完善數據法治建設面臨三重考驗

席月民

以信息產業為代表的數字經濟，成為中國乃至世界經濟發展的新引擎。數字經濟的崛起，龐大的數據處理和應用需求不斷推動各國的數字基礎設施建設和數據法治建設。企業數據合規程度、個人信息保護程度，正成為衡量數字經濟發展質量的重要標準，這使得各國之間的數字經濟競爭日益演化為一場數據法治競爭，數據立法的加速正在驅使數字經濟的法治化駛入歷史的快車道。

當前，實現以企業數據合規、個人信息保護為重要內容的數據法治建設，仍面臨著三個方面的問題與考驗。

數字經濟大放異彩，一方面使數據成為重要的戰略資產，另一方面，數據的共享開放和交叉使用又為數據安全埋下諸多隱患，數據非法泄露事件頻頻發生。從技術上看，數據合規和個人信息保護正面臨新的考驗。現有的傳統數據安全防護手段逐漸失效，新一代數據安全技術，正在以數據為中心，通過身份權限的識別和行為控制等而展開新一輪技術創新，有望與現有的傳統數據安全市場形成有益互補。

在這一領域，區塊鏈技術客觀上適應了數據合規與個人信息保護的新要求，在數據安全方面發揮出重要作用。作為互聯網數據記錄、傳播和存儲的一種新方式，它通過共識機制和加密技術形成了一個去中心化的分布式數據庫，并以獨立、可靠、開放、透明、安全、可追溯為其顯著特征，從而實現了互聯網從信息傳播向價值轉移的轉變以及多方信息的安全維護。由于區塊鏈的共識機制適用于不同的應用場景，因此在效率和安全之間取得了必要平衡。

問題在于，當前區塊鏈技術在大規模應用層面仍面臨一些技術難題，既需要解決機構或企業數據隱私安全與共享、驗證之間的矛盾，也需要保證數據全程加密情形下的系統高性能運行。雖然市場上的一些區塊鏈企業試圖通過哈希函數算哈希值的方式來保護隱私，但從效果看并不盡如人意，仍存在一定的技術缺陷。

另外，我國區塊鏈技術方面的復合型人才目前缺口仍然較大，對IT技術、密碼學、經濟學、金融學等專業背景的綜合化要求越來越高。加快高層次、復合型區塊鏈技術人才的培養已成為當務之急，這也是攻克數據合規和個人信息保護技術難題的長久之策。

數字經濟背景下的數據價值日益凸顯，如何對數據進行合理賦權，在理論上仍存在不少爭議。現有立法和理論研究中經常將數據等同于信息，導致有關信息的財產權化討論相當熱烈，相比之下，有關數據的權利屬性問題少有問津。問題是，數據并不等同于信息，對數據賦權正面臨諸多窘境，這進一步加劇了數據權的確認難度。

通常認為，數據只是一種信息傳播媒介，其本身沒有獨立的經濟價值。數據價值實際體現為其所承載的信息所包含的使用價值以及信息流通所帶來的交換價值。數據持有人對數據的挖掘、整理和利用，可以服務于自身的商業決策和精準投資，因此體現為數據持有人的“自用”價值；數據作為標的物可以用于市場交易，進而實現數據的“他用”目的并體現其“他用”價值。對數據賦權的呼聲，說明數據已實際成為現實生活中重要的“財產”形態，需要得到法律的確認和保護。

然而，數據究竟是不是財產、數據能不能成為民法上的客體，理論上仍缺乏足夠的基礎性研究，既有的網絡數據民事裁判實踐傾向于單獨將數據進行客體化和財產化處理。有學者指出，數據沒有特定性、獨立性，亦不屬于無形物，不能歸入民事權利的客體；數據無獨立經濟價值，其交易性受制于信息的內容，且其價值實現依賴于數據安全和自我控制保護，因此也不宜將其獨立視為財產。許多學者從數據利益出發，試圖論證數據財產權的正當性，有的甚至已經構建起數據權譜，但數據能否權利化，需要對數據的法律屬性進行科學提煉和澄清，有待于審慎嚴密的邏輯證成。也有學者指出，無論是正向進行演繹論證，還是反向作出假設推演，數據權利化的證成進路實際上都障礙重重。盡管數據已成為現代社會重要的商業資源，通過互聯網商業模式創新能夠產生巨大的經濟利益，將數據作為重要財產或資源看待有其合理性，但基于數據主體不確定、外部性問題以及壟斷性的缺乏，短期內數據的權利化恐怕尚難實現，數據財產權問題仍值得斟酌。

當然，數據的賦權及其證成困境并不妨礙對信息秩序建立與維護的立法跟進。研究數據本身的法律問題是研究互聯網技術背景下信息利用和保護問題的本源所在，對網絡信息的法律規制依賴于數據基礎秩序的建立和數據操作行為的規范，這顯然不能寄希望于網絡平臺或服務商的自行決定，需要國家立法對數據的采集、儲存、利用、流動等作出統一規定，以此獲得一個通行的數據使用和分享規則。

