申卫星：数据产权：从两权分离到三权分置 | 中法评 · 思想
申卫星
清华大学法学院教授
数据产权制度是整个数据基础制度构建的逻辑起点，如何将《数据二十条》中的政策语言转化为法律语言，使得数据三权分置方案这一纸面上的权利转化为现实的法律上的权利，成为亟待解决的理论难题。借鉴土地生产要素市场化路径，本文提出在数据所有权和数据用益权两权分离的基础上，以数据用益权为基础性权利，将数据三权分置方案纳入数据产权分立的理论框架中，数据资源持有权、数据加工使用权、数据产品经营权可以被视为各阶段数据用益权的具体表现形式，由此形成从“两权分离”到“三权分置”的数据确权思路。
本文首发于《中国法律评论》2023年第6期思想（第125-137页），原文17000余字，为阅读方便，脚注从略。如需引用，可参阅原文。购刊请戳这里。
本文系国家社科基金重大项目“互联网经济的法治保障研究”（18ZDA149）的阶段性研究成果。
目次
一、新兴要素市场化改革与权利分离
二、数据确权的思维困境与理论突围
三、如何理解数据产权“三权分置”
四、做好数据确权基础上的数据分类分级授权
五、结语
以ChatGPT为代表的大语言模型的横空出世再度点燃了AI赛道的热度，也催生了AI产业正式步入大模型时代。“大数据+人工智能”的发展态势将进一步助推大数据带来的数据经济发展和数据资产化加速的趋势，对由数据引发的法律制度变革的时代课题予以研究也越发紧迫。
是否有必要在数据这种新型生产要素之上确立财产权以及确立何种财产权，是当前各个国家和地区都面临的重大理论和实践难题。我国是世界上首个将数据视为新兴生产要素的国家，这符合数据成为经济资源的新趋势。习近平总书记强调，数据基础制度建设事关国家发展和安全大局，要统筹推进数据产权、流通交易、收益分配、安全治理，加快构建数据基础制度体系。
2022年12月，党中央、国务院发布《关于构建数据基础制度更好发挥数据要素作用的意见》（以下称《数据二十条》），从数字产权、流通交易、数据分配和数据治理四个维度系统地布局了我国数据基础制度体系的“四梁八柱”，具有里程碑式的重要意义。其中，数据产权制度是整个数据基础制度体系构建的逻辑起点。
《数据二十条》提出“建立数据资源持有权、数据加工使用权、数据产品经营权等分置的产权运行机制”，即数据三权分置方案，对数据产权制度做出了具有突破性进展的规定，可以视为该文件的最大亮点。
在此背景下，如何将《数据二十条》中的政策语言转化为法律语言，使得数据三权分置方案这一纸面上的权利转化为法律上的权利，成为亟待解决的理论难题。本文认为，应当在数据所有权和数据用益权分离的基础上，以数据用益权为基础性权利，将数据资源持有权、数据加工使用权、数据产品经营权的“三权分置”方案纳入数据所有权与用益权分离的理论框架中，形成从“两权分离”到“三权分置”的确权思路。
新兴要素市场化改革与权利分离
2019年10月，党的十九届四中全会首次把数据列为与土地、劳动、资本和技术相并列的生产要素，相比于其他四类生产要素，数据作为新兴生产要素，既符合传统生产要素市场化配置的一般规律，也呈现出许多新特征。但是回顾各个要素市场化改革的历程，无一不是经历了从新兴权利的分立，到实现要素的市场化的过程。
以土地为例，在没有进行土地要素化改革之前，土地的公有制决定了土地不能流转，不论是国家所有的城市土地，还是集体所有的农村（含郊区）土地，土地所有制的单一性和主体的唯一性，决定了土地本身是无法流转的，否则就会破坏土地公有制乃至国家基本经济制度。可是，土地要想成为要素，就必须进入市场。
为此，改革路径没有一味地盯着所有制进行，而是采取了权利分割的理论：在不改变土地公有制的前提下，在国家享有城市土地所有权和集体享有农村（含郊区）土地所有权不变的前提下，从土地所有权中分立出国有土地使用权和农村土地承包经营权，建立起土地所有权和使用权两权分离的权利配置格局，并通过土地使用权入市实现了土地要素的市场化。
我们今天面临数据作为第五要素如何实现其市场化，同样需要进行法律制度上的创新和变革。
当初开展土地要素化改革时，不论是城市土地还是农村或郊区的土地都面临着土地流转和增值的困境，这直接导致了土地的要素作用无法充分发挥，引发用地难题。发挥土地作为财富之母的增值功能成为土地“两权分离”重要改革的出发点。家庭联产承包责任制是农村土地权利结构“两权分离”的基础，打破了农村集体统一经营的土地制度，确立了家庭经营的主体地位，大大提高了农村用地的效益。
在改革过程中，安徽省凤阳县小岗村率先实行大包干责任制度，在不破坏农村集体土地所有权的前提下，允许农民对土地享有承包经营权，有效地推动形成集体土地所有权与农村土地承包经营权“两权分离”的土地产权制度，为“中国经济奇迹”夯实了坚实基础。
在城市，通过建立城市国有土地有偿使用制度，开启了国有土地有偿使用和市场化配置制度改革的序幕。比如，20世纪世纪80年代初，深圳蛇口为吸引香港商人投资，允许港商通过政府土地批租制度，享有一定范围内的土地使用权，有力地推动了国家经济建设以及对外开放战略实施。土地上所有权与使用权“两权分离”的历史性转变，使得我国后续四十余年的快速城镇化、工业化进程成为可能。
今天面对《数据二十条》我们同样应该有一个基本的态度，就是任何改革往往都是“政策先行开路、法律其后跟进”。政策因其灵活性，可以先行在部分地区试点然后逐步推开，在总结经验的基础上，不断改进、优化政策，当其逐步成熟时即可上升为法律。
