查看新版>>
我的位置： 上观号 > 上海市法学会 > 文章详情

时明涛｜作为新型财产权客体的数据及其法律保护

转自：上海市法学会 2023-12-08 09:11:46

数据如何保护是长期以来困扰我国理论研究与司法实践的重大难题之一。这一方面是因为数据之上的多元利益属性，使得数据权益保护需要平衡多方面的利益。另一方面则是由于数据无形财产的本质特征，使得其权益保护需要综合考虑多种因素。数据的多元利益属性决定了单一路径的保护方式难以满足数据流通、保护与利用的多种需求。数据作为无形财产的客体特征，决定了数据的类型与价值属性将对其权益保护规则产生重要影响。我国现行法律体系中数据可以作为一类民事权益而单独存在，但数据的权益内容、行使条件与权利限制等，只能通过单独立法的方式加以实现。

随着民法典第127条首次将数据纳入民事客体的范畴，数据如何保护已经成为我国现行法律体系中亟待填补的漏洞。然而，现有理论主张中，行为规制说、赋权保护说、分类保护说与知识产权保护说等均有其难以克服的理论局限，无法为数据权益保护的专门立法提供完整的指导框架。司法实践中运用反不正当竞争法的一般条款处理企业数据权益纠纷亦有其不足之处。本文认为，数据权益保护规则的构建应当立足于我国现行法律体系，并在适当结合已有司法经验的基础上，构建权益归属清晰和内容明确的数据权益保护体系。其基本结构应当是民法典为数据权益保护、数据交易、加工和利用等提供基础性规则，特别立法为数据权益的归属、内容及其限制等提供制度依据。在规则设计方面，数据权益保护的专门立法还需要考虑到数据作为民事法律关系客体自身的特点，以及为数据权益的归属、交易和分享预留出足够的空间。由此，二者之间可以形成以民法典为一般性规范和以特别立法为特殊性规范的良性互动。
一、民法典视域下的数据权益保护
正如苏永钦教授所言，随着现代信息技术的发展与进步，法典找法的功能基本已不复存在，取而代之的是其作为私法领域的基本法所特有的功能，即带动整个民事法律规范体系化与精确化。总体上，我国民法典所确立的是以民事权益保护为中心的私法体系。由此，数据权益保护的特别立法应当在民法典的体系内进行，不宜另起炉灶，以免人为增加法律解释与适用的难度。
第一，民法典虽未规定“数据权”或者“数据利益”，但其第127条已经为数据进入私法领域提供了基本依据。民法典第127条规定：“法律对数据和虚拟财产的保护有规定的，依照其规定。”从体系上看，该条位于总则第五章之“民事权利章”，至少意味着立法者已经明确肯定了数据的民事客体地位。换言之，数据权益已经成为我国民事权利体系中不可或缺的重要组成部分。从内容上看，民法典第127条之所以授权法律对数据保护另行规定，主要是因为现阶段对数据如何保护这一问题仍然充满争议，立法者出于审慎考虑，授权将来以特别立法形式专门规范这一问题。事实上，数据作为民事权利客体，虽未取得犹如物权、债权、人格权等有名权利的地位，但无形财产保护的复杂性本身就蕴含着另行立法的科学性与合理性。正如学者所言，数据的保护与利用呈现出与传统民事权利客体截然不同的利益平衡需求，因而有必要以专门立法的形式对这一问题进行规定。
民法典第127条意义上的“数据”应理解为财产权客体的“数据”。在传统民法体系中，提及财产权就容易令人联想到所有权。特别是在大陆法系国家，所有权是比财产权讨论更多的概念。然而，所有权与财产权之间错综复杂的关系，也使得数据财产权的研究极易陷入混乱之中。数据所有权的概念能成立吗？数据财产权是指数据所有权吗？所有权和财产权在保护路径上究竟有何区别？要解决这些问题，首先需要明确什么是所有权以及所有权与财产权在功能上的区别。
所有权是一个历史概念，所有的对象会随着时代的发展而不断发展变化，总体上呈现出较为明显的扩张趋势。在传统大陆法系国家，特别是德日民法体系中，所有权的客体通常是指有体物。这使得所有权被塑造成为一个边界十分清晰的权利类型，所有权也常常被描述为具有绝对的、永久的和排他性质的权利。但由此也带来了明显的缺陷，即所有权的概念难以容纳多样化的财产形态及其保护需求。尽管所有权也可以被理解为排他性的归属关系，从而在对象上勉强能够涵盖某些无体财产和特定权利。但因观念上的原因，将所有权的概念运用在数据财产的保护之中更容易令人产生数据权利是一种排他性支配权的假象。这与数据的信息本质是极为冲突的。事实上，即便在数据财产权中规定了所有权的概念，它的权利内容也不可能是完全地占有、使用和收益，这主要是由数据财产的利用方式及其保护需求所决定的。也就是说，在大陆法系的法律体系之中，数据所有权的概念不仅无法成立，而且与数据权益归属的特点存在明显的冲突。
在财产法的视域中，财产权不再是对物的完全支配，它往往需要受到一定的限制。财产权也不再是一项绝对性质的权利，即对财产权的保护往往是有条件和受限制的。与所有权内容的高度一致性有所不同，财产权的内容更为丰富，并且会随着客体保护需求的变化而发生变化。就此而言，将财产权的概念运用在数据权益保护之中更能体现出数据在权益构成上的特殊性。从与现行法体系相衔接的角度，我国民法典第113条规定了“民事主体的财产权利受法律保护”，又在其后分别列举了物权、债权、知识产权、股权、数据和网络虚拟财产。由此可知，数据作为财产权的客体已经得到了立法的肯定。只不过，物权和债权在民法典中得到了体系性的贯彻和规定，而诸如知识产权、股权、数据等特殊财产权益的保护则需要在相应的单行法中寻找依据。据此可知，我国民法典所确立的实际是包含了有形财产和无形财产在内的多元化的财产法体系。
