程啸：论大数据时代的个人数据权利 | 前沿

中国民商法律网

本文摘编自程啸：《论大数据时代的个人数据权利》，载《中国社会科学》2018年第3期。

作者：程啸，中国民商法律网授权学者，清华大学法学院教授、博士生导师。

全文共3950字，阅读时间约18分钟。

在大数据时代的背景下，合理界定个人数据上的权利，对于协调自然人民事权益的保护与促进数据产业的发展，至关重要。无论是立法者还是研究者，在讨论个人数据权利配置时，都应当注意协调多方的利益关系。清华大学法学院程啸教授在《论大数据时代的个人数据权利》一文中，以自然人的民事权利保护与数据企业的数据活动自有关系的协调为思路，对大数据时代个人数据的权利问题进行了深入研究。

 一、数据与民事权利的客体

数据既不是物（动产和不动产），也非智力成果或权利。作为信息网络科技发展的产物，数据表现为存在于计算机及网络上流通的在二进制的基础上由0和1组合的比特形式，无法脱离载体而存在，数据的交易也必须依附于平台、代码、服务协议、交易合同这些技术和法律关系的整体性交易过程，不可能独立完成。作为无形物的数据，不可能被某一特定主体独占，具有非独占性或共享性的特点。 数据的上述独特之处使理论界产生了一种否认其作为民事权利客体的观点。这种观点认为，数据具有无形性，且其本身不具有独立的经济价值，数据的保护问题应当交由技术手段而非法律手段解决。 

本文不赞同上述观点。一方面，信息是数据的内容，数据是信息的形式，在大数据时代，无法将数据与信息加以分离而抽象地讨论数据上的权利。另一方面，作为无形物的数据，当然受到代码或技术规则的控制，需要通过技术手段防止他人的窃取。然而，数据的此种特性并不意味着人们无法将之作为民事权利的客体而加以支配和控制。由此，为了既能保护个人的民事权益，又可以促进数据的流动与利用，从而实现社会福利的最大化，数据应当作为民事权利的客体。

综上所述，尽管数据是随着科技社会的发展而产生的一种新的客体，具有无形性和非独占性等独特的特征，但是数据依然具有民事权利客体所要求的独立性与财产性，是现代民法中一类新型的民事权利客体。 

二、个人数据的界定 

归纳起来，大数据时代的数据来源有以下四类：一是传统信息系统产生的数据，如商务过程的数据；二是环境状态的数据，即由传感器产生的数据；三是社会行为的数据，即人类在社交媒体上进行交际而产生的数据；四是物理式实体数据，即数字化制造，如3D打印而产生的数据。 

对于大数据时代的数据，无论其来源如何，都可被分为两类：个人数据与非个人数据。数据的“可识别性”(identifiable)是区分个人数据与非个人数据的关键标准。由于个人数据可以识别出特定自然人，因此对个人数据的收集、存储、分析和 使用不可避免地会对特定自然人产生影响。如果法律上对此不予规范的话，很容易出现有人利用个人数据侵害自然人隐私权等人格权益以及财产权的恶果。 

至于那些无法识别出特定自然人的数据即非个人数据，因不涉及自然人权益的保护，故此法律上没有必要给予过多限制。需要注意的是，个人数据的匿名化只是相对的，在可获得的数据来源越来越丰富以及算法越来越强大的大数据时代，无法识别出个人的数据也存在重新具有可识别特定个人的可能。故此，法律上对于数据的匿名化也有相应的要求，只有经过无法再识别的匿名化处理的个人数据才能认定为非个人数据。我国《网络安全法》第42条第1款第2句也对数据的匿名化提出了相应的要求，即匿名处理的数据不仅应当“无法识别特定个人”，而且是“不能复原”的。 

三、个人数据上自然人的民事权利

(一)赋予自然人对个人数据民事权利的意义 

为了应对大数据时代引发的诸多问题，尤其是考虑到个人数据具有人格自由和人格尊严价值、商业价值和公共管理等多重价值，故此，要建构一套切实有效的个人数据的规范和治理体系，不仅要考虑行政规制，也要考虑民事法律上对自然人予以赋权，多管齐下，做出合理的制度安排，从而实现自然人权益保护、数据或信息业者以及国家三方利益的平衡。 

基于我国的历史和社会现实，应当将赋予自然人对个人数据以民事权利的正当性或意义建立在维护人格尊严和人格自由的基础上，更具有说服力，而这也是我国法学界的主流观点。 

此外，赋予自然人对个人数据以民事权利，还具有充分调动广大自然人保护个人数据积极性的作用，从而将个人数据的保护落到实处。 

(二)自然人的个人数据权利的内容 

法律上之所以规定某种民事权利，目的就是要保护权利人的某种利益，满足其需求。民事权利的内容不同，所保护的利益的不同，从而使得各项权利之间得以区隔。法律上承认自然人对个人数据的民事权利之后，应明确该权利的内容并将其与既有的民事权利相区分，从而确立相应的保护方法。

首先，我国现行法上已经明确承认了隐私权 (《侵权责任法》第2条第2款)，因此，作为与隐私权相并列的一类独立的民事权利，自然人的个人数据权利应当具有独特的保护对象而不应当包括作为隐私权保护对象的隐私利益，否则完全可以通过扩张隐私权保护个人数据，没有必要叠床架屋地提出所谓自然人对个人数据的权利。 

其次，自然人的个人数据权利保护的利益还应当是确定的利益。易言之，自然人对个人数据的利益必须是具有一定程度的社会可识别性的，这就意味着该利益是稳定的、持续的，值得信赖的，至少社会大众的观念出发是认可该利益的存在。 依据这一标准，那种认为自然人的个人数据权利旨在保护的是自然人对个人数据的财产利益，如通过协商议价而将个人数据作为财产予以转让的观点，令人难以苟同。 

