第一章 总则

第一条  为有效管理和充分利用学校数据资产，推动数据共享与开放，保障数据安全，赋能教学、科研、管理与服务，根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等相关法律法规，结合学校“数字重科”建设要求，制定本办法。

第二条  明确数据是学校的战略资产。本办法所称数据，包括结构化数据、半结构化数据和非结构化数据，是学校各单位及全校师生员工在履行职责过程中生产或采集，以一定形式记录和保存的各类数据资源，其所有权归学校所有。涉及国家秘密信息的数据安全管理，按照国家相关法律和规定执行。

第三条  本办法适用于学校所有二级单位、全体教职工、在校学生，以及在为学校提供服务过程中接触学校数据的第三方机构与人员。

第四条  数据管理遵循“统筹管理、归口负责、一数一源、按需共享、安全可控、合规有序”的原则。

第二章 组织机构与职责

第五条  学校“数字重科”建设领导小组是全校数据管理工作的决策机构，负责全校数据管理工作的顶层规划、重大事项决策、协调及数据管理与共享中的重大争议裁决。

第六条  信息化中心是学校数据管理的统筹协调与技术支撑部门，履行以下职责：

（一）制定数据管理规范、数据标准、编码标准、技术规范等规章制度。

（二）建设与维护数据中台、数据共享交换平台、中心数据库等公共基础设施，构建全校核心数据“单一视图”。

（三）负责公共数据的采集、存储、维护、治理及数据共享服务、技术支持工作；组织编制和维护学校数据资源目录体系。

（四）部署数据安全技术保障措施，组织开展数据安全风险评估、安全管理审查及全链路日志审计；构建数据质量管理工具，实现数据自动监控、探查、清洗和报告；完善身份认证中心，实现“一套账号密码访问所有授权系统”。

（五）监督本办法的执行情况，协调、监督和考核各单位的数据共享与开放工作，为数据相关责任主体履行职责提供保障；定期对数据质量进行监测，提供数据准确率、完整率、及时率等KPI指标。

（六）牵头组织各业务部门召开数据资产确权会议，协商明确数据权责；处理数据责任归属争议的协调工作。

第七条  校属各单位对本单位范围内的数据管理工作承担主体责任，须明确专人担任数据管理员，履行日常管理职责。学校数据管理按业务领域实行数据责任制，各业务部门主要负责人为本业务领域数据第一责任人，具体职责划分如下：

（一）数据生产单位（权威数据源部门）：作为数据的唯一权威来源，负责定义本领域数据的业务含义、标准和规范，开展数据采集工作，保障数据质量、准确性和时效性；编制、维护和发布本单位的数据资源目录，明确数据共享类型、范围、开放类型及共享属性；审核使用申请，配合数据管理机构开展数据采集工作，负责将本单位业务系统接入学校数据治理平台并提供权威数据；承担本单位数据的安全管理责任。

（二）数据使用单位：因履行职责申请使用数据，需按授权范围使用数据，不得超范围使用、复制或转授；反馈数据质量问题，对获取的数据履行安全管理义务，防止数据泄露与滥用；在授权期限届满或业务完成后，按要求安全销毁或返还数据，承担相应安全责任。

（三）数据管理单位（即信息化中心）：为数据管理和服务提供技术支撑与保障（具体职责见第六条）。

第三章 数据分类分级与安全管控

第八条  根据数据应用属性，将数据分为三类。

（一）基础数据：描述核心实体（人、财、物、组织）的基本信息，如姓名、学号、单位等。

（二）业务数据：在具体业务活动中产生的数据，如成绩、课程、项目、报销记录等。

（三）分析数据：由基础数据和业务数据加工衍生而来的统计数据、分析报表等。

按数据域可分为人力资源数据、学生全生命周期数据、教学与培养数据、科研与学科数据、财务与资产数据、空间与设施资源数据、公共服务与后勤保障数据、核心基础数据八大类，各类数据的权威数据源部门按《重庆科技大学权威数据源责任部门清单》执行。

