张凌寒：数据生产论下的平台数据安全保障义务 | 前沿
中国民商法律网
本文摘编自张凌寒：《数据生产论下的平台数据安全保障义务》，载《法学论坛》2021年第2期。本文未经原文作者审核。
【作者简介】张凌寒，法学博士，北京科技大学文法学院副教授。
《数据安全法（草案）》与我国其他法律法规共同设置的平台数据安全保障义务，对平台的运营成本、合规方式、法律责任承担产生了重大影响。然传统的民事侵权责任理论已经无力解释其庞杂的体系与多样化的内容。对此，北京科技大学文法学院张凌寒副教授在《数据生产论下的平台数据安全保障义务》一文中，围绕网络平台的数据安全保障义务，梳理了我国平台数据安全保障义务的制度框架与发展脉络，探讨平台何以承担数据安全保障义务及其面临的实践困境，以期合理划定平台数据安全保障义务的边界，促进数字经济发展。
一、
网络平台数据安全保障义务的发展脉络与制度体系
（一）平台数据安全保障义务的发展
《数据安全法（草案）》第25条至第33条搭建了平台数据安全保障义务的制度框架，然该义务并非《数据安全法（草案）》首创，而是我国10余年来多部法律法规、政策性文件及诸多技术标准累积构建而成的一个内涵丰富、动态发展、规范层次多样的制度体系。这一体系的发展过程历经三个阶段，总体呈现出平台数据安全保障义务的不断扩张趋势。具体表现有，数据安全的理念从静态安全转向静态与动态安全并重的系统性安全理念；制度层次从法律法规扩展到政策、技术标准、场景规范等规范体系；平台数据安全保障义务从结果型义务，转向事前事中事后多环节覆盖全数据生命周期的义务等。
（二）平台数据安全保障义务的理论基础及其局限
平台数据安全保障义务体系包含有民事责任、行政监管与管理制度，传统的民事侵权责任理论已经无力解释其庞杂体系与多样化内容。第一，数据安全保障义务保护的法益远超“安全”，不仅包括技术风险，也包含歧视性定价、搜索排名和隐私侵害等数据利用活动中的道德和伦理风险，超出了《侵权责任法》的保护范围。第二，平台的数据安全保障义务设定了宽泛的平台注意义务，导致合理注意义务标准模糊。第三，平台自动化运行带来了归责难题，按照传统侵权责任理论，平台依据算法自动进行的数据处理行为，会导致平台责任的“行为人与责任人相分离”，这与实践中各国逐渐加强平台责任的做法相悖。
二、
平台在数据社会生产中的地位：核心经济组织
人工智能时代，数据成为社会生产要素，对平台法律地位和义务来源的观察也应转向数据生产的视角。
（一）人工智能时代的社会生产：数据生产
1.数据生产要素的提炼：个人信息收集。用户在线追踪技术被用于获取用户个人信息。作为生产要素的个人信息和行为数据具有巨大经济价值，是数字经济时代企业竞争的核心资产。
2.数据生产要素的加工：用户画像与预测。平台架构与算法能大规模从数据主体身上提取数据流，再通过用户画像和用户行为预测，将这些数据流转化为最适合工业规模开发的形式，从而将信息转换为利润。“大数据杀熟”、个性化定向广告、搜索引擎在线内容排序，短视频平台内容推送等等，均是对于数据生产要素加工的结果。
3.数据生产要素的流转与交易。一种符合数字经济时代生产模式的方式是，将高价值的消费者群体确定为平台公司、数据中介及其客户的剩余价值提取目标，并将这类消费者的数据在各类广告商、应用开发商和雇主之间分享。
（二）平台地位：数据生产的社会经济核心组织
平台是数据生产要素的提炼加工者。数据对于用户来说，只是互联网浏览的副产品。然而从社会生产的角度看，个人信息的收集和加工不仅是一种隐私的侵犯，更是一种社会生产的控制模式。于平台而言，数据是可以变现的重要生产要素，或由平台自我保留用于广告推销，或是分析后打包转卖，数据的价值只有在平台的运作中才能够充分体现。
平台是数字经济的基础设施。一方面，平台作为数字经济基础设施，缩短了生产和消费的环节，为社会提供存储、连接与计算服务。另一方面，无技术能力的企业也只能以接入平台的方式获得平台的数字经济基础设施服务，作为竞争参与者利用数字经济技术设施获得竞争优势，因此出现了利益的冲突而受到指责。
