完善數據法治建設面臨三重考驗

　　區塊鏈技術客觀上適應了數據合規與個人信息保護的新要求，但區塊鏈技術在大規模應用層面仍面臨一些技術難題，加快區塊鏈技術人才培養、攻克技術難題是當務之急。

　　如何對數據進行合理賦權，在理論上仍存在不少爭議。但信息秩序建立與維護需要立法跟進，需要對數據的採集、儲存、利用、流動等作出統一規定，建立通行的數據使用和分享規則。

　　數據企業應深刻認識數據保護的國際立法趨勢，採取切實有效的數據保護措施，平衡好企業數據權益與個人信息保護的關係，防患于未然。

　　以信息産業為代表的數字經濟，成為中國乃至世界經濟發展的新引擎。數字經濟的崛起，龐大的數據處理和應用需求不斷推動各國的數字基礎設施建設和數據法治建設。企業數據合規程度、個人信息保護程度，正成為衡量數字經濟發展品質的重要標準，這使得各國之間的數字經濟競爭日益演化為一場數據法治競爭，數據立法的加速正在驅使數字經濟的法治化駛入歷史的快車道。

　　當前，實現以企業數據合規、個人信息保護為重要內容的數據法治建設，仍面臨著三個方面的問題與考驗。

　　技術層面的安全考驗

　　數字經濟大放異彩，一方面使數據成為重要的戰略資産，另一方面，數據的共享開放和交叉使用又為數據安全埋下諸多隱患，數據非法洩露事件頻頻發生。從技術上看，數據合規和個人信息保護正面臨新的考驗。現有的傳統數據安全防護手段逐漸失效，新一代數據安全技術，正在以數據為中心，通過身份權限的識別和行為控制等而展開新一輪技術創新，有望與現有的傳統數據安全市場形成有益互補。

　　在這一領域，區塊鏈技術客觀上適應了數據合規與個人信息保護的新要求，在數據安全方面發揮出重要作用。作為互聯網數據記錄、傳播和存儲的一種新方式，它通過共識機制和加密技術形成了一個去中心化的分佈式數據庫，並以獨立、可靠、開放、透明、安全、可追溯為其顯著特徵，從而實現了互聯網從信息傳播向價值轉移的轉變以及多方信息的安全維護。由於區塊鏈的共識機制適用於不同的應用場景，因此在效率和安全之間取得了必要平衡。

　　問題在於，當前區塊鏈技術在大規模應用層面仍面臨一些技術難題，既需要解決機構或企業數據隱私安全與共享、驗證之間的矛盾，也需要保證數據全程加密情形下的系統高性能運行。雖然市場上的一些區塊鏈企業試圖通過哈希函數算哈希值的方式來保護隱私，但從效果看並不盡如人意，仍存在一定的技術缺陷。

　　另外，我國區塊鏈技術方面的複合型人才目前缺口仍然較大，對IT技術、密碼學、經濟學、金融學等專業背景的綜合化要求越來越高。加快高層次、複合型區塊鏈技術人才的培養已成為當務之急，這也是攻克數據合規和個人信息保護技術難題的長久之策。

　　賦權層面的證成考驗

　　數字經濟背景下的數據價值日益凸顯，如何對數據進行合理賦權，在理論上仍存在不少爭議。現有立法和理論研究中經常將數據等同於信息，導致有關信息的財産權化討論相當熱烈，相比之下，有關數據的權利屬性問題少有問津。問題是，數據並不等同於信息，對數據賦權正面臨諸多窘境，這進一步加劇了數據權的確認難度。

　　通常認為，數據只是一種信息傳播媒介，其本身沒有獨立的經濟價值。數據價值實際體現為其所承載的信息所包含的使用價值以及信息流通所帶來的交換價值。數據持有人對數據的挖掘、整理和利用，可以服務於自身的商業決策和精準投資，因此體現為數據持有人的“自用”價值；數據作為標的物可以用於市場交易，進而實現數據的“他用”目的並體現其“他用”價值。對數據賦權的呼聲，説明數據已實際成為現實生活中重要的“財産”形態，需要得到法律的確認和保護。

　　然而，數據究竟是不是財産、數據能不能成為民法上的客體，理論上仍缺乏足夠的基礎性研究，既有的網絡數據民事裁判實踐傾向於單獨將數據進行客體化和財産化處理。有學者指出，數據沒有特定性、獨立性，亦不屬於無形物，不能歸入民事權利的客體；數據無獨立經濟價值，其交易性受制于信息的內容，且其價值實現依賴於數據安全和自我控制保護，因此也不宜將其獨立視為財産。許多學者從數據利益出發，試圖論證數據財産權的正當性，有的甚至已經構建起數據權譜，但數據能否權利化，需要對數據的法律屬性進行科學提煉和澄清，有待於審慎嚴密的邏輯證成。也有學者指出，無論是正向進行演繹論證，還是反向作出假設推演，數據權利化的證成進路實際上都障礙重重。儘管數據已成為現代社會重要的商業資源，通過互聯網商業模式創新能夠産生巨大的經濟利益，將數據作為重要財産或資源看待有其合理性，但基於數據主體不確定、外部性問題以及壟斷性的缺乏，短期內數據的權利化恐怕尚難實現，數據財産權問題仍值得斟酌。

