前沿观察-杉涌律师事务所

万众期待的数据局终将到来。

2023年3月10日，十四届全国人大一次会议举行第三次全体会议，表决通过了《国务院机构改革方案》。根据该改革方案，将组建国家数据局，负责协调推进数据基础制度建设，统筹数据资源整合共享和开发利用，统筹推进数字中国、数字经济、数字社会规划和建设等。国家数据局由国家发展和改革委员会管理。

根据该改革方案，中央网信办和国家发改委的部分职责被划入这一新组建的国家数据局，包括协调推进数据基础制度建设，统筹数据资源整合共享和开发利用，统筹推进数字中国、数字经济、数字社会规划和建设等几个方面。这一改革方案虽寥寥几语，却力透千钧，在市场掀起暴风般的效应。

在此时间节点盘点这一数据局的背景和意义，对比国外的数据治理监管机构和推进数字经济发展的机制，有着重要意义。

一、中国设立统一的数据治理机构实为重要一步

（一）出台背景

数据常常被比作是数字经济时代的“石油”，也被认为是一种“新型生产要素”。

早在2020年，我国就在《中共中央国务院关于构建更加完善的要素市场化配置体制机制的意见》中，首次将数据作为一种新型生产要素写入中央文件中，与土地、劳动力、资本、技术等传统要素并列。

2022年12月，中共中央、国务院正式发布了《关于构建数据基础制度更好发挥数据要素作用的意见》，业界称之为“数据二十条”。在这个我国首份专门针对数据要素的基础性文件中，提出了构建数据产权、流通交易、收益分配、安全治理等制度，初步形成我国数据基础制度的框架。

今年全国两会召开前夕，中共中央、国务院还发布了《数字中国建设整体布局规划》，这份规划布局了明确的“2522”整体框架，即夯实数字基础设施和数据资源体系“两大基础”，推进数字技术与经济、政治、文化、社会、生态文明建设“五位一体”深度融合，强化数字技术创新体系和数字安全屏障“两大能力”，优化数字化发展国内国际“两个环境”。

在发展数字经济、规范监管逐渐丰富的背景下，作为数据大国，在此背景下成立中心化的治理框架实乃大势所趋。

此次国务院机构改革是第九次改革，在前八次改革的基础上可以明确看到“优化职责、问题导向、统筹推进”的特点，作为2018年国家机构改革的延续与纵深，明确界定国家数据局与相关部门的业务边界。既突出强调了下一阶段政务服务和数字政府建设的工作重点，又以更加丰富和精细化的方式实现数据治理。

（二）大势之趋——从地方到中央，统筹监管，不再“九龙多治”

2022年全国政协经济委员会曾组织专题调研，发现共15个政府部门拥有或曾拥有数据管理权限，多头监管的现象较为突出。而在本次国务院机构改革之前，许多省区市都已经陆续成立了数据管理局：

最早设立的地方大数据管理机构，可以回溯到成立于2014年2月的广东省大数据管理局，归属于广东省经济和信息化委员会内设机构，成为地方探索的“先行者”。

恰在同年，“大数据”首次写入国务院政府工作报告。2015年，国务院印发《促进大数据发展行动纲要》，对大数据发展进行顶层设计，大数据已上升到国家战略的高度。

在2015年后，各省市的大数据管理局相继设立，如贵州省大数据发展管理局、浙江省数据管理中心等。其中，于2015年10月挂牌成立的贵州省大数据发展管理局，是贵州省政府直属的正厅级事业单位，可谓在先行者的探索之路上迈开了更大的“步子”。紧随其后，广州、沈阳、兰州等市级大数据管理机构也纷纷登上舞台。

梳理由中央批复成立的各省份机构的改革方案可见，仅在2018年，全国各地即密集设立数据管理机构，包括北京等至少10个省份或新组建了省级数据管理机构、或在组建的政府机构加挂牌子。例如北京市经济和信息化局加挂“市大数据管理局”牌子；福建省数字福建建设领导小组办公室加挂“省大数据管理局”牌子等。

截至日前，已有19个省、直辖市和自治区成立了省级层面的大数据管理局，机构命名各有不同，如大数据管理局、大数据发展局、数据资源管理局或大数据中心等，隶属部门也存在差异，多数是省级政府直属机构，还有部分隶属网信办或发改委等部门。

