数据要素是数字经济深入发展的核心引擎，在一体化政务服务的开展过程中，各级政府部门掌握了海量公共数据。2022 年 6 月，中央全面深化改革委员会第二十六次会议明确指出，“要完善数据要素市场化配置机制，推进公共数据、企业数据、个人数据分类分级确权授权使用”。这表明，公共数据是数据要素市场的重要数据来源之一，公共数据开放是激活数字经济的重要举措，被《联合国电子政务调查报告》列为重要测度指标。通常，公共数据由政府赋予第三方机构聚集和管理，而公共数据开放平台运维的技术性职能也被委托给私人企业，然而，这容易引发公共数据泄露、误用和修改等安全问题，甚至可能导致数据被利用方再次拷贝、过度使用甚至再次贩卖等。可见，公共数据安全保障显得尤为重要，它是公共数据开放交易的基础。
目前，国内学者关于公共数据安全保障的研究主要聚焦于公共数据安全问题、公共数据安全保障的建议和公共数据安全保障体系的建设等方面。如，邓刚等从大数据安全保障标准化、大数据安全保障风险和大数据安全保障体系 3 个方面概述了政府部门及公共服务机构大数据安全保障现状与发展趋势。陈发强等提出了公共数据资源开发利用与数据安全保护平衡的观点、公共数据资源开发利用安全保障模型及建议。上海市第一中级人民法院课题组指出公共数据安全保障存在隐患，并提出了一个事前、事中、事后和配套工作共同运行的公共数据安全保障体系。总体来看，现有研究较少关注公共数据安全保障的若干问题，导致研究的系统性和深度不够，削弱了公共数据安全保障的有效性和可持续性。因此，本文拟从数据要素视角出发，对公共数据安全保障的若干问题进行研究。选择数据要素视角主要有两点考虑：第一，根据《术语工作：原则与方法》( ISO704: 2009)概念间的关系可被划分为“整体—部分关系”“种属关系”“关联关系”。其中，“种属关系”强调继承全部属性特征。公共数据作为公益属性最强、可共享利用程度最高的数据要素，因此，上位类“数据要素”的理论也完全适用于作为下位类的公共数据。第二，《中共中央 国务院关于构建数据基础制度更好发挥数据要素作用的意见》（以下简称“数据二十条”）提出构建数据产权、流通交易、收益分配、安全治理四大数据基础制度。可见，数据安全与数据交易都是发挥数据要素作用的基础。因此，本文主张“在保障公共数据安全的基础上促进公共数据开放利用”，有利于数据要素作用的发挥。于是，本文在介绍数据要素的基础上，通过辨析数据要素几大议题与数据安全的关系，厘定数据要素视角下公共数据安全保障的若干问题，旨在明确公共数据安全保障的定位与定性，同时为平衡公共数据安全保障和公共数据开放利用提供有益参考。
数据作为一种新型生产要素，区别于传统要素，对其基本特性的理解也尚在探索之中。为此，需要介绍数据要素的基本内容，有助于人们形成对数据要素的认知，从而更好地以数据要素为视角研究公共数据安全保障的若干问题。武汉大学张平文院士和北京大学邱泽奇教授的著作《数据要素五论：信息、权属、价值、安全、交易》从信息、权属、价值、安全、交易 5 个维度出发，对数据要素的多维特性进行探讨，丰富了人们对数据要素的认知。该论著认为数据的信息、权属、价值、安全、交易 5 个方面是数据作为生产要素推动数字经济发展的重要议题。这 5 个重要议题相互关联，形成了如图 1 所示的关系。其中，数据信息是概念起点，奠定了数据能够成为生产要素的前提；数据价值是基本属性，是数据赋能数字经济、推动国家治理现代化的条件；数据安全是重要保障，有助于维持数据交易与流通环境的基本秩序；数据确权是关键环节，有利于确定数据价值归属及数据安全保障主体；数据交易是实现方式，有利于达成数据交换和融通，促使数据价值最大限度地实现。
根据数据要素的信息、权属、价值、安全、交易 5 个重要议题，可以得出数据信息、权属、价值、安全等是数据交易作为数据流通方式的前提。换句话说，如果公共数据不能以数据交易的形式进行流通，那么以数据要素为视角研究公共数据安全保障的若干问题是不成立的。因此，问题的关键在于“作为数据流通的方式，数据开放是否等同于数据交易”或者“公共数据交易是否被允许”。数据开放和数据交易同属于数据流通的主要方式，但二者存在明显的差异。数据开放针对的是具有公共产品属性的数据，而数据交易针对的是具有私有商品属性的数据。公共数据具有公共产品的性质，因此，公共数据以数据开放的形式进行流通是毋庸置疑的，并且得到了政府、实践界和理论界人士的赞同或倡议，然而，公共数据能否成为数据交易的标的则是未知的。