資料要素研究|申曉雨、曾祥瑞資料治理中資料利用與資料保護的平衡!

資料要素研究|申曉雨、曾祥瑞資料治理中資料利用與資料保護的平衡!

導語

在數字經濟發展中,企業將成為資料保護和開發利用的主要市場主體。本文嘗試從企業的視角,對我國當前資料治理現狀進行觀察,分析企業在資料保護與資料利用中遇到的問題和困境,並對我國資料治理體系的完善提出了建議。

文/北京天達共和律師事務所合夥人、資料合規團隊負責人申曉雨,北京天達共和律師事務所法務人員曾祥瑞

資料利用與資料保護是資料治理的兩個基本問題。資料保護是資料利用的必要基礎,資料利用是資料保護的目的之一。《中華人民共和國國民經濟和社會發展第十四個五年規劃和2035年遠景目標綱要》提出“統籌資料開發利用、隱私保護和公共安全”,也強調了資料開發利用與資料保護的平衡和協調發展。

現實中,我國在資料治理中存在諸多問題。一方面,資料利用領域尚未建立必要的立法和配套制度;另一方面,多年來國家雖持續強調加強資料保護並取得可喜成效,然而個人資訊侵權、企業之間有關資料的不正當競爭事件依然層出不窮。因此,如何完善符合我國國情和經濟產業發展需要,以及與國際接軌並建立切實可行的資料治理制度,值得認真思索與探討。

資料利用的立法和司法現狀

資料是一個寬泛的概念,簡單而言,資料相關法律規範所稱的“資料”既包括自然人的個人資訊,也包括非個人資訊資料。從資料的法律屬性來看,資料權益既包括人格權益,也包括財產權益。

資料財產權益的立法缺失

目前,我國已在《民法典》中對個人資訊的人格權益予以確認,而對於資料的財產權益,《民法典》僅在第一百二十七條規定,“法律對資料、網路虛擬財產的保護有規定的,依照其規定”。現實中,我國尚無立法對資料的確權、價值評估、交易規則等與資料利用有關的事項做出規定。僅一些地方資料交易中心和資料交易所為其內部的資料交易制定了相應規則,但由於缺乏明確的法律依據,其相關內容值得商榷。而且,受立法缺失的影響,這些資料交易中心和資料交易所的業務並不活躍。

司法對資料財產權益的保護現狀

無論立法是否對資料的財產權益做出規定,資料的經濟價值都已被實踐證實。隨著網際網路經濟特別是平臺經濟的快速發展,一些企業經過長期經營、積累,已經掌握了海量資料,而企業之間亦因爭奪資料資源、資料資產而爭議頻發。在此類案件中,我們可以看到,企業往往依據《反不正當競爭法》第二條的原則性規定提出競爭權益主張,且在多數案件中,此類主張得到了法院的支援。

需要注意的是,儘管此類司法救濟在現階段資料確權立法缺失的背景下,為企業提供了一個有效的確權途徑和救濟視窗,但法院僅承認資料具有競爭方面的消極“權益”,而並非積極的財產性“權利”。這意味著,上述司法救濟對資料的確權只有在資料被不正當獲取及使用時才能啟動,是一種依據侵權行為產生的救濟,且需要個案認定。

此外,在此類案件中,法院在確定企業資料權益時,通常會首先判斷企業資料來源的合法性,並要求提出權益主張的一方對此承擔舉證責任,即證明其對資料的收集、使用合法合規,對企業的資料合規能力提出了要求。

資料保護制度的現狀及問題

近年來,我國加速出臺了各類資料相關立法,針對個人資訊保護以及資料安全建立起一套行之有效的監管體系,包括在2017年出臺《網路安全法》,將個人資訊權益寫入《民法典》,預計2021年也將加速出臺《個人資訊保護法》和《資料安全法》,其成就有目共睹。但也需要看到,我國現階段的資料保護制度仍存在諸多不足,並因此對企業的資料合規效果造成了不利影響。

資料保護立法問題

首先,在頂層立法中存在諸多方面的立法空白,許多有關個人資訊和資料安全的規範仍停留在國家標準或行業標準的層面,沒有被吸收到強制性法律規範中。

其次,對於立法中已有所涉及的問題,法律規定通常為原則性規定,而這類規定往往較為模糊。例如,對於收集自然人敏感個人資訊,近期釋出並於2021年5月1日生效的《網路交易監督管理辦法》要求,收集資訊的一方“逐項”取得個人資訊主體的同意。如何理解“逐項”的合規標準?立法並沒有給出明確的指引,從而引發了人們對這一規定的不同解讀。

