深圳数据条例发布！地方立法首次确立数据领域公益诉讼制度

7月6日，深圳市人大官网发布《深圳经济特区数据条例》（下称“条例”）。

据市人大常委会法工委介绍，这是国内数据领域首部基础性、综合性立法，涵盖了个人数据、公共数据、数据要素市场、数据安全等方面的内容，共七章一百条，力图在确保数据安全，保护个人数据的基础上，最大程度激发、释放数据作为生产要素的经济价值，为数字经济的发展提供良好的法治环境。

有专家表示，深圳作为具有先试先行示范意义的特区，针对数据出台这样的地方法规，具有两个非常重要的信号特征。首先是数据立法一直以来聚焦于数据安全层面，在数据权益层面还没有过多的探索和中央层面的立法。深圳作为经济特区率先去啃这个“硬骨头”，可以为全国立法积累经验。

其次，数字经济是现在经济发展的新动力，条例回应了鼓励数字经济发展的目标，最典型就是设专章对数据要素市场作出规定，从数字经济发展的角度规定了企业对数据的一些权益。

文|尤一炜

在地方立法中首次确立数据领域的公益诉讼制度个人数据已经成为经济社会发展的重要数据资源类型。但由于个人数据保护相关法律规范的缺失，未经同意收集个人数据、非法交易个人数据等侵权问题屡见不鲜，严重影响公民私人生活的安宁。

对此，条例率先在立法中探索数据相关权益范围和类型，明确自然人对个人数据依法享有人格权益，包括知情同意、补充更正、删除、查阅复制等权益。

参考个人信息保护法二次审议稿及《信息安全技术 个人信息安全规范》，条例确立了处理个人数据的基本原则，即处理个人数据应当具有明确、合理的目的，并遵循最小必要和合理期限原则；同时，针对公众普遍关注的最小必要原则的具体内涵，条例进一步明确，限于实现处理目的所必要的最小范围、采取对个人权益影响最小的方式处理个人数据。

尤其针对具有唯一性、终生性、不可更改性的生物特征数据，条例作出更加严格的规定，要求处理生物识别数据时，除该生物识别数据为处理个人数据目的所必需，且不能为其他非生物识别数据所替代的情形外，应当同时提供处理其他非生物识别数据的替代方案。

现实中，数据侵权具有较高的隐秘性，即便被侵权人察觉，由于取证困难，出于时间或经济成本的考量，也难以实现有效维权。

对此，条例首次在地方立法中确立了数据领域的公益诉讼制度，规定检察院和法律、法规规定的组织可以就违规定处理数据致使国家利益或者公共利益受到损害的行为，依法提起民事公益诉讼。

对外经贸大学数字经济与法律创新研究中心执行主任许可表示，该规定适用于一般数据侵害的公益诉讼，与个人信息保护法的相关规定互为补充。他解释，比如当与个人信息无关的数据受到侵害时，不适用个人信息保护法中的相关规定，而可适用条例中的上述规定。

专家：规定自然人对数据产品享有财产权益是务实的

数据已和土地、资本、劳动力、技术等并列为全新的生产要素，国家也在积极推动发展数据要素市场。条例设专章——第四章从一般规定、市场培育、公平竞争三小节探索培育数据要素市场，促进数据要素价值的实现。

一直以来，数据确权难制约着数字经济的发展。相比于一审稿，因为地方立法无法对民事基本权利作出规定，条例删除了目前尚未形成共识的“数据权”相关内容，而是规定自然人对个人数据依法享有人格权益；自然人、法人和非法人组织对其合法处理数据形成的数据产品和服务享有法律、行政法规及条例规定的财产权益，可以依法自主使用，取得收益，进行处分。

参与条例制定的中国政法大学教授、中国政法大学互联网金融法律研究院院长李爱君表示，上述规定体现了条例对数据本质的认识——数据由载体和内容组成。其中数据所承载的内容（信息）是不可占用的；而数据载体可通过占有来排他，且可以无限复制，通过复制实现数据的非排他使用。

因此，数据通过产权制度的设计可以充分发挥数据载体的占有排他性、解决数据归属的问题，通过产权制度和承载的内容规范把权利要素分离而实现独立流转。

有专家也认为，从数据产品和服务角度来确定数据能够产生的价值，是“比较务实的”，也能“平衡和保护个人的权益”。

而许可认为该规定试图区分个人数据和企业数据，但按照现有的规定，事实上是无法区分的。他解释，即便是处理后的数据，依然可能是个人信息，不能自由交易。

对此，李爱君对南都个人信息保护课题组表示，“数据产品中承载的个人信息应遵守个人信息保护相关的规定”——相比于二审稿，条例新增规定试图解决该问题——第六十条明确使用、传输、受委托处理其他市场主体的数据产品和服务，涉及个人数据的，应当遵守条例第二章的规定以及相关协议的约定。

但在许可看来，第六十条规定与自然人、法人等可依法自主使用数据产品和服务是互相矛盾的，即针对涉及个人信息的数据产品和服务的自主使用权，并没有确定谁来主张、谁来做决定。

为网络爬虫“松了一下绑

在数字经济发展的过程中，网络爬虫作为收集数据的方式之一，因存在潜在的侵犯个人信息权益等风险，使得从业者战战兢兢。

引起北京市盈科（深圳）律师事务所律师梅林关注的一条规定是，处理自然人自行公开或者其他已经合法公开的个人数据，且符合该个人数据公开时的目的时，可在处理前不征得自然人的同意。

“这一点给饱受打击的网络爬虫行业松了一下绑。”梅林表示，虽然在民法典中规定了“合理处理该自然人自行公开的或者其他已经合法公开的信息”不承担民事责任，但是怎么算“合理的处理”还需要进一步定义。

他认为，该规定相当于明确了合理的定义，就是“符合个人数据公开时的目的”；可在很大程度上给网络爬虫等数据收集岗位提供指引，“至少按照该规定执行就不会涉嫌侵犯公民个人信息罪”。

互联网时代，个性化推荐已深入人们的日常生活，千人千面的精准服务在带来便利的同时，也加重了一些负面影响，如“信息茧房”、大数据杀熟等。

对此，条例规定，数据处理者基于提升产品或者服务质量的目的，对自然人进行用户画像的，应当向其明示用户画像的具体用途和主要规则。

自然人可以拒绝数据处理者根据前款规定对其进行用户画像或者基于用户画像推荐个性化产品或者服务，数据处理者应当以易获取的方式向其提供拒绝的有效途径。

更为严格的是，为加强对未成年人个人数据的保护，条例首次在国内立法中明确，除为了维护未满十四周岁未成年人的合法权益并征得其监护人明示同意外，不得向其进行个性化推荐。

梅林表示，一方面这条规定可以避免对未成年人上网的过度商业化，另一方面的作用是避免未成年人陷入“信息茧房”。他强调，未成年人的价值观正在形成之中，如果上网浏览的大量信息都是根据用户画像推荐的个性化内容，会导致他们无法全面的认识世界，容易养成偏激的思维习惯和性格，容易被煽动，对身心心理健康不利。

在许可看来，该条款“需要一分为二地看，它既有积极意义，但也存在问题。”他解释，保护未成年人在“个性化推荐”中的安全，关键是把控其中的内容（比如新闻、资讯、色情内容等）安全，即重点应放在禁止信息内容个性化推荐上，而不是一概禁止所有的产品和服务。