数据财产权的内容应当由其客体属性所决定。数据财产权的设立存在多种路径。比如将企业数据作为一个整体看待，从而在其之上建立具有财产性质的占有、使用、收益等权益。还可以将某一类数据设定为财产权的客体，进而在其上设立排他性的权利内容，如数据工业产权或者商业数据权等。再比如以现行法律为依据，将数据纳入反不正当竞争法、合同法和侵权法的调整范围。通常而言，作为财产权的客体应当具有价值性、控制性和可转让性。民法典第1034条第2款、个人信息保护法第4条均将个人信息界定为“已识别或者可识别自然人有关的各种信息”。可见，是否具有识别性是区别个人信息与非个人信息的关键。从个人数据与个人信息的关系来看，个人信息是个人数据的上位概念，数据不但可以表现为信息，还可以表现为其他形式，比如声音、图像和符号等。从本质上讲，个人信息之所以需要保护，原因在于其上体现了信息主体的人格利益。至于个人信息是否具有财产价值，严格地讲，单一个人信息之上并不具有明显的财产价值。只有大量的数据汇聚才会产生赋予财产权保护的需要。由此，首要的问题在于赋予何种类型的数据以财产权？
从现行立法来看，我国数据安全法所称“数据”既包括个人数据，也包括非个人数据，甚至是公共领域的数据。从前述有关个人信息的定义来看，个人信息亦可以电子方式进行记录，但“不包括匿名化处理后的信息”。这意味着个人数据与非个人数据的界限在于是否进行了匿名化处理。总体而言，不论是个人数据还是非个人数据都应当视为民法典第127条意义上的“数据”。但问题在于个人数据往往由企业或者政府部门掌握，个人实际上难以控制和行使权利，那么应当如何理解二者之间的关系？这一问题的本质是个人数据财产权的利益应当归谁所有。
第二，个人数据的人格权益归属于信息主体，财产权益归属于其控制者。个人数据的保护与利用是数据权益保护领域最具争议的问题。原因在于，个人数据具有多元的利益属性和复杂的利益构成。通说认为，个人数据之上既有人格权益，也存在一定的财产利益。由此，个人数据之上的财产权益是否应当分配给个人产生了激烈的争议。赞成者的观点主要基于如下理由：（1）可以增强个人对其数据的控制；（2）可以增加数据业者收集、处理个人数据的成本。（3）可以形成个人数据的自由竞价市场；（4）可以激励个人分享和提供其个人数据。
笔者认为上述理由均难以成立。首先，个人数据之上虽有财产价值，但这与在个人数据之上设立财产权却并非一回事。从本质上来说，财产权的赋予需要满足一定的条件，即财产权的设立需要考虑其制度成本。只有当设立财产权的益处大于其制度成本时，设立财产权的必要性才会被纳入考虑范围。而在个人数据处理实践中，信息控制者所收集的乃是各种类型的数据，即包括个人数据和非个人数据。从权益纠纷解决的角度而言，即便不考虑这些数据如何协商与定价，以及因可识别性导致个人数据范围难以界定的问题，单就因侵害个人数据的财产价值所引起的纠纷而言，赋予个人以数据财产权也将给数据控制者和司法机关带来沉重负担。
其次，成为财产权的客体须具有可转让性。可转让性意味着个人数据一经转让，继受者应当对其享有较为完整的权益，最起码应当允许继受者自由地转让和使用。然而，这与个人数据保护的初衷并不相符。个人数据权的客体是信息主体的人格利益，而人格利益不具有可转让性应当是一种基本常识。个人数据虽然具有财产价值，但其具有更为明显的人格属性。因此在大多数情况下，即便取得了信息主体的有效同意，也不意味着信息控制者可以自由处分其个人数据，其主要原因在于人格权的不可侵犯性限制了同意的有效范围。由此可知，个人数据难以具有完整的可转让性。
最后，形成个人数据自由竞价市场和激励个人数据分享的理由也难以成立。个人数据的本质是反映个体行为的信息性隐私。此类数据之所以具有商业价值，是因为其反映了个体的行为偏好，从而在商业推广中获得了可利用的价值；由于数据收集与分析技术的普及，使得对某类群体行为的分析变得简便易行，从而可以为商业决策提供参考。从个体利益的角度，个人信息权的本质则是赋予信息主体对其个人信息进行控制的权利。一方面，赋予个人以数据财产权并不意味着可以给个人数据定价，因为隐私无价应当是一种基本共识，这与人格权益不可处分在道理上是一致的。另一方面，个人数据毋宁是个人因自由行动而产生的副产品，如果有人为了产生更多的数据而刻意行动，那么这些数据所反映信息的真实性必然存疑。这些刻意为之的数据，与其说具有财产价值，不如说是数据的“冗余”。换言之，个人数据并不存在激励分享的问题。
事实上，个人数据财产权的理论主张有其特殊的比较法背景。一方面，美国并无统一的个人数据保护立法，传统的隐私保护又难以应对大规模的个人数据收集与滥用行为，因而个人数据财产权的引入至少可以减少或者限制大规模的数据收集与利用。另一方面，由于统一的个人数据保护立法在联邦层面存在难以克服的障碍，而赋予个人数据以财产权就可以通过准用财产权规则起到与统一立法相类似的效果。至此不难看出，个人数据财产权的主张主要用来解决美国个人数据保护的特殊立法困境，而我国并没有类似的问题。
个人数据之所以需要保护，其根本原因在于个人数据与其主体存在着某种关联。比如可能识别出特定的个人、了解个体的某些习惯、能够从个体过往的习惯中发掘其偏好等。一旦此类数据与个体彻底失去联系，它也就失去了在个人信息意义上获取保护的必要性。从这个角度而言，以能否识别特定个人作为个人数据的界定标准容易令实务操作陷入无所适从的困境。因为“识别性”容易受到技术和数据量的干扰，理论上只要愿意花费相当程度的时间，任何经过匿名化的数据都具有可识别性。从数据保护的角度而言，仅赋予个人以数据财产权并不能使其产生对抗数据控制者的能力。这是由于数据主体与数据控制者之间存在明显的技术与能力差距，对于一个并不由自己实际占有和使用的数据，如何能够以行使财产权的方式获得控制，是存在疑问的。
个人信息保护法的立法目的在于为个人信息保护和利用问题提供解决方案。本质上，个人数据是以数据形式表现的个人信息，因此个人信息保护法的保护对象并不限于个人数据。个人数据的保护之所以显得如此重要，主要是因为大规模收集、处理和利用信息技术的发展和进步，使得数据成为信息利用的主要形式。一方面，只有当个体有权决定由谁掌握其个人信息、掌握哪些个人信息、如何利用其个人信息时，才有可能使个人有能力避免自己被他人过度决定。这是人性尊严的具体体现，也是人格尊严保障的核心要义。但另一方面，在大规模收集、储存和处理信息的背景下，过度限制个人信息处理，将会造成数据控制者合规成本的增加，由此造成个人信息权益对数据处理自由的阻碍和干涉。从这一角度来看，个人信息保护的立法目的并非单纯赋予信息主体以绝对控制权，而应当是在维护信息主体人格尊严的基础之上，鼓励个人信息的合理使用和自由流通。
