数据交易法律规制基本原则的构建：反思与进路*

徐玖玖

0 引言

信息技术的发展促进万物互联的形成，人类社会迈入“Web 3.0”时代。数据呈现出爆发式增长，信息社会的未来必然要突破数据孤岛，探索数据之间的联系。数据的流通既是数据再利用的形式，也是数据有效利用的前提和条件。党的十九届四中全会首次提出数据为独立的生产要素，要求“健全劳动、资本、土地、知识、技术、管理、数据等生产要素由市场评价贡献、按贡献决定报酬的机制”。2020年4月9日，中共中央、国务院印发《关于构建更加完善的要素市场化配置体制机制的意见》，明确提出“加快培育数据要素市场”，包括推进政府数据开放共享，提升社会数据资源价值，加强数据资源整合和安全保护。2020年5月11日，《中共中央 国务院关于新时代加快完善社会主义市场经济体制的意见》印发，进一步提出“建立数据资源清单管理机制，完善数据权属界定、开放共享、交易流通等标准和措施，发挥社会数据资源价值。”这一顶层制度的导向充分体现了互联网大数据时代的特征，数据要素优化配置成为数据经济发展的关键环节。2020年6月28日，第十三届全国人大常委会第二十次会议初次审议《数据安全法(草案)》，这是我国首次将数据治理以法律文本的形式进行明确的政策要求，为数据要素提供了基础性的制度支撑，同时承载着数据安全与发展利用的双重任务。其中，《数据安全法(草案)》第一条就将“促进数据开发利用”作为该法的立法目的之一；第十七条规定“国家建立健全数据交易管理制度，规范数据交易行为，培育数据交易市场”。但是，草案的相关规定过于笼统，没有呈现具体内容，仍需要不断建立健全基本规则，明确制度目的、实施主体、实施机制、法律责任等内容，形成较为全面和成熟的制度。2020年10月，中共中央办公厅、国务院办公厅印发了《深圳建设中国特色社会主义先行示范区综合改革试点实施方案(2020－2025年)》，明确提出：“加快培育数据要素市场。率先完善数据产权制度，探索数据产权保护和利用新机制，建立数据隐私保护制度。试点推进政府数据开放共享。支持建设粤港澳大湾区数据平台，研究论证设立数据交易市场或依托现有交易场所开展数据交易。”数据交易作为数据利用环节中最为核心和关键的市场活动，是数据利用行为的终端呈现。一系列围绕数据要素激活和优化配置的政策文件紧锣密鼓出台，可见构建和完善数据交易法制，激活数据的内在活力，兼顾技术创新和制度弹性，在有效规范数据市场行为的同时为产业发展预留空间，是当前亟须回答的一项现实而重要的课题。而数据交易法律规制的基本原则构建，应是研究的首要问题。

1 数据交易法律规制基本原则的探索与反思

1.1 数据交易法律规制的理论探索和立法实践

美籍奥地利逻辑学家、数学家克尔特·哥德尔(Kurt Gödel)提出哥德尔不完备定理，认为“任何一个足够强的一致公设系统，必定是不完备的”，复杂系统的完备性与无矛盾性不可兼得。在立法活动中这一定理的适用表现为，成文法往往无法形成完备、严密的规则体系以调整所有形态的社会矛盾。为了缓解无矛盾性与完备性之间的悖论，立法者往往在法律规则之外引入抽象的法律原则与不确定的法律概念，以提高法律的适用性。因此，基本原则作为贯穿于整个数据交易法律规制体系的根本性规则[1]，既是立法者出于立法有限性和滞后性的审思，也是为了弥补具体规则在裁判活动中可能出现的漏洞。通过给予适当的原则设置来周延法律的调整范围，是立法者意图和法律期望的集中体现。

学界对于数据法制基本原则的探索由来已久。周汉华提出，个人信息保护需要遵守合法原则、权利保护原则、利益平衡原则、信息质量原则、信息安全原则、职业义务原则、救济原则[2]。齐爱民支持信息自决原则、目的明确原则、安全原则，其中信息自决原则包括直接收集原则、信息品质原则和公开原则等[3]。张新宝等认为，个人信息保护应当坚守合法性原则、个人参与原则、公开透明原则、知情原则、同意原则、目的明确原则、目的限定原则、信息质量原则、信息安全原则、个人敏感信息特别保护原则、未成年人个人信息特别保护原则[4]。

立法实践对于数据法制基本原则的观点各不相同。欧盟的GDPR(General Data Protection Regulation，《通用数据保护条例》)规定了合法公平透明原则、目的限定原则、数据最小化原则、准确原则、有限留存原则、完整机密原则以及责任原则。2013年修订的《消费者权益保护法》第二十九条的规定首先提出了合法原则、正当原则和必要原则。我国《网络安全法》四十一条提出了合法、正当、必要的原则，以及明示原则、同意原则、目的明确原则。《民法典》第一千零三十五条主要采用合法、正当、必要以及不得过度处理的原则。值得关注的是，2020年10月21日，全国人大法工委公开就《个人信息保护法(草案)》征求意见，草案确立了个人信息处理应遵循的原则，强调处理个人信息应当采用合法、正当的方式，具有明确、合理的目的，限于实现处理目的的最小范围，公开处理规则，保证信息准确，采取安全保护措施等，并将上述原则贯穿于个人信息处理的全过程、各环节[5]。由此可以看出，《个人信息保护法(草案)》整体上沿袭了《民法典》《网络安全法》的数据法制基本原则。

