《我国大数据交易立法性文件及问题分析》8000字

我国大数据交易立法性文件及问题分析综述1.1我国大数据交易立法性文件梳理表3-1我国关于大数据交易的主要法律、行政法规和部门规章我国关于大数据交易的主要法律、行政法规和部门规章法律名称重要内容《刑法》数据收集（第219、285、286条）《民法典》个人信息定义（第1034条）、数据保护原则（1035条）、数据主体权利义务（第1030、1036-1038条）《消费者权益保护法》数据收集、使用（第29条第1、2款）《网络安全法》数据收集、使用（第40-44条）；数据交易的客体（第22、37、41-45、64、67条）；数据收集原则；数据流动（第12条）《电子商务法》数据流动原则（第69条）《全国人大常委会关于加强网络信息保护的决定》数据收集、使用（第1-3条）《个人信息保护法（草案）》处理原则（第5-9条），国家机关处理个人信息原则、程序、条件（第二章第三节、第34、36条）数据主体权利（第四章）、数据交易主体（第17条）、监管机构（第56条）《数据安全法（草案）》数据交易主体、数据交易客体、数据安全行政法规名称重要内容《国务院关于印发<促进大数据发展行动刚要>的通知》数据交易平台的权利义务《互联网信息服务管理办法》互联网数据规范、交易客体、交易安全《中华人民共和国电信条例》交易客体《征信管理条例》征信数据收集客体范围《地图管理条例》交易客体《中国人民银行金融消费者权益保护实施办法》交易客体、相关主体权利义务续表3-1我国关于大数据交易的主要法律、行政法规和部门规章《网络安全审查办法》数据交易相关主体权利义务部门规章名称发布时间制定机构重要内容《互联网安全保护技术措施规定》2005年公安部交易安全《电信和互联网用户个人信息保护规定》2013年工业和信息化部数据收集原则《数据安全管理办法（征求意见稿）》2019年国家互联网信息办公室数据收集具体规则、数据处理使用规则、数据交易主体权利义务、数据安全《APP违法违规收集使用个人信息行为认定方法》2019年国家互联网信息办公室、工业和信息化部办公厅、公安部办公厅、国家市场监督管理总局办公厅数据收集原则《儿童个人信息网络保护规定》2019年国家互联网信息办公室收集原则、数据主体权利基于上述梳理（表3-1）不难发现我国数据相关的基础性法律框架雏形初现。虽然目前我国法律层面尚未对数据交易进行单独立法，但是通过2020年正式颁布的《民法典》，进入征求意见环节的个保法草案和数安法草案，结合2017年生效的《网络安全法》可见我国数据相关基础性法律架构雏形逐渐清晰。但是这些法律文件大都着眼于个人数据保护，包括个人数据主体权利、个人数据收集原则和个人数据安全等。结合国家大数据战略的目标——数据将作为生产要素之一，参与市场交易，在市场上流动，并由市场决定数据的价值，可以发现当前的法律法规对数据要素参与市场分配的规则不清晰，无法解决数据的确权、可流动性、价值衡量问题。从内容上来看，我国法律、行政法规和部门规章对数据主体、数据控制者、数据处理者等数据法律关系的主体权利义务进行了原则性的规制；对数据收集、使用、共享等数据流动过程也进行了原则性的规制；也对金融数据、互联网数据、公共数据、儿童数据等多种数据应用场景进行了区分。但是，较为普遍的问题是缺少对基础概念的界定。无论是数据法律关系中的主体相关概念如数据主体、数据控制者等，还是客体相关概念如金融数据、互联网数据等均无法在法律文件中找到明确定义。1.2我国大数据交易立法性文件的问题尽管大数据交易立法工作得到推进，尤其是近几年，我国对数据安全和隐私信息保护的重视程度不断加深，但仍存在不足之处。1.2.1整体问题第一，立法理念滞后于实践。