網絡智能時代大數據交易的法律規制

趙 俐，李 斌

（新疆財經大學法學院，烏魯木齊 830012）

改革開放以來，我國搭上了第三次工業革命的快車，經濟迅猛發展，在信息時代里躋身世界前列。隨著我國不斷推動產業升級，數字化領域發展的重要性凸顯，數據已成為推動技術進步和產業發展的重要引擎。2014年大數據被寫入政府工作報告，2016年“十三五規劃綱要”提出國家大數據戰略，在國家政策支持下，數據產業規模不斷擴大并逐漸走向成熟。爆發式增長的數據對國家治理、社會經濟發展和人民生活都產生了重大影響。新興的大數據產業在推動社會發展的同時受到各種阻礙，法律有滯后性，往往不能對新的法律關系做出及時有效的調整，一定程度上對數據產業的發展造成了阻礙；數據交易作為大數據產業發展的重要組成部分，在發展的過程中也存在諸多不確定因素。因此通過對現有法律和政策的梳理，發現數據交易市場制度中的不足，以此來規范大數據交易，為大數據交易提供更有利的制度保障，才能推動數據產業的發展，進而助力我國在網絡智能時代破浪前行。

一、網絡智能時代大數據交易現狀

（一）現行大數據交易法律環境

隨著大數據產業的發展，數據交易規模也在不斷擴大，由于法律的滯后性，現行法律已不能滿足對現有數據交易市場的保護。雖然近年來我國數據安全方面的立法進程明顯加快，在數據法律監管方面日趨嚴格，但對于數據交易的法律保護還是不足的。當前我國關于數據交易規則的法律法規如表1所示。另外，法律政策方面主要是國務院2015年頒布的《促進大數據發展行動綱要》以及各級地方政府制定的大數據產業政策，此外還有《信息安全技術云計算服務安全指南》《信息安全技術云計算服務安全能力要求》等技術標準和各數據交易平臺制定的相關交易規則。

可以看出，當前我國數據交易方面的立法以保護個人信息為核心，但還是缺乏細節性解釋，保護與發展不夠協調，對于數據交易監管、數據脫敏等合規性方面缺乏規制。近年來，大數據行業異軍突起，互聯網經濟的快速發展遠遠超過了原有的傳統經濟形態，數據的價值依賴于其流通性，盡管從中央到地方都對大數據交易監管付出了很大努力，但立法程序復雜、耗時長、法律的滯后性等客觀因素使得大數據行業的法律監管停滯不前。當前數據交易安全方面還沒有相關上位法對其進行保護，在實踐操作中存在諸多問題，可以說許多數據平臺現在都是摸著石頭過河。法律是保護數據交易安全最有力的手段，一些先進的國家在隱私保護和數據安全等方面已經建立了比較完備的法律體系，我國在數據交易方面的立法還有很大空間。

表1 我國數據交易規則相關法律法規

（二）各地大數據發展產業政策

隨著大數據技術的不斷發展，大數據應用也從原來的互聯網、廣告領域向更多領域不斷拓展，醫療、金融、政務、交通、教育等各個領域都開始以大數據為分析工具。大數據產業如火如荼地發展離不開政策支持，由圖1可以看出，自2014年以來，歷屆政府都將“大數據”一詞寫入政府工作報告，黨的十九大報告更是提出要推動大數據與實體經濟深度融合，為未來我國大數據產業的發展指明了方向。自2015年起，地方各級政府也出臺了相關政策并建立相關管理機構促進大數據產業的發展。截至2019年5月，陸續已有14個省級政府成立了大數據管理機構。很多地方政府也將大數據運用到政務服務方面，大數據在與行業應用結合及與政務數據共享方面取得了初步進展。

就目前來看，國務院和各地方政府都根據實際情況制定了促進大數據產業發展的相關政策，但大多數政策都是宏觀性、指導性意見，僅僅表明國家和地方各級政府對大數據產業發展的支持態度。從內容上來看，并沒有對大數據具體交易規則作出規定，在大數據交易實踐中出現的問題很難根據相關政策做出具體裁判。

