专栏名称: 法学学术前沿

识时务有情怀讲方法结善缘 —— 易明法律研究院

观点 | 邵六益：数据属于人民，并非为企业天然所有

法学学术前沿 · 公众号 · · 2024-09-11 10:53

正文

数据人民性的政法解读

——以数据权属争议为切入点

作者：邵六益，中央民族大学法学院副教授。

来源：《法制与社会发展》2024年第5期。

为塑造法学学术前沿微信公众平台的风格，微信推送的外标题系编辑根据文章理解所加，不代表作者立场。

摘要

数据是数字时代重要的财富类型。通常认为，只有界权清晰的数据才能产生经济效益。在当前关于数据权属的理论与实践中，企业是最活跃的主体，企业间关于数据权属的争议丰富了数据流通性理论；同时，政府占有最大量的数据。其实，人民才是海量数据的所有者。现有理论要么从保护个人隐私的角度，要么从保护个人数据权利的角度论证个人数据权利，但前者只能针对国家或类似公共权力主体，后者则受困于个人技术和能力上的不足而难以落到实处。为了更好理解数据权属，需要从理论上重塑数据的人民性。从制度层面来说，需要为人民掌握数据提供制度依据和技术可能。从个人的数据权利到数据的人民性，既暗含着从个人主义进路到社会主义进路的转变，也是在教义法学和社科法学之外，以政法研究进路研究数字法学的一种尝试。

关键词：数字时代；数据权属；数据人民性

目次

一、问题的提出

二、数据权属争议中缺席的人民

三、数据并非为企业天然所有

四、数据人民性的理论与实践

五、结论与讨论

一、问题的提出

数字时代带来了法学的重大机遇，以大数据、算法、人工智能、信息安全等问题为核心的未来法学研究呈现方兴未艾之势。有学者认为，这不仅是法学二级学科意义上的发展，更意味着代际更迭意义上的转型升级：从工商业社会的现代法学向数字时代的数字法学的更新换代。过去我们提及“21世纪是信息的时代”的时候，这一理念仅停留在少数精英的脑海中，并未对普通人的生活产生重大影响；而当人类迈入21世纪第二个十年的时候，数字时代的影响已经渗入每个人的生活，不再是少数人的福利：移动智能设备的普及使得多数人基本告别了使用现金，个人财富真的只是一串数字，以比特币为代表的虚拟货币则给财富以全新的定义；在线办公成为常态，网络会议、在线相聚越来越普遍；“元宇宙”的概念横空出世，数字空间逐渐获得与现实物理世界不相上下的意义。从法学研究的角度来说，数字时代带来了哪些深刻的基石性变化？笔者认为，应回到法学的基础逻辑中。现代法学建立在人格（权）与财产（权）两个核心之上，数字时代对这两个核心产生了重大影响。当前，法学界对数字时代的财产权问题即数字财富问题着墨最多。法学研究基本接受了科斯定理的假设，认为只有界权清晰的资源才是有效率的。理论与实践中的数据争议大多也是围绕数据的权属问题展开的， “ 数据权属及其分配规则不清，已成为数字经济发展的最大制度障碍”。

然而，与传统财产权相比，数据权属的界定面临着与生俱来的困难。例如，数据具有不可见性、流通性、非排他性等特征，根据传统财产权理论对数据界权会遭遇难点。数据的价值不会因为使用而减损，相反会因为使用而实现或者增加，数据的使用频率越高，价值越大。法律经济学研究试图抛弃财产权概念来理解数据权属。例如，戴昕副教授试图扭转以财产权为基础的研究进路。他指出，数据的价值建立在大规模汇聚和不断加工的基础上，细分权属——无论是个人数据还是企业的数据——反而会产生负的外部性。胡凌副教授也认为，不必要纠结于“财产”的概念，除了我们熟悉的要素财产权外，平台企业通过技术、竞争法和商业实践已在数字空间中塑造出“架构财产权”，且后者日渐成为数字基础设施，并为生产要素的灵活调配提供了基础。所有权理论的终结似乎成了这个时代的重要趋向。

是否要超越、放弃财产权理论，寻找分析数据权益的最新理论工具？ 本文认为，以法律经济学为代表的社科法学新视角，难以对基石性的财产权逻辑产生根本替代，数据议题毫无疑问离不开对财产权的引申。2017年12月8日，十九届中央政治局专门就实施国家大数据战略进行第二次集体学习；2019年10月，党的十九届四中全会正式将数据列为新的生产要素；《中共中央国务院关于构建更加完善的要素市场化配置体制机制的意见》（2020年3月30日）提出，“加快培育数据要素市场”，“研究根据数据性质完善产权性质”。产权制度无疑是要素市场最为重要的调节手段。《中共中央国务院关于构建数据基础制度更好发挥数据要素作用的意见》（2022年12月2日）（以下简称“数据二十条”）提出，“探索数据产权结构性分置制度”，“建立数据资源持有权、数据加工使用权、数据产品经营权等分置的产权运行机制”。2023年8月1日，财政部发布《企业数据资源相关会计处理暂行规定》，数据资产入表正式落地，即将开启数据要素产业化时代。总之，产权问题在数字法学中依旧十分重要。

