数据产品登记业务流程规范.docx

《数据产品登记业务流程规范.docx》由会员分享，可在线阅读，更多相关《数据产品登记业务流程规范.docx（8页珍藏版）》请在第一文库网上搜索。

1、数据产品登记业务流程规范1范围本文件规定了进行数据产品登记时的登记业务过程、业务环节、审核原则等内容。本文件适用于开展数据产品登记业务的各单位。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T352732017信息安全技术个人信息安全规范T/数据产品登记信息描述规范3术语和定义下列术语和定义适用于本文件。3. 1数据产品dataproduct有价值的数据，或基于数据提供的有价值的内容或服务。3.1 2个人信息personaIinform

2、ation电子或其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。来源：GB/T352732017信息安全技术个人信息安全规范定义3.1注：对个人数据的定义包括但不限于：（1）公民身份号码、社保号、驾驶证、护照/台胞证等有效证件号码；（2）电话、微信、QQ等即时通信账号、E-mai1地址；（3）姓名、民族、出生日期或年龄、本人相片；（4）婚姻状况、工作单位、学历、履历等个人数据；（5）常住户口所在地住址或家庭地址；（6）指纹、健康疾病等生物数据；（7）收入和支付记录；（8）银行卡账号；（9）证券账户数据；（10）房屋登记数据；（11）保险单。个人信

3、息主体personaIinformationcontro1Ier个人信息所标识的自然人。来源：GB/T352732017信息安全技术个人信息安全规范定义3.3个人信息控制者personaIinformationcontro1Ier有权决定个人信息处理目的、方式等的组织或个人。来源：GB/T352732017信息安全技术个人信息安全规范定义3.4敏感信息sensitiveinformation不适合公布的数据信息，一旦泄露、非法提供或者滥用，可能导致数据产品登记申请方受到损害或其财产安全等方面遭受严重危害。注：敏感数据的定义包括但不限于：（1）财务数据；（2）产销数据；（3）货源数据；（4）工艺

4、配方；（5）技术方法；（6）计算机程序；（7）企业的客户数据。公开披露pubIicdisciosure向社会或不特定人群发布信息的行为。来源：GB/T352732017信息安全技术个人信息安全规范定义3.101.1 7转让transference将数据由一个控制者向另一个控制者转移的过程。来源：GB/T352732017信息安全技术个人信息安全规范定义3.11共享sharing数据的控制者向其他控制者提供数据，且双方分别对各自数据享有独立控制权的过程。来源：GB/T352732017信息安全技术个人信息安全规范定义3.12去标识化De-identification通过对个人信息的技术处理，使其

5、在不借助额外信息的情况下，无法识别个人信息主体的过程。来源：GB/T352732017信息安全技术个人信息安全规范定义3.144登记业务过程4.1 登记业务过程包括：a）企业审核；b）申请；c）初审；d）复审；e）公示；f）异议处理；g）证书发放；h）信息公开；D撤回申请；j）归档；k）年审。4.2 数据产品登记业务协作流程图如下图1所示。图1数据产品登记业务协作流程图5业务环节5.1 企业审核进行数据登记之前应对申请数据产品登记的企业进行认证审核，通过审核的企业才能申请登记数据产品。企业审核应按照本文件6.1的原则进行审核，审核内容包括企业的经营、信誉、违法等情况。5.2 申请申请数据产品登

6、记的企业填写并提交数据产品的登记信息，要求如下:数据产品登记信息应遵循T/XXX数据产品登记信息规范的要求；申请方应对数据产品登记信息的真实性、有效性、准确性以承诺书的形式做出保证。5.3 初审初审人员对数据产品的登记信息进行审核，数据产品登记信息及其描述参照数据产品登记信息描述规范，流程如下：a）应对数据产品登记信息的完整性、有效性、准确性等方面进行审核，并应基于登记信息对数据产品的合法合规性进行审核；b）对于涉及个人信息的数据产品，应按照本文件6.3的原则进行审核；c）对于涉及企业敏感信息的数据产品，应按照本文件6.4的原则进行审核；d）对于涉及互联网抓取信息的数据产品，应按照本文件6.5

7、的原则进行审核；e）未通过初审的，退到申请环节由申请方重新申请；f）申请方可根据未通过审核的原因修改、补充信息后，再次提交申请；g）若通过初审，则进入复审环节。5.4 复审复审人员再次审核数据产品的登记信息，流程如下：a）复审人员再次审核时的审核内容、审核标准与初审环节一致；b）未通过复审的，退到申请环节由申请方重新申请；c）申请方可根据未通过审核的原因修改、补充信息后，再次提交申请；d）若通过复审，则进入公示环节。注：初审人员与复审人员不应是同一人，以保证审核结果的可靠性。5.5 公示对通过复审的数据产品的登记信息对全社会进行公示，并收集对该数据产品的异议，要求如下： 公示内容为数据产品可公

8、开的登记信息； 不少于7个自然日； 在公示期间，任何人均可对数据产品提出异议； 若公示期间有异议，则应对异议进行处理； 若公示期间无异议，则进入证书发放环节。5. 6异议处理5.1.1 对于公示期间收集到的异议，应判断其有效性。5.1.2 无法根据现有材料判断的异议，应告知申请方，由其补充材料以证明异议的无效性；不能提供充分证明材料的，则视为异议有效。5.1.3 应将异议处理结果反馈给异议提出人。5.1.4 对于存在有效异议的数据产品不应发放登记证书，终止其登记申请。5.7证书发放5 .7.1为无异议或所有异议均无效的数据产品发放数据产品登记证书。6 .7.2证书上应包含数据产品名称、登记号、

