本文轉載自國務院發展研究中心，執筆戴建軍、田杰棠，國務院發展研究中心創新發展研究部“我國數字經濟發展與政策研究”課題組，原標題《推動我國數字經濟發展亟須分類確定數據權利》，億歐智慧城市對文章進行二次編輯，供讀者參考。

數字技術革命正在推動數據成為新的生產要素，亟須明確數據權利。目前，我國相關法規尚未將數據財產屬性納入數據權利范圍，需盡快明確各類數據權利內容。建議明確政府對政府數據管理使用的權利、責任和義務以及公眾的使用權利和義務，賦予非個人商業數據生產者所有權，明確自然人的個人數據權利，允許數據控制者對匿名化數據享有限制性所有權，加強跨境數據流動管理制度接軌，通過隱私機制和安全例外實現數據主權，規范監管部門為履職獲取數據的權利和要求。

數字技術革命正在推動數據成為新的生產要素，清晰的數據權利界定是充分利用這一要素的前提。2017年12月，習近平總書記在中共中央政治局就實施國家大數據戰略進行集體學習時提出，要制定數據資源確權、開放、流通、交易相關制度，完善數據產權保護制度。為促進數據這一新生產要素的流通和交易，實現數據價值的最大化，推動我國數字經濟發展，亟須加快推進數據確權工作。

01?數據權利界定的難點

數據權利內容通常還會隨著應用場景的變化而變化，甚至衍生出新的權利內容，使得事先約定權利歸屬變得很困難。

數據權利之所以難以界定，在于數據權利與其他有形或無形物的產權存在較大差異，具體體現在以下幾個方面。

（一）數據權利具有多樣性，不同類型的數據在權利內容上存在差異

數據按照產生的主體可以分為：個人數據、商業數據和政府數據。個人數據指與個人相關、能夠識別個人身份的數據，政府數據指政務部門履職過程中獲取或制作的數據，商業數據主要指商業機構運行中獲取或生產的數據。政府數據和商業數據中涉及個人特征的數據，也屬于個人數據。對于自然人、政府和企業這三類數據權的主體來說，權利內容有所不同。除了均具有財產權屬性外，個人數據可能會包含姓名權、隱私權等人格權的內容，具有人格權屬性。因此，個人數據權利包括了人格權和財產權。政府數據通常被認為屬于公共資源，公眾享有知情權、訪問權和使用權。商業數據則包含企業的知識產權、商業秘密和其他合法權益等。數據權利內容通常還會隨著應用場景的變化而變化，甚至衍生出新的權利內容，使得事先約定權利歸屬變得很困難。

（二）數據生產鏈條包括多個參與者，權利需要在各參與者之間進行劃分而引發界定困難

與其他財產不同，數據的全生命周期存在多個參與者（數據主體、數據收集者、數據處理者等），每一個參與者在各自環節都對數據價值作出了貢獻。大多數情況下，數據產生價值需要數據收集、處理者對數據進行采集、處理和分析，數據主體對于數據的各項權利需數據收集、處理者的支持才可有效行使。因此，賦予某一參與者專屬的、排他性的所有權不可行，數據的各類具體權利分屬不同參與者，需要在各參與者之間進行協商和劃分。

（三）數據與傳統普通實物的所有性質不同，無法將所有權絕對化

數據可以低成本復制，不像實物資產那樣具有天然的排他性。盡管企業可以通過技術手段保護相關數據不受第三方侵犯，使得數據為其“所有”，但這種“所有權”與一般民法所指的所有權（對財產享有占有、使用、收益和處分的排他性權利）含義不同，不是一種絕對的完全所有權。對于通常意義上的所有權，所有權人幾乎完全擁有占有和使用該物的權益。但數據權在數據的全生命周期中有不同的支配主體，且權利人需承擔更多的義務和責任，不僅要對數據泄露、數據侵權等事件承擔責任，也需要在日常數據收集和處理中履行相應義務。