通过本次机构改革，在中央层面设立专门的大数据管理机构，可以消除数据孤岛和数据烟囱，打通数据壁垒。

（三）要治理，也要发展

各种政府在协调治理的同时，也要发展数据资产化和流通交易，让数据动起来，才能发挥更大的价值。

上海、北京、深圳等地同样在此方面作出率先尝试。以深圳数据交易所为例，根据公开数据，截至2023年1月31日，深圳数据交易所已完成登记备案的数据交易总计505笔，累计交易金额超过14亿元。全国范围内，数据提供方、数据商、数据需求方等参与主体共计605家，主要集中在深圳、北京、上海三地，交易登记备案集中涉及73类应用场景。跨境交易共14笔，累计交易金额1115万元。

这表明各省市已充分认识到大数据的重要性，积极落实大数据发展的国家战略。正是在前述多地探索试验基础上经过全面评估和综合研判，国务院机构改革方案作出了科学决策，通过组建国家级最高数据管理机构，把与数据有关的发展和治理均划归为一个部门，跨部门跨行业互联互通体系建设实现了统管统建。

二、境外数据治理机构和数字经济推进机制的比较研究

立足国内，放眼全球，对境外其他国家或地区的数据治理结构和数字经济的发展机制作一研究，特别是与我国存在频繁和大量数据共享和交换的重点地区，具有重要意义。

（一）数据监督管理机构

1. 欧盟：欧洲数据保护委员会(European Data Protection Board, “EDPB”)

欧盟监管和实施数据保护相关法规的机构为欧洲数据保护委员会。EDPB是2018年设立的独立机构，旨在确保GDRP等数据保护规则的统一适用，并促进欧盟各成员国在数据保护间的合作。EDPB由欧盟各成员国数据保护监管机构和欧洲数据保护专员公署(European Data Protection Supervisor, “EDPS”)代表共同组成。其职责包括：提供面向数据控制者、处理者和数据主体的指导文件，释明立法；制定针对欧盟委员会或各成员国监管机构的意见文件；发布对各成员国监管机构具有约束力的决定，解决合作执行GDPR时出现的机构间争议；促进和支持各成员国监管机构之间的合作等。

欧盟形成了欧盟委员会、成员国、行业领域到企业的系统的垂直治理体制。在欧盟委员会层面，设置了数据创新委员会和数据保护委员会。其中数据创新委员会以专家组的形式成立，包含欧洲数据保护委员会、欧洲委员会、相关数据空间及特定部门其他主管当局的代表，主要对跨部门标准化的战略、治理和要求方面提供建议并提供数据开放、数据共享服务等方面好的经验做法；数据保护委员会则重点对数据保护进行监管，每个成员国设置独立数据监管机构，各国的数据监管机构在数据保护委员会进行沟通，提出数据保护问题和分享数据保护经验等。

2. 德国：联邦数据保护和信息自由专员(The Federal Commissioner for Data Protection and Freedom of Information, “BfDI”)

在德国，负责监督和实施数据保护法律的独立机构为联邦数据保护和信息自由专员，设立于1978年。作为德国联邦层级的数据保护机构，其职能包括监督和执行GDPR和其他相关数据保护法律；提高公众对处理个人数据的风险、规则、保障和权利的认识和教育；就立法和行政数据保护措施向德国联邦议院和联邦参议院、联邦政府和其他机构和委员会提供咨询；处理数据主体或数据保护协会(Datenschutzkonferenz，DSK)的投诉等。

3. 法国：法国国家信息和自由委员会(Commission Nationale de l'Informatique et des Libertés, “CNIL”)

法国国家信息和自由委员会为法国的数据保护机构，设立于1978年。CNIL的主要任务是监督和审查数据保护法的遵守情况，并对违反规定的行为进行制裁。自2018年起，CNIL针对GDPR的实施已经颁发多份法国境内指南性文件以及工具，包括初创企业GDPR合规指南、当地监管和健康行业指南、数据处理者指南、数据记录模版、隐私政策范本、数据保护影响评估软件等。

4. 荷兰：荷兰数据保护局(Autoriteit persoonsgegevens, “AP”)

荷兰数据保护局为荷兰负责监督和实施数据保护法律的独立机构，负责监督和执行GDPR、《实施法》等数据保护法律。AP的主要任务为：监督；提供建议；提供信息、教育和问责制；国际合作。最重要的权力和任务是：处理个人提出的投诉；调查组织并命令提供与其数据保护义务相关的任何信息；当组织不遵守GDPR时，发出警告和/或行政罚款，以及强制执行处罚命令。