一方面，通过立法沿革的梳理可以看到，我国数据相关的立法仍坚持实践成熟再立法的立法理念。但是面对技术的日新月异和侵犯个人、社会、国家利益事件频发的现状，法律和监管层面并不能即时回应现实的需求。因此，理论和实践完善后再立法的立法理念需要转变。另一方面，产生于工业社会时代的背景下的事后救济的理念和方式在当前网络社会的背景下受到了很大的挑战，事前监管的立法理念需要加强。第二，数据交易治理顶层设计缺失。从我国立法实践来看，目前关于数据交易的立法分散在法律、行政法规、部门规章等各类法律文件中。实践中专项行动为主的“运动式”执法方式虽然可以在短期内能解决数据市场监管面临的急迫问题，但具有被动性和功利性的弱点，也将大数据公司置于不确定的行政监管和刑事风险中，因此我国亟待构建一套数据治理模式。第三，数据交易核心法律缺位。我国大数据交易实践数据产权难以划分、数据交易定价机制不健全、数据质量不佳等现状逐渐成为限制数据流动和价值挖掘的障碍，通过梳理可以将实践中的问题总结为三个方面——交易安全、数据产权和平台自身。实践中大数据交易相关主体基本都是根据自身特点探索各自的交易制度、规则、数据质量标准、定价标准等。由于不同主体的利益存在现实的冲突，这些根据自身特点制定的规则和标准也不可避免的存在冲突，这在一定程度上限制了数据交易市场的健康运行。国家层面法律基础的缺位，使其本应该发挥的平衡国家、企业和个人利益需求的功能没能充分发挥，这不仅让大数据企业的创新受到限制，比如针对“数据公司能否根据自身业务沉淀的用户数据进行消费者画像并对处理后的数据享有权利以及享有何种权利”的问题，我国尚无法律依据。同时，由于数据泄露具有不可逆转性等特征，法律缺位也将上述三方利益长期置于不确定的风险中。第四，国家层面数据监管部门未建立。目前中央层面尚未设立专门的数据管理部门，各行业主管部门在其行政职权范围内分别治理。各地出台的数据条例中，也存在类似问题。有的地方规定由数据资源主管部门确定数据标准，有的是要数据部门会同其他部门推动建立地方标准体系，有的是网信部门制定标准，还有的是要数据要素市场主体自己定标准。从实践发展来看，标准不一致，数据质量参差不齐等问题限制了数据的流动和数据价值的进一步挖掘，数据安全也因此受到严峻的威胁。1.2.2我国当前大数据交易法律体系结构分析现有的数据相关的法律文件以部门工作文件和部门规范性文件为主，法律和行政法规主要是原则性的规定，重复率高且可执行性较低。比如，法律要求对于收集、使用、加工和传输个人信息要“合法”，“不得非法”，“遵守国家有关规定”等等但是却没有一部法律来明确规定需要遵守的“法”和“国家有关规定”。这些法律之间相互循环引用但是没有为个人信息保护提供明确的法律基础。再如，我国《民法典》、《刑法》、《电子商务法》等法律中均提出对个人数据收集需要遵循同意原则，这一同意机制属于吸收借鉴欧盟GDPR的成果，但是与欧盟为保障同意的落实制定的配套规则和惩罚机制不同，我国的“同意”实际上只是一种形式上的同意，并不能为个人同意的权利提供实际的保护。目前，具体标准的立法效力层级较低，国家层面规范以部门规范性文件和工作文件为主。多头立法，单独制定的较多，联合制定的较少，规章之间的协同性较差。监管职权被多次分割后职能分散，各部门之间监管边界不清。在缺少统一的顶层设计的领导的背景下，多头监管和监管空白并存，内部冲突不断，难以形成数据监管合力。大量效力级别较低的规范性文件在制定过程中缺少违法性审查环节导致的法律规范之间存在冲突，不乏下位法违反上位法的情况。1.2.3我国当前大数据交易法律体系的内容分析从上述梳理可以看出我国对数据交易的有关规制在各个法律效力层级中都有体现。