第九条  根据数据遭到篡改、破坏、泄露或非法利用后造成的危害程度，将数据分为四级，实施差异化安全管理。

（一）一级数据（公开数据）：可向社会公开的数据，如学校简介、公开课、招生章程。

（二）二级数据（内部数据）：仅限校内人员在履行职责时使用的数据，如内部通知、工作流程、非涉密统计报表。

（三）三级数据（敏感数据）：涉及个人隐私或关键业务，泄露会导致不良影响的数据，如身份证号、联系方式、薪资、未公开的成绩、违纪记录、学生心理健康数据、医疗卫生健康数据等。

（四）四级数据（机密数据）：关系学校核心利益，泄露会造成严重损害的数据，如涉密科研数据、重大决策会议纪要、未公开的人事任免。

第十条  根据数据的安全分级实施差异化的管控要求。

（一）公开数据：可通过官网等渠道公开访问。

（二）内部数据：需通过统一身份认证访问，禁止非授权导出与传播。

（三）敏感数据：强制数据脱敏后使用；严格授权与访问日志审计；禁止在私人设备处理。

（四）机密数据：最高级别管控；专人管理、物理隔离、加密存储与传输；访问需经数据责任人审核、分管校领导审批；涉及国家秘密的，须经保密委员会办公室审查。

第十一条  各单位须根据分级要求确定数据等级，并报信息化中心备案。确定为三级及以上数据的，经信息化中心审核后，由学校“数字重科”建设领导小组审定。

第十二条  涉及个人信息或重要数据出境的，须按照国家网信部门规定进行安全评估，并经学校保密委员会和国际合作与交流处双重审批。

第四章 数据全生命周期管理

第一节  数据产生与采集

第十三条  数据采集遵循“一数一源”原则，优先从权威业务系统采集，确保数据源头唯一、准确。数据责任人负责制定本领域数据采集标准，明确采集范围、格式要求和质量标准，确保数据在产生环节即符合规范。采集数据需遵循合法、正当、必要原则，不得超出业务范围采集无关数据。所有数据的定义、格式、编码必须遵循学校统一的数据标准，确保数据一致性与互通性。

