作者簡介：時明濤 浙江大學(xué)光華法學(xué)院
摘要：大數(shù)據(jù)時代企業(yè)數(shù)據(jù)權(quán)利的保護(hù)已經(jīng)成為迫切需要解決的法律難題之一。既有立法例多以個人數(shù)據(jù)保護(hù)為中心，從中反向推導(dǎo)出企業(yè)的數(shù)據(jù)權(quán)利范圍。這一立法模式因個人數(shù)據(jù)權(quán)利難以精確界定，導(dǎo)致企業(yè)數(shù)據(jù)權(quán)利邊界模糊不清�，F(xiàn)有解決方案中，行為規(guī)制說與分類保護(hù)說均無法提供恰當(dāng)?shù)囊?guī)則指引。賦權(quán)保護(hù)說雖已明確意識到數(shù)據(jù)權(quán)屬界定的積極意義，卻沒有考慮到企業(yè)數(shù)據(jù)來源的多樣性而陷入了一體保護(hù)主義。我國未來數(shù)據(jù)權(quán)利保護(hù)立法宜采取正面界定的方法，明確企業(yè)對數(shù)據(jù)產(chǎn)品及非個人數(shù)據(jù)享有占有、使用、收益、處分等所有者權(quán)益；對企業(yè)數(shù)據(jù)中涉及個人數(shù)據(jù)的部分，借鑒數(shù)據(jù)控制者的立法設(shè)計，構(gòu)建企業(yè)對個人數(shù)據(jù)的權(quán)限范圍與義務(wù)內(nèi)容。
關(guān)鍵詞：大數(shù)據(jù)；數(shù)據(jù)權(quán)；個人數(shù)據(jù)；數(shù)據(jù)控制者；企業(yè)數(shù)據(jù)
大數(shù)據(jù)時代，數(shù)據(jù)猶如石油一般取得了基礎(chǔ)戰(zhàn)略資源的地位。相關(guān)統(tǒng)計數(shù)據(jù)表明，我國無論是在數(shù)據(jù)產(chǎn)業(yè)的發(fā)展規(guī)模、研發(fā)投入還是在發(fā)展速度、質(zhì)量、先進(jìn)程度等方面均居于世界領(lǐng)先地位。[1]然而，與之形成鮮明對比的是，現(xiàn)階段我國有關(guān)數(shù)據(jù)權(quán)利保護(hù)的法律規(guī)范幾乎處于缺失狀態(tài)，企業(yè)數(shù)據(jù)權(quán)利的取得、邊界與內(nèi)容均不十分清晰，企業(yè)數(shù)據(jù)權(quán)利的保護(hù)方式仍然存在很大爭議。這些問題在當(dāng)前大數(shù)據(jù)交易實踐中已經(jīng)顯得十分突出，必將對我國數(shù)據(jù)產(chǎn)業(yè)的健康發(fā)展造成不利影響。有鑒于此，本文將在分析數(shù)據(jù)權(quán)屬爭議與困境的基礎(chǔ)之上，探尋我國企業(yè)數(shù)據(jù)權(quán)利保護(hù)的最佳路徑。
一、企業(yè)數(shù)據(jù)權(quán)利保護(hù)的困境
（一）數(shù)據(jù)是否能夠成為民事法律關(guān)系的客體
企業(yè)能否享有數(shù)據(jù)權(quán)利，首先取決于數(shù)據(jù)的法律性質(zhì)。即，數(shù)據(jù)能否成為民事法律關(guān)系的客體？對此，有肯定說與否定說。肯定說認(rèn)為，數(shù)據(jù)可以脫離于自然人主體而獨立存在因而具有獨立性；數(shù)據(jù)可以依據(jù)法律的規(guī)定而實現(xiàn)獨占性；數(shù)據(jù)因其內(nèi)容而具有財產(chǎn)性價值；是否為有體物并非民事法律關(guān)系客體的要件，因而數(shù)據(jù)是新型民事法律關(guān)系中的客體。[2]否定說則認(rèn)為，數(shù)據(jù)因無法被民事主體所獨占和控制而不具有民事客體的確定性；數(shù)據(jù)因無法脫離特定的載體單獨存在而缺乏民事客體所要求的獨立性；數(shù)據(jù)因缺乏專屬性和壟斷性特征因而不構(gòu)成民法上的無形財產(chǎn)；數(shù)據(jù)因依賴于特定的代碼或載體存在而不具有獨立的經(jīng)濟(jì)價值，因此數(shù)據(jù)不能成為民事法律關(guān)系的客體。[3]
上述兩種觀點之中，否定說的理由不僅建立在數(shù)據(jù)的自然屬性之上，更為重要的是其深受技術(shù)決定論的影響，認(rèn)為“法律不可能調(diào)整技術(shù)本身，只能規(guī)定技術(shù)標(biāo)準(zhǔn)、技術(shù)歸屬和技術(shù)風(fēng)險”。同樣，美國學(xué)者勞倫斯·萊格斯在《代碼2.0網(wǎng)絡(luò)空間中的法律》一書中也闡明了幾乎相同的觀點——即“代碼就是法律”。[4]事實上，即使身處網(wǎng)絡(luò)時代這一論斷是否能夠成立，仍然值得懷疑。這是因為“代碼就是法律”混淆了法律治理與技術(shù)治理之間的區(qū)別。作為實現(xiàn)特定目的的技術(shù)手段，代碼在互聯(lián)網(wǎng)領(lǐng)域具有十分重要的地位，然而法律治理主要依據(jù)價值判斷，其標(biāo)準(zhǔn)乃是特定社會的通常價值觀念，而技術(shù)治理則因循可能性的邏輯，即在特定的技術(shù)條件下能否達(dá)到特定的目的�！按a就是法律”顯然是以技術(shù)合理性來論證法律合理性。這就好比克隆人的技術(shù)依據(jù)現(xiàn)有的科技水平能夠做到，但根據(jù)現(xiàn)行法律卻不能做到，其所依據(jù)的顯然并非技術(shù)上的合理性。除此之外，上述肯定說的理由雖然主要建立在數(shù)據(jù)的客體屬性之上，但卻忽略了民事客體的性質(zhì)不僅是事實判斷，其在本質(zhì)上仍然是法律判斷，這從法律對虛擬財產(chǎn)權(quán)的確認(rèn)過程基本可以得到印證。事實上，最新通過的《民法典》在“總則編”第五章“民事權(quán)利章”第111條和第127條對個人信息和數(shù)據(jù)保護(hù)分別作出規(guī)定，在“人格權(quán)編”又再次對隱私權(quán)和個人信息保護(hù)進(jìn)行了細(xì)致區(qū)分，這就意味著我國《民法典》的立法者已經(jīng)明確意識到個人信息與數(shù)據(jù)保護(hù)之不同，至少從二者區(qū)別的角度承認(rèn)了數(shù)據(jù)的民事客體地位。
（二）數(shù)據(jù)權(quán)利的屬性與內(nèi)容模糊不清
企業(yè)數(shù)據(jù)權(quán)利的保護(hù)涉及到數(shù)據(jù)權(quán)利的屬性問題。正如學(xué)者所言，數(shù)據(jù)權(quán)利的屬性不僅是制定數(shù)據(jù)資源確權(quán)、開放、流通和交易相關(guān)制度的依據(jù)，還是數(shù)據(jù)權(quán)利保護(hù)的理論基礎(chǔ)和邏輯起點。[5]但當(dāng)前學(xué)界對于數(shù)據(jù)權(quán)利的屬性可謂眾說紛紜，人格權(quán)說、財產(chǎn)權(quán)說、知識產(chǎn)權(quán)說、商業(yè)秘密說等不一而足。事實上，不同觀點之間雖然看似分歧明顯，實則多數(shù)是由于分析對象不同所導(dǎo)致的認(rèn)識差異。一般而言，以個人數(shù)據(jù)作為分析對象的學(xué)者較為傾向于人格權(quán)說，而以數(shù)據(jù)集或者大數(shù)據(jù)產(chǎn)品作為分析對象的學(xué)者更為傾向于財產(chǎn)權(quán)說，甚至有學(xué)者從國家數(shù)據(jù)主權(quán)和人權(quán)的高度論述數(shù)據(jù)權(quán)利的憲法屬性。不同學(xué)說之間的爭論本無可厚非，但從權(quán)利救濟(jì)的角度觀察，不同定性將會對權(quán)利的私法救濟(jì)產(chǎn)生明顯影響。這是因為，現(xiàn)代民法中絕對權(quán)和相對權(quán)的保護(hù)手段有較大差別，人格權(quán)與財產(chǎn)權(quán)的保護(hù)手段又有所不同，甚至連權(quán)利和利益的保護(hù)方式在侵權(quán)法中亦有程度之分。因此，數(shù)據(jù)權(quán)利的性質(zhì)爭論不僅只是學(xué)說分歧而已，更涉及到實體權(quán)利的救濟(jì)問題。但遺憾的是，迄今為止我國學(xué)界對于數(shù)據(jù)權(quán)利的屬性遠(yuǎn)未達(dá)成共識。