第三，民法典第127条所称“数据”并未指明具体的数据类型，这为数据权益保护的特别立法提供了充足的空间。从具体类型来看，数据可以划分为“个人数据”“匿名数据”“假名数据”“非个人数据”“数据集合”“衍生数据”和“数据产品”等不同类型。“数据”与“个人数据”“个人信息”概念的界分是实现数据财产价值独立性的前提。数据是信息的一种表达形式。个人数据是以数据方式表达的个人信息。个人信息的保护诉求在于信息之上的人格利益，而数据通常由数据控制者所掌握，由此衍生出来的问题是，个人数据的财产价值归属于谁？这一问题上文已作出回答，但仍需追问的是数据控制者对其掌握的数据享有何种权益，是概括性的财产权？还是可以依据数据类型之不同而给予不同程度的财产性权益？由此可能导向两种不同的赋权主张，一种是现有的赋权保护说，准确地说是通过赋予数据控制者概括性的财产权，以保障其对数据享有的权益，因此也可以称之为“概括授权说”。另一种则是本文所主张的“客体权益说”，即依据不同的数据类型而给予数据控制者不同类型的权益。相比概括授权说，客体权益说具有以下优势：
其一，客体权益说可以协调个人数据与数据控制者之间的利益冲突。从数据来源上看，数据包括个人数据、企业数据和政府数据。个人数据只是“数据”的一种类型。除此之外，数据还可以表现为企业数据或者政府数据。不过，由于个人数据的认定具有排他性质，因此企业数据、政府数据中除个人数据之外的数据，或者经过匿名化处理之后的数据，都可以称之为“非个人数据”。从形式与本质角度，个人数据是个人信息的表现形式。从本质上看，任何可以被数字化的事务都是信息。个人信息除以数据的方式表示外，还可以表现为文字、声音、图画、符号等多种形式。只不过在信息时代，数据作为个人信息收集、保存与利用的主要形式已经占据支配地位。如果认为数据控制者对其收集的个人数据享有概括性的财产权，那么首先需要解决的是个人数据与数据财产权之间的冲突问题。这一问题可以延伸至另一个未能解决的难题，即数据控制者是否可以将其收集和处理的个人信息进行出售或者共享？采纳客体权益说可以区分数据控制者对不同类型的数据享有不同性质的权益。比如，数据控制者对某类个人信息的权益需要遵循个人信息保护法的相关规定，因此其权益内容和性质将受到知情同意、目的正当、最小限制等规则的限制，最多可评价为数据利益。但对于数据集合和数据产品，由于数据控制者的利益附加有所不同，因此可以进一步区分为对数据集合的控制者权益和对数据产品的所有者权益。如此，可以在根本上解决二者的权利冲突问题。
其二，客体权益说可以兼顾不同类型数据的使用特点。数据权益的保护应当考虑数据利用行为本身的特点，即数据是如何拥有价值的？或者说，数据因何发挥作用？比较切中要害的回答是数据利用可以发现新知。但在数据利用过程中也会产生侵害信息主体权益的情况。比如在利用数据自动化决策的过程中可能会产生分选与歧视的问题。或者通过个人行为数据的分析窥知个体的倾向或者偏好，由此可能侵入私人领域。或者是通过对个人数据的分析向个体定向推送广告，由此影响个人决定。事实上，数据利用行为侵害个人权益的主要是由于数据处理者的行为妨害了个体自主选择或者侵入了私人领域。这些利用个人信息而向特定人推送广告、形成数据形象、进行数据决策，主要是个人数据的商业利用，本质上应当受到个人信息保护法的规制。
其三，客体权益说可以在权益取得与利益侵害之间取得平衡。值得一提的是，数据财产权益的形成并不会侵害信息主体的权益，数据的不当利用才会产生相应的损害风险。财产权的形成需要满足法律规定的条件，行使规则以不损害他人合法利益为前提，并需要受到一定的限制，加之财产权内部构造的层次性，实际上可以发挥激励和增加社会总体财富的作用。客体权益说的平衡功能还可以从数据财产价值的形成路径上得以说明。如前所述，针对不同类型的数据，其控制者享有的权益内容并不相同。控制者对个人数据享有的权益，主要是占有、使用的权利，不仅需要受到个人信息保护规则的拘束，还需要受到知情同意内容的影响，其权益的限制性是显而易见的。对于以集合形式存在的数据，数据控制者享有整体上的权益，如占有、使用、分析和储存，在数据集合已经合理消除隐私风险的情形下，控制者还享有限制处分权，比如在数据合规的情形下授权他人使用和转移给第三人。在以衍生数据为主要类型的数据产品中，数据控制者享有更为完整的权利，如授权他人使用、买卖、赠与或者互易。在此过程中，数据控制者的行为主要受到个人信息保护法、数据安全法等规范的拘束，并且主要是数据风险评估和数据安全、合规的义务。在数据交易的过程中，数据控制者还有瑕疵担保义务、数据真实义务等与民法买卖合同规范相适应的要求。
二、作为财产权客体的数据及数据财产权的特征
如前所述，民法典第127条虽然确立了“数据”的民事客体地位，但对其如何保护却未置一词。通常而言，法律对于客体的调整方式不得不考虑客体自身的特点，这是因为客体的特征决定了财产的保护需求。但这也不是绝对的，因为法律同样可以通过义务设定的方式来形塑客体。由此，赋权保护说与行为规制说可以获得法律规范上的衔接点。本文认为数据财产权的保护应当采纳以财产权的设立为主，以行为规范为主要手段的综合立法模式。数据财产权的设立并不是直接赋予数据控制者某种类型的财产性权利，比如使用权、收益权或者处分权。数据财产权的设立方式应当立足于权利客体的特征，比如因去识别化而取得匿名数据，数据控制者因此享有完整的财产性权利，可以自由处分和交易。再比如，基于数据的收集和整理形成的数据集合，数据控制者因而享有基于数据集合的占有、使用和收益权，再比如，基于原始数据之处理而形成的衍生数据产品，数据控制者因之享有更为完整的占有、使用、收益和处分权。此类财产权利的设定方法因基于客体的特征而形成，区别于概括性的赋予企业特定类型数据权益的主体性赋权。