彰显农地利用效率的所有权与使用权“两权分离”制度与中央政策文件的指导思想相吻合，逐渐被《土地管理法》《农村土地承包法》等以法律形式固定下来。尤其是，土地生产要素所有权和使用权“两权分离”的实践，后来通过2007年颁布的《物权法》明确了其物权地位和效力，并进一步体现在2020年通过的《民法典》物权编中。
在保证所有权不变的前提下，以土地使用权为基础，构建起了具有中国特色的物权法律制度体系。不同于西方国家在土地所有权基础上建立的物权法律制度，我国物权法制度是以农村土地承包经营权和城市建设用地使用权这些用益物权为基础建立起了财产利用制度体系，这可谓人类制度改革史上的一个创举。
对比中国土地要素市场化改革的历程，我们会清晰地看到两点：一是，一个新兴要素的提出必然引发对既有体制的一次改革，改革就意味着创新，要创新与既有体制不同的权利运行机制，这其中就包括在原有的权利基础上进行新兴权利的创新和分立。二是，任何新兴要素的市场化改革都是先从政策改革做起，然后部分试点逐步推广到全国，成熟后上升为法律的一个过程。
从如今数据要素市场化改革的进程来看，《数据二十条》已然吹响了数据要素化的号角，谁又会率先成为数据市场化改革的“蛇口”和“小岗村”呢？土地要素化两权分离改革大大地推进了中国城镇化、工业化进程，数据作为第五大要素的提出和相应的制度构建，必将推动中国数字经济的发展和信息社会的形成。
数据确权的思维困境与理论突围
当今中国数字经济蓬勃发展，得益于信息技术的进步、交易模式的创新和人口红利的释放，并有望使得中国在世界经济体中“弯道超车”。为了确保中国数字经济健康有序地高质量发展，我们需要对数字经济进行顶层设计和基础性制度构建。《数据二十条》构建了包括数据产权、流通交易、收益分配、安全治理在内的数据基础制度体系，其中的数据产权制度可谓是“基础中的基础”。
《数据二十条》提出了建立数据资源持有权、数据加工使用权、数据产品经营权结构性分置的数据产权运行制度，由于这“三权”在现行法律中没有依据，进而衍生出学术界对数据三权分置的不同解读。有学者坚持认为，现有法律制度对数据的保护已经足够完善，无需对数据确权。可见，对《数据二十条》的正确解读和贯彻落实要回答如下三个基础问题：一是数据是否需要确权？二是数据应如何确权？三是如何理解数据产权的三权分置，并将其转化为现实的法律？
1.数据是否需要确权
反对数据确权的主要理由可以分为必要性和可行性两个方面。从数据确权必要性的角度，主要是从价值衡量上认为数据是一种“公共产品”，没有必要进行确权。若确权将带来交易成本增加，引发“数据壁垒”，与数据资源生产和使用的社会性相悖，阻碍数字经济发展，不利于建构高效数据流通利用秩序。
事实上，这种对反对数据确权的认识存在误解。一方面，对数据进行确权，不意味着任由孤岛式的数据权利“烟囱林立”，也不意味放任垄断式的数据“霸权横行”。数据产权制度的设计目的是消除数据领域的“公地悲剧”，同时还要在确权的前提下进行相应的权利限制，以避免形成“反公地悲剧”现象。现今时代任何权利都不是没有边界的，法律要通过赋权与限权相结合的制度设计，实现个体激励机制与公共利益维护的平衡。所以，清晰、合理、衡平的数据产权制度设计不会阻碍数据流通，反而会促进数据要素高效利用。
另一方面，当前在没有明确数据财产权规则的环境下，数据控制者往往不敢开展数据共享、交易，数据要素市场陷入一个缺乏信任和预期的死循环之中，陷入数据利用的“丛林法则”境地，无法实现数据的开放共享。当下，数据获取和利用的需求和难度日益增加，我们需要及时制定财产权规则来破解迷局。
从数据确权的可行性角度，即从立法技术上，有学者质疑数据因自身特性（无体性、非独占性、非排他性和非消耗性等）无法被确权，不能归入民事权利的客体范畴，数据权利化难以实现。对此，已经有越来越多的学者认识到，虽然数据的独特属性使其很难纳入传统的产权范式，但是数据的无形性、非排他性、非竞争性、非消耗性等特征并不是数据产权制度建立的根本障碍。
数据产权明晰是建立数据交易规则，从而形成有效市场建立良好市场秩序的前提，数据产权制度可以推动数据产业生态系统的发展。其实，传统物权法理论要求的物权客体有体性、特定性、独占性等特征，已随着经济社会的发展逐步被突破，数字时代财产权的赋予更多的是强调主体对各式各样新兴客体的支配对抗、许可使用、流通转让、担保融资等功能的发挥。
在对数据规范模式的选择上，也有学者主张在数据边界模糊、占有关系退却、多主体协商面临巨大交易成本的大数据应用场景下，很难适用实际占有状态下的财产规则保护，而只能适用责任规则对侵害数据权益的行为事后追究侵权责任。事实上，数据确权的意义绝不仅仅只是为了保护数据，更在于促进数据交易和利用；不仅仅是为了保护特定主体的权利，也是为了创造可信有序的商业环境，进而激励数据权利人积极地共享或转让其合法享有的数据权利。
由此我们可以说，为数据确立相关权利不仅是为了保护数据主体，更是为积极寻求数据主体、数据处理者和社会整体利益之间的平衡。只有明确了数据权属，权利人才拥有通过许可、转让、入股、信托、质押融资等方式对数据展开充分利用的法律基础。
2.数据应如何确权
关于数据如何确权，立法一直颇为犹疑。早在2017年《民法总则》起草时期，数据权属问题就已经引起了立法者的注意，但是那时数字经济刚刚兴起，研究尚不充分，贸然立法恐会阻碍数字经济的发展，由此就有了《民法总则》第127条的规定，“法律对数据、网络虚拟财产的保护有规定的，依照其规定”。
