《网络安全法》对可信数据空间的相关规定主要有：网络产品、服务具有收集用户信息功能的，其提供者应当向用户明示并取得同意；关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储；网络运营者应当对其收集的用户信息严格保密，并建立健全用户信息保护制度；网络运营者收集、使用个人信息，应经被收集者同意；个人有权要求网络运营者删除或者更正其个人信息，等等。

解读：从可信数据空间角度看，这些主要是数据处理者对国家和数据来源者的义务要求。

《数据安全法》对可信数据空间的相关规定主要有：一是第八条规定“开展数据处理活动，应当遵守法律、法规，尊重社会公德和伦理，遵守商业道德和职业道德，诚实守信，履行数据安全保护义务，承担社会责任，不得危害国家安全、公共利益，不得损害个人、组织的合法权益。”二是第四章规定了开展数据处理活动的“数据安全保护义务”，包括保障数据安全、加强风险监测、开展风险评估、取得相关许可等。其中第三十三条规定“从事数据交易中介服务的机构提供服务，应当要求数据提供方说明数据来源，审核交易双方的身份，并留存审核、交易记录。”

解读：从可信数据空间角度看，这些主要是要求数据处理者不得僭越国家和公共利益，不得损害数据来源者权益，同时数据基础设施平台运营者还负有可信验证相关责任。

《个人信息保护法》对可信数据空间的相关规定主要有：

一是处理个人信息应当遵循合法、正当、必要和诚信原则；应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式；应当遵循公开、透明原则；应当保证个人信息的质量。

二是个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全。

三是处理个人信息应当取得个人同意为原则，该同意应当由个人在充分知情的前提下自愿、明确作出，并且在个人需要撤回其同意时应当提供便捷的撤回同意的方式；处理个人信息应当以告知为原则。

四是关于两个以上的个人信息处理者共同决定个人信息的处理目的和处理方式的，应当约定各自的权利和义务。但是，该约定不影响个人向其中任何一个个人信息处理者要求行使本法规定的权利。同时，个人信息处理者共同处理个人信息，侵害个人信息权益造成损害的，应当依法承担连带责任。

五是关于个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。受托人应当按照约定处理个人信息，不得超出约定的处理目的、处理方式等处理个人信息；委托合同不生效、无效、被撤销或者终止的，受托人应当将个人信息返还个人信息处理者或者予以删除，不得保留。此外，未经个人信息处理者同意，受托人不得转委托他人处理个人信息。

六是个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。接收方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。

此外，处理敏感个人信息还需要进一步的落实“告知-同意”原则。个人信息处理者还有其他一些义务，包括进行自动化决策等行为对个人的义务。

解读：从可信数据空间角度看，以上这些意味着数据处理者对于个人（数据来源者）负有的义务，特别重要的是“最小采集原则”“告知-同意原则”，数据转移、变更时的“单独同意”“重新同意”原则。《个人信息保护法》还特别规定了多个数据处理者共同处理个人数据的情形，数据处理者之间应当约定各自的权利和义务，但总体上不能减少对个人的义务，这实际上对其中每个数据处理者都提出了和单独处理个人数据同样的义务要求。关于个人信息处理者委托处理个人信息，其负有监督义务，意味着并不因委托而消解其对个人的义务，同时，受托人负有对委托人和个人的双重义务。

《中共中央、国务院关于构建数据基础制度更好发挥数据要素作用的意见》（以下简称“数据二十条”）对可信数据空间的相关规定主要有：

一是以维护国家数据安全、保护个人信息和商业秘密为前提，以促进数据合规高效流通使用、赋能实体经济为主线，以数据产权、流通交易、收益分配、安全治理为重点……构建……数据基础制度，充分实现数据要素价值、促进全体人民共享数字经济发展红利。

二是建立数据可信流通体系，增强数据的可用、可信、可流通、可追溯水平。

三是建立公共数据、企业数据、个人数据的分类分级确权授权制度。根据数据来源和数据生成特征，分别界定数据生产、流通、使用过程中各参与方享有的合法权利，建立数据资源持有权、数据加工使用权、数据产品经营权等分置的产权运行机制。在保护公共利益、数据安全、数据来源者合法权益的前提下，承认和保护依照法律规定或合同约定获取的数据加工使用权，尊重数据采集、加工等数据处理者的劳动和其他要素贡献，充分保障数据处理者使用数据和获得收益的权利。保护经加工、分析等形成数据或数据衍生产品的经营权，依法依规规范数据处理者许可他人使用数据或数据衍生产品的权利，促进数据要素流通复用。

四是鼓励公共数据在保护个人隐私和确保公共安全的前提下，按照“原始数据不出域、数据可用不可见”的要求，以模型、核验等产品和服务等形式向社会提供。

五是鼓励探索企业数据授权使用新模式，发挥国有企业带头作用，引导行业龙头企业、互联网平台企业发挥带动作用，促进与中小微企业双向公平授权，共同合理使用数据，赋能中小微企业数字化转型。