（一）
作为财产权客体的“数据”

1.作为财产权客体的数据应当具备一定的“量”




无论是“数据资源”还是“数据资产”都是数据汇聚所产生的结果。本质上，无论是何种类型的数据，在到达一定的量之前都难以具有明显的经济价值。有学者指出，单一数据之上的财产价值是极其微弱的，甚至可以忽略不计。对数据控制者而言，仅取得个人数据并不会带来直接的经济收益，反而可能会因此受到个人信息保护法的拘束。有价值的，实际上是数据汇聚之后所反映出来的事实或者联系，如个人偏好、信用信息、消费习惯等。对于此类数据的收集与利用往往需要经由信息主体的同意，数据控制者也难以因为简单的收集行为而取得数据所有权。既然如此，那么数据控制者对其合法收集的数据是否应当享有一定的权益呢？答案应当是肯定的。一方面，只有赋予数据控制企业一定的数据处理权限才能正当化其个人数据的保护职责。作为数据利用最主要的私法主体，企业数据的收集、储存、分类将成为大数据来源的重要基础。另一方面，赋予企业对个人数据的控制者权益有利于激励企业为保护和利用个人数据而努力。大数据时代，数据收集和利用已无处不在。对此，有的学者以数据界权会影响数据流通为由，主张数据应为公共产品。但事实可能恰恰相反。在缺乏权益归属的清晰界定时，数据利用的公地悲剧将无处不在。
2.作为财产权客体的数据应当具备一定的“质”




对数据“质”的要求是大数据时代的必然。首先，对数据质的要求是数据产生价值的前提。在企业的数据生产实践中，困扰数据加工者的难题已并非数据的获取问题，而是数据收集过程中因大量的“冗余”而产生的成本。从资产意义上讲，对企业而言数据资产应当是指可读取、可计量、有价值的数据集合。从价值意义上看，数据质量和数据数量同等重要。从错误的数据中，只能导出错误的分析结果，不仅可能使整个数据集变得毫无价值，还有可能造成新的损失。在数据分析中百分之八十的时间都被用来收集、清洗和组织数据。其次，对数据质的要求是数据流通与共享的保障。价值性是数据保护之本。数据是否具有价值主要是由其记录的真实性所决定的。无论是原始数据，还是衍生数据，数据所反映的客观情况是数据关联性分析的前提，也是通过数据获取新知，进行决策和预测未来的关键所在。
3.作为财产权客体的“数据”应当具有清晰的权利边界