一方面，大数据时代中单个自然人的个人数据本身并无价值，真正蕴涵巨大经济价值的是政府以及数据从业者即数据企业所收集和储存的海量的个人数据。另一方面，现代社会生活中人们每天以各种方式让他人收集和存储自己的个人数 据。无论是自然人还是收集数据的人，都不可能一一协商定价来进行个人数据的交易。就个人享受数据企业提供的数据产品和服务而言，虽然数据企业依法应取得被收集个人数据的自然人的同意，但作为消费者的自然人并没有协商的空间和议价的能力。这就导致了自然人在个人数据的所谓经济利益根本就没有谈判议价的可能性。相反，如果法律上要承认自然人对个人数据享有受到保护的经济利益，反而会使得一些人滥用该权利来阻碍数据技术和数据产业的发展，最终损害社会的整体福利。 

在大数据时代，法律上赋予自然人对个人数据的权利，该权利本身的内容既非自然人对个人数据的隐私利益，也非从个人数据交易获得的经济利益，而是保护自然人对其个人数据被他人收集、存储、转让和使用的过程中的自主决定的利益，此种利益具体表现为以下三项：

其一，知悉个人数据被收集、被基于何种目的而加以收集以及使用的目的、方式、范围并基于此加以同意的利益；

其二，知悉个人数据被转让并在未经同意拒绝转让的利益；

其三，查询个人数据并在个人数据出现错误或遗漏、缺失时有权要求删除、更正或补充的利益。对上述三项利益，我国现行法律均有明确的规定。因此，自然人对个人数据的自主利益本质上是防御性或消极性的利益，而非积极性的人格利益或财产利益。 

(三)自然人的个人数据权利的民法保护 

自然人的个人数据权利具有以下效力：

首先，要求停止侵害的效力，即自然人有权决定是否同意他人收集、存储或转让个人数据，在他人未经同意而收集个人数据时有权要求停止侵害。

其次，查询与更正的效力，即自然人有权查询自己的个人数据并在该数据不完整或不正确的时候要求更正。

最后，在侵害自然人的个人数据权进而导致自然人其他的民事权益被侵害时，被侵权人有权要求侵权人承担损害赔偿责任。

四、数据企业对个人数据的权利 

(一)数据企业对个人数据权利的正当性基础 

数据企业对合法收集的个人数据享有应当受到法律保护的权利，并且该权利既不依赖于被收集者的授权，也不依赖于其他在先权利或许可，而是基于以下原因原始取得的权利：

首先，就个人数据而言，数据企业依据法律规定，在公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意收集个人数据的行为是合法的事实行为。该行为不具有违法性，免除了数据企业侵害被收集者既有权利 (如隐私权)的侵权责任和其他法律责任。 

其次，数据企业本身收集、存储个人数据的行为需要付出相应的成本，而且他们向被合法收集个人数据的被收集者支付了合理的对价，符合公平原则，理应产生相应的民事权利。 

(二)数据企业数据权利的内容与民法保护 

我国《民法总则》第127条规定:“法律对数据、网络虚拟财产的保护有规定的，依照其规定。”显然，立法者在紧接着人格权、物权、债权和知识产权之后规定，对数据的保护，实际上等于认同了数据的权利是一种新型的财产权利。但是，这种权利的性质如何，立法者却没有明确。目前司法实践中，就他人侵害数据企业数据权利的侵权案件，则是通过 《反不正当竞争法》加以保护，即将侵害数据企业数据的行为认定为不正当竞争行为。 

实际上，通过《反不正当竞争法》保护数据企业对数据的权利，实际上等于将数据企业的数据权利降格为一种受法律保护的纯粹经济利益，只能在其遭受特定 方式侵害的时候获得救济，其保护的强度和密度显然不足。 

我国法上应当明确规定数据企业的数据权利，即数据企业对合法收集的包括个人数据在内的全部数据享有支配的权利，性质上属于独立于人格权、物权、债权、知识产权的新型财产权。具体来说，数据企业数据权利的内容及其保护方法包括如下几项：

其一，数据企业在得到自然人同意的情形下，有权收集个人数据并进行存储 (占有)。至于非个人数据，则数据企业有权依据法律规定的方式进行收集和存储。

其二，数据企业在得到自然人的同意的前提下，可以按照法律规定及与自然人约定的目的、范围和方式进行分析利用个人数据。而在个人数据进行符合法律规定的匿名化处理后，无须得到自然人的同意即可在不违反法律和行政法规强制性规定的前提下进行使用。

其三，数据企业有权处分其合法收集的数据，如转让给其他的民事主体或授权其他民事主体进行使用。但是，对于个人数据则必须得到自然人的同意，才能进行处分。 

其四，数据企业的数据权利在遭受他人侵害时有权要求侵权人承担侵权责任。 

在大数据时代的背景下，合理界定个人数据上的权利，对于协调自然人民事权益的保护与促进数据产业的发展，至关重要。无论是立法者还是研究者，在讨论个人数据权利配置时，都应当注意协调多方的利益关系。既不能仅仅为了保护自然人的权益，无限度地扩张自然人对个人数据的权利边界，从而妨害数据的流动、分享与利用；也不能无视数据企业对其付出成本而合法地收集、存储和利用个人数据的权利。 

推荐阅读

近期好文

责任编辑：杨怿瑽

图片编辑：师文、李欣南、刘小铃、金今