DB53-T 1238-2024 区块链跨境数据流动服务应用指南

53IDB53/T1238—2024本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。DB53/T1120《区块链跨境贸易服务应用指南》、DB53/T1121《区块链域名解析服务应用指南》DB53/T1237《区块链跨境贸易电子认证服务应用指南》、DB53/T1238《区块链跨境数据流动服务应用指南》等共同构成支撑云南省区块链产业发展的地方标准体系。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由云南省区块链和数字科技标准化技术委员会（YNTC27）提出并归口。本文件起草单位：云南财经大学、云南省科学技术院、中国电子标准化研究院、中国（云南）自由贸易试验区昆明片区管委会、昆明经济技术开发区管理委员会、中国电子口岸数据中心昆明分中心、云南电子商务发展中心、云南农优科技有限公司。本文件主要起草人：余益民、宋俊蓉、陈韬伟、赵进一、李鸣、赵文、李强、宋智明、王会源、王景艺、杨潜、黄兴鑫、段正泰、薛云红、刘建业、彭超、王贵文、林金海、陈宗懿、叶奕、温珍颖、舒涵、余厚辉、叶灿、任志鑫、王国荣、高建、冯艳、代灵浩、朱贲、何丰泽、丁雯、袁园、刘丹、张秋、储瑜谷、邹李鞠灵、李翠萍。1DB53/T1238—2024区块链跨境数据流动服务应用指南本文件给出了区块链跨境数据流动服务的应用框架、服务原则、相关方和关键过程。本文件适用于组织和机构建立、实施、保护和改进区块链跨境数据流动服务，也为使用区块链跨境数据流动服务应用功能的相关应用提供参考。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。DB53/T1120区块链跨境贸易服务应用指南DB53/T1121区块链域名解析服务应用指南ISO22739：2024区块链与分布式记账技术—词汇（Blockchainanddistributedledgertechnologies—Vocabulary）3术语和定义DB53/T1120、DB53/T1121、ISO22739界定的术语和定义适用于本文件。3.1区块链blockchain使用密码技术将共识确认过的区块按顺序追加而形成的分布式账本。[来源：ISO22739：2024，3.6]3.2跨境数据流动cross-borderdataflow数据跨越国界的传输、处理与存储，或者数据尚未跨越国界，但能够被他国主体进行访问。3.3智能合约smartcontract存储在分布式记账技术系统中的计算机程序，该程序的任何执行结果都记录在分布式账本中。[来源：ISO22739：2024，3.88]3.4分布式身份标识decentralizedidentifier由特定格式的字符串组成的，用来代表特定实体的数字身份。[来源：DB53/T1121-2022，3.9]3.52DB53/T1238—2024分布式身份标识文档decentralizedidentifierdocument一组用来描述分布式数字身份实体的数据，其中包括分布式身份标识、公钥和描述实体的其他属性或声明，分布式数字身份持有者可以通过该文档来证明其身份。[来源：DB53/T1121-2022，3.10]3.6隐私计算privacycomputing在多方协作计算过程中，实现身份信息与数据信息的最少披露。3.7区块链钱包blockchainwallet区块链中的应用程序或机制，用来生成、管理、存储用户的私钥和公钥或其他数字资产的工具。[来源：ISO22739：2024，3.100]3.8数据访问控制令牌dataaccesstoken数据访问权限的安全上下文描述。4缩略语下列缩略语适用于本文件：DID：分布式身份标识（DecentralizedIdentifiers）VC：可验证凭证（VerifiableCredential）NFT：非同质化通证（Non-FungibleToken）5应用框架区块链跨境数据流动服务应用的实施依赖于平台，平台宜包括相关方和关键过程，见图1，应用场景详见附录A。相关方包括数据主体、数据请求方、身份服务方、服务支持方和服务管理方。