如何像商品交易一样进行「数据交易」｜iLaw
编者按
在《中共中央国务院关于构建更加完善的要素市场化配置体制机制的意见》中，「数据」被纳入市场化配置改革的五大基础生产要素，与土地、劳动力、资本、技术等传统要素并列。在数据“生产要素化”之后，数据权益保护的重要性体现在哪些方面？实现数据交易的基础和难点分别是什么？数据交易合规又需注意哪些问题？围绕这些要点，我们在8月2日邀请金杜律师事务所合伙人吴涵律师来到iLaw合规直播间进行主题分享，当晚直播内容丰富且解析到位，我们据此整理成以下文稿，与大家分享。
目录
01 数据要素与权益
02 数据交易
03 数据权属的确定与数据要素权益的配置
04 企业在抓住红利时应注意的红线问题与合规建议
数据要素与权益
（一） 数据要素的概念
数据要素本身是一个“技术＋国家政策”相结合的概念。
谈数据要素，首先要了解数据。
数据是什么？《数据安全法》明确数据是“任何以电子或者其他方式对信息的记录”。数据跟信息的关系是什么，是不是所有的信息都可以用数据来表达？如果不是，是不是有不包含信息的数据？
所以，数据本身是历史发展到一定阶段后产生的一个新的因子。数据本身在整个智能化社会里，发挥的作用其实并没有那么大。原因在于我国正处于一个数字经济向智能化社会转移的中间阶段，理论上存在四大支柱：
（1）数据；
（2）算法，要实现所有数据的价值需要非常高级的算法，大量数据做匹配时要有更加精准的匹配算法；
（3）算力，我国“东数西算”的策略本身是对算力的一种投资，包括像印度、马来西亚等近期也加大了对于IDC的投入，其实都是算力的竞争；
（4）知识图谱，当无法解释算法的时候，我们更为担心的是人机之间的对抗，一些人类在历史长河中总结出的知识图谱，可能要和自动化决策的信息系统之间做一些隔离。
在这四大支柱之下，数据是很重要，但数据本身产生的收益存在边际效应。数据累积到一定程度，数据的多样性达到一定程度后，可能它的价值就不会像以前一样同比率高了。
那为什么国家要将其定义为数据要素呢？原因在于我国在一段历史时期内的人口红利，我们要抓紧我国的人口数据红利，集中在基于个人信息的算法领域里快速迭代。这种情况下，我们的算法才有可能加入到国际竞争中。
因此，在数据的边际效应还没有显现的时候，我们要最大程度地去发挥数据作为生产要素的价值。数据要素不仅仅是新时代的历史产物，更是我国目前国际竞争中最重要的竞争资源之一。
（二）数据权益涉及的主体
数据权益涉及的主体一般是个人、企业和国家，当然未来一定会有一些领域的数据是要超越国家这样一个利益体的，也就是“人类命运共同体”概念，比如针对新冠疫情的研发，对于天体和宇宙的研究、人权、妇女儿童保护等，这些都有可能属于更高级别的数据权益的主体。
（三）数据权益保护的内容
对于个人信息主体而言，很多人觉得个人最关心的是人格权益。对于个人而言，个人信息所有的权益除了人格权益，还有财产权益，但这并不代表个人有绝对权利。在不侵犯个人人格权益时，获取个人信息并不一定要给付对价，存在很多比个人人格权益和财产权益更高的东西，如疫情防控时国家收集个人信息并不需要给付对价。
对于企业，尤其对于平台型企业而言，有两方面需要关注的。一个是数据的财产性权益，但同时也要了解数据相关的一些责任，如数据安全相关的责任。
国家既关注个人的权益有没有受损，又关注企业能不能有效地利用这些数据。国家会考虑多个层面，但最关心的是国家安全、公共利益这个更高的层面。
除以上三方面外，还有更高层次的超越国界的权利主体需要关心的问题。我们作为人类命运共同体，在和新的人工智能合作和对抗的过程中，有没有哪些权益是要维护的，这也要慢慢纳入到讨论中去。
数据交易
（一）数据交易的法律基础
数据交易到目前为止可能还没有完全做起来，这其中有很多理论和实践的现状和不足值得我们关注。