财产权的赋予具有重要的社会意义。一方面财产权的界定可以防止整个社会为了争夺无主财产而陷入无意义的纠纷，徒增社会成本；另一方面赋予财产权能够使财产得到及时地维护、高效地利用和流转，以利于社会整体财富的增加。与有体财产不同，无形财产的权利边界主要是依靠法律规则来构建的。比如，著作权、专利权、商标权中的专有权利内容及其限制等。以数据作为财产权客体意味着权利主体对数据享有哪些权利必须由立法者加以决定。这主要是因为，司法实践中由裁判者在个案中广泛地进行利益衡量只能是一种过渡性的选择：一方面个案中的利益衡量不利于建立稳定的行为预期和行动边界，另一方面个案衡量容易受到众多因素的干扰，难以形成成熟、稳定和有序的数据市场秩序。
4.数据财产权保护的特殊性




与有体物的保护不同，无形财产权的保护几乎完全依赖于法律规则的建构。这一点在知识产权的保护中已体现得十分明显，比如著作权人所享有的复制权、改编权、保护作品完整权等权利内容及其行使界限无一不是由立法规则加以确立的。与知识产权保护创造性的智力成果有所不同，数据之上的价值附加通常并不明显，其内容也不具有实质意义上的创新性，因此无法建立起一般意义上的排他性垄断权。这也是数据通常无法获得知识产权保护的主要原因。数据之上虽然可能具有人格属性，但却不是数据控制者的人格利益，而是数据所反映或者揭示的他人的隐私内容，因此数据财产权的行使有可能会侵害他人的隐私权。数据具有累积效应，并可能反映出信息主体的人格特质，因而数据控制者可以据此进行针对性的营销，由此可能影响信息主体的自我决定。以上两点共同决定了数据财产权行使需要遵守相应的行为规范，否则可能侵害信息主体的人格权益。数据财产权的保护还需要满足特定的条件，比如数据来源的合法性要件，数据利益构成中质和量的要求等。数据的有用性同时取决于数据的真实性、数据量的大小、数据分析的目的与手段，因此数据的流通与汇聚、数据质量、分析工具等就显得尤为重要。错误的数据和错误的分析工具同样会导向错误的分析结果。

（二）
数据财产权的特征

数据财产与数据财产权分属不同层次的领域。数据的财产是指数据具有一定的经济和社会价值，可以直接或者间接地为社会的经济发展带来益处，即数据具有生产要素的基本功能。但数据财产权则是从法律的角度界定何为数据财产权及其保护方式。一方面数据财产权受制于数据的客体特征；另一方面数据财产权与数据的保护需求息息相关。
1.数据财产权的层次性




数据之上具有复杂的利益构成，因此过于简单化地提出“数据权”或“数据财产权”的概念，并不符合数据利用的现实情况。事实上，数据原本应当自由流通和利用，以最大限度地发挥其经济社会价值。但为了避免公地悲剧和劣币驱逐良币，赋予数据控制者一定程度的排他性权益就显得尤为必要。但值得注意的是，排他性本身具有程度的差别。因此，在不区分排他性强弱的基础上批评赋权保护会严重阻碍数据流通的观点是不严谨的。比如在公开数据的情形下，数据财产权益的排他性可能只是排除他人的非法利用，而在数据集合的语境下，排他性就意味着想要获取数据就要取得数据控制者的授权许可。从本质上讲，排他性的强弱意味着法律对数据权益的保护强度。这就需要考虑到保护的必要性以及提供何种程度的保护。以数据价值形成的视角观察，从数据的收集、加工、汇集到数据产品的形成，各阶段需要付出的成本和保护的必要性均有所不同。由此产生了不同类型数据在保护程度上的差别。简单来说，原始数据的收集成本最低，数据控制者的利益附加最不明显，因此仅需提供有限度的排他性保护。加工数据（包括匿名数据和假名数据）体现了数据控制者的劳动与价值附加，但因二者对数据主体的隐私风险有所不同（通常情形下匿名数据更优），因此数据控制者对匿名数据应享有更为完整的财产性权益，比如可以长期储存、使用、收益和处分。而假名数据虽已消除部分风险（去除了直接标识符），但本质上仍属个人信息的范畴，因此数据控制者仅享有比原始数据更多的数据权益，如可以长期储存、内部使用，但应限制其提供给第三人，并须承担风险评估与危险报告义务等。数据控制者对每一类型数据所享有的不同权益，从义务相对人的角度，则是其他市场主体必须予以尊重的利益。由此可以逐渐明晰数据利用的外部秩序。每一阶段的排他性程度应如何确定？如何才能在激励与保护之间取得平衡？这一问题虽然至今无法达成共识。但借助于传统民法中的权益区分保护方法，可以构建出内容完整和层次清晰的保护体系。首先，数据财产权益的取得应当具有正当性。数据财产权益的取得，既要符合财产性权益取得的一般性要件（合法收集），也要具有一定的价值附加（有用性），如此才能正当化权益取得。其次，数据财产权的层次性就是依据数据控制者对数据价值的贡献而区分其数据权益。依此可将数据权益根据客体之不同而区分为数据产品、数据集合、匿名数据和假名数据。最后，权利和权益保护程度和方法之不同可以对应数据控制者的贡献程度。
2.数据财产权内容上的多元性