相关法律规定、立法研究和行业实践显示，公共数据可采取带有附加条件的数据交易方式在市场上流通。比如，《广东省公共数据管理办法》明确要求“省人民政府推动建立数据交易平台，引导市场主体通过数据交易平台进行数据交易……自觉接受公共数据主管部门的监督检查”；《海南省公共数据产品开发利用暂行管理办法》规定“依法获取的各类数据经处理无法识别特定数据提供者且不能复原的，或经特定数据提供者明确授权的，可以交易、交换或者以其他方式开发应用。鼓励公共机构……向授权的服务商提供使用有条件开放的公共数据资源，进行市场化开发应用”；上海市数据立法起草组组长朱宗尧在数据交易范围方面提到，拟明确公共数据、产品可以交易，但公共数据的原始数据集不得交易；2022 年 9 月，湛江推出的“全联进贸通”数据产品“入市”交易，这是广东省首个入市交易的公共数据与社会数据融合创新应用产品。综上，本文认为，数据要素可以作为研究视角来探讨公共数据安全保障的若干问题。
根据图 1 可知，数据安全在其中占据重要地位，并与数据交易、数据权属及数据价值都有重要的关联。第一，“数据安全——数据交易”，重视数据安全能够维护数据交易的基本秩序，促进培育规范的数据交易平台。通过数据安全治理，打造安全可信的数据交易生态系统，为公共数据开放利用提供安全基础。同时，数据交易生态系统的稳定发展也需要借助于数据安全治理来维护数据安全。第二，“数据安全——数据权属”，厘清数据权属，也即在肯定数据权利的基础上，通过数据确权将数据的采集权、使用权、收益权、处分权进行合理分配，可确定数据主体对数据享有的权利范围，有利于有效保护数据主体权益并维护数据安全。确保所有使用的安全保障手段都能满足数据主体的安全维护需求，促使数据流通安全有序，实现数据主体的权益。第三，“数据安全——数据价值”，在公共数据开放与流通过程中，强化安全风险识别与防护，可提高数据开放与流通的安全水平，有利于发挥其作为生产要素的基础资源作用。可见，数据安全是实现数据价值的前提，一旦高价值的公共数据遭到安全威胁，将会给公共部门和国家（地区）都带来难以估量的损失。只有在安全的前提下，公共数据的价值才能最大程度的发挥。因而，为充分释放公共数据的活力与价值，不能对公共数据采取一刀切的安全保护，应该结合数据价值大小采取不同级别的数据安全保障措施。为此，可根据数据资产估值结果，结合数据应用场域，对数据进行分级分类，为数据安全的风险识别和预防提供参考。综上可知，进行公共数据确权、开展公共数据估值、建立公共数据安全治理体系和形成数据交易生态系统共同组成数据要素视角下公共数据安全保障的若干问题。对于公共数据安全保障而言，这些问题之间的关系如图 2 所示。其中，进行公共数据确权是前提，可明确维护公共数据安全边界的各方主体；开展公共数据估值是条件，可为公共数据安全的风险识别和预防确定数据级别；建立公共数据安全治理体系是实践，各方主体采取措施协同确保公共数据安全；形成公共数据交易生态系统是效果，通过公共数据安全保障达成促进公共数据交易与利用的效果。
公共数据源自于公共管理机构和公共服务机构在依法履职和提供公共服务过程，其可能涉及国家秘密等国家安全事项和个人信息、个人隐私等个人合法权益。国家秘密关系到国家安全和利益，受《中华人民共和国保守国家秘密法》保护，所有国家机关、武装力量、政党、社会团体、企业事业单位和公民都有保守国家秘密的义务。为了服务于促进经济发展的公共利益和保护国家安全、个人合法权益，进行公共数据确权是必要的。只有确权后，方能实现“数据二十条”关于“鼓励公共数据在保护个人隐私和确保公共安全的前提下向社会提供” 的期望。可见，公共数据确权是公共数据安全保障非常重要的环节，因为它建立了数据所有权和责任归属的框架。明确数据合法所有者，有助于规范数据的使用和分享，防止数据被滥用、篡改或未经授权的访问；同时，建立合适的权限管理和监督机制，可以提高数据的可信度和完整性，从而保障公共数据的安全。
