数据要素治理 | 企业角度的数据保护问题：欧盟法律现状

编者按：

此前，本公号发表过的关于数据要素治理的相关文章包括：

今天和大家分享的是一个综述，基于欧洲法现状的从企业视角看待数据保护的问题。

对于从企业角度的数据保护问题，本质上是解决企业所合法持有的数据，能够根据企业的意愿，自主支配的问题。支配包含开发利用、与第三方共享（并从开发利用与共享中持续受益），以及对抗其他主体对所持有的数据的获取行为。

目前，欧盟现行的法律，特别是知识产权相关的法律，对数据提供了一些（经常是有限的）保护，并没有赋予企业完全控制其数据的能力。现将情况分析如下。

1、商业秘密指令

除了保护个人基本权利的《通用数据保护条例》（“GDPR”）之外，欧盟在企业数据保护领域中最重要的法律是《商业秘密指令》。这是欧盟为所有类型的数据提供统一的法律最低保护标准，前提是数据符合下列标准：

• 保密性，这意味着它在相关范围内一般不为人所知或容易访问；

• 具有值得保密的商业价值；

• 所有者采取了合理的保密措施。

任何类型的商业和技术数据（一般来说是数据的集合，但在特例情况下，也可为个别的数据项，如工业过程操作的温度阈值）均可在此制度下受到保护。

但是这三个条件并不容易满足。例如保密性所要求的相关范围。此类数据库可能事实上已经在保密的情况下被许可披露给了某一特定行业的大多数企业，从而使其在相关圈子中变得“广为人知”（例如英国选举登记人表）。另一个不确定的方面在于，基于信息必须经过“合理的处理步骤”以维持其机密性的要求，商业秘密哪些方面需要保护，哪些方面无须保护这类问题需要明确。该指令并未就上述合理步骤的构成提供指导意见，而只是根据具体情况对其进行了限定。因此，可以推断，可能并无必要将数据存储在独立服务器上，深埋于信息“矿井”中锁闭保险箱中。俄罗斯和日本等国家在引入法定商业秘密保护法规时，选择了详细列出必须实施的保护措施，但其采用的措施不尽相同。

受这些不确定性的影响，该指令原则上引入了一种广泛有效的数据控制权，同时又在信息所有权问题上保持中立。该指令没有引入任何财产权的概念，尽管该指令中没有任何内容阻止成员国在实施过程中将数据财产权引入国内法。相反，该指令将商业秘密的持有者视为商业秘密的合法控制人。

这种不存在所有权的情况与专利法和版权法中的默认情况形成鲜明对比——在专利法和版权法中，雇员在工作过程中产生的任何权利均自动归属于雇主，但雇主不会自动成为员工在工作过程中产生的有价值数据的商业秘密权的持有者。在雇佣合同中对此做出明确规定至关重要。

持有人对任何非法访问，使用或披露商业秘密的人拥有追究的权利。未经所有者同意而访问商业秘密将被视为非法：

• 未经授权访问文件，电子文件或材料;

• 被视为“违反诚实商业惯例”的情况，包括但不限于违反保密协议。

如果原始数据的持有者能够证明商业秘密是非法获得的，他们将能够行使以下权利：

• 停止或禁止使用商业秘密;

• 禁止生产侵权货物;

• 从市场召回侵权货物;

• 销毁侵犯商品或记录商业秘密的材料。

该制度为整个欧盟适用的数据引入了有效、协调的最低保护标准。因此，尽管该指令本身没有关于许可安排的规定，但企业将能够将数据视为另一种形式的资产，具有以类似方式通过许可或特许经营利用以前私有数据集的明显潜力。

但是，在欧盟或国家法律要求或允许的访问、使用或披露商业秘密的情况下，访问，使用和披露商业秘密将是合法的。例如，如果披露信息涉及与不当行为、不法行为或非法活动且涉及公共利益，则举报可能成为允许以其他方式披露未经授权的秘密的一种方式。在英国的Lion Laboratories v Evans 的案中，其中一名员工披露的数据显示，警方使用的呼气测醉器测试驾驶者是否违反了允许的饮酒量的结果是不准确的。

从数据驱动型商业实体的视角来看，准确地说，《商业秘密指令》的主要限制在于，其要求数据保持机密性，一旦数据在任何阶段被公诸于众，则其将失去所被给予的保护。如被许可方未能对数据提供妥善的保护，则会意味着商业秘密持有人丧失对数据的控制权的风险。如被许可方无法全额承担潜在未来认证可能导致的未来授予损失，则对被许可方的损害索赔权将仅为部分赔偿权，而且该指令只在第三方知晓或理应知晓向其传递此类秘密信息者未具有授权的前提下才允许对接收数据的第三方采取行动。譬如，倘若数据并非故意被发布到互联网上，则可能难以追溯到全部第三方数据接收者，更难以明确各个此类接收者是否知晓或理应知晓此类信息发布未经授权。