除權(quán)利屬性之外，當(dāng)前學(xué)界對于數(shù)據(jù)權(quán)利內(nèi)容的分歧也十分明顯。例如，有學(xué)者認(rèn)為數(shù)據(jù)權(quán)包含數(shù)據(jù)人格權(quán)與數(shù)據(jù)財產(chǎn)權(quán)兩個方面的內(nèi)容，“數(shù)據(jù)人格權(quán)包括知情同意權(quán)、查閱權(quán)、更正權(quán)、刪除權(quán)、可攜權(quán)、封存權(quán)，數(shù)據(jù)財產(chǎn)權(quán)包括控制權(quán)、使用權(quán)、收益權(quán)、處分權(quán)�！盵6]言下之意，似乎數(shù)據(jù)人格權(quán)與數(shù)據(jù)財產(chǎn)權(quán)是可以被截然分開的兩個部分。還有學(xué)者指出，“由于人格權(quán)是從屬于自然人主體的不可轉(zhuǎn)移的權(quán)利，因而數(shù)據(jù)權(quán)屬所討論的問題主要是指數(shù)據(jù)財產(chǎn)權(quán)的歸屬。”[7]由此，似乎又可以得出數(shù)據(jù)權(quán)利內(nèi)容中并不包含有人格權(quán)內(nèi)容的結(jié)論。還有觀點進(jìn)一步的指出，“大數(shù)據(jù)時代賦予個人以數(shù)據(jù)財產(chǎn)存在事實上的控制力不足、收益的低價值性和成本的高昂等問題，因此不應(yīng)當(dāng)賦予個人以數(shù)據(jù)財產(chǎn)權(quán)�！盵8]然而，事實上是否享有與是否應(yīng)當(dāng)享有是兩個問題，以事實上控制力不足否認(rèn)法律上是否應(yīng)當(dāng)享有，則是以事實存在否定價值判斷，仍有可供商榷的余地。
從分歧的成因來看，上述認(rèn)識不同程度地忽略了數(shù)據(jù)權(quán)屬構(gòu)成的復(fù)雜性。單純將數(shù)據(jù)權(quán)理解為數(shù)據(jù)人格權(quán)或者數(shù)據(jù)財產(chǎn)權(quán)的觀點，忽略了個人數(shù)據(jù)權(quán)與企業(yè)數(shù)據(jù)權(quán)利之間的差別。實際上，所謂的個人數(shù)據(jù)權(quán)本質(zhì)上是個人信息保護(hù)在互聯(lián)網(wǎng)領(lǐng)域的反映，其歸根結(jié)底是信息主體對其個人信息所享有的排他性的支配權(quán)，如信息自決權(quán)、知情同意權(quán)等。而企業(yè)的數(shù)據(jù)權(quán)利則主要強(qiáng)調(diào)的是企業(yè)對合法收集的數(shù)據(jù)所享有的占有、使用、處分、收益等權(quán)利，主要表現(xiàn)為企業(yè)的數(shù)據(jù)資產(chǎn)，只不過，由于企業(yè)數(shù)據(jù)的構(gòu)成中包含大量的個人數(shù)據(jù)，涉及到法律有關(guān)個人數(shù)據(jù)的保護(hù)要求，這才導(dǎo)致企業(yè)數(shù)據(jù)權(quán)利的問題趨于復(fù)雜。此外，個人數(shù)據(jù)也并非單純表現(xiàn)為自然人的人格權(quán)利。當(dāng)前有關(guān)個人數(shù)據(jù)對價化的法律實踐至少表明，個人信息之上還存在一定的財產(chǎn)價值。企業(yè)對于個人服務(wù)的提供也并非免費(fèi)，而是用戶以其個人數(shù)據(jù)為對價所換取的。[9]因此，如何再平衡數(shù)據(jù)主體與數(shù)據(jù)控制者之間的關(guān)系，成為當(dāng)前個人數(shù)據(jù)保護(hù)立法中難以繞開的理論命題。
從權(quán)利內(nèi)容上看，數(shù)據(jù)人格權(quán)與數(shù)據(jù)財產(chǎn)權(quán)難以被截然分開。前述分類中的數(shù)據(jù)控制權(quán)就已經(jīng)包含了數(shù)據(jù)人格權(quán)的內(nèi)容，而數(shù)據(jù)財產(chǎn)權(quán)的行使又將明顯對自然人的人格利益產(chǎn)生影響。從歐盟有關(guān)個人數(shù)據(jù)的立法來看，個人數(shù)據(jù)權(quán)主要是人格權(quán)內(nèi)容，即特定自然人對其個人數(shù)據(jù)所享有的自我控制、自我決定的權(quán)利。而隨著大數(shù)據(jù)技術(shù)的深入發(fā)展，企業(yè)針對海量數(shù)據(jù)的分析已經(jīng)呈現(xiàn)出明顯的財產(chǎn)價值，但這一財產(chǎn)價值主要是由于企業(yè)的資金、技術(shù)以及勞動投入所獲得的價值增值，原始個人數(shù)據(jù)只在其中起著非常微小的作用，因此數(shù)據(jù)權(quán)從客觀上來講應(yīng)當(dāng)是指企業(yè)對其所擁有數(shù)據(jù)資產(chǎn)（數(shù)據(jù)產(chǎn)品、個人數(shù)據(jù)、非個人數(shù)據(jù)）的權(quán)利。我國《民法典》第111條規(guī)定了自然人的個人信息應(yīng)受法律保護(hù)但并未明確個人信息的法律屬性，第127條又單獨規(guī)定數(shù)據(jù)與虛擬財產(chǎn)受法律保護(hù)，這就為數(shù)據(jù)權(quán)的獨立建構(gòu)預(yù)留了立法空間。因為從本質(zhì)上，自然人對其個人數(shù)據(jù)的權(quán)利可以看成是個人信息保護(hù)在個人數(shù)據(jù)上的具體體現(xiàn)，而數(shù)據(jù)權(quán)主要表現(xiàn)為數(shù)據(jù)主體對其合法收集、占有、使用、加工的數(shù)據(jù)所享有的財產(chǎn)性權(quán)利。
（三）數(shù)據(jù)權(quán)利范圍難以精確
從企業(yè)數(shù)據(jù)權(quán)利的構(gòu)成來看，個人數(shù)據(jù)的權(quán)利范圍對企業(yè)數(shù)據(jù)權(quán)利具有重要影響。一方面，個人數(shù)據(jù)構(gòu)成企業(yè)數(shù)據(jù)的重要組成部分，個人是否享有以及享有哪些數(shù)據(jù)權(quán)利將直接影響到企業(yè)數(shù)據(jù)的權(quán)利范圍。比如消費(fèi)者在購物網(wǎng)站上所留下的購買記錄和收貨地址，既是企業(yè)數(shù)據(jù)的組成部分，又是消費(fèi)者的個人數(shù)據(jù)，如果消費(fèi)者行使刪除權(quán)，則企業(yè)將失去該項數(shù)據(jù)內(nèi)容。另一方面，企業(yè)對個人數(shù)據(jù)享有哪些權(quán)利又將直接影響到數(shù)據(jù)交易的內(nèi)容。這是因為數(shù)據(jù)交易的基本價值在于數(shù)據(jù)所包含的信息內(nèi)容，而個人數(shù)據(jù)常常構(gòu)成其中最為核心與最具價值的部分，因此企業(yè)對個人數(shù)據(jù)享有的權(quán)限范圍將直接影響到企業(yè)的數(shù)據(jù)權(quán)利內(nèi)容，進(jìn)而影響到數(shù)據(jù)產(chǎn)品的價值。
對于企業(yè)數(shù)據(jù)權(quán)利內(nèi)容的確定，既有立法例無法提供完整的解決方案。對于數(shù)據(jù)權(quán)利的保護(hù)，比較法上呈現(xiàn)出兩種不同的立法路徑。一種是以美國為代表的隱私權(quán)保護(hù)模式，其主要特點在于否認(rèn)個人對其數(shù)據(jù)享有所謂的“數(shù)據(jù)權(quán)利”，僅在企業(yè)的數(shù)據(jù)處理行為有侵犯個人隱私之虞時，方才提供保護(hù)。另一種是以歐盟為代表的賦權(quán)保護(hù)模式，主要表現(xiàn)為賦予自然人對其個人數(shù)據(jù)以積極權(quán)能，如知情同意權(quán)、刪除權(quán)、可攜帶權(quán)等，以限制企業(yè)對個人數(shù)據(jù)所享有的權(quán)利范圍�？傮w而言，這兩種模式均未直接承認(rèn)企業(yè)的數(shù)據(jù)權(quán)利，而是通過反向限制的方式實現(xiàn)企業(yè)的數(shù)據(jù)利益。即，對于企業(yè)而言其行為規(guī)范為“有限禁止+剩余自由”。