公共数据作为数据要素的一部分，数据确权的相关研究和观点可以为公共数据确权提供借鉴和参考。数据确权是发挥数据要素作用的基础。数据资源持有方对数据资源进行登记、完成必要的确权和合规性审查，为数据交易提供了信任基础和凭证创建基础。明确的数据权属可确定数据主体享有的数据权利范围，以有效保护数据主体权益并维护数据安全。目前，关于数据确权存在多种观点：第一，原始数据的权利属于数据生产者，次生数据的权利属于数据加工者，国家数据的权利属于国家，公共数据属于所有公民。第二，原始数据的数据权利应属于数据产生者，次生数据权利应赋予数据生产者。第三，无论数据属于哪种类型，都可以分为 3 种状态：静态数据、使用数据和动态或传输数据。来自个人或企业的数据元素可以在一个系统中处于静止状态，在另一个系统中被使用或处理，又在另一个系统中处于运动状态。因此，得出结论：如果数据可以同时处于不同的状态和不同的系统中，那么数据所在的每个实体（无论是进程内的还是路由内的）都有可能声称对该数据元素拥有所有权。可见，数据确权尚未形成一致的观点，这与对数据特性认识不充分、数据利益诉求多样以及数据确权的方式不够科学有关。而关于公共数据确权，学者对公共数据所有权属于国家这一点基本达成一致。然而，对用益和运营方面的权利规定有不同观点：第一种观点认为，《宪法》 第十二条为公共数据宪法上国家所有提供了依据，《民法典》第二百四十六条是公共数据宪法上国家所有向民法上国家所有权转化的通道。这些规定确定了公共数据国家所有权的权利主体、权利客体、权利内容和权利限制。第二种观点认为，对于开放的公共数据的产权可表述为国家所有权+公众用益权；对于未开放的公共数据，包括公共数据中未开放的部分和企业所收集的未开放的公共信息，此类数据的所有权应为国家所有，政府对前者进行使用和运营，企业对后者享有用益权。第三种观点认为，公共数据归政府所有，面向社会开放，免费提供使用服务。这些观点为公共数据确权提供了多样化的思路和方法，但也需要进一步的研究和探索，以形成更加科学合理的数据确权制度，保障数据主体权益，服务于公共数据安全保障和交易。
开展公共数据估值是公共数据安全保障的条件之一，因为它有助于识别数据的价值和重要性。通过公共数据估值，可以更好地理解其对于赋能政务治理、赋能经济发展、赋能共同富裕具有的意义，促使政府和相关组织确保对数据安全的投入和管理，平衡数据的利益和风险，推动公共数据安全和创新利用的平衡发展。
数据估值（data valuation）是会计学和信息经济学领域的一门学科，其关注点在于如何计算组织收集、存储、分析和交易的数据价值。随着数据作为一种资产在私营和公共部门的重要性逐渐得到认可，数据估值受到了越来越多的关注。在过去的 20 年里，数据估值得到了广泛的研究。2020 年，英国剑桥大学纳菲尔德研究所将数据的特征分为经济价值和信息价值两类。其中，经济价值包括：数据的非竞争性、数据的外部性、数据的经济回报具有可变性、数据具有高期权价值(option value)、数据收集具有较高的前期成本和较低的边际成本、数据使用需要补充投入。数据的经济价值特征足以说明进行数据估值是合理的，而且基于数据经济价值的波动性，需要定期开展数据估值。比较著名的数据估值方法是 2020年英国剑桥大学纳菲尔德研究所提出的基于市场和基于非市场的数据估值方法[31]。第一，基于市场的数据估值方法包括股票市场估值（Stock market valuations）、基于收入的估值（Income-based valuations）和基于成本的估值（Cost-based valuations）。股票市场估值显示了投资于数据和数据能力的公司所获得的优势。基于收入的估值旨在估计可能来自数据的当前和未来收入。第二，基于非市场的数据估值方法包括开放数据的经济价值（The Economicvalue of open data）和个人数据的价值（The value of personal data）。开放数据的经济价值通过使用条件估值（contingent valuation）方法创建，着眼于①监管数据的组织（Organizationsthat steward data）；②重用数据创建产品和服务的中介机构（Intermediaries that reuse data tocreate products and services）；③使用这些产品和服务的个人和组织（People and organizationswho use those products and services）。个人数据的价值也可通过条件估值方法来估值，结果取决于所问的问题。例如，一项针对美国消费者的调查显示，他们愿意每月支付 5 美元来使用隐私保护服务，但愿意每月支付 80 美元来访问个人数据。消费者表示，他们需要得到约48 美元的补偿，才能放弃 Facebook 一个月。足见，不同的数据估值方法适用于不同的数据类型和应用场景，以更准确地评估数据的价值。公共数据估值也可采用类似的方法。