從“大國制造”到“大國智造” ——工業數據若干合規問題研究
作者：吳衛明 李榮榮 施瑞燕 2022-06-02以數字化驅動的新一輪工業革命正蓬勃興起，工業領域日益成為數字化轉轉型的重要領域。再人、機、物全面互聯的新模式下，工業數據成為本輪工業革命加速發展的重要要速。工業和信息化部（以下簡稱“工信部”）部長于肖亞慶于2022年5月26日在2022中國國際大數據產業博覽會上提出：“大數據應用從互聯網、金融、電信等領域逐步向智能制造等領域拓展，極大豐富了我國數據資源，催生一批新場景新模式新業態”[1]。
但是，相較金融數據、政務數據、健康醫療數據、汽車數據等領域，工業數據法律法規體系建設尚處于起步階段。工業數據在研發設計、生產控制、運營管理、應用服務等各相關均有涉及，部分環節的數據安全事件，有可能引發企業工業生產經營活動停滯，因而隱藏的安全風險較大。本文將梳理工業數據法律法規現狀，闡釋工業數據的概念及內涵，并提出合規建議。
一、 工業數據法律法規概覽
工業數據合規所涉及的法律法規主要包括《網絡安全法》《數據安全法》《國家安全法》等數據安全方面的一般法律規則，以及工業數據領域的專門法律規則，前者為工業數據合規提供了基本原則，后者則構成了工業數據合規的主體架構。進一步而言，就工業數據領域的專門法律規則，目前形成了《國務院關于深化“互聯網+先進制造業”發展工業互聯網的指導意見》為引領，主管機關工信部出臺的多部部委規章為重要組成部分的格局，現梳理該等工業數據合規的專門法律規則并重點介紹如下：
2017年11月19日，國務院發布了《關于深化“互聯網+先進制造業”發展工業互聯網的指導意見》，提出工業互聯網作為新一代信息技術與制造業深度融合的產物，日益成為新工業革命的關鍵支撐和深化“互聯網+先進制造業”的重要基石，并將建立工業數據安全保護體系（如收集、存儲、處理、轉移、刪除等環節的安全防護能力、分級分類管理制度、安全監督檢查等）明確列為規范和發展工業互聯網的主要任務之一[2]。
2020年2月27日，工信部發布了《工業數據分類分級指南（試行）》（ 工信廳信發〔2020〕6號），適用于工業企業、工業互聯網平臺，界定了工業數據的定義，提出了工業數據分類分級的具體要求。
2020年4月28日，工信部發布了《關于工業大數據發展的指導意見》，規定了工業大數據的概念，并對工業數據的匯聚、共享、安全治理、安全管理體系等方面提出了方向性意見。
2021年9月30日，工信部首次對《工業和信息化領域數據安全管理辦法（試行）》征求意見（以下簡稱“舊版《工信數據管理辦法（征求意見稿）》”），該管理辦法定位于工業和信息化數據安全管理的頂層設計，主要界定了工業數據的概念，提出了工業數據分類分級、安全管理等工作的具體要求，構建了工業數據領域的監管體系，明確了工業數據全生命周期安全保護要求等；2022年2月10日，工信部對《工業和信息化領域數據安全管理辦法（試行）》再次征求意見（以下簡稱“新版《工信數據管理辦法（征求意見稿）》”，新舊兩版《工信數據管理辦法（征求意見稿）》以下統稱“《工信數據管理辦法（征求意見稿）》”），調整了工業數據的概念，不再采用數據處理者應當堅持先分類后分級的表述，增加了何種情形下需要履行重要數據和核心數據目錄備案變更手續等。
此外，中國工業互聯網產業聯盟還發布了多部工業數據領域的行業指導文件，包括《工業互聯網平臺白皮書（2017）》《工業大數據技術與應用白皮書》《工業互聯網平臺 安全防護要求》《工業互聯網 網絡安全數據采集裝置 技術要求》《工業大數據分析案例剖析》《可信工業數據空間系統架構1.0 》等白皮書、技術標準，在目前工業數據領域法律法規體系尚未健全的情況下，為工業數據安全管理的落地執行提供了參考。
二、 工業數據的概念
法律文件名稱 | 工業數據的概念 |
《工業數據分類分級指南（試行）》 | 工業數據是工業領域產品和服務全生命周期產生和應用的數據，包括但不限于工業企業在研發設計、生產制造、經營管理、運維服務等環節中生成和使用的數據，以及工業互聯網平臺企業（以下簡稱平臺企業）在設備接入、平臺運行、工業APP應用等過程中生成和使用的數據。 |