然而，這種從個人數(shù)據(jù)權(quán)利中推倒出企業(yè)數(shù)據(jù)權(quán)利的方式卻存在著較為明顯的弊端。首先，該模式下企業(yè)是否享有以及享有哪些數(shù)據(jù)權(quán)利一直曖昧不清。在隱私保護(hù)模式下，美國企業(yè)一直面臨較為輕松的個人數(shù)據(jù)保護(hù)壓力，但也由此引發(fā)了一系列的數(shù)據(jù)安全事件。[10]在歐盟模式下，數(shù)據(jù)企業(yè)一直面臨較大的個人數(shù)據(jù)保護(hù)壓力，致使歐洲互聯(lián)網(wǎng)企業(yè)的發(fā)展備受煎熬。[11]究其原因在于，這兩種模式均未明確個人數(shù)據(jù)權(quán)利范圍，從而導(dǎo)致企業(yè)的數(shù)據(jù)權(quán)利模糊不清。[12]正如學(xué)者所言，既有的法律體系本身并非為企業(yè)數(shù)據(jù)問題而設(shè)，而是各自有著自己特定的立法語境和制度功能，用來解決企業(yè)數(shù)據(jù)權(quán)利問題難免會有某種距離感。[13]我國大數(shù)據(jù)產(chǎn)業(yè)發(fā)展的現(xiàn)實困境進(jìn)一步印證了這一論斷。在已經(jīng)爆發(fā)的數(shù)據(jù)權(quán)利爭奪案件中，受制于實體法律規(guī)范的缺失，法官只能求助于反不正當(dāng)競爭法來保護(hù)企業(yè)的數(shù)據(jù)利益。但這種處理辦法既模糊了爭議焦點，也沒有樹立可資參照的裁判標(biāo)準(zhǔn)，難以為后續(xù)的爭議解決提供明確的行為準(zhǔn)則。其次，個人數(shù)據(jù)權(quán)利的邊界不清導(dǎo)致企業(yè)數(shù)據(jù)權(quán)利趨于模糊。一般而言，個人數(shù)據(jù)是指能夠直接或者間接識別特定自然人的數(shù)據(jù)信息，包括但不限于自然人的身份號碼、電話號碼、出生年月等信息。以“可識別”作為個人數(shù)據(jù)的判斷依據(jù)，一定程度上使得個人數(shù)據(jù)的范圍始終處于不穩(wěn)定狀態(tài)，進(jìn)而影響到企業(yè)的數(shù)據(jù)權(quán)利范圍。這種不穩(wěn)定表現(xiàn)為，是否可識別首先取決于識別技術(shù)的發(fā)展。隨著數(shù)據(jù)處理技術(shù)的進(jìn)步，可間接識別自然人的數(shù)據(jù)范圍越來越廣，甚至理論上任何數(shù)據(jù)都有被識別的可能，這就導(dǎo)致企業(yè)數(shù)據(jù)權(quán)益時刻處于變動狀態(tài)。因為根據(jù)個人數(shù)據(jù)保護(hù)的要求，某項數(shù)據(jù)一旦被認(rèn)定為個人數(shù)據(jù)（具有識別的可能性），則必然觸發(fā)相應(yīng)的法律適用機(jī)制，而企業(yè)對于該項數(shù)據(jù)收集、使用和處理均會受到相應(yīng)的限制，不但增加企業(yè)數(shù)據(jù)收集和處理的成本，而且還會影響數(shù)據(jù)交易本身的安全。另一方面，“可識別”缺乏明確的法律標(biāo)準(zhǔn)，致使個人數(shù)據(jù)的保護(hù)范圍明顯過大。數(shù)據(jù)是否可以識別到特定的主體，通常取決于數(shù)據(jù)技術(shù)的發(fā)展和行為人究竟愿意為識別所付出多少努力。因此，以“可識別”作為個人數(shù)據(jù)的判定標(biāo)準(zhǔn)，不但需要面對判斷標(biāo)準(zhǔn)難以精確的難題，還會將以價值判斷為主的法律帶入技術(shù)判定的泥沼。
二、企業(yè)數(shù)據(jù)權(quán)利的保護(hù)方式：學(xué)說爭議與評析
（一）既有數(shù)據(jù)保護(hù)理論與評析
當(dāng)前有關(guān)企業(yè)數(shù)據(jù)權(quán)利保護(hù)存在三種不同的主張，即賦權(quán)保護(hù)說、行為規(guī)制說與分類保護(hù)說。
1.賦權(quán)保護(hù)說及其理由。該類觀點主張由立法建構(gòu)數(shù)據(jù)新型財產(chǎn)權(quán)，在區(qū)分個人數(shù)據(jù)和數(shù)據(jù)資產(chǎn)的基礎(chǔ)之上，在個人數(shù)據(jù)的層面配置人格權(quán)益與財產(chǎn)權(quán)益，在企業(yè)數(shù)據(jù)的層面，賦予企業(yè)以數(shù)據(jù)經(jīng)營權(quán)和數(shù)據(jù)資產(chǎn)權(quán)。[14]具體而言，數(shù)據(jù)經(jīng)營權(quán)類似于對數(shù)據(jù)資產(chǎn)經(jīng)營的專門限制，是從事數(shù)據(jù)資產(chǎn)經(jīng)營的企業(yè)所需要獲得的一種營業(yè)地位或者營業(yè)資格。而數(shù)據(jù)資產(chǎn)權(quán)是指專門從事數(shù)據(jù)經(jīng)營的企業(yè)對數(shù)據(jù)集合或者數(shù)據(jù)產(chǎn)品加工所形成的數(shù)據(jù)產(chǎn)品享有的財產(chǎn)權(quán)。換言之，權(quán)利主體對自己合法的數(shù)據(jù)行為過程中所形成的數(shù)據(jù)集合或者數(shù)據(jù)產(chǎn)品享有占有、使用、收益、處分等所有者權(quán)益。
2.行為規(guī)制說及其理由。所謂行為規(guī)制，是指通過法律規(guī)定明確數(shù)據(jù)原生者、數(shù)據(jù)衍生者和數(shù)據(jù)使用者三者之間的權(quán)利義務(wù)關(guān)系，以確立數(shù)據(jù)自由獲取和自由流通，數(shù)據(jù)共享和數(shù)據(jù)區(qū)分等數(shù)據(jù)交易的基本秩序。[15]具體而言，行為規(guī)制主要通過合同法、侵權(quán)法、反不正當(dāng)競爭法、知識產(chǎn)權(quán)法等四種路徑實現(xiàn)對數(shù)據(jù)收集、使用行為的調(diào)整。主張行為規(guī)制說的理由主要建立在數(shù)據(jù)交易的特殊性之上，因為在其看來，數(shù)據(jù)交易與傳統(tǒng)有體物交易有所不同，數(shù)據(jù)交易的客體為無體物的數(shù)據(jù)，可以由多個主體同時所有而不影響數(shù)據(jù)本身的價值，數(shù)據(jù)沒有特定性和獨立性無法歸入既有的民事權(quán)利客體范疇，數(shù)據(jù)具有公共性，不應(yīng)視為私人物品而應(yīng)當(dāng)由全社會共同享有和使用等。[16]
3.分類保護(hù)說及其理由。還有學(xué)者指出，由于數(shù)據(jù)在本質(zhì)上具有非競爭性和排他性的特點，給予企業(yè)數(shù)據(jù)權(quán)利以絕對性與排他性的財產(chǎn)權(quán)保護(hù)方式將會妨礙數(shù)據(jù)的流通與共享，對此應(yīng)當(dāng)采用類型化和場景化的方式加以保護(hù)。[17]具體而言，將企業(yè)數(shù)據(jù)分為公開數(shù)據(jù)、半公開數(shù)據(jù)和非公開數(shù)據(jù)三種類型，對公開數(shù)據(jù)采用反不正當(dāng)競爭法予以保護(hù)，對半公開數(shù)據(jù)采取類似于數(shù)據(jù)庫的特殊保護(hù)方式，對于不公開數(shù)據(jù)采用商業(yè)秘密的保護(hù)模式。
總體而言，上述三種主張均存在一定的合理性，但又均存有各自的不足之處。