1.2 数据交易法律规制基本原则的反思与突破

从理论学说和立法实践来看，传统数据交易的法律规制主要基于个人信息的法律保护制度，因此通常表述为合法、正当、必要、有限利用、完整正确等基本原则。这些基本原则之间的区别在于，《民法典》主要针对个人信息的“处理”行为，而《消费者权益保护法》《网络安全法》则是规制个人信息的“收集、使用”行为。特定法律的基本原则受制于该法的主要立法目标，《民法典》《消费者权益保护法》中个人信息保护的基本原则旨在保护公民的合法权益，而《网络安全法》的法旨始终围绕着安全保障。因此，如果将这些基本原则简单、机械地完全搬移到数据交易场景中，而不进行具体、深入的审思和再阐释，恐怕会出现规制的“偏差”，在一定程度上忽略数据交易活动所承载的权益保护和交易激励的双重价值目标。

从实践来看，诸如目的明确原则、有限利用原则、完整正确原则的有效性和可行性较低，而合法原则本身就是法律制度的基本要求。数据收集和交易的目的必然具有不确定性，而数据的用途亦具有动态性和变化性，网络时代的数据开发是海量信息技术活动，数据的收集、储存以及其后的挖掘、开发等二次利用，都具有高度的不确定性。数据经营者本身需要根据不断演化的信息技术、日益更替的商业模式以及瞬息万变的用户需求，不断调整企业的经营方向、产品和服务内容，这必然会涉及到数据收集和利用方式的变化和更替。因此，实践中许多企业考虑到未来数据利用可能产生的新需求，往往会通过在隐私政策中扩大列举数据的收集和使用目的，以涵盖一段时期内的数据需求。但是，这种过分扩张的使用目的，反而使目的明确原则、有限利用原则、完整正确原则、最小化原则形同虚设。数据资源具有重要价值，是企业收集数据的主要动机，在这一利益的驱动下，传统个人信息保护法中的基本原则，诸如必要性原则、最小化原则等在实践中被不断突破。事实上，企业不但收集业务活动所必须的数据，还会囤积无关的数据作为资源储备，或与其他需求方进行交易实现增收。

为此，应以利益均衡为基点，重新检视传统的数据交易法律规制基本原则，对其必要性和有效性进行反思，从权益保护和产业激励两个维度对应予保留和坚持的基本原则赋予新的阐释。可以将知情同意原则、责任和安全保护原则作为数据权益保护的两个基点，将区分规制原则、合理使用原则作为数据产业激励的两个基点，构建“保护-激励”双层维度的平衡性制度安排。

2 权利保护维度的数据交易法律规制基本原则构建

个人数据留存于公私领域的各个方面，人们参与社会经济生活形成各种法律关系，同时也在不断产生新的数据。这些数据包括个人的住址、生日、学历、工作、健康等内容，如果这些数据被毫无约束地收集、存储、使用和交易，个人的人格形象将无所遁形，人格尊严和隐私权益也将会面临极大的威胁。如果对数据交易中的权益，特别是人权的保护有所松动，将会产生法学在信息社会中新的现代性危机。因此，在数据交易的整个生命周期中，应当始终强调对于权益保护的重视，否则“人无自我、无人格、无尊严，所见之处皆是群我、他律为中心，将是一个不可想象的不安且无内心世界的社会”[6]。

2.1 知情同意原则：质疑与破局

2.1.1 知情同意原则的再审视

有观点认为知情同意仍然是个人信息保护的正确路径[7]，违反同意原则收集和利用个人数据属于非法收集和利用行为[8]。但是，知情同意原则在互联网场景中开始面临越来越大的争议。有观点认为，同意机制本身存在着局限性，由于用户有限理性、技术壁垒以及信息不对称等因素，知情同意机制事实上已经失效，法律规制工具从信息收集需要个人许可开始向数据管理者的义务承担转向[9]。甚至有学者认为，考虑到数据使用的不可避免性，应当越过知情同意这一失效的中间机制，重视对个人数据利用环节的控制，使数据的利用更符合用户的隐私偏好和期待[10]。但在现实中，通过知情同意原则实现数据权利的保护这一方式所面临的问题不仅仅是有效性的困局，似乎更多是一种落实的“有意”缺位。北京大学互联网法律中心曾对79项共计17类互联网应用产品中的个人信息保护政策进行测评，发现较为完善的隐私政策或个人信息保护政策所列举的信息至少包括设备信息、日志信息、位置信息、应用程序编号、本地存储、cookie和类似技术等内容[11]。但值得注意的是，实践中的隐私政策或协议往往对所有类型的数据一并收集，并没有对必须经用户同意后方能收集使用的数据以及可自动获取的数据进行分类约定。虽然有一些互联网产品在协议中为用户拒绝数据的收集提供了一定的选择空间，但是可选择的数据类型主要集中在cookie、本地存储、地理位置、通讯录、相册和摄像头等方面，与取得授权获取的数据范围相比过于狭窄，并未在实质意义上为用户提供真正可以选择(拒绝或同意)的有效途径[12]。

