海南自貿(mào)港數(shù)據(jù)流動及合規(guī)管理探析

海南璟榮律師事務(wù)所 馬維秋

從2016年歐盟頒布《通用數(shù)據(jù)保護條例》（GDPR），到近年來國內(nèi)出現(xiàn)等案件，人們開始逐漸認識到互聯(lián)網(wǎng)時代的數(shù)據(jù)已經(jīng)成為商家爭奪的資源。數(shù)據(jù)是數(shù)字經(jīng)濟的關(guān)鍵要素，已經(jīng)成為新時代的“石油”。

近年來，我國逐年加大了網(wǎng)絡(luò)信息領(lǐng)域的立法力度，陸續(xù)頒布了《電子簽名法》《網(wǎng)絡(luò)安全法》《電子商務(wù)法》《數(shù)據(jù)安全法》等一系列的法律和規(guī)范性文件，對規(guī)范和監(jiān)督網(wǎng)絡(luò)信息安全、個人信息保護、數(shù)據(jù)有序流動等起到了積極的作用。2021年6月10日頒布實施的《中華人民共和國海南自由貿(mào)易港法》第二條、第四十二條及第五十五條共七處提及“數(shù)據(jù)”，明確了國家支持海南自由貿(mào)易港建立安全有序自由便利的數(shù)據(jù)流動管理制度，擴大數(shù)據(jù)領(lǐng)域的開放，探索實施區(qū)域性國際數(shù)據(jù)跨境流動制度安排。本文擬以此為背景，闡述海南自貿(mào)港數(shù)據(jù)流動合規(guī)管理等相關(guān)法律問題，以圖為海南自貿(mào)港有序發(fā)展建言獻策。

一、數(shù)據(jù)的法律屬性

（一）數(shù)據(jù)的概念及內(nèi)涵

根據(jù)《數(shù)據(jù)安全法》的前述規(guī)定，數(shù)據(jù)的內(nèi)涵從法律規(guī)定文意解釋的角度可以理解為：（1）數(shù)據(jù)是記錄；（2）數(shù)據(jù)是對信息的記錄；（3）數(shù)據(jù)包括電子方式對信息的記錄，也包括其他方式對信息的記錄。

筆者通過對《網(wǎng)絡(luò)安全法》《最高人民法院關(guān)于審理利用信息網(wǎng)絡(luò)侵害人身權(quán)益民事糾紛案件適用法律若干問題的規(guī)定》《電信和互聯(lián)網(wǎng)用戶個人信息保護規(guī)定》等規(guī)范性文件的相關(guān)條文比較后發(fā)現(xiàn)，《數(shù)據(jù)安全法》雖然以寥寥數(shù)語對數(shù)據(jù)的概念進行了規(guī)定，但卻從法律邏輯上解決了我國長期以來立法及司法過程中“信息”與“數(shù)據(jù)”不分甚至通用的局面，在網(wǎng)絡(luò)信息領(lǐng)域立法進程中意義非凡。

（二）數(shù)據(jù)的法律屬性

如前文所言，數(shù)據(jù)可以表現(xiàn)為電子形式，也可以表現(xiàn)為其他形式。在萬物互聯(lián)的時代，新基建驅(qū)動下的數(shù)據(jù)更多地是以電子形式呈現(xiàn)。目前為止，對數(shù)據(jù)，尤其電子數(shù)據(jù)的法律屬性尚無定論。

目前對數(shù)據(jù)法律屬性較為明確的規(guī)定是《民法典》第一百二十七條的規(guī)定，該條規(guī)定保留了原《民法總則》第一百二十七條的規(guī)定，將“（權(quán)利主體）對數(shù)據(jù)、虛擬財產(chǎn)的保護”列為民事權(quán)利。需指出的是，國內(nèi)有的學者直接將“數(shù)據(jù)”理解為民法典規(guī)定的權(quán)利，這種理解有悖于民事權(quán)利的主體客體理論。筆者認為，數(shù)據(jù)本身沒有生命，即便是人工智能技術(shù)可以讓數(shù)據(jù)“活”起來；但數(shù)據(jù)作為權(quán)利指向的對象（權(quán)利客體）是不存在法學理論上的障礙的。歐盟GDPR開篇提到“自然人在個人數(shù)據(jù)處理方面獲得保護是一項基本權(quán)利”，并將數(shù)據(jù)主體的相關(guān)權(quán)利明確為知情權(quán)、訪問權(quán)、修正權(quán)、限制處理權(quán)、被遺忘權(quán)、可攜帶權(quán)和反對權(quán)七項權(quán)利。因此，我們認為，數(shù)據(jù)可能構(gòu)成法律意義上的財產(chǎn)，但不能脫離主體性的“人”而自己成為一項權(quán)利。