首先，行為規(guī)制說未能充分考慮數(shù)據(jù)交易的特點。一是，行為規(guī)制說回避了數(shù)據(jù)權(quán)利歸屬這一核心問題，由此可能加劇非法數(shù)據(jù)的流通與交易。計算機(jī)的數(shù)據(jù)存儲方式?jīng)Q定了數(shù)據(jù)交易具有較強(qiáng)的隱蔽性，加之?dāng)?shù)據(jù)違法復(fù)制的成本極低，交易過程無法進(jìn)行權(quán)利查詢，這使得數(shù)據(jù)竊取和銷售的“黑色數(shù)據(jù)交易產(chǎn)業(yè)鏈”屢禁不止。[18]在數(shù)據(jù)到底屬于誰都不甚清楚的情況下，一味地強(qiáng)調(diào)數(shù)據(jù)的流通和交易只能加劇對數(shù)據(jù)權(quán)利的侵害。二是，行為規(guī)制模式將使得個人數(shù)據(jù)權(quán)利的行使與救濟(jì)均難以實現(xiàn)。行為規(guī)制模式企圖通過私人約定的方式實現(xiàn)對數(shù)據(jù)利用的行為規(guī)制，這過于夸大了私法主體行為理性。國內(nèi)爆發(fā)的“順豐與菜鳥之爭”、“新浪微博訴脈脈”等數(shù)據(jù)權(quán)利爭奪案件已經(jīng)充分表明數(shù)據(jù)控制者的數(shù)據(jù)爭奪行為本質(zhì)上是利己主義的，用戶在企業(yè)數(shù)據(jù)權(quán)利爭奪中明顯處于弱勢地位，極易成為企業(yè)之間利益交換的犧牲品。將數(shù)據(jù)收集和使用交由私法主體自由約定，一方面不可避免地出現(xiàn)強(qiáng)勢企業(yè)以強(qiáng)凌弱的局面，另一方面又將難以規(guī)制企業(yè)之間因利益交換而犧牲用戶的數(shù)據(jù)權(quán)利的情況。總體而言，將數(shù)據(jù)利用秩序交由私法主體自行約定過于夸大了私法主體的競爭理性，也對數(shù)據(jù)控制者的利他性抱有某種不切實際的幻想。三是，行為規(guī)制模式忽略了合同的有限理性。采納合同方式保護(hù)企業(yè)數(shù)據(jù)權(quán)利的最大優(yōu)點在于私法自治，因為當(dāng)事人可以在相當(dāng)程度上獲得對數(shù)據(jù)的利用自由，但這也正是其缺陷之所在。合同總是有限理性的，以數(shù)據(jù)服務(wù)合同處理數(shù)據(jù)信息將面臨主體之間談判能力以及經(jīng)濟(jì)地位的實質(zhì)差異。這種差異不僅會使得合同的權(quán)利義務(wù)失去平衡，還會加劇大數(shù)據(jù)企業(yè)的壟斷地位和個人數(shù)據(jù)權(quán)益被侵害的可能性。在不斷失去平衡的數(shù)據(jù)利益交換之中，最有可能淪為犧牲品的，只有作為自然人的個人數(shù)據(jù)權(quán)利。四是，從外部約束來看，合同之間的相對性也決定了數(shù)據(jù)利用者之間無法進(jìn)行有效的約束。一是合同相對人缺乏有效的監(jiān)督手段，二是由于相互之間的利益關(guān)系，相對方也很難有勇氣糾正對方的數(shù)據(jù)違規(guī)行為，因為其中最有可能犧牲的并非數(shù)據(jù)價值，而是自然人的數(shù)據(jù)權(quán)利。綜上可知，數(shù)據(jù)合同最多只能成為一種商業(yè)模式，而不能為數(shù)據(jù)財產(chǎn)的有效治理提供幫助。
其次，對不同的數(shù)據(jù)采取不同的保護(hù)措施缺乏正當(dāng)性與合理性。分類保護(hù)模式之下乍看具有合理性，但仔細(xì)斟酌不難發(fā)現(xiàn)，將數(shù)據(jù)保護(hù)建立在數(shù)據(jù)分類的基礎(chǔ)上難謂合理。這是因為，第一，不論何種數(shù)據(jù)均是建立在數(shù)據(jù)企業(yè)前期投入的基礎(chǔ)之上，“數(shù)據(jù)并不是天然存在的，而是被生產(chǎn)出來的”，僅因數(shù)據(jù)存在的狀態(tài)就賦予其不同的保護(hù)力度缺乏正當(dāng)性。第二，對于公開數(shù)據(jù)適用反不正當(dāng)競爭法予以保護(hù)具有明顯的局限性。一方面反不正當(dāng)競爭法的適用需要雙方之間具有競爭關(guān)系，運(yùn)用反不正當(dāng)競爭法對企業(yè)數(shù)據(jù)加以保護(hù)顯然無法適用于非競爭關(guān)系的第三方主體對企業(yè)數(shù)據(jù)進(jìn)行不法侵害的情形。另一方面，反不正當(dāng)競爭法的適用也具有明顯的滯后性，即只能發(fā)生在不正當(dāng)競爭行為存在之后，無法發(fā)揮損害預(yù)防等積極功能。第三，對半公開的企業(yè)數(shù)據(jù)給予數(shù)據(jù)庫的保護(hù)方式不具有現(xiàn)實可行性。一方面，對于數(shù)據(jù)的存在狀態(tài)難以準(zhǔn)確界定，何為公開？何為半公開？半公開與非公開之間又有何種區(qū)別？另一方面，數(shù)據(jù)庫其實就是數(shù)據(jù)產(chǎn)品，只不過其所加工的對象并非單純的個人數(shù)據(jù)，而是可能附帶有個人信息內(nèi)容的數(shù)據(jù)。對數(shù)據(jù)庫的賦權(quán)保護(hù)體現(xiàn)了法律對信息內(nèi)容聚合式加工價值的法律確認(rèn)，[19]但企業(yè)的半公開數(shù)據(jù)是否經(jīng)過猶如數(shù)據(jù)庫一般的資金投入和價值附加則不無疑問。其四，對于非公開企業(yè)數(shù)據(jù)采取商業(yè)秘密的保護(hù)方式將不利于企業(yè)數(shù)據(jù)權(quán)利的保護(hù)。商業(yè)秘密的典型特征在其秘密性，這意味著一旦企業(yè)數(shù)據(jù)被非法入侵，會因失去秘密性而無法獲得任何保護(hù)，這種結(jié)論實在令人難以接受，也將對企業(yè)合法數(shù)據(jù)利益的保護(hù)帶來不利影響。除此之外，將企業(yè)數(shù)據(jù)視為商業(yè)秘密還可能在客觀上助長非法侵害他人數(shù)據(jù)權(quán)利的事件發(fā)生。因為網(wǎng)絡(luò)具有天生技術(shù)性和隱秘性的特征，若企業(yè)所持有的私密數(shù)據(jù)僅因失去秘密性而不再受到法律保護(hù)，這等于是在變相鼓勵盜取他人非公開數(shù)據(jù)的行為。
最后，賦權(quán)保護(hù)說的總體思路值得肯定，但在分類保護(hù)與規(guī)則設(shè)計方面仍存在較大的完善空間。一是，賦權(quán)保護(hù)說遺漏了數(shù)據(jù)產(chǎn)品之外的其它數(shù)據(jù)權(quán)益。當(dāng)前有關(guān)數(shù)據(jù)交易的權(quán)屬問題已經(jīng)成為我國大數(shù)據(jù)產(chǎn)業(yè)中亟待解決的突出問題，而權(quán)屬明晰又是大數(shù)據(jù)產(chǎn)品能夠上市交易的前提條件。從鼓勵數(shù)據(jù)產(chǎn)品研發(fā)的角度，賦權(quán)保護(hù)路徑的確能夠在客觀上保證企業(yè)對數(shù)據(jù)產(chǎn)品的開發(fā)獲得相應(yīng)地回報，從而有利于激勵企業(yè)對數(shù)據(jù)產(chǎn)品的研發(fā)投入。然而，企業(yè)數(shù)據(jù)的構(gòu)成本身是復(fù)雜的，除數(shù)據(jù)產(chǎn)品之外，企業(yè)數(shù)據(jù)構(gòu)成中還包括大量的用戶個人數(shù)據(jù)，如果一律通過賦權(quán)保護(hù)的方式加以調(diào)整，恐怕難以平衡數(shù)據(jù)保護(hù)與利用之間的關(guān)系。這是因為，一方面企業(yè)對個人數(shù)據(jù)享有的權(quán)限范圍需要受到個人信息權(quán)利的限制，不加任何區(qū)分地予以賦權(quán)保護(hù)將難以避免企業(yè)數(shù)據(jù)權(quán)益和個人信息權(quán)利之間的沖突；另一方面，賦予企業(yè)對個人數(shù)據(jù)享有專有權(quán)，難以有效地遏制企業(yè)的數(shù)據(jù)權(quán)利濫用行為，加劇個人數(shù)據(jù)與企業(yè)數(shù)據(jù)之間的緊張關(guān)系。