目前，我国部分地区已经开始实施公共数据资产估值。比如，贵阳大数据交易所率先对气象、电力等公共数据开展数据定价试验，由于场内数据交易的频率和规模较小决定了成本法更适用于公共数据资产定价；山东公共数据开放平台构建了全省一体化的数据资源体系，所以公共数据估值既要考虑平台自身价值，也要兼顾其他地市级数据开放平台价值的影响。数据估值定价是一个循序渐进的过程，应根据不同发展阶段的需要选择合适的定价方法。随着数据交易阶段的发展变化，公共数据估值也要经历从成本法、收益法到市场法等方法的演变。按照数据资产估值结果，结合公共数据的粒度和使用范围，可以对公共数据的重要性进行分类，以此作为制定相应的数据安全等级保护措施的依据，为公共数据安全风险识别和预防提供参考。对于高价值的公共数据，应制定级别较高的数据安全保护等级，并赋予特别的安全关注，以避免给国家安全和公共利益造成更大的损失；对于低价值的公共数据，可制定级别较低的数据安全保护等级，以实现公共数据最大程度的开放利用，共享公共数据的价值。
4 公共数据安全保障的实践：建立公共数据安全治理体系
各国（地区）政府都充分认识到影响公共社会的工业数据、政务数据、科研数据等公共数据对社会的重要性，因此纷纷发起开放数据倡议。但是，这必须在确保国家公共安全和社会稳定的前提下进行。例如，《中华人民共和国数据安全法》明确规定了建立全国性的系统评估、报告、信息共享、监测和预警机制，并建立数据安全事件应急响应机制，以消除安全风险，减轻损害。尽管公共数据安全保障至关重要，但也不能只顾及安全而忽略公共数据的开放利用。因此，二者必须齐头并进，共同发展。数据安全治理主张平衡数据发展与数据安全，因此，建立公共数据安全治理体系是非常重要的实践，其既可以全方位保障公共数据安全，又能促进公共数据的开放利用。
数据安全治理最早出现在《2015 年数据安全技术成熟度曲线》报告中，是数据治理框架下的一个环节或子过程。尽管数据治理和数据安全治理的宗旨都是提升数据资产价值，但是数据安全治理更强调兼顾数据安全与数据流通的双重面向。为了赋予“数据安全治理”以中国特色，我国中关村网络安全与信息化产业联盟、数据安全治理专业委员会相继起草多版《数据安全治理白皮书》。其中，2022 年版将其定义为“让数据使用自由而安全”的愿景，旨在安全有序推动数据流动，平衡数据发展与数据安全，为我国易于落地的数据安全建设的体系化方法论。建立公共数据安全治理体系主要涉及如下维度：第一，公共数据安全制度及要求。①制定公共数据安全政策，如数据安全记录、自我报告和监测政策，实现对数据安全行为和事件的记录、对潜在不当行为的监测和调查、对不当行为的自我报告，另外也可要求参与处理公共数据的第三方具备健壮的数据安全政策；②明确公共数据安全要求，这是公共数据安全保障的效果检验标准，以制定主体不同可分为政府公共数据安全要求、行业数据安全要求和机构公共数据安全要求等。例如，2022 年深圳市政府开始实施的《公共数据安全要求》明确提出公共管理和服务机构在处理公共数据过程中应遵循的安全原则和安全要求，涉及数据收集、存储、传输、使用、加工、开放共享、出境、销毁与删除等数据处理活动的安全要求[39]。数据安全治理需要“技术—社会—法律”的联动，合适的数据安全制度与要求可以有效助力公共数据安全保障。第二，公共数据安全治理主体。建立各级各类数据安全治理主体，并确保领导层对数据安全负起领导责任，形成公共数据安全治理的基调，促使公共数据安全治理得到从上到下的重视。另外，需要这些主体进行培训，提升其维护公共数据安全的能力，也有助于营造本地域、行业或机构的公共数据安全文化。第三，公共数据安全保护责任与义务。合理分配公共数据安全保护责任与义务内容，是执行和落实公共数据安全制度的先决条件，也是实现各类各级主体分工合作、有序治理公共数据安全的前提和基础。数据安全治理关注的是对数据的控制和流动的平衡。为此，可结合数据全生命周期确定具体的数据安全保护责任与义务，既可以实现对公共数据安全的有效保护，还能保障数据适当的流动性。第四，公共数据安全追责。在明确各级各类公共数据安全保护责任与义务的基础上，进一步明晰公共数据安全追责路径，当公共数据安全风险及侵权事实发生时，对各级各类数据安全治理主体追责。具体法律责任的划分应结合数据的类型和重要性、安全风险和事件的影响范围及治理主体是否存在主观过错等进行考虑，从而合理追责，以保障数据安全的有效保护和合理流动。
5 公共数据安全保障的效果：形成公共数据交易生态系统