数据似乎原初性地掌握在企业手中。凭借先进的技术手段，数据首先是以企业占有的形式出现的，因此企业是数据权属研究中的当然主角，实践中互联网企业也时常围绕数据权利产生纠纷。有学者将企业的数据权利视为基础，认为用户对数据只享有某种权益而非权利，从而构建了企业数据权利—用户数据权益的二元结构。个人在数据保护上的无权，加之企业对数据利用有余保护不足，带来了数据安全、隐私保护等方面的诸多问题。对此，王锡锌教授试图从宪法“权利束”的角度细化界权逻辑，为数据权属问题上彼此交织的关系提供理论阐述。这一新视角也得到了民法学界的认可和发展。但是，无论是对数据的私法保护进路，还是对数据的公法保护进路或权利束理论，都建立在个人主义的基本框架之上，无法解决个人权利本身带来的问题：个人缺少相应的技术手段掌控与自己有关的数据，而由国家来介入企业与个人之间的争议，又可能会在学术上引发国家权力扩张的质疑。

在数据权属界分中面临着一组张力：如果过分强调数据的公共性和开放共享，可能会带来“公地悲剧”；但是如果太过于细分数据权属，也会导致权利人互相制约而造成“反公地悲剧”。面对数据权属问题上的这种左右为难，引入“合众为一”理念，或许能够解决这种一与多的冲突与悖论问题。本文试图从理论上初步构建数据人民性的理论基石与制度机制。本文主张，企业对数据的收集和加工并不意味着其对数据的当然所有，亿万用户贡献了最原始的数据，他们才是数据的直接生产者和所有者。针对数据权属中错综复杂的权利关系，以及个人在数据使用上的弱势地位，本文更关注如何实现从个人数据权利到数据人民性的转变，借助政法体制中的人民塑造机制保障人民对数据享有的权利，践行“人民数据为人民”的宗旨

二、数据权属争议中缺席的人民

数据权属问题是当前数字法学研究中最重要的问题之一。其中，政府掌握海量的、流通性较弱的数据，这些数据似乎未能产生直接的经济效益；企业在数据权属分配中的地位显著，重大热点案件基本发生在企业间，最大的几家互联网公司间都曾发生数据权属纠纷。尽管越来越多的人意识到数据属于用户，但涉及个人的数据纠纷更多存在于隐私权领域。隐私保护存在被动性，只能保护个人的消极自由，而且无法支持个人对数据的财产性权利。为弥补个人维护数据权利时的技术困境，有学者转向公法保护进路。

（一）从隐私保护到私法保护

隐私权是伴随现代社会的到来而发展出的个人不受打扰的内心安宁权，不少学者试图从隐私保护角度理解个人数据权益保护。在数字时代，个人信息被更大程度地暴露在公众特别是大企业面前。主张通过隐私权保护个人信息的论者认为，应该赋予个人“不被关注乃至被遗忘”的权利，以抵消互联网记忆、维持个人安宁。但是，隐私保护进路仅仅指向个人不被发现、个人信息不被利用的消极自由，而且以保护隐私权为由提出的诉求，也仅仅是恢复原状和精神损害赔偿，无法涉及基于数据利用产生的经济收益。随着越来越多的人开始意识到数据的经济价值，借助隐私权规定保护个人的消极自由已不敷需要，创设个人数据权利、从隐私保护转向个人信息权利保护成为民法学界的一种共识。

然而，主流的民法理论建立在18、19世纪的逻辑基础之上，我国民法理论也受这种民法理论的影响，很难根据传统民事权利去论证数据权利。《民法典》第110条明确规定了隐私权，规定：“自然人享有生命权、身体权、健康权、姓名权、肖像权、名誉权、荣誉权、隐私权、婚姻自主权等权利。”第111条规定：“自然人的个人信息受法律保护。任何组织或者个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。”第111条并未使用“个人数据”的表述而是使用了“个人信息”的表述，这部分是由于《民法典》起草的时间背景，但个人信息是个人数据的重要内容。比较第110条和第111条可知，个人享有个人信息权益，但并未确立“个人信息权”，个人信息权益的保护自然不同于隐私保护。《个人信息保护法》第1条虽明确规定“保护个人信息权益”，但并未确立个人信息权。第2条从反面重申保护个人信息权益，但并未明确其内容，只是规定“自然人的个人信息受法律保护，任何组织、个人不得侵害自然人的个人信息权益”。自然人的个人信息权益包括哪些内容？《个人信息保护法》从规范个人信息处理者（包括企业与国家机关）的角度明确个人有授权使用、要求删除等权利，但未规定个人对个人信息处理者因收集、加工信息而获得的经济收益有何种请求权。例如，《个人信息保护法》第四章“个人在个人信息处理活动中的权利”仅规定了个人的知情权、决定权、请求更正补充权、请求删除权，没有明确个人享有何种经济收益权。《国务院关于加强数字政府建设的指导意见》（国发〔2022〕14号）提及了政务数据、公共数据、社会数据，也无个人数据一说。

