个保法解读之数据可携带权（DPO社群成员观点）
编者按：
引言
8月20号，《个人信息保护法》在经过第三次审议后终于正式颁布，并将于11月1日正式生效，成为继《网络安全法》和《数据安全法》之后数据合规领域的重要基本法律。随着互联网和大数据技术的不断发展，数据资源成为企业新的生产要素。企业在利用数据的过程中需要更好地保护个人的数据权利。新出的《个人信息保护法》借鉴了国外个人数据立法，在第45条中首次规定了数据可携带权。这一规定将对国内企业数据合规提出新的要求。
一、数据可携带权介绍
《个人信息保护法》第四十五条第一款规定“个人有权向个人信息处理者查阅、复制其个人信息”；第四十五条第三款规定“个人请求将其个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径”。根据该规定，数据主体将有权从数据控制者处获取个人信息副本，以及请求数据控制者直接将其个人信息传输给另一实体。至此，数据可携带权正式成为一种个人在个人信息处理活动中的权利被纳入我国个人信息保护法律体系。个人对其提交给数据处理者的个人信息将拥有更全面的控制。此次《个人信息保护法》虽然首次对数据可携带权作出规定，然而从法条内容来看，尚有一些不够明确的地方，包括可携带权适用的数据范围以及数据传输的形式。
2018年欧盟颁布的《通用数据保护条例》对数据可携带权（Right to data portability）作出了规定。根据该条例第20条规定，数据可携带权是指数据主体有权以结构化、通用的和机器可读的格式接收其提供给控制者的有关自身的个人数据，并有权不受妨碍地将这些数据传输给另一个控制者。类似地，美国《加州消费者隐私法案》（CCPA）也规定经营者有义务根据消费者的访问请求，立刻以邮寄或可携带的和可使用的电子方式向消费者免费披露和传输其个人信息，以便消费者能够将数据不受限制地传输给另一实体。[1]
二、数据可携带权回应的问题
数据可携带权的引入，主要是为了解决数据平台的数据垄断问题。一方面，数据可携带权被作为数据主体的数据权利之一，加强了数据主体对其个人数据的控制。例如《通用数据保护条例》是在第20条单独规定了数据可携带权，而《加州消费者隐私法案》则是将数据可携带权规定在数据访问权（right to access）中。另一方面，数据可携带权也成为反垄断法中的重要制度，规制数据平台的垄断行为。2020 年 12 月，欧盟委员会提出《数字市场法案》(DMA)，通过对科技巨头的行为施加直接限制，以规范数字世界的看门人，包括谷歌、Facebook、亚马逊、苹果、微软和 SAP 等公司。[2]看门人作为数据平台，充当两个或多个用户组（例如买家和卖家）之间的重要纽带。当他们在平台的一侧（比如买家）吸引大量用户时，守门人可能会成为通往这些市场或客户的路上不可避免的收费站——平台另一端的用户（比如卖家）可能别无选择而使用看门人的平台设施。《数字市场法案》进一步将数据可携带权的权利主体扩大至企业用户，允许企业用户和个人用户携带并转移其在平台上产生的数据。
随着我国平台经济的迅速发展，今年2月7日，《国务院反垄断委员会关于平台经济领域的反垄断指南》（下称“《指南》”）发布，以规制平台经营者利用其垄断地位进行“大数据杀熟”、强迫商家“二选一”等不公平竞争等行为。根据《指南》第11条，关于市场支配地位的认定，需要考虑经营者的财力和技术条件，包括掌握和处理相关数据的能力；以及其他经营者进入相关市场的难易程度，包括数据获取的难易程度。可以预见的是，随着《个人信息保护法》的实施，数据可携带权将有利保障数据在不同经营者之间的流动，促进经营者公平竞争。同时，数据可携带权的确立也可能会很大程度上降低数据获取方涉嫌不正当竞争的风险。在用户同意并授权的情形下，数据获取方从数据控制者处获取用户数据，将不再构成不正当竞争。
三、数据可携带权的尚待明确的问题
第一，数据可携带权的客体范围不明确。此次《个人信息保护法》对于数据可携带权的规定还比较笼统。关于数据可携带权适用的数据范围尚不明确。按照实践中的观点，个人对于其提交给数据控制者的可识别性的原生数据，即基础数据应该具有所有权。而对于与用户有关的监测数据是否应当属于可携带权的范围则未明确规定。此外，对于数据控制者经过算法加工、计算、聚合而成的衍生数据，一般认为获取该类数据需要获得数据控制者的同意，[3]即该类数据不属于数据可携带权的范围。有关数据可携带权的适用范围，可以借鉴欧盟的相关规定。根据第29条工作组（欧盟数据保护委员会前身）制定的《数据可携权指南》[4]，数据可携带权的范围包括两类情形：（1）数据主体有意和主动提供的个人数据（如收件地址、用户名、年龄等）（2）数据主体通过使用服务或者设备所提供的观测数据。
