一、结论先行：三个概念不能混用
「政务数据共享」「政务数据开放」「公共数据授权运营」在政策文件里经常并列出现，但它们是三套不同的制度：
| 类型 | 数据流向 | 相对方 | 核心法律问题 |
|---|---|---|---|
| 政务数据共享 | 政府部门之间 | 其他国家机关 | 共享的法定依据、范围、用途限制、责任划分 |
| 政务数据开放 | 政府向社会 | 不特定的社会主体 | 开放目录、开放条件、个人信息与商业秘密剔除 |
| 公共数据授权运营 | 政府向特定运营主体 | 经授权的运营单位 | 授权依据、运营边界、收益与定价、再开发利用限制 |
混用的后果很实际：把「开放」当成「共享」办，会把内部管理数据推到公开渠道；把「授权运营」当成「开放」办，会把本该有偿、有条件、可追溯的运营变成无条件公开。三类行为的合法性基础不同，不能用一份协议、一套流程包打天下。
二、规范依据：政务数据专章的五条主线
《数据安全法》设「政务数据安全与开放」专章，确立了五条主线：
第一，依法履职原则。国家机关为履行法定职责处理数据，应当依照法律、行政法规规定的条件和程序进行；处理数据应当依照法律、行政法规规定的权限、程序进行，不得超出履行法定职责所必需的范围和限度。
第二，安全管理制度。国家机关应当依照法律、行政法规的规定，建立健全数据安全管理制度，落实数据安全保护责任，保障政务数据安全。
第三，委托处理的严格约束。国家机关委托他人存储、加工政务数据，应当经过严格的批准程序，并应当监督受托方履行相应的数据安全保护义务；受托方应当按照约定履行数据安全保护义务，不得擅自留存、使用、泄露或者向他人提供政务数据。这一条是政府采购、外包运维、云服务场景的最高频风险点。
第四，公开原则。国家机关应当遵循公正、公平、便民的原则，按照规定及时、准确地公开政务数据。依法不予公开的除外。
第五，开放目录与平台。国家制定政务数据开放目录，构建统一规范、互联互通、安全可控的政务数据开放平台，推动政务数据开放利用。
此外，法律、法规授权的具有管理公共事务职能的组织为履行法定职责处理数据，适用上述政务数据规定。
三、共享的合规要点：依据、范围、用途、责任四问
- 依据：共享是否有法定依据或明确的职责依据？上级文件、部门规章、地方性法规均可作为依据，但内部会议纪要不足以支撑跨部门共享敏感数据。
- 范围：共享字段是否限于接收方履职所必需？「先全量共享、后按需使用」是最常见的违规模式，因为一旦共享，控制权即转移。
- 用途：接收方能否将数据用于共享目的之外的场景（如统计分析、对外提供）？原则上不能，须另行取得依据。
- 责任：共享后发生泄露，责任如何划分？建议在共享协议中明确各方义务、事件通知时限、处置分工与追责机制。
四、开放的合规要点：目录、分类与不予开放的类型
开放的前提是编制并公布开放目录。目录应至少载明：数据名称、数据提供单位、数据格式、更新频率、开放属性（无条件开放、有条件开放、不予开放）、使用条件与联系方式。
开放前的审查重点有三项：
一是个人信息剔除或去标识化。《个人信息保护法》第三十三条至第三十七条规定，国家机关处理个人信息适用该法；为履行法定职责处理个人信息，应当依照法律、行政法规规定的权限、程序进行，不得超出履行法定职责所必需的范围和限度；应当依法履行告知义务。开放场景下若无法取得个人同意，通常须做去标识化处理，确保无法识别到特定自然人且不能复原。
二是商业秘密与知识产权筛查。企业报送数据中常含经营信息、技术信息，直接开放可能构成商业秘密披露。
三是国家安全与公共利益评估。涉及重要数据、可能影响公共安全的，不得开放或仅作受限开放。
有条件开放是折中方案：通过申请、审核、签约、沙箱环境等方式，限定使用主体、使用目的、使用期限与使用方式。这类开放的合规成本集中在准入审核与事后审计两个环节，缺一不可。