对于数据财产权的多元性，有学者将其形容为“权利束”，其主要理由在于数据之上权利内容具有多元性，比如既有可能具有人格权益，也有可能包含财产权益，还有可能是两者的混合。然而，这种观点显然没有区分“个人数据”和“非个人数据”，由此导致其所主张的“数据权”可能是一个大杂烩。若再对比知识产权研究中的“权利束”观念，对数据权是一个权利束的观点大可不必太过惊奇。因为著作权就是由复制、改编、保护作品完整、信息网络传播等多种权利组成的“权利束”。想要清晰地了解著作权究竟是什么，就必须从著作权的各项具体权能入手，但想要从整体上观察著作权，又会发现除了模糊地将其形容为各类权利组成的“束”之外，似乎并没有更好的办法。事实上，“权利束”不过是观察综合性权利的一种视角，未尝不能用来形容诸如所有权、用益物权、担保物权等传统大陆法系的权利类型。但除此之外，其功能恐怕也就仅限于观察而已。将数据权形容为“权利束”还有可能使人误认为“数据权”不过是类似于“所有权”的一种权利类型，其下甚至可以派生出诸如占有权、用益权和担保权等权利体系。事实上，权利束的观念容易使“数据财产权”陷入不必要的复杂争论之中，令原本可能多元的数据权利腹背受敌。从上文有关数据财产权层次性的论述中可以看出，数据财产权的具体内容是由其数据的具体类型所决定的，此种保护方法可以形象地称之为“依据客体特点的权益保护路径”。其最大的特点是客体不同，则权利内容不同，客体有所变化，则权利内容发生相应的变化。现行权利类型中最具相似性的比如数据库权利，数据库中本身可能包含有作品、不构成作品的资料或者其他类型的数据，但这并不妨碍数据库在整体上获得保护。数据库既有可能构成著作权法意义上的作品（汇编作品），也有可能因其内容的属性而构成商业秘密，或者是因所有者的持续性投入而获得特别权利的保护。上述几类权利保护方法在权利内容上均有所不同，但并不妨碍对数据库的多种保护形式。本质上，数据库受法律保护的主要原因在其保护的必要性，而非在客观上能够符合已有权利谱系中的某种类型。
3.数据财产权保护的限定性




与有形财产的使用有所不同，无形财产最大的特征在于利用方式上的非竞争性，即数据可以同时为多人使用而不会发生有形的损耗。就此而言，在数据之上设立财产权似乎是非效率的，由此产生了赋权保护说与行为规制说的理论争议。与著作权、专利权、商标权等专有性财产权有所不同，数据财产权的保护有必要考虑数据流通与汇聚的需要。这是由数据价值的发生机制所决定的。数据之所以能够产生价值，并不是因为其内容本身的创造性，而是因为数据背后所反映的客观事实或者潜在联系，
如通过个人数据的汇聚可以发现信息主体的偏好，通过对大量数据之间的关联性分析可以为商业决策提供参考。由此，在单一数据之上设立财产权显然是非效率的，也不符合数据的价值规律。知识产权制度的保护对象为创造性的智力成果，其本身属于垄断性质的专有权利。只有赋予知识创造者一定期限的排他性权利，才能使知识的创造者获取预期收益，从而鼓励知识创新行为。数据权益保护的对象为记录信息的客观数据，与知识的创造者具有明显差异，数据发挥价值的前提是数据的汇聚，二者的保护对象有所差异。数据汇聚是数据价值发挥的前提条件，数据分析是数据利用的主要途径。
三、数据财产权的保护方式
对于数据财产权保护而言，行为规制与赋权保护各有其优势与局限。行为规制主要依赖于行政执法机关的主动执法，由此可能比司法救济更具效率性和有威慑效果。但完全依赖于行政执法也可能使权益损害不能获得及时有效的救济，或者因行政执法资源有限而难以取得良好的执法效果。对此赋权保护的路径具有重要的补充作用。此外，行政裁量的空间过大也是行为规制备受争议的原因之一。相比之下，赋权保护的作用在于确立私法主体对数据合法权益的同时，一方面有利于划定权利边界与自由行动的范围，另一方面有利于私法权益的有效救济。但赋权保护也有一定的局限，即可能同时限制或者阻碍有价值数据的自由流通。

