個人信息、數據的權屬

文/劉越

個人信息、數據的權屬

文/劉越

隨著云計算、物聯網等發展，個人信息、數據的商業價值被發掘，各地相繼建立數據交易中心。從法律上講，由于我國現階段尚沒有針對大數據權屬的法律規范，目前對于數據權屬問題仍存在爭議。需從司法實踐中進一步總結、分析、探討個人信息和數據的權屬以及數據分類、處理等細節問題，以期對大數據權屬作出界定。

隨著云計算、物聯網、傳感網、移動互聯網等蓬勃發展，催生了數據規模的爆炸式增長，人類已大步邁入大數據時代。通過對個人信息、數據的收集、分析與利用，更多的商業價值和社會效益被創造出來，以買賣共享數據為目的的數據交易中心也相繼建立。2015年4月15日，我國首個專門提供數據交易共享的平臺貴陽大數據交易中心成立。緊接著上海數據交易中心、浙江大數據交易中心、河南數據交易中心、數據寶、數據堂等紛紛成立。

但是數據交易的前提是權屬，而這些數據的所有權問題，特別是涉及到相關個人信息，或與個人信息相關聯的其他設備信息、系統信息，它的權屬該如何界定？是不是誰收集掌握了這些信息，這些信息就理所當然的屬于數據的掌控者，可以任意買賣和交易？大數據交易的信息有哪些類型，它們的法律性質，權屬該如何界定？本文將針對這些問題作簡要分析和闡述。

數據權屬的討論現狀

貴州數據交易所確立了9項交易原則，其中之一便是：“數據買賣雙方要保證數據所有權、合法、可信、不被濫用。”雖然數據交易已經在進行，并且在實際中數據交易的授權和收益方都定位在了數據的實際控制者，但從法律上來講，各方對于數據所有權問題依然存在著較大的爭議。

如王利明教授認為，個人對個人數據享有優先的財產權，企業在交易個人數據的時候將對個人隱私產生極大傷害，并產生難以預計的信息安全問題，大范圍失控的數據交易也將為違法活動提供溫床。因此主張在法律上另設財產類別，或可稱之為“數據財產”，與現有法律認可的無形財產分開。這一新型財產權利的設立應當重新定位價值順序，權利的出發點是人而非物，數據主體（即產生數據的本人）應擁有優先的權利。

另一方面，阿里巴巴旗下的云計算公司阿里云發起數據保護倡議。這份公開倡議書明確：運行在云計算平臺上的開發者、公司、政府、社會機構的數據，所有權絕對屬于客戶；云計算平臺不得將這些數據移作他用。表面上看這份倡議是保護客戶的利益，但實際上，它把個人數據的主體排除在外，也就是提倡了一種誰收集和掌控數據，誰就擁有數據所有權的觀點。這一觀點是從產業界的利益出發考慮的，在不涉及個人數據的情況下，其他數據更多地可以通過知識產權領域內的著作權、商業秘密、專利權、數據庫、鄰接權等來歸類解讀，但在設計個人信息的數據方面就顯得有失偏頗，并且違反了我們國家關于個人信息保護的基本法律核心思想。

北京市海淀區人民法院中關村法庭和中國互聯網協會調解中心聯合發布的《大數據與知識產權司法保護的現狀及展望調研報告》公布的數據顯示，在國內，大數據與司法實踐相關案件當中，涉及著作權的是23%。在2017中國互聯網大會上，第二屆中國互聯網糾紛解決機制高峰論壇暨“互聯網+”時代下的大數據法律問題論壇對大數據相關案件在司法實踐中面臨的困境等問題進行了探討。

