1、DB21/T 38942023ICS 25.040.40CCS L 7021辽宁省地方标准DB21/T 38942023工业数据流通数据交易实施规范2023-12-30 发布2024-01-30 实施辽宁省市场监督管理局发布DB21/T 38942023I目 次前言.III1范围.12规范性引用文件.13术语和定义.14交易标的.24.1概述.24.2合规性要求.24.3质量要求.25交易主体要求.25.1数据供方要求.25.2数据需方要求.25.3数据交易服务机构要求.26数据交易服务平台要求.36.1基本要求.36.2扩展要求.37交易实施.37.1标的挂牌.37.2交易磋商.37.3合规
2、评估.47.4数据交付.47.5支付清算.47.6售后服务.58安全要求.58.1交易过程可追溯要求.58.2跨境交易.5附录 A（资料性）交易标的类型.7附录 B（资料性）交易标的定价方法.9参考文献.10DB21/T 38942023III前 言本文件按照GB/T 1.1-2020标准化工作导则 第1部分：标准化文件的结构和起草规则的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由辽宁省工业和信息化厅提出并归口。本文件起草单位：沈阳华睿博信息技术有限公司、上海数据交易所、国家计算机网络应急技术处理协调中心辽宁分中心、辽宁艾特斯智能交通技术有限公司
3、、东北大学、辽宁职业学院、辽宁省大数据管理中心、北京赛迪时代信息产业股份有限公司、辽宁省先进装备制造业基地建设工程中心。本文件主要起草人：邵华、申翔宇、李凯、黄书鹏、王宇飞、宋宪辉、谭振华、王义刚、杨成实、张翔宇、魏国伟、刘洋。本文件发布实施后，任何单位和个人如有问题和意见建议，均可以通过来电和来函等方式进行反馈，我们将及时答复并认真处理，根据实际情况依法进行评估及复审。归口管理部门通信地址：沈阳市辽宁省沈阳市皇姑区北陵大街45-2号。归口管理部门联系电话：024-86913384。文件起草单位通讯地址：辽宁省沈阳市和平区青年大街386号华阳国际大厦2396。文件起草单位联系电话：186988
4、49086。DB21/T 389420231工业数据流通数据交易实施规范1范围本文件规定了工业数据交易标的、交易主体要求、数据交易服务平台要求、交易实施及交易安全等方面的内容。本文件适用于工业数据的交易实施。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T 22239-2019信息安全技术网络安全等级保护基本要求GB/T 35273-2020信息安全技术个人信息安全规范GB/T 37728-2019信息技术数据交易服务平台通用功能要求G
5、B/T 37932-2019信息安全技术数据交易服务安全要求GB/T 37988-2019信息安全技术数据安全能力成熟度模型GB/T 39400-2020工业数据质量通用技术规范3术语和定义下列术语和定义适用于本文件。3.1数据供方data supplier数据交易中提供数据的组织机构。来源:GB/T 37932-2019，3.23.2数据需方data acquirer数据交易中购买和使用数据的组织机构。来源:GB/T 37932-2019，3.33.3数据交易data transaction数据供方和需方之间以数据商品作为交易对象，进行的以货币或货币等价物交换数据商品的行为。注1：数据商品包
6、括用于交易的原始数据或加工处理后的数据衍生产品。注2：数据交易包括以大数据或其衍生品作为数据商品的数据交易，也包括以传统数据或其衍生品作为数据商品的数据交易。来源:GB/T 37932-2019，3.13.4数据交易服务机构data transaction serviceDB21/T 389420232为数据供需双方提供数据交易服务的组织机构。来源:GB/T 37932-2019，3.53.5数据交易服务平台data transaction service platform为数据交易提供各项服务的信息化平台。来源:GB/T 37932-2019，3.63.6数据流通data circulati
7、on数据及数据产品在不同实体间流转的行为。4交易标的4.1概述交易标的类型见附录A，交易标的定价方法见附录B。4.2合规性要求交易标的应按照工业数据流通合规性检查规范进行合规性检查。4.3质量要求交易标的应按照GB/T 39400-2020进行质量控制，并有相应的数据质量报告。5交易主体要求5.1数据供方要求数据供方应符合以下要求：a）为三年内无重大数据类违法违规记录的合法组织机构；b）完成在数据交易服务机构的注册与审核，遵守数据交易服务机构的管理制度；c）按照 GB/T 37932-2019 中 5.1 d）的要求，向数据交易服务机构提供书面的安全承诺；d）协助数据需方进行交易标的权属转移及