（一）
数据财产权保护的特殊性

数据财产权的保护实际上是将数据之上的合法利益划归特定的主体，至于财产权的实际内容则应根据保护客体的需要由特别立法予以建构。从上文的分类可知，数据权益保护已经呈现出有别于传统民事权利的新特征。
首先，数据财产权的保护方式有别于传统的物权和债权。物权的保护对象是物的使用与支配，债权的保护对象是债务人的给付，二者均属于财产性质的权利，差异主要体现在义务人的范围有所不同，即物权是绝对性质的权利，其义务人为权利人之外的一切人，而债权具有相对性，仅对相对人产生拘束力。与之相比，数据财产权的内容取决于立法者的规定（区别于债权），并且其立法目的具有多元性。数据财产权的保护对象不仅是数据的占有与利用，更为重要的是鼓励数据的合理流通。正因为数据具有非消耗性的特点，因此可以说流通和利用是数据财产权保护的核心要义。
其次，数据财产权保护有别于知识产权。知识产权的保护对象主要是创造性的智力成果，虽然知识产权本质上也是信息，但却具有垄断和排他的特质。数据权益保护的内容不仅包括数据的存在形式，更主要的是数据的流通和利用的价值。换言之，知识产权的立法目的在于控制信息内容的获取和保障利益的归属，从而鼓励创造性的智力劳动。但数据权益保护的立法宗旨除了维护数据控制者的合法权益外，更重要的是鼓励数据的流通和分享，从而最大限度地发挥数据的社会价值。现阶段，国内对数据权益保护的争议焦点也多集中于此，赋权保护说强调数据权益的保护，行为规制说强调数据的自由流通。但事实上，单一视角下的数据权益保护都可能走向数据利益维护的反面。究其原因在于，数据之上具有非常复杂的利益构成，无论是赋权保护还是行为规制都有其难以克服的自身局限。因此本文尝试在赋权保护的基础上，引入行为规制的合理内容，即为数据控制者设置相应的行为义务，并从数据权益限制的角度防止过度阻碍数据的流通。其基本方法主要是在民法典的规范体系内嫁接数据特别立法的分支，以期形成以民法典为主干、特别法为枝叶的数据权益保护体系。
再次，数据财产权区别于数据库权利。数据库的保护困境与数据财产权的保护具有诸多相似之处。由于数据库本质上是对作品、数据以及其他材料的汇编。因而除了在编辑和排列方面具有独创性之外，通常意义上的数据库难以获得著作权法的保护。事实上，数据库的价值也并非体现为编辑或者排列方式上的独创性。相反，越是有价值的数据库越难以在编辑或者排列方式上表现出独创性。这是因为，数据库的价值在于包含作品、资料和数据的广度与深度。对于数据库而言，持续而大量的投入是必要的。数据资料收集的全面性要求数据库在编辑时践行“最少选择”原则，由此造成了一个悖论：“越是有商业价值的数据库越难得到版权法的保护，越是没有商业价值的数据库反而越有可能成为版权法保
护的对象”。这与保护创作性智力成果的知识产权具有根本性的不同。为了适应数据库保护的特殊需要，《欧盟数据库保护指令》创设了有别于传统著作权的“特别保护权”（Sui Generis Right）对其进行专门保护。相较而言，数据财产权的保护也面临类似的问题，即通常意义上的数据不过是对事实的数据化，难以体现为创造性的智力成果。尽管现代数据分析技术可以从数据中发现商业价值，但数据本身却难以满足任何独创性的要求。与数据库权利不同的是，数据还具有明显的共享性特征。这意味着任何人为设定的排他性权利，都有可能实质地阻碍数据的流通与共享，从而产生数据孤岛现象。

（二）
数据财产权的保护方式与责任规制

与传统有体物的保护有所不同，数据财产权的保护更加复杂，需要兼顾利用与保护等多种利益之间的平衡。由此决定了数据财产权的保护方式与有体物的保护方式有所不同。数据的收集、使用、分析都需要投入相应的成本，因此需要给予控制者一定的财产性利益，比如占有权、使用权和有限排他权。数据无形财产的特质决定了法律赋权保护的必要性，但数据财产权益的配置是否会影响其他数据相关者的利益？又如何防止数据财产权的保护走向数据垄断与数据孤岛？对此需要从财产权的取得以及设置相应义务的角度，对数据财产权的内容加以限定。
其一，数据财产权内部具有层次性。对于原始数据、匿名加工数据、数据集合、数据产品等不同类型的数据，有必要构建不同的权利内容及其行使方式。比如对于原始数据而言，由于数据控制者的价值附加有限，数据又以流通为其价值发挥的主要途径，因此其收集者仅享有限制性的排他权（如对抗恶意数据爬取等），而不享有其他的积极权能。对于匿名加工数据，因其已经消灭了数据的隐私风险，消除了数据之上的人格属性，因此数据控制者对其应当享有较为完整的财产性权利，如可以授权使用、买卖、加工、传输等。
其二，数据财产权的保护具有限制性。在数据权益保护研究的早期，学者们多寄希望于用所有权的方式来解决数据保护问题。但由于所有权的完整排他形象，使其理论主张多受诟病。事实上，财产权与所有权之不同，可以从权利限制的角度加以理解。所有权是最完整和限制程度最少的财产权类型。数据财产权之所以具有限制性，主要是因为数据之上的多元利益属性，使得所有权的保护模式会严重阻碍数据的流通和利益相关者的权益救济。数据财产权的限制性还体现在数据财产的保护方式上。由于个人数据与非个人数据很难区分，大多数情况下二者都混合存在于某类数据集合之中。对此类数据集合的利用需要受到个人信息保护法的规制当无疑问。但如果认为数据控制者对此类数据集合不享有任何财产权益，则不但与事实情况完全相悖，也会使得数据的价值无从发挥作用。应当考虑的路径是，承认企业对此类数据集合的财产性权益，但同时需要给予一定的行为限制。限制的方法应当以公法为主，比如现阶段主要依据个人信息保护法、数据安全法进行规制。数据还具有非竞争性和非消耗性的特点，由此决定了完全排他性的保护可能会阻碍数据的合理流通，因此数据财产权的限制还体现在数据权益排他性的强度与范围之上。
其三，数据财产权的行使需要负担主体责任。数据控制者并非单纯意义上的财产所有人，这是由数据财产的特殊性所决定的。数据控制者的财产权益也与通常意义上的所有权相区别。这主要是因为所有权是一项较为完整的权利，而数据财产权因客体不同而表现出一定的差异。数据财产权的行使还需要负担一定的主体责任，这是由数据之上的多元利益属性决定的，也与数据财产价值的发生机制密切相关。数据财产权的特殊性决定了数据权益主体承担义务的正当性。

