款情况，近三年未发生过重大安全、重大质量事故或严重违法行为。3.申报主体可按照数据经纪人的遴选指标及评价标准，选择具体的数据经纪人类别进行申请。（二）提出申请。在遵循自愿申报原则的前提下，申报主体根据本规则要求，填报《广东省数据经纪人申报书》，向申报主体注册地所在地级以上市政务服务数据管理部门提出书面申请。注册地不在本省的申报主体，向省政务服务数据管理局提出书面申请。为重点企业提供直通车便利服务，省政务服务数据管理局可直接受理书面申请。（三）评定方式。政务服务数据管理部门应在收到申报主体递交的申报书后，组织专家评审，并出具初审意见及数据经纪人预选名单。评审内容主要包括以下方面：1.生态协同能力，主要包括产业链合作伙伴、数据资产清单、数据产品目录、行业数据空间等；2.数据运营能力，主要包括数据规模、质量、治理、应用、平台和运营效果等；3.技术创新能力，主要包括标准规范制定、知识产权和研发投入占比等；4.数据安全能力，主要包括法规义务履行情况、数据安全管控措施和数据安全能力成熟度等；5.组织保障能力，主要包括人员保障、资金投入和技术环境等。（四）名单确认。受理申报的政务服务数据管理部门将数据经纪人预选名单、初审意见以及申请材料一并上报省政务服务数据管理局审核，确定数据经纪人名单。（五）名单公示。省政务服务数据管理局通过官网向社会公示数据经纪人名单。（六）最终认定。公示通过后，由省政务服务数据管理局向申报主体发放通过数据经纪人认定的通知。第SEQ第\*CHINESENUM3七条【变更程序】经认定的数据经纪人，如有下列重大变更事项之一的，应当主动向受理申报的政务服务数据管理部门报告，并向省政务服务数据管理局备案。（一）变更注册名称；（二）变更或新增经营范围；（三）变更注册资本、股东；（四）变更注册住址；（五）变更法定代表人、董事长（执行董事）、持有5%以上股权股东和董事、监事长、首席数据官、首席数据安全官；（六）对评定条件构成重大影响的其他事项。涉及数据经纪人类别的变更，按照程序重新进行认定。第SEQ第\*CHINESENUM3八条【退出程序】数据经纪人因存在数据运营能力重大缺陷无法继续履行数据经纪人职责、发生较严重数据安全事件或存在重大数据交易合规性问题等情况，省政务服务数据管理局有权撤销其数据经纪人认定，并通过官网向社会公示。数据经纪人在经营过程中因存在不可抗力等因素导致无法继续开展数据经纪人工作的，可向受理其申报的政务服务数据管理部门提交书面申请退出。经省政务服务数据管理局同意后，取消其数据经纪人认定，并通过官网向社会公示。第三章规范经营第SEQ第\*CHINESENUM3九条【机构及人员要求】（一）数据经纪人应建立健全内部治理结构，完善议事规则、决策程序和内部审计制度，保持内部治理有效性；（二）数据经纪人应明确数据经纪业务具体管理部门和管理职责，以保证数据经纪工作的持续与稳定。相关人员应具备相关法律法规要求的从业资格，熟悉数据安全相关法律、法规，具有良好的职业道德；（三）数据经纪人应设立首席数据官、首席数据安全官，落实安全责任人；（四）数据经纪人应与相关人员签订信息安全与保密协议，根据数据安全分级设置数据等级权限帐号系统，定期进行数据安全培训。第SEQ第\*CHINESENUM3十条【业务管理要求】（一）建设行业数据空间。支持数据经纪人在保障数据安全的前提下，利用自身数据及技术优势，建设本行业数据空间。数据经纪人应响应本行业数据空间利益相关方的需求和期望，明确数据空间的运营规则，以开放、共享、增值服务、撮合等多种方式整合利用各方数据。挂牌及交易备案。引导和鼓励数据经纪人形成的数据产品和服务，在数据交易所挂牌和交易。（三）信息留存。数据经纪人应妥善保存数据经纪业务相关信息，保证信息的完整性、安全性和可追溯性，留存记录保管期限不得少于二十年，必要情况下，应配合管理部门进行检查。留存信息应包括但不限于运营数据、业务活动数据以及其他数据经纪业务相关的数据。（四）信息报送制度。数据经纪人应当按要求定期报送数据经纪业务开展情况及其他相关专项报告，确保资料真实、准确、完整。（五）信息披露制度。数据经纪人应当建立信息披露制度。信息披露内容包括：主体信息、管理制度、业务范围、重大突发事件、客户服务及投诉处理渠道等。披露的信息应当真实、准确、完整、及时，不得有虚假记载、误导性陈述或者重大遗漏。第SEQ第\*CHINESENUM3十一条【安全与技术要求】数据经纪人应当采取必要技术措施确保数据处于有效保护和合法利用的状态。应当依据数据分类分级管理要求，明确数据提供的范围、数量、条件、程序等；应当依据法律规定或者与用户约定的方式和期限进行采集和存储数据。重要数据应当采用校验技术、密码技术等措施进行安全存储，实施数据容灾备份和存储介质安全管理，不得直接提供存储系统的公共信息网络访问；应当根据加工处理的数据类型、级别和应用场景，制定安全策略并采取保护措施。加工处理涉及重要数据的，还应当采取校验技术、密码技术、安全传输通道或者安全传输协议等措施；（四）公开数据应当真实、准确，并在公开前开展安全评估，对涉及个人隐私、个人信息、商业秘密、保密商务信息以及可能对公共利益及国家安全产生重大影响的，不得公开；（五）应当建立数据销毁策略和管理措施，明确销毁对象、流程和技术等要求，对销毁活动进行记录和存证。销毁涉及重要数据的，不得以任何理由、任何方式对销毁数据进行恢复。第SEQ第\*CHINESENUM3十二条【数据安全风险评估】数据经纪人应按下列要求建立健全数据安全风险评估机制，并保存执行情况。（一）组织建立数据安全主要风险清单和识别的判断标准，并对主要风险清单和定义进行统一维护；（二）基于风险状况和外部环境，至少每年一次对数据安全主要风险清单进行评估与分析；（三）组织建立数据安全风险应对策略和数据安全事件应急预案，并至少每年一次进行重检与更新；（四）至少每年一次组织进行数据安全风险防控演练。第四章日常监督第SEQ第\*CHINESENUM3十三条【责任分工】受理申报的政务服务数据管理部门应对数据经纪人日常经营行为进行监管，并与相关部门建立风险防范协调和信息共享机制。第SEQ第\*CHINESENUM3十四条【管理措施】政务服务数据管理部门必要时可委托第三方对数据经纪人开展独立审计或风险评估，对数据经纪人的数据经纪业务的经营及风险情况进行检查。对运营能力不完善、业务管控不规范、数据安全控制不健全的数据经纪人，应当责令其限期改正，并可以采取下列措施：（一）责令增加内部合规检查的次数并提交合规检查报告；（二）对数据经纪人及其有关首席数据官、首席数据安全官、高级管理人员给予通报批评；（三）责令处分有关责任人，并报告结果；（四）责令暂停数据经纪人的部分或者全部数据经纪业务，直至撤销数据经纪人认定。数据经纪人被撤销、取消认定的，应当按照有关规定安置、处理未了结的业务。第SEQ第\*CHINESENUM3