因此，对于知情同意原则的思辨应从两个角度展开分析。一方面，承认其在数据活动中存在的局限性；另一方面，作为数据主体最基础的人权保护制度，应当通过寻求新的阐释以使其适应新的经济社会条件，而非一味地否定。对于知情同意原则的认知，没有必要在“完全知情且自由”与“完全不知情且不自由”两个极端之间进行二元抉择。实际情况往往是人们并不能泾渭分明地界定完全知情、完全自由的情形，而是游走在两个极端之间的中间地带，法律所能做的是促进数据主体趋向或无限趋近知情和自由的端点。

第一，否定知情同意原则将会带来无法预期的严重后果。数据主体在数据保护中的核心地位是不能否认的。如果个人完全失去对自身数据处理活动的控制，会加剧个人数据侵权的失控状态。洛克认为，同意是政治权力合法性的一个核心因素，具象为自我决定、自我意识、自我支配的能力和权利，即同意是人之权利的证明和彰显[13]。人应是自己的主人，同时亦是自身和自身行动或劳动的所有者[14]。在传统隐私法的观念中，人应当是自身隐私领域绝对的权威(authority)，可以自由决定是否允许他人进入这一领域、如何进入、何时进入以及进入的范围[15]。进入互联网时代，信息技术条件下这一权利被解读为个人控制、利用自身数据的权利[16]。因此，同意不仅仅是一种形式意义上的程序，而且还是实质意义上的权利。只要数据交易法制的逻辑起点构建于尊重人权基础之上，同意原则就必然要扮演着核心的角色。其次，从利益均衡的角度而言，移除同意原则在数据法制中的位置，是将个人排除在数据价值分配的序列之外，对于个人而言只能被动地交付数据而无法享受数据利用所带来的收益，这会进一步加剧数据主体与数据经营者之间利益的不平等程度。最后，即便是基于场景极其细化的合理利用也无法取代数据主体的知情同意。因为同意形成于数据活动生命周期之始，而合理利用已然打开了“潘多拉的魔盒”，数据侵权后果的不可逆性使两者无法互相取代。

第二，破除知情同意原则的实践困境，需要的是对原则内涵的再阐释，而非否定。学者们对于知情同意的批判主要基于当下缺乏能够保障同意有效性和真实性的客观条件和主观能力的现实，但是知情同意原则并非完全是绝对意义上的无法实现。同意有效性和真实性的瑕疵可以通过制度规则的设置进行强化和补正。法律本身就不应当苛求每一个公民都对数据活动拥有足够的专业知识和议价能力，甚至通过不断强化和完善自然人的理性条件而达致跨越技术壁垒和信息不对称条件的程度。法律应将数据活动经标准化后纳入法治框架，使更多公民能够了解、使用和运用数据交易活动的规则。在法治的框架中，企业专注于自身行为“如何”符合法律规定的要求和标准，而数据主体无需确知这些细节，只需要了解企业的数据活动是否合法，做出“符合”或“不符合”的简单二元判断即可。

第三，以数据主体与数据经营者普遍存在的格式合同否认数据主体意思自治的实现，其本质是一种逻辑的谬误。有观点认为，数据主体和数据经营者之间的合同往往以格式化的形式呈现，通过用户点击“已阅读且同意”来完成法律所要求的知情同意程序。数据主体可能根本就没有注意到其中关于自身数据权益保护方面的条款，或者说，即便竭力谨慎地详细阅读也不具备彻底掌握、了解进而自主选择的能力。这种格式合同使知情同意本身实际上已经丧失真实性，沦为数据主体为了接受服务不得不做出的退让，并不是其对自身数据权利的真实主张。合同法设计格式条款是出于方便经济活动、减少交易成本的考虑，网络服务提供者也不可能与每一个用户签订个性化的服务合同。因此，隐私协议中采取格式条款是具有客观必要性的。这种质疑的意义在于，数据主体在数据获取环节有限的意思表达开始受到关注，但是从法律价值角度而言，正是由于数据主体有限理性的存在，其数据权益亦更容易受到侵害，因而才更需要通过知情同意原则对作为强势一方的数据处理者，课以获取数据主体同意的法定义务。

第四，成本效益的经济考量不能违背权利保护原则。有观点从数据处理者的角度出发，强调其对数据的处理和加工所付出的劳动和智力。但是，成本效益的经济考量仅能从正面证明数据处理者对于数据产品或服务享有一定财产权益的正当性，不能从反面证明个人就必须丧失对原数据的自由决定权。从这一角度论证取消同意机制，本质上是以一方当事人对交易标的的利益诉求，来剥夺另一方当事人对交易标的的权利，其本身就具有不合理之处。如果数据处理者可以未经原权利人的同意就获取、处理和利用数据，那就是数据交易领域的强制交易行为。成本效益分析是法律制度选择需要考量的重要因素，但并非是唯一标尺，在人格尊严的价值序列上，对于成本效益分析范式的应用要更为审慎，避免落入功利主义的窠臼。对于数据经营者而言，取得数据主体的同意虽然增加了交易前获取环节的成本，但也相应降低了交易后出现合规方面纠纷的可能性，避免了数据利用过程中的损害赔偿等风险。