及至3年后《民法典》颁布时，数据权属之争的司法实践已经呈现几何式的增长，但是立法仍然采取了保守的立场。即与《民法总则》相比，同样序号为第127条的规定只字未变，虽体现了民事立法的承继性传统，但也为数据权属立法留下了空白。当然，这一条的规定可以称之为法律保留的“立法留白”，须待实践的发展和理论的创新来填补。
与国家立法表现出的谨慎态度相反，地方立法却异常积极。根据《中国法治发展报告（2023）》的统计，截至2022年12月31日，我国已有21个省市共出台了25个数据相关条例，地方数字立法省级覆盖率达到67.74%。这些现实都表明构建数据财产权规则是匹配中国数据要素市场发展的必然要求，数据确权问题的相关立法也已经到了必须正面回应、着力解决的关键阶段。但受制于立法位阶，地方立法缺乏对数据基础权利的立法权限，作为基本民事权利的数据权属立法只有全国人大及其常务委员会才有此权限。
在司法实践中因数据权属产生的纠纷此起彼伏，司法“造法”日趋活跃。面对大量数据权属纠纷，法律没有明确规定，法官在裁判中创造了诸如“竞争性利益”“大数据产品的合法权益”“三重授权原则”等现行法中缺乏依据的新概念和新思路。
在这些数据纠纷中，表面看是各大平台企业之间的数据产品竞争，如“新浪微博诉脉脉”“大众点评诉百度”“头腾大战”等，但真正进行到诉讼的关键阶段时，会转化为平台企业对自己付出了资本、技术和劳动而汇集的用户的数据资源究竟有怎样的权利这个关键问题，即数据权属之争。换言之，甲平台诉乙平台非法数据爬取时，乙平台就会抗辩“我爬取的是用户的数据，又不是你的？”。所以，形形色色的平台之间数据权属之争背后的核心问题在于，数据权利在作为来源者的用户和作为处理者的平台企业之间如何进行分配。
对此，要么根据劳动赋权理论主张平台企业有数据财产权，要么主张用户享有数据所有权，还有折中的方案，主张平台与用户共有数据。对此，笔者一贯主张，数据确权不能在用户与平台之间采取非此即彼的进路，也断不可采共有的模式，而应采取“权利分割”的理论模式。
用户个人和平台企业分享数据权利，其中用户拥有有限的所有权——主要体现在许可和收费权能上，平台企业通过“授权+付费”方式获得一个稳定的数据用益权，从而在用户个人和平台企业之间实现了“所有权—用益权”的两权分离。即用户保有个人数据所有权是维护其数字世界人格尊严的前提，平台企业同时获得一项独立充分的财产权。同前述土地要素化一样，数据也须在“两权分离”理论架构下，解决数据要素市场化的难题，以企业数据用益权为基础构建数据权利和交易的体系。对《数据二十条》三权分置的解读需要建立在“两权分离”的理论基础上。
《数据二十条》第7条指出“建立健全数据要素各参与方合法权益保护制度”，在诸多数据要素的参与方中，文件重点区分了数据来源者和数据处理者，且规定“充分保护数据来源者合法权益……合理保护数据处理者对依法依规持有的数据进行自主管控的权益”，即不仅在主体上进行了区分，也对两种不同主体的权利进行了区分，即数据来源者对自己数据的合法权益和数据处理者对其持有的他人数据进行自主管控的权益。
前者的主体是用户，他们因为在各种平台上的浏览、点赞、评论、购买记录等引发了数据的产生，作为来源者拥有对数据的获取、复制、转移等权利；后者主体是平台企业，他们对其依法依规（要么有法定事由而采集，要么得到用户同意的授权而采集）所持有的他人数据，可以进行自主管控的权利，包括但不限于排除他人的不当爬取，对外进行许可使用、有偿转让、投资入股、质押融资等权利。
所以，在数据资源采集阶段就形成了用户所有权与平台数据资源持有权的分离，并在后续加工使用、产品开发阶段表现为数据加工使用权和数据产品经营权。可见，数据所有权与数据用益权（《数据二十条》将其表述为“数据使用权”）两权分离，是理解数据三权分置的逻辑起点。
数据产权作为一项基本民事权利，应采取财产权法定原则，即由全国人大及其常委会通过的法律对数据产权予以规定。根据新修订的《立法法》第11条第8项对于立法权限的规定，“民事基本制度”事项只能通过制定法律来规定，地方立法在数据产权问题上没有立法权限。尽管我国先后有21个省市出台了各自的数据条例，部分省市曾努力试图提出关于数据产权的制度建构，但是最终都没能彻底实现，究其根本原因在于数据产权涉及民事基本权利，只能由全国人大及其常委会通过法律加以明确。
在法律正式对数据产权问题做出规定之前，政策文件可以发挥重要作用。就像上文提到的我国农村土地规范的历史沿革中，采用的也是中央政策文件先导的思路，因而《数据二十条》是解读数据产权的关键，下一步工作的重点就是如何将《数据二十条》所确立的数据三权分置这一政策性规定转化为法律权利，纳入现行法律体系中。
如何理解数据产权“三权分置”
《数据二十条》第3条规定：“根据数据来源和数据生成特征，分别界定数据生产、流通、使用过程中各参与方享有的合法权利，建立数据资源持有权、数据加工使用权、数据产品经营权等分置的产权运行机制，推进非公共数据按市场化方式‘共同使用、共享收益’的新模式，为激活数据要素价值创造和价值实现提供基础性制度保障。”数据三权分置方案的提出使得《数据二十条》成为数字经济发展到关键时期的重要文件，对保障数字经济健康有序发展将发挥重要的引领作用。
下文将在两权分离的理论基础上，进一步解读《数据二十条》提出的数据三权分置方案。
1.作为三权分置“底座性权利”的数据用益权