其中，关注数据收集原则和数据交易客体的最多，而对数据交易法律关系的主体的权利义务和救济关注是相对较少。1.2.3.1数据交易主体目前法律对数据交易主体的关注相对较少，且大都是原则性条款。正如前文对于数据交易法律关系的梳理中所分析，数据交易法律关系中的主体主要包括数据主体和数据流动环节中涉及的各类主体。我国现行法律尚未对数据主体概念作出明确规定，但是依据如《信息安全技术个人信息安全规范》（下文简称：《个人信息安全规范》）第3.3条等国家标准和指导性文件形成了关于数据主体的通说，即通过个人数据可识别或者已识别的自然人。对于数据主体权利的内容和救济规范，《民法典》第1035条第1款和第1037条，《网络安全法》第43条，《全国人大常委会关于加强网络信息保护的决定》第2条，《信息安全技术公共及商用服务信息系统个人信息保护指南》第4.2条、第5.3.6条和第5.2.3条的规定，《个人信息安全规范》第3.6条、第3.7条、第5.4条和第5.6条对数据主体的权利进行了规范赋予数据主体知情同意权等相关权利REF_Ref71937038\r\h[17]。作为我国个人信息保护领域第一部普适性、综合性的立法，2020年10月21日正式对外公布了《个人信息保护法（草案）》（下文简称：个保法）明确了个人具有知情权、决定权、查阅复制权、更正补充权、删除权等权利，并对基于个人同意以外合法处理个人信息的情形作了规定。而《民法典》第1038条第2款、《网络安全法》、《电子商务法》和《消费者权益保护法》等也为权利救济提供了法律依据，但是这些分散的立法并没有明确义务主体。同时，对数据流动中涉及的控制者、处理者

民法典第四编第六章“隐私权和个人信息保护”中提到了信息收集者、信息控制者的概念。等主体概念的界定普遍采取了回避的态度（表3-2）。这种在规定中模糊处理或者不进行明确界定的现状使法律规范的可操作性受到限制，不仅仅为市场实践主体带来更多的不确定性威胁，也给司法人员造成了适用法律的问题。网络安全法中网络运营者、国家机关政务网站的运营者、关键信息基础设施运营者等概念的权利义务进行了不同的规定，但是并未对这些定义的含义进行界定，这给司法适用造成了障碍和不确定性。而且，网络运营者和数据控制者、处理者的概念是否能够等同，三者之间是包含、平行还是交叉关系也尚无定论REF_Ref71937616\r\h[18]。

民法典第四编第六章“隐私权和个人信息保护”中提到了信息收集者、信息控制者的概念。表3-2国家层面涉及“数据控制者和处理者”概念的规则文本梳理国家层面涉及“数据控制者和处理者”概念的规则文本梳理法律文件名称概念权利义务《民法典》个人信息处理者（无定义）第1038条《个人信息保护法（草案）》个人信息处理者（第69条）第4-10条、第二章、第三章、第五章、第七章《网络安全法》网络运营者（第9、76条）第21、24-28、40、41、43、59条网络产品或服务的提供者（第10条）第22条关键信息基础设施运营者(无定义)第34-38条电子信息发送服务提供者(无定义)第48条应用软件下载服务提供者(无定义)《个人信息安全规范》个人信息控制者（第3条）第4-11条1.2.3.2数据交易客体在数据交易的交易客体规范方面，从数据类型来看，法律法规关注的数据交易客体范围主要包括个人数据，国家安全数据，征信数据，地理数据，政府数据，医疗数据和金融数据等方面。根据前文大数据交易实践中数据收集来源的分析，我们可以将这些不同类型的数据总结为三类——政府数据、企业数据和个人数据。