（三）
时数据财产权的行为规制及其限度

1.对个人数据利用的行为规制




多数对数据财产权的担忧都指向财产权的排他属性会侵害个人数据权益，这种担忧的起点是将数据财产权理解为具有绝对性质的权利。数据还具有累积效应，掌握越多的数据就意味着数据控制者将拥有更为强大的力量。这其中就包括算法工具的运用所产生的分选与歧视问题。平台还具有规模效应，要么接受要么退出的服务条款意味着用户难以获得与平台相抗衡的能力。从平台所公布的隐私政策来看，大多是一种冗长繁复、又缺乏执行力度的空白条款。这些担心虽不无道理，却忽视了财产权的限制性。对数据财产权的限制，可以从法律规制的内在和外在两个层面加以理解。从上文的论述不难看出，数据财产权的形成需要考虑到数据来源的合法性，由此形成了数据财产权的内在限制。另外，个人数据处理的合规要求可以理解为个人信息权益对数据财产权的外部限制。从个人数据权益保护的角度，对数据控制者利用行为的外在限制主要是通过私人协议与行为规制相结合的方式。
2.对公开数据利用的行为规制




在讨论赋权保护与行为规制优缺点的时候，不少学者有意或者无意地忽略了公开数据与非公开数据之间的保护区别。事实上，若不区分数据是否已公开而一律认为“数据确权会阻碍数据流通”，则未能正确理解数据流通秩序与数据权益保护之间的关系。允许数据控制者对已公开的数据行使控制权，当然会影响数据的流通与利用。但没有理由反过来认为数据控制者对其正常经营过程中所产生的数据均负有公开的义务。这就如同没有人会强迫企业公开其商业秘密或者客户信息，道理是一样的。至于公开数据或称“可自由获取的数据”则有所不同，这是因为公开数据可获取是基于互联网开放与共享的基本原则，获取此类数据与获取布告栏中的公示信息并无本质不同。关键在于获取的方式是否遵守信息利用的基本规则，是否侵害了信息发布者的利益，否者数据控制者便无权禁止他人获取已公开信息。正如学者所言，公开数据本质上属于竞争性的财产权益，应适用反不正当竞争法的行为规制路径。但需要补充的是，公开数据的利用规制并不仅限于竞争法，其他法律规范甚至技术规范在行为正当性的判断方面都具有重要的作用。比如利用已公开的数据需要遵循个人信息保护法的规定，避免对个人信息权益造成损害；利用政府公开数据需要遵循数据安全原则，并保护数据利益相关者的权益等。
3.数据利用行为的竞争法规制




数据财产权本质是私权，其目标在于维护私法主体的合法权益。而竞争法具有公法的属性，其主要致力于维护社会公共利益。由此似乎意味着二者保护的法益有所不同，难以在同一法律体系中共存。事实上，从无形财产的发展历程可以得知，在法律尚未作出制度安排之时，通常都是由竞争法来发挥兜底保护功能的。这与竞争法所保护法益的二元属性有关，即竞争秩序虽然主要是一种公共利益，但在其被违反的情形下总是同时存在着私益受损的情形。从法律属性的角度，数据财产权的功能在于明确数据权益的归属与交换利益的可预期，而竞争法主要调整数据利用的外部秩序，即自由竞争秩序的保障。从行为规制的角度，竞争法对数据利用外部秩序的规制主要体现在以下方面：
其一，数据的收集与利用不得扰乱正常的市场竞争秩序。这在一些司法案例中已有充分体现。其二，数据控制者不得利用数据的规模效应限制或者排除竞争。数据的大规模收集与利用会产生强大的网状效应，从而导致赢者通吃的局面。具有市场垄断地位的控制者还有可能通过收购的方式来消灭潜在的竞争对手，从而达到事实上排除或限制竞争的目的。此类行为显然已经超越了私益保护的界限，有赖于法律授权专门的执法机构对此类行为的正当性进行界定。其三，数据财产权的取得与行使应当具有正当性。数据的收集、利用、共享等行为应当遵循目的合法性、方式公开性与规则透明性三项准则。

往期精彩回顾

池梓源｜生成式人工智能背景下著作权的刑法保护研究——以ChatGPT为例
娄卫阳｜中国对接DEPA数字产品规则的挑战和应对策略
李佳 王斌｜网络知识产权犯罪刑附民的必要性与正当性——以被害人的损失填补为视角
郭轩扬｜物格与权利束双重视角下的基因权利保护研究
袁秀挺 梁勋｜植物新品种权保护范围的界定与扩张——兼评最高人民法院指导案例160号
赵拥军｜论数据资源持有权的刑法面相


上海市法学会官网

http://www.sls.org.cn