《關于工業大數據發展的指導意見》 | 工業大數據是工業領域產品和服務全生命周期數據的總稱，包括工業企業在研發設計、生產制造、經營管理、運維服務等環節中生成和使用的數據，以及工業互聯網平臺中的數據等。 |
《工信數據管理辦法》第三條第一款 | 工業數據是指原材料工業、裝備工業、消費品工業、電子信息制造業、軟件和信息技術服務業、民爆等行業領域，在研發設計、生產制造、經營管理、運維服務、平臺運營、應用服務等過程中收集和產生的數據。 |
新版《工信數據管理辦法》第三條第一款 | 工業數據是指工業各行業各領域在研發設計、生產制造、經營管理、運行維護、平臺運營等過程中產生和收集的數據。 |
結合上述相關法律及規范性文件中工業數據的概念，對工業數據的理解可從如下兩個方面入手：
1、工業數據的產生主體
從上述相關法律及規范性文件的發布時間先后來看，工業數據涉及的主體范圍逐漸趨于寬泛，具體而言：
首先，《工業數據分類分級指南（試行）》《關于工業大數據發展的指導意見》明確規定，工業數據的主體涵蓋工業企業和工業互聯網平臺企業兩種類型。其中：（1）工業企業比較容易理解，即從事工業各行業各領域的企業；（2）工業互聯網平臺企業的理解則較為復雜，法律法規層面尚未界定何為工業互聯網平臺，參考工業互聯網產業聯盟發布的《工業互聯網平臺白皮書（2017）》，工業互聯網平臺是面向制造業數字化、網絡化、智能化需求，構建基于海量數據采集、匯聚、分析的服務體系，支撐制造資源泛在連接、彈性供給、高效配置的工業云平臺。工信部于2022年5月24日公布了《2022年跨行業跨領域工業互聯網平臺名單》，共計遴選了包括海爾卡奧斯物聯生態科技有限公司搭建的“卡奧斯COSMOPlat工業互聯網平臺”在內的28家平臺。
其次，《工信數據管理（征求意見稿）》在《工業數據分類分級指南（試行）》《關于工業大數據發展的指導意見》基礎上，將工業數據范圍界定為在“工業各行業各領域”中，新版《工信數據管理辦法》在表述方式上進一步將工業數據產生、使用、收集的主體從原先逐一列舉的行業直接明確為“工業各行業各領域”。其中，對于“工業各行業各領域”的理解，結合《國民經濟行業分類》和國家統計局發布的“2022年1—4月份全國規模以上工業企業利潤增長3.5%”中“行業”字段的統計口徑[3]，“工業行業”包括B“采礦業”、C“制造業”、D“電力、熱力、燃氣及水生產和供應業”三個門類及其下屬的煤炭開采和洗選業等41個大類。
實務中，除了工業企業、工業互聯網平臺這兩種典型的主體類型外，還包括其他主體類型，比如，（1）工業數據交易場所：《關于工業大數據發展的指導意見》明確提出：“構建工業大數據資產價值評估體系，研究制定公平、開放、透明的數據交易規則，加強市場監管和行業自律，開展數據資產交易試點，培育工業數據市場” ，數據有序流動是挖掘其最大價值的有效途徑之一，工業數據也不例外，建設規范、可信的工業數據流通環境至關重要。（2）工業企業以外的上下游供應鏈企業：上下游供應鏈企業不一定屬于工業企業、工業互聯網平臺，比如，為某制造業廠商提供設備及生產線保養維護的企業，其服務數據能夠反映該設備與生產線的運行狀況，也會被納入工業數據范疇。
2、工業數據的產生環節
在工業數據的產生環節，上述相關法律法規、規范均列舉了研發設計、生產制造、經營管理、運行維護、平臺運營過程中產生的數據。同時，新版《工信數據管理辦法（征求意見稿）》剔除了舊版《工信數據管理辦法（征求意見稿）》列明的“應用服務過程中收集和產生的數據”，結合《工業數據分類分級指南（試行）》中的工業數據概念，從字面上理解，“平臺運營”包括工業互聯網平臺企業的“設備接入、平臺運行、工業APP應用等過程”，“平臺運營”可囊括“應用服務”環節，故新版《工信數據管理辦法（征求意見稿）》未進一步列舉“應用服務”環節。
三、 工業數據與其他行業數據的關系
1、電信數據
新舊兩版《工信數據管理辦法（征求意見稿）》均提及了電信數據，電信數據是電信業務經營活動中產生和收集的數據。如前所述，工業數據是工業各行業各領域相關活動中產生和收集的數據，兩者產生和收集數據所在的行業領域不同。按照《國民經濟行業分類》劃分的行業分類，電信業務被劃分至《國民經濟行業分類》中的I門類“信息傳輸、軟件和信息技術服務業”，與工業行業分屬不同的行業門類。