首先，造成数据交易目前没有那么繁荣的直接原因可能是底层的法律基础还没有完全搭建起来。但我国正在对此进行研究，比如各项报告都提到对数据产权制度进行研究，前段时间网信办的曹淑敏主任发表的讲话也重申国家正在研究对于数据的控制权、数据产品的经营权，包括加工处理权等等。这些理论性的研究，能够把数据本身上面不同的权益分拆成更加具有实操性的权利，以繁荣数据交易。
其次，数据交易没有完全进行的另一个原因可能在于暂时缺少一个强有力的监管部门为数据权益进行明确地背书。短时间内无法预测哪个公权力部门可以为此进行背书，所以可能要另辟蹊径。在权益理论还没有完全搭建的情况下，有没有别的方式能够让社会公众承认这种权益的认定？这方面有很多现有的很好的实践，比如在2022全球数字经济大会数据要素峰会上，北京国际大数据交易所数据资产登记中心揭牌。数据资产的登记本身是权利的对外公示，也是一种固权的方式。所以，在理论基础之上，如何去固定权益本身也是一个难点。
最后，还有一个难点在于数据的权益分派机制还没有完全形成。除人格权益外，大家最关心的还是财产权益。财产权益怎么去分派，这是很难的。因为数据的流转跟其他资产不太一样，它是流动的、可复制的，而且需要多方主体参与。
举个例子，在智能网联车行业里，理论上一份数据可能经由多个主体。比如开车想要了解附近的咖啡厅，车子可能通过语音识别把声音变成一个请求，再把这个请求发给智能助手平台，然后智能助手平台把相关请求又发给不同的ISP，ISP又给到本地生活服务平台去搜寻一下附近的咖啡厅，中间可能会回拨给车主或者是指令回到智能助手平台然后通过语音播报。
假设数据权益都固定住了，大家对于个人信息本身都有数据产品的经营权，那怎么去分派这个所谓的经营权？是将其完全分开，还是把这几个公司成立一个合资公司去具体经营？但合资公司的股权配比也是一个问题。所以，哪怕能够固定数据权益，怎么去分派它也是个难点。到底是由国家像计划经济一样规定每个加工者占多少比例，还是由市场来决定，这是可以探讨的。
很多交易所做了很多类似的前沿的探讨，这些是从交易所的角度提出一个想法，但同时也让市场去检验这种商业模式在供需双方或者多方之间能不能够达成一致。如果能够达成一致，这种方法可以作为一个比较好的行业实践提交给监管部门，让他们看看这种方式在不踩红线的情况下，能不能够成为一个行业规范甚至是国家标准。
（二）数据交易对数据主体权益造成的影响
关于数据交易对个人信息主体权益的影响，不仅要看现在，还要看未来。原因在于，从理论上来说，在中国个人信息是不能买卖的。只要买卖个人信息，按现有法律法规设定的标准，个人信息主体一定会受到影响，除此以外还有可能会对公序良俗、社会公共利益造成影响。中国大量的个人信息买卖都属于非法买卖，用于电信诈骗、非法催收等。
但我们也要看未来，如果个人信息完全不能流通或者交换，这是不利于促进数字经济发展的。因为数字经济很重要的一点就是要打破所谓的数据“孤岛”，数据的融合、共享、汇通包括洞见数据之间的关系本身是一个强硬的命题，是一定要去做的。所以，要用发展的眼光去看待这些问题。
数据不能买卖，但从来没有禁止数据流转。比如《个人信息保护法》中规定了可携带权，再比如“新浪诉脉脉案”中，北京知识产权法院提到：在双重授权的原则下，数据是可以在不同平台之间流通的。所以，个人信息不能买卖但可以合法流转。
个人信息流转的前提条件是要有合法性的依据，要么是同意，要么是履行合同所必要，要么是紧急情况，要么是公开信息的合理使用等。在真正的数据流通的场景中，个人信息应当是可以被允许流转的，但有很多合规性的前提，而且难点也比较多，比如无法告知个人信息主体数据未来流转的趋势。在这种情况下，有新型的趋势也需要我们去关注，比如采纳可用不可见技术，个人信息本身是不可见的，但数据可能基于某一通用的目的进行处理。
（三）数据交易的模式
现在的数据交易分为场内交易和场外交易。场外交易是企业自主发起的数据流转。比如一个集团公司要求下属的所有公司将数据汇集到集团公司，这可以说是数据交易，也可以说是数据融合。还有一种是企业与企业之间自发的数据交易，如互相开放API。