二、數(shù)據(jù)流動的法律困境

（一）數(shù)據(jù)產(chǎn)權(quán)模糊不清

綜觀現(xiàn)行有關(guān)數(shù)據(jù)流動的規(guī)范性文件，我國目前對數(shù)據(jù)流動的立法已基本囊括數(shù)據(jù)的收集、存儲、使用、加工、傳輸、提供、公開等數(shù)據(jù)全周期處理過程，也包括了數(shù)據(jù)交易、數(shù)據(jù)出海等新的數(shù)字經(jīng)濟形式。但目前幾乎所有的規(guī)范性文件均未明確數(shù)據(jù)的權(quán)利主體，而互聯(lián)網(wǎng)公司、用戶之間對數(shù)據(jù)產(chǎn)權(quán)的紛爭從未停止。一方面，互聯(lián)網(wǎng)公司不認為數(shù)據(jù)產(chǎn)權(quán)有爭議，他們認為：收集了就收集了，占有了就占有了，數(shù)據(jù)現(xiàn)在在誰手里，誰就擁有所有權(quán)、處分權(quán)和買賣權(quán)；數(shù)據(jù)是死的，利用是活得，他們的利用才是互聯(lián)網(wǎng)的精髓，并因此創(chuàng)造了價值。而對于消費者而言，互聯(lián)網(wǎng)公司收集了數(shù)據(jù)是事實，但關(guān)于它們要怎樣使用數(shù)據(jù)，消費者要有知情權(quán)、決定權(quán)、收益權(quán)。數(shù)據(jù)產(chǎn)權(quán)的問題如果繼續(xù)模糊不清，很可能成為新經(jīng)濟和新文明發(fā)展的瓶頸、障礙。

（二）違規(guī)收集個人信息屢禁不絕

以《電子商務(wù)法》《網(wǎng)絡(luò)安全法》等主要法律依據(jù)，結(jié)合《App違法違規(guī)收集使用個人信息行為認定方法》等法律、法規(guī)、規(guī)章及其他規(guī)范性文件的規(guī)定，網(wǎng)絡(luò)運營者進行數(shù)據(jù)收集邊界包括：（1）收集方式是否合法，是否經(jīng)過用戶授權(quán)；（2）目的是否正當；（3）是否為必要信息，是否缺失該信息即不能完成交易；（4）信息收集方式及規(guī)則是否公開披露；（5）信息使用目的、方式及范圍是否公開披露。

然而，作為時代先鋒的互聯(lián)網(wǎng)企業(yè)幾乎無一例外地都有過不光彩違規(guī)收集個人信息的“黑歷史”。

（三）數(shù)據(jù)控制者的法律責任邊界模糊

從數(shù)據(jù)安全的角度而言，《網(wǎng)絡(luò)安全法》已相對具體地規(guī)定網(wǎng)絡(luò)運營者應(yīng)當采取技術(shù)措施和其他必要措施，確保其收集的個人信息安全，防止信息泄露、毀損、丟失；在發(fā)生或者可能發(fā)生個人信息泄露、毀損、丟失的情況時，應(yīng)當立即采取補救措施，按照規(guī)定及時告知用戶并向有關(guān)主管部門報告。但包括《網(wǎng)絡(luò)安全法》在內(nèi)的現(xiàn)行法律規(guī)定卻對網(wǎng)絡(luò)運營者對有關(guān)數(shù)據(jù)不當使用的責任的規(guī)定并不明晰。

數(shù)據(jù)控制者濫用數(shù)據(jù)控制權(quán)較為典型的情況是“精準推送”及“價格歧視”。消費者在平臺上的購物信息被收集的初衷只是為了保障消費者的權(quán)益，但是后來該數(shù)據(jù)被用來計算消費者的購物喜好，并向消費者定向推送廣告信息。雖然目前《電子商務(wù)法》對“個人特征選項推送”進行了限定，但這并不妨礙平臺及商家將“個人特征選項”及共性選項一并推送的規(guī)避手段。而對大數(shù)據(jù)殺熟和算法合謀這類價格歧視行為，目前尚沒有明確的規(guī)制措施。

近年來，關(guān)于數(shù)據(jù)收集、處理、使用中的算法黑洞問題，廣受爭議。自誕生以來，算法就以保護競爭性商業(yè)機密為由，一直在一個相對封閉的空間中生長，對所有消費者而言，他是一個黑盒子，除了開發(fā)它的公司和程序員，外人無從知曉黑盒子里面的運行機制。法律代表公平正義，這也意味著算法也要體現(xiàn)出公平正義的理念。在人工智能時代，“邪惡”的算法將成為人類社會的災(zāi)難。