从理论上说，数据带有经济效益因而构成财产权利的客体，“个人数据可以成为民事权利的客体，并应当通过私权制度对其加以规范和保护”。由于技术原因，从隐私保护到私法保护的转向在实践中并没有制度体现，因此有学者认为，对个人信息数据应采取“人财两分”的理论，将个人人格利益分配给个人，而将财产利益分配给处理数据的企业，企业同时对个人信息数据承担保护义务。还有学者担心，将个人信息视为基本权利的客体会减损个人信息的流通价值，因此主张，不能将个人信息权利理解为一种独立的基本权利，只能承认“个人信息被保护的权利”。保护个人信息与承认个人信息权存在较大的差异：前者虽也指向保护，但保护的性质、方式是不确定的；后者意味着将个人信息作为一种基本权利的客体进行保护。在司法实践中，法院采取较为保守的立场，更多停留在隐私保护的阶段。互联网公司之间的网络爬虫和反网络爬虫纠纷非常典型，能够从中窥探司法实践中个人信息的保护进路。

在“新浪微博诉脉脉”一案中，北京微梦创科网络技术有限公司（新浪微博的运营主体）在指控北京淘友天下技术有限公司、北京淘友天下科技发展有限公司（脉脉软件的经营主体）违反robot协议的同时，还指控脉脉软件的经营主体的网络爬虫行为没有得到用户的授权，因而侵犯了用户的隐私权。法院认可了其提出的指控，确认企业获取数据需要得到两方授权，即平台授权（持有数据的企业向试图获取数据的企业授权）和用户授权（用户向试图获取数据的企业授权）。当然，这不是同类纠纷中法院的一致观点。中国的法院经常采取数据归个人和平台共有的观点，提出“用户授权”+“平台授权”+“用户授权”的“三重授权”模式。但是，这种观点在个人数据权益保护的司法实践中不具有现实性，可能倒向过分强化用户对个人数据的权利，使得企业无法通过合同要求用户放弃其数据权利，限制企业对数据的合理使用，降低数据的流通性，提高交易成本。不仅如此，即便根据“三重授权”这种看似保护个人数据的做法进行保护，个人的数据权利依旧后退成为隐私权利——消极的权益，真正能够对个人数据进行商业开发和牟利的还是互联网企业。换言之，个人数据依旧仅仅是“负载个人信息”的数据。

（二）从私法保护到公法保护

法学界主张将个人数据保护从隐私保护扩展到私法保护，但私法保护仍建立在个人主义的基础上，面临权利边界划分的困难：要么对个人信息保护不力导致个人信息泄露，私权受损；要么对个人信息保护过度，抑制企业的创新积极性，最终只能退回到消极自由的层面，国家退出个人信息保护的一线，由公民个人去维护自己的权利。实践中，个人与个人信息处理者之间存在“非对称权力结构”，个人信息处理者与普通个人在处理个人信息能力方面的差距太大，仅仅靠民法上的保障难以实现个人信息权利。因此，从私人权利出发对个人信息的保护很可能是“纸面上”的保护。那么，如何实现不对称的个人信息处理者与个人的平等武装，将个人信息权从纸面导向实际？求助公权成为一种选择。

王锡锌教授提出“个人信息受保护权—国家保护义务”的框架，主张从宪法出发去理解个人信息保护的理论基础，认为《宪法》第33条第3款规定的“国家尊重和保障人权”和第38条规定的“中华人民共和国公民的人格尊严不受侵犯”，蕴含着国家保护个人数据的公法义务。丁晓东教授主张，国家对个人信息实行“消费者法化”的保护，即结合具体场景采取倾斜保护、集体保护的消费者法的基本框架，一方面赋予个人具体的消费者权利，另一方面由消费者权益保护委员会、各类公益组织和政府机构代表个人或集体进行监督和保护。从公法进路保护个人信息权利与从私法进路保护个人信息权利的区别在于：私法权利依靠当事人自己去维护，国家只规定权利，维权由个人自己去实现，需要自行“为权利而斗争”，实现从客观法到主观权利的转变；公法保护不仅仅是个人的事情，国家负有“主动下场”的义务，主动介入来保障个人与大企业的平等对话。从私法保护转向公法保护，能为个人数据权利提供更全面的保护，但也存在一些疑点：首先，公法保护只能为不特定的多数人提供抽象保障，难以为具体个人提供有针对性的保护。其次，公法保护只针对专业收集个人信息的公共机构，无法处理偶尔或单次获取个人信息的企业、组织。再次，国家保护的制度建设尚待完善。《个人信息保护法》第70条规定了公益诉讼制度。2022年，全国检察机关共立案办理个人信息保护公益诉讼案件6000余件。与个人信息保护的需求相比，这样的案件办理量仍然是极少数的，真正对个人权利有切身体会并及时行动的只能是本人。