圖1 我國大數據產業政策發展歷程

（三）現有大數據交易平臺及交易規則

2014年12月31日我國首個大數據交易平臺——貴陽大數據交易所成立以來，數據交易平臺數量呈“井噴式”增長，在數據平臺快速增長的過程中還有少部分數據平臺沒有交易規則，如陜西西咸新區大數據交易所、優易數據等；即使有數據交易規則的數據平臺大多也只是通過用戶協議、注冊協議的方式做出相關規定，并沒有對數據交易安全標準做出相關規定；還有一部分平臺以國內首個大數據平臺交易規則——華中大數據平臺交易規則為藍本制定了數據交易規則，甚至有的平臺交易規則與之相同，可見在數據平臺初創期，各個數據平臺對數據交易保護的重視程度還不夠高。

就現有的平臺交易規則來看，規則對數據交易的主體還存在很大分歧，對平臺權利和義務的規定也存在很大問題。就交易主體的規定來看，有些平臺允許自然人進入平臺進行交易，而有些則不允許自然人交易，其根本原因是數據交易規則的不明確，有些平臺采取了謹慎的態度，對自然人的交易進行了限制，而事實上數據的主要來源是個人，大量的數據掌握在個人手中，并沒有得到合理的利用，也是對數據資源的一種浪費。許多平臺對于權利和義務的規定都較為籠統，并且規定權利方面的規則明顯多于平臺應盡的義務，在數據交易發生問題時，平臺的免責聲明規避了平臺的義務，使得數據交易雙方的交易風險增加，歸納總結如表2所示。

總的來說，法律法規、地方政策關于大數據交易更多的都是原則性、指導性的規則，各個數據交易平臺的交易規則也未能起到有效保護用戶權利的作用，而更偏向維護自身權益。無論是法律法規、政策還是數據平臺的交易規則都沒有對大數據交易的具體規則做出細節性規定，也沒有對當前數據交易市場形成有效監管。因此我國應該盡快制定大數據交易監管方面的法律制度，明確數據所有權，對大數據交易主體、交易內容、數據質量等交易的核心內容進行監管。

二、網絡智能時代大數據交易面臨的挑戰

（一）數據交易的合法性面臨的挑戰

1.數據權利歸屬存在分歧

經濟科學注重生產資料歸屬問題，法律科學更加關注財產權的歸屬。我國法律明確了數據的法律地位，但數據的權利歸屬并無明確規定。對數據權利這種新興權利，學界不僅對“數據產權”的概念有爭議，同時對數據權利的歸屬也存在不同的看法。

一種觀點認為，數據權利的主體即數據來源的主體（產生數據的人），即個人對個人數據享有所有權和支配權。該觀點認為，對數據進行交易可能會對個人隱私造成極大傷害并引發信息安全問題，因此應對數據設立一種新的財產權，與傳統的無形財產加以區別，數據來源主體優先享有數據權利〔1〕。這一觀點主要以保護個人隱私權為基本論點，但卻忽視了數據收集者以及大數據平臺在數據收集、分析、處理過程中的產權，數據收集者獲取個人數據時與數據權利享有者進行交易、龐雜數據的處理、數據的科學創新歸類等都會產生較大數額成本〔2〕。另一方觀點則是從數據產業角度考慮，認為數據權利屬于數據的控制者，阿里云發布的《數據保護倡議書》中認為在云計算平臺上的數據權利絕對屬于客戶所有。但是這種觀點忽視了數據內容中的權利主體享有的權利，不利于隱私權保護〔3〕。

表2 我國主要數據交易所交易規則

目前，制度和實踐都對數據權利的歸屬選擇了回避。從法律層面來看，我國《民法總則》并沒有對數據權利的歸屬做出相關界定；從實踐來看，大數據交易平臺對數據權利的歸屬也不明確，貴陽大數據交易所《數據確權暫行辦法》中僅規定了可供交易的數據為加工過的數據，并沒有對原始數據做出規定。在數據交易過程中賣方是否可以繼續出賣該數據、數據權利是否轉移給買方、買方是否可以將數據轉賣等問題突出。

2.數據交易主體有待明確

我國大數據交易主體主要包括數據的買賣雙方和數據交易平臺（提供信息處理服務的數據交易平臺有時也充當買方、賣方的角色），根據《民法總則》來看，自然人、法人和其他組織都可以成為民事交易的主體，但是哪些民事主體可以稱為大數據交易主體，我國法律并沒有明確規定，各個數據平臺對此的規定也不相同。實踐中主要存在三個問題：首先，自然人是否可以成為數據交易的交易主體；其次，交易主體準入制度不清晰；最后，是否應該對數據買賣雙方進行國籍化差別管理〔4〕。