本文认为，将《数据二十条》对于数据产权的制度设计纳入现行法律体系的关键接口在于“数据用益权”。此前笔者曾提出“数据用益权”的概念，即在数据权利体系的设计上，借鉴“自物权—他物权”和“著作权—邻接权”的权利分割模式，根据不同主体对数据形成的贡献来源和程度的不同，设定数据原发者拥有数据所有权与数据处理者拥有数据用益权的二元权利结构。
数据所有权与数据用益权协同的二元结构，其理论基础根植于财产法上的权利分割思想，德国学界基于权利分割思想（Abspaltungsgedanke），提出了源权利（Quellrecht/Stammrecht）和限制权利（beschränktes Recht）两组概念，源权利人可以从源权利中分离出有限权利，并将其授予其他人。
以所有权为例，源权利人可以将所有权的使用权能与变价权能分离，创设出用益物权与担保物权，以实现物的使用价值与交换价值，达致物尽其用。具体到数据权利分割中，通过意思自治或法定调整的方式分割数据所有权的权能，并将这些权能部分保留给数据源发者，部分分配给数据处理者，从而平衡数据归属和数据利用需求之间的张力问题。
通过“数据所有权+数据用益权”的“两权分离”模式来协调多方利益诉求，此时的权利设计可以在传统物权法框架中实现。其中，数据用益权属于一种新型的“用益物权”，这使得该二元模式具有更强的解释力和更广泛的应用价值。通过数据用益权将数据产权问题接入既有民法体系的过程，也体现了民法自身的包容性和扩张性，是民法强大生命力的表现。
“数据所有权+数据用益权”的两权分离模式在《数据二十条》中得到了相应的体现。
一方面，从数据的全生命周期来看，数据起源于用户的网络接入行为，作为数据产生的“原发者”，对用户进行赋权应该成为数据权利配置的逻辑起点。《数据二十条》第7条采用了“数据来源者”的概念，强调要“充分保护数据来源者合法权益，推动基于知情同意或存在法定事由的数据流通使用模式，保障数据来源者享有获取或复制转移由其促成产生数据的权益”。还特别提出了个人数据财产权益的实现方式，“探索由受托者代表个人利益，监督市场主体对个人信息数据进行采集、加工、使用的机制”，这实际上承认了个人作为数据来源者对自身数据享有财产权益。
另一方面，针对数据处理者享有的数据权利，明确为要“合理保护数据处理者对依法依规持有的数据进行自主管控的权益”，同时《数据二十条》第3条指出：“在保障安全前提下，推动数据处理者依法依规对原始数据进行开发利用，支持数据处理者依法依规行使数据应用相关权利，促进数据使用价值复用与充分利用，促进数据使用权交换和市场化流通。”
更为重要的是，《数据二十条》开篇即将“促进全体人民共享数字经济发展红利”作为构建数据基础制度的重要目标之一，而只有赋予全体用户以数据所有权，其才真正拥有了分享数字经济发展红利的权利基础。在这一意义上，《数据二十条》形成了“来源者数据所有权+处理者数据用益权”的两权分离模式。
值得注意的是，虽然《数据二十条》没有使用“数据用益权”而是使用“数据使用权”的表述，但是文件中“数据使用权”即等同于笔者曾提出的“数据用益权”概念。在《数据二十条》起草过程中，笔者曾建议使用“数据用益权”一词，但是文件起草者认为该词过于晦涩难懂，难以被广泛接受。
但是现在所采用的“数据使用权”概念，从行文中可以看出其显然不仅仅限于使用权能，还包括收益权能。比如《数据二十条》第7条规定：“在保护公共利益、数据安全、数据来源者合法权益的前提下，承认和保护依照法律规定或合同约定获取的数据加工使用权，尊重数据采集、加工等数据处理者的劳动和其他要素贡献，充分保障数据处理者使用数据和获得收益的权利。”
从这一表述可以看出，文件起草者将“数据加工使用权”的主要内容界定为“使用数据和获得收益的权利”，而“使用、收益”正是笔者主张的数据用益权的核心内容。所以，数据产权三权分置中的“数据资源持有权、数据加工使用权、数据产权经营权”，不过是数据用益权在数据资源采集阶段、数据加工使用阶段和数据产品研发阶段三种不同表现形态而已。
针对《数据二十条》提出的“数据资源持有权、数据加工使用权、数据产品经营权”，有一种观点认为“三权分置”没有意义，因为民法体系中找不到相应的权利规定。笔者不同意这种观点，在数据三权分置已经被国家政策文件明确规定的前提下，我们要做的工作是如何将现有的政策规定转化为法律语言，让其从书面文字转化为实际应用，发挥引领数字经济发展的重要功能和价值。
从客观理性的立场来看，数据三权分置具有一个重要的背景，就是建立健全数据要素各参与方合法权益的保护制度。因为数据产权分配中，围绕着数据采集、存储、传输、加工、分析和使用等多个环节，有多元的数据参与者。而这些不同的参与者可以简化为两类：一是数据的来源者，二是数据的处理者，前者是数据的供给者，后者是数据处理行为的操盘手。因而《数据二十条》第7条构成了解读整个政策文件的逻辑起点，即“充分保护数据来源者合法权益”“合理保护数据处理者对依法依规持有的数据进行自主管控的权益”。
申言之，我们一方面要充分保护数据来源者的合法权益，另一方面要合理保护数据处理者的权益，由此实现“数据资源持有权”和“数据来源者合法权益”的分离。在数据产权中的数据所有权和数据用益权分离后，再进一步将数据用益权根据数据形成的数据采集、数据元件、数据产品等不同阶段加以具体化，形成数据资源持有权、数据加工使用权、数据产品经营权的三权分置模式。
数据三权分置是数据用益权在数据形成不同阶段的具体形式，数据用益权构成了数据三权分置的一个底座性的权利。数据产权制度是数字经济发展中的重要前提，不仅需要确定数据产权，而且需要明确数据要素各参与方合法权益，建立公共数据、企业数据、个人数据的分类分级确权授权制度，为激活数据要素价值创造和价值实现提供基础性制度保障。
