数据治理观察 | 深圳数据立法若干问题述评【走出去智库】_风闻

走出去智库观察

由走出去智库（CGGT）提供学术资源支持的《深圳法治评论》2021年第三期已经付印，本期主题聚焦法治助推粤港澳大湾区建设。

推进粤港澳大湾区建设，是以习近平同志为核心的党中央作出的重大决策和国家战略。习近平总书记在深圳经济特区建立 40 周年庆祝大会上强调，把粤港澳大湾区建设成为扎实推进高质量发展的示范，打造国际一流湾区和世界级城市群。

《深圳法治评论》由中共深圳市委全面依法治市委员会办公室、深圳市司法局主办，定位于高端领导决策读物，聚焦深圳法治建设，刊发高水平、可实操的应用性政策研究，辅助市领导及本市党政机关领导干部法治建设方面决策，为支持深圳建设中国特色社会主义法治先行示范城市建言献策。

自2020年创刊起，走出去智库（CGGT）即为该高端决策读物提供学术资源支持。

深圳市司法局立法一处副处长刘雪妮的文章《深圳数据立法若干问题述评》刊登在《深圳法治评论》2021年第三期策论栏目，今天走出去智库（CGGT）刊发该文，供关注数据监管的读者参考。

要 点

CGGT，CHINA GOING GLOBAL THINKTANK

1、《深圳经济特区数据条例》着力构建个人数据处理原则的同时，也充分注意到了用户授权在特定场景中的合理性。需要注意的是，违反处理个人数据的基本原则，即使是对用户进行了告知和取得同意，数据处理行为也不合规。

2、《深圳经济特区数据条例》旗帜鲜明地对数据权的权利类型归属进行了区分，并以法益保护替代了权利创设：规定自然人对个人数据享有人格权益；自然人、法人和非法人组织对其合法处理数据形成的数据产品和服务享有财产权益。

3、《深圳经济特区数据条例》是对《深圳建设中国特色社会主义先行示范区综合改革试点实施方案（2020—2025 年）》提出的“加快培育数据要素市场”的战略任务，以特区立法方式在数据领域的先行先试。

正 文

CGGT，CHINA GOING GLOBAL THINKTANK

文/刘雪妮

深圳市司法局立法一处副处长

2021 年 6 月 , 深圳市第七届人民代表大会常务委员会第二次会议通过了《深圳经济特区数据条例》（以下简称《条例》）。《条例》以保护相关主体的数据权益、加强政府数据治理能力、促进数据开放流动和开发利用、规范数据处理全生命周期活动为切入点，力图在实现个人数据保护的基础上最大程度释放数据作为生产要素的价值，为深圳数字经济的发展提供良好的制度环境。

一以贯之的立法指导思想：保护与发展的平衡

作为全球重要的电子信息和数据产业基地，深圳已形成较为完善的大数据产业链。然而，伴随着数字化转型加速 , 数据的流动给个人隐私、公共利益、商业秘密以及国家安全带来巨大挑战。而只有在法律约束下规范有序的数据要素市场，才能够在尊重个人数据权益的前提下，形成可持续的产业竞争力。因此，如何通过科学的制度安排，在对个人数据进行保护的同时推动技术创新和社会发展，成为深圳数据立法的核心问题。可以看到，在保护与发展之间求平衡的主旨贯穿了《条例》的整个内容。

数据处理基本原则的平衡

《条例》确立了处理个人数据的基本原则，即处理个人数据应当具有明确、合理的目的，并遵循最小必要原则。在此基础上，针对现实中移动互联网应用程序（APP）通过“一揽子协议”将收集个人数据与其功能或服务进行捆绑，迫使用户同意全面授权的问题，规定数据处理者不得以自然人不同意处理个人数据为由，拒绝向其提供相关核心功能或者服务。但是，《条例》同时也规定，如果该个人数据为提供相关核心功能或者服务所必需的数据，则不受前述规定所约束。可以看到，《条例》着力构建个人数据处理原则的同时，也充分注意到了用户授权在特定场景中的合理性。需要注意的是，违反处理个人数据的基本原则，即使是对用户进行了告知和取得同意，数据处理行为也不合规。