六是对承载个人信息的数据……不得采取“一揽子授权”、强制同意等方式过度收集个人信息。探索由受托者代表个人利益，监督市场主体对个人信息数据进行采集、加工、使用的机制。

七是充分保护数据来源者合法权益，推动基于知情同意或存在法定事由的数据流通使用模式，保障数据来源者享有获取或复制转移由其促成产生数据的权益。合理保护数据处理者对依法依规持有的数据进行自主管控的权益。

八是建立数据分类分级授权使用规范，探索开展数据质量标准化体系建设，加快推进数据采集和接口标准化，促进数据整合互通和互操作。支持数据处理者依法依规在场内和场外采取开放、共享、交换、交易等方式流通数据。

九是制定全国统一的数据交易、安全等标准体系，降低交易成本……推进数据交易场所与数据商功能分离……规范各地区各部门设立的区域性数据交易场所和行业性数据交易平台，构建多层次市场交易体系，推动区域性、行业性数据流通使用。促进区域性数据交易场所和行业性数据交易平台与国家级数据交易场所互联互通。构建集约高效的数据流通基础设施，为场内集中交易和场外分散交易提供低成本、高效率、可信赖的流通环境。

十是充分发挥政府有序引导和规范发展的作用……建立数据要素生产流通使用全过程的合规公证、安全审查、算法审查、监测预警等制度。

解读：从可信数据空间角度看，需要注意几点：第一，“数据二十条”从整体上要求建立保障安全、促进发展的数据基础制度，建立数据可信流通体系，充分发挥政府有序引导和规范发展的作用。第二，关于数据资源持有权、数据加工使用权、数据产品经营权等“三权分置”，前提是“根据数据来源和数据生成特征，分别界定数据生产、流通、使用过程中各参与方享有的合法权利”，需要“在保护公共利益、数据安全、数据来源者合法权益的前提下”。同时，承认数据处理者行使“三权”，促进数据要素流通复用。第三，鼓励公共数据开发利用，鼓励企业数据（尤其是行业龙头企业、互联网平台企业带头）授权利用。第四，充分保护数据来源者合法权益，不得采取“一揽子授权”等方式采集数据来源者数据，探索由受托者代表个人利益监督市场主体。第五，构建集约高效的数据流通基础设施，建立标准规范体系，促进数据整合互通和互操作。

《条例》“第二章 一般规定”第十二条一共三款：

网络数据处理者向其他网络数据处理者提供、委托处理个人信息和重要数据的，应当通过合同等与网络数据接收方约定处理目的、方式、范围以及安全保护义务等，并对网络数据接收方履行义务的情况进行监督。向其他网络数据处理者提供、委托处理个人信息和重要数据的处理情况记录，应当至少保存3年。

网络数据接收方应当履行网络数据安全保护义务，并按照约定的目的、方式、范围等处理个人信息和重要数据。

两个以上的网络数据处理者共同决定个人信息和重要数据的处理目的和处理方式的，应当约定各自的权利和义务。

《条例》“附则”第六十二条对相关名词做了解释：

委托处理，是指网络数据处理者委托个人、组织按照约定的目的和方式开展的网络数据处理活动。

共同处理，是指两个以上的网络数据处理者共同决定网络数据的处理目的和处理方式的网络数据处理活动。

解读：一是关于数据委托处理，从《个人信息保护法》规定的个人信息扩充到了包括重要数据，受托方按合同要求处理数据，有数据安全保护义务，委托方有监督义务。对可信数据空间而言，显然，数据持有者可以依合同委托数据基础设施平台运营者、数据产品开发者进行数据处理活动。数据持有者应监督相关数据安全情况，同时也可以按照“数据二十条”的原则委托数据基础设施平台运营者（即可信数据空间运营者）“代表个人利益监督市场主体”。数据基础设施平台运营者可以受托管理相关数据，进行数据治理，受托进行数据安全监管，并代表公共利益，也“代表个人利益监督市场主体”。数据产品开发者可以受托使用数据进行数据产品开发生产和相关经营。当然，数据委托行为并不改变委托方和受托方均作为数据处理者对公共利益和数据来源者的义务，相关数据处理行为依然需要得到公共管理部门（对于重要数据）和数据来源者（对于涉私数据）的授权。二是关于数据共同处理，同样从处理个人数据扩展到了可以处理重要数据。对可信数据空间而言，可以多个数据产品开发者合作开发数据产品，也可以是数据基础设施平台运营者负责数据治理，数据产品开发者负责开发数据产品这样的前后环节合作模式，等等。数据基础设施平台运营者仍然负有数据安全监管义务。数据处理者之间约定各自的权利和义务，但总体上均不能减少对公共利益和数据来源者的义务。三是对于公共数据委托（授权）运营，可以适用这里关于数据委托处理的规定以及第十五条的规定，当然必须强调，公共数据管理机构必须在委托（即授权运营）的同时加强监管，即使同步委托了数据基础设施平台运营者（即授权运营机构或可信数据空间运营者）“代表个人利益监督市场主体”，也不能免除公共数据管理机构自身的监督责任。