综上，知情同意原则的制度困境是伴随着传统隐私权进入信息社会互联网情境中的失控所产生的，源于传统规制工具与现代社会技术变革所带来的全新规制环境之间的不适应，以及对于多元利益价值无法回应的缺陷。因此从规范层面而言，同意机制仍然是数据交易合法性的必要基础，是个人数据在信息时代的“避风港”，是“应该加强而非削弱同意的角色”[17]。对知情同意原则的否认则过于强调其局限性，而忽视了其意义所在。即，知情同意原则需要的不是彻底的否定和推翻，而是在此基础之上作为补充和例外的平衡性制度安排。

2.1.2 数据交易中知情同意原则的破局路径

第一，知情同意原则应当与区分规制原则相衔接。知情同意原则需要回归客体的特殊性，而不应当脱离具体的数据类型进行讨论，否则会陷入非此即彼的极端讨论之中。数据交易法制本身就是在数据主体权利保护与数据利用之间(保持)利益均衡的结果，对于知情同意原则的选择和适用也应当体现这一思想。如果完全取消该原则，还能以何来对抗数字社会对个人数据安全和隐私保护的冲击。愈是在隐私无处躲藏的互联网时代，对于数据隐私的保护就愈加可贵。但是，如果贯彻绝对化的知情同意原则，也会对数据产业的发展形成桎梏，丧失数据利用给人们在社会经济文化生活各个方面带来的便利和收益。

未来数据交易的立法应当根据不同数据的人格价值和重要性，设置不同程度的同意条件，寻求一种相对的、可预见的、具有可行性的个人数据重要程度划分标准。对主体具有重大的、不可逆转利益的相关数据，必须设置更高、更严格的同意条件[18]。例如，德国针对数据所涉及人格领域的程度，给予不同强度的法律保护[19]。对于敏感数据不但要继续适用知情同意原则，而且还要强化该原则的要求，进一步加强消费者的控制能力。同时，对于同意有效性较高的数据，在同意的获取过程中，需要从数据经营者的角度辅以相应的义务来提高数据主体的控制力。根据知情同意原则的要求，为了完善有效同意的知情条件和自由选择条件，数据经营者应当明确告知数据主体数据获取的方式、内容、范围以及数据使用的目的、方式以及可能的后果等内容；给予数据主体充分、足够和有效的回应途径(主要包括同意、部分同意以及拒绝三种)；对于涉及特殊主体的数据应当提升同意的合规要求，如对于未成年人数据的收集、处理和使用，不能仅仅依靠未成年本人的同意，还必须获得其法定监护人的明示同意。

第二，进一步丰富数据主体的选择权，丰富“同意”的行使方式。用户在个人数据设置上的选择权非常有限，大量应用产品的用户服务隐私协议只能在“接受”和“拒绝”之间选择。面对产品提供者制定的隐私政策，用户实际上普遍缺乏选择权利。因此，对于个人信息选择权的制度设计，可以从以下方面丰富数据主体的选择权：对于敏感的个人数据等限制或禁止交易的数据类型，采取“选择加入”的同意规则(opt-in consent)；对于非敏感个人数据或法定的可交易数据类型，采取“选择退出”的同意规则(optout consent)。并且，选择权的内容不应仅设有全部同意或全部否定的二元选择，而是将数据的获取、处理和使用根据不同的阶段和环节加以细化和区分，允许用户对数据流通中的具体部分选择是否同意。

第三，以基于差异化的合理满足，平衡数据经营者的利益需求。借鉴《2018年加州消费者隐私法案》 (California Consumer Protection Act，CCPA)的立法模式，可以从两个方面平衡数据经营者的利益需求，以达到激励交易和推动数据市场发展的目标。一是差异化的知情同意原则要求。对于未成年人数据等特殊类型数据以及高度敏感性数据，在收集、处理和交易相关数据之前必须获得数据主体的明确同意，采取“optin”模式；对于其他数据则采取“opt-out”模式，即除非数据主体拒绝或退出，否则数据经营者可以继续收集或处理其个人数据，以鼓励更多数据经营者进入市场。二是差异化的交易费用机制。数据主体行使权利，拒绝数据经营者在部分数据领域的收集、处理或使用行为，数据经营者不得对这些消费者进行歧视对待。但是，如果数据主体同意的范围与消费者数据所提供的价值直接相关，则数据经营者还可以向消费者提供不同价格、不同费率、不同品质的商品或服务。以此，在维护数据主体选择权和用户公平对待权的基础上尽量保留市场弹性，给予数据经营者谋求利润的合理需求空间，并允许企业探索其他可行的收费模式。

2.2 责任和安全保护原则

2.2.1 安全保护原则是责任原则的目的

在一个文明社会里，其法律都会遵照基本的普适性原则，包括安全、公正、效率等。在这些原则中，安全应当是法律的基础性价值。但是，对于“安全”的价值，不应当仅仅从数据安全的角度进行解读，而是应当从交易角度、生活角度等多个层面进行多维度的审视。数据安全原则在交易活动中尤为重要，贯穿数据交易行为的始终。霍布斯曾说：“保护生活、财产和契约的安全，构成了法律有序化的最为重要的任务。”[20]数据交易本质上仍然属于商事交易的一种类型，而交易安全是商事活动中法律追求的终极价值。数据的安全保障在我国网络信息立法实践中并不鲜见，例如《网络安全法》提出建立数据安全保障制度，《证券法》提出完善的数据安全保护措施，《测绘法》提出建立地理信息安全管理制度和技术防控体系，《计算机系统安全保护条例》《计算机信息网络国际联网安全保护管理办法》等均明确规定了计算机系统以及信息网络的安全保护。但是，这些法律法规一般意义上通常都针对数据存储的安全要求，并未谈及数据交易领域的安全内涵。

