第十七期DPO沙龙纪实：数据统一确权恐难实现 部门立法或是有效途径
大数据时代，个人数据是企业资产中重要的组成部分。对于互联网企业来说，如何在不同的业务场景中保护数据资产权益，体现自身的竞争优势，一直是他们关注的重点。
9月24日，第十七期数据保护官（DPO）沙龙在北京汉坤律师事务所举行，主题围绕企业数据权益保护。一线数据安全实务工作者结合大量实例，从各自角度出发，对如何为数据赋权、企业数据权益法律保护现状以及企业数据纠纷类型等话题进行了探讨。
目前我国立法尚未对数据、信息专门定义
梳理了大量数据保护的法律规定之后，新浪高级法务顾问王磊发现，各国法律在数据、信息、隐私和资料等词上的表述虽不同，但如果按照立法时间先后排序，可以发现各国法律核心用词已经从隐私向信息、数据开始转变，从对个体的关注向通用数据进行演进。
对于个人数据和隐私的区别，王磊谈到，首先在于两者权利属性不同，隐私权更具主观性，而个人数据权偏向于是人格和财产两类利益的共同集合体；另外，两者的权利内容不同，隐私权包括但不限于保护主体私生活不受打扰、私密信息不被随意公开等，但个人信息权则包含特定主体的知情权，还有自身合理使用并给予第三方相关资料的自主决定权等。
那么，个人数据权和信息权又有什么区别？对外经贸大学数字经济与法律创新研究中心执行主任许可认为，数据是一种具象的电磁记录，而信息是与表现形式无关的抽象知识，前者属于财产权范畴，后者属于人格权范畴。
此外，王磊指出，在我国现行立法中，没有对数据和信息的专门定义，而是在这个基础上进行不断限定。比如《网络安全法》中有定义网络数据和个人信息，再比如《数据安全管理办法（征求意见稿）》中有规定重要数据的含义，以及《信息安全技术个人信息安全规范》中解释了个人敏感信息的内涵。
因为数据权益涉及多方利益，包括用户、数据使用方、政府规制方、数据平台方等，汉坤律师事务所律师段志超表示，个人数据权利界定主体在学界仍存分歧。比如，清华大学教授程啸认为个人数据权利不仅包括自然人的个人数据权利，还包括数据企业对个人数据的权利。但是华东政法大学教授贺栩栩则认为，个人数据权的权利主体局限在数据主体即自然人。
数据统一确权恐难实现，部门式立法较有希望
对数据进行保护，前提在于厘清数据权利的问题。从数据流动的角度，DPO社群发起人洪延青分享了他对数据权利问题的认识以及目前存在的问题。他提出，“数据权利问题实际上是数据有序流动的问题。” 从实践层面概括，数据流动包括个人与企业之间、企业与企业之间以及国家在边界上进行限制这三方面。“数据从个人流向企业，现阶段的话，是监管或政策的核心主体。”他表示，保护个人信息就是避免个人信息主体的合法权益因信息处理活动而遭到损害。
据了解，在保护企业数据权益、防范滥用的规则中，明确授权是至关重要的一环，其中既包括用户授权，也包括平台授权。
在企业与企业之间，在涉及数据合作时，需要遵守三重授权原则。三重授权原则是指，开放平台方直接收集、使用用户数据需获得用户授权，第三方开发者通过开放平台OpenAPI接口间接获得用户数据，需获得用户授权和平台方授权。需要注意的是，该原则之所以叫做“三重授权”，意味着“用户授权+平台方/公司授权+用户授权”需同时满足，缺少任何一方授权，都是违反“三重授权原则”。
但由于企业实力不对等，有些企业不会把数据开放出来，洪延青认为，这样的现状在数据流通中对应的一个问题就是，完全通过市场手段调节是否能保证数据的流通。
如果企业和企业之间，绕过合作的意向，直接爬取对方的数据，这就涉及爬虫的问题。对于爬取方而言，被爬取方已经取得个人的同意，而且基于个人信息归个人所有的前提，这样的爬取行为看似就是在合法框架下进行的。但对于被爬取方而言，基于安全事由，爬取方要“访问”它的数据必须先经过它同意。
洪延青指出，这样的现状在数据流通中对应的第二个问题就是，个人信息到底有没有所有权。如果赋予个人对自己信息的所有权的话，是不是就能保证数据的流通？他表示，“针对爬虫技术的对抗，目前在司法上的认定还不是很明确。”所以这就给法律的制定提出了问题，对于那些事实上控制数据的企业，在数据流通的秩序中，应该赋予它什么样的角色和权力？
此外，第三个问题也和爬虫有关。即根据爬取方爬取的行为和数据性质等，被爬取方一般还会以人格权、个人信息、著作权、商业秘密、竞争法等相关权益和规定来维护自己的利益。但这样也不能完全保障被爬取方利益不受损，洪延青表示，还有著作权不能覆盖很多类型的数据、商业秘密保护的对象有限等很多问题存在。
结合以上三方面的现状，洪延青总结道，“所以我对数据统一确权的路径抱一个很悲观的态度。”因为很可能在一个生态里达成的安排，在另一个生态中是不成立的。“很可能将来还是会以部门式立法，和部门式实践的方式，我个人认为这样比较有希望”，他说。
现行法律制度框架难以对数据资产有效保护
“典型的企业数据资产包括，个人信息、企业经营统计数据、业务类数据以及基于上述数据产生的衍生数据等”，段志超介绍道。他认为，不论是基于物的所有权和知识产权的保护、不正当竞争行为的规制，还是基于合同制度的保护，在目前法律制度框架下，难以对企业的数据资产进行有效保护。
以知识产权为例，数据资产同样具有与知识产权类似的可复制、传播和重复利用的属性。但是知识产权只能覆盖数据中一些特定的类别，如符合条件规定的商业秘密信息，或符合“数据库”定义的著作权下的汇编作品。
许可分析，商业秘密保护的要件有，用户数据是否为公众所知悉、是否具有经济利益和实用性以及是否对用户数据采取保密措施等。
他认为，商业秘密保护的核心在于“窃取”，即不当获得或使用了他人的私有信息。有时，大部分数据并不能符合商业秘密的高门槛保护。段志超还补充道，著作权一般也仅能享受到汇编作品所享有的对于信息的“选择”和“编排”方面的权利，难以延及数据本身。此外，不正当竞争行为侧重于双方的直接竞争关系和服务的替代性关系，能否适用于非直接竞争关系的公司存在不确定性。（作者为南都见习记者李慧琪、潘颖欣，记者朱芳圆）
数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已经超过200人。关于DPO社群和沙龙更多的情况如下：
DPO社群成果
线下沙龙实录见：
线上沙龙见：
时评见：
DPO社群成员观点