　　當然，數據的賦權及其證成困境並不妨礙對信息秩序建立與維護的立法跟進。研究數據本身的法律問題是研究互聯網技術背景下信息利用和保護問題的本源所在，對網絡信息的法律規制依賴於數據基礎秩序的建立和數據操作行為的規範，這顯然不能寄希望於網絡平臺或服務商的自行決定，需要國家立法對數據的採集、儲存、利用、流動等作出統一規定，以此獲得一個通行的數據使用和分享規則。

　　規制層面的執法考驗

　　數據規制是數據合規和個人信息保護的應有之義，與近年來不斷推進的數據立法密切聯繫在一起。數據規制是實現數據安全的必由之路，既需要維護國內外不同市場主體之間的數據競爭與合作，也需要在企業數據權益與個人信息保護之間實現必要的妥協與平衡。同時，依法保護企業與個人的數據權益，更需要嚴厲打擊不同類型違法犯罪行為。

　　在我國，數據立法目前已取得可喜進步。繼2000年通過實施《關於維護互聯網安全的決定》之後，2012年全國人大常委會再次通過並實施了《關於加強網絡信息保護的決定》，從而確立了個人信息收集、使用的基本規則及網絡服務提供者保護個人信息安全的義務等基本規範。2013年《消費者權益保護法》修改時，在第十四條中新增加了個人信息依法受到保護的權利，同時在第二十九條中明確了經營者收集、使用消費者個人信息時的法定義務，明確了合法、正當、必要原則，經營者需要明示收集使用的目的、方式和範圍等，也強調了經營者的保密義務。2016年《網絡安全法》的頒布，進一步充實完善了收集、使用個人信息的法律規則，細化了網絡運營者保護個人信息安全的義務與責任，專章規定了網絡運行安全、網絡信息安全以及網絡安全支持與促進等內容。2017年頒行的《民法總則》，則在第一百一十一條中將個人信息受到法律保護作為一項重要民事權利予以規定，強調任何組織和個人需要獲取他人個人信息的，應當依法取得並確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。2018年《電子商務法》的頒布，再次將個人信息保護擺在重要位置，明確規定電子商務經營者收集、使用其用戶的個人信息，應當遵守法律、行政法規有關個人信息保護的規定，並明示用戶信息查詢、更正、刪除以及用戶登出的方式、程式，不得對用戶設置不合理條件。在刑法領域，2009年、2015年通過的刑法修正案（七）和修正案（九），專門增加了出售或者非法提供、竊取或者非法獲取公民個人信息的犯罪及刑罰。

　　此外，其它數據立法成果還有不少，主要表現為行政法規、部門規章以及行業自律規定等形式。以2016年《數據流通行業自律公約》為例，由中國聯通、中國電信、阿裡巴巴、京東等聯合發佈的這一自律公約，重點從數據權益、數據流通和數據應用三大板塊分別作出規定，其不但確認企業對其合法、正當途徑採集、獲取、生成的數據享有合法權益，而且強調依法保障用戶在其個人數據流通中享有的選擇、獲取、更正、退出、刪除等權利。

　　從國際層面看，數字經濟的全球博弈引發了各國對數據立法競爭性與外溢性的普遍思考。就歐盟《通用數據保護條例》（General Data Protection Regulation）來説，其實施後所開出的鉅額罰單，即在國內引發不少熱議。在這些罰單名字裏，除互聯網企業外，有關航空、酒店、醫療等行業也赫然在列。該條例確立了個人信息保護方面的一系列權利內容，包括隨時撤回同意權、知情權、更正權、擦除權（也稱為被遺忘權）、限制權、攜帶權、訪問權等。對此，歐盟還建立了一套嚴格的執法機制，詳細規定了監管機構的調查權和處罰權。事實上，歐盟的數據保護執法距離中國企業並不遙遠。由於該條例不再堅守屬地原則，而是採用了類似于美國長臂管轄的執法模式，將執法邊界延伸到了所有收集和處理歐盟個人信息的企業，因此對中國企業來説，無論是有意進軍歐洲市場還是與歐洲企業開展業務往來，都應當儘快開展數據合規工作，把企業數據合規業務與個人信息保護緊密銜接起來。

　　需要強調的是，在利益驅使下，當前一些企業漠視法律，隨意收集、非法獲取、擅自使用甚至洩露、濫用個人信息的現象仍比較突出，嚴格監管、嚴格執法正被各類數據主體寄予厚望。這些年來我國已經逐步建立起企業數據合規和個人信息保護的法律規則體系，其中不乏民法、經濟法、行政法、刑法等部門法的深度介入，由此形成了一套具有可操作性的數據違法責任追究機制。

　　對於企業而言，數據合規業務仍處在探索階段，尚未形成行之有效的成熟的法律服務體系，但不斷出現的數據糾紛與司法判例無疑具有警示和促進作用。只有提高數據風險防範意識，深刻認識數據保護的國際立法趨勢，並採取切實有效的數據保護措施，平衡好企業數據權益與個人信息保護的關係，企業才能防患于未然，在國內外數據市場避免陷入各類糾紛與麻煩。

　　從未來立法趨勢看，本屆全國人大常委會已將制定《個人信息保護法》和《數據安全法》列入了立法規劃的第一類項目，企業數據合規與個人信息保護仍然期待專門性立法的持續跟進，為數據主體提供更加全面而細緻的保護標準，以適應數字經濟時代多樣化、批量化的跨境數據流動，為世界提供數據法治化的“中國智慧”。（作者為中國社會科學院法學研究所研究員）