国际社会已经普遍认识到公共数据存在巨大的价值有待开发，迫切需要各国（地区）构建合适的公共数据开放生态为公众服务。自 2009 年以来，开放政府数据倡议开始出现，例如，2009 年奥巴马行政命令和 2010 年欧盟委员会数字议程。2022 年，我国“数据二十条”要求“推动用于数字化发展的公共数据按政府指导定价有偿使用”，表明了政府推动公共数据交易与利用市场化建设的决心。因此，应主张建设公共数据交易生态系统，涵盖国际社会的公共数据开放生态，进而体系化推进公共数据的广泛使用。公共数据安全保障，可以建立信任，鼓励更多的数据共享和合作活动，从而促进公共数据交易生态系统的形成和发展。在我国，数据交易生态系统构建尚处于探讨阶段，但国际上已有关于数据交易生态系统的一些标准和研究，比如，Big data -Framework and requirements for data exchange （ITU-T Y.3601-2018）为大数据生态系统中的数据交换提供了一个框架；Updated draft RecommendationITU-T Y.BigDataEX-reqts, "Big data exchange framework and requirements"详细描述了大数据交易生态系统中的角色、活动等，从而提炼出大数据在交易过程中的功能需求；HayashiT 等认为，数据交换生态系统是一种以数据为中介的服务生态系统，在业务参与者(利益相关者)之间的长期竞争与合作中是自组织的。数据交易生态系统中的各个主体，包括数据卖方、数据买方、数据监管方、数据交易平台和第三方机构等，通过数据流动相互连接，形成共生关系，具有自我调节能力，通过数据交易实现利益共享的目标，建立并维持市场的有序运行。可见，数据交易生态系统是数据共享和交易的基础。
如果公共数据安全无法得到保障，各主体的信任将会受到损害，进而影响到数据交易活动的规范化和健康发展。通过公共数据安全的保障，可以建立用户和组织对数据交易的信任，促进数据共享和合作的增加。此外，公共数据安全也鼓励创新，因为人们更倾向于利用安全的数据来开发新的应用和解决方案。最终，通过提高公共数据的安全性和可信度，可以增加数据的价值，激发更多的数据交易活动，促进公共数据交易生态系统的健康发展。可见，公共数据安全保障对于推动公共数据交易生态系统的形成和发展具有重要作用。
为此，可通过制定数据安全标准、应用数据安全技术、实施安全风险管理等措施，保障公共数据的安全和可信度。具体来说：第一，制定数据安全标准，确立一套统一的规范和指导原则，指导公共数据的收集、存储、处理和共享过程中的安全措施。这有助于提高各方对数据安全的重视程度，建立共识和规范，有效地防范数据泄露、滥用和损害，保障公共数据的安全性和可信度。第二，广泛应用技术手段创新，如数据加密、身份认证、访问控制等，以提升数据安全水平，保护公共数据安全。比如，基于区块链的安全数据交易生态系统（SDTE）实现一种数据安全交易机制，解决数据交易平台的安全问题。在 SDTE 中，数据买方和数据交易平台都无法获取数据卖方的源数据，数据买方的数据分析过程被迁移到平台之上，同时也保障其执行过程及结果的安全性，且可以防止数据交易平台窃取隐私数据并进行二次转卖。第三，建立安全风险管理体系和应急响应机制，及时应对数据安全事件，保障公共数据安全不受损害，维护数据交易生态系统的稳定和可持续发展。这包括对数据安全事件进行风险评估、制定应急响应预案等措施，以降低数据安全风险对系统的影响。
根据上述分析可知：进行公共数据确权、开展公共数据估值、建立公共数据安全治理体系和形成公共数据交易生态系统是数据要素视角下公共数据安全保障的若干问题。其中，进行公共数据确权明确了维护公共数据安全边界的各方主体；开展公共数据资产估值，为公共数据安全的风险识别和预防提供了重要参考依据；建立公共数据安全治理体系，加快建设由政府部门、社会组织、公众等共同参与的公共数据协同治理，有助于全方位保障公共数据安全；形成公共数据交易生态系统，有助于平衡公共数据的安全与公共数据交易。本研究拓展了公共数据安全保障的研究视角，为公共数据安全保障提供了理论基础和方法支持，具有重要的理论与现实意义。未来可以尝试从其他视角研究公共数据安全保障，拓宽理论视野，不断汲取有益“养料”，以期进一步深化该领域的理论发展和实践应用。
来源：现代情报
浙公网安备 33010502006954号 