另外，还有一些公司做了所谓的数据平台，相当于一个撮合的角色，让数据的需求方和供给方都到平台中去匹配。当然这种模式有很多，比如直接下场交易，数据先买过来再卖给需方，或者只做一个代理，收取平台服务费。
通常来说，这种平台承担的责任非常重。平台的管理职责包不包括确认数据的来源合法合规？包不包括数据流转之后接收方本身是不是有超合理或必要目范围的使用？包不包括对数据的计量计价进行标准审计？数据传输过程中发生安全性问题谁来承担责任？这些问题都很复杂。
场内交易是通过数据交易所进行交易。首先要确定交易所本身的定位是什么。北京国际大数据交易所名称中包含有“国际”两个字，那么就一定会涉及数据跨境流转的问题。
其次要弄清楚交易所承担什么责任，是一个交易场所，还是可以自主进行经营？在与交易所合作过程中，数商承担什么责任？只是牵线搭桥让供应方和需求方在交易所进行交易，还是对线索本身也要负责？包括数商模式里，一定有律师、审计师。在整个数据流转过程中，交易所、数商、律师、审计师扮演的角色各是什么，目前这个模式还在不停地进化过程中，但最终一定是一个生态圈模式，大家各司其职。
数据交易目前还有很多的不确定性，不同的主体就某一个要素进行核查和背书，才能够形成一个相对完整可持续的数据交易链条。交易所这样的模式，基于国家公信力的相关背书，如果能够走出一套守住底线又能够促进发展的模式，是很有可能全国推广的。
（四）全国性数据交易平台面临的困难
第二，要搞明白交易所在整个数据交易链条里的定位。交易所有没有监管职责，能不能自己下场交易，都是可以探讨的。
还有很重要的一点，北京金控的董事长范文仲在2022全球数字经济大会里提到，谈数据交易不要仅仅局限于数据跟法币的对价。数据的价值在于它的使用价值，而不仅仅是法币。现在在上海等红绿灯的时候，有个App能告诉红绿灯还有几分几秒，如果交通委真的开放了类似的数据，理论上这个数据也不能直接变现。但如果交通委说，不卖数据，但只要调取这个接口的个体，需要上报他的位置信息。这样交通委可以利用实时的车辆和个人的信息去提供智慧交通服务，这就是数据与数据之间的交换和共享。所以，这种数据与数据之间甚至是“数据+算法+算力”的综合交易才是未来的趋势。
这也是交易所的难题，即如何构建这种不仅仅是数据和法币，而是数据与数据使用价值，“数据+算法+算力”的综合解决方案的对价。要实现这一点，需要律师，需要审计师，还需要技术支持平台。
对于需求方和供应方来说，最大的难点是要选择交易所。要弄明白每个交易所在不同地区的定位问题，其交易模式对于自己掌握的数据是有利还是有弊，以及要对比其收取的费用和承担的职责，包括在数据交易过程中对于不同数据的合规性要求、安全性要求，在整个数据交易所的生态圈里，有没有人帮忙背书和做安全合规核查，这是确保数据交易不会触发刑事或者行政责任的很重要一点。
综上，交易所面临着自身定位、权利归属以及如何构建新型的交易模式这些难题。对于供需双方来说，选择交易所、对比交易所最重要的是确保数据交易过程的安全、合法和合规。
（五）数据流转过程中企业要注意的合规要点
合规要点包括两部分：一是合规安全，二是权益。
合规安全在于数据流转过程中，数据能不能溯源，能不能确权，数据的权利归属来自于谁？企业是基于个人信息主体的同意去流转数据，还是基于履行合同所必要，还是因为公共利益，还是因为信息在现有的公共平台里已经披露了，可以合理进行大数据分析？企业要了解权利的源头，才能确保在整个数据流转过程中，企业能够确定这个数据是能用并且能够流转的，这是确权。
溯源在实践过程中可能是个mission impossible。如果是一个微信号，涉及的可能是微信，可能是个人信息主体提供的，或者是有人“爬”过来的。但如果是姓名、身高等信息，就很难溯源。所以，合规安全首先要固定数据能够流转和处理的源头，接下来再根据《个保法》逐一比对告知同意这些合规性要求。