數據分類及相應權屬的界定

事實上對于數據權屬的爭議，首先應該解決的問題是數據的分類，我們可以首先把大數據中的數據分為兩大類：個人信息和非個人信息。先談談非個人信息。非個人信息通常可以通過相應的IP（知識產權）來確定。在大數據領域相關數據有兩個挑戰：一是數據大多數情況是別人產生的，二是數據的價值因重復使用而增加數據公開和分享的訴求；數據的價值來自其流通性而非其源頭。誰能使用這些數據？如何使用？著眼于數據的使用，如何使用比討論數據所有權更具有實際意義。

著作權通常保護數據的表述方式，大數據作為整體很難被著作權保護。因大部分大數據并不具有原創性，而是一種自動產生收集加工的實時數據。但是對這種數據收集整理的數據整體，可以通過數據庫鄰接權來進行保護。但需要注意的是，數據查詢權和數據的算法都不在鄰接權保護之列。那么通過商業秘密或know how技術秘密來進行保護可以嗎？理論上是可行的，但是問題在于其秘密性很難保持，并且大部分數據可以被多個擁有相應資源的技術的數據控制者收集，那么其秘密性，特殊性就會喪失。

那么是否可以通過專利對相關大數據的算法進行保護？在各種專利中采用技術發明還是實用新型來進行保護？也具有一定的難度。因為需要證明該數據的唯一性，對算法的理論構造，方式方法進行專利保護？此外專利申請的周期很長，算法需要不斷修正完善，如果用專利來進行保護，新的算法不斷修正，并不能適時獲得保護。因此是否需要申請專利、如何申請都需要非常慎重。

另外大數據除了原始數據的收集，還有派生數據和演繹數據，這派生數據通常是通過對原始數據的積累分析而產生的，而演繹數據則是通常包含派生數據和一些新數據，或刪除部分數據。云服務商通常希望擁有對用戶使用信息收集監控分析的派生數據所有權（如果原始用戶數據被分離，掩蓋或匿名）。

現階段對數據的交易更多并非所有權的轉移，而是許可使用權。最常見的是通過NDA（保密協議）來完成。數據交易可授予對方一定范圍時間內的使用許可，并需要對相應的派生數據，演繹數據的權屬作出事先的約定。

大數據中較難以確定數據權屬的信息是個人信息。理論上講，個人信息源于個人，理應屬于信息主體。但信息主體對此類信息并不具有相應的控制能力，也往往并不清楚相關主體具體收集了哪些自己的個人信息。這就導致了信息主體對信息的主權沒有實際的控制，而信息收集者、加工者對相關個人信息具有了實際的使用、加工、分享、傳輸的事實上的掌控權。

討論個人信息的權屬，我們要首先確立個人信息的財產屬性。對于個人信息的財產屬性，學術界爭論已久，承認數據的財產屬性是討論數據所有權的前提。在歐盟法律中個人信息的財產屬性是被主流學界排斥的，歐盟更傾向通過承認個人信息與隱私權的關系，基于人權理論對個人信息進行保護。而美國和中國，雖然沒有明確地承認個人信息的財產屬性，但在許多現有的法律基礎中對屬于個人信息的肖像、聲音、生物信息，網絡虛擬財產的財產權都通過具體案例和法條予以了確定。依據元照法律詞典解釋，所有權是指：一個人享有的對某物獨占性的支配權，是對物的占有、使用和以出租、出借、設定擔保、轉讓、贈與、交換等方式予以處分等權利的集合，也是法律承認權利人對作為權利客體的物（包括有形財產與無形財產）所享有的最充分、最完整、最廣泛的權利。從市場實踐看，個人信息的商業價值和作為交易客體存在的事實也充分證明了個人信息具有不可否定的財產性質，并且這種財產性質在市場中早就通過交易得到了事實上的認可。因此順應此發展，在個人信息的人格權上負載財產權益已具有相應的法律理論基礎，只是進一步明確的制度化尚需要具體法律制度的制定和完善。