根據《中華人民共和國電信條例》《電信業務分類目錄》，電信業務又分為基礎電信業務和增值電信業務：（1）基礎電信業務，是指提供公共網絡基礎設施、公共數據傳送和基本話音通信服務的業務，包括固定通信業務、蜂窩移動通信業務、第一類衛星通信業務、第一類數據通信業務、IP電話業務等。（2）增值電信業務，是指利用公共網絡基礎設施提供的電信與信息服務的業務，包括互聯網數據中心業務、內容分發網絡業務、互聯網接入服務業務、存儲轉發類業務、呼叫中心業務、信息服務業務等。截至2022年4月底，全國增值電信業務經營許可企業共125006家，合計擁有176105個許可項目[4]。
雖然電信數據與工業數據分屬不同數據類型，但兩者在一定情況下會產生交集。比如通過云計算機構搭建的工業互聯網平臺，如果服務方以公有云的方式搭建平臺或者為工業互聯網平臺提供云架構的支持，則云服務商需要取得數據中心及互聯網資源協作的增值電信業務許可。在工業互聯網平臺上的數據，一方面構成工業數據，另一方面也可能被認定為電信數據。
2、汽車數據
根據《汽車數據安全管理若干規定（試行）》，汽車數據包括汽車設計、生產、銷售、使用、運維等過程中的涉及個人信息數據和重要數據。而汽車數據處理者，是指開展汽車數據處理活動的組織，包括汽車制造商、零部件和軟件供應商、經銷商、維修機構以及出行服務企業等。
從行業角度分析，汽車數據與工業數據之間屬于交叉關系，具體而言，結合《國民經濟行業分類》，汽車相關的行業包括“C制造業”門類下的“汽車制造業”（第36大類），“G交通運輸、倉儲和郵政業”門類下的“道路運輸業”（第54大類），以及“O居民服務、修理和其他服務業”門類下的“機動車、電子產品和日用品產品修理業（第81大類）”，以及車聯網等領域。如新版《工信數據管理辦法（征求意見稿）》生效，前述“汽車制造業”產生和收集的數據將被納入工業數據，而“道路運輸業”和“機動車、電子產品和日用品產品修理業”產生和收集的數據將不被納入工業數據范疇。兩者的關系示意圖如下：
四、 工業數據安全管理合規建議
1、建立和完善工業數據分類分級制度
建議企業根據《數據安全法》《工信數據管理辦法》《工業數據分類分級指南（試行）》《網絡安全標準實踐指南——網絡數據分類分級指引》等法律文件，建立符合法律法規、行業標準和契合企業自身情況的分類分級標準。
就工業數據分類而言，相關標準和指引提出了一些可行的做法，具體包括：（1）《網絡安全標準實踐指南——網絡數據分類分級指引》等一般法律規則提出了數據分類的基本原則，即在遵循國家和行業數據分類要求的基礎上，從多個維度進行分類[5]；（2）新版《工信數據管理辦法》結合工業數據的概念，從工業數據產生環節角度，提出了工業數據的基本類型，即研發設計數據、生產制造數據、經營管理數據、運行維護數據、平臺運營數據等；（3）《工業數據分類分級指南（試行）》第六條、第七條從工業企業、互聯網平臺企業的主體和工業數據產生環節相結合的角度，提出了工業數據更為詳細的分類維度，即工業企業工業數據分類維度包括但不限于研發數據域（研發設計數據、開發測試數據等）、生產數據域（控制信息、工況狀態、工藝參數、系統日志等）、運維數據域（物流數據、產品售后服務數據等）、管理數據域（系統設備資產信息、客戶與產品信息、產品供應鏈數據、業務統計數據等）、外部數據域（與其他主體共享的數據等）；平臺企業工業數據分類維度包括但不限于平臺運營數據域（物聯采集數據、知識庫模型庫數據、研發數據等）和企業管理數據域（客戶數據、業務合作數據、人事財務數據等）。
就工業數據的分級而言，（1）《數據安全法》《網絡安全標準實踐指南——網絡數據分類分級指引》《工信數據管理辦法》規定的分級標準基本一致，根據數據遭到篡改、破壞、泄露或者非法獲取、非法利用，對國家安全、公共利益或者個人、組織合法權益或工業生產、經濟效益等方面造成的危害程度，將工業數據的等級從低到高分為一般數據、重要數據和核心數據等3個級別；（2）《工業數據分類分級指南（試行）》第三章規定，根據不同類別工業數據遭篡改、破壞、泄露或非法利用后，可能對工業生產、經濟效益等帶來的潛在影響，將工業數據從低到高分為一級、二級、三級等3個級別。
