公共数据开发利用安全管理办法（征求意见稿）.docx

公共数据开发利用安全管理办法（征求意见稿）第一章总则第一条为了规范公共数据处理活动，保障公共数据安全，促进数据资源有序开发利用，保护个人、组织的合法权益，维护国家主权、安全和发展利益，依据中华人民共和国网络安全法中华人民共和国数据安全法中华人民共和国个人信息保护法中共中央国务院关于构建数据基础制度更好发挥数据要素作用的意见河北省数字经济促进条例石家庄市公共数据管理规定（试行）石家庄市公共数据运营管理办法（试行）等有关法律法规规定，结合本市实际，制定本办法。第二条本市行政区域内公共管理服务机构和市场主体开展公共数据处理活动及其安全监管，适用本办法。涉及国家秘密的公共数据及相关处理活动，按照有关法律、法规的规定执行。第三条本办法所称公共数据开发利用，是指基于可信的安全环境，对公共数据进行存储、使用、加工、传输以实现公共数据价值挖掘的相关活动。第四条公共数据开发利用安全管理应当坚持安全与发展并重，遵循统筹规划、权责统一、综合防范的原则，保障公共数据在依法合规地前提下进行开发利用和价值挖掘。第五条公共数据开发利用按照“谁管理谁负责、谁运营谁负责、谁使用谁负责的原则，加强公共数据全生命周期安全和合法利用管理，确保数据来源可溯、去向可查，行为留痕、责任可究。第二章安全要求第六条本市公共数据运营平台是本市依法合规开展公共数据开发利用的统一基础设施。运营单位和应用单位应依托公共数据运营平台提供的安全可信环境进行公共数据的开发利用。第七条在公共数据开发利用过程中，运营单位、应用单位应当加强人员管理，明确在人员任用、人员培训、人员考核、保密协议、离岗离职、外部人员管理等方面的管理规定并严格落实。运营单位、应用单位委托第三方服务机构开展公共数据处理活动的，运营单位、应用单位应当对受托的第三方服务机构加强监督，受托的第三方服务机构应当与相关人员签订保密协议，严格实施权限管理，定期进行人员活动审查。第八条在公共数据开发利用过程中，开展公共数据存储活动时，应当根据需要采取脱敏、加密、校验等措施，保障公共数据的存储安全。针对重要数据和核心数据，应当建立数据容灾备份及恢复机制。应当依法或按照约定的方式和期限存储数据。超过存储期限的数据，应当利用不可恢复手段及时清除。第九条在公共数据开发利用过程中，开展公共数据传输活动时，应当根据传输的数据类型、级别和应用场景，制定安全策略并采取保护措施。公共数据数据传输应当采取校验技术、密码技术、安全传输通道等措施，保障公共数据传输过程可信、可控。第十条在公共数据开发利用过程中，开展公共数据加工时，应当在其履行法定职责的范围内依照法律、法规、规章规定的条件和程序使用加工数据，应当采取管控措施确保数据使用加工合规，过程安全可控、可溯源。使用加工重要数据和核心数据的，还应当加强访问控制，建立登记、审批机制并留存记录。第十一条使用数据挖掘、关联分析等技术手段开展公共数据加工处理活动时，应当采取安全技术措施防止敏感个人信息、商业秘密等信息的泄露。第十二条在公共数据使用过程中，不得超出合理范围使用，不得滥用公共数据侵犯公共利益或者他人合法权益。第三章安全责任第十三条运营单位和应用单位应当加强网络安全和数据安全管理统筹规划，强化制度建设、经费投入、技术保障、人员管理，建立健全数据安全管理制度，落实数据安全管理责任制，实施数据安全技术防护，加强权限管理，组织开展数据安全教育和培训。第十四条运营单位和应用单位应当建立健全公共数据开发利用日常监测、安全测评、风险评估、安全审查等机制，确保公共数据管理、需求审核、开发利用、技术支撑等全流程安全可控。第十五条运营单位和应用单位应当建立合规管理机制,对数据存储、传输、使用、加工等全流程进行合规管理，定期进行合规评估。第十六条运营单位和应用单位应当制定数据安全事件应急处置预案，发生数据泄露、毁损、丢失等数据安全事件或重大风险时，应当立即启动数据安全事件应急处置预案，并向市公共数据主管部门报告。第十七条运营单位和应用单位应当遵守相关规定，建立个人信息授权使用机制，并通过必要的技术防控措施，加强对信息主体和第三方合法权益的保护，防范国家秘密、商业秘密和个人隐私被泄露、非法获取或者不当利用。第十八条运营单位和应用单位在公共数据开发利用过程中不得损害国家利益、社会公共利益和他人合法权益。如违反网络安全、数据安全、个人信息保护有关法律法规规定的，由相关单位依法予以查处，将相关违规违法行为纳入征信记录。第四章安全监管第十九条公共数据主管部门应当建立健全安全监督管理机制，对公共数据开发利用安全合规监督检查，并督促整改落实。运营单位和应用单位在开展公共数据开发利用过程中，应当记录全生命周期数据处理、权限管理、配置管理等信息,并对异常操作行为进行监控和告警，保障重要操作行为可溯源。信息留存时间不少于六个月，并定期进行安全审计，运营单位和应用单位应当配合公共数据主管部门组织的数据安全监督检查活动。第二十条运营单位和应用单位委托第三方服务机构开展公共数据加工的，应当对受托的第三方服务机构数据安全保护能力、资质进行核实，确保符合国家、行业主管部门的相关要求。第五章附则第二十一条本办法自印发之日起施行。国家或本省对公共数据开发利用安全管理有新规定的，从其规定。第二十二条本办法由市数据局承担具体解释工作。