此外，一旦进行必要的披露，持有受各行业特定法律强制披露义务约束的数据将不再具备该指令下的所有权利。

2、知识产权法

知识产权法也与与从企业视角的数据权利有关。知识产权法框架下的信息具有财产的合法地位，因此理论上可以为数据提供强有力的保护。然而，经过分析，很明显，这些法律都不一定提供保护，即使它确实保护数据，也可能只提供相对有限的保护范围。

总的来说，现有的知识产权法律没有为数据管理提供令人满意的框架，因为：

• 每项权利的分析取决于自身的规则，使分析变得复杂和多层次;

• 在任何一个国家内，每项权利的范围和程度都是不确定的;

• 在国际背景下，各国的法律结果可能不同。例如，对于相同的事实模式，版权或商标可以在一个国家强制执行，但不能在另一个国家强制执行。

（1）版权（copyright）

版权原则上可以适用于数据库，因为所有电子信息在版权法中都被视为书面（文学）作品。但是，为了具有版权，作品必须符合资格标准。特别是，数据库只有在达到最低创造标准时才能受到版权保护，这样才能将它们视为“作者以自己的知识创造”，从而为这些数据库提供与其他文学作品相同的版权保护。

此测试的目的是将具有版权的作品限制为通过创造性或至少是智力判断来增加某些价值的作品。对于现代电子数据库来说，单纯内容的选择和排列不太可能成为重要的技能和判断的主题，这一标准不太可能得到满足。此外，没有关于“作者”或“作品”的定义。因此，虽然使数据能够“被捕获”（即自动收集、整理）的技术，包括软件，很可能受到商业机密、专利和/或(就该软件而言)版权的保护，但通过自动捕获和整理数据而编制的数据库原则上不太可能有资格受到版权保护。因此，版权对数据本身的保护非常有限。

欧盟制订专门的“数据库指令”，正是为了填补版权所留下的数据保护方面的空白。在“数据库指令” 第3条中，它重申了上述数据库内容的版权状态，规定“本指令对数据库的版权保护不应延伸至数据库中的内容，且不应损害这些内容本身的任何权利” 。欧盟法院在Football DataCo v Yahoo 一案的判决中证实了这一点，它认为根据数据库指令，数据库只能在其结构中享有版权保护，并且该版权保护不会扩展到数据本身的内容，因为数据库中的内容只不过是先前存在的事实的整理。它认为，一个数据库为了能在其结构上享有版权保护，则其结构必须具有创新性。当作者通过对其所包含的数据的选择或整理，以一种原创的方式，通过自由的、创造性的选择来表达他的创作能力时，这一独创性标准就得到了满足。相比之下，如果数据库的建立是由技术考虑、规则或限制决定的，这一标准就得不到满足，因为这些因素没有给创造力留下任何空间。除非作者在选择或安排该数据库中所载的数据(无论是手工或软件进行的)时也表现出创造性的原创性，否则在编制数据库方面即使耗费大量劳动和技能也将不足以引起第3(1)条所规定的版权保护。显然，现代电子数据库很少有可能符合这一标准。

当版权确实存在时，其赋予数据库持有者这一项产权，以便版权可以像任何其他形式的财产一样分配，抵押或许可。它还使所有者能够防止第三方在未经许可的情况下复制数据，无论数据是否是秘密的。然而，版权保护存在限制：有必要证明侵权人实际上已经复制了数据而不是从其他来源生成类似的数据库。换句话说，与专利权不同，版权只是部分垄断。权利还需要监管。

（2） 数据库权利（database rights）

为了弥补版权对数据库保护的不足，欧盟试图通过“数据库指令”为投入大量资源而形成的数据库提供保护。为了享受数据库指令下的保护，数据库必须是独立作品、数据或其他材料的集合，这些材料：

• 成体系或有系统性地安排;

• 可通过电子或其他方式单独使用。

所有此类数据库均受数据库权利保护，前提是财务，人力或技术资源在访问、验证或提供相关数据库内容方面进行了大量投资。

投资评估中“实质性”的确切含义仍不清楚。投资要么是定量确认的，要么是定性确认的，或者是定性和定量确认的组合。它可以在数据库项目开始时（访问其内容）或在数据库的生命周期（验证或呈现其内容）中进行。对这种数据库定义的结果是，它可能导致对网站内容的保护，例如在线报纸网站。