確立了個人信息的財產權益，我們來進一步探討交易中個人信息的權屬問題。首先，需要確認的是在沒有獲得信息主體自由意思表示的同意前，個人信息的交易是非法的，也為我國法律所禁止。2012年《全國人大常委會關于加強網絡信息保護的決定》規定：任何組織和個人不得竊取或者以其他非法方式獲取公民個人電子信息，不得出售或者非法向他人提供公民個人電子信息。刑法修正案（七）也將出售個人信息的行為作為違法犯罪活動追究刑事責任。網絡安全法第44條規定，任何個人和組織不得竊取或者以其他非法方式獲取個人信息，不得非法出售或者非法向他人提供個人信息。因此任何缺乏信息主體明確同意銷售個人信息的行為都屬于非法行為。其次，如果能夠取得個人的同意，那么出售個人信息就屬于合法的行為，那么此時個人信息的權屬該如何界定？其實法律雖然沒有明確指出，但將沒有獲得個人同意的銷售行為定為非法，已經確立了個人信息的權屬應屬于信息主體個人，即使信息主體沒有實際占有，收集，控制該信息，法律依然從人格權為基礎出發確定了個人信息權。此權利是針對他人對個人信息的非法收集、使用、加工、傳輸。因此在取得信息主體同意的同時，應該通過一定形式將此類財產權益分享，返還給信息主體，這樣才能切實保障個人信息主體的財產權益。但在現實中如何確定碎片化的個人信息的財產屬性又是另一個需要研究和解決的法律和經濟問題。因為個人信息的價值在于累積和海量，碎片化到個體的個人信息如果要保障其財產權益，其實現方式需要斟酌考量，此處不再贅述。

其次，有一種做法是將個人信息作清理和匿名化處理，那么經過匿名化處理的信息是否還屬于個人信息？從技術上來說，從當前匿名化技術以及大數據發展趨勢而看，數據的匿名化是一個較為相對的概念。在數據的疊加效應的背景下，數據的絕對匿名是很難保證的，即使匿名要恢復身份性也是可行的。因此，即使數據匿名后相對已經不具有個人信息定義中確定的個人信息的可識別身份的特征，不在相關法律規定的保護范圍內，那么也需要相關主體通過技術，后續維護、監督、協議等方式保證這些數據持續的匿名。對于這樣的信息在保持匿名的狀態下，可以說已經切斷了信息原主體和信息的關系，因此其所有權和使用權都被信息的實際收集者和加工者所有。

2014年，美國聯邦貿易委員會（FTC）針對數據經紀行業發布報告《數據經紀行業，呼喚透明與問責》，提出數據交易行業缺乏透明性，并建議美國國會應當專門針對數據經紀行業立法，通過立法要求開展數據交易活動的企業對用戶提供透明度。對數據交易透明性的要求其實也是在對數據交易行業中的違法出售個人信息的行為提出質疑。在此報告中要求數據銷售者需要向用戶公示其獲得（包括購買、共享）數據的渠道、數據的類型，并為用戶提供退出機制：要求數據交易者需要披露原始數據類型，大數據分析后對消費者特征標簽化分類標準，并且針對健康信息等此類敏感信息，用戶需要被充分告知明確同意。

我國現階段尚沒有針對大數據交易的法律規范，唯一遵循的原則即對個人信息禁止非法銷售的規定，大數據交易中的非個人信息或匿名狀態的加工后的非個人信息都可以通過數據庫、商業秘密等知識產權來進行權屬確定，而對個人信息則依然定位為屬于信息主體個人。主體通過被告知和同意來實施對個人信息的控制權。雖然這一機制的執行力已經被學界普遍質疑，現階段法律尚未找到更加適用的替代方式。

結語

對數據的權屬問題需要根據數據的特征進行分類討論。現階段主要類別是知識產權和個人信息權。由于大數據的特殊性，兩類分類的權屬在執行中都尚有如文中所述的細節問題需要更多的考量和探討。

(作者系南京郵電大學信息產業發展戰略研究院副院長、亞太網絡法律研究中心執行主任、挪威SCHJODT律師事務所大中國區首席法律顧問）