大数据时代的数据确权的法律思考与研究

2019年第02期    作者:文│周铭    阅读 11,689 次

在《中华人民共和国网络安全法》颁布、《信息安全技术个人信息安全规范》出台，有贵阳大数据交易所探索从2015年至今将近3年、百行征信2018年2月已设立等的实践，那么大数据作为国家战略，随着大数据产业的发展需要，其数据确权的必要性也应提上议程。

按照国家规划，到2020年，我国大数据相关产品和服务业务收入将突破1万亿元，年均复合增长率保持30%左右。目前我国加快5G、IPv6商用部署，数据总量有望在2020年前超过8000 EB，成为世界第一数据资源大国。如何激活海量数据资产，使其在有序流通中释放潜在价值,数据确权是摆在每个大数据应用及运营商、立法者以及法律实践者面前，也是国家大数据战略继续推进要解决的核心问题。

一、国家大数据战略

我国“十三五”规划已将大数据提升为国家战略，国务院《促进大数据发展行动纲要》、工信部《大数据产业发展规划（2016—2020年）》等相关政策相续出台。尤其2017年12月10日习近平总书记在中共中央政治局第二次集体学习时强调，要审时度势精心谋划超前布局，力争主动实施国家大数据战略，加快建设数字中国。

同时，习近平总书记强调，要切实保障国家数据安全。要加强关键信息基础设施安全保护，强化国家关键数据资源保护能力，增强数据安全预警和溯源能力。要加强政策、监管、法律的统筹协调，加快法规制度建设。要制定数据资源确权、开放、流通、交易相关制度，完善数据产权保护制度。

二、数据及数据资产

数据是无形的、电子化的个人或企业信息。数据具有财产属性，可作为资产的一种，亦称之为数据资产。但目前无论是《民法通则》、《民法总则》还是《网络安全法》等法律中都没有明确有关数据、数据资产及数据权利的相关规定。

数据确权的目的在于为数据共享、数据交易、数据资产估值做准备。目前数据主要来源于网络运营者的收集、存储、汇集。基于数据的电子化、易复制性及隐蔽性特点，其相对物权、知识产权的保护更加复杂。

三、数据确权

数据权利与知识产权是有所区别，根据王迁教授对知识产权的定义：“知识产权是对智力成果、商誉、其他特定相关客体所享有的权利，传统知识产权大致分为著作权、专利权、商标权，具有无形性、专有性、地域性和时间性。”相比之下，数据不具有专有性、地域性及时间性。其中，最关键的不具有专有性，数据一经采集，个人或企业即对其数据的使用、共享、加工缺乏知情权及选择权，也不存在事实意义上的停止使用或真正的删除数据。因而，数据确权才能更有效保护被收集者利益，包括财产利益。

那么参照知识产权著作权法相关的“额头流汗”规则，如网络运营者仅采取简单地收集、存储或汇集的方式，则智力性创作水平较低，不应赋予网络运营者相关权利，应规定上述数据的所有权及财产权利等权属归于个人所有。但如以个人或企业同意为前提而收集、存储或汇集的数据经过清洗或通过算法进行加工后得出的结论数据的权属，应根据情况进行判断，如果无法区分出个体特征的不应归属与个人；如果能区分出个体特征的仍应归属于个人，但个人不应拥有完全的权利。

大数据公司已掌握巨大的个人和企业的数据资源，限于网络安全法等相关法律规定，直接共享和交易个人数据信息的现象得到遏制，但大数据公司可能利用所掌握的个人数据资源进行征信或行为预测计算等目的，有些可能指向社会控制，有些用于精准营销，有些用于征信评估。无法区分出个体特征数据，往往用于趋势统计计算类，而需要保留个体特征数据可能更多用于征信、行为预测及精准营销等目的。

然而经过清洗或算法加工的数据已与基础数据不同，应根据与来源的关联紧密性以及是否用于营利性目的加以区别对待，如该数据用于非营利目的，则个人可享有相应的知情权、选择权，使用权、异议权。如该数据用于营利性目的，则个人还应视情况，除享有知情权、选择权，使用权、异议权，还应享有财产权利等。