其中需要关注的一点就在于安全。比如为了降低风险，生物识别信息要单独存储，这企业自身能否做到？比如个人信息已经匿名化了，不需要个人信息主体同意了，那匿名化的效果谁来承担？匿名化的方法本身能够被认可吗？能够达到不能够回溯到特定个人的效果吗？效果由谁背书？这些都需要去关注。
传输以后也有很多问题需要探讨。比如基于某目的将数据传输给接收方，接收方不能够超出这个目的；包括接收方本身有安全性的要求、处理数据以后的存储时限、项目完成后删除数据的期限；包括在这过程中，如果个人信息主体提出要求删除数据，企业通知数据接收方删除，能不能删除，删除多少，这其中会产生大量的争议。
容易被大家忽略的是权益。到底能够主张什么样的权益？接收方能否主张衍生数据的权益？什么是衍生数据？怎么去定义衍生数据？和原始自行收集的数据进行融合产生的衍生数据权益如何分派？它的权益如何分派呢？是不是可以借鉴一些知识产权的条款？这些可能都是尚待深入研讨和解决的问题。
数据权属的确定与数据要素权益的配置
（一）如何确定数据权属
对数据权属目前并没有定义，《深圳经济特区数据条例》曾经做过尝试，政务数据、相关的公共数据都属于国家。所以，探讨权属问题，确实有非常多的障碍。
建议先在国家层面理清国家对于哪些数据享有权益。各地如上海、浙江、深圳、北京，都会有《数据条例》，其中都提到国家对于公共数据有权甚至有义务进行整合和开放。这种情况下，大家都认为国家对于公共数据是有一定权属或权益的，但这还是要论证，理论上国家要对政务数据以外的公共数据进行定义。公共数据的范围是什么，这一点值得大家探讨。
政务数据是国家履行自己的政务要求形成的数据，政务数据归国家所有可能没有问题，但政务数据的公开是有很多限制的。如果涉及商业秘密、国家秘密甚至个人隐私，是有可能不公开的。
但什么是公共数据？比如用水、用电、税务信息，甚至通信信息是不是公共数据？如果把公共数据定义成跟公共利益相关的数据，那太多是公共数据了。理论上，如果通信数据是公共数据，那国家是不是可以收集？通信自由怎么办？这个问题就衍生出来了。所以，探讨权属问题，首先要解决的是国家对哪些数据是有控制权的。
其次，再看企业。目前企业更多是对数据进行加工和处理，因此其希望能够主张一定的权益。比如“新浪诉脉脉”案中，北京知识产权法院提到一个正常的企业日常运营中合法收集的个人信息是企业的竞争资源。企业可能有把数据作为竞争资源的权益。但仅仅对数据进行加工，不一定对数据享有权益。
未来一定会重点探讨的问题在于，在互联网所谓的大的公开平台里，用户形成的数据，到底是平台所有的数据，还是个人所有的数据，还是公共数据？这一点是很关键的，一旦国家将其定义为公共数据，企业还能像现在一样开放API获利吗？这其中存在国家、企业跟个人的财产性权益的平衡问题。
所以，对于企业而言，尽管企业可以主张经过其处理或加工的数据，其可能享有特定的权益，但权益的范围、数据的性质，都要进行自我定义。
最后是关于个人信息主体。个人在整个数字经济里是较为弱势的。个人一旦暴露在公众中，身高、体重这些信息其实就不在个人的控制权之下了。但无论如何，它的方法论不会发生变化：第一，先定义数据的类型；第二，这个类型的数据各方主体可能有什么类型的权益；第三，进行数据要素的权益配置；最后，通过安全合规和权益的约束以及加入交易所的不同方式做背书，这样数据流转才能够成型。
（二）如何配置数据要素权益
在数据权益理论没有完全固定的情况下，如何配置数据要素，有一些初步的想法：比如把所有权、用益权尝试做二元权益的分离，把控制、开发、许可、转让四项积极权能和相应的消极功能全部区分开。这样，企业拿到数据后才知道能够做什么。
同时，申卫星老师曾经说，数据的问题可能之前更多的是由竞争法的专家去研究，因为数据本身的竞争权益特别容易形成市场反不正当竞争的效果。但申老师作为一位知名的民法学家，认为可以通过数据竞争性权益分派数据要素，去制止一些反不正当竞争的情况，但无论如何，要回到数据用益的本源去看一下各个主体到底享有什么权益，不能仅仅是以结果为导向，还是要从权益的发起点去看这些问题。