本文进一步认为，只有明确了数据产权，才能促使数据的流通从无序走向有序，让数据的初次、二次和三次收益分配具有理论依据，从而促进数据资源的有效利用和流通，增强数据市场的信心和规范数据市场的秩序。
在如何进行数据确权的问题上，《数据二十条》提出数据的三权分置，实际上暗含着一种分层确权的思路：在数据采集阶段，基于知情同意的授权行为，实现用户数据所有权与企业数据用益权的分离，企业凭借数据用益权享有对他人数据资源的持有权；在数据汇集后，数据企业基于其先前取得的数据用益权享有对其持有数据的加工使用权，将原始数据资源加工成为数据集合等数据标品，从而实现标准化基础上的定价和交易；数据企业基于其享有的数据用益权，在数据标品的基础上可以研发出各种数据产品，从而对其数据产品享有经营权。
2.数据三权分置方案是数据处理者用益权的逐步展开
数据权利结构的设计是非常重要的，一方面，权利结构意味着可以从形式上抽象出普遍化的逻辑结论；另一方面，数据权利结构能从实质上设定具体场景下当事人的“当为”及“可为”。《数据二十条》确立了数据资源持有权、数据加工使用权、数据产品经营权的分置机制，而将这个政策性文件转化为法律规定最核心的转换接口就是“数据用益权”。就像苹果手机的ISO系统与华为手机的安卓（Android）系统存在对接难题的担忧一样，很多人不接受数据三权分置的理由是这三个权利与既有民事权利无法对接。
本文就此提出建立以数据用益权为核心的数据资源持有权、数据加工使用权、数据产品经营权分置的分层确权机制。其中，数据资源与数据产品的区分有利于准确把握数据财产构造和数据交易形态。基于数据用益权在不同阶段的权能，分别体现为数据资源采集阶段的持有权，在中间标品阶段的加工使用权，和做成数据产品之后的产品经营权。
具体来说，在数据的采集阶段，数据处理者享有数据资源的持有权，但因采集阶段涉及他人的个人数据，因而需要获得数据来源者的知情同意。虽然在《数据二十条》制定过程中，起草者认为推动数据产权结构性分置，应当跳出“所有权思维定式”，而聚焦于数据使用方面的权利。有学者进而认为，《数据二十条》淡化甚至放弃“所有权”概念，采用“数据产权”概念，完全不同于传统的财产权或产权概念，并不需要界定数据属于谁所有。
此种观点值得商榷之处在于，《数据二十条》虽跳出或淡化所有权思维，但不等于否定所有权。数据所有权作为数据使用权的“母权”，若被彻底否定，数据使用权将失去根基，成为无本之木。正所谓“皮之不存，毛将焉附”！在采集阶段，数据处理者享有所采集数据资源的持有权，使用“持有权”这一表述方式就是为了有别于“所有权”，而数据所有权应归属于引发数据产生的数据来源者。
在数据加工使用阶段，基于第一阶段的数据资源持有权，数据处理者可以对数据进行清洗、加工等标准化作业，将数据资源制成数据标品。由此可见对数据资源的持有不仅仅是为了持有数据本身，而是为了通过加工使用挖掘数据资源背后的价值，将数据资源变成数据资产。
事实上，在数据采集、加工、利用等过程中，“加工”是最为核心的环节，因为加工既是对所采集数据的加工，也是新数据的生产。数据加工使用权可以分为“数据加工权”和“数据使用权”，前者是通过处理数据（比如清洗、分析、转换等）改变原数据集合的性质、内容，生成新数据集合的权利；而后者则是在不实质改变数据集合的前提下，对数据进行分析、访问、复制等使用的权利。
在第三个阶段，开发者通过一定的算法，对数据集合进行深度的分析过滤、提炼整合并进行脱敏处理，最终形成具有市场价值的衍生数据：数据产品。数据产品本质上属于经加工形成的新型数据，可以按照“加工取得所有权”的一般原理进行处理。
数据产品虽然派生于数据资源或数据集合，但因加工行为增加的数据价值大于原初数据，故加工所得数据产品可归加工人所有。数据产品与数据资源不同，对于经过深加工、具有明确用途的数据产品，须充分尊重企业的经营自主权。《数据二十条》第7条也强调：“保护经加工、分析等形成数据或数据衍生产品的经营权，依法依规规范数据处理者许可他人使用数据或数据衍生产品的权利，促进数据要素流通复用。”如果数据产品的创造性达到知识产权的保护门槛，也可以适用知识产权法保护路径，数据产品开发者对其创造的数据产品享有所有权。
3.如何理解数据来源者的权利
行文至此，有个问题必须解决，就是关于数据来源者的权利与数据处理者的权利之间是什么关系。前文详述了数据处理者基于其数据用益权在数据采集、加工、数据产品形成三个阶段逐步展开形成的数据资源持有权、数据加工使用权、数据产品经营权，这就是《数据二十条》第7条所要求的“合理保护数据处理者对依法依规持有的数据进行自主管控的权益”。但这些权利都是数据处理者所拥有的权利，第7条还规定要“充分保护数据来源者合法权益”，同时第3条开篇就规定，“根据数据来源和数据生成特征，分别界定数据生产、流通、使用过程中各参与方享有的合法权利”。
这里引发的问题是，如何根据数据的来源和数据生成特征的不同来分配各参与方在数据上的合法权利？特别是，“充分保护数据来源者合法权益”，这里的“来源者的合法权益”是什么内容？是要充分保护数据来源者在数据上所享有的隐私与个人信息的人格权益，还是来源者的财产性权益？对此，《数据二十条》文件表述不明，不同学者也理解不一，为了充分理解这一概念，以下三个问题有必要阐释清楚。