四、数据确权与数据安全保护

根据《网络安全法》第七十六条（五）规定，个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。

根据《个人信息安全规范》规定个人信息包括姓名、出生日期、身份证件号码、个人生物识别信息、住址、通信通讯联系方式、通信记录和内容、账号密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息等；个人敏感信息包括个人敏感信息包括身份证件号码、个人生物识别信息、银行账号、通信记录和内容、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息、14岁以下（含）儿童的个人信息等信息数据，一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息。

可见上述法律法规还是从个人信息数据安全保护角度进行列举，但上述个人信息数据具有完全个人人身属性，与人身无法分离。因而，保护个人数据安全的角度与个人数据权属是一个问题的两个面，是社会与个人利益博弈的问题，在国内外都存在该问题的探讨。尤其是Facebook(脸书)泄密事件后，在个人有意或无意将个人信息提供给采集者或网络运营者后，网络运营者应有义务保障个人数据安全，不得用于非法目的。

数据确权后将更有利于保护个人数据安全，区分责任。从实践和理论上，完全阻止个人数据的收集已不现实，以数据安全的名义，限制数据共享及数据交易，有投鼠忌器的嫌疑，也不利于社会进步。法律的目的应是把桌面下的交易摆在桌面上。因此，制定有效可行的个人数据安全保护与数据确权相平衡的法律规定，将更有利于大数据的发展，这个问题早晚要得到解决的。

五、数据确权与数据银行（Data Bank）

数据银行（Data Bank）是指通过对数据贴上标签存入数据银行中，由数据银行进行使用、交易、共享，并认为数据即资产，所产生的利益应分配给数据原始提供人的数据资产库。

突破目前数据使用、交易及共享的法律和应用上的困境。数据银行的提出可有效解决数据确权问题，

第一，符合大数据的特性。单个人的个人数据其实对采集者,特别是大数据公司或网络平台公司没有太大的效用，但达到一定量级的数据汇集就能形成产生或放大价值效应。如过于保护个人数据，而忽视大数据价值效应，难免因噎废食。数据银行可作为保护个人数据使用、交易或共享的代言人。

第二，数据银行对数据使用、交易或共享行为进行追溯。如前所述，基于个人能力和技术有限，对于谁在使用，如何使用数据信息等问题都可以通过数据银行采集追溯系统如对数据加标签或区块链等技术手段解决。

第三，数据银行对个人数据及数据资产产生利益的存储及分配。数据银行可作为数据中枢机构负责大数据的存储、交易、共享及利益分配。如需要使用数据者可向数据银行进行申请或匹配，然后通过使用数据的数量、匹配的质量及使用的范围及目的向数据银行支付费用，数据银行根据相应规则将利益分配及换算到各个相应数据提供者个人账户下。相应的，数据采集者或网络运营商依法采集的数据可以申请数据银行入库，数据银行给予入库标签及相应的使用权限，如数据采集或网络运营商具有数据权属的，也可进行相应的利益分配。

第四，数据银行建设中探索在社会信用领域为企业和个人建立信用数据资产库。根据《征信业管理条例》的规定，征信业务是指对企业、个人的信用信息进行采集、整理、保存、加工，并向信息使用者提供的活动。根据《上海市社会信用条例》规定，社会信用是指具有完全民事行为能力的自然人、法人和非法人组织，在社会和经济活动中遵守法定义务或者履行约定义务的状态。社会信用信息，是指可用以识别、分析、判断信息主体守法、履约状况的客观数据和资料。

大数据运用是国家信用体系建设的基础，随着全国及各地信用大数据的采集、整理、保存和加工将会形成国家和地方的信用数据资产库，如百行征信未来在金融信贷数据的建设等，以及各地公共信用中心及市场信用中心建设等。数据银行可依托现有或未来将形成的信用数据资产库有所作为，当然前提是相关规则的确立和完善。

但无论何种方式，数据确权应是首要的，法律法规规范应形成数据方面的立体法律体系规范，可以边走边试，但不可停滞不前。应用方面应严格保护数据安全，尊重个人隐私，防止大规模数据泄密及非法数据使用和交易；防止数据垄断及滥用；特别是要防止像Facebook数据泄露，导致国家安全方面事故发生；采取非法的方式采集大数据进行信用或行为分析等。因而，数据确权后可以划分职责，明晰责任，共享利益，国家应加快数据确权的立法。

周铭

上海正策律师事务所律师，上海律协并购重组业务研究委员会委员。

业务方向：并购、金融资本及商事仲裁。