二是，數(shù)據(jù)專營權(quán)的制度設(shè)計明顯不利于中小企業(yè)數(shù)據(jù)權(quán)益的維護(hù)。數(shù)據(jù)專營權(quán)實際上是為數(shù)據(jù)產(chǎn)品的開發(fā)設(shè)置一定的準(zhǔn)入門檻，以防止中小企業(yè)因資金、技術(shù)、管理等不足所導(dǎo)致的數(shù)據(jù)安全問題。然而，任何企業(yè)的數(shù)據(jù)權(quán)利都是該企業(yè)正當(dāng)權(quán)益的體現(xiàn)，更何況當(dāng)前數(shù)據(jù)資源已經(jīng)成為企業(yè)的核心資產(chǎn)，人為設(shè)置企業(yè)數(shù)據(jù)產(chǎn)品開發(fā)的障礙，一方面可能不利于中小企業(yè)發(fā)展與創(chuàng)新能力的發(fā)揮，另一方面也可能造成數(shù)據(jù)資源的單向聚集，形成行業(yè)壟斷的局面。從商業(yè)利用的角度而言，用戶數(shù)據(jù)構(gòu)成企業(yè)的核心資源，對用戶在企業(yè)數(shù)據(jù)平臺上留下的各類使用痕跡加以分析可以預(yù)測客戶的實際需求，其中潛藏著未來的商業(yè)契機(jī)與提升用戶體驗的機(jī)會，鼓勵企業(yè)對其進(jìn)行積極開發(fā)也將在客觀上促進(jìn)社會的整體福祉。
（二）企業(yè)數(shù)據(jù)權(quán)利保護(hù)的基本思路
由上文的分析可知，企業(yè)數(shù)據(jù)權(quán)利由個人數(shù)據(jù)和非個人數(shù)據(jù)構(gòu)成，對于前者因涉及到個人數(shù)據(jù)權(quán)利，企業(yè)的數(shù)據(jù)權(quán)利需要受到較大的限制。對于后者，因不涉及自然人的數(shù)據(jù)權(quán)利，企業(yè)當(dāng)然享有完整的權(quán)利內(nèi)容。對企業(yè)數(shù)據(jù)權(quán)利保護(hù)也可以因循這一思路展開。
其一，將企業(yè)數(shù)據(jù)區(qū)分為基礎(chǔ)數(shù)據(jù)和數(shù)據(jù)產(chǎn)品。對于數(shù)據(jù)產(chǎn)品賦予數(shù)據(jù)企業(yè)享有完全所有權(quán)或者資產(chǎn)權(quán)，實際上是對大數(shù)據(jù)產(chǎn)品的賦權(quán)保護(hù)。無論是從數(shù)據(jù)企業(yè)的前期投入、數(shù)據(jù)開發(fā)的成本回收以及經(jīng)濟(jì)激勵的角度而言，賦予特定數(shù)據(jù)產(chǎn)品開發(fā)者以所有者權(quán)益都值得肯定。但這種數(shù)據(jù)權(quán)利的取得需要遵循特定的條件，即數(shù)據(jù)來源的合法性要件和數(shù)據(jù)資產(chǎn)的形式性要件。對于前者而言，是指作為數(shù)據(jù)產(chǎn)品的基礎(chǔ)數(shù)據(jù)來源應(yīng)當(dāng)符合法律的規(guī)定，履行特定的匿名化的義務(wù)，以消除數(shù)據(jù)產(chǎn)品中的隱私風(fēng)險。對于后者，是指賦予特定數(shù)據(jù)產(chǎn)品以所有權(quán)需要滿足特定的技術(shù)條件。比如，數(shù)據(jù)資產(chǎn)需要有一個能特定的數(shù)據(jù)權(quán)屬，需要滿足數(shù)據(jù)計量和可裝盒的要求，需要進(jìn)行特定的貨幣計價以及折舊和增值管理等。[20]從個人數(shù)據(jù)保護(hù)的角度而言，賦予特定企業(yè)對于數(shù)據(jù)產(chǎn)品的所有權(quán)非但不會對自然人的數(shù)據(jù)權(quán)利產(chǎn)生消極影響，反而可能會產(chǎn)生正面的激勵效應(yīng)。“只有對社會成員之間互相劃分對特定資源之間的排他性權(quán)利，才會產(chǎn)生適當(dāng)?shù)丶��！盵21]也正是因為賦予企業(yè)對數(shù)據(jù)產(chǎn)品的排他性權(quán)利，它才會通過努力使得數(shù)據(jù)資源合法化以最大限度地排除失去數(shù)據(jù)產(chǎn)權(quán)的風(fēng)險。比較而言，數(shù)據(jù)產(chǎn)品的法律條件才是決定企業(yè)能否取得數(shù)據(jù)權(quán)的關(guān)鍵因素，而數(shù)據(jù)產(chǎn)品的技術(shù)要件僅在市場定價時會對數(shù)據(jù)產(chǎn)品產(chǎn)生一定的影響。
其二，對于基礎(chǔ)數(shù)據(jù)的權(quán)屬問題，應(yīng)當(dāng)區(qū)別不同的情形予以分別保護(hù)。有學(xué)者認(rèn)為，只要是數(shù)據(jù)企業(yè)合法收集并儲存數(shù)據(jù)，就可以依據(jù)這一行為取得對個人數(shù)據(jù)的權(quán)利，并且該權(quán)利既不依賴于被收集者的授權(quán)，也不依賴于先在的權(quán)利或許可，而是基于原始取得所獲得的數(shù)據(jù)權(quán)利。[22]這種觀點顯然忽略了個人數(shù)據(jù)之上所承載的人格價值，也將難以體現(xiàn)企業(yè)對于個人數(shù)據(jù)權(quán)利取得的正當(dāng)性。一方面，個人數(shù)據(jù)來源于自然人主體，企業(yè)的收集、利用、處理等行為將對自然人的人格利益產(chǎn)生重大影響，僅憑原始數(shù)據(jù)的收集行為顯然不足以正當(dāng)化企業(yè)的數(shù)據(jù)所有權(quán)。另一方面，對于粗放形態(tài)的個人數(shù)據(jù)配置所有權(quán)這種絕對權(quán)利，將會助長企業(yè)通過知情同意規(guī)則大量攥取用戶個人信息的行為，從而對個人數(shù)據(jù)的保護(hù)產(chǎn)生消極影響。[23]換言之，企業(yè)對個人數(shù)據(jù)的初始收集并未付出與之相對應(yīng)的對價，難以體現(xiàn)出權(quán)利義務(wù)的一致性。對于企業(yè)所收集的基礎(chǔ)數(shù)據(jù)，由于涉及到用戶的個人數(shù)據(jù)權(quán)利，不宜一律認(rèn)定為企業(yè)的數(shù)據(jù)財產(chǎn)，而應(yīng)當(dāng)在進(jìn)一步分類的基礎(chǔ)之上實現(xiàn)數(shù)據(jù)的差異化保護(hù)。從數(shù)據(jù)的來源上看，企業(yè)的基礎(chǔ)數(shù)據(jù)有可能來源于個人用戶，也可以是與個人無關(guān)的其它數(shù)據(jù)，如企業(yè)內(nèi)部的生產(chǎn)數(shù)據(jù)、政府和互聯(lián)網(wǎng)上的公開數(shù)據(jù)等。對于非個人數(shù)據(jù)由于不涉及自然人的數(shù)據(jù)權(quán)利，企業(yè)當(dāng)然可以取得其所有權(quán)，并且有權(quán)對其進(jìn)行分析、處理等二次利用行為。對于用戶個人數(shù)據(jù)而言，單純的數(shù)據(jù)收集行為并不足以正當(dāng)化企業(yè)的數(shù)據(jù)權(quán)利。因為很顯然用戶個人數(shù)據(jù)并非企業(yè)的私有財產(chǎn)，其上還進(jìn)一步體現(xiàn)為自然人的人格利益和財產(chǎn)權(quán)益。因此，只有在數(shù)據(jù)主體同意的前提下，企業(yè)對個人數(shù)據(jù)分析、處理才是合法的。這在一定程度上體現(xiàn)為自然人對其個人數(shù)據(jù)的自我決定，是在大數(shù)據(jù)時代必須堅持的法律治理邏輯。即，現(xiàn)代數(shù)據(jù)保護(hù)立基之處在于平衡個人數(shù)據(jù)的保護(hù)與數(shù)據(jù)利用之間的關(guān)系。