數據規制是數據合規和個人信息保護的應有之義，與近年來不斷推進的數據立法密切聯系在一起。數據規制是實現數據安全的必由之路，既需要維護國內外不同市場主體之間的數據競爭與合作，也需要在企業數據權益與個人信息保護之間實現必要的妥協與平衡。同時，依法保護企業與個人的數據權益，更需要嚴厲打擊不同類型違法犯罪行為。

在我國，數據立法目前已取得可喜進步。繼2000年通過實施《關于維護互聯網安全的決定》之后，2012年全國人大常委會再次通過并實施了《關于加強網絡信息保護的決定》，從而確立了個人信息收集、使用的基本規則及網絡服務提供者保護個人信息安全的義務等基本規范。2013年《消費者權益保護法》修改時，在第十四條中新增加了個人信息依法受到保護的權利，同時在第二十九條中明確了經營者收集、使用消費者個人信息時的法定義務，明確了合法、正當、必要原則，經營者需要明示收集使用的目的、方式和范圍等，也強調了經營者的保密義務。2016年《網絡安全法》的頒布，進一步充實完善了收集、使用個人信息的法律規則，細化了網絡運營者保護個人信息安全的義務與責任，專章規定了網絡運行安全、網絡信息安全以及網絡安全支持與促進等內容。2017年頒行的《民法總則》，則在第一百一十一條中將個人信息受到法律保護作為一項重要民事權利予以規定，強調任何組織和個人需要獲取他人個人信息的，應當依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。2018年《電子商務法》的頒布，再次將個人信息保護擺在重要位置，明確規定電子商務經營者收集、使用其用戶的個人信息，應當遵守法律、行政法規有關個人信息保護的規定，并明示用戶信息查詢、更正、刪除以及用戶注銷的方式、程序，不得對用戶設置不合理條件。在刑法領域，2009年、2015年通過的刑法修正案（七）和修正案（九），專門增加了出售或者非法提供、竊取或者非法獲取公民個人信息的犯罪及刑罰。

此外，其他數據立法成果還有不少，主要表現為行政法規、部門規章以及行業自律規定等形式。以2016年《數據流通行業自律公約》為例，由中國聯通、中國電信、阿里巴巴、京東等聯合發布的這一自律公約，重點從數據權益、數據流通和數據應用三大板塊分別作出規定，其不但確認企業對其合法、正當途徑采集、獲取、生成的數據享有合法權益，而且強調依法保障用戶在其個人數據流通中享有的選擇、獲取、更正、退出、刪除等權利。

從國際層面看，數字經濟的全球博弈引發了各國對數據立法競爭性與外溢性的普遍思考。就歐盟《通用數據保護條例》（General Data Protection Regulation）來說，其實施后所開出的巨額罰單，即在國內引發不少熱議。在這些罰單名字里，除互聯網企業外，有關航空、酒店、醫療等行業也赫然在列。該條例確立了個人信息保護方面的一系列權利內容，包括隨時撤回同意權、知情權、更正權、擦除權（也稱為被遺忘權）、限制權、攜帶權、訪問權等。對此，歐盟還建立了一套嚴格的執法機制，詳細規定了監管機構的調查權和處罰權。事實上，歐盟的數據保護執法距離中國企業并不遙遠。由于該條例不再堅守屬地原則，而是采用了類似于美國長臂管轄的執法模式，將執法邊界延伸到了所有收集和處理歐盟個人信息的企業，因此對中國企業來說，無論是有意進軍歐洲市場還是與歐洲企業開展業務往來，都應當盡快開展數據合規工作，把企業數據合規業務與個人信息保護緊密銜接起來。

需要強調的是，在利益驅使下，當前一些企業漠視法律，隨意收集、非法獲取、擅自使用甚至泄露、濫用個人信息的現象仍比較突出，嚴格監管、嚴格執法正被各類數據主體寄予厚望。這些年來我國已經逐步建立起企業數據合規和個人信息保護的法律規則體系，其中不乏民法、經濟法、行政法、刑法等部門法的深度介入，由此形成了一套具有可操作性的數據違法責任追究機制。

對于企業而言，數據合規業務仍處在探索階段，尚未形成行之有效的成熟的法律服務體系，但不斷出現的數據糾紛與司法判例無疑具有警示和促進作用。只有提高數據風險防范意識，深刻認識數據保護的國際立法趨勢，并采取切實有效的數據保護措施，平衡好企業數據權益與個人信息保護的關系，企業才能防患于未然，在國內外數據市場避免陷入各類糾紛與麻煩。

從未來立法趨勢看，本屆全國人大常委會已將制定《個人信息保護法》和《數據安全法》列入了立法規劃的第一類項目，企業數據合規與個人信息保護仍然期待專門性立法的持續跟進，為數據主體提供更加全面而細致的保護標準，以適應數字經濟時代多樣化、批量化的跨境數據流動，為世界提供數據法治化的“中國智慧”。

（摘自8月14日《經濟參考報》。作者為中國社會科學院法學研究所研究員）