一、结论先行：授权运营是「加工权」的让渡，不是数据所有权的转移
公共数据授权运营，指公共数据主管部门或持有单位，按照法定程序将特定公共数据的加工使用权授予符合条件的运营主体，由其在授权范围内开发数据产品和服务。其法律性质是附条件的加工使用权让渡，既不是政府信息公开，也不是数据所有权转让，更不是把原始数据卖给企业。
理解这一点，就能理解四条红线为什么不可突破：原始数据不出域、数据可用不可见、不得超出授权范围使用、不得形成排他性垄断。四条红线不是政策倡导，而是授权协议必须载明、监管必须核查的实质条件。
二、政策与法律依据的三个层次
公共数据授权运营目前没有专门的法律或行政法规，规范体系由三个层次构成，援引时必须区分效力层级：
| 层次 | 代表性文件 | 效力性质 | 可援引方式 |
|---|---|---|---|
| 中央政策 | 《关于构建数据基础制度更好发挥数据要素作用的意见》（「数据二十条」）、《关于加快公共数据资源开发利用的意见》 | 政策文件，非法律渊源 | 表述为「按政策要求」，不能写作「依法应当」 |
| 行政法规 | 《政务数据共享条例》 | 行政法规，有法律效力 | 可援引具体条款，但主要规制政府部门间的共享 |
| 法律 | 《数据安全法》《个人信息保护法》《网络安全法》 | 法律 | 对所有处理活动普遍适用，是真正的义务来源 |
因此，评估一个授权运营项目的合法性，不能只看政策文件，必须回到《数据安全法》的分类分级与安全保护义务、《个人信息保护法》的告知同意与影响评估义务。政策解决「可以做什么」，法律解决「必须怎么做」。
三、三种授权模式与主体结构
- 整体授权：由本级政府将某一领域或全域公共数据的运营权整体授予一家（或少数几家）国有平台公司。优点是统筹性强、安全责任集中；风险是容易形成事实垄断，需要在协议中设置开放接入与公平交易条款。
- 分领域授权：按交通、医疗、金融、地理信息等领域分别授权不同主体。优点是与行业监管结合紧密；风险是跨领域融合应用受限，需建立跨部门协调机制。
- 依场景授权：针对具体应用场景（如普惠金融风控、城市交通治理）逐一授权。优点是范围清晰、可控性强；风险是审批成本高、难以支撑规模化开发。
无论哪种模式，主体结构通常包含四方：数据主管部门（统筹授权）、数据持有单位（提供数据）、运营主体（开发产品）、第三方服务机构（技术、评估、审计）。责任必须在协议中逐层落实，不能只由运营主体承担全部安全责任。
四、四条红线与对应的合规动作
| 红线 | 含义 | 合规动作 |
|---|---|---|
| 原始数据不出域 | 原始公共数据不得复制、导出到授权域外 | 建设可信执行环境或隐私计算平台；审计数据流向；禁止明文导出 |
| 可用不可见 | 运营主体可使用数据计算结果，不能直接查看原始记录 | 采用多方安全计算、联邦学习、差分隐私等技术；结果集设置披露阈值 |
| 不得超范围使用 | 仅限授权协议约定的目的、场景、期限 | 协议明确场景清单；建立用途审批；定期核查产品与场景一致性 |
| 不得形成垄断 | 不得排斥其他主体公平获取与开发 | 协议约定开放接入义务；公开授权条件；设置期限与退出机制 |
五、授权协议必须写清的七项条款
- 授权范围：数据目录、字段清单、时间跨度、更新频率，越具体越好。
- 使用目的与场景：明确禁止「二次开发后转售原始数据」等规避安排。
- 安全责任：运营主体的安全保障义务、事件报告时限、赔偿责任上限。
- 收益分配：公共数据形成的收益如何在政府、持有单位、运营主体之间分配，需符合国有资产与预算管理规定。
- 定价机制：面向市场的产品定价原则，防止利用数据垄断地位牟取暴利。
- 监督与审计：主管部门的检查权、审计频次、数据删除与销毁要求。
- 期限与退出：授权期限、续期条件、退出时的数据与产品处置、过渡安排。