其三，對于企業(yè)所收集的個人數(shù)據(jù)應(yīng)當(dāng)創(chuàng)設(shè)狹義的“數(shù)據(jù)控制者權(quán)”予以調(diào)整。根據(jù)“經(jīng)濟(jì)合作與發(fā)展組織”1980年發(fā)布的《關(guān)于管理隱私保護(hù)和個人數(shù)據(jù)跨疆界流動的指導(dǎo)原則》，“數(shù)據(jù)控制者”（Data Controller）是指有能力決定個人數(shù)據(jù)內(nèi)容和使用的一方當(dāng)事人。歐盟最新發(fā)布的《通用數(shù)據(jù)保護(hù)條例》中仍然延續(xù)了這一概念，并且對數(shù)據(jù)控制者的權(quán)利和義務(wù)進(jìn)行了更大幅度的完善。日本2003年《個人信息保護(hù)法》創(chuàng)設(shè)了“個人信息處理業(yè)者”（個人情報取扱事業(yè)者）的概念，并將其界定為“除國家機(jī)關(guān)、地方公共團(tuán)體、獨立行政法人之外，將個人信息數(shù)據(jù)用于其業(yè)務(wù)的當(dāng)事人�！毕啾葰W盟廣義“數(shù)據(jù)控制者”的概念，日本法更強(qiáng)調(diào)對“個人信息處理業(yè)者”的行為規(guī)制。這一點尤其值得借鑒。因為從本質(zhì)上，個人數(shù)據(jù)的私法主體主要是以數(shù)據(jù)的商業(yè)利用為目的，其對個人數(shù)據(jù)的收集、利用和處理主要依據(jù)合同或準(zhǔn)合同關(guān)系，本質(zhì)上仍屬于私人自治的領(lǐng)域，法律對其調(diào)整主要以配置適當(dāng)?shù)臋?quán)利義務(wù)為主。而公務(wù)機(jī)關(guān)的個人數(shù)據(jù)處理行為顯然與之有所不同，其常常依據(jù)公權(quán)力對個人數(shù)據(jù)進(jìn)行強(qiáng)制或者半強(qiáng)制的收集、處理和利用，一旦數(shù)據(jù)泄漏或被非法收集、利用將對公民的基本權(quán)利造成嚴(yán)重侵害，因此公務(wù)機(jī)關(guān)的數(shù)據(jù)收集、利用行為理應(yīng)受到更為嚴(yán)格的公法管制，而非籠統(tǒng)地將其納入“數(shù)據(jù)控制者”的概念之下。也就是說，不宜在廣義上采納數(shù)據(jù)控制者的概念，而應(yīng)將其限定為私法主體，即以盈利為目的的公司、法人或者其他組織。
從必要性的角度出發(fā)，創(chuàng)設(shè)數(shù)據(jù)控制者的概念主要是為了與數(shù)據(jù)主體的權(quán)利義務(wù)相區(qū)別。首先，數(shù)據(jù)控制者并非如數(shù)據(jù)所有者一樣，其通常難以獲得個人數(shù)據(jù)的處分、收益等所有者的權(quán)利內(nèi)容。毫無疑問，個人數(shù)據(jù)的主體為特定的自然人，其本質(zhì)上是以數(shù)據(jù)形式存在的個人信息。雖然當(dāng)前單一個人數(shù)據(jù)的財產(chǎn)價值極其有限，但已有個人信息對價化的實踐至少表明個人數(shù)據(jù)之上仍然存在一定的財產(chǎn)價值。企業(yè)對個人數(shù)據(jù)的收集雖然付出了一定的勞動和成本，但仍不足以正當(dāng)化其權(quán)利主體的地位，因此由其享有一定的控制者權(quán)益可以較好地平衡二者之間的關(guān)系。其次，除人格性的權(quán)益之外，數(shù)據(jù)企業(yè)對于個人數(shù)據(jù)存在事實上占有和控制狀態(tài)，法律不應(yīng)忽略這一重要的事實，而應(yīng)當(dāng)賦予其一定的控制者權(quán)益，督促其在享有利益的同時履行相應(yīng)的保障義務(wù)。例如，企業(yè)數(shù)據(jù)平臺對于個人數(shù)據(jù)的占有顯然屬于有權(quán)占有，因此數(shù)據(jù)平臺有權(quán)阻止其他競爭者或非競爭者對自己平臺數(shù)據(jù)的非法抓取行為；企業(yè)為了保障用戶個人數(shù)據(jù)的安全，有權(quán)對自己平臺的用戶個人數(shù)據(jù)采取加密、編碼等安全保障措施；在獲得用戶授權(quán)的情況下，有權(quán)對自己平臺的用戶數(shù)據(jù)進(jìn)行適當(dāng)?shù)募庸ず吞幚硪蕴嵘龜?shù)據(jù)的整體價值；在獲得數(shù)據(jù)主體同意的前提下有權(quán)對個人數(shù)據(jù)進(jìn)行適當(dāng)?shù)氖褂玫鹊�。最后，�?yīng)當(dāng)明確數(shù)據(jù)控制者對其收集的個人數(shù)據(jù)負(fù)有安全保障義務(wù)。權(quán)利和義務(wù)是對等的，沒有無權(quán)利的義務(wù)也沒有無義務(wù)的權(quán)利。應(yīng)當(dāng)看到，企業(yè)收集個人數(shù)據(jù)主要是為了其自身的商業(yè)利益，因而其在獲益的同時理應(yīng)承擔(dān)相應(yīng)的義務(wù)。這一點在域外立法中已是較為普遍和明顯的趨勢，如歐盟《通用數(shù)據(jù)保護(hù)條例》對數(shù)據(jù)控制者就規(guī)定了通知義務(wù)、安全保密義務(wù)、數(shù)據(jù)質(zhì)量義務(wù)、合法處理義務(wù)和報告義務(wù)等五大類義務(wù)。我國《民法典》第1038條雖然規(guī)定了數(shù)據(jù)處理者的安全保障義務(wù)，但就其本質(zhì)而言，安全保障義務(wù)應(yīng)不限于數(shù)據(jù)處理階段，還應(yīng)當(dāng)包括數(shù)據(jù)收集、占有和使用階段。因此，對于我國當(dāng)前的數(shù)據(jù)產(chǎn)業(yè)發(fā)展現(xiàn)狀，至少應(yīng)當(dāng)確立數(shù)據(jù)控制者的安全保障義務(wù)、合法處理義務(wù)和數(shù)據(jù)質(zhì)量義務(wù)。
三、企業(yè)數(shù)據(jù)的民法保護(hù)：分類保護(hù)與權(quán)益區(qū)分
（一）對數(shù)據(jù)產(chǎn)品以及非個人數(shù)據(jù)的權(quán)利
從數(shù)據(jù)的構(gòu)成來看，企業(yè)數(shù)據(jù)中僅包含有個人數(shù)據(jù)與非個人數(shù)據(jù)兩大類。對于后者，由于不涉及自然人的數(shù)據(jù)權(quán)利，其權(quán)利的邊界相對穩(wěn)定和清晰，一般情況下不會產(chǎn)生數(shù)據(jù)歸屬于誰的爭議。因此，法律規(guī)制的重點應(yīng)在于平衡個人數(shù)據(jù)與企業(yè)數(shù)據(jù)權(quán)益之間的關(guān)系上。
一方面，個人既是數(shù)據(jù)生產(chǎn)者又是數(shù)據(jù)權(quán)利主體，與企業(yè)數(shù)據(jù)權(quán)利呈現(xiàn)出一種復(fù)雜的交錯關(guān)系。這主要體現(xiàn)在個人數(shù)據(jù)之上可以存在多重權(quán)利主體——數(shù)據(jù)所有者和數(shù)據(jù)控制者，個人數(shù)據(jù)雖然從屬于自然人主體，但其同時又是企業(yè)數(shù)據(jù)的重要來源。企業(yè)數(shù)據(jù)權(quán)利行使的邊界在于自然人享有哪些數(shù)據(jù)權(quán)利，因而自然人的數(shù)據(jù)權(quán)利和企業(yè)數(shù)據(jù)權(quán)利之間總是呈現(xiàn)出一種博弈關(guān)系，即一方的權(quán)利行使總要受到對方權(quán)利的制約。這種結(jié)構(gòu)本身對企業(yè)數(shù)據(jù)權(quán)利的穩(wěn)定極為不利，表現(xiàn)在企業(yè)對數(shù)據(jù)的開發(fā)和應(yīng)用既要受到個人數(shù)據(jù)權(quán)利的制約，又要受到因“可識別”所導(dǎo)致個人數(shù)據(jù)范圍不穩(wěn)定的影響。