第一，谁是数据来源者？所谓数据来源者，乃是引发数据从无到有得以产生的人，可以是作为自然人的用户，也可以是企业、组织乃至国家。企业作为数据主体，多数情况下为数据的处理者，但是有时企业也可以成为数据的来源者，盖由企业数据经营行为产生。至于国家作为数据的来源者，是针对那些存储国家公共信息的数据，如存储地位置信息的数据、气候信息的数据等，这些数据是国家资源，其来源者身份是基于国家的主体地位。
一般而言，数据的来源者多为作为自然人的用户，是用户的网络接入行为才引发了数据的产生，如基于用户的浏览、点赞、评论、购买记录沉淀下来形成的数据，是当今数字经济发展的宝贵数据资源。正是基于用户行为记录的数据，数据处理者才能进行加工、融合、分析，获得产品经营情况的分析报告，进行产品乃至产业的发展预测；也正是基于对用户行为的数据分析，数据处理企业才能对用户进行画像，才能进行个性化的广告推送，进行精准的营销；凡此种种，都是数据作为生产要素发挥作用最为常见的场景，也是当今数字经济发展的数据驱动模式。
第二，为什么要保护数据来源者？因为数据产生是源于这些来源者的行为。尽管有观点认为，很多情况下用户的浏览、点赞等网络行为都是无意识的行为，但是数据从无到有的产生就是基于用户这样的有意或无意的行为，即使很多时候相较于作为数据处理者的企业进行数据的收集、存储行为，后者的贡献更大一些，但是这些用户的网络行为是数据从无到有得以产生的逻辑与事实起点。
一切数据及其后续的数据加工行为都是源于作为数据来源者的网络行为，这也是当今中国数字经济得以蓬勃发展的原因，即我们所拥有的网民人口红利。因此，《数据二十条》开篇第1条的“指导思想”中就明确指出，发展数字经济“促进全体人民共享数字经济发展红利”，这些规定都体现了对数据来源者的数据源发行为的充分尊重。
第三，如何保护数据来源者？是指应赋予数据来源者何种权利以及应保护到什么程度，简言之，数据来源者享有什么权利及其权利的边界。对于数据来源者享有何种权利，可能会有学者主张，这里来源者的合法权益仅指数据上所负载的隐私权和个人信息权益等人格权，由此数据处理者才享有对其依法依规持有的数据进行自主管控的财产权。但是这样界分二者的权利，既不符合逻辑也不符合事实。所谓不符合逻辑，就是因为信息与数据不同，个人当然享有其个人信息的人格权益，但是存储个人信息的个人数据，尚须进行权利界定，不能简单地以个人信息含混地代替了个人数据的归属。
概言之，个人对信息享有人格权，不影响其对储存个人信息的数据享有财产权。所谓不符合事实，就是指数据的形成绝不单单是数据处理者的行为，尽管其价值很大但绝非全部。我们必须“根据数据来源和数据生成特征，分别界定数据生产、流通、使用过程中各参与方享有的合法权利”，否则便不符合数据生成的事实。换言之，作为来源者的个人和作为处理者的平台都对数据的生成发挥了作用，但是谁也未作出全部贡献。
至于应赋予数据来源者何种权利，笔者建议赋予来源者以数据所有权，尽管《数据二十条》的起草者一再强调要“淡化所有权”，但是淡化所有权不等于否定所有权，否则数据处理者的数据使用权便缺失了作为“母权”之所有权的支撑。赋予来源者以个人数据所有权还有更加深远的意义在于，如果仅宣称个人拥有信息自决权，却不能给个人以数据所有权，个人信息自决权只能是一纸空文。只有当个人对其数据拥有所有权时，才能有效地保证信息自决。
另外，《数据二十条》第7条将来源者的权利内容界定为“推动基于知情同意或存在法定事由的数据流通使用模式，保障数据来源者享有获取或复制转移由其促成产生数据的权益”，这里所确立的数据来源者对数据的获取、复制、转移，显然都是对数据这一财产客体的支配权，理应定性为来源者的数据所有权。
当然，这里的数据获取权、数据复制权、数据转移权等可以理解为不完全列举，究竟有哪些财产权利，端赖于作为来源者的个人与作为处理者的企业在知情同意基础上的自主约定，可以是以“服务/给付换数据”，也可以付费的方式使用来源者的数据，实践中甚至出现了上海智己汽车科技有限公司通过“CSOP用户数据权益计划”，将4.9%的股权配置给购买其汽车的用户，用以回馈用户在其后使用汽车过程中所创造的数据价值。2023年7月，北京市印发的《关于更好发挥数据要素作用进一步加快发展数字经济的实施意见》，创新性地明确“探索个人以按次、按年等方式依法依规获得个人数据合法使用中产生的收益”。
这些规定都体现了对作为数据来源者合法权益的充分尊重，也遵循了《数据二十条》关于“促进全体人民共享数字经济发展红利”的要求。更为主要的是，该规定赋予来源者一定程度的数据所有权，这将会极大激励来源者创造数据的积极性，从而使得未来的数字经济迸发出持久发展的活力。
做好数据确权基础上的数据分类分级授权
《数据二十条》在三权分置产权制度体系的建构中，特别强调在国家数据分类分级保护制度下，推进数据分类分级确权授权使用和市场化流通交易，明确要建立公共数据、企业数据、个人数据的分类分级确权授权制度。区分三类数据是数据权利架构设计中的关键步骤，据此，《数据二十条》在第二部分第（四）（五）（六）中分别规定了三类数据利用的制度建设。如果说数据三权分置是一种一般性的数据产权制度体系，那么三类数据授权体系就构成了特别的制度体系，数据流通利用的体系就此展开。
第一类是公共数据授权运行机制。《数据二十条》明确各级政府部门、企事业单位依法行政履职或提供公共服务过程中产生的数据属于公共数据。现行地方立法都从数据持有主体的角度而不是从数据性质来定义公共数据，唯一的例外是《北京市公共数据管理办法》。
