面向反垄断的数据治理新方向（一）：可携带权

回顾2020年初数据治理的一次研讨会上，我们认为对头部网络企业施以反垄断将可能成为立法和执法研判的又一领域。2020年下半年发生的中外一系列事件表明，大型网络企业开始显现出“数据集中”的优势，将导致强烈的“自我偏好”。

一方面，就像我国数据垄断第一案所强调的那样，这将产生传统垄断监管意义上的“市场失灵”问题，例如“数据优势”已经有能力对数据访问附加不适当的限制壁垒；另一方面，正如欧盟针对“监控资本主义”所表明的担忧一样，不受限制的“数据集中”可能产生新的“超国家权力”。

对数据反垄断是否会成为十多年前金融危机后“大而不倒”的担忧，又或是二十多年前“拆而不分”的重现，国内外企业界多有警觉，监管界也都有讨论。我们这里仅从 “可携带权”由来、网络企业的数据资源“先发优势”两个角度尝试简单讨论，本文也将是反垄断问题系列研究的一部分。 

一、可携带权及其实施成效欧盟的GDPR确定的数据主体权利中，规定了可携带权（the right to data portability），数据主体可以结构化、通用和机器可读格式获取其已经提供至数据控制者的与其有关的个人数据，并有权将这些数据传输至另一个数据控制者。2016年12月，为了解读和实施该权利，欧盟发布了《数据可携带权指南》。数据可携带权的出现一方面为增强用户控制提供了有效机制，另一方面也为监管机构缓解平台垄断，提供了拆分之外的另一可能路径。GDPR实施以来，一方面包括美国、澳大利亚、新加坡等在内的诸多国家积极探索数据可携带权在本土发展的可行性。另一方面因用户之间、用户与平台之间数据的边界问题，该权利的建立是否真具有促进平台竞争的实效也存在诸多争论，数据可携带权尚未在全球范围内获得普遍共识。
二、可携带权在中国的确立

我国征求意见阶段的《个人信息保护法（草案）》没有规定个人信息主体的可携带权。有学者认为可以从第45条中推导出可携带权——“个人有权向个人信息处理者查阅、复制其个人信息”，但其理论支持和可行性不足。

（1）该规定只能认为，个人信息主体可以获得个人信息处理者所收集、处理的个人信息的一个“拷贝”，但无法要求这些信息“直接”向另一处理者平台迁移；（2）个人信息处理者提供的“拷贝”，要么以可视化的方式呈现其收集的个人信息（例如头部网络企业纷纷呈现的个人活动年度报告），要么以“无法直视”的方式堆砌这些个人信息，但绝不可能是通用、可读和平台兼容的格式。
三、作为数据治理工具的考量

现行《个人信息保护法（草案）》对个人信息主体的权利规定，必有其考虑。我们认为，我国立法中缺少可携带权或类似权利规定，实际上不仅是个人权利保护与企业合规成本的平衡问题，在未来（毕竟我国已经不是数据企业发展的初级阶段）应对数据垄断时，也将缺少一个非常重要的可用工具。

显然，在通过市场化方式反垄断时，如果可以通过个人主体行使可携带权的方式，要求某一网络企业将个人信息迁移到另一平台；将聚集的数据以民事权利请求的方式，向更多平台迁移，可能会提前释放“大而不倒”的监管风险——当然前提是监管机构判定数据垄断扭曲了市场机制，并对公共利益、甚至国家安全构成了威胁——正如福山对平台对民主威胁的焦虑那样。从这一矛盾的深刻性出发，我们也能够理解，为什么执法机构已经有诸多手段进行智能手机等电子设备的解锁与取证，为何还要“孜孜不倦”的通过立法寻求平台的解密协助。正如欧盟在2020年12月提出的《通过加密保障安全和加密的安全问题》决议（Council Resolution on Encryption Security through encryption and security despite encryption）——标题就显示出纠结。本文将可携带权作为反垄断的数据治理工具之一，这一讨论可能引入一个新的视角，尽管在传统意义上，“可携带权”可能仅仅是保证主体实现“数据控制”的法律工具，但如果作为一种强制性的义务设定，其确实能够促成有意义的数据流动，克服特别明显的“锁定效应”。为此，这也许能够成为一项“待审议”的数据治理解决方案，而如何架设这一方案待我们后续持续探讨分析。从头部企业角度，无论是GDPR框架直接约束，还是数据垄断风险防范考量，提前做出标准化的数据转换和“导出”机制，避免数据迁移的“挤兑”，可能是需要提前研判的潜在合规风险。

本文作者：

原浩浩，江苏竹辉律师事务所合伙人律师黄道丽，公安部第三研究所研究员

图文编辑：公安部第三研究所 梁思雨