8、其他必要的或者约定的后续工作。5.2数据需方要求数据需方应符合以下要求：a）为三年内无重大数据类违法违规记录的合法组织机构；b）完成在数据交易服务机构的注册与审核，遵守数据交易服务机构的管理制度；c）向数据交易服务机构提供书面的交易标的使用承诺，明确界定交易标的需求内容、用途等；d）按照 GB/T 37932-2019 中 5.2 d）的要求，向数据交易服务机构提供书面的安全承诺；e）应及时按照相关规定销毁交易标的，并妥善保管销毁证明或记录。5.3数据交易服务机构要求数据交易服务机构应符合以下要求：a）已取得行政或主管部门的授权或许可；b）为三年内无重大数据类违法违规记录的合法组织机构；DB2
9、1/T 389420233c）为境内注册的组织机构，至少满足 GB/T 37988-2019 中的三级要求；d）应对交易过程中所涉及的数据资源严格保密，不得使用、泄露、出售或者非法向他人提供，未经数据供方授权，不得留存所交易的数据资源；e）应要求数据供方和数据需方提交其身份、地址、联系方式、行政许可等信息，并进行核验、登记，建立登记档案，并定期核验更新；f）应设立数据安全负责人和管理机构，落实数据安全保护责任，依照相关法律法规和国家标准的强制性要求，建立全流程数据交易安全管理制度，定期组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，确保数据交易安全。6数据交易服务平台要求6.1基本
10、要求数据交易服务平台应符合以下要求：a）功能至少满足 GB/T 37728-2019 的基本要求；b）在境内部署，至少符合 GB/T 22239-2019 中第三级的相关安全要求；c）提供对数据泄露进行处置的紧急预案，并报上级管理部门备案，定期演练；d）应使用国家密码管理主管部门认证核准的密码技术和产品，按要求开展密码应用安全性评估；e）应当依据相关法律法规建立健全网络安全等级保护制度和全流程数据安全管理制度，并根据需要支持数据存储、加密、销毁、存取控制，以及数据库、中间件、数据接口等功能，为数据供需双方开展数据交易提供运行环境和技术支撑。6.2扩展要求数据交易服务平台扩展要求参考GB/T 3
11、7728-2019和GB/T 37932-2019。7交易实施7.1标的挂牌7.1.1标的挂牌前应对数据进行准备和清洗，包括对数据进行整理、清洗、脱敏等处理，确保数据的质量和安全性。7.1.2标的挂牌前应对数据的价值进行评估，评估宜基于数据的特征、历史价值、市场需求等方面进行，以确定合理的挂牌价格。7.1.3在挂牌之前，应向相关机构或平台申请挂牌。通常进行填写相关表格、提交挂牌申请文件等步骤。7.1.4在挂牌过程中，应对数据进行加密、权限控制、防止数据泄露等措施，以保护数据的隐私和安全性。7.1.5在进行数据交易挂牌时，通常需要支付包括平台使用费、挂牌手续费等相关挂牌费用。7.2交易磋商7.2
12、.1数据供方应明确说明交易标的的来源、内容、权属情况和使用范围，提供对交易标的的描述信息和样本数据。7.2.2数据需方应披露数据需求内容、数据用途。7.2.3数据交易服务机构应对数据供需双方披露的信息进行审核，督促双方依法及时、准确地披露信息。DB21/T 3894202347.2.4数据供需双方应对交易标的的用途、使用范围、交易方式和使用期限等进行协商和约定，形成交易订单。7.2.5数据交易服务机构应对交易订单进行审核，确保交易订单符合相关要求，并对审核通过的订单进行备案。7.3合规评估7.3.1数据交易服务平台应对数据供需双方的交易资质进行评估，数据供需双方应分别符合本文件5.1、5.2
13、中的要求，避免数据交易过程中出现风险。7.3.2数据交易服务平台应通过公开数据收集、自行生产、间接获取、直接采集等方式对交易标的数据来源进行合规性分析，数据供方应提供第三方出具的合规性评估证明。7.3.3数据交易服务平台应根据 GB/T 37932-2019 中 6.1 的要求对数据的可交易性进行评估，应明确数据产品权属。7.3.4数据交易服务平台应对数据的使用和场景做相应的评估，数据供方应明确数据使用条件和约束机制，即提供“使用说明书”。7.4数据交付7.4.1基本要求数据交易服务机构应与数据供方和数据需方签订三方合同，明确数据内容、数据用途、数据质量、交付方式、交易金额、交易参与方安全责任