5. 英国：多层数据治理结构

(1) 英国数据治理的核心机构为内阁办公室，相关职责包括：确保数据治理政策被有效制定、协调和实施；支持国家安全委员会和联合情报组织；协助英国政府管理和应对网络安全危机；为政府各项改革方案提供专家支持，确保公民能够获得有效的公共服务；负责制定政府网站标准指南，推动政府数据发布并使政府运作更加透明；加强数字技术和政府间数据的管理和使用等。

(2) 内阁办公室的一个重要组成部分为政府数字服务局，组建于2011年。作为引领英国政府数字化转型的核心部门，旨在推动政府数字化转型，相关职责包括：提供实践指导和咨询；制定和管理数字服务、数据开放和技术操作规范等标准；支持政府间的数字、数据和技术专业建设，提升政府数字能力等。

(3) 英国负责监督和执行英国数据保护相关法规的独立机构为信息办公室，成立于2005年，是一个由信息专员担任首席执行官和会计主管、接受数字文化传媒体育部资助的独立机构，职能包括监督和实施英国数据保护相关法律的执行、提升公共意识、处理投诉、进行调查等。信息专员拥有要求数据控制者和数据处理者提供必要信息、执行调查和审计、获取数据控制者和处理者的文件、出具行政处罚通知的职权。若数据主体认为针对其个人信息存在违反违反法律的行为，则其有权向信息专员提交投诉。信息专员有权力就被投诉一案进行评估，若发现数据控制者或数据处理者未予遵守相关规定，则有权要求其采取相关措施，同时处以罚款。

(4) 政府通信总部是英国最大的情报和安全机构，下设网络安全办公室和网络安全行动中心，主要职责是协调政府各部门网络安全计划，协调政府和民间机构重要计算机系统的安全保护工作。

国家网络安全中心是政府通信总部的重要组成部分，也是英国在网络安全方面的权威机构。它与英国组织、企业和个人合作，提供权威和连贯的网络安全建议和网络事件管理，提高英国的网络安全和网络复原力，减少网络安全风险。

(5) 数据战略委员会的主要相关职责是向内阁大臣提供发布公共数据的建议，为中央和地方的开放数据机构提供资金支持，帮助这些机构消除开放数据的技术屏障，以及寻求数据价值的最大化。它代表政府部门指导公共数据组(Public Data Group, "PDG")的合同管理，并就其数据如何促进经济增长为内阁部长提供建议。PDG的主要职责是将政府机构和数据聚合在一个组织内，通过协调一致的路径和方法促进公共数据的存取，从而确保公众能在免费使用数据的同时，通过适当途径来提高公共部门信息投资效益并吸引私营机构投资。

6. 新加坡：个人信息保护委员会(Personal Data Protection Commission, “PDPC”)

新加坡负责管理和执行个人信息保护法律的独立机构为2013年成立的PDPC。PDPC的主要职责包括制定咨询指南以帮助理解和遵守PDPA(Personal Data Protection Act)，并实施与个人数据保护相关的政策；此外，PDPC还会审查数据处理者，并在必要时发布合规决定或指令；PDPC与各行业合作，对各行业的合规性进行监督，发布了针对管理公司、教育行业、社会服务行业、医疗保障行业、电信行业、地产代理行业以及出租运输服务车内录音的咨询准则。

PDPC会采取以下处罚措施，包括：要求停止违法收集、使用或披露个人数据的行为；销毁违法收集的个人数据；要求组织提供访问或更正个人数据的权限；要求组织以书面形式提供特定信息或文件；处以组织在新加坡年营业额的10%，或最高100万新元（以较高者为准）的罚款。

7. 美国：商务部DOC(Department of Commerce, "DOC")

美国在数据保护领域的监管和实施机构为商务部。在加入的数据保护体系方面，美国加入了亚太经济合作组织(Asia-Pacific Economic Cooperation, "APEC")隐私框架下的跨境隐私规则(Cross-Border Privacy Rules, "CBPR"）。此外，2022年12月13日，欧盟委员会启动了通过欧盟-美国数据隐私框架充分性决定的程序。

DOC通过不同机制（包括进行现场抽查、临时抽查等）去监督相关组织是否遵守法规。作为认证申请的一部分，组织需要向DOC提交相应资料（包括组织名称、处理个人信息的目的等）。DOC则会验证相关组织是否满足全部认证要求。