第十四条  数据的采集分为以下三类流程。

（一）新生/新教职工基础信息录入流程

1.数据准备：权威部门根据招生/招聘结果，在业务系统中生成初始账号或标准化数据模板。

2.信息采集：通过特定系统开放填写权限，明确填写说明与数据标准。

3.初次审核：本人核对信息并在线提交，由所属学院/部门管理员进行逻辑性和完整性初审。

4.权威部门审定：权威数据源部门根据需要与学信网、教育部人事系统、公安部人口信息库等外部权威数据源进行比对校验，确认无误后的数据正式进入核心数据库。

5.状态标记：数据状态标注为“已确认”，成为全校共享的权威数据。

（二）日常业务数据变更流程

1.变更发起：业务经办人在业务系统提交变更申请，上传佐证材料。

2.业务审核：业务部门主管在线审批，核实变更事由的真实性与合规性。

3.权威部门审定：权威数据源部门依据学校规章制度进行最终审定。

4.数据同步：审定通过后，通过数据交换平台将变更结果同步至中心数据库及相关业务系统。

5.日志记录：系统完整记录变更内容、时间、操作人及审批流程，确保全过程可追溯。

（三）批量数据导入/接口对接流程

1.需求申请：使用部门向信息化中心和数据权威部门提交批量导入或系统接口对接申请。

2.方案评审：信息化中心组织数据权威部门、使用部门对数据格式、清洗规则、更新频率、安全方案进行联合评审。

3.数据清洗与转换：按标准完成数据清洗、去重、格式转换，确保符合校级数据规范。

4.测试与验证：在测试环境中完成导入/联调，由权威部门验证数据准确性。

5.正式上线：测试通过后部署至生产环境，建立常态化监控与校验机制。

第二节  数据审定与确定

第十五条  审定依据

（一）制度审定：所有数据的产生与变更必须依据学校现行相关规章制度。

（二）流程审定：关键数据必须完成完整审批流程，以最终审批通过为数据确定标志。

第十六条  审定责任人

（一）业务责任人：各部门指定的数据管理员，负责数据业务逻辑审核。

（二）技术责任人：信息化中心系统管理员，负责数据技术规范审核。

（三）最终确定：需经业务责任人和技术责任人共同确认（或系统自动确认），数据状态变更为“已确定”。

第十七条  定期复核机制

每学期初由权威数据源部门发起，对关键数据进行批量复核，确保数据与实际情况一致。

第三节 数据存储与归档

第十八条  存储要求

（一）所有校级核心业务数据必须在校级数据中心或云平台进行集中存储与管理，实行统一备份与容灾部署。

（二）各单位业务系统本地数据需按要求做好存储备份，留存操作日志与访问日志，确保可追溯。

（三）涉密数据需采取物理隔离、加密存储等最高级别管控措施，专人负责管理。

第十九条  归档规则

（一）数据责任人与信息化中心共同制定归档策略，明确归档格式、存储期限和访问权限。

（二）对不再频繁使用但需保留的数据进行定期归档。

（三）归档数据需进行分类标记，采用成本适宜的存储方式，确保合规保存与便捷查询。

第四节  数据共享与使用

第二十条  数据的共享必须遵循以下原则。

（一）数据共享分为无条件共享、有条件共享和不予共享三类，具体共享类型由数据提供单位提出，与信息化中心协商确定，争议事项报“数字重科”建设领导小组裁决。

（二）跨部门数据共享必须通过数据中台的API接口或数据共享交换平台进行，原则上禁止数据线下拷贝与传递，严禁未经平台的点对点数据索要、邮件发送或U盘传递等行为。

（三）遵循“最小必要”原则，数据使用范围、时段需限定在履职所需的最小程度，数据使用者须以实际业务需求为前提，按最小数据量和必要数据要素提出共享开放需求。

（四）数据跨系统共享原则上仅面向校内提供服务，需求单位提交共享申请后，由数据生产单位和数据管理单位审核授权。

第二十一条  数据的共享方式及共享工具要求如下。

（一）所有跨部门的数据资源共享与开放，必须通过学校统一的数据中台进行。

（二）学校数据共享主要通过以下三种方式进行，所有共享操作须通过学校统一数据共享平台执行，并接受安全审计与监控。

1.API接口调用：适用于高频、实时调用的数据服务，为首选和主要共享方式。数据提供方通过数据中台提供标准、安全的API接口，数据使用方通过调用接口获取实时、准确的数据。

2.数据仓库主题库查询：经授权后，数据分析人员可通过数据中台的可视化工具或SQL查询方式，访问经整合后的主题数据库。

3.数据文件交换（受限使用）：适用于一次性、非实时的大数据量分析或备份等特定场景，可在数据中台上申请经审批的加密数据文件包，并严格限定使用范围和期限。

第二十二条  数据的共享需按照以下流程进行。

（一）数据申请：数据使用方通过数据中台提交申请，需明确填写申请用途、使用范围、所需数据字段、使用期限及数据安全责任人。

（二）数据审批：数据生产单位为审批第一责任人，应在收到申请后5个工作日内完成审批，驳回申请须明确说明理由；涉及多部门数据的，由信息化中心协调审批；对“敏感”及以上级别数据的申请，数据生产单位应从严审核，必要时可要求使用方签订《数据安全使用承诺书》。

（三）数据授权与获取：申请批准后，由信息化中心在2个工作日内，以API接口、数据视图或安全文件等方式完成技术实现与授权配置；使用方通过数据中台获取数据，在授权范围内使用，并反馈数据质量问题。

