10、工业数据空间法律层面：数据主权的含义与实践

工业数据空间法律层面：数据主权的含义与实践

1. 数据处理与监管法规

在数据处理场景中，相关各方需签订联合控制协议，并对其联合控制的处理活动承担数据保护合规的连带责任。数据空间运营商应向数据控制者提供合适工具，以帮助数据提供者实现《通用数据保护条例》（GDPR）合规。例如，可提供标准化文档，让相关的数据控制者和处理者能按需轻松调整并达成协议，但实现相关文档的完全自动化汇编可能还需很长时间。

欧盟《非个人数据自由流动条例》有两个核心目标：
- 确保非个人数据在成员国边境间的自由流动，即消除成员国之间的数据本地化要求（并保留为监管目的的数据可用性和访问权）。
- 简化数据的可移植性（特别是对于切换云服务提供商的专业用户）。

该条例在数据可移植性方面采用“软手段”，是自我监管而非干预性的，需要通过欧盟层面的“行为准则”进一步完善。从工业数据空间（IDS）角度看，数据可移植性的相关要求主要涉及数据提供者与数据空间运营商的关系，数据提供者应有权将其账户转移到其他数据空间。IDS的参考架构、信息模型和数据连接器技术可满足这些要求，必要时可用于制定相关“行为准则”。

2. 网络安全法规

随着数字生态系统和数据空间内数据共享的增长，网络安全威胁也随之增加。强大的网络弹性和相关组织措施是数据提供者和消费者共享个人和非个人数据的前提条件，这也涉及到法规层面。欧盟《网络与信息系统安全指令》（NIS Directive）和《网络安全法》（Cybersecurity Act）是欧洲网络安全框架的关键支柱，同时还需结合GDPR中关于个人数据的技术和组织措施要求以及数据中介所需的安全措施。

2.1 NIS指令