2、重要數據和核心數據目錄備案
《數據安全法》《工業數據分類分級指南（試行）》等現行法律法規并未規定重要數據和核心數據目錄備案機制，該機制系《工信數據管理辦法（征求意見稿）》首次提出，要求涉及工業數據的企業主動將本單位重要數據和核心數據目錄向地方主管工業和信息化主管部門備案。備案內容包括但不限于數據類別、級別、規模、處理目的和方式、使用范圍、責任主體、對外共享、跨境傳輸、安全保護措施等基本情況，不包括數據內容本身。重要數據和核心數據的類別或規模變化30%以上的，或者其它備案內容發生重大變化的，企業還應當在發生變化的三個月內履行備案變更手續。
該等列入重要數據和核心數據級別的工業數據可能會關乎到國民經濟、行業發展、公共利益、社會秩序乃至國家安全，備案機制有助于國家加強對數據安全的管控。
3、工業數據全生命周期安全防護
建議企業針對不同類別級別的工業數據，從收集、存儲、加工、傳輸、提供、公開、銷毀、跨境、承接、委托處理等各環節落實安全防護要求。結合《數據安全法》《工信數據管理辦法（征求意見稿）》《工業控制系統信息安全防護能力評估工作管理辦法》《工業控制系統信息安全防護指南》等相關法律法規，工業數據全生命周期的安全防護的要求主要如下：
一般數據 | 重要數據 | 核心數據 | ||
數據收集 | ? 合法、正當、必要的原則。 ? 直接采集：根據數據安全級別采取相應的安全措施，加強重要數據和核心數據收集人員、設備的管理，并對收集時間、類型、數量、頻度、流向等進行記錄。 ? 間接獲?。号c數據提供方通過簽署相關協議、承諾書等方式，明確雙方法律責任【協議方式等】。 | |||
數據存儲 | 依據法律規定或者與用戶約定的方式和期限存儲數據。 | 還需采用校驗技術、密碼技術等措施進行安全存儲，不得直接提供存儲系統的公共信息網絡訪問，并實施數據容災備份和存儲介質安全管理，定期開展數據恢復測試。 | 還需實施異地容災備份。 | |
數據使用加工 | ? 利用數據進行自動化決策的，保證決策的透明度和結果公平合理。 ? 取得電信業務經營許可（如需）。 | 還需加強訪問控制，建立登記、審批機制并留存記錄。 | ||
數據傳輸 | 根據傳輸的數據類型、級別和應用場景，制定安全策略并采取保護措施。 | 還需采取校驗技術、密碼技術、安全傳輸通道或者安全傳輸協議等措施。 | ||
數據提供 | 明確提供的范圍、類別、條件、程序等，并與數據獲取方簽訂數據安全協議。 | 還需對數據獲取方數據安全保護能力進行評估或核實，采取必要的安全保護措施。 | 核心數據跨主體處理還需評估安全風險，采取必要的安全保護措施，并經由地方監管部門報工信部。 | |
數據轉移 | 轉出方：因兼并、重組、破產等原因需要轉移數據的，明確數據轉移方案，并通過電話、短信、郵件、公告等方式通知受影響用戶。 | 還需及時向所在地監管部門更新備案。 | ||
委托處理 | 通過簽訂合同協議等方式，明確委托方與被委托方的數據安全責任和義務。 | 還需對被委托方的數據安全保護能力、資質進行評估或核實 | ||
數據公開 | 在數據公開前分析研判可能對公共利益、國家安全產生的影響，存在重大影響的不得公開。 | |||
數據銷毀 | ? 建立數據銷毀制度，明確銷毀對象、規則、流程和技術等要求，對銷毀活動進行記錄和留存。 ? 個人、組織依據法律規定、合同約定等請求銷毀的，應當銷毀 | ? 還需及時向地方工業和信息化主管部門（工業領域）或通信管理局（電信領域）或無線電管理機構（無線電領域）更新備案； ? 還需不得以任何理由、任何方式對銷毀數據進行恢復。 | ||
數據出境 | 雖然《工信數據管理辦法（征求意見稿）》規定重要數據、核心數據應在境內存儲和數據出境安全評估要求，未明確規定一般數據是否也應遵照執行[6]，但工業歷來是國家最主要的物質生產部門，對國民經濟發展至關重要，工業企業、互聯網平臺企業等涉及產生工業數據的主體被認定為關鍵信息基礎設施運營者的可能性較大，建議仍嚴格按照《網絡安全法》《數據安全法》等關于數據出境的要求，在中華人民共和國境內收集和產生的工業數據，履行在境內存儲義務，確需向境外提供的，依法依規進行工業數據的出境安全評估。 | |||