就自然人是否可以成為數據交易的主體來看，目前大部分交易平臺不允許自然人成為交易主體，不過也存在少部分不限制自然人交易的平臺〔5〕。就大部分限制自然人交易的平臺來看，其并不限制自然人變相注冊公司進行交易，因此，在未來是否允許自然人進行交易還有待商榷。就現有的交易準入制度來看，沒有統一的標準，目前有兩種模式：貴陽大數據交易所實行事前的監管，采取“注冊審核制”，只有通過平臺審核才能進行交易；另一種是以海爾濱數據交易中心為代表的采取“注冊登記制”的制度模式，只需要簡單的注冊即可在平臺進行交易〔6〕。準入制度對交易安全起著至關重要的作用，嚴格的準入制度必然會降低交易風險但也會限制發展，如何平衡市場效率和風險還值得進一步探究。就是否需要將買賣雙方進行國籍化差別管理的問題，根據《網絡安全法》的規定①《中華人民共和國網絡安全法》第三十七條：關鍵信息基礎設施的運營者在中華人民共和國境內運營中收集和產生的個人信息和重要數據應當在境內存儲。因業務需要，確需向境外提供的，應當按照國家網信部門會同國務院有關部門制定的辦法進行安全評估；法律、行政法規另有規定的，依照其規定。來看，在境內運營產生和收集的信息應當在境內儲存，確有需要向境外提供的應進行安全評估。數據作為一種特殊商品，具有較高的安全價值和生產價值，數據的跨境流動也會帶來一定的法律風險，因此對于境外投資者購買數據是否違反《中華人民共和國網絡安全法》的規定還需要進一步明確。

（二）數據交易用戶權益保障面臨的挑戰

1.非法數據交易屢禁不止

非法數據交易是指通過非法手段、非法途徑獲取數據或者將非法數據加工后進行交易的行為。當前我國大數據交易發展勢頭良好，各地也紛紛建立了大數據交易平臺，但數據交易仍然供需矛盾突出，數據有效供給嚴重不足，導致非法數據交易的地下黑市規模日益龐大，甚至形成了一條非法數據交易產業鏈〔7〕。盡管我國一直在打擊非法數據交易，但屢禁不止，特別是在出行、酒店、快遞等行業更為突出。2018年，某集團旗下的連鎖酒店涉及1.3億人約5億條開房記錄在某暗網交易網站出售；同年，某快遞公司近3億條信息在暗網以兩個比特幣的價格進行銷售；在國外也如此，2018年7月新加坡近1 500萬份公民的醫保資料信息以每份35元的價格在暗網銷售〔8〕。

目前，數據來源非法是我國大數據交易監管的突出問題，主要是個人信息被非法竊取并出售。個人數據在被非法交易之后流向不明，很可能落入犯罪分子手中，其對信息權利主體實施詐騙，使信息的所有者受到騷擾和侵害，并導致不必要的財產損失及精神困擾。非法數據還可能會被倒賣，造成更嚴重的后果。非法數據交易猖獗反映的是數據安全的問題，不僅會對正常的數據交易市場形成沖擊，而且還會侵犯個人的合法權益。應嚴厲打擊非法數據交易，保護公民的信息不受侵害。

2.數據質量標準無明確規定

大數據交易的客體是數據，數據質量是交易雙方關注的核心〔9〕。在數據交易過程中，因原始數據更加有利用分析的價值，比匿名化的數據價值更高。原始數據往往會涉及個人隱私，我國法律規定①《中華人民共和國網絡安全法》第四十二條第一款：網絡運營者不得泄露、篡改、毀損其收集的個人信息；未經被收集者同意，不得向他人提供個人信息。但是，經過處理無法識別特定個人且不能復原的除外。個人隱私在采集和交易的過程中都必須經過權利人的同意，但經過清洗的個人信息除外。在實踐中究竟哪些信息屬于個人隱私，數據清洗的標準又如何界定都沒有具體的規定。