其中收益分配与定价最易引发争议。公共数据具有公共属性，收益分配应公开透明并接受审计；定价不得违反《反垄断法》关于滥用市场支配地位的规定。涉及个人信息的部分，还必须满足《个人信息保护法》的告知同意与影响评估要求——公共数据中往往混有个人信息，这一点在项目启动阶段就必须识别。
六、常见误区
- 把授权运营等同于数据开放：数据开放是无条件或低门槛向社会提供，授权运营是有条件、有范围、有监督的加工使用。两者程序与责任完全不同。
- 认为授权即取得数据所有权：授权仅让渡加工使用权，数据所有权与管理制度不变，运营主体无权处分原始数据。
- 忽略个人信息义务：公共数据不等于不含个人信息。涉及个人信息的，仍须具备合法性基础，去标识化不改变个人信息属性。
- 以「政策文件」代替法律依据：政策不能作为限制公民权利、设定行政处罚的依据，遇到争议仍须回到法律层面论证。
七、常见问题
问：授权运营需要公开遴选运营主体吗？
按政策要求，应通过公开、公平、公正的程序确定运营主体，并公开授权条件与结果。直接指定虽在部分地方实践中存在，但易被质疑违反公平竞争要求。涉及国有资产的，还需履行相应的国资监管程序。
问：运营主体可以把开发的数据产品转售给第三方吗？
可以销售数据产品，但不能转售原始数据或可还原到个体的数据。数据产品应是经过实质性加工、无法还原原始记录的成果。转售原始数据或提供可还原的接口，直接违反「原始数据不出域」与「可用不可见」两条红线。
问：公共数据含个人信息，怎么处理？
需先识别是否属于个人信息，再判断是否具备《个人信息保护法》第十三条的合法性基础；属于敏感个人信息的，还须取得单独同意并开展影响评估。实务中通常采取去标识化、聚合统计、隐私计算等技术手段降低风险，但技术处理不当然免除法律义务。
问：授权期限一般多长？
现行文件未作统一规定，各地实践从三年到十年不等。期限应与项目投资回收周期、技术更新速度相匹配，并设置中期评估与提前终止条款。期限过长且无退出机制，容易被认定为变相固化垄断。
问：发生数据泄露，责任由谁承担？
按授权协议与法律规定分层承担：运营主体对其处理活动承担直接责任；数据持有单位若未尽安全保护义务，承担相应责任；主管部门承担监管责任。协议中应明确事件报告、协同处置与赔偿分担机制，避免事后推诿。
八、小结：三句话判断项目是否靠谱
看一个公共数据授权运营项目是否合规，可以问三个问题：原始数据有没有出域？场景清单是否写进协议？收益分配与退出机制是否公开？三个问题都能给出肯定答案的，项目的基本盘是稳的；任何一个含糊，都需要在签约前补足。政策给的是空间，法律划的是边界，边界之内才有可持续的运营。
法条与依据核验：《关于构建数据基础制度更好发挥数据要素作用的意见》（「数据二十条」，2022年12月中共中央、国务院印发）关于公共数据授权运营、数据要素收益分配的政策要求；《关于加快公共数据资源开发利用的意见》（中共中央办公厅、国务院办公厅印发）关于公共数据授权运营模式与监管的要求；《政务数据共享条例》（国务院行政法规）关于政务数据共享与安全管理的规定；《中华人民共和国数据安全法》第二十一条（分类分级）、第二十七条（数据安全管理制度）、第三十二条（合法正当方式收集使用数据）；《中华人民共和国个人信息保护法》第十三条（合法性基础）、第二十八条（敏感个人信息）、第五十五条与第五十六条（影响评估）；《中华人民共和国反垄断法》关于滥用市场支配地位的规定。特别说明：公共数据授权运营目前无专门法律、行政法规，中央层面依据为政策文件，本文已区分政策与法律的效力层级，援引时不得将政策文件表述为「依法应当」；《政务数据共享条例》的具体条号以官方公布文本为准，且该条例主要规制政府部门间共享，对授权运营的直接适用需结合地方规定；各地授权期限、遴选程序差异较大，实务中存在不同做法，文中已作提示。