（四）數(shù)據(jù)交易規(guī)則缺失

整體而言，我國的數(shù)據(jù)交易目前還處于摸索階段，業(yè)界除了對應(yīng)該加強個人數(shù)據(jù)和隱私保護、匿名化數(shù)據(jù)可以在不同主體之間流通、數(shù)據(jù)主體已經(jīng)公開的數(shù)據(jù)可以使用、應(yīng)該就加強政府數(shù)據(jù)和行業(yè)數(shù)據(jù)的開放等問題達成共識外，數(shù)據(jù)的權(quán)屬問題、企業(yè)和平臺的收益權(quán)問題均無有效解決方案。我國對大數(shù)據(jù)交易的規(guī)制起步較晚，目前對大數(shù)據(jù)交易、流通的規(guī)則、定價機制、風險管控及法律責任等規(guī)定基本處于空白狀態(tài)。近年來，地方性數(shù)據(jù)交易平臺大多以數(shù)字資產(chǎn)證券化的模式進行了探索，但多因交易規(guī)則缺失、缺乏合規(guī)管理而最終因步入非法吸收公眾存款的深淵而等被司法機關(guān)或監(jiān)管機關(guān)取締。

在數(shù)據(jù)出海方面，中國企業(yè)2018年下半年——2020年上半年對外投資流量占據(jù)全球第二，在信息技術(shù)和軟件服務(wù)領(lǐng)域上，直接對外投資比例持續(xù)增長，出海亞洲、中東、非洲整體趨勢上揚。但因不同法域?qū)?shù)據(jù)收集、處理、使用等數(shù)據(jù)流動環(huán)節(jié)合規(guī)存在差異，跨境數(shù)據(jù)流動存在極大的跨法域合規(guī)問題。

三、海南自貿(mào)港數(shù)據(jù)流動的合規(guī)建議

（一）充分利用好立法授權(quán)，建立完善數(shù)據(jù)流動規(guī)則

《中華人民共和國海南自由貿(mào)易港法》規(guī)定，海南省人民代表大會及其常務(wù)委員會可以結(jié)合海南自由貿(mào)易港建設(shè)的具體情況和實際需要，遵循憲法規(guī)定和法律、行政法規(guī)的基本原則，就貿(mào)易、投資及相關(guān)管理活動制定法規(guī)，在海南自由貿(mào)易港范圍內(nèi)實施。

雖然我國近年來加大了網(wǎng)絡(luò)信息領(lǐng)域的立法，有關(guān)電子簽名、網(wǎng)絡(luò)安全、電子商務(wù)、數(shù)據(jù)安全的法律已陸續(xù)頒布實施，個人信息保護法也在審議之中，但現(xiàn)有的法律體系對數(shù)據(jù)權(quán)屬、數(shù)據(jù)定價、數(shù)據(jù)交易規(guī)則等缺乏界定。在遵循憲法及《民法典》《網(wǎng)絡(luò)安全法》《電子商務(wù)法》《數(shù)據(jù)安全法》等法律的基本原則的前提下，海南自貿(mào)港有權(quán)通過授權(quán)立法的方式明確數(shù)據(jù)權(quán)屬，將數(shù)據(jù)主體對與數(shù)據(jù)的占有、使用、收益、處分等相關(guān)的人身權(quán)益、財產(chǎn)權(quán)益的內(nèi)容落到實處，逐步建立數(shù)據(jù)定價規(guī)則和數(shù)據(jù)交易規(guī)則。在權(quán)屬、規(guī)則明確的情況下，數(shù)據(jù)流動才能有法可依。

（二）強化數(shù)據(jù)安全，以更高標準落實網(wǎng)絡(luò)安全等級保護制度

中共中央、國務(wù)院《海南自由貿(mào)易港總體方案》要求，海南要制定實施有效措施，有針對性地防范化解數(shù)據(jù)流動風險，要重點保障關(guān)鍵信息基礎(chǔ)設(shè)施和數(shù)據(jù)安全，健全網(wǎng)絡(luò)安全保障體系，建立健全數(shù)據(jù)出境安全管理制度體系，健全數(shù)據(jù)流動風險管控措施。

在落實網(wǎng)絡(luò)安全等級保護制度過程中，相關(guān)主管部門應(yīng)加強網(wǎng)絡(luò)安全認證、檢測、風險評估等活動，除落實關(guān)鍵信息基礎(chǔ)設(shè)施的運營的國家安全審查及保密協(xié)議制度外，還應(yīng)進行高于《網(wǎng)絡(luò)安全法》規(guī)定標準的風險評估、安全應(yīng)急演練、安全信息共享。