（四）争议处理：若数据使用单位认为数据生产单位无正当理由拒不共享，或对共享范围、条件存在异议，可向“数字重科”建设领导小组提起仲裁申请，由领导小组作出最终裁定。

第二十三条  特殊要求

敏感及以上级别数据的共享，需签订数据安全使用协议，明确双方安全责任。

第五节  数据清理与销毁

第二十四条  数据清理

（一）清理分类

1.无效数据清理：清除测试数据、重复数据、不完整垃圾数据。

2.过期数据归档：将过期或低可能性使用数据迁移至历史库或归档库，降低存储优先级。

3.错误数据修正：根据数据质量报告，通知责任部门限期修正错误数据。

（二）清理流程

1.识别与报告：信息化中心每季度通过数据质量监控平台生成《数据质量报告》，识别无效、过期和错误数据。

2.任务分发：将报告分发给相应权威数据源部门。

3.核实与清理：权威部门在15个工作日内完成数据核实与清理操作。

4.反馈与确认：清理完成后向信息化中心反馈，由信息化中心进行技术确认。

第二十五条  数据销毁

超过保存期限、无保留价值的数据，应按规定流程安全销毁。数据销毁需由数据责任人提出申请，说明销毁原因、数据清单和销毁方式，经信息化中心审核后执行操作。信息化中心需保留完整的销毁记录，包括销毁时间、方式、参与人员等，确保销毁过程可追溯、可审计。涉密数据销毁需经保密部门审核，确保符合国家安全规定。

第五章 数据安全与责任追究

第二十六条  安全责任体系

（一）各单位主要负责人是本单位数据安全的第一责任人。

（二）所有数据使用者是数据安全的具体责任人，承担相应的安全与保密责任。

（三）数据生产单位和使用单位均需承担数据安全管理相关责任，信息化中心负责学校层面数据安全管理的具体工作。

第二十七条  安全管理要求

（一）信息化中心定期组织数据平台、数据应用的安全风险评估，对数据操作进行全链路日志审计。

（二）各单位应加强数据安全教育培训，增强人员数据安全意识和法制意识。

（三）加强硬件设施管理维护，建立数据容灾备份和恢复机制，确保数据可备份、可恢复。

（四）严格岗位设置和授权，用户需按权限操作并定期更改密码，严禁非授权委托他人操作。

（五）规范数据存储介质管理，对关键数据或敏感数据介质实施全生命周期管理。

（六）与第三方服务厂商签订数据安全保密协议，托管于校外的业务系统需实现数据自主可控并同步校内备份。

第二十八条  应急处置

各单位发生数据泄露、毁损、丢失等安全事件，或安全风险明显加大时，应立即采取补救措施，并按要求及时报告。

第二十九条  激励机制

为建立数据共享正面导向，对在数据资源共享工作中表现突出的单位及相关人员，给予以下激励：

（一）通报表扬：对积极响应共享需求、数据提供及时、数据质量优良且持续优化的数据权威源部门及其负责人，学校定期予以通报表扬。

（二）绩效考核加分：将数据资源共享工作成效（含数据目录编制质量、共享申请响应时效与批准率、数据质量评价等）纳入单位年度绩效考核体系，并作为信息化建设相关评优评先的重要依据。

（三）资源倾斜：在信息化项目立项与预算分配中，对数据共享表现优异的单位予以优先支持。

第三十条  违规处罚

（一）违反本办法造成数据泄露、滥用、篡改或数据质量事故的单位及个人，学校视情节轻重给予通报批评、暂停数据权限、行政处分；涉嫌犯罪的，依法移送司法机关。

（二）无正当理由拒不编制数据资源目录、拒不共享数据、多次超期响应或数据质量低下拒不整改的单位，学校下达整改通知书，予以全校通报批评并扣减年度绩效考核分数。

（三）拒不执行学校“数字重科”建设领导小组仲裁决议，或因数据共享问题严重阻碍学校重大事项推进的单位，信息化中心可提请学校暂停或否决其新申报信息化建设项目立项。

（四）依据《中华人民共和国网络安全法》第六十一条、《中华人民共和国数据安全法》第四十五条规定，开展数据处理活动的单位未依法履行数据安全保护义务，拒不改正或者造成大量数据泄露等严重后果的，依法处以相应罚款：对单位处五十万元以上二百万元以下罚款，对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款。

第六章 附则

第三十一条  本办法具体解释工作由学校信息化中心承担。

第三十二条  本办法自印发之日起施行。各数据责任人应在本办法生效后三个月内，完成本领域数据分类分级清单的制定并报信息化中心备案。

第三十三条  此前学校发布的相关数据管理规定与本办法不一致的，以本办法为准。