数据交易安全保障原则包括物理和法律两个层面的内涵。物理意义上的数据安全，是指数据应得到充足的安全保护，以免遭受泄露、灭失、篡改和未经授权使用等，包括各种物理保护措施、组织保护措施以及计算机系统保护措施。法律意义上的数据安全，包括静态安全和动态安全。静态安全强调权利归属利益的确定，是指不同主体之间的法益分配状态。从权利义务角度而言，静态安全是交易行为的权利合法性基础，是民事权利的界限，决定着权利的归属。在数据交易领域，数据交易的静态安全是指权属层面的稳定状态，即数据自身权利状态的稳定，包括数据应当具备保密性、完整性以及合法性。保密性要求数据收集主体在主观上不能故意或者过失泄露数据，在客观上应当为数据收集和存储的安全提供足够的技术保障。对于数据泄露中存在故意或者过失的应当通过责任机制予以追究，对于技术问题导致的数据泄露应当通过技术标准和准入条件进行防范。完整性要求数据本身具有真实性，在收集的过程中不会被篡改、拦截或者伪造。合法性的核心问题就是数据的所有权明确，这是数据交易合规性的基础和前提。动态安全以利益流转为保护对象，有学者将其称为“交易的安全”[21]。动态安全是数据流转中的安全，在数据交易领域具体表现为买卖双方的数据交易行为具有合法性和有效性，不存在法定的无效或可撤销情形。动态安全的核心问题是数据权属的合法、明确，包括交易前的缔约过程、交易中的交易行为以及交易后的后合同义务阶段，确保买卖双方以及相关利益第三人均不会对数据权利的流转存在争议。

2.2.2 责任原则是安全保护原则的基点

互联网时代万物互联，人和人之间、人与物之间、人与机构之间的信息粘连度较高，数据处理从收集开始就面临着是否会关涉第三方数据的问题。人的行为具有社会性，因此诸如通讯录、电话往来、聊天记录等数据中充斥着大量第三方的个人信息。传统规制框架侧重于约束与用户直接关联的企业，却无法约束大数据时代普遍存在的数据流传和二级利用中涉及的多元第三方企业。诸如美国CCPA等在立法中开始突出责任原则，对企业课以培训、审计、风险分析等多项责任。例如，该法案要求企业应当根据自身状况进行相应的人员培训、外部审计、技术架构设计等，并确保有合作关系的第三方能够遵守企业自身的用户信息保护规定；对于第三方企业监管缺失的状况，规定以隐私风险分析为工具确定相应主体的责任，使所有与信息处理相关的企业都统一适用隐私风险分析的标准。

数据粘连所产生的风险主要表现为，数据是否会因“此次”的同意行为而被数据经营者提供给第三方主体，或者因捆绑于他人的数据而事实上已被收集。较为典型的有如下几种情形：用户甲将自身的通讯录上传至某网络服务提供商的服务器上，应当认为该网络服务提供商获取用户甲通讯录上的所有姓名及联系方式等信息，只能服务于用户甲个人存储和管理的需要，不得基于经营目的处理、加工用户甲之外该通讯录上第三方未经授权的信息，亦不得利用用户甲的数据对通讯录上的第三方开展商品营销或者其他服务。在现实操作中，许多数据经营者(如网络服务提供商)会选择与第三方主体签订保密协议，或者在协议中专门设置保密条款，作为其为用户数据保密尽到合理注意义务的表现，试图以此为自身在侵权发生时得以向消费者主张免责。但是，合同具有相对性，数据经营者和第三方主体之间的保密约定无法成为其对消费者造成损害的免责事由。在这样的背景下，数据经营者需要对第三方主体的数据存储、使用情况承担责任。另外，数据经营者可能会援引双方之间属于数据合作或分享，并未存在金钱给付情形，作为减轻或免除自身责任的事由。从利益理论的角度而言，有对价就应当视为交易，无论对价是金钱给付还是数据给付，数据控制者均需要对第三方主体行为尽到合理注意的义务。

第一，将数据安全保障原则的落实措施作为尽职调查的重要内容。当数据控制者将数据交付或托管给第三方时，应当对第三方企业开展标准化的尽职调查，这对于大型数据库的授权和访问而言是非常必要的风险防范措施。调查内容主要包括总体上的信息安全安排是否妥当，是否有安全事故报告制度、是否有书面的数据安全政策、是否有高度保密数据的传输和存储政策，以及这些数据安全安排的更新和评估情况。同时，对第三方开展隐私风险评估，明确其数据利用目的、数据分析能力、数据匿名技术策略等。

第二，通过详细的数据安全约定以补强法定义务。数据交易合同是交易行为的基础，也是双方权利义务的范围。但是，实践中数据交易合同针对数据安全的约定条款较少，往往仅以一条保密条款进行简略规定。数据交易合同应当增强对数据安全约定的表述，通过关键性数据安全条款实现数据安全保障的目的，限制和明确相关责任。

第三，确定特定的以数据安全为核心的合同附件。针对高度保密的数据交易合作，数据控制者通过与第三方在合同中明确数据安全规定的附件，对第三方在处理或存储过程中加密和访问控制技术的使用、相关软件硬件的配置等进行具体约定，将企业在数据使用、技术条件、匿名化承诺、存储安全、数据处置等方面的安全需求预期进一步细化。