数据处理合法性基础的平衡

《条例》构建了处理个人数据的七种合法性基础。排在首位的当然是知情同意，即数据处理者应当在处理前向自然人告知相关事项且在自然人同意范围内处理个人数据。其他六种合法性基础即条例规定的“可以在处理前不征得自然人的同意” 的法定例外，法定例外的规定体现了立法者对于作为基本权利的个人数据之外的企业利益、社会利益的考虑，体现了利益平衡和协调的立法理念。其中，处理自然人自行公开或者其他已经合法公开的个人数据可以视为实际同意；“合同履行”考虑的是自然人与数据处理者之间的合意，其本质仍然是自然人同意，“合同履行”的情形在现实生活中常见，最典型如手机里的导航软件，使用时每时每刻都在获取、处理用户的位置信息，倘若立法不将其作为法定例外，恐怕将大大增加企业的合规成本；值得一提的是，《条例》最终采纳了企业意见，将企业的正当利益纳入个人数据处理合法性基础，考虑到企业生产经营环境的保障也是企业发展的重要环节，《条例》对这类数据处理行为提供了立法上的支持，但此类情形应当严格限于企业基于保障自身生产经营活动所必需的正当利益且不得损害自然人依法享有的数据权益；依法履行公共管理职责或者提供公共服务、依法进行新闻报道以及兜底条款这三项法定例外的规定则反映了基于公共利益、公共安全等价值目标，个人数据保护制度不能仅限于私权的保护，而是需要超越个人同意的合法性基础，在个人权利保护和公共利益、公共安全之间取得平衡。

撤回同意权与企业合法利益的平衡

《条例》规定了自然人撤回同意权。与此同时，对于企业最关心的“自然人撤回同意时，企业之前基于其同意进行的数据处理怎么办”的问题，《条例》认可了数据处理者在自然人撤回同意前基于同意进行的合法数据处理的有效性，使数据处理者对于相关法律后果有明确的预期。立法固然是为了规范目前无序生长的数字经济，但同时也应该保护企业合法的经营行为和权益。

算法推荐与自然人拒绝权的平衡

目前在购物、短视频、新闻等领域，算法推荐，即利用算法和大数据对用户进行画像并基于用户画像实现信息的个性化精准推送已广泛存在。算法推荐可以帮助数据处理者快速完成用户与信息的匹配，有效提升其产品或者服务的质量。虽然算法推荐是否导致信息茧房效应尚有一定争议，但是在算法推荐中，用户将自身对信息的选择权和决策权在某种程度上让渡给了算法是毋庸置疑的，这也意味着数据立法将算法纳入法律监管的必要性。因此，《条例》规定数据处理者应当以易获取的方式向自然人提供拒绝用户画像以及精准推荐的有效途径。

可以看到，在数据收集、存储、使用、加工、删除等全生命周期的每个环节，《条例》都体现了大数据时代保护个人数据权利与促进数据自由流动的双重价值导向。

基于同一认识基础上的数据权益和公共数据开放利用

深圳数据立法中，立法者基于对数据及其价值的认识，以同样的逻辑设计了数据权益以及公共数据开放利用的制度。

立法的焦点：数据权

能否在特区立法中创设“数据权”，是深圳数据立法之初各方争议的焦点。民法典确立的民事权利包括物权、债权、人格权等，均属于权利指向特定，内涵外延清晰。而数据兼具物、人身、智力成果的特点，在法律上的客体属性并不明确。民法典将个人信息保护的具体规定与隐私权并列，规定于人格权编，但民法典总则同时也规定了自然人的个人信息受法律保护。从中可以看出，国家立法似乎更倾向于将个人信息保护限于人格权范畴 , 但也并未排除个人信息的财产权性质。民法典的这一体例安排对于数据权法律属性的认定影响深远。

个人数据源于个人信息的行为留痕，而数据处理者通过对数据的合法占有以及劳动和投入增加了数据作为生产要素的价值 , 从而使数据兼具人格权和财产权双重属性，成为多主体共享的权利体系。但最大的问题是，现行法律框架下对作为数据来源的个人与作为数据处理者的组织在同一数据集合上的权利优先程度并无规定，且技术的发展使得权利边界并不清晰。因此，笼统地创设一个“数据权”并无法律上的意义和价值。

立法的突破：数据权的权利类型归属之区分数据的人格权属性和财产权属性

互联网时代，当我们说“个人数据”的时候，它体现的是一种与个人高度相关的表达，姓名、电话、性别，住址、宗教、种族、基因、指纹、面部识别特征以及消费记录、浏览记录等，前者体现身份，后者体现行为。因此 , 个人数据的本质特征是可识别性，人格利益成为个人数据保护的核心价值。而当企业付出“汗水”、投入劳动将合法收集的个人数据处理形成大数据产品或者服务，并且将之作为企业重要的竞争性商业资源时，是否应该赋予其财产性权益成为现实中迫切需要解决的问题。

国外法律对个人数据的保护以欧美为代表：一是基于传统的隐私权保护的美国模式，随着技术的发展不断扩大隐私权的范围；二是一贯秉持将个人数据作为基本权利进行强化保护立场的欧盟模式。欧美在个人信息保护路径、监管力度、大数据和人工智能产业政策促进等方面存在很大差异，但在保护个人对数据的控制权方面却具有

一致性。

根据申军《法国及欧盟视角下个人数据的法律性质》的研究，在法国法中个人数据的确切称谓是“个人性质的数据”，强调的是个人与数据的关联，而非个人对数据的所有。这在某种程度上也对应了法国对于个人数据属性的主流看法，即个人数据是个人人格权的无形延伸，揭示个人的身份，体现与个人相关的不可转让的权利，而不是法国民法典中所规定的财产的客体，因而没有设定于其上的财产权。