《条例》第三章重点细化了关于告知、同意、个人行使权利等方面的规定。一是明确通过制定个人信息处理规则履行告知义务的内容、形式等要求。二是明确基于个人同意处理个人信息应当遵守的基本要求。三是明确行使个人信息查阅、复制、更正、补充、删除等权利的要求，细化个人信息转移的具体条件。四是针对自动化采集技术等无法避免采集到非必要个人信息、个人注销账号后个人信息处理问题等新情况，要求网络数据处理者删除个人信息或者进行匿名化处理。五是明确按照《个人信息保护法》第五十三条规定在境内设立专门机构或者指定代表的要求。六是明确网络数据处理者处理1000万人以上个人信息还应当履行重要数据安全方面的义务。

解读：《条例》完全坚持了《个人信息保护法》的原则和基本规则，根据一些具体场景进行了细化和补充。从可信数据空间角度看，需要注意几点：一是可信数据空间应当按照《条例》要求常态化公示个人信息处理规则。如果可信数据空间运营者受托“代表个人利益监督市场主体”，更是还要公示其监督、合作的其他数据处理者（包括数据持有者、数据产品开发者等）的个人信息处理规则。对于以数据产品化为特征的数据产品超市，要公示通过数据产品授权通道进行授权并同步处理个人数据的机制和规则。二是基于个人同意处理个人信息，尽量采取“一次授权一次使用”的更严格的模式——这在可信数据空间结合个人数字空间机制，技术上是不难做到的。（参见文献[2]关于关联对象“数字空间”部分）三是可信数据空间应当设置便利个人行使个人信息查阅、复制、更正、补充、删除等权利的通道，以及个人信息转移的通道——这也是通过个人数字空间来授权实施。四是针对自动化采集技术等无法避免采集到非必要个人信息等情形，可信数据空间可以组织利用多个数据处理者共同处理个人数据的方式，对非必要个人信息进行删除或匿名化处理。五是《条例》针对个人信息所规定的原则应当也适用于其它涉私数据（法人数据等）。

对于可信数据空间，网络平台服务提供者就是数据基础设施平台运营者，即可信数据空间运营者。

《条例》第六章明确网络平台服务提供者义务。一是规定了网络平台服务提供者、第三方产品和服务提供者、预装应用程序的智能终端等设备生产者的网络数据安全保护义务，并要求提供应用程序分发服务的网络平台服务提供者建立应用程序核验规则并开展网络数据安全相关核验。二是针对当前个性化推荐服务关闭难、收集个人信息类型多、个人精准画像数据滥用等问题，明确网络平台服务提供者应当设置易于理解、便于访问和操作的个性化推荐关闭选项，为用户提供拒绝接收推送信息、删除针对其个人特征的用户标签等功能。三是明确国家推进网络身份认证公共服务建设，按照政府引导、用户自愿原则进行推广应用。鼓励网络平台服务提供者支持用户使用国家网络身份认证公共服务登记、核验真实身份信息。四是规定大型网络平台服务提供者每年度发布个人信息保护社会责任报告、防范网络数据跨境安全风险的要求，以及明确不得利用网络数据、算法、平台规则等从事相关活动的义务。

解读：针对实践中存在的网络平台服务提供者不履行网络数据安全义务、滥用数据优势从事法律、行政法规禁止的活动等情况，并借鉴了国内外相关立法对此所作的实践探索，《条例》的规定深具现实意义。从可信数据空间角度看，需要注意几点：一是重申了网络平台服务提供者（即可信数据空间运营者）的数据安全保护和监督（包括网络数据安全相关核验）义务，第三方产品和服务提供者（即数据产品开发者）和预装应用程序的智能终端等设备生产者（亦为数据产品开发者，参见文献[2]关于数据产品定义部分）的数据安全保护义务，并且强调了对用户造成损害时上述三者都应当依法承担相应责任。二是针对通过自动化决策方式向个人进行信息推送，可信数据空间应当设置数据来源者、数据使用者选择拒绝服务的便利通道。三是可信数据空间应当依托国家网络身份认证公共服务作为可信数字身份认证平台（参见文献[2]关于关联对象“数字空间”让数据权益关联、解耦和实现部分）。

董学耕 | 两个信息之辩正（十五）

董学耕 | 数据基础设施论纲Ⅲ——数据权益基础设施（十六）

董学耕 | 数据基础设施论纲Ⅳ——作为新质生产关系的数据基础设施（十七）

董学耕 | 数据开发开放拓展数据开放利用范围（十八）