3 产业激励维度的数据交易法律规制基本原则构建

权益保护并非意味着效率激励就无足轻重。从国外立法实践来看，美国在数据法制中更注重对数据的利用，在规则设计上更多考量经营者的利益诉求；而欧盟则更注重对数据的保护，在制度设计中强调以人权保护为规范的逻辑起点，以实现权利保护。立法例的不同进路具有多方面的原因，即使在欧盟地区，也同样承认数据利用的合理性。数据法制的目的是在数据主体、数据利用者、社会之间形成一种平衡性的法律框架，使利益趋向更大可能的博弈均衡。

3.1 区分规制原则

区分规制应当是贯穿数据法制整个规范体系的原则性内容。如果将数据简单地分为个人数据、商业数据以及政务数据，可以发现个人数据的核心内容是对于个人隐私的保护，商务数据关注的是对于商业秘密以及数据竞争的规制，政务数据的重点在于国家安全的维护和信息公开的实现。进一步剖析这些数据事实与既有法律制度之间的衔接与适用可以发现，并非所有类型的数据都处于无法可依的规制困境，而是一些类型的数据处于立法空白的状态，一些类型的数据有法可依但无法进行有效调整，一些类型的数据能够通过其他部门法的解释或类推适用得到解决。在这样的前提下对现行立法进行梳理可以探知，涉及商业秘密的商业数据可通过市场秩序法进行规制，涉及信息公开的政务数据已有《政府信息公开条例》作为初步的规则体系，涉及国家安全的政务数据在现有的法律体系中亦有《网络安全法》等法律规范，唯有与公民权益最为关切的个人数据尚无一个相对体系化的制度。

3.1.1 规制意义上的数据类型化标准

互联网时代数据的流通具有必然性，但是如果不加区分地把所有个人数据都视为涉及隐私的敏感数据实行严格的限制，可能会忽视其他数据对社会生活、企业经济发展所带来的价值和利益。从立法例的多数选择来看，主要存在敏感性和识别性两种分类标准。

第一，敏感性标准。敏感数据的划分在实际操作中需要大量主观层面的判断，不同主体对数据是否敏感的认定存在较大差异。国外虽然有许多对敏感信息的范围进行列举式规定的立法例尝试，但仍然难以实现范围上的周延，因此往往在列举较为典型的敏感信息之后再以兜底规定予以周全。列举式规定本身存在不周延性，在客观上会直接导致范围的不确定，而兜底规定虽然作为一种补充，但是在判断上又会回归主观感受的认定标准。为避免触碰法律的红线，数据收集者在获取法律明确列举为敏感数据以外的其他数据时，仍然需要对其是否属于敏感数据进行个别判断，增加数据的收集成本。另外，非敏感数据若未经数据主体同意而径自收集，会导致法律难以规范个人数据收集行为的目的。虽然个人数据保护的根本目的在于隐私保护的需要，但是敏感数据和隐私信息二者之间并不完全等同，并非所有的敏感数据都是隐私信息，并非所有的非敏感数据都不属于隐私信息，个人数据是否敏感不能仅仅依据其是否触及隐私而确定[22]。如果机械地将数据划分为敏感数据和非敏感数据，对于后者可未经权利人同意就能获取、使用和交易，也会对个人隐私权的保护带来风险，特别是对于那些虽然为非敏感数据但仍然属于隐私信息的个人数据。因此，这种认定方式无异于从一刀切式地要求收集者获取数据主体的同意，演变为一刀切式地划分敏感数据和非敏感数据，在此基础上机械性地对于前者课以获取同意的义务，对于后者放任获取。如此的区分理论在实际层面并不见得有明显的制度先进之处。

第二，识别性标准。我国学界普遍认同身份识别标准的区分方式，但对于“身份”“识别”等概念的具体内涵并未形成共识。通过对司法裁判中涉及个人信息的案件进行检索分析可以发现，识别性标准并非实践中常用的法律工具，绝大多数案件在判决中都没有直接提及身份识别的认定问题，而是简单地给予判定的结果，并未对此做出详细的论证。截至2019 年3 月1 日，在“中国裁判文书网”上检索援引个人信息刑事案件司法解释“法释[2014]11号”第十二条的判决书，共找到22份，其中所涉个人信息的类型主要包括姓名、身份证号码、银行卡及密码、电话及通讯记录、地址、车牌号码、房产信息、交易信息、交通信息等。通过对这22份判决书具体内容的分析可以发现，这些判决书并未从司法裁判视角对身份识别性给予充分的描述，多为关于个人信息概念的引述，或者仅是涉案信息名称中包含的识别而已。

因此，无论是敏感性标准还是识别性标准，都无法满足数据交易中多种数据类型的规制需要。数据的分类是明晰各类数据法律属性，进而确定数据权利属性的基础，即通过数据分类以区分不同的规制需要，从而建立有效的数据交易秩序体系。数据的分类要避免非此即彼的机械式判断，要对数据要素进行综合分析。