另一方面，大數(shù)據(jù)技術(shù)的時代特點決定了個人數(shù)據(jù)的使用范圍總有超出授權(quán)范圍的沖動。數(shù)據(jù)的價值在于流動，大數(shù)據(jù)分析的基礎(chǔ)在于擁有足夠數(shù)量和質(zhì)量的數(shù)據(jù)來源，作為人工智能產(chǎn)品的“智力來源”，個人數(shù)據(jù)同樣具有不可替代的重要地位。對此，不少學(xué)者主張引進(jìn)“場景理論”以緩解企業(yè)對個人數(shù)據(jù)使用和轉(zhuǎn)讓等二次同意的成本。這種觀點實則是以技術(shù)合理性來論證法律合理性，混淆了技術(shù)治理與法律治理之間的關(guān)系，由此可能導(dǎo)致技術(shù)主宰法律的危險后果。技術(shù)治理因循自我偏好的邏輯，由掌握技術(shù)的一方將自我利益根植于規(guī)則之中，以實現(xiàn)自我利益的最大化。而法律治理的基本邏輯則建立在社會共識的基礎(chǔ)之上，是典型的以社會共同價值來塑造行為。例如，認(rèn)為個人數(shù)據(jù)之上的人格權(quán)利應(yīng)當(dāng)優(yōu)先于企業(yè)的數(shù)據(jù)利益受到保護(hù)，是典型的法律邏輯。但是由于企業(yè)對用戶個人數(shù)據(jù)的二次使用需要再次獲得數(shù)據(jù)主體的同意，從而在客觀上增加了企業(yè)的數(shù)據(jù)使用成本，因之而主張放棄或者緩和知情同意的觀點，實際上是以技術(shù)合理性代替法律合理性的技術(shù)思維。
從本質(zhì)上而言，對于大數(shù)據(jù)時代的個人數(shù)據(jù)權(quán)利，應(yīng)當(dāng)遵循法律治理的基本邏輯，以他律來促進(jìn)自律，以規(guī)則框定技術(shù)發(fā)展的基本路徑。具體而言，一方面從數(shù)據(jù)來源合法性角度，對企業(yè)數(shù)據(jù)權(quán)利進(jìn)行正面確權(quán)，以減少企業(yè)數(shù)據(jù)權(quán)利的模糊性。這不僅有利于企業(yè)對數(shù)據(jù)產(chǎn)品加大投入與保護(hù)力度，還能在客觀上“有助于數(shù)據(jù)控制者協(xié)同規(guī)制第三方的數(shù)據(jù)處理行為”。[24]另一方面，從正面激勵的角度，只要企業(yè)在數(shù)據(jù)產(chǎn)品的開發(fā)和應(yīng)用中履行了法定義務(wù)，即使其中個人數(shù)據(jù)被再次反向識別，也不宜再影響企業(yè)已經(jīng)取得的數(shù)據(jù)權(quán)益。
鑒于“識別可能性”只是一個相對的概念，企業(yè)數(shù)據(jù)權(quán)利的取得應(yīng)當(dāng)建立在更具有穩(wěn)定性的“匿名化”義務(wù)之上。首先，明確界定個人數(shù)據(jù)處理的基本原則，違反個人數(shù)據(jù)處理原則的數(shù)據(jù)來源均為非法數(shù)據(jù)，不能成為企業(yè)數(shù)據(jù)權(quán)利的客體。合法性原則作為個人數(shù)據(jù)處理的基本原則，貫穿于歐盟及其成員國個人數(shù)據(jù)保護(hù)法的始終。如歐盟《通用數(shù)據(jù)保護(hù)條例》第6條將合法性原則作為數(shù)據(jù)處理的首要原則。[25]我國《網(wǎng)絡(luò)安全法》第41條規(guī)定了網(wǎng)絡(luò)經(jīng)營者收集個人信息的合法性、合目的性、必要性原則，第42條規(guī)定了個人數(shù)據(jù)收集的安全保障原則、知情同意原則等，《民法典》第1035條規(guī)定了個人信息處理中的合法、正當(dāng)、必要及適度原則。上述原則為個人數(shù)據(jù)處理的合法性奠定規(guī)范依據(jù)，即違反上述原則所獲取的數(shù)據(jù)均為非法數(shù)據(jù)，不能成為企業(yè)數(shù)據(jù)權(quán)利的客體。
其次，對于非法數(shù)據(jù)權(quán)利的認(rèn)定不宜一律采用場景化的模式，應(yīng)當(dāng)由法律預(yù)先設(shè)定判斷標(biāo)準(zhǔn)，即利用“合法性”作為數(shù)據(jù)確權(quán)的基本依據(jù)，以明晰數(shù)據(jù)權(quán)利的合法性來源。有學(xué)者認(rèn)為，知情同意在大數(shù)據(jù)時代作為個人數(shù)據(jù)處理的正當(dāng)性基礎(chǔ)已不復(fù)存在，建議以場景化的判斷方法作為個人數(shù)據(jù)的處理是否符合數(shù)據(jù)主體授權(quán)目的之依據(jù)。[26]這一主張的主要意圖在于緩解個人數(shù)據(jù)使用中知情同意的壓力，即通過相同情景下的信息處理可不必再次經(jīng)過“同意”程序，緩解企業(yè)信息處理中二次同意的成本。值得注意的是，場景化的判斷方法最大的弊端在于，將其應(yīng)用于數(shù)據(jù)處理可能嚴(yán)重侵害數(shù)據(jù)主體的個人數(shù)據(jù)權(quán)利。因為基于相同情境下的數(shù)據(jù)處理行為數(shù)據(jù)主體未必會表示同意，其對數(shù)據(jù)主體的信息自決權(quán)益的侵害至為明顯。從數(shù)據(jù)權(quán)利的取得來看，應(yīng)當(dāng)以數(shù)據(jù)來源的合法性作為數(shù)據(jù)權(quán)利確權(quán)的判斷依據(jù)，場景化的判斷模式僅能在事后判斷之時提供相應(yīng)的輔助標(biāo)準(zhǔn)。根據(jù)我國《民法典》第1035條，個人數(shù)據(jù)處理應(yīng)符合合法、正當(dāng)、必要以及適度原則，即違反該原則所獲得的數(shù)據(jù)均為非法數(shù)據(jù)，不能成為數(shù)據(jù)權(quán)利的合法性來源，企業(yè)也不能因此取得對個人數(shù)據(jù)的合法權(quán)益。在判斷企業(yè)數(shù)據(jù)利用行為是否侵害了個人數(shù)據(jù)權(quán)利時，可以基于相同場景下無須獲得數(shù)據(jù)主體再次授權(quán)而認(rèn)定企業(yè)已經(jīng)合法取得數(shù)據(jù)權(quán)利。但此時，是否是基于相同場景的數(shù)據(jù)利用行為仍需結(jié)合數(shù)據(jù)處理原則進(jìn)行具體的判斷，而非一律認(rèn)為相同場景下的利用均為合法的數(shù)據(jù)使用行為。這種制度安排有利于保障和監(jiān)督企業(yè)的數(shù)據(jù)利用行為，也有利于平衡企業(yè)與個人之間的數(shù)據(jù)權(quán)利。
最后，數(shù)據(jù)企業(yè)是否盡到合理注意義務(wù)應(yīng)當(dāng)由個案中進(jìn)行具體的利益衡量，而非由法律預(yù)先作出詳盡的規(guī)定。企業(yè)數(shù)據(jù)權(quán)利來源的合法性主要取決于企業(yè)數(shù)據(jù)收集、利用、分析的過程中是否盡到合理的注意義務(wù)。這種注意義務(wù)顯然不能脫離數(shù)據(jù)收集和使用的具體場景抽象地加以判斷。收集更多和更為私密的個人數(shù)據(jù)意味著企業(yè)需要承擔(dān)更重的個人信息保護(hù)職責(zé)，這一定程度上體現(xiàn)為權(quán)利與義務(wù)對等原則。在數(shù)據(jù)使用的過程中，企業(yè)對個人數(shù)據(jù)的處理是否合法不僅取決于事前告知同意規(guī)則的合法性，還在一定程度上體現(xiàn)為數(shù)據(jù)處理過程中的正當(dāng)性和合理性，即個人數(shù)據(jù)的使用不能超越用戶可合理預(yù)見與可合理期待的范圍。這在我國《民法典》中具體體現(xiàn)為第1035條個人信息處理中“合法、正當(dāng)、必要”原則。
（二）對個人數(shù)據(jù)的權(quán)益內(nèi)容