美国联邦政府为推动数据治理提供了一系列的政策指导。与其他政府相比，美国在数据治理和监管方面相对更自由。一方面，美国政府鼓励数据流动，包括跨境流动。另一方面，美国在国家层面缺乏全面统一的数据保护和隐私制度。数据相关规则由联邦和各州相关法律、美国联邦贸易委员会的裁决、特定行业的隐私义务和机构级数据保护标准组合而成。

（二）推动数字经济发展的机制

伴随世界各国经济的数字化转型和升级浪潮，各个国家和地区政府在加强数据治理和监管的同时，又采取多种措施促进数字经济发展，如整合、设立专门的数字经济推进机构、出台数字战略规划或政策、加大专项资金投入等。对主要国家如美国、俄罗斯、欧盟、日本等作梳理，可发现与我国的数字经济发展路径和方法等既有共性、又有区别，具体如下：

序号	国家/地区	负责机构	成立时间	主要职能
1	美国	数字经济咨询委员会（下设于商务部）	2016年新设	为政府、企业提供数字经济发展政策建议。
2	欧盟	欧盟委员会中数字经济相关职责全部交由执行副主席负责	2019年并入	1、制定欧盟数字经济发展战略和规则； 2、消除数字化领域欧盟境内市场壁垒； 3、建立完善数字基础设施等。
3	英国	数字、文化、媒体和体育部	2017年新设	1、推动旅游、休闲、创意产业数字化转型； 2、数字基础设施投资； 3、制定人工智能相关国家战略和规则等。
4	日本	数字厅	2021年新设	推动日本行政数字化改革。
5	韩国	国家数据政策委员会	2022年新设	制定数据和新产业相关政策。

（三）其他数据治理的组织和形式

除了由各国政府主导设立的承担数据管理职能的政府机构，各国政府、跨国机构和私营部门正在开展其他形式的在数据治理方面的探索，比如非约束性的原则、框架或倡议和区域组织等：

1. 经济合作与发展组织OECD在2020年建立人工智能全球合作伙伴关系框架，制定可信赖的政府访问个人数据高级原则。全球数据行业联盟于2021年3月发布了一套跨境数据原则，涉及透明性、非歧视性和互操作性等问题。

2. 亚太地区国家在制定数据治理原则方面处于前沿。如日本提出了“信任的数据自由流动”("DFFT")的概念，作为全球数据治理方法的组织原则，DFFT获得了20国集团G20和G7领导人的认可。

亚太地区区域组织还推进有关数据治理的非约束性原则。如，2018年APEC成立了数字经济指导小组DESG，该小组从贸易以外的广泛经济角度解决数字和数据治理方面的挑战。另一个重要的区域性组织东南亚国家联盟 ASEAN 在2021年初提出了一种跨境数据传输机制，该机制使用示范合同条款在东盟国家以外合法地传输数据。实施后，它将提供一种经济高效且灵活的数据传输机制，使不同国家隐私框架之间的互操作性动成为可能。

3. 世界经济论坛WEF设计了通用数据倡议 (Data for Common Purpose Initiative, "DCPI")，作为组织成员之间收集和共享数据的规范。目前在 25 个国家和 80 多个组织中拥有超过 170 名成员，其使命是围绕共同目的制定数据政策和使用条例，为个人、公共部门和商业企业提供更高的数据价值。

DCPI 希望将数据的使用聚焦于一系列“共同目的”，例如公共卫生、环境保护和灾害管理，制定指导方针提高数据的社会效益，以确保政府和研究机构能够更容易地利用数据做出有利于公众的决策，例如在席卷全球的COVID-19 危机中等。同时确保个人数据不能用于未经许可的其他目的。印度、哥伦比亚、日本和挪威均积极致力和DCPI合作，发展这一理念。

三、企业合规启示

中央数据局在千呼万唤中即将落地组建，标志着数据治理监管、数字经济发展的新时代已到来。建议企业应结合“数据二十条”，站在更高的站位理解立法机关的立法意图、立法计划和立法步骤，从而相应调整企业自身的数据发展战略和数据合规方案。各行业的企业应根据自身所处行业和业务发展阶段来准确制定在数据合规治理上的重点，并据此执行合规政策。未来已来，所有的从业者都应密切关注数据合规领域的立法动态，积极拥抱数据合规时代的发展浪潮，投入建设数字化经济转型的未来。数据合规任重道远，筹谋在先，谋定后动。