但是究竟是以业务（行为）性质来界定其产生的数据性质，还是按照数据本身的性质或数据使用目的来界定，是存在争议的。公共数据有两种类型，第一种是公共机关在依法行政过程中收集的被管理对象的数据，比如户籍登记管理数据、各类行政执法数据等。这类公共数据中包含了大量个人数据，个人数据主体享有数据所有权，而公共机关作为数据处理者享有数据的使用权或用益权。
对这一类公共数据的运营，公共机关应当尊重个人数据权益：一方面，公共机关采集个人数据需要得到数据主体的授权，除非具有《个人信息保护法》第13条规定的例外合法性基础的情形；另一方面，个人数据主体可以参与数字经济的利益分享。《数据二十条》里规定“健全数据要素由市场评价贡献、按贡献决定报酬机制”的初次分配机制，如果不承认数据主体对个人数据的所有权，这个初次分配的逻辑就不存在了。
第二种公共数据的来源是政府的政务数据，即对于国家机关收集的与个人数据无关、不影响公共安全的数据，应按用途加大供给使用的范围。《数据二十条》明确公共数据应当开放共享和统筹授权使用，用于公共治理、公益事业的公共数据应被有条件无偿使用，探索用于产业发展、行业发展的公共数据有条件有偿使用。公共数据的采集往往是履行法定职责而具有特定的使用范围和使用目的，开发公共数据超出原始范围、目的时就会出现潜在的风险；此次《数据二十条》鼓励原始数据不出域、数据可用不可见，可以在最终开发利用之前通过技术和管理措施在可信的数据平台进行数据归集和加工处理，从而在安全、目的兼容的条件下打通数据高速公路。
最终，利用者既可以根据具体使用情况，获取匿名化或者安全化的数据服务，也可以在获取个人数据主体同意或者有关部门批准后使用数据。通过解耦数据服务、产品与原始数据的流动，有助于在风险可控的环境下实现公共数据利用，也可以形成安全的数据加工过程和数据最终授权利用两个分类治理阶段。
第二类是企业数据授权运行机制。在企业数据的利用过程中，有学者研究指出，针对不同使用目的与利用方式，会形成不同的权能配置方式。
企业数据有两种来源：第一种是企业采集的含有个人数据的数据，在这种情况下，企业主要作为数据的使用权人，用户作为数据主体享有数据所有权。至于所有权的授权模式，可以是普通许可，也可以是排他许可；可以是有偿授权使用，也可以是无偿的数据使用。
第二种企业数据则是企业作为数据来源者拥有的不含有个人数据或不涉及公共利益的各类数据，如企业日常工作中记录产生的数据、农业组织器械设备运行记录而产生的数据、网络平台上记录的统计类、匿名化数据。
有学者指出，在一些企业事实上已经对数据资源进行较强的排他性控制时，保护其他企业获取和利用数据资源的利益，才是实现数据资源合理利用的关键。《数据二十条》确定由市场主体享有数据资产依法持有、使用和收益的权利，保障其投入的劳动和其他要素贡献获得合理回报。
企业数据的发展需要一个多元、公平的流通利用市场，《数据二十条》特别提出了企业数据市场的发展方向和公平利用规则。在市场方面，《数据二十条》聚焦当下数据要素市场急需的内容，支持第三方机构、中介服务组织加强数据采集和质量评估标准的制定，推动数据产品标准化，发展数据分析、数据服务等产业。
在授权许可的公平规则方面，《数据二十条》特别强调对中小企业的保护，引导国有企业、行业龙头企业、互联网平台企业发挥带动作用，促进这三类企业与中小微企业双向公平授权，共同合理使用数据，赋能中小企业数字化转型。双向公平授权的规则具有法律和产业政策的双重价值，从法律意义而言，公平授权规则将会对企业之间的合同进行公平性评价。从产业政策而言，只有促进企业数据相互流通利用，才能产生更大的网络外部性效益，从而积极为数据互联互通创造技术标准等条件并引导数据在不同企业间的共享，最终促进数据要素市场的可持续发展。
第三类是个人数据授权运行机制。《数据二十条》旗帜鲜明地承认个人数据作为市场要素的地位，为个人数据的流通利用打开了空间，为个人数据所有权的授权和确权提供了一个重要的起点。相较于非个人数据，个人数据享有巨大的社会经济功能，这使其成为数据交易的主要对象，但是也因牵涉人格利益，导致其交易框架的构建颇为困难。
个人数据流通利用的合法性基础长期面临《个人信息保护法》的严格限制，从《数据二十条》来看，个人数据流通利用并不能豁免个人信息保护义务。尤其是《民法典》和《个人信息保护法》中对个人信息处理合法、正当、必要基本原则的规定，明确了数据处理体系的抽象目标，该规定不能为当事人恣意排除，应属于强制性规定。
根据《数据二十条》，个人数据流通利用中的合规要点有三项：其一是个人授权，即明确要求市场主体按照个人授权范围依法采集、持有、托管和使用数据；其二是取得主管部门授权，即明确要求对于涉及国家安全的特殊个人信息数据，可以由主管部门依法授权使用；其三是对个人数据做匿名化处理，即明确要求创新技术手段，推动公共服务个人信息匿名化处理，保障使用个人信息数据时的信息安全和个人隐私。
结合个人数据的托管服务，可以预见高效且有效地获取个人授权将在很大程度上决定个人数据的利用水平。数据托管和信托可以有效解决数据主体与数据控制者之间不平衡的权力关系，从而在数据流通和交易中确保数据隐私和安全。
目前，国内外已经出现了个人数据同意管理平台，可以通过技术工具和负有忠诚义务的托管人高效率地通知个人并取得授权，从而为真正有前景且重视个人信息权益保护的个人数据利用模式创造空间。比如招商银行在2018年就发布了托管大数据平台，允许客户根据个人个性诉求定制和检测数据，享受自助式、敏捷式、准实时的数据多维可视化托管网络服务。