14、、保密条款等内容。如发现数据交易存在违法违规情形，数据交易服务机构应当依法采取必要的处置措施，并向有关主管部门报告。7.4.2交付方式交付方式包括但不限于：数据终端、数据文件、数据接口服务、多方数据计算服务及数据应用服务等方式。a）数据终端：开发专用应用程序供用户下载封闭式使用。b）数据文件：生成的数据集文件，通常以 EXCEL、CSV、TXT、压缩包等形式对外提供。c）数据接口服务：通过 HTTP 请求查询条件，将满足要求的数据通过 XML 或 JSON 的形式返回。d）多方数据计算服务：采用数据加密技术保护原始数据，采用多方计算实现数据的密文计算，数据交互全流程加密留痕，在保证数据安全的前
15、提下实现数据流通。e）数据应用服务：接受客户委托，进行针对性的基于数据的应用定制服务。7.4.3交付流程数据交付流程如下：a）供需双方应在合同中约定数据的交付方式，确保双方对交付方式的选择达成一致；b）数据供方应根据交易合同的要求，对数据进行准备和整理，包括对数据进行清洗、脱敏、转换等处理，确保数据的质量和准确性；c）数据供方将准备好的数据进行打包和加密，宜通过加密算法和密钥管理等措施，以确保数据在传输过程中的安全性和完整性；d）数据供方应使用约定的交付方式，将加密后的数据传输给买方；e）数据需方接收到数据后，进行数据的接收验证，并进行解密操作以恢复原始数据；f）数据需方对接收到的数据进行验收
16、，比较数据与合同约定的内容和要求是否一致，若一致，数据需方可以确认数据交付的完成；g）数据需方在接收到数据后，应及时进行数据备份和存储，以确保数据的安全性和可用性。7.5支付清算DB21/T 3894202357.5.1数据需方应在交易合同约定的期限内，通过数据交易服务平台或数据供方和数据需方认可的其他方式完成支付。7.5.2通过数据交易服务平台进行交易支付的，数据交易服务平台宜给出交易手续费相关信息，且应保存支付信息。7.6售后服务7.6.1数据供方和数据需方可通过数据交易服务平台，对交易过程和服务质量进行评价，评价信息应在数据交易服务平台上展现。7.6.2数据交易服务机构应建立投诉机制，支
17、持电话投诉、邮件投诉、在线投诉等方式。7.6.3数据交易服务机构应对投诉记录和反馈结果进行保存，投诉记录和反馈结果可通过数据交易服务平台查询、追溯。7.6.4数据交易服务机构宜与当地仲裁机构联合设立争议解决机制，制定并公示争议解决规则，根据自愿原则，公平、公正解决数据供需双方的争议。7.6.5交易主体间产生争议时，可以向数据交易服务机构申请调解，也可以依法向数据仲裁机构申请仲裁或向人民法院提起诉讼。8安全要求8.1交易过程可追溯要求8.1.1数据交易服务机构要求数据交易服务机构满足以下要求：a）建立和保存包括数据资源审核记录、身份核验记录、数据传输过程记录、数据交换记录及数据销毁记录等；b）提
18、供交易日志，包括且不限于交易时间、交易主体、交易对象、交易数据标识、敏感数据标签、交易结果等；c）采取必要措施对交易日志妥善保存，防止未授权的更改或删除，如权限控制、异机备份等；d）提供交易日志访问接口给监管部门或第三方审计机构。8.1.2数据供方要求数据供方应建立和保存包括数据来源记录、数据分类记录、数据脱敏记录、数据质量核验记录及数据交付记录等。8.1.3数据需方要求数据需方获取数据供方数据后，不可私自将供方数据进行二次交易。数据需方应建立和保存数据接收记录、数据质量认定记录、数据使用记录及数据销毁记录等。8.2跨境交易8.2.1跨境交易场景数据跨境交易主要包括以下场景：a）将在境内运营中
19、收集和产生的数据传输、存储至境外；b）收集和产生的数据存储在境内，境外的机构、组织或者个人可以访问或者调用。8.2.2风险评估要求DB21/T 389420236数据交易服务机构应从以下角度进行数据跨境交易风险评估：a）数据角度：包括规模、范围、种类、敏感程度和潜在风险，其中：1）涉及个人数据的，向个人告知境外数据需方的名称、联系方式、出境目的、出境方式、个人信息种类及个人向境外数据需方行使权利的方式和程序等，并取得个人明示同意；2）涉及企业数据的，向企业告知境外数据需方的名称、联系方式、出境目的、出境方式、企业数据种类及企业向境外数据需方行使权利的方式和程序等，并取得企业明示同意。b）行为角