同时，不少研究者担心，公法保护势必会增加国家的权力，增加个人信息遭侵害的风险。公私对峙难题产生的原因包括两点：第一，即便是提议公法保护的学者，其论证依旧建立在自由主义的逻辑之上。按照19世纪国民法治国的基本预设，国家权力的基础是个人授权，公权力只是必要的恶，限制公权力、保护私权利是两条金科玉律。因此，简单引入国家保护的公法视角仍旧无法弥补私法保护的不足，有必要在个人视角与国家视角的基础上补充人民的视角，必须在理论上改变个人与国家的对峙状态，恢复公权力与人民的交融关系。第二，掌握最大量数据的其实是政府，互联网企业的数据也非常容易被政府抓取，无论是消费、金融、医疗信息还是一般的位置信息，都要向有关政府部门开放。但政府掌握的数据大多时候处于静止状态，经济收益很低，也难为个人直接分享。数据的政府占有看似实现数据公有，但是离“数据为人民”还有一定距离。由此可见，主张数据的人民性并不容易。法学研究通常看得见公民，看不见人民；重视当事人，忽视信访者；尊重行政相对人，却忽视人民群众。因此，数据的人民性既需要理论探索，也需要制度建构。本文接下来的两部分将分别予以阐述。

三、数据并非为企业天然所有

主张数据人民性的难点在于，数据由企业使用似乎是最有经济效益的，成规模的数据似乎也是由企业收集和提供的，正因此，企业像是数据的生产者，相应的，个人不能享有针对数据的财产性权利。因为，第一，个人不具备处理海量数据的能力，且单个人的信息的经济效益不大，赋予个人对信息的权利会导致企业利用数据的动力降低，不利于数据产业的发展。第二，企业数据的信息来源是海量的，单个人不能对此提出权利主张——类似于行政相对人不能对抽象行政行为提起诉讼。为平衡个人与企业的数据权利，有学者将数据权利分为所有权与用益权，用户享有所有权，企业享有用益权，以此限制企业的数据权利，保障个人在数字时代的权利。本部分将论证，企业对数据的原初占用并不构成对数据的所有，个人虽并未控制数据，但对数据享有原初的所有权。

（一）数据不是“无主物”

数据在很多时候最先是由企业收集的，很多学者据此将企业视为数据的当然所有者，并以劳动价值学说论证这一观点。例如，龙卫球教授援引洛克的劳动财产权理论指出，企业在采集、加工、处理、利用数据的过程中投入了巨额资本，倘若只赋予个人信息权而忽略企业，则势必使得企业丧失积极性，这“不仅不符合劳动原理，更不符合数据经济规律”。这种分析忽视了最基本的前提——洛克的劳动财产权理论针对的是无主物。洛克的劳动财产权理论认为，人们之所以能够对其付出劳动的东西享有所有权，是因为万事万物首先是无主的，都是上帝平等地赐予人类享用的。在这个前提下，通过劳动使得某物脱离自然状态易于被人们使用，就是向这个物注入了自身劳动，从而使之变成了特定物、有主物。洛克的论证适用于政治哲学的思想实验中关于财产权原初产生的情形，但是对于成熟的人类社会很难具有说服力。其实在洛克所处的时代，世界已经被占领完毕，但他依旧从其劳动财产权理论中发展出先占学说，为殖民扩张辩护。他认为，美洲土著的生产效率低下，并没有实现土地的价值，因此美洲的土地并没有被原住民所有。英国人拥有更为先进的技术，能够使土地的价值得到体现，对全人类有利，实现了上帝赐予人类物产的目的。因此，英国人对美洲的占领是合乎自然法的先占行为。

根据劳动财产权理论主张企业对数据享有原初权益的两条理由都值得商榷：首先，企业的投入本身并不改变数据原初属于用户的本质，劳动无法改变有主物的所有权。其次，以经济效益为依据的论证，类似于赢者通吃的思路，本质上体现的是实力即正义的逻辑，在中国显然是不适用的。我国法律不承认先占制度。《民法典》明确规定，所有权人有权追回遗失物（第312条）；即便遗失物无人认领，其所有权也不转移到拾得人，而是归于国家（第318条）。就数据权属而言，数据产生后虽然不在用户手中，但并不能因此说数据是无主物；况且，数据的收集并不一定是在用户完全同意的情况下进行的，互联网企业为用户提供的是无法选择的强格式合同。这里还需回答的是，个人数据只有在企业提供的互联网服务中才有可能产生，企业提供的平台、算法规则和投入，对于数据的“生命周期”而言意味着什么？

不同于传统财产的产生，数据财富是自发形成的。王利明教授将数据财产的这一特性概括为“无限再生性”，个人生活中的任何痕迹都可能被记录、收集、加工、整理，从而数据每天数以亿计地产生，平台加以分析后可能产生有价值的信息。数据的生成与数据财产价值的实现之间存在时间差，个人在网络上的留痕形成数据，但是数据财产价值的产生依赖于平台的加工分析。从数据的“生命周期”来说，数据起源于网络用户，对用户的原始赋权是数据权利配置的起点。“若赋予处理者以数据所有权，却违背了数据是由用户引发产生这一逻辑起点，也不利于构建共建共享的互联网”。申卫星教授从民法原理出发认为，在个人保有对数据的所有权的同时，应该赋予企业对数据的用益权，并在此基础上去思考企业与个人在数据权属上的关系，即自然人用户的上网记录、行踪轨迹等数据的所有权应该属于其自己，合法的数据采集企业对这些数据享有用益权，非源自自然人的数据，如气象、地理信息等的所有权属于国家，其用益权依然归结给合法的数据采集企业。数据所有权与数据用益权的二分对平衡个人与企业的权利作出了有益的推进，但难点在于，关于数据的这两项权利是绑定的，所有权人毫无选择，无法将数据的用益权转给企业之外的主体。