关键过程包括区块链服务层、区块链身份层、跨境数据处理层、跨境数据流动服务层、跨境数据流动管理层。区块链跨境数据流动服务原则包括身份自主控制原则、数据自主控制原则、最少信息披露原则、隐私保护与安全原则、可管理原则。3DB53/T1238—2024图1区块链跨境数据流动服务应用框架6服务原则6.1身份自主控制原则4DB53/T1238—2024用户数字身份标识、身份文档及电子证照等身份信息宜由用户自主创建、自主存储及自主管理。用户身份信息经用户授权方可共享，用户数字身份及身份信息可自主增加、删除和修改，并可与各国签发的数字身份证书和电子证照进行绑定，实现数字身份的跨境互联互通和电子认证。6.2数据自主控制原则用户拥有其数据的知情权、管理权和携带权。数据需求方宜经过数据用户授权方可访问，数据具有可确权、不可篡改、可溯源和防抵赖的特性，并可通过可信平台进行数据真实性和有效性验证。6.3最少信息披露原则用户仅需提供必要的身份信息与数据以获取平台的信息服务，数据可由区块链平台提供的隐私计算智能合约提交。同时，也要求在数据合法流动共享过程中，确保数据授权的最小权限以及最少泄露，并采用加密、脱敏和匿名化等技术手段避免明文数据传输。最少信息披露是实现数据主体隐私保护的重要支撑。6.4隐私保护和安全原则跨境数据流动过程中需要采取相应的隐私保护和安全措施，以确保个人和企业的数据安全，避免个人隐私数据和企业商业秘密泄露。6.5可管理原则管理部门在对各参与主体进行监控的前提下，不能获取用户或平台数据。在发现违规情况时，通过对区块链数据追溯实现管理。7相关方7.1数据主体数据主体包括在跨境数据流动的所有业务中，拥有数据所有权且进行发送的法人组织、非法人组织以及自然人。7.2数据请求方数据请求方包括在跨境数据流动的所有业务中，能够确定数据被处理的目的、条件和方式并进行使用的法人组织、非法人组织以及自然人。7.3身份服务方身份服务方包括在跨境数据流动的所有业务中，提供身份认证等相关服务的法人组织、非法人组织以及自然人。7.4服务支持方服务支持方包括为区块链跨境数据流动提供应用服务的平台，提供应用服务的建设、运维和管理等技术支持的相关方。7.5服务管理方5DB53/T1238—2024服务管理方负责监督管理区块链跨境数据流动中的所有业务，以保证区块链服务合法合理的运行。8关键过程8.1区块链服务层8.1.1功能链建立在建立跨境数据流动区块链网络时，可按需要建立身份链、数据链及管理链等多个功能链，并定义或选择相应的区块链类型、共识机制、数据存储及数据钱包等。8.1.2区块链类型选择各功能链可在保障数据安全的前提下依据具体需求选择公链、联盟链、私有链或混合链等不同的区块链类型。8.1.3共识算法选择各功能链的共识机制宜采用成熟的共识算法，确保一致性和有效性。8.1.4智能合约部署用户各方按照共同约定的条件、规则及算法创建智能合约，并在区块链平台上进行部署。8.1.5分布式账本创建在一组分布式记账技术节点之间共享并使用共识机制同步的账本。8.1.6用户数据存储用户数据宜采用加密形式进行存储，可选择本地存储、第三方存储和分布式存储等数据存储系统。8.1.7数据控制网关设置数据控制网关是用于管理数据存储的系统，可与区块链平台、跨境应用平台及用户数据钱包进行交互，按照数据控制智能合约约定的数据操作策略进行数据存储的操作。数据网关宜包括网关区块链地址、分布式数字身份标识及数据操作执行模块等。8.1.8用户数据钱包创建用户数据钱包是用户管理其身份与数据的系统，宜包括用户区块链地址、分布式数字身份标识、自主权数字证书、第三方身份证明、用户数据资产、数据授权证明等，可与区块链平台、跨境应用平台及数据网关等进行交互。8.2区块链身份层8.2.1分布式数字身份标识注册用户可通过平台自主注册DID。8.2.2自主权数字证书创建6DB53/T1238—2024用户可创建符合国内标准密码算法和国际标准密码算法的自主权数字证书。8.2.3第三方身份证明绑定用户可将其DID在平台上与各身份服务方颁发的身份证明进行绑定，身份证明可为电子营业执照、数字证书及VC等第三方机构颁发的身份证明标识或文件。8.2.4身份服务基础库构建用户可独立或合作在平台上构建身份认证的算法库、规则库、身份特征库及身份状态库等基础库。