3.1.2 区分规制原则的具体内容

对于某一数据，如果仅采用直接识别作为判断标准，那么“个人数据”的范畴就过于狭窄，无法形成有效的保护；如果接受间接识别的标准，那么必然要面对数据之间的关联性问题。数据之间的相互关联，不仅有单个数据之间的联系，还存在单个数据与多个数据以及多个数据各自之间交叉纵横的关联，甚至间接关联到无穷尽的其他数据[23]。从技术角度而言，直接识别性数据的范围可以依托识别技术无限制地得以蔓延[24]。因此，区分规制原则的分类标准需要调和规范性与实用性，具体呈现为综合性、动态性和场景性。

(1)综合性。综合性是指在具体的分类上可以形成4个维度的认定影响因素：识别性(直接识别性、间接识别性、非识别性)、个体性(个体性、社会性)、敏感性(高敏感性、一般敏感性、非敏感性)、适当性(属于负面清单、不属于负面清单)。识别性因素是指该数据能够指向具体个人的难易程度，需要结合识别的成本、识别的难度、识别的技术条件进行综合考虑；个体性因素是指数据与个人的相关程度，某些数据虽然不具有识别性，但是带着强烈的个人特色，可以与其他数据相结合后指向特定的个人；敏感性因素是指数据与隐私的关联程度；适当性是指数据是否违反现行法律法规的相关规定，例如涉及国家秘密、商业秘密、知识产权保护等内容的数据通常属于负面清单的列举范围。缺乏适当性以及虽然具有适当性但在直接识别性、个体性、敏感性中包含两个或两个以上因素的数据，均属于禁止交易的数据类型；符合适当性，并在直接识别性、个体性、敏感性三者中仅包含其中一个的，属于限制交易的数据类型。

禁止交易和限制交易两种类型的数据都应当认定为与人格属性联系较为紧密，必须采取二元保护模式，同时课以义务保障其人格权益和财产权益；可经过匿名化处理后，通过风险级别的再识别与认定进行分类规制。同时，对这两类数据实行数据交易许可制度，交易主体必须获得销售许可后才能进入市场。对于适当性、间接识别性、社会性、非敏感性四者均满足的数据，其对于主体的人格权益基本不存在侵害，主要表现为财产权益的损害，因此课以财产权益的一元保护即可。针对该类数据，为了降低市场信息的不对称性，可以实行交易登记制度，鼓励更多市场主体通过交易登记更好地保护自身权益，降低数据主体与数据经营者、数据交易监管机构与数据经营者之间的信息不对称程度。

(2)动态性。有学者认为，应当区分直接个人信息和间接个人信息，对前者主张以财产规则进行保护，对后者则以责任规则和候补性合同规则进行保护[25]，并在责任体系中区分一般个人信息侵权行为和承担损害赔偿责任的侵权行为。其中，对于一般个人信息侵权行为，考虑到不存在财产损害要件，不应为此承担财产损害赔偿责任[26]。这些学者的观点和理论都为个人信息的分级规制提供了丰富的学理依据，但是这些研究主要采取二元化的分级标准，区分依据相对简单，恐无法回应数字经济社会中多样化数据形态在流通交易中的制度需求。区分规制并非是数据分类因素的静态划分，数据之间在识别性、个体性、敏感性、适当性等方面可能存在相互转化的情况，一些单独的、常规而言不具有强烈个人属性的数据也存在向个人敏感数据转化的可能性。正如张新宝教授所言，敏感信息是一个动态范围，应当结合当下的科技发展水平、社会发展动态等因素灵活修正其列举类型[27]。甚至，数据的某些分类因素还可以通过合意进行变更。美国也区分规制一般信息和敏感信息，在具体规定上各州存在区别。根据美国和欧盟的隐私安全港原则，对“选择权”问题的规定中，个人敏感信息包括医疗健康、人种种族、政治观点、宗教信仰、贸易组织的成员资格以及与性生活相关的个人信息。相较而言，美国不但注重隐私信息的保护，还将与个人经济关系相关的信息纳入敏感信息的范畴，对于这些信息的使用需要获得信息主体的明示，方能“为了诉讼、医疗，以及信息主体或其他主体的重要利益”进行使用。同时，美国法律允许当事人之间通过合意约定敏感信息的具体范围，在立法上对敏感信息的范围界定具有一定的弹性。

(3)场景性。数据区分规制原则的场景性，是指在3个维度的认定标准之上结合具体的场景进行审查，不能一味绝对化地进行缺乏科学性的抽象式预判，形成数据分类区分规制的阶梯性基础，此外，还需通过除外适用、合理使用以及场景因素的认定等规则予以修正。对于可能引发高风险的具体场景要素，加强数据经营者的信息披露，并为用户提供具有可操作性和便捷性的操作手段；从法律层面规定“合理使用”的场景要素，规范敏感信息认定的标准；加重数据经营者的风险控制义务，当经营者在信息处理的过程中发现可能产生超出用户同意范围的不合理使用或者可能会引发高风险问题时，应当就超出消费者合理期待部分的数据利用行为及其不利后果，以详细、明确的方式告知用户。