企业对其收集的数据进行加工，从而使得数据从一种质料变为了实在的财富。数据是对人的一种记录，企业对数据的收集和加工更像是一种整理和再现方式。其实，对法律主体某些特征的再现本身也构成主体的权利，呈现方式会成为另一种权利，这种二分在知识产权领域早已存在。投入智力资源呈现权属清晰的客观存在物的创新性也能够产生权利。知识产权保护的不仅仅是物，也包括物的组织和无形的存在方式，这在摄影作品的肖像权与著作权的二分中体现得最为明显。个人数据来源于对个人的生物、经济特征的记录，而企业对个人数据的收集和加工只不过是再现和记录这些特征，个人对数据享有的权益与企业对数据享有的权益的关系，类似于个人肖像权与摄影作品著作权的关系。对知识产权领域这种二分结构的分析，在一定程度上有助于我们理解数据权属的二元结构。

肖像权的基础是自然人对自己相貌的所有，以及对自己相貌如何呈现的决定权。《民法典》第1018条规定的肖像指的是“通过影像、雕塑、绘画等方式在一定载体上所反映的特定自然人可以被识别的外部形象”。侵犯肖像权不仅包括故意丑化、污损肖像，也包括未经肖像权人同意对其肖像的商业使用，如发表、复制、发行、出租、展览肖像权人的肖像等（《民法典》第1019条）。而根据《民法通则》第100条和《最高人民法院关于贯彻执行〈中华人民共和国民法通则〉若干问题的意见（试行）》第139条，侵犯肖像权的构成要件是以营利为目的使用肖像。在这个意义上，《民法典》对肖像权的保护力度在不断加强，不再要求以以营利为目的使用肖像为侵犯肖像权的构成要件。同时也能看出，相较于对个人数据的保护，对肖像权的保护更严格：目前，个人数据权利仅限于防止他人对数据的恶意使用，并不包含禁止他人利用数据牟利。也就是说，他人利用权利人的肖像进行商业牟利需要征得权利人的同意并分享利润，而对个人数据进行商业开发却无此限制。数据权益体系类似于肖像权加著作权，应当规范企业对个人数据的商业加工行为，数据所有者有权决定自身信息如何被收集、加工。

有研究者从企业间的数据爬虫争议切入，提出个人数据保护的三重授权模式。首先，个人对企业的授权是前提。其次，为了保证数据的流通性，不能任意扩大个人数据权利对企业的限制，否则不利于技术的进步和经济的发展，数据完全由个人控制会产生极高的交易成本与沟通成本，不利于数据的流通和价值的最大化。需要在赋予个人数据财产权利与保证数据的流通性之间维持平衡，区分企业对个人数据的不同加工程度，赋予企业不同的权利。这里同样可以类比肖像权理论，即并非所有被拍摄到的人都对自己的肖像享有肖像权，被拍摄到的人只对能够识别出其肖像的照片享有肖像权，《民法典》第1018条对肖像的要求即在于“可以被识别”。

随着摄影技术的发展，一张照片中可能包含许多人的肖像。如果照片里的所有人都对照片主张肖像权，势必导致摄影工作无法进行，因此需要对肖像权施加一定的限制。在电影《秋菊打官司》中，陕北农妇贾桂花被镜头停留4秒钟，由此引发肖像权纠纷。在判决理由中，这一时间长度并未影响法院对侵权与否的认定，却是原告主张侵权之诉的重要理由——长时段的摄录意味着加工的深度。苏力教授曾经从言论自由与肖像权的权利冲突角度分析过这个案件，但更为准确的分析框架或许是著作权与肖像权之争，即电影制作者的著作权与贾桂花的肖像权的冲突问题，被镜头停留4秒钟使得贾桂花能够被熟人识别进而构成对其肖像权的侵害。在数据抓取的情形中也是如此。当个人信息作为亿兆信息的无名组成部分时，对个人生活痕迹的记录应该被归入隐私保护的范畴；当个人信息被有名化收集时，才有可能影响公民的人格权或财产权。区分标准在于是否进行匿名化处理，只有深度抓取和记录的个人生活痕迹才有可能形成数据权利的客体，其余的应该归入隐私权对消极自由的保护之中。总之，网络中的用户信息有可能是个人数据，也可能不属于个人数据，关键要看数据的识别度，要看根据数据是否能够识别用户的个人信息。“以平台的用户评论数据为例，此类数据在平台上匿名化显示之后，对于一般人可能难以识别。但如果结合该用户的其他购买记录、行踪轨迹等信息之后，此类数据就有可能变成可以识别个人的数据。而对于该用户周围的人群来说，甚至可能单凭一条用户评论就可以识别个人。”