最後,不同法律規範之間就同一或類似事項的規定不一致。例如,對於“個人資訊”這一概念,《民法典》《網路安全法》《最高人民法院、最高人民檢察院關於辦理侵犯公民個人資訊刑事案件適用法律若干問題的解釋》《個人資訊保護法(草案)》的定義均不盡相同。隨著立法發展,法律之間的銜接問題將日益突出,給法院和行政機關適用法律、企業理解和落實相應合規要求增加了難度。

資料保護中行政監管的弊病

近年來,我國行政監管機關對於資料保護,特別是個人資訊保護的治理工作,已取得顯著成效。但另一方面,根源於頂層立法的不明確,行政監管在實踐中也產生了諸多弊病:

第一,多頭監管導致交叉執法和空白執法。作為網路安全及資訊保護的基本法,《網路安全法》第八條確立了網路安全及個人資訊保護方面的多頭監管制度,隨後出臺的《個人資訊保安法(草案)》《資料安全法(草案)》均延續了這種思路,形成了在網信部門領導下,電信、市場監管、公安等機關和相關行業主管部門共同監管的“九龍治水”格局。這意味著,對於同一個問題,企業可能面臨來自不同監管部門的執法要求,也可能在某些問題上求告無門。

第二,不同監管部門執法標準不統一。作為監管依據和標準的頂層立法不明確,導致不同的監管部門按照自身的理解去解釋法律並進行執法,對同樣的問題,不同部門很難形成統一的操作標準。結合上述的多頭監管問題,重複執法、衝突執法增加了企業的合規負擔。

第三,行政執法堵而不疏。現階段監管部門的執法活動仍以打擊違法違規行為為主要目標,鮮見給企業提供詳細的合規指引、操作規範,導致企業在監管過程中並不能很好地理解立法目的、落實監管要求、完善合規措施。

資料治理中的企業困境

資料利用中的確權和維權難題

從追求利潤的角度,企業希望資料的開發和利用最大化。因此,除在經營中對資料進行收集和積累外,企業還需要積極吸納外部資料,並向外界共享自身的資料資源,以打通不同領域,實現交叉合作,提升資料開發和利用能力。為此,加速資料要素市場化,規制資料侵權和不正當競爭行為,保障資料的自由流通,是關鍵之舉。

但現實中,資料產權邊界不清晰,資料產權的權利範圍和利用規則也不甚明確,企業在進行資料資產管理、確認資料資產價值時缺少明確的依據,也難以對特定資料交易的合法性進行準確判斷,增加了企業的資料交易成本和難度。同時,在發生涉及資料產權的爭議後,受立法缺失、舉證困難等因素的影響,企業能夠得到的救濟及其效果有限。綜合各方面原因,多數企業對於資料的資產化、資料產品的研發和資料的共享、流通仍持觀望態度,或因受限於上述問題而無法有效推進資料交易、實現資料資產價值。

資料合規成本與收益的平衡

從運營成本的角度來看,企業會盡可能合理控制合規成本,這要求立法和執法的標準相對穩定且清晰可預測。然而,在立法缺失、規定不清晰和多頭監管的背景下,企業對如何滿足合規要求經常感到茫然無措,甚至疲於應對多個主管部門進行的高頻次檢查以及不同的整改要求,使其被動投入的合規成本增加。由於難以在資料保護成本和資料利用收益之間達到平衡,企業加強資料合規的內驅力不足。以個人資訊保護為例,在近兩三年內,大量企業經歷了從沒有隱私政策、預設甚至未經使用者使同意就收集個人資訊,到隱私政策萬字長文、使用者不同意就拒絕提供基本服務的變化——從最初的無序發展,到如今的矯枉過正,企業採取這些手段,往往並不以個人資訊保護為目的,而僅為一站式滿足不同監管部門的整改要求。這種將合規做成表面文章的行為固然不可取,但現象背後也正折射出企業控制合規成本的需求。

此外,現階段針對資料侵權的司法判賠、行政處罰力度普遍不高,在司法實踐中還存在諸如舉證責任不明確、證明標準不明晰等問題,導致侵權企業違規成本與其獲得的利益相比過低,促使一些合關於平衡資料利用和資料保護的建議規意識不強的企業選擇“有效侵權”(在法經濟學上,當一個經濟實體故意選擇侵權時,如果其所付出的成本比透過合法的方式獲取授權更低,那麼就可以稱該侵權行為是一個“有效侵權”),不僅對其他企業或個人的權益造成侵害,對資料資產化和資料交易的良性發展也會造成負面影響。