8.2.5身份认证智能合约创建用户可独立或合作在平台上按照约定的算法与规则创建身份认证智能合约，在身份特征库及身份状态库等数据基础上实现身份的跨境认证。8.3跨境数据处理层8.3.1元数据创建用户可采用其跨境数字身份创建跨境数据的元数据，元数据包括但不限于数据内容、数据内容哈希值、数据权凭证区块链地址、数据资产凭证区块链地址、数据资产交易地址、数据创建者DID、数据创建者电子签名、元数据创建者DID、元数据创建者电子签名等信息。8.3.2数据权可验证凭证生成用户可生成数据权可验证凭证VC。VC包括数据所有权凭证和数据使用权凭证，宜包括凭证类型、凭证所有者DID、数据解密密钥、凭证权限、凭证有效期、时间戳、凭证颁发者DID等。8.3.3数据资产凭证发行用户可在区块链平台上发行相应的数据资产凭证NFT。8.3.4数据访问控制令牌生成用户可生成相应的数据访问控制令牌。8.3.5数据服务基础库建立用户可独立或合作在平台上构建数据服务的算法库、规则库、策略库及数据特征库等。8.3.6数据访问控制智能合约创建用户可独立或合作在平台上按照约定的算法、规则及策略创建数据访问控制智能合约，并基于访问者身份、数据特征库等实现数据的访问控制。8.4跨境数据流动服务层8.4.1跨境数据请求数据请求方向数据主体提出数据请求，数据请求报文宜包括但不限于数据主体DID、请求内容、数据请求方电子签名、数据请求方DID等。7DB53/T1238—20248.4.2跨境数据授权数据主体宜在确保数据安全的前提下依据相关规定及具体需求对数据请求方颁发数据使用权凭证和数据访问控制令牌。8.4.3跨境数据访问请求数据请求方宜向数据控制网关提交跨境数据访问请求报文，请求报文宜包括数据主体DID、数据使用权凭证、数据访问控制令牌、数据请求方电子签名及数据请求方DID等。数据控制网关宜通过区块链平台进行以下核验：a)对数据请求方身份进行核验；b)对数据请求报文进行核验；c)对数据使用权凭证进行核验；d)对数据访问控制令牌进行核验。8.4.4跨境数据访问控制策略执行数据控制网关触发区块链平台上的数据管理智能合约，并按照数据访问控制智能合约确定的数据访问控制策略执行相应的数据访问控制操作。8.4.5跨境数据传输与解密数据控制网关从数据存储系统中将符合要求的加密数据提取出来，返回给数据请求方。数据请求方按照约定的加解密算法、策略及解密密钥对数据进行解密。8.4.6跨境数据结果验证数据请求方可通过区块链平台对接收的数据进行核验，确保数据真实性和完整性。8.5跨境数据流动管理层8.5.1管理对象注册管理对象宜在管理链上进行注册。管理对象包括三类，一是平台类管理对象，包括身份链、数据链、跨境应用平台及数据网关等；二是各相关方，包括数据发送方、数据接收方、数据使用方、身份服务方、服务支持方和服务管理方等；三是资源类管理对象，包括算法库、规则库、策略库、智能合约、身份特征库及数据特征库等。8.5.2管理节点创建服务管理方可在平台类管理对象中进行管理节点部署，以实时获取跨境数据流动的相关数据。管理节点也宜作为管理链的节点。8.5.3管理基础库建立服务管理方可独立或合作在平台上构建管理服务的算法库、规则库、策略库及管理数据特征库等。8.5.4管理智能合约创建8DB53/T1238—2024服务管理方可独立或合作在平台上按照约定的算法、规则及策略创建管理智能合约。智能合约可通过设定的算法、规则与策略对跨境数据流动行为及链上数据进行安全评估，对安全风险因素进行识别。8.5.5管理跨境协作服务管理方可与境内外管理机构合作，在确保管理数据安全的前提下采用隐私计算、联合建模及分布式机器学习等方式开展管理数据协作，共同构建跨境数据流动管理模型，实现跨境管理协作。9DB53/T1238—2024区块链跨境数据流动服务的典型应用场景A.1面向跨境应用平台的跨境数据流动区块链应用场景面向跨境应用平台的跨境数据流动区块链应用场景见图A.1，具体流程如下：a)用户通过其数据钱包向跨境应用平台发送服务请求；b)跨境应用平台通过跨境数据流动区块链平台对用户的跨境数字身份进行认证；c)用户向跨境应用平台发送数据使用权凭证和数据访问控制令牌；d)跨境应用平台向数据控制网关提交数据使用权凭证和数据访问控制令