02?國際上數據權利界定及發展趨勢

各國對數據實施分類管理，既對個人數據提供有效保護，又最大程度發揮數據對社會經濟的潛能。

大數據時代，各國高度重視數據蘊含的價值，根據新形勢對數據權利界定作了一些新的規定，以促進數字經濟發展。總體而言，各國對數據實施分類管理，既對個人數據提供有效保護，又最大程度發揮數據對社會經濟的潛能。

（一）明確政府數據的公共屬性，政府擁有使用和管理權及向社會開放的義務

大多數國家均將政府數據視為一種公共資源，一方面，通過立法賦予政府對政府數據的使用、管理、許可等權利。如美國憲法第2320條規定，政府有權使用其資助的合同和分合同項下的項目或過程中的數據，以及將數據向外部公開并允許外部人士使用。另一方面，明確政府開放政府數據的責任和義務，以及公眾的使用權和義務。發達國家從2009年開始推動政府數據開放，明確了數據開放的形式、要求等，以及公民獲取和使用政府數據的各項權利和使用要求。

（二）針對非個人商業數據推動建立數據產權，鼓勵數據生產和流通

對于非個人商業數據，一般默認由數據生產者擁有。但鑒于數據的特殊性，歐盟認為明確其產權對于規范市場和交易意義重大。2017年，歐盟發布《構建歐洲數據經濟》，提出針對非個人的和計算機生產的匿名化數據設立數據生產者權利，鼓勵（涉及公共利益時強制）公司授權第三方訪問其數據，促進數據交流和增值。數據生產者權利是指設備的所有者或長期用戶（如承租人）基于收集和分析處理等操作，對非個人數據享有的使用和許可他人使用，并防止他人未經授權使用和獲取數據的權利。

（三）明確個人數據權利內容，確保個人信息安全

原始個人數據一般默認歸個人所有，通常無須另行規定，也有個別國家作出明確規定。如美國聯邦通訊委員會2016年發布的《寬帶互聯網消費者隱私政策》規定，由寬帶互聯網接入業務所產生的數據歸消費者所有。由于個人數據表現出了人格權屬性和財產權屬性，各國根據新形勢賦予新的個人數據權利，提供兼具人格權和財產權的保護。如歐盟2016年通過的《一般數據保護條例》賦予個人的數據權利包括數據訪問權、數據糾正權、被遺忘權、限制處理權、可攜帶權、自主決定權以及拒絕權等7個方面。2018年6月，美國加利福尼亞州議會通過的《加州消費者隱私法案》為消費者創建了訪問權、刪除權、知情權、拒絕權等數據權利。

（四）區分個人數據人格權和財產權，推動匿名化數據應用

為了促進個人數據利用，一些國家規定個人數據經過匿名化處理（移除可識別個人信息部分且不會再被識別）就成為非個人數據，允許在某些風險較低情形下使用匿名化數據。目前，歐盟、美國、日本等允許企業在承擔保證透明性、隱私風險評估和保護等責任前提下，對個人數據匿名化處理后進行市場化利用。歐盟《一般數據保護條例》規定匿名化數據不屬于個人數據，機構可以自由處理匿名化數據。美國《健康保險攜帶和責任法案》規定，對于不可識別身份的個人健康信息可以被應用或者披露。日本2015年《個人信息保護法》修正案允許企業在確保數據不能實現身份識別、不能復原的情況下可以出售匿名化數據。

（五）規范個人數據跨境流動管理，推動非個人數據自由流動

當前，美國主張數據自由流動，歐盟注重數據跨境流動所涉及的個人隱私保護，而大多數發展中國家則推行數據本地化政策。總體來說，數據跨境流動呈現出如下趨勢。

一是規范個人數據跨境流動，保護個人隱私。各國和地區對解決個人數據跨境流動中保護個人隱私提出了多種解決方案。2011年，在亞太經濟合作組織框架下，美國主導提出了跨境隱私規則體制，對企業采取認證模式，經過隱私保護認證的企業之間可以無障礙跨境傳輸個人信息。歐盟《一般數據保護條例》提出了向境外傳輸個人數據的條件，包括要求第三方國家或國際組織對個人數據和隱私的保護程度與歐盟相當等。日本《個人信息保護修正法》規定數據控制者轉移個人信息到境外需要獲得個人同意，或該國具有與日本標準相當的數據保護體系或數據保護標準。