五、委托处理：最容易被追责的一环
政务数据外包的技术服务、运维、云资源、数据治理项目，几乎都会触发委托处理。合规要点：
| 环节 | 要求 | 证据 |
|---|---|---|
| 批准程序 | 经过严格的批准程序，不能以部门内部授权代替 | 批准文件、审批单、会议记录 |
| 合同条款 | 明确处理目的、方式、期限、安全措施、禁止留存与转委托 | 合同及数据安全附件 |
| 监督履行 | 定期检查、审计权、整改要求 | 检查记录、审计报告、整改回复 |
| 终止处理 | 项目结束删除或返还，出具删除证明 | 删除确认书、验收报告 |
「不得擅自留存」是最常被违反的一条。运维人员为排查故障把生产数据复制到测试环境、开发人员为调优把数据落到本地、外包方为「后续服务方便」保留一份备份——这些在技术上都很自然，在法律上都属于擅自留存。
六、授权运营：与「开放」的关键区别
公共数据授权运营的本质是政府将特定公共数据的加工使用权，在明确条件下授予特定主体，由其开发形成数据产品与服务。它与开放的区别在于：开放面向不特定主体、通常无偿；授权运营面向特定主体、可约定条件与对价，并对运营行为实施持续监管。
授权运营必须解决的问题包括：授权依据（地方性法规、政府规章或政策文件）、授权方式（竞争性程序还是直接指定）、授权范围（数据目录、期限、地域）、运营边界（不得原始数据转售、不得改变数据形态后规避监管）、安全责任（运营主体作为处理者的义务）、退出机制（授权终止后的数据删除与业务承接）。
其中「不得原始数据转售」是红线。若运营主体将原始数据或可还原原始数据的数据集对外提供，实质上规避了数据开放与共享的全部管控，风险极高。
七、一张对照表：三类行为的风险分布
| 风险点 | 共享 | 开放 | 授权运营 |
|---|---|---|---|
| 超出必要范围 | 高 | 中 | 高 |
| 个人信息未去标识化 | 中 | 高 | 高 |
| 商业秘密泄露 | 中 | 高 | 中 |
| 受托方擅自留存 | 中 | 低 | 高 |
| 二次转售或变相转让 | 中 | 低 | 高 |
| 公开后难以撤回 | 低 | 极高 | 中 |
「公开后难以撤回」值得单独强调：数据一旦在开放平台发布并被第三方下载、镜像、二次传播，事后撤回几乎不可能。因此开放前的审查必须一次到位，不能抱着「先开放、有问题再下架」的心态。
八、常见问题
问：政务数据开放后，个人能否要求删除？可以依《个人信息保护法》行使删除权。但若数据已去标识化且无法关联到特定个人，删除请求的处理会受技术条件限制；若仍可识别，应当删除或匿名化。
问：事业单位、平台公司持有的公共数据是否适用政务数据规则？法律、法规授权具有管理公共事务职能的组织适用政务数据规定；单纯由国企持有的经营性数据不当然适用，但涉及公共资源配置的，通常另有地方性规定约束。
问：委托开发的系统里，承建方能否用数据做算法训练？原则上不能。这属于超出约定目的使用，违反「不得擅自使用」的要求，且可能构成对个人信息权益的侵害。
问：共享数据被接收方二次提供，提供方有责任吗？取决于是否尽到监督义务与协议约定。协议中应有禁止再提供的条款、违约责任与事件通知机制，日常还应有检查记录。
政务数据的合规逻辑与商业数据不同：它的合法性来自职权，而不是来自同意。因此每一份数据的使用都要能回答「哪部法、哪条职责、哪个程序、谁批准、谁监督」这五个问题。回答不上来，就不要动。
法条与依据核验：《数据安全法》政务数据安全与开放专章（第三十七条至第四十三条）；《个人信息保护法》第三十三条至第三十七条、第四十七条；《民法典》第一百一十一条。政务数据共享、开放与授权运营的具体程序，另有国务院部门规章与地方性法规、政府规章规定，实操中应以本地区现行有效的规范性文件为准。