關於平衡資料利用和資料保護的建議

縱觀我國資料治理現狀,近年來,資料保護體系已初顯雛形,但在立法和執法領域仍存在諸多問題,有待進一步完善;而資料利用方面,必要的法律基礎和制度尚未建立。如上文所述,資料保護和資料利用立法和監管體系發展的不平衡以及其他現實問題,限制了企業對資料開發利用以及資料合規的創新力和內驅力,不利於企業資料資產化和資料交易的發展。為此,筆者嘗試從以下幾個方面,對我國資料治理體系的建立和完善提出建議:

第一,儘快建立並完善資料確權制度和資料交易規則

資料是一種具有經濟價值的生產要素,只有確認資料的財產權利,為資料資產建立產權制度,完善權利救濟機制,才能最大程度促進資料流通、實現資料價值。為此,建議立法部門儘快出臺資料產權相關立法,明確資料權利保護的範圍,明晰資料收益權和資料利用規則。儘管對於“資料”的概念、資料權利內涵與權利歸屬等問題,學術界尚有爭論,但在全球經濟數字化轉型以及我國積極推進資料資產化發展的背景下,資料正在以極快的速度滲透到社會經濟生活的方方面面,從立法層面對近年來越發深刻的資料資產的保護和應用等一系列問題做出迴應看,構建資料產權制度已刻不容緩。

如果頂層立法在短期內出臺存在困難,建議考慮在部分試點地區先試先行,積極探索地方性、區域性資料產權制度,以試點的成功經驗帶動全國範圍內資料資產化和資料交易市場的發展,在試錯中摸索並逐漸確立適合我國國情的資料產權制度和交易規則。

第二,完善資料保護立法

針對上文所分析的我國目前在資料保護方面的立法缺陷,建議在頂層立法層面,統一對資料基礎性概念的定義,明確資料權益範圍和邊界,確保不同立法之間的銜接和協調。同時,根據國家標準、行業標準、團體標準等規範在商業實踐中的實施經驗,將其相關內容積極吸納到強制性立法中,並透過部門規章、規範性檔案、司法解釋等立法形式,對頂層立法所確立的原則做出細化解讀和規定,為企業的資料合規提供指引。

第三,改善資料治理行政監管機制

一方面,針對多頭監管問題,建議政府進一步釐清各資料行政監管機關的資料治理職權,建立多部門協調聯動機制,統一執法標準。

另一方面,建議行政監管機關加強與企業的溝通互動。堵而抑之,不如疏而導之,在禁止違法違規行為的同時,監管部門如果能夠給企業提供更多、更加詳細的合規指引、操作規範,不僅有助於企業更好地理解立法目的、落實監管要求、完善合規措施,還將有利於企業準確判斷併合理控制合規成本,提升企業資料保護和利用的內驅力。

第四,加大對資料違規行為的懲罰力度

無論是針對個人資訊抑或對企業資料的侵權,目前在我國,行政處罰和司法判罰都存在力度不足的問題,侵權者的違法違規成本與其所得利益、對權利人的侵害和造成的社會影響不相稱,不足以起到有效的懲戒和震懾效果。

目前,在個人資訊保護方面,《個人資訊保護法(草案)》提出了較高的處罰標準,將個人資訊違法行為的行政處罰上限提升到企業五千萬元以下或者上一年度營業額百分之五以下罰款,有望彌補現行立法中對個人資訊主體救濟不足、對侵權主體處罰力度不夠的弊端,值得期待。在資料資產的保護方面,同樣建議加強對資料資產侵害行為的處罰力度,保護權利人對其資料資產的合法權益,激發資料資產化市場主體活力。

結語

在世界範圍內,資料治理是一個全新的領域,有關資料產權、資料保護、資料利用規則的制定在未來很長一段時間內將是世界各國共同的課題。希望有關部門積極參考全球其他國家、區域的研究成果和立法實踐,並加強政府、企業、學者和法官、律師等法律工作者之間的交流和研討,逐步建立並不斷完善符合我國國情和經濟產業發展需要,以及與國際接軌並切實可行的資料治理制度。

本文刊發於《清華金融評論》(點選訂閱)2021年5月刊,2021年5月5日出刊,編輯:謝松燕

資料要素研究|申曉雨、曾祥瑞資料治理中資料利用與資料保護的平衡!

資料要素研究|申曉雨、曾祥瑞資料治理中資料利用與資料保護的平衡!

頂部