《政务数据共享流通合规研究框架指导原则（试行）》

《政务数据共享流通合规研究框架指导原则（试行）》各级政务部门、法定授权承担公共管理和服务职能的事业单位、涉及公共服务供给的国有企业开展政务数据采集、归集、共享、开放、社会化开发利用、销毁全生命周期管理活动，以及参与政务数据运营的第三方服务机构开展相关数据处理活动，均应当严格遵循本原则要求。所有政务数据共享流通活动必须严格遵守《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《政务数据共享开放条例》等法律法规及相关规范性文件要求，符合国家秘密、工作秘密、商业秘密、个人隐私保护的各项规定，不得损害国家利益、社会公共利益和第三方合法权益。数据共享需求的提出必须基于法定履职或者公共服务供给的实际需要，不得超出本单位权责清单列明的职能范围申请数据，不得将共享获取的政务数据用于或者变相用于商业牟利、个人牟利等非履职相关用途。涉及跨层级、跨区域数据共享的，必须符合数据属地管理和层级权限规定，不得越权申请、越权批复数据共享需求，不得擅自向下级单位或者非管辖范围内的主体推送未脱敏的敏感政务数据。政务数据共享需求的提出应当以满足履职的最小范围、最低够用程度为标准，优先申请经脱敏、聚合处理的公共数据产品，确需使用原始数据的应当单独提交详细的履职必要性说明，经数据提供方、本级政务数据主管部门双重审核通过后方可获取。数据提供方应当根据需求方的具体履职场景精准匹配数据字段，不得额外提供与需求无关的字段内容，不得过度授权数据使用期限、使用范围，对使用期限届满的共享数据应当第一时间收回访问权限，同步督促需求方完成本地存储的相关数据销毁工作。涉及个人信息的共享流通，应当严格限制在实现公共服务目的的最小个人信息范围，能够通过去标识化处理满足需求的不得共享可识别到特定自然人的信息，能够仅共享单次查询结果的不得开放批量数据调用权限。各级政务数据主管部门承担本行政区域内政务数据共享流通的整体合规监管责任，负责建立合规审查、风险评估、合规审计全流程管理机制，定期组织开展跨部门联合合规检查。数据提供方承担所提供数据的来源合规、质量合规、分类分级标注准确的责任，对涉及敏感数据的共享需求应当开展前置合规审查，明确告知需求方数据使用的约束条件、安全管理要求及违规责任。数据需求方承担共享获取数据的使用合规、安全防护责任，应当建立内部数据使用审批、操作留痕、全流程溯源机制，严格按照申请时明确的用途使用数据，如需变更用途、扩大使用范围、向第三方转授数据使用权的，应当重新向数据主管部门和数据提供方提交正式申请，获得正式批复前不得擅自调整数据使用方式。参与政务数据运营的第三方机构应当与委托方签订专项合规协议，明确数据使用边界、安全防护义务、违约责任，完成政务数据运营服务后应当全部清退所持有的政务数据及衍生数据产品，不得留存、复制、传播任何未公开的政务数据资源。政务数据共享流通前应当完成分类分级标注，按照国家政务数据分类分级相关标准划分为普通数据、敏感数据、核心数据三个等级，不同等级数据适用差异化的共享流通审批流程和安全管控要求。普通数据可以通过本级政务数据共享交换平台实现无条件共享，需求方完成单位身份核验、人员实名认证后即可获取使用权限。敏感数据应当实行有条件共享，需求方应当提交加盖单位公章的需求申请、具体用途说明、数据安全防护方案，经数据提供部门合规审查、数据主管部门复核通过后，通过专用加密通道、单次授权调用等方式提供，所有敏感数据的传输、使用不得脱离政务数据共享交换平台的安全管控范围。核心数据原则上不跨部门、跨区域共享，确因国家重大战略实施、重大公共应急处置、重大公共政策制定需要共享的，应当经本级人民政府主要负责人审批同意，报上级政务数据主管部门备案后，在物理隔离的专用运行环境中提供数据访问权限，禁止任何单位和个人下载、导出、复制核心数据。涉及国家秘密的政务数据不纳入共享交换平台管理，相关共享流通活动严格按照国家保密相关规定执行。各级政务数据共享交换平台应当建立全流程操作日志留痕机制，对数据的申请、审批、调取、使用、流转、销毁全环节的操作主体、操作时间、操作内容、IP地址、设备标识等信息进行完整记录，日志留存期限不得少于10年，任何单位和个人不得篡改、删除、隐匿操作日志。数据需求方应当建立内部政务数据使用台账，对共享数据的实际使用人员、使用场景、加工处理过程、衍生产品去向等信息进行逐项登记，每季度向数据主管部门和数据提供方报送数据使用情况。各级政务数据主管部门应当每年至少组织一次政务数据共享流通合规审计，重点审查敏感数据、核心数据的使用情况，对违规使用、超范围使用、未经授权流转数据的行为及时追溯追责，审计结果直接纳入政务部门年度绩效考核指标体系。各级政务部门应当建立政务数据共享流通风险动态监测机制，对异常调用、批量下载、跨权限访问、非授权IP访问等异常行为进行实时预警，发现风险隐患第一时间暂停相关数据使用权限，同步开展风险核查处置。涉及公共数据授权运营的，应当在运营前开展专项合规风险评估，对运营主体的资质条件、数据安全防护能力、合规管理体系进行全面核查，运营过程中每半年开展一次风险评估，对存在违规泄露数据、超范围使用数据等行为的运营主体及时终止授权，依法追究相关责任。发生政务数据泄露、滥用等安全事件的，相关责任主体应当第一时间启动应急预案，采取技术和管理层面的补救措施，同步向本级网信部门、数据主管部门、公安机关报告，不得迟报、瞒报、漏报。政务数据共享流通中应当依法保障自然人、法人和其他组织的合法权益，对涉及个人信息的共享流通，除法定不需要告知的情形外，应当通过政务服务平台、线下公告等方式告知个人数据共享的范围、用途、接收方等信息，充分保障个人的知情权、决定权、查询权、更正权、删除权。对涉及商业秘密的政务数据，除法定可以强制共享的情形外，应当事先征得相关权利人同意，确因公共利益需要共享的，应当采取必要的脱敏处理措施，最大限度降低对相关权利人合法权益的影响。自然人、法人和其他组织发现政务部门违规共享、使用涉及自身权益的政务数据的，有权向政务数据主管部门投诉举报，主管部门应当在15个工作日内完成核查处置并将结果反馈至投诉举报人。政务部门应当将政务数据共享流通合规管理纳入本单位法治建设和数据安全管理体系，明确专门的合规管理岗位和人员，定期组织开展合规培训，提升工作人员的合规意识和数据安全防护能力。省级政务数据主管部门可以根据本原则制定本行政区域内的实施细则，细化合规审查流程、责任认定标准、违规处置措施，每半年向国家政务数据主管部门报送本区域政务数据共