二是消除非個人數據本地化限制。盡管歐盟要求跨境轉移個人數據需滿足相關規定，但對于非個人數據，則推動廢除成員國不合理的數據本地化存儲要求。2018年10月，歐盟議會審議通過了《非個人數據自由流動條例》，制定了旨在廢除歐盟各成員國的數據本地化要求、促進專業用戶數據遷移的有關規則，以確保非個人數據在歐盟內可以自由流動。

（六）賦予監管機構為履職獲取數據的權利，確保數據的公共利益優先

為保護公共利益，各國通過法律賦予監管機構履行職責所需的信息收集權。美國2015年出臺的《網絡信息安全共享法》規定，企業在必要時需根據國土安全部的要求共享信息，當用戶控告企業的此類行為侵犯公民隱私權時，企業可以豁免。歐盟《非個人數據自由流動條例》規定，公共部門可以訪問歐盟任何地方存儲和處理的數據，并進行審查和監督控制。德國、英國也在相關法規中賦予國家安全機構獲取企業數據的權利。

03?我國數據權利界定現狀

現行法律法規尚未賦予商業數據明確的權利，一些商業數據權利也難以得到保護，如知識產權難以保護缺乏獨創性的數據。

我國對數據權利的界定仍處于探索中，相關情況如下。

（一）默認政府數據為公共資源，但缺乏政府和公眾對數據權利、責任和義務的規定

我國相關法規默認政府數據為公共資源并要求推動其開放。《網絡安全法》第十八條規定，促進公共數據資源開放。國務院發布的《政務信息資源共享管理暫行辦法》對政務信息資源的共享和無償使用作出了規定，但未明確政務信息資源的權屬。一些地方政府采取將政府數據界定為國家所有的方式進行管理，如福建省政府2015年2月通過的《福建省電子政務建設和應用管理辦法》將政務信息資源界定為國家所有，其他如汕頭等地也作出類似規定。由于缺乏對政府和公眾對政府數據權利、責任、義務的相關規定，導致公共數據開放滯后。

（二）法律能對部分商業數據提供財產權利保護，但未賦予數據權利

我國現有知識產權法、反不正當競爭法、合同法等法律體系能夠對部分商業數據提供財產權利保護，已有司法實踐采用反不正當競爭法的一般條款對數據成果進行保護，明確數據開發者對于其開發的大數據產品享有獨立的財產性權益，未經許可獲取數據并無償使用數據的行為，構成不正當競爭行為。但是，現行法律法規尚未賦予商業數據明確的權利，一些商業數據權利也難以得到保護，如知識產權難以保護缺乏獨創性的數據；數據庫側重于保護開發或構建數據庫的投資，更多的是保護“庫”，而非數據；反不正當競爭法重視對行為的規制，沒有對數據權作出確認和設置。

（三）從人格權角度對個人信息進行保護，對個人數據權利保護不全面、強度不高

我國現行法律法規主要是從人格權角度對個人信息進行防御性保護，并未將自然人對個人數據的權益規定為一種絕對權，導致保護強度不高。《民法總則》第110條列舉了自然人的生命權、身體權、健康權、姓名權、肖像權、名譽權、榮譽權、隱私權、婚姻自主權等作為絕對權的人格權和身份權之后，只是在第111條規定：“自然人的個人信息受法律保護。任何組織和個人需要獲取他人個人信息的，應當依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。”表明個人信息雖然受法律保護，但并未作為絕對權而享受積極保護。

（四）網絡安全法為個人數據匿名化應用預留了空間，亟須相關實施細則

我國當前法律法規既嚴格保護個人數據，也為數據利用預留了空間。我國禁止個人數據交易，2017年10月開始實施的《民法總則》規定不得非法買賣、提供或者公開他人個人信息。《網絡安全法》也作了相同規定，但其第四十二條規定“經過處理無法識別特定個人且不能復原的除外”，這為個人數據進行匿名化處理并開發利用留出了一定的余地。但目前缺乏具體實施細則，導致實踐中企業難以操作。