最后，马长山老师在他的一本书中提到，我们到底对于虚拟世界的这些法律要求是重新来一遍，抛离掉所有权这一套，还是能够在现有的制度里做一些修改，使其能够顺应在虚拟社会里实现良好治理的要求？如果是这样，我们还是可以利用数据的知识产权进行保护，包括现在开源基金做的很多开源代码的保护，是不是也可以跟数据保护相关的要求，尤其是数据运维权的保护要求进行结合。
企业在抓住红利时应注意的红线问题与建议
（一）企业在抓住数据要素市场红利时应注意的红线问题
首先，《刑法》中规定的侵犯公民个人信息罪、非法获取计算机信息系统数据罪等刑事罪名一定是红线。企业要确保不触犯刑法的底线。
其次，涉及国家秘密、重要数据甚至核心数据的非法跨境，也是红线。数据对于国家来说是竞争资源，是重中之重的生产要素。如果违反现行法律法规的要求，明知或者应知数据跨境涉及国家秘密、重要数据、核心数据，就触犯了红线。
一些行业特定数据的跨境要重点关注，因为其很有可能被认定为重要数据甚至是核心数据。如健康行业的人类遗传资源、人口健康信息、临床诊疗数据等。再如测绘成果的跨境，尤其是涉密测绘成果的非法跨境也是红线。第三，金融行业也有很多特殊要求，央行科技司发布了《金融数据安全 数据安全分级指南》，对金融数据进行了分类分级，包括《个人金融信息保护技术规范》中对金融数据也有分类，级别较高的数据有可能构成重要数据，如果没有正当理由，没有经过合法审批，其跨境也是红线。
最后，还有如何获取数据的问题。爬虫并不一定涉及刑事责任，爬虫是一种中立的互联网技术，合理使用爬虫和滥用爬虫是有边界的。滥用爬虫如UV伪造绕过反爬措施、IP代理、频率控制等，如果突破了反爬的权限，有可能涉及刑事责任。但如果合理使用爬虫，对于平台没有造成实质性的损害，在平台里的UGC信息本身权属又不明的情况下，这是不正当竞争还是刑事法律应该监管的领域，值得大家去思考。
最关键的是，如果允许企业在平台上根据Robots协议反爬措施筑起一道墙，怎么打破平台垄断，促进数据流转？对此，要辩证地看待。如果平台本身是免费的，个人信息的使用和后续的价值可能是平台商业模式能够存续的重要基础，那设置反爬措施是可以的。但如果平台本来就是收费的，平台的对价本身不一定是个人信息，个人信息主体已经合法公开，为什么不能合理使用呢？
所以，这是接下来关于《个人信息保护法》配套细则以及具体执法里要进一步细究的问题，在现有的平台和个人信息中进一步分类分级，找到既能够促进竞争、明确权属又能够让数据自由流通的一个平衡状态。
（二）企业做好数据交易工作的建议
要做好数据交易工作，建议分成五个步骤：
第一是保证数据安全。
第二是数据的合规。
第三是数据的融合。集团内部怎么将数据融合在一起，这个融合本身是要合规的。
第四是数据资产的问题。在前期数据的安全、合规、融合的基础之上，要盘点自己的数据资产，并根据现行的法律法规去主张对于这些数据所享有的权益。在这种情况下，就可以开始进行数据的交易了。
第五是智能化。希望能够有一些自动化的处理工具，让数据进入系统中时，数据类型已经标记了，分类分级已经自动化完成了。在这之后，最重要的是数据的价值本身是动态的，数据是动态去进行交易的，在数据入仓的时候，把智能化系统搭建好，数据就能够自动化地交易。
安全、合规、融合、资产固定和智能化这五个步骤里，不仅有数据的需求方，还要数据的供给方，有交易所、律师、审计师、法律科技公司等等。所以，形成一个好的生态需要不同主体贡献自己的力量，形成合力，形成有序的数据流通局面，以安全促发展。
写在最后：
实现数据有序交易，发挥数据潜能，是推动数字经济发展的重中之重，该话题涵盖范围较广，仍有很大探讨空间，我们也准备了数据交易深度研究报告，供大家进一步补充了解，如有需要可以扫描下方二维码领取。