数据确权的困境与解决路径

常 欣 郭 宏

（1.北京大成（太原）律师事务所，山西 太原 030012；2.北京爱申律师事务所，北京 100089）

一、问题的缘起

如经济学家哈罗德· 德姆塞茨所言，产权的产生，本质上是一个成本收益权衡的过程，只有当通过界定产权，将外部性内部化的收益大于从事这一行为的成本时，产权才会产生。当面对数据确权这一问题时，则只有当确定数据产权的收益大于确定数据产权的成本时，数据才会有确权的经济基础。中国已明确将数据列为与劳动、资本、技术并列的生产要素，由此可见，在我国数据确权已经具有了一定的经济基础。此外，数据经济正蓬勃发展，伴随而来的便是如何利用数据，以及如何平衡数据利用与权利保护之间关系的问题。要解决这类问题，首先需要解决数据确权的问题，即界定数据权属。《中华人民共和国数据安全法》（以下简称《数据安全法》）的出台，为解决数据安全和权属问题提供了一些重要遵循，但是在实施过程中，仍有一些具体问题待进一步确认，特别是数据确权问题亟待解决。根据《数据安全法》的界定，“数据处理”覆盖了数据的全生命周期，包括数据的确权、收集、存储、使用、加工、传输、提供、公开等环节，不过对各个环节尚未有深入的处理细则。而在所有环节之中，数据确权可能是任务最艰巨的一环。

二、数据确权面临的困境

（一）数据确权需要在多方利益中权衡

数据确权主要用于处理以下三个基本问题：一是数据权利属性，给予数据哪种权利保护；二是数据权利主体，即享有数据上附着的利益的主体是谁；三是数据权利内容，数据主体享有哪些明确且具体的权能。数据权利属性、主体、内容的建设和配置，需从个体、社会以及国家多主体的角度进行权衡。在国家层面，数据确权应利于提升维护国家网络安全空间主权、提升大数据安全管控能力并强化国家关键数据资源保护能力；社会层面，数据确权应能有效引导、规范、提升大数据活动、推进大数据产业和数字经济发展且保障社会公共福利和社会公平正义；个体层面，数据确权能保障数据活动相关个体的合法权益及其数据隐私的安全性。故数据确权既需要保障国家网络空间主权的控制，也需保护社会企业的数据产业经济发展，还需保护个人的权益以及隐私安全。另外，在数据权利配置过程中，目前技术和法律制度很难解决“数据商业化利用与个人隐私保护之间的直接冲突”，因此数据确权在多方权益存在部分矛盾的情形下，如何既全面保障各主体权益，又不会贸然地损害一方利益，同时得以实现数据要素整体价值的最大化，这是目前数据确权需考虑的问题。［1］

（二）数据复杂属性致使其权利属性不明确

数据复杂的属性体现在特殊的自然属性和复杂的社会属性。数据具备无形性特征，其本质是一串符号，不以自然物质的形态呈现，与有形的物有本质区别。因此数据特殊的自然属性主要体现在其与传统法律客体的物不同，它的价值主要体现在其所携带信息的价值或者将信息进行处理加工后的价值而非其本身。数据的可复制性和复制成本极低，因而数据可进行无限复制的操作，但复制的操作不会减损数据所携带的信息与价值，也难以导致数据被原数据控制者控制的风险，这导致数据无法具备稀缺性和可控性的特性，因此数据与传统财产权客体具有本质的区别，难以适用传统的财产权制度对其予以合法保护。

数据同样具有复杂的社会属性，在两个方面得以体现。第一，数据法律属性不明确。我国《民法典》《反不当竞争法》等法律中均未明文规定数据的法律属性。所以数据规范层面的财产属性与权利属性均未得到释明，数据既不属于《民法典》中“物”的范畴，也无法寻求知识产权、债权等的保护。［2］第二，数据的社会属性较为复杂。数据的生产方式和生产关系导致了社会属性的复杂性。数据采集的主体是公共部门还是私有部门决定了数据具备公有性还是公共性；所收集的数据资料是否包含个人信息决定了其是否属于民法人格权保护的范围；数据为原始数据还是加工后形成的数据，决定了其在归属界定时是否需要考虑加工者在数据加工过程中所投入的必要劳动时间（价值）和生产资料的贡献，这些复杂的社会关系增加了数据权利的复杂性。