（二）数据不仅“负载个人信息”

个人是否对包含其个人信息的数据享有数据权利，也需要看数据对个人信息的披露程度。丁晓东教授将个人信息分为已识别个人的信息、可识别个人的信息、不可识别个人的信息，并要求信息收集者和处理者对这三种类型的个人信息承担不同的保护责任：“对于已识别个人的信息，应当要求信息的收集者与处理者严格遵守信息的隐私法规定的一系列的责任，不允许有例外；对于可识别个人信息，则应当根据其可能带来的风险，对信息收集者与处理者施加不同程度的责任。”《网络安全法》第76条规定：“个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、地址、电话号码等。”但《网络安全法》第42条又规定：“网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。”也就是说，法律对匿名化处理的个人信息的保护力度有所不同，经过处理、能够实现匿名化的信息应另当别论。当然，在不同的时代，个人信息对个人身份的识别度是处在变化之中的。

数字时代个人身份识别度的认定是一个矛盾体：一方面，每个人的面孔更为模糊，在数据海洋中只具有统计学上的意义而不具有清晰可见的面孔。例如，尽管我们的信息被企业收集、分析和利用，但是我们不会感受到太大的干扰。另一方面，数字时代使得我们的信息被更深程度地记录。互联网是有强大记忆力的，多年前的某个事件虽时过境迁，不再被我们的亲人朋友记忆，却可以在互联网中轻易地找到痕迹，被遗忘权因此也成了数字时代的重要权利。更为可怕的是，一旦拥有强大运算能力的企业将它们的关注点聚焦在个人身上，个人的一切秘密都将遁于无形，消费记录、出行记录、聊天记录能够还原我们的生活，刻画出我们的形象。因此，包含某些个人信息的数据是否应该被界定为个人数据，并不是一件确定的事情，关键是要看多大的运算能力指向我们。在个人信息被记录时，我们并不知道其会在何时何地被何种程度地分析，在这种不确定性中，很难提前做到谨言慎行。数字时代隐私的悖论性存在，要求对于“负载个人信息的数据”的权属应该有新的界分标准。可以肯定的是，对个人信息的保护，不能期待由企业独自完成，假如个人数据权利被压缩为“负载个人信息的数据”的附带权利，那么势必时常遭遇侵害之虞。

在前文引述的“新浪微博诉脉脉”一案中，北京知识产权法院认为，企业之间的数据获取需要满足“三重授权原则”。这一原则在此后的腾讯诉微播世界案、淘宝诉美景案等案件中都被适用了。“三重授权原则”赋予用户的授权很高的权重，占据了三重授权中的前后两个环节：第一，持有数据的企业向试图获取数据的企业授权；第二，用户作为数据主体要允许持有数据的企业向获取数据的企业共享数据；第三，用户向试图获取数据的企业授权。“三重授权原则”一方面尊重了数据主体的权利，另一方面也肯定了持有数据的企业的“守门人”地位，肯定了张新宝教授提出的数据控制者的个人信息保护特别义务。但现实是，作为个人的用户基本上无法拒绝授权，持有数据的企业不会从个人信息保护的角度决策，在商业活动中，企业总是从自身利益出发，以保护用户数据安全为幌子，限制数据流通，保持对其他企业的不正当的竞争优势。“三重授权原则”看似面面俱到，其实是司法机关比较省力但稍有“偷懒”的选择，无法有针对性地解决真实的问题。有学者试图在个人数据携带权与“三重授权原则”间寻求平衡，引申出两条发展性原则：一方面，可识别的个人数据流转时只需要数据主体同意，并不需要持有数据的企业同意；另一方面，衍生出来的匿名化数据在流转时只需要经过持有数据的企业同意，并不要求数据主体同意。《个人信息保护法》第58条要求“提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者”（如大型互联网企业）承担“守门人”的职责，成立由外部成员组成的独立机构对个人信息保护情况进行监督（第1款第1项），并对平台内的产品或服务提供者处理个人信息的行为进行监督（第1款第2项）。但让互联网平台作为“守门人”给其增加了难以履行的负担，甚至不能保护个人信息，反而产生道德风险和“囚徒困境”。而且，要求互联网平台在没有行政或司法决定的前提下审查大量商户的行为的违法性并决定停止服务，不仅难度大而且蕴含大量的法律风险。

四、数据人民性的理论与实践

保护个人数据权利的难点在于，个人缺乏相应的实现权利的技术手段。虽然一些互联网企业掌握着相关数据，但是一般而言，互联网企业只掌握某特定领域的数据，只有政府才掌握着全局的数据。无论是银行的个人征信数据、手机地图中的位置数据，还是众多APP中的消费数据，抑或是浏览网页产生的痕迹数据，政府有关部门都可以合法获取。但政府掌握的数据大多数时候停留在静止状态而无法产生直接收益，也难以给人民带来福利。就本文所说的数据人民性而言，除了要从理论上探讨数据人民性的正当性外，还需要从制度上为其提供合适的框架，特别是借助政府掌握最多数据的现实，追求人民政府的数据为人民，以此既能维护个人的数据权利，同时做到对企业端的保护，维持社会的创造力。