9、申请人、产品类型等信息。5.7.3数据产品登记证书示例可参考附录A05.8信息公开发放数据产品登记证书后，应向全社会公开数据产品可公开的登记信息及证书信息。5.9 撤回申请在对数据产品的登记信息公示前，应允许申请方撤回该数据产品的登记申请。撤回时应让申请方填写撤回登记申请说明，说明撤回原因。5.10 归档对数据产品登记信息及登记业务过程中的相关记录应进行归档保存，以备后期相关部门核查、审计和监管。5. 11年审宜每年对数据产品登记信息进行审查，以保证登记信息跟实际数据产品的一致性，要求如下：a）申请人应补充、修正登记信息中与实际不符的内容；b）应按照初审标准对修改后的登记信息进行审核；c）对于

10、已通过或未通过年审的数据产品，都应以适当形式进行呈现。6审核原则6. 1承诺审核在数据产品登记业务中，申请方应对以下方面做承诺：a）数据产品登记信息真实、有效、准确；b）企业无违法犯罪记录；c）申请方在为登记的数据产品获取源数据时未侵犯第三方利益；d）涉及个人信息的数据产品，若申请方不能提供收集个人信息时与个人信息主体签订的协议，则应做出符合个人信息审核原则的承诺，个人信息审核原则见本文件6.3；e）涉及互联网抓取数据的数据产品，若申请方不能提供其与被抓取数据平台企业签订的协议或授权书，则应做出符合互联网抓取数据审核原则的承诺，互联网抓取数据审核原则见本文件6.507. 2企业审核7.1.1

11、资质信息真实、有效企业的营业执照、组织机构代码证等信息可查询、可证实，是合法有效的。7.1.2 良好的业务信誉企业应具有良好的业务信誉，包括但不限于以下内容：不应是失信惩戒对象；不应在政府采购严重违法失信行为记录名单中。7.1.3 无违法犯罪记录企业不应有违法犯罪记录，提供相应承诺，包括但不限于以下内容： 不曾因数据安全而受到行政处罚； 不应是重大税收违法案件当事人； 无行贿犯罪记录。6.3产品审核6.3.1未侵犯第三方利益登记申请方在为登记的数据产品获取源数据时不应侵犯第三方利益。6.3.2无禁止流通的内容登记申请方申请登记的数据产品中不应包含禁止流通的内容。其中，禁止流通的内容是指:f）反

12、对宪法所确定的基本原则的；g）危害国家安全，泄露国家秘密，颠覆国家政权，破坏国家统一的；h）损害国家荣誉和利益的；i）煽动民族仇恨、民族歧视，破坏民族团结的；j）破坏国家宗教政策，宣扬邪教和封建迷信的；k）散布谣言，扰乱社会秩序，破坏社会稳定的；1）散布淫秽、色情、赌博、暴力、凶杀、恐怖或者教唆犯罪的；m）涉及枪支弹药、爆炸物品、剧毒化学品、易制爆危险化学品和其他危险化学品、放射性物品、核材料、管制器具等能够危及人身安全和财产安全的危险物品的；n）宣扬吸毒、销售毒品以及传播毒品制造配方的；o）涉及传销、非法集资和非法经营等活动的；P）含有法律、行政法规禁止的其他内容的；q）侮辱或者诽谤他人的；

13、r）涉及他人知识产权和商业秘密等权利的数据，除非取得权利人明确许可；s）从非法或违规渠道获取的数据；t）与源数据提供方所签订的合约要求禁止转售或公开的数据；u）捏造损害他人名誉的。6. 3.3源数据来源应有说明文档及证明材料数据产品的源数据来源应有相应说明，必要时应提供证明材料以进行审核。说明文档与源数据的取得方式有关： 取得方式为原始取得的，说明内容包括但不限于源数据的获取方式、范围、是否侵犯第三方利益等，必要时应提供相关资料进行佐证； 取得方式为收集取得的，说明内容包括但不限于数据的收集方式、范围、是否侵犯第三方利益等,及必要的允许收集的授权材料； 取得方式为交易取得的，应提供登记申请方与

14、源数据提供方之间的交易证明材料。6.4个人信息审核6.4.1概述对于涉及个人信息的数据产品，应审核由申请方提供的、收集个人信息时与个人信息主体签订的协议（以下简称为协议）或承诺书。6.4.2最小化要求收集个人信息应遵循最小化要求：a）协议或承诺书中应表明收集的个人信息内容是与实现产品或服务的业务功能有直接关联的。直接关联是指没有该信息的参与，产品或服务的功能无法实现；b）自动采集个人信息的频率应是实现产品或服务的业务功能所必需的最低频率；c）间接获取个人信息的数量应是实现产品或服务的业务功能所必需的最少数量，例如从个人信息控制者手中购买即为间接获取。6.4.3授权同意获取个人信息主体的授权同意

15、，应包括以下原则：a）收集个人信息前，申请方通过协议取得个人信息主体的明示同意。明示同意是个人信息主体在完全知情的基础上自愿给出的、具体的、清晰明确的愿望表示；b）收集个人信息前，申请方明确告知个人信息主体所提供产品或服务的业务功能以及分别收集的个人信息类型和收集、使用个人信息的规则，并明确告知个人信息主体拒绝提供或拒绝同意将带来的影响，其可自行选择是否提供或同意采集；c）确保个人信息提供方已获得的个人信息处理的授权同意范围，包括使用目的和个人信息主体是否授权同意转让、共享、公开披露等，数据产品的使用不能超出与收集个人信息时所声称的目的具有直接或合理关联的范围；d）如果申请方是个人信息的间接获取者，则应提供个人信息提供方对数据来源的说明，并按本文件6.3进行审核确认。6. 4.4特殊情况以下情形中，可不经过个人信息主体的授权同意：a）所收集的个人信息是个人信息主体自行向社会公众公开的；b）从合法的公