只有明確哪些信息屬于個人隱私才能使數據交易雙方有章可循，目前有關個人隱私保護的條文大都散見于表1所列的各個法條中，可見個人隱私的保護屬于立法者所欲保護法益的重點，個人隱私權有其被保護的價值。但目前并沒有一套專門的法律來保護個人隱私，實踐中由于各個法律條文對個人隱私保護的理解及角度的差異，很難對隱私的內涵加以全面具體把握。各個主體對隱私的理解不同，導致數據交易主體在清洗數據時的清洗標準不統一，例如某交易主體認為個人學歷屬于個人隱私范疇便將其清洗，而另一交易主體認為個人學歷不屬于個人隱私的范疇而未將其清洗，可見對隱私的內涵理解不同最終導致數據質量及處理方式也不相同。

數據處理標準不統一也是影響數據處理效果的關鍵因素。數據脫敏標準的紊亂極有可能引發個人隱私泄露等問題。不同的脫敏程度可能帶來不同的結果，例如某交易主體采用A標準將敏感數據刪除，另一交易主體采用B標準將敏感數據涂黑，但通過相關技術可以將其復原，這樣采用B標準的數據并不一定能真正起到保護隱私的作用，因此還需要將不同數據的脫敏標準進行分類規定才能更好地保護個人隱私。

3.數據交易平臺責任不明確

在現有交易模式下，數據交易平臺有著“雙重身份”——既是數據交易的監管者，同時也是數據交易的被監管者。作為監管機構，數據交易平臺應該對數據交易的全過程進行監督，保障交易安全；作為被監管機構，數據交易平臺應接受政府部門的監管。大數據交易時數據提供方提供的數據不符合約定內容、數據脫敏不徹底、數據內容不合法、涉及數據侵害第三方利益等問題不可避免。作為中間商的數據交易平臺對此應承擔什么樣的法律責任，在現階段也沒有明確的法律規定。

實踐中，大多數據平臺在服務協議中對自己的權利與義務的描述都過于原則化，并且涉及數據平臺權利方面的規定很多，義務方面的規定較少。很多平臺在服務協議中免除自己對數據質量的審查義務，在發生法律糾紛時，這些條款是否能作為免責條款還有待商榷。

4.數據交易監管缺失

對大數據交易的監管主要包括以行政監管為主的外部監管和以平臺自身監督為主的內部監管。近年來我國大數據交易市場發展迅速，規模不斷擴大，但是相應監管機構缺失，也沒有一部比較全面的法律來規范大數據交易。單純的依靠大數據交易平臺對數據交易進行監管是不夠的，數據交易平臺參差不齊，小的交易平臺想要實施嚴格的監管可能會顯得力不從心，即便是規模較大的數據交易平臺，也很難真正做到嚴格監督。

大數據交易依賴于網絡，對大數據交易安全進行監管離不開先進的技術設備和技術維護作為保障。我國網絡信息系統普遍落后，很多高科技的芯片、操作系統大都依賴于國外進口，無法掌控核心科技使得我們在大數據科學監管方面顯得很被動；另一方面，政府部門缺少科研團隊，很多政府部門對網絡信息系統缺少及時維護，很難在網絡中直接對大數據交易進行監督。

三、大數據交易法律規制的路徑

（一）通過法律明確數據交易的合法性

1.明確數據權屬

在市場經濟中，明確數據權屬對于保護交易各方的利益和數據流通都具有促進作用。關于數據權利的性質學界說法不一，有人格權說、財產權說、知識產權說和新型民事權利說等。筆者更傾向于將數據權利定義為一種新型民事權利。數據作為一種權利，兼具數據國家主權、數據人格權、數據財產權等屬性，應將不同類型的數據區別劃分。

可以將有關數據的權利劃分為數據國家主權和數據權利〔10〕。近年來，隨著“棱鏡門”等事件的發生，各國已將數據主權看作是國家安全的一部分，美國政府更是將數據稱為“未來的石油”。不僅如此，數據更多涉及公民的隱私、財產、人身等權益。試想如果國家沒有數據主權，那么當他國侵犯本國公民的權利時，本國公民的權利如何得到救濟。因此，國家數據主權應處于關鍵地位。