（一）从个人数据到人民的数据

相较于防御性的隐私保护进路，赋予个人针对信息收集者与处理者的信息自决权也可能导致问题：一方面，个人难有足够的兴趣、时间、专业能力和技术手段作出理性的选择；另一方面，可能导致对他人、企业甚至公共利益的阻碍。“如果赋予个人对于其信息的积极性权利，要求获取个人信息都必须获取个人同意，这将导致人们日常交往的失效与社会运转的失灵，导致打听他人信息也属违法的结果。个人信息的访问权、纠正权和删除权亦是如此，个人不可能要求访问他人所掌握的个人信息，也不可能要求纠正他人所掌握的个人信息，更不可能要求他人删除他人所掌握的个人信息。赋予个人以针对他人或平等主体的信息权利，既不合理，也不现实。”保护个人信息权利的正当性或必要性不言而喻，但无论是私法保护进路还是公法保护进路都有不足之处。本文所说的数据的人民性，与公法保护进路的区别在于：法学界提倡的公法保护进路，未能超脱法律主义的逻辑，无法实现对部分群体的照顾以实现实质平等。其实，已有研究试图从政法法学的角度讨论数据权属问题。

有学者指出，仅仅从法教义学或产权经济学论证公共数据的国家所有是不够的，必须“从政治哲学领域寻找国家所有权的证成工具。借助契约主义论证框架，公共数据国家所有可置换为一个虚拟的公共信托协议——国家受全民之托管理公共数据，但最终收益全民共享。由于无知之幕下的立约人会选择该协议来对公共数据资源进行分配，故公共数据国家所有的正当性得以证立”。这一方向是值得关注和鼓励的，但无批判地接受罗尔斯的理论框架，回归契约论的论证思路，在“无知之幕”下借助契约达成公共信托协议的思路，与我们的政法体制下对政治正当性的理解是有区别的。政法体制下的人民性、公共性议题，与中国19世纪以来大变局中的政治革命、国家建设紧密相关，显然不是罗尔斯的理论能够涵盖的。

本文主张的数据人民性研究，是从更为根本的政治理论的角度展开的，不仅要发现从分散的个人到作为整体的人民的渠道，也要避免强调数据公共性而对数据流通造成影响，最大程度地实现数据价值。丁晓东教授认为，应该从马克思主义的角度推进以人民为中心的网络法研究——网络空间是人民意志构建的场所。尽管美国学者莱西格意识到人民应该在互联网法中发挥更大的作用，但无论是法院、国会、总统，还是美国宪法，都不足以提供他期盼的变革的可能。桑斯坦则更进一步意识到，网络用户既有消费者的私人身份，也有政治主体的公法身份；但即便是桑斯坦也只是触及具有协商可能性的人民，并没有真正建构具有高度主体性的人民。也就是说，在美国式的政法理论中难以发现人民的主体性。就中国语境的网络法的人民性特别是数据人民性主张而言，需要利用马克思主义理论来实现人民意志，但丁晓东教授并没有继续挖掘这一命题。

“人民”本身就是一个非常神奇的词汇：分散为单个的公民后，在面对大企业时非常弱小；但是合在一起时，又是很强大的具有政治上潜力和行动力的主体。关键是如何实现人民的合众为一的政治生成。在新中国成立之初的政治实践中，中国人民作为整体的出现，依赖的是社会主义的政治塑造；在司法过程中从“当事人”概念背后发现“人民”，依赖的是政法体制下政党的代表机制及其发展出的具体司法制度。《个人信息保护法》第45条第3款规定，个人对其个人信息享有可携带权，可以依法要求将其个人信息转移到指定的个人信息处理者。但是，这种权利仅限于自身的个人信息，无法扩展至企业掌握的其他数据。而且，同类的个人信息处理者数量是非常有限的，个人也没有太多的选择权，更无能力去指定个人信息处理者。对任何一家大型数据企业，单个人的信息都不足以产生实质影响，个人的选择权基本上是零。个人在维护自己的数据权利时必然面临着整体与部分的辩证关系，个人从作为整体的人民中脱离出来后不仅难以维护自身的权利，其个人信息的价值也基本上减损至很低。因此，对数据人民性的提倡，既需要在理论上解决一与多的关系问题，也需要在制度上探讨实现方式。