日志留存 | 在數據全生命周期處理過程中，記錄數據處理、權限管理、人員操作等日志。日志留存時間不少于六個月。 | |||
4、數據安全監測預警與應急管理
結合《網絡安全法》《數據安全法》《工信數據管理辦法（征求意見稿）》等相關法律法規，建議企業建立安全監測預警與應急管理機制，主要義務內容如下：
序號 | 管理要求 | 內容 | 要點摘要 |
1 | 監測預警機制 | 應監管部門發布的預警通知應對處理； 開展數據安全風險監測，及時排查安全隱患，采取必要的措施防范數據安全風險。 | 風險監測+防范措施 |
2 | 信息上報和共享 | 及時將自身數據安全風險情況向所在地監管部門報告。 | 安全風險報告義務 |
3 | 應急處置 | 在數據安全事件發生后，按照應急預案，及時開展應急處置，涉及重要數據和核心數據的安全事件，應當第一時間向地方監管部門報告。事件處置完成后在規定期限內形成總結報告，每年向地方監管部門報告數據安全事件處置情況。 對可能損害用戶合法權益的數據安全事件，及時告知用戶，并提供減輕危害措施。 | 應急處置+重要數據/核心數據發生報告+處置情況定期報告+用戶告知 |
4 | 舉報投訴處理 | 鼓勵建立用戶投訴處理機制。 | 舉報投訴處理機制+提供有效渠道 |
五、 小結
目前我國正處于“大國制造”邁向“大國智造”的關鍵轉型時期，《國民經濟和社會發展第十四個五年規劃和2035年遠景目標綱要》也在國家戰略層面明確提出要積極穩妥發展工業互聯網，工業數據既是維系工業互聯網穩定運行的基礎，業務制造業數字化轉型的保障，可以預見，工業數據相關的法律法規數量將逐步增多、法律體系將更加完善、合規監管也將趨于嚴格。
[1] 網易，工信部部長肖亞慶：要加快建設數字基礎設施，查詢網址：https://www.163.com/dy/article/H89PH8G20539AP40.html。
[2] 《關于深化“互聯網+先進制造業”發展工業互聯網的指導意見》三、主要任務（六）強化安全保障 建立數據安全保護體系。建立工業互聯網全產業鏈數據安全管理體系，明確相關主體的數據安全保護責任和具體要求，加強數據收集、存儲、處理、轉移、刪除等環節的安全防護能力。建立工業數據分級分類管理制度，形成工業互聯網數據流動管理機制，明確數據留存、數據泄露通報要求，加強工業互聯網數據安全監督檢查。
[3] 國家統計局，2022年1—4月份全國規模以上工業企業利潤增長3.5%，查詢網址：http://www.stats.gov.cn/tjsj/zxfb/202205/t20220527_1857748.html。
[4] 中國信息通信研究院，《國內增值電信業務許可情況報告（2022.04）》，查詢網址：http://www.caict.ac.cn/kxyj/qwfb/qwsj/202205/P020220516441534931186.pdf。
[5] 《網絡安全標準實踐指南——網絡數據分類分級指引》4.1數據分類框架 數據分類具有多種視角和維度，其主要目的是便于數據管理和使用……數據分類框架數據處理者進行數據分類時，可在遵循國家和行業數據分類要求的基礎上，采用面分類法從多個維度進行分類，對不同維度的數據類別進行標識，每個維度的數據分類也可采用線分類法進行細分。
[6] 新版《工業和信息化領域數據安全管理辦法（試行）》（征求意見）第二十一條【數據出境】工業和信息化領域數據處理者在中華人民共和國境內收集和產生的重要數據和核心數據，法律、行政法規有境內存儲要求的，應當在境內存儲，確需向境外提供的，應當依法依規進行數據出境安全評估。
工業和信息化部根據有關法律和中華人民共和國締結或者參加的國際條約、協定，或者按照平等互惠原則，處理外國工業、電信、無線電執法機構關于提供工業和信息化領域數據的請求。非經工業和信息化部批準，工業和信息化領域數據處理者不得向外國工業、電信、無線電執法機構提供存儲于中華人民共和國境內的工業和信息化領域數據。