第二，数据可携带权下传输的数据形式不明确。《个人信息保护法》第45条第3款关于数据转移的方式，法条表述为“个人信息处理者应当提供转移的途径”，条文并未明确传输数据格式应当满足的要求。欧盟《通用数据保护条例》第20条采用的是“以结构化、通用的和机器可读的格式”（in a structured, commonly used andmachine-readable format）传输个人数据。事实上，《个人信息保护法》第45条第1款中“个人有权向个人信息处理者查阅、复制其个人信息”中的“查阅、复制”的表述在文义上充满了前互联网时代的意味，似乎未充分考虑到数字时代的大背景——个人信息主体并不会像查阅账簿一样去数据控制者那里去查看自己的个人信息，并要求提供其个人信息的复印件。[5]因此，正确的解读应该是，数据主体可以通过网络随时访问数据控制者处理的个人信息。同理，数据控制者也应当以可携带的、通用的、机器可读的形式向数据主体或者经指定的数据接收方传输个人信息。
四、数据可携带权对企业的合规启示
关于可携带数据的传输格式，根据《个人信息保护法》第45条第1款和第3款，数据可携带权的内容包括数据主体获取个人信息副本权，以及请求数据控制者直接将与数据主体有关的个人信息传输给另一数据控制者的权利。在第二种情形下，作为第三方的数据获取方基于数据主体的同意或基于合同约定而采取自动化的方式处理数据，数据主体可以行使副本获取权和请求将数据传输给第三方的权利。此时，作为数据控制者的企业，在不违反国家网信部门规定条件下，有义务将用户的个人数据传输给第三方数据企业。虽然法律未能明确这样的数据传输应当满足的电子格式，但为了履行用户请求之目的，即为了数据获取方能够现实地接受并有效利用这些个人信息，数据传输方应当以可携带的、通用的和机器可读的格式进行传输。
关于数据可携带权的客体方面，数据主体提供的基础数据和通过使用服务或者产品设备而被数据处理者合法收集的观测数据应当属于可携带范围。而推测数据和衍生数据是数据控制者在“数据主体提供的数据”的基础创建的，不在数据可携权的范围之内。对此，作为数据控制方的数据平台公司，应当针对数据可携带权的范围，建立数据分类标记管理制度。对适用于数据可携带权的数据类型做相应分类标记，包括用户基础数据和与用户有关的观测数据。对不属于数据可携带权范围的衍生数据，应当进行脱敏加工处理，可以拒绝向第三方主体传输这类数据。此外，企业应当建立完善的数据传输机制，及时评估并处理用户的数据获取和传输请求。
[1] Cal.Civ. Code§1798.100(d).
[2] Anderson,J. and M. Mariniello (2021) ‘Regulating big tech: the Digital Markets Act’, Bruegel Blog, 16 February.
[3]徐伟，《企业数据获取“三重授权原则” 反思及类型化构建》，载《交大法学》2019年第4期。
[4] Guidelineson the right to data portability, Article 29 Data Protection Working Party, WP242 rev.01, 16/EN. WP 242 rev.01, 5April 2017.
[5]汪庆华，《数据可携带权的权利结构、法律效果与中国化》，载《中国法律评论》2021年第3期。
域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：
DPO线下沙龙的实录见：
个人数据与域外国家安全审查系列文章
围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：
第29条工作组/EDPB关于GDPR的指导意见的翻译：
关于美国出口管制制度，本公号发表过系列文章：
供应链安全文章：
数据跨境流动政策、法律、实践的系列文章：
传染病疫情防控与个人信息保护系列文章
关于数据与竞争政策的翻译和分析：
数据安全法系列文章：
中国个人信息保护立法系列文章：
健康医疗大数据系列文章：
网联汽车数据和自动驾驶的系列文章：
关于中美与国家安全相关的审查机制的系列文章：
美国电信行业涉及外国参与的安全审查（一）：基本制度介绍
美国电信行业涉及外国参与的安全审查（二）：国际性的第214节授权
美国电信行业涉及外国参与的安全审查（三）：建立外国参与安全审查的行政令
美国电信行业涉及外国参与的安全审查（四）：FCC对中国企业的陈述理由令
网络空间的国际法适用问题系列文章：
赴美上市网络、数据安全风险系列文章如下：
人脸识别系列文章：
关于欧盟技术主权相关举措的翻译和分析：
数据要素治理的相关文章包括：
人工智能安全和监管的系列文章：
关于保护网络和信息系统安全的相关文章包括：
数据执法跨境调取的相关文章：