平台是数字经济交易的多边市场。平台通过提供数字经济基础设施技术的方式，以一站式入口方式将多个服务集成在一个客户端软件或应用程序上，对交易与市场的控制力远高于传统市场，实现多方资源在平台的链接与融合。
三、
平台数据保障义务的性质：平台在数据生产中权力的纠偏
平台的上述三种角色分别对个人权利、公共安全与国家权力产生了威胁，设置平台的数据安全保障义务是针对平台作为以上角色享有法律特权的纠偏机制。
（一）个人信息权利保护：平台在数据生产要素收集中的权力纠偏
平台的个人信息保护的义务，是为了解除平台对于个人权利的威胁。对于用户来说，用户无权就平台采集和处理数据提出异议，其地位从消费者沦为数据生产的资源，丧失了自我控制与主体性。基于隐私权和数据自决权的平台权力纠偏机制，受制于个人主义的框架，无法应对平台在数字经济生产中的强势地位。平台数据安全保障义务中的个人信息保护义务，就是为了进一步衡平这种平台在收集和使用用户个人信息和行为数据的方面的特权，要求平台保证“数据活动的合法性，收集方式、目的和使用范围的合法性要求，并且不得超过必要的限度”。
（二）安全管理制度：平台作为数字经济基础设施的法定义务
监管部门则将安全管理制度作为平台合规的考察点。平台数据安全保障义务中的安全管理制度，是为了解决平台对于数字公共安全的威胁。平台作为数字经济基础设施具有强大技术优势，公权力不仅没有能力介入数据加工、流转等流程，甚至没有能力监测平台的数据安全质量。由此，政府的监管思路是推动平台责任从外在转为内在，推动平台自我建设强有力的基础设施服务。建立完善的数据安全日常管理制度并保障其日常运行，以确保数据的安全。
（三）配合监管维度：平台作为多边市场的协同治理责任
平台数据安全保障义务中的配合监管责任，目的在于解除平台权力对国家权力的威胁。平台作为数字经济的多边市场，可能产生平台行为的外部性，特别是数据非法交易、不正当竞争和垄断行为。因此，政府要求平台参与市场的协同治理，并承担一定的行政义务。《数据安全法》《食品安全法》与《广告法》中皆有相关规定。
四、
平台数据安全保障义务的合理构建
（一）数字生产中平台的“安全生产与产品质量”责任
将平台作为数据生产要素的提炼加工者，则可从安全生产与产品质量的角度考量平台与用户个人的权利关系：第一，平台数据安全保障义务的设置，应将加工数据的算法作为规制重点；平台还应承担生产者延伸责任，在投放自动运行的算法之前进行算法影响评估。第二，平台作为数据提炼加工者，应对经算法加工的“数字产品质量”负责。用户应有权利知晓瑕疵“数字产品”的存在，并有权质疑、拒绝和更换质量瑕疵的“数字产品”。第三，用户个体权利的保护主要依靠法律设置合理的平台义务与法律责任，以及政府的监管体系，仅以私权利救济作为补充。
（二）合理的平台责任水平促进数字社会生产
平台是数据生产的核心经济组织，但并不意味着平台应承担无限的法律责任。这就要求为平台责任划定合理的边界，既保证平台承担应有的数字安全保障义务，又促进数字社会生产的发展。第一，设置合理的生产机制激励数字生产要素流动，不宜为平台的数据安全保障设置严格责任。第二，不宜一刀切地划定平台注意义务标准，而应根据平台在数字生产中承担的角色对平台法律责任予以场景化划分。第三，合理的平台责任水平设置需考虑到对市场竞争的影响以及大中小型平台的差异性。
五、
结语
《数据安全法（草案）》确立了多维度多主体的数据安全治理体系，平台是其中最为重要的主体。平台是数字经济中核心的社会生产组织，扮演着数据提炼加工者、经济基础设施和多边市场的多重角色，因此被法律加诸不同层次的义务以衡平其在数字生产领域的特权。以数字生产中平台的地位来解释平台的法律责任，有助于从规范正当性层面理解平台责任，破解平台责任仅为功能主义进路的理论误区。
近期好文