20、度：包括数据出境的目的、范围、方式等是否合法，是否符合最小必要原则；c）境外数据需方角度：境外数据需方当地的保护政策及保护水平是否国内数据流通的相关要求；d）技术保障角度：数据出境过程中及数据出境后，数据安全和个人信息权益保护途径是否畅通有效，宜检查使用境外的数据服务商、传输链路供应商和第三方组件可能引起的潜在数据传输链路的数据出境风险情况；e）合同及法律角度：与境外数据需方拟订的合同、协议及相关的法律文件。合同中应至少约定数据出境的目的及方式、境外数据保存情况、境外数据再转移、不可抗力、其他违约或侵权事宜及其解决途径、方式。8.2.3管理要求8.2.3.1数据交易服务机构应按相关规定向数据出
21、境安全相关主管部门申报数据出境安全评估。8.2.3.2数据交易服务机构、数据供方和境外数据需方订立的法律文件中应明确约定数据安全保护责任义务，至少包括以下内容：a）数据出境的目的、方式和数据范围，境外接收方处理数据的用途、方式等；b）数据在境外保存地点、期限，以及达到保存期限、完成约定目的或者法律文件终止后出境数据的处理措施；c）对于境外需方将出境数据再转移给其他组织、个人的约束性要求；d）境外数据需方在实际控制权或者经营范围发生实质性变化，或者所在国家、地区数据安全保护政策法规和网络安全环境发生变化，以及发生其他不可抗力情形，导致难以保障数据安全时，应当采取的安全措施；e）违反法律文件约定的
22、数据安全保护义务的补救措施、违约责任和争议解决方式；f）出境数据遭到篡改、破坏、泄露、丢失、转移或者被非法获取、非法利用等风险时，妥善开展应急处置的要求和保障个人维护其个人信息权益的途径和方式。8.2.3.3数据交易服务机构应建立跨境数据交易的管理记录，记录包括境内数据提供方、境外数据接收方、双方所在区域、数据传输机制、数据类型、出境目的、合同条款及数据主体明示同意的证据。DB21/T 389420237附录A（资料性）交易标的类型工业数据分类见表 A.1。表 A.1工业数据分类分类维度数据类别行业领域维度采矿业数据、制造业数据、电力/热力/燃气及水的生产和供应业数据业务领域维度研发数据域、生
23、产数据域、运维数据域、管理数据域、标识解析运营域数据、外部域数据组织经营维度用户数据、业务数据、经营管理数据、系统运行和安全数据系统层级维度设备层、单元层、生产层、企业层、协同层生产周期维度设计阶段数据、生产阶段数据、物流阶段数据、销售阶段数据、服务阶段数据数据共享属性维度无条件共享数据、受限共享数据、不共享数据数据开放属性维度禁止开放类数据、受限开放类数据、无条件开放类数据数据加工程度维度原始数据、标签数据、脱敏数据、统计数据、融合数据数据敏感程度维度敏感数据、一般数据、受限数据、涉密数据、隐私数据存储方式维度纸质文档、电子文档访问频率维度冷数据、温数据、热数据数据质量维度高质量数据、中质量
24、数据、低质量数据数据来源维度生产数据、经营管理数据、环境监测数据、安全监管数据数据结构特征维度结构化数据、非结构化数据、半结构化数据数据格式维度二进制格式、文本格式、图像格式、音频格式、视频格式、数据库格式数据采集方式维度人工录入数据、调查问卷数据、电话随访数据、在线采集数据、RFID 采集数据、大数据采集数据DB21/T 389420238表 A.1工业数据分类（续）分类维度数据类别时间维度历史数据、实时数据、预测数据数据用途维度生产数据、经营管理数据、决策支持数据空间范围维度全球级别数据、国家级别数据、地区级别数据、企业级别数据、设备级别数据、人员级别数据数据应用层次维度元数据、参考数据、
25、主数据、事务数据、分析数据、规则数据描述事务的角度维度状态类数据、事件类数据、混合类数据数据离散属性维度连续型数据、离散型数据数据粒度维度明细数据、汇总数据数据活动网络空间维度涉密网络数据、非涉密网络数据注：交易标的应是将各类型的工业数据通过特定逻辑和算法进行分类整合、深度加工、匿名处理等过程后，形成的数据产品或数据服务。DB21/T 389420239附录B（资料性）交易标的定价方法交易标的定价方法见表 B.1。表 B.1交易标的定价方法定价方法方法描述收益法据数据需方使用该交易标的之后，最后会取得多少收益，在此基础上进行调整、定价。市场法参照市场上相同或相似交易标的的交易价格，来确定被评估的交易标的价值的方法。成本法根据数据供方生产的数据产品需要多少成本，在此基础上进行调整、定价。自由议价法由数据供方和数据需方自由商议定价。自由商议定价应在数据合理价值范围内。注：交易标的定价不应背离数据本身价值规律。DB21/T 3894202310参考文献1DB15/T 2199-2021数据交易安全技术要求2DB52/T 1468-2019基于区块链的数据资产交易实施指南3DB3301/T 0403-2023数据知识产权交易指南4工业数据分类分级指南（试行）5工业和信息化领域数据安全管理办法（试行）6上海市数据交易场所管理实施暂行办法_