對于大數據交易平臺涉及的數據，更多的是個人層面的。個人數據權利包括數據人格權和數據財產權。數據人格權歸個人所有，《中華人民共和國憲法》中關于公民人格尊嚴不受侵犯的規定可以看作是數據人格權的法律基礎，一提到數據保護，隱私權是首要保護客體。數據人格權還應該包括同意知情權和被遺忘權（同意知情權指的是個人有知道自己哪些數據被收集以及被收集后的用途的權利，被遺忘權指數據主體有要求數據收集者刪除關于其本人相關數據的權利）。對于數據財產權來說，包括數據的使用、收益權，這些權利應該歸數據個人和數據收集的企業共同享有。針對細節性條款可在數據交易合同中加以明確規定。對于企業數據權利的保護，可以按照世界知識產權組織和《伯爾尼公約》的保護方法，通過對數據庫進行保護的方法來對數據企業的數據權利進行保護。結合歐洲議會與歐盟理事會《關于數據庫法律保護的指令》相關規定來看，對于數據庫的保護并不是保護數據內容本身，而是對有選擇性編排的獨創性數據作品的保護。通過這種保護方式，數據庫內容的所有權還在個人，但是數據庫中的數據不需要考慮其本身是否是作品，只要符合數據庫的保護條件都可以對其進行保護。這種方式賦予了企業在大數據交易中的財產權，可以避免企業利益與個人利益的沖突。

2.規范大數據交易主體

就自然人是否可以成為數據交易買賣主體的問題，依民事主體適格的標準來看，自然人可以成為大數據交易主體。我國法律規定的民事主體包括：自然人、法人以及非法人組織。目前學界僅對自然人主體的適格性達成共識，自然人成為適格民事主體的標準主要包括主體的獨立性和經濟性、意思能力和內部決策機制。獨立性主要包括自然人的意思、行為、財產和責任獨立；經濟性指若想成為民事主體，應滿足社會效益和當事人利益的最大化；而意思自治和決策機制是判斷民事主體獨立的實質標準〔11〕。因此，按照民法理論來看，在大數據交易中只要符合以上標準的自然人就可以成為適格的數據買賣主體。但考慮到我國大數據交易正處于起步階段，自然人交易相比于法人交易有很多的不確定性，為保障交易的安全，對于具有不正當數據需求的人應該限制其交易，可以通過要求其提供相關資料證明確有數據需求后，允許其注冊為會員來進行交易。

對于現有的大數據交易平臺準入機制來看，有的平臺實行“注冊登記制”而有的平臺實行“注冊審核制”，考慮到大數據交易的特殊性，建議在今后的立法中限制最低要求，平臺根據自身交易的特點制定自己的交易準入門檻。同時數據平臺也應該對交易主體提供的信息進行實時審查，確保交易安全。

大數據交易首先應保障國家安全，大數據交易的客體可能涉及危害公共利益、國家安全等信息，同時根據《網絡安全法》的規定，重要的數據應當儲存在我國境內，外國人交易可能會使數據流向境外，因此外國人進行交易時應該進行二次審查，首先確定其是否可以成為適格交易主體，對交易客體也應該嚴格審查，保障國家主權和利益。

（二）加強監管，維護數據交易用戶權益

1.打擊非法數據交易

由于監管制度的缺失、數據交易主體責任不明確以及數據本身的特殊性等問題，非法數據交易屢禁不止。打擊非法數據交易，首先應從監管方面做起，建立交易平臺準入制度。對于數據“賣方”注冊資本、出資方式等加以限制，這樣可以通過提高準入門檻來提升交易質量；另一方面要對數據的來源進行審查，確保數據來源的合法性，對于購買特定數據的“買方”，要對其數據的使用目的進行審查，對未盡到審慎審查義務的賣家進行相應行政甚至刑事處罰。另外，在刑法方面要加大打擊力度，《中華人民共和國刑法》已經逐步將個人信息犯罪納入處罰范圍，并不斷降低打擊門檻，但還應該繼續完善，對協助者及非法信息的購買者加以處罰，從而制止非法數據交易。

2.制定數據交易質量標準

在大數據交易中由數據質量引發的糾紛不少，數據的質量直接影響數據使用，同時還可能侵害到第三方的權益，因此有必要建立數據質量標準。不僅要將法律信息表述清楚，還要將通用技術問題進行法律規定。2015年俄羅斯在數據保護法中對數據流轉問題的規定表明，任何收集到的關于本國公民個人數據都要存儲在俄羅斯境內的服務器上或數據中心上。此種對于數據獲取方式和儲存方式的規定就是將技術問題進行法律規定。在數據技術成熟的今天，這種做法對保護數據交易安全十分有效。受到技術水平的限制，司法機關很難對數據的質量作出明確判斷，因此還應建立數據質量評估機構，在數據交易發生糾紛時，作為數據質量的最終評定機構。