對于合法收集的個人數(shù)據(jù)，數(shù)據(jù)企業(yè)雖然享有一定程度占有和使用權(quán)，但并不享有處分、收益等所有者權(quán)益，僅能享有一定程度的控制者權(quán)益，比如排除他人的非法占有、合理范圍內(nèi)的使用等，并且應(yīng)當(dāng)承擔(dān)相應(yīng)的安全保障義務(wù)。個人數(shù)據(jù)本質(zhì)上是有關(guān)自然人個人信息的數(shù)據(jù)，對其進(jìn)行收集、使用和處理將會對自然人的人格權(quán)益造成較大影響。世界上大多數(shù)國家或地區(qū)都對個人數(shù)據(jù)保護(hù)予以專門立法，以限制任意收集、使用和處理個人數(shù)據(jù)的行為。從權(quán)利義務(wù)的對等性來看，企業(yè)對于自然人提供免費(fèi)服務(wù)的目的在于收集和利用其個人信息數(shù)據(jù)，也就是說，個人數(shù)據(jù)的收集與使用并非完全無償，而是作為企業(yè)免費(fèi)服務(wù)的對價而存在。因此，作為個人數(shù)據(jù)收集者的企業(yè)，應(yīng)當(dāng)對其所收集的個人數(shù)據(jù)承擔(dān)相應(yīng)的安全保障義務(wù)。具體而言：
第一，數(shù)據(jù)控制者對于自己所收集的個人數(shù)據(jù)屬于有權(quán)占有，可以排除其他數(shù)據(jù)的企業(yè)的非法占有和使用。數(shù)據(jù)具有非獨占性的特點，一旦進(jìn)入流通領(lǐng)域便很難控制，這意味著個人數(shù)據(jù)也可能因此遭受風(fēng)險。目前，我國司法實踐中已經(jīng)出現(xiàn)多起利用爬蟲軟件非法抓取他人用戶平臺數(shù)據(jù)的案例。由于缺乏明確的法律依據(jù)，法院不得不通過《反不正當(dāng)競爭法》第2條加以保護(hù)，但這一路徑存在明顯弊端。一方面適用《反不正當(dāng)競爭法》需要二者之間存在明顯的競爭關(guān)系，也就是說在非競爭關(guān)系的第三方非法侵害企業(yè)數(shù)據(jù)權(quán)利的場合該條無法適用；另一方面競爭法屬于事后規(guī)范，即不能從損害預(yù)防與控制的角度對非法侵害行為予以規(guī)制。事實上，在瞬息萬變的網(wǎng)絡(luò)世界里，數(shù)據(jù)控制者是最有可能，甚至是唯一有可能在第一時間對非法侵害數(shù)據(jù)利益有所察覺的權(quán)利主體。因此，作為個人數(shù)據(jù)的合法占有者，賦予其對非法利用者以停止侵害、消除危險、損害賠償?shù)茸灾餍詸?quán)利，不但有利于防止惡意抓取他人數(shù)據(jù)的“搭便車”行為，也可以在客觀上監(jiān)控第三者對數(shù)據(jù)的利用是否合法。數(shù)據(jù)控制者雖然對其收集的個人數(shù)據(jù)難以享有所有權(quán)，但卻具有明顯的利益訴求，這主要表現(xiàn)在個人數(shù)據(jù)作為企業(yè)競爭力的來源，對于企業(yè)的營銷策略、經(jīng)營秘密、發(fā)展戰(zhàn)略等具有非常重要的意義。因此，賦予企業(yè)對其合法收集的個人數(shù)據(jù)一定的數(shù)據(jù)權(quán)益也符合企業(yè)自身的發(fā)展利益。
第二，“知情同意”作為個人數(shù)據(jù)收集、占有、控制和利用的合法性前提。正如學(xué)者所言，設(shè)置同意規(guī)則的根本目的在于保護(hù)個人對其數(shù)據(jù)的自決利益，以最大限度地捍衛(wèi)個人尊嚴(yán)和行動自由。[27]而在大數(shù)據(jù)時代，知情同意原則更加具有現(xiàn)實意義。這是因為“所有類型的個人數(shù)據(jù)處理和操作都可以在數(shù)據(jù)主體毫不知情的情況下進(jìn)行，這使得互聯(lián)網(wǎng)時代幾乎不可能不遭遇隱私侵犯的問題�！盵28]除此之外，大數(shù)據(jù)時代的個人數(shù)據(jù)處理還將遭遇數(shù)據(jù)主體“自我決定權(quán)”的危機(jī)。將知情同意作為個人數(shù)據(jù)收集的合法性前提，意味著未經(jīng)數(shù)據(jù)主體同意的個人數(shù)據(jù)處理行為均系違法行為，數(shù)據(jù)主體或數(shù)據(jù)控制者均有權(quán)要求非法占有或使用者予以刪除。從正當(dāng)性角度而言，數(shù)據(jù)主體排除非法占有的權(quán)利基礎(chǔ)在于個人數(shù)據(jù)的自決利益，而數(shù)據(jù)控制者的權(quán)利基礎(chǔ)在于其合法占有利益。一定程度上數(shù)據(jù)控制者對于非法的個人數(shù)據(jù)占有和使用更加容易察覺和控制，也更具有維護(hù)的內(nèi)在動力和可能性，這與大數(shù)據(jù)時代數(shù)據(jù)的利用價值直接相關(guān)。當(dāng)前圍繞用戶數(shù)據(jù)權(quán)利的爭奪表明，數(shù)據(jù)資源已經(jīng)儼然成為了企業(yè)的核心競爭力，對于數(shù)據(jù)質(zhì)量的保護(hù)也意味著對企業(yè)核心資產(chǎn)的維護(hù)。雖然把所有個人數(shù)據(jù)處理均建立在“知情同意”的框架之下，能夠體現(xiàn)出對數(shù)據(jù)主體自我決定利益的最大尊重。但在大數(shù)據(jù)時代，隨著數(shù)據(jù)處理技術(shù)的進(jìn)步，數(shù)據(jù)處理呈現(xiàn)出高頻次、自動化、專業(yè)化、場景化等顯著特征，要求每一次都經(jīng)過數(shù)據(jù)主體的知情同意程序，不僅會極大地增加企業(yè)的數(shù)據(jù)處理成本和使用效率，也難免對數(shù)據(jù)主體的正常生活造成侵?jǐn)_。由此，匿名化技術(shù)成為緩和個人數(shù)據(jù)權(quán)利與企業(yè)數(shù)據(jù)權(quán)益之間沖突的關(guān)鍵。
第三，匿名化作為個人數(shù)據(jù)處理無需經(jīng)由“知情同意”的例外。匿名化是指經(jīng)過一定技術(shù)處理之后，個人數(shù)據(jù)已經(jīng)不再具有識別或者可以識別特定個人的可能性。從理論上看，匿名化的個人數(shù)據(jù)已經(jīng)不能再追溯到特定的自然人主體，不再具有個人數(shù)據(jù)的法律屬性，因而對其利用也不再需要受到個人信息保護(hù)法的制約。但值得注意的是，匿名化只是一個相對的概念，隨著信息處理技術(shù)的進(jìn)步，已經(jīng)被匿名化的數(shù)據(jù)均有再次被識別的可能。正因如此，《德國聯(lián)邦數(shù)據(jù)保護(hù)條例》2017年修改時增設(shè)了匿名化的程度標(biāo)準(zhǔn)，即匿名化也包括識別“需要耗費(fèi)不成比例的時間、費(fèi)用和經(jīng)歷”的數(shù)據(jù)。與之不同的是，我國《網(wǎng)絡(luò)安全法》并未采納匿名化的程度標(biāo)準(zhǔn)，其第42條僅規(guī)定“網(wǎng)絡(luò)經(jīng)營者未經(jīng)被收集者同意，不得向他人提供個人信息，但是經(jīng)過處理無法識別特定個人且不能復(fù)原的除外�！边@一立法例與日本《個人信息保護(hù)法》第2條第9項非常相似，同樣采納了“不能識別”+“不能復(fù)原”的雙重標(biāo)準(zhǔn)。[29]但其中“無法識別”的標(biāo)準(zhǔn)因忽略了匿名的相對性而顯得過于嚴(yán)苛，恐怕將導(dǎo)致能夠認(rèn)定為匿名化的數(shù)據(jù)少之又少。“不能復(fù)原”又屬于技術(shù)標(biāo)準(zhǔn)，是否能夠復(fù)原并非個人數(shù)據(jù)的本質(zhì)屬性，不應(yīng)成為判斷是否履行了匿名義務(wù)的判斷標(biāo)準(zhǔn)。從合理性的角度而言，匿名化的標(biāo)準(zhǔn)應(yīng)在于企業(yè)是否履行了法律意義上的匿名化義務(wù)，即在通常的條件下該數(shù)據(jù)已經(jīng)不能再識別為特定的自然人主體。因此，我國《網(wǎng)絡(luò)安全法》中的“無法識別”應(yīng)當(dāng)理解為通常技術(shù)條件下的無法識別，“不能復(fù)原”應(yīng)當(dāng)解釋為不能復(fù)原為直接可識別的個人數(shù)據(jù)。