但是，投资必须用于生产数据库本身，而不是用于能生产有价值数据的各种活动。数据库权利中的此项规定，对从企业角度保护数据来说，产生了重要限制。因为很多数据是在日常业务活动过程中产生的，或是被运营中的传感器所收集的数据。这是由欧盟法院就Fixtures Marketing 公司案件所做出的判决。为了享有数据库权利，投资必须针对访问、选择或验证数据，而产生数据本身的投资行为不符合上述条件。

数据库权利使所有者能够禁止第三方未经许可提取或重新利用“大部分数据”（substantial parts of data），或者重复和系统地提取或再利用数据库的非实质部分（insubstantial parts of the database）。这里，提取被认为是通过任何方式或以任何形式永久或临时地将数据库的内容传送到另一媒体，而再利用意味着以任何方式向公众提供数据库的内容。

确定数据库侵权的关键问题，除了已经在前述版权一节中提到的在确定侵犯发生的事实方面有困难之外，还包括如何界定“大部分数据”。此外，在一些案例中，欧盟法院区分了提取和再利用数据库的行为，与仅仅是访问数据库的行为。很明显，如果数据库的创建者将数据库的内容向公众开放，对该数据库的访问本身并不构成对数据库权利的侵犯。法院最近在77m Limited诉Ordnance Survey Limited一案中对此进行了评估，法官确认，只有当个人获取数据库所有内容的很大一部分，然后将其转移到另一种媒介中，然后可以使用时，访问才会变成提取。仅仅查阅数据库以了解某个特定条目的情况本身并不构成侵权。

“数据库指令”中规定了一些“允许的行为”。在某些规定的情况下，公平处理数据库的大部分内容不构成对数据库权利的侵犯，例如，有权使用数据库的人提取数据用于教学或研究，而不是用于任何商业目的（只要他们表明材料的来源）。当通过合理的调查不可能确定制作者的身份，并且有理由认为数据库权利已经过期时，也允许提取和再利用。

如果数据集合符合数据库权保护的条件，则该保护从数据库完成之日起持续15年。尽管到目前为止还没有判例法，但如果对数据库的更新取得了实质性的变化，这将被视为一项重大的新投资，那么更新的数据库就有资格获得自己的15年保护期。因此，只要有足够的投资定期更新，权利就可以无限期地持续下去。

2005年，欧盟委员会评估了《数据库指令》是否仍然符合目的。它的结论是，它没有实现鼓励在整个欧盟投资数据库生产的目标。欧盟委员会在2018年对该指令进行了第二次评估，得出了大致相同的结论，并指出该指令可能无法满足人工智能和大数据的日益增长的数字挑战。然而，它决定保留该指令的现有形式，因为缺乏关于改变/废除的明确共识。第二次评估还提出了一些问题，例如，在美国（世界上最大的数据库生产市场）没有同等的权利，而且由于自动数据收集的使用增加，越来越难以区分数据的 "创造 "和 "获得"。因此，在不远的将来，数据库权利的保护可能会被重新考虑。

但对于关注与数据保护本身的企业来说，数据库权利显然不能够符合其期待。

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过400人。关于DPO社群和沙龙更多的情况如下：

DPO线下沙龙的实录见：

域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：

关于美国出口管制制度，本公号发表过系列文章：

供应链安全文章：

传染病疫情防控与个人信息保护系列文章

关于数据与竞争政策的翻译和分析：

健康医疗大数据系列文章：

网联汽车数据和自动驾驶的系列文章：

网络空间的国际法适用问题系列文章：

关于保护网络和信息系统安全的相关文章包括：

《网络数据安全管理条例（征求意见稿）》系列文章：

《数据安全法》的相关文章包括：

赴美上市的网络、数据安全方面的两国监管乃至冲突方：

个性化广告或行为定向广告（behavioral targeting advertising）系列的文章：

人脸识别系列文章：

内容安全方面的文章如下：

关于中美与国家安全相关的审查机制的文章：

地缘政治与跨国科技公司运营之间的互动影响：

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

关于个人数据和域外国家安全审查之间的关系，见：

关于健康医疗数据方面的文章有：

关于数据执法跨境调取的相关文章：

第29条工作组/EDPB关于GDPR的指导意见的翻译：

数字贸易专题系列：

关于《数据出境安全评估办法》的系列解读文章

美国方面的个人信息保护立法的文章：

关于个人信息安全影响评估的文章如下：

关于业务场景中数据跨境流动的文章如下：

关于印度的数据保护和数据治理政策和技术文件的文章有：

关于欧盟技术主权相关举措的翻译和分析：

关于人工智能安全和监管的文章：

关于我国《个人信息保护法》的文章：

关于数据的安全、个人信息保护、不正当竞争等方面的重大案例：