（二）数据人民性的制度初探

2023年12月23日，国家发展和改革委员会、国家数据局发布《数字经济促进共同富裕实施方案》（发改数据〔2023〕1770号）。该《实施方案》开篇就指出，要“通过数字化手段促进解决发展不平衡不充分问题，推进全体人民共享数字时代发展红利，助力在高质量发展中实现共同富裕”。《实施方案》还针对区域数字协同发展、数字乡村建设、数字素养提升和就业保障、社会服务普惠供给等方面作出了具体部署，以最大限度地推动数据资源为人民服务。强调数据人民性需要有具体的制度保障，并达成多个层面的目标。本文将其概括为实现三重关系的和谐：首先，关注个人与企业的关系，探讨数据权利在个人与企业之间的分配，维持企业的创新动力。其次，协调个人与国家的关系，探讨个人如何在依赖国家保护的同时避免被国家权力侵害，在加强国家数字能力建设的同时限制国家权力。最后，追求人与人之间的实质平等，在尊重多样性的基础上实现人民合众为一的生成。

已有研究预设的个人信息权利主体是同质性的个人，实际上，不同人的要求是不同的。本文关注的人是多样化的、异质化的、具体的人，关注如何在数据世界中、从具体多面的个人中发现人民，为前述的个人与企业之平衡、个人与国家之平衡提供可能。

第一，实现个人与企业的平等对抗。应该承认个人与企业存在不平等关系。目前通说要求信息主体之外的数据权利人（如平台企业）在法律规定与合同约定下行使权利，“充分尊重信息主体依法享有的信息处理撤回同意权、信息携带权、信息删除权等”。王利明教授的这个说法非常重要，确认了信息的原始所有者拥有完整的权利，后续企业经由收集、加工、整理信息获得的数据权利是后天的，因此也受到信息主体——数据原始权利主体——权利的限制。可以进一步思考的是，个人如何撤回对平台企业收集信息的授权？个人自身如何携带这些数据？个人如何删除某些信息？个人的这些权利在现实中基本上无法实现，个人对企业特别是平台企业的限制能力十分有限。

有学者提出，用户存在“以隐私换便利”的心态，为了生活的便利容忍了隐私的泄露。容忍是一种妥协和民事上的放弃权利，有一个自主选择、自愿放弃的环节。但是，平台企业对用户具有非常强的优势地位，个人对平台企业提供的强格式合同基本没有选择的空间，没有自愿放弃、容忍的环节，平台企业对于个人拥有的权力类似于公共权力。因此，仅仅依靠民法及私法契约来限制平台企业是远远不够的。习近平总书记专门强调，“要依法加强对大数据的管理”。他指出：“一些涉及国家利益、国家安全的数据，很多掌握在互联网企业手里，企业要保证这些数据安全。企业要重视数据安全。”对企业掌握核心关键数据的谨慎立场，要求我们探索出制度性的措施实现对企业的限制。强调人民性不仅仅追求不同群体之间的平等，更是要拉平个人与企业、人民与资本之间的差距。需要明确的是，本文试图以人民性推进数据权属研究，并不是要否定或者单纯限制企业的数据权利。在个人与企业的对抗和平衡中，可以考虑引入政府一方，特别是要对垄断企业进行必要的规制，在以下问题上发挥作用：其一，针对智能电子设备与APP应用中的格式合同，政府有关部门应加强监管，切实保障用户权利。国家市场监督管理总局制定、2023年7月1日起施行的《合同行政监督管理办法》明确要求，“经营者与消费者订立合同，不得利用格式条款等方式作出减轻或者免除自身责任的规定”（第7条）。现实中以过于繁琐的方式订立的合同，或者那些已经成为公共服务必需品的APP，不能以同意或退出二选一的方式强制要求用户接受格式条款。其二，设计更好的分配方案。应该逐步落实“数据二十条”提出的建立体现效率、促进公平的数据要素收益分配制度的目标，既要保障收集、加工数据的经营者的参与积极性，也要通过税收等方式追求收益的全民共享。有观点主张，按照基础数据与增值数据的二元划分原则，用户对基础数据享有所有权，将企业通过加工数据获得的增值权益赋予企业，似乎有助于规范数据市场并促进数据流动。这种二元划分原则看似清晰，但还存在下述问题：基础数据的加工收益问题比较复杂，尤其是企业会抓取用户数据甚至将这些数据卖给第三方，将数据的增值完全赋予企业也必定会带来不公，与“数据二十条”提倡的“体现效率、促进公平”的分配原则不符。其三，对于利用数据优势损害其他主体权利的企业施加更多限制，规范企业在算法加持下的数据使用。2019年，国务院办公厅就发布过《关于促进平台经济规范健康发展的指导意见》（国办发〔2019〕38号）。根据青山资本2023年发布的《平台工人》报告，我国网约车平台注册司机总数超过了1亿人，每天还有超过2万名新司机注册。除应在劳动法视域下关注平台用工中的劳动关系确认外，更应在数字法学视域下关注算法压迫问题，防止雇主和平台利用算法优势过度压榨工人，避免类似“困在系统之中的外卖骑手”的难题，严惩外卖平台给骑手规划“逆行”送餐路线，这是数据人民性的应有之意。以上三条建议的实现毫无疑问需要引入公权力。既然引入了国家的视角，也就必然要回答，数据人民性如何既借助国家权力又避免被国家权力俘获？

观点 | 邵六益：数据属于人民，并非为企业天然所有

正文

请到「今天看啥」查看全文