本文建议，以《个人信息保护法》中有关个人信息的可携带权为基础，通过设立个人数据的资产账号，将网络空间中所有关于个人的数据进行汇总，形成具有自我特色的数据空间，从而便于进行统一的数据授权和管理。个人资产账号既可以通过数据主体个人也可以通过第三方机构进行授权，国外已有学者通过在实验室构建模型来探索个人数据银行的市场发展情况。
国内也有学者建议，通过对用户个人数据资产进行商业化运营，开展数据产权和数据服务交易，保持交易过程对数据所有者透明，支持数据查询与共享、数据使用与交易、数据加工与产品增值业务，为个人提供数据收益与结算服务。近日，北京国际大数据交易所推出“数据授权平台—微信小程序版”，通过实名注册，可以让每个主体都能了解自己名下的数据目录，并通过对数据使用的逐笔逐场景授权操作，替代当下普遍存在的“一揽子授权”现象，实现“我的数据我做主”。
通过这种授权操作，个人及企业主体还可以获得一定比例的数据流通收益，真正把数据资源变成了数据资产，数据被使用得越多，个人及企业获得的收益就越高。在可预见的未来，笔者断言，得个人数据者得数字天下。
结语
在迈入数字时代的转折点，数字世界的社会秩序需要由全体公民来塑造，而不是由市场上的个别行为者根据他们的经济实力来决定。
《数据二十条》是我国基于数据要素的时代地位而提出的指导性规则，为数据要素市场化的发展提供方向指引，对于深化生产要素改革、激发市场创新活力具有重要意义。《数据二十条》提出的数据三权分置制度建设，对于促进数字经济发展将发挥积极的引领作用。作为法律人，将政策性语言转化为法律语言，通过数据产权制度的法律化为数字经济发展奠定制度基础，是我们研究工作的应有之义。本文提出将数据用益权作为转化接口，从两权分离到三权分置的数据产权制度设计是一种努力和尝试，期待着与学界和实务界更多同仁一起努力，为数字中国建设贡献力量。中
按语
大数据时代数据保护与数据权利体系
编者按
2022年12月，党中央、国务院出台《关于构建数据基础制度更好发挥数据要素作用的意见》（又称《数据二十条》），该意见提出加快构建数据基础制度的目标，强调要“探索建立数据产权制度”。在司法实践中，与数据上的财产权益有关的争议案件频繁发生，这与迄今学术研究对于应否在数据上确权、数据财产的初始权利归属和权利架构形式等一系列基础问题尚存在重大理论分歧有着密切关联。为此，本刊特别约请五位专家分别撰文就上述基础问题展开研究，以期在促进理论共识之形成的同时，为相关立法以及司法裁判提供理论参考。
北京大学法学院张守文教授撰文《数据行为的经济法规制》，围绕应运用哪些制度规范纷繁复杂的数据行为、规范的过程中涉及数据主体的哪些权利或权益等重要问题展开论述。作者突破了多数民法学者所提倡的“先确权、后制定治理规则”的“强调确权路径”，强调通过经济法规制来保障相关主体的合法权益。这种数据治理思路不仅有助于维持立法体系的稳定性，还有助于发挥既有经济法理论研究成果的优势，解决数据治理领域的逻辑不统一问题。
在应否于数据上确权的问题上，清华大学法学院申卫星教授持肯定态度。《数据产权：从两权分离到三权分置》一文主张通过拆分财产权中主要权能的方式，呈现数据持有人的财产权利。贯彻该观点的意义在于，其有助于在充分尊重和保护数据来源主体的法定在先权益的前提下，促进数据交易和利用。
由武汉大学法学院教授张素华、武汉大学法学院博士生王年撰写的《数据产权“双阶二元结构”的证成与建构》一文围绕应否于数据上确权以及如何确权这两大问题展开。作者以数据产权“三权分置”为论证起点，在逐一评析相关代表性观点之得失的基础上，提出“双阶二元结构”，并以此针对数据生产环节与流通环节，构建出了一个颇具创新性的权利架构方案。
清华大学法学院崔国斌教授《网络反爬虫措施的法律定性》一文关注反爬虫措施本身直接获得法律保护的必要性以及规避行为的法律定性。文章认为，网络用户使用爬虫工具自动获取原本可以通过人工访问的数据，节省成本，有明显的正面收益，原则上应该被鼓励；但是用户在获取平台数据时，不得通过盗取访问密码与加密算法等不正当方式破坏平台的“接触控制”类技术措施。平台可以限制爬虫访问而采取技术措施，平台用户协议中限制用户使用爬虫工具的约定，通常具有法律约束力；但限制爬虫的“机器人协议”，或者识别并封禁爬虫的技术措施，并不应该直接受到法律的保护。
中国人民大学法学院丁晓东教授撰文《论人工智能促进型的数据制度》聚焦于何种制度能够促进人工智能的发展展开。文章在揭示我国现有数据立法所遭遇的困境的基础上，分析了该困境的产生根源——大规模微型权益聚合难以合法、有效的实现；并在此基础上，提出了化解困境的根本出路——从个人信息保护、著作权、数据互联这三个维度出发，基于数据的公共性，重构人工智能时代的数据法律制度。
中国法律评论
我刊由中华人民共和国司法部主管、法律出版社有限公司主办。国家A类学术期刊，中文社会科学引文索引(CSSCI)来源期刊，中国人文社会科学期刊AMI综合评价核心期刊。我刊秉持“思想之库府，策略之机枢”之理念，立足于大中华，聚焦中国社会的法治问题，检视法治缺失与冲突，阐释法律思想，弘扬法律精神，凝聚法律智慧，研拟治理策略，为建设法治中国服务，为提升法治效能服务，为繁荣法学服务。
《中国法律评论》投稿邮箱：
chinalawreview@lawpress.com.cn
中法评微信公众号投稿邮箱：
stonetung@qq.com
刊号：CN10-1210/D.
订刊电话：010-83938198
订刊传真：010-83938216