3.2 合理使用原则

合理使用概念的提出源于美国Folsom 诉Marsh一案，并在1976年美国《著作权法》中被法典化，发展至今已成为各国著作权法中主要的权利限制制度。著作权法中的合理使用是指在一定条件下使用受著作权法保护的作品，可以不经著作权人的许可，也不必向其支付报酬。信息时代的数据存在两种最为直接的利用价值，一是商业利用价值，二是公共管理价值[28]。传统的隐私权保护模式侧重于强调数据个人隐私权的保护，对于数据财产权向度的利用和交易问题思考较少。信息社会中数据法制不仅关注隐私权利保护问题，还应在数据的收集、处理、使用等方面提供适当的规制框架，以期使数据在受到保护的同时得到合理的开发和利用。2013年世界经济论坛发布的《发现个人数据的价值：从收集到使用》提出，个人数据的界定应当是动态的，要结合特定的情形，而不是对数据的形式做出预先判断。其中，需要考虑的因素包括数据类型、收集方式、安全条件、使用方式、交换条件等。有学者认为，GDPR对隐私保护过于严苛的数据监管制度，虽然初衷和导向是正确的，但是强制性的规定和合法原则(Rule of Per Se)的适用，实际上并不适合信息技术和数据市场的发展需要和竞争的激烈演进。从市场的角度考虑这一问题，合理原则(Rule of Reason)强调具体问题要具体分析，也许是一种更好的监管思路。即，同意原则是个人数据处理最为基本的正当性基础，除此之外，法律还应当给予其他正当利用情形以足够的空间，以促进数据的流通，降低数据交易成本。

合理使用原则是指在符合法定事由的限度和范围内，可以不经数据主体的同意即可收集、处理和使用数据。GDPR在立法中对用户同意的例外情形以“数据控制者的正当利益”作为自决权的权利限制，表现了GDPR为用户个人权利和数据经营者经济利益之间的利益均衡而做出的努力。该法在第六条“处理的合法性”中规定了同意之外的五种情形：一是为履行数据主体所参与的合同，或者是在合同确立前依数据主体的请求而进行的处理；二是数据控制者为了履行法律职责的需要；三是为保护数据主体或另一个自然人的核心利益；四是数据控制者为了公共利益或因官方权威要求而履行某项任务；五是对于数据控制者或第三方所追求的正当利益是必要的，但这种正当利益不得凌驾于数据主体的基本权利与自由之上，特别是儿童的基本权利与自由。虽然我国目前在立法中忽略了对数据控制者的权利保障，但在行业标准和司法裁判中已经开始逐渐肯定数据经营者在数据业务中享有的正当利益，在具体方式上通过合理使用原则予以肯定。我国行业标准《信息安全技术 个人信息安全规范》也尝试在用户同意的情况之外设置11 种例外情形。司法裁判方面，在新浪微博诉脉脉案中，北京市知识产权法院认为，企业对其付出劳动而获得的数据应当享有合法权利，数据对企业而言已经成为一种商业资本，是经营者重要的竞争优势和商业资源，新浪微博可以就脉脉未按约定、未获授权、无正当理由使用其平台相关数据资源的行为主张合法权益。虽然该案所确立的三重授权原则在更加复杂的数据交易场景中，其适用性将面临更大的挑战，但是确认数据为企业商业资本的存在形态，从市场的竞争能力、竞争资源等角度重新检视数据资源的意义，并基于此形成合理的数据经营者权利体系，是合理使用原则在具体实践中得以落实必须面临的基本问题。

值得注意的是，合理使用原则需要避免以泛化的“创新”作为数据经营者降低或规避成本的理由。事实上，减少交易成本、激活数据产业仍然需要从科学监管的制度优化中寻求根本之道。创新被普遍认为是抑制个人数据权益、让利市场经营活动的“正当理由”。这一观点的逻辑在于，由于技术创新需要与人权保护需要之间存在着矛盾与冲突的张力，规制者在创新与人权二者中往往以公共利益为由，默许经营者可以不经同意或者降低同意的要件要求，以满足经营者采集、处理个人数据的需要。作为对价，这种“放任”也会在一定程度上加重了数据侵权行为的发生频率和严重程度。但是，创新与个人数据保护之间是否真的存在不可调和的矛盾，是值得进一步商榷的。实际上，对创新的限制力量主要来源于政府的干预行为。私营部门的创新活动与个人数据的人权保护之间是私权与私权之间的利益均衡问题，更多体现为交易成本的变动。然而，交易成本的问题完全可以通过双方的充分博弈达致二者利益关系的均衡，在制度设计中可以以知情同意原则、合理使用制度等具体规范予以平衡，并非是完全无解的矛盾。以创新的公共利益之名来限制数据保护，却并未放松数据领域管制的强度和限度，本身就不是激励私营部门创新的根本途径。因此，创新与数据保护之间的利益矛盾，更应当从政府部门的角度寻求解决之道，将私营部门在数据市场上的活动与行为放归私权领域，促进不同利益主体之间均衡博弈的达成，扫清创新发展的制度障碍。

4 结语

总而言之，数据交易仍然是一个崭新、年轻但又宏大而复杂的议题。数据交易合法性的质疑主要来自对数据权利主体合法权益损害的担忧。因此，如何弥合数据权利保护和数据商业化利用中交易激励之间的冲突，是妥善解决这一忧虑的关键所在。面对数据交易带来的正面和负面的双重效应，法律究竟应该采取自由主义的观念不加干预，还是遵循威权主义的规制观念限制数据收集、使用和交易的能力，抑或在两个极端之间依托一个相对平衡的利益均衡基点寻求第三条道路。事实上，法律需要做的是在权利保护和效益促进之间寻求一个平衡点，在权利保护的基础上推动数据交易市场的发展和数据资源的自由流通，这也是中国现阶段实现数据法治必须面对的现实问题。