（五）采取數據本地化和跨境安全評估方式進行數據跨境流動管理，面臨難以與國際接軌的矛盾

我國數據跨境流動管理制度正在形成過程中，《網絡安全法》規定以數據本地化為原則對數據跨境傳輸采取安全評估措施，與國際跨境數據流動管理機制存在較大差異。我國對數據跨境傳輸管理范圍寬，要求嚴格，政府自由裁量權大。而歐美則主要強調對個人數據跨境傳輸進行規范，并且采取“對等適當性（即雙方個人隱私保護水平相當即可）”“認證”等“一攬子”解決方式，對個案自由裁量權小。

04?分類確權促進數據安全自由流通

分類確定數據權利，建立一個安全、自由的數據流通環境，促進數字經濟發展。

為抓住大數據發展的戰略機遇，建議按照人格權保護優先、以價值貢獻為重要依據、個人權益保護和產業發展利益平衡三個原則，分類確定數據權利，建立一個安全、自由的數據流通環境，促進數字經濟發展。

（一）明確政府對政府數據管理使用的權利、責任和義務以及公眾的使用權利和義務，有效推動公共數據開放

將公共數據設定為國家所有的模式，盡管有利于避免各部門以自己投資建設為由將信息資源視為本部門資產，卻容易導致公眾使用權利難以落實。因此，需通過法規明確政府對政府數據的管理、使用權利，保護和開放的責任和義務，以及公眾對政府數據的使用權利和義務，使得政府和公眾對公共數據的權利均有法可依、權責清晰且更具可操作性，有效促進政府數據最大化安全開放。

（二）賦予非個人商業數據生產者所有權，促進商業數據流通應用

盡管非個人商業數據事實上由數據生產者控制，但數據權利的不確定性妨礙了大數據產業的發展，也成為數據共享的主要障礙。法律可以明確賦予數據相關生產者對合法收集或制作的非個人數據享有所有權，以鼓勵數據企業收集、存儲和利用數據，促進數據的流通應用。多個主體共同生產的商業數據共同擁有。

（三）明確自然人的個人數據權利，加強個人數據權利保護

將現行法規對個人數據作為人格權保護內容拓展到個人數據權利，賦予自然人個人數據權利，并明確權利內容。個人數據權利的內容包括信息可攜權、知情權、選擇權、修改權、刪除權、求償權、被遺忘權等。同時，對個人各項權利的行使及數據控制者的責任等作出具體規定，確保個人數據權利保護落實到位。

（四）允許數據控制者對匿名化數據享有限制性所有權，規范企業數據利用

盡管我國法律法規為數據匿名化處理應用預留了空間，但由于涉及個人隱私這一重要因素，仍需法規以“正面清單”方式對數據權利應用作出明確規定，才能推動數據的進一步流通、應用。可賦予數據控制者享有對個人數據進行匿名化處理后的數據的所有權，并承擔相關風險責任，以激勵企業在保護個人信息的前提下開發數據價值。匿名化處理的基本原則是確保處理后無法識別個人身份信息。同時，建立個人數據匿名化利用的法規體系和標準，確保數據規范流動。

（五）加強跨境數據流動管理制度接軌，通過隱私機制和安全例外實現數據主權

為發展我國數字經濟，與世界主要市場國家和地區的跨境數據流動規則接軌不可避免。可借鑒歐盟規范個人數據流動、推動非個人數據自由流動的方式，在數據跨境流動管理中進一步將數據區分為個人數據、涉及國家安全和公共安全的數據、其他數據，通過隱私機制規范個人數據管理，允許非個人數據自由流動，同時將安全作為數據流動的例外規定，基于此來保護數據主權。

（六）規范監管部門為履職獲取數據的權利和要求，確保數據監管合理有效

為保障公共利益，需要明確監管部門獲取數據的權利，規定公共部門可訪問國內任何地方存儲的數據，并進行審查和監督。鑒于實踐中存在多頭管理、政府部門對企業報告數據的要求不明確、公共部門對個人隱私保護不到位等問題，應同時明確監管部門獲取數據的條件、程序和具體要求，并減少重復報送，避免監管部門濫用獲取數據的權利。

本文已標注來源和出處，版權歸原作者所有，如有侵權，請聯系我們。