完善數據質量標準后，還應對敏感數據清洗做出規范。對于敏感數據的清洗，有學者從保護個人信息安全的角度出發，認為應該將有個體標識的數據刪除，但是這一方法影響了數據使用的效率，因此有學者建議采取泛化匿名的方式，將敏感數據與具體對象之間的聯系斷開即可。本文認為，對于個人敏感信息應區別對待。將與個人密切相關的數據直接刪除，而將與個人關聯性較弱的數據以泛化匿名的方式清洗。與個人密切相關的信息具有唯一性，數據與主體之間緊密相連，通過這些數據可以識別數據主體，因此刪除這些信息才能保證個人信息的安全性；而與個人關聯性較弱的數據只需將其斷開與主體之間的聯系，確保不能通過數據分析處理還原數據主體即可。

建立完善的數據質量標準，有利于數據交易主體對交易數據清洗的統一，也有利于保護個人隱私，同時在出現數據質量糾紛時，可以有章可循并及時解決糾紛。

3.依法規范數據交易平臺建設

當前絕大多數大數據交易都是通過數據交易平臺來完成的，因此通過規范大數據交易平臺來規范數據交易相對來說更為有效〔12〕。相關部門可以從規范大數據交易平臺的合法化發展來對大數據交易的相關法律制度進行完善。

首先對數據平臺日常運營的合法性方面嚴格要求，從數據平臺的成立到日常運營、維護、對數據交易的監督等都要進行嚴格的把控，避免非法數據交易，防止一些垃圾數據進入交易市場造成市場混亂。其次，建立數據交易平臺信用評級制度，淘汰誠信度較低的平臺，為市場提供更加可靠的平臺。第三，加大對違法數據交易平臺的懲戒力度，增加其違法成本，倒逼數據交易平臺自覺抵制非法數據交易。最后，嚴格要求數據平臺加強對交易客體的甄別，避免虛假數據、不安全的數據通過平臺流入市場。

4.完善大數據交易監督機制

對大數據交易進行雙重監管，通過二元化的監督模式，即平臺自我監督和政府行政監督來確保數據交易安全。首先要賦予交易平臺監管權，有監管權的交易平臺在交易中要對交易的各個要素進行監管，其次上級政府部門要對數據交易平臺進行監督。

目前我國交易平臺的交易規則對于數據交易監管的規定較為模糊，并沒有對數據交易的監督做出明確規定，監督權的缺失阻礙了交易平臺監管職能的發揮。因此要明確交易平臺對數據交易安全進行監督的義務，從制度層面賦予交易平臺監管權利及義務。

有監管權的交易平臺要對整個交易行為進行監管。對交易主體應該實行會員注冊制，明確會員的入會標準，會員應遵守平臺的各項交易制度，平臺可根據入會協議要求會員報告在平臺交易的相關情況。對于交易客體，應對原始數據和清洗后的數據進行分類管理，對原始數據的交易進行嚴格監管，對交易數據的質量進行監管，停止不符合質量要求的數據交易。

雖然數據平臺對大數據交易已經進行了全方位的監管，但僅依靠大數據平臺的監管是不夠的。為避免數據平臺對大數據交易的壟斷以及協調政府監管與平臺監管之間的矛盾，要理順政府與平臺之間的關系，確保大數據交易產業的健康發展。平臺利用專業技術對數據交易進行監管，政府在出現較大負面效應時應予以必要的監督，兩者優勢互補，更好地為數據交易提供保障。

數據交易對大數據產業的發展影響重大，在當前的智能網絡時代，我們必須抓住大數據產業發展的機遇，推動產業升級，提高綜合競爭力。數據只有通過流通才能發掘更大的價值，數據交易作為大數據產業的重要組成部分，也處于初步的探索階段。在交易的過程中難免存在一些問題，現有的法律已經不能滿足數據交易市場的快速發展，因此要規范數據交易平臺，打擊非法數據交易，通過法律完善大數據交易規則，保障大數據交易穩定發展，維護大數據產業的健康發展。