（三）加強個人信息保護，建立數(shù)據(jù)合規(guī)綜合治理體系

經(jīng)過近30年的自主發(fā)展，今天的互聯(lián)網(wǎng)開始強調(diào)秩序，所謂“互聯(lián)網(wǎng)進入下半場”，其實是一種新的宣示，互聯(lián)網(wǎng)將從對效率利潤的追求，轉(zhuǎn)到公平合理的制度設(shè)計上來，這是時代的必然。人類謀求的經(jīng)濟發(fā)展，曾對自然生態(tài)環(huán)境嘗試采用先污染后治理的方式，已經(jīng)讓人類受到了足夠教訓，且在一定程度上也在影響著人的自然健康與生命存在。無論為謀求數(shù)據(jù)經(jīng)濟及人工智能的發(fā)展，對于數(shù)據(jù)、信息的利用有多么迫切，提出何等全面的正當性論證，但為了人類終極意義上的生存，對于關(guān)涉人之自由與尊嚴的隱私絕不能采用先自由后嚴加管理的方式。

在尊重和保護個人信息前提下收集的數(shù)據(jù)，才能長久有序流動。海南自貿(mào)港數(shù)據(jù)流動過程中，嚴格落實個人信息保護制度，應(yīng)充分發(fā)揮企業(yè)自查自糾、行業(yè)監(jiān)督指導、第三方合規(guī)評估、政府主管部門監(jiān)督檢查等多方共同參與的綜合治理體系，避免出現(xiàn)違反必要、最小限度原則的違規(guī)收集個人信息事件發(fā)生。

（四）完善數(shù)據(jù)交易基礎(chǔ)設(shè)施建設(shè)，確保數(shù)據(jù)安全有序流動

數(shù)據(jù)交易在數(shù)據(jù)的授權(quán)、收集、存儲、處理、流通等環(huán)節(jié)中，都需要相應(yīng)的技術(shù)基礎(chǔ)設(shè)置作為支撐，讓數(shù)據(jù)交易過程能夠正常有效地進行。數(shù)據(jù)基礎(chǔ)設(shè)施包括數(shù)據(jù)存儲與處理技術(shù)、數(shù)據(jù)確權(quán)技術(shù)、數(shù)據(jù)通道與計量技術(shù)等。其中，數(shù)據(jù)存儲與處理技術(shù)是數(shù)據(jù)交易的基礎(chǔ)，只有進行了數(shù)據(jù)存儲與處理，才能進行后續(xù)的數(shù)據(jù)交易；數(shù)據(jù)確權(quán)技術(shù)是數(shù)據(jù)交易的必要條件；數(shù)據(jù)通道與計量技術(shù)保證數(shù)據(jù)在傳輸過程中的安全性，保證數(shù)據(jù)交易能夠順利進行。

（五）借鑒域外算法透明原則，建立并完善物聯(lián)網(wǎng)（IoT）、人工智能等領(lǐng)域算法評估機制

如前文所言，設(shè)計算法之始就應(yīng)該包含盡可能完善的法律規(guī)則。近年來，公共政策委員會計算機協(xié)會（USACM）提出了可供參考借鑒的算法透明的七大原則，分別是：第一，意識原則，即算法系統(tǒng)的所有者、設(shè)計者、建設(shè)者、用戶和其他利益相關(guān)者應(yīng)該意識到他們在設(shè)計、實施和使用中可能存在的“偏見”，以及由此可能造成的潛在危害；第二，準入和補救原則，監(jiān)管機構(gòu)應(yīng)該鼓勵采用機制，對因算法決策而受到不利影響的個人和群體提出質(zhì)疑和糾正；第三，問責原則，機構(gòu)應(yīng)該對其算法負責，即使機構(gòu)不可能詳細解釋算法是如何產(chǎn)生結(jié)果的，仍需承擔“無過錯責任”；第四，透明原則，鼓勵使用算法決策的系統(tǒng)和機構(gòu)對算法遵循的過程及所做的具體決策給出解釋；第五，數(shù)據(jù)來源原則，算法設(shè)計者應(yīng)當對訓練數(shù)據(jù)的來源進行說明，同時還要對人類算法數(shù)據(jù)收集過程中可能存在的偏差進行探索；第六，可審計性原則，即應(yīng)記錄模型、算法、數(shù)據(jù)和決策等數(shù)據(jù)，以便在可疑的情況下可以對他們進行審計；第七，驗證和測試原則，即算法設(shè)計者應(yīng)該使用嚴格的方法來驗證他們的算法模型，記錄這些方法和結(jié)果，并定期進行測試，以評估和確定該算法模型是否產(chǎn)生了歧視性損害，鼓勵機構(gòu)公開這些測試的結(jié)果。

數(shù)據(jù)的安全、有序、自由流動，既是海南自貿(mào)港建設(shè)的時代使命，也是法律賦予海南自貿(mào)港的數(shù)字經(jīng)濟動能。在中共中央、國務(wù)院的強力支持下，海南自貿(mào)港的數(shù)據(jù)安全有序流動必將得以實現(xiàn)。