三、数据确权之路径构建

（一）明确数据财产属性和数据权利属性

明确数据财产属性与数据权利属性是数据确权的先决条件和基本内容。数据确权首先要做到明确数据到底具备哪种权利，如何建立数据保护的法律体系？如果存在数据权，应当以何种财产权制度对数据权进行保障？数据到底是物权，还是债权，又或者是知识产权等其他权利呢？［3］

目前，数据并未在我国财产权制度保护的范畴内。从我国财产权制度发展的角度来分析，财产权的范畴并未是僵化的，而是根据社会的发展需要进行不断更新丰富与调整。举例来说，知识产权与股权等权利的出现，使得国家制定相应的法律制度来对其进行调整，标志着我国以传统物权与债权为核心的财产权的范畴得以扩张。那么是否可以如法炮制，将数据归入至无形物的范畴，明确承认数据财产权，并建立完善与之相配套的一系列法律规范进行保护？

（二）确立数据确权划分机制

一是以数据主体分类为基准探索数据权属划分准则，推动解决企业无序竞争和用户个人信息保护问题。结合已有实践经验和各界共识情况，可以按照主体将数据划分为个人数据、企业数据和政务数据，在明确其概念范围的基础上尝试对数据权属作出规定。［4］例如对于个人数据，在《网络安全法》和《个人信息保护法（草案二次审议稿）》等立法中已有相关界定，其概念范围相对比较明确，因此，可以在立法中规定将个人数据的基本权利归属于个人。所谓政务数据是指国家政务部门在行使权力、履行职责的过程中获取的、制作的，并以特定形式记载、保存的一些数据、文件、资料、图表等多种类信息资源。相比个人数据和企业数据，其主要利用国家资源进行采集管理，具有明显的公共产品属性，因此可以考虑将其权属归为国家或集体所有。

二是赋予用户个人更多的数据控制权利。数据确权要解决企业、用户、国家等主体之间的权利关系，最核心的目的还是要实现对“人”的保护以及对“人”的权利的维护。因此，要在法律中赋予用户个人更多的数据权利，提升个人在数据产权中的地位和话语权，例如，可在相关立法中进一步规定个人的“数据可携带权”。

三是按照数据分类结合主体分类对数据权属进行界定，即底层直接数据产权属于个人，集合数据中的使用权属于数据收集企业，脱敏建模数据产权数据属于数据处理平台。

（三）借助监管路径完善数据确权

要全面解决数据权属界定面临的问题和挑战，在完善相关法律制度的同时，还需积极发挥行政监管作用。

一是提高企业处理数据的透明度，尤其是在数据共享过程中的透明度。强化对企业数据收集活动的监督检查，要求企业以公开、透明的方式进行数据处理活动，不得以默认、强制等方式对用户个人信息进行确权，充分保障用户的知情权、选择权；同时要求企业在相关协议中明确告知用户其数据共享的主体和范围，并且不得超出用户授权范围。二是严格防控大型企业的数据合并处理，预防数据集中行为。目前，越来越多的平台利用数据体量优势和算法技术强化竞争，进行数据共享合并，形成数据集中甚至垄断。在监管实践中，需要强化对企业数据集中的实质审查，避免企业通过收购、合并等方式集中大量数据。三是要加强数据安全监管，提升个人信息保护力度。违法违规处理用户的个人信息不但有损用户的数据权益，也严重破坏了数字经济市场的合法秩序，虽然我国的个人信息保护专项整治工作取得了阶段性的明显成效，但行业发展变化快，新情况、新问题不断出现，需要坚持系统谋划、长远打算，从“运动式”执法有效转向“专项整治和长效治理相结合”的监管模式，从“局部监管、突出问题”转为“全流程、全链条、全主体”监管模式，通过这些措施有效提升对公民个人信息保护的监管水平与监管力度。