欧盟《通用数据保护条例》（GDPR）所规定的数据主体的同意权及其衍生权利 ( 知情权是同意权得以有效行使的基础 ; 访问权、纠正权、被遗忘权、限制处理权、可携带权、反对权等实际上是同意权在不同环节、场景下的具体体现 ) 皆是与个人相关的不可让与的权利。尤其是 GDPR新设的可携带权（该权利是指数据主体有权获得和要求移转与其相关的特定数据），是个人信息自主决定的重要体现。由此可见，GDPR 也并不认可个人对个人性质的数据拥有财产权。

相对于立法回应技术发展的滞后性，近年来的司法实践已经在研究区分原始数据和增值数据，从而对数据的财产权属性做出判断。淘宝诉美景案、新浪微博系列案件、大众点评诉百度地图等案件，在法官的判决中，并不支持企业所称对数据产品享有财产所有权的主张，但通过《反不正当竞争法》的适用认定企业对其数据产品享有财产性权益。司法判决通过对行业竞争秩序的保护实现对企业数据权益的保护。

基于以上认识，《条例》旗帜鲜明地对数据权的权利类型归属进行了区分，并以法益保护替代了权利创设：规定自然人对个人数据享有人格权益；自然人、法人和非法人组织对其合法处理数据形成的数据产品和服务享有财产权益。以法益保护而非确定权属体现了深圳在数据立法上的务实态度。依法保护权利人对数据控制、处理、受益等合法权益，是现阶段立法在完善数据产权保护规则方面的有益探索。或许将来立法可能对个人数据赋予财产权或者其他法律属性，或者立法为数据创设出其单独适用的法律制度，但这需要实践的不断推动以及理论的更深入研究。

对数据作为要素的价值认识：公共数据开放利用

《中共中央 国务院关于构建更加完善的要素市场化配置体制机制的意见》意味着，数据作为重要的生产要素将对经济和社会发展产生深刻的影响。如果从生产要素的角度理解，个人数据本身并不具有推动生产力发展的价值，这也是《条例》排除个人数据财产权性质的原因所在；另一方面，数据产业的兴起和高速发展，技术、商业模式的创新和更迭，都要求对数据的开放式利用和整合。为了将数据的价值最大化，就必须对数据进行收集、聚合、评估、分析等处理，并促进数据在安全的前提下自由流动，即最大范围的流动及融合，才能最大程度地释放数据的经济价值。

而公共数据不仅具有治理属性，也具有价值属性。要促进深圳大数据产业的发展，必须要扩大数据供给：一方面，政府必须发挥公共服务职能，释放其掌握的公共数据资源，实现公共数据开放；另一方面，要促进数据交易，推动数据作为生产要素的自由流动。《条例》设计了一整套公共数据管理的顶层制度，其中特别着力于公共数据的开放。

《条例》将公共数据治理的最终目标确定为推动公共数据资源的开放利用。传统的数据开放是指公共管理和服务机构向社会提供原始的可机读数据。近几年，随着区块链等技术逐步成熟，可以有效化解数据保护与利用之间的矛盾，为多方数据安全、可信地融合应用提供了技术支撑。《条例》主动适应数据领域的技术发展特点，不再强调原始数据的开放，赋予公共管理和服务机构在法律法规允许的最大范围内开放公共数据的自主权。

值得注意的是，《条例》规定的“有条件开放”数据与上海等地规定的“有条件开放”不同。随着技术的发展，可以综合利用区块链、隐私计算、联邦学习等技术建立专业化数据定向开放平台，提供“可用不可见”和按规定用途与用量使用数据的安全可信环境，满足专业机构对高价值数据的需求。因此，《条例》的有条件开放是按照特定方式向自然人、法人和非法人组织平等开放的公共数据。此外，公开数据开放不得收取任何费用的规定，也是深圳数据立法的一大特点，这是立法者基于建立类似现实世界中“公共图书馆”的理念而做出的规定。

《条例》是对《深圳建设中国特色社会主义先行示范区综合改革试点实施方案（2020—2025 年）》提出的“加快培育数据要素市场”的战略任务，以特区立法方式在数据领域的先行先试。《条例》始终围绕“释放数据作为生产要素的基础作用”的核心目标，以个人数据保护为前提，以公共数据开放为基础，以数据要素市场培育为关键环节，以数据安全为保障，构建其内在逻辑。作为国内首部数据领域综合性立法，《条例》在许多方面做出了有价值的探索和创新，接下来，需要在数据领域工作机制建设、个人数据保护的监管及执法能力保障、公共数据目录管理、公共数据开放等方面进一步开展工作，为《条例》的施行做好充分准备。