表3-3国家层面政府数据开放政策和法律梳理国家层面政府数据开放政策和法律梳理编号名称发布部门2015年促进大数据发展行动纲要国务院2016年政务信息资源共享管理暂行办法国务院2017年《政务信息系统整合共享实施方案》交通运输政务信息资源共享管理办法（试行）交通运输部农业部政务信息资源共享管理暂行办法农业部(已撤销)2018年国家科技资源共享服务平台管理办法科学技术部，财政部科学数据管理办法国务院2019年《中华人民共和国政府信息公开条例（修订版）》国务院2020年《关于构建更加完善的要素市场化配置体制机制的意见》国务院通过对国家级政府数据开放政策和法律文件的梳理可以看到，自2015年以来，我国一直将“政府数据公开”作为重要任务进行推进（表3-3）。政府公共数据是数据市场的重要数据资源，能够将此前分散在不同行政部门的公开数据进行有效整合,不仅可以为公共政策的制定、政府公共服务和管理水平的提升提供更加有价值的依据，也可以为技术创新和商业创新提供必要的数据资源。我国各地政府也在政策的推动下进行了积极探索，如上海市通过地方政府部门规章的形式对包括采集利用、开放共享要求、组织分工、应急管理等内容进行了规定上海市2018年发布《上海市公共数据开放暂行办法》，2019年发布《上海市公共数据和一网通办管理办法》。但是由于我国缺少政府数据统一的法律规定的引导，各地政府数据开放立法中出现了立法“抄袭”和“规定不一”并存的情况。同时，不同政府部门之间数据孤岛的问题仍然长期存在。这些问题已经在客观上限制了政府数据的充分流动和价值挖掘，也对政府建立数据开放的整体法律框架提出了要求。上海市2018年发布《上海市公共数据开放暂行办法》，2019年发布《上海市公共数据和一网通办管理办法》而个人数据和企业数据属于密切相关的两种类型，正如上文对于我国关于个人数据规范的分析，我国当前个人数据的界定标准、权利义务主体、权利范围上尚未明确，权利属性的争论尚未形成通说，而不同的权利属性的定性将对权利的私法救济产生重大的影响。个人数据权利的性质和权利范围的不明朗直接影响了企业数据的主体利益范围以及企业可以交易的客体范围，使企业数据的概念在我国非常模糊。由个人使用设备产生的后台数据归谁所有？目前国内法律没有规定。国际上的趋势是区分数据的类型：能识别个人身份的数据（个人数据）和不能识别个人身份的数据（非个人数据）。在欧盟和其他一些注重隐私保护的国家，对个人数据收集、使用和传输都要遵循严格的要求，非个人数据则相对宽松。特斯拉维权案涉及的就是非个人数据。考虑到大数据时代的基础要素就是数据，如果都由个人掌握绝对的数据所有权，那么数据联网和创新都不可能实现。所以非个人数据一般由企业在后台收集并在合法范围内使用，从消费者角度来看，每日面临的大量的定制式推荐就代表着后台数据已被收集和使用。一种常见的误解是，数据生成设备的所有者（如手机用户或者汽车驾驶员）或设备制造商（如手机制造商或者汽车制造商）可以从法律意义上“拥有”数据。所有权只能由法律确认与提供。然而，当前任何一个国家赋予企业这种数据权利，即不存在“数据所有权”。我国在司法实践中通常采用反不正当竞争法来保护企业的数据利益，这其实模糊了争议焦点。1.2.3.3数据交易安全在当前从传统数据安全的静态保护逐渐向动态保护转变的趋势下，实践中对数据交易客体的规范和对于数据交易安全的规范和是紧密相关的。因此，数据分级分类管理不仅仅是数据收集、使用和处理的客体限制的划分思路，也逐渐成为网络数据安全立法的基本思路，是平衡数据流动需求和数据安全的重要方法。数据分级分类管理的前提是数据标准化，自2017年贵阳大数据交易所正式发布《大数据交易区块链技术应用标准》进行的地方先行实践，我国大数据交易标准相继发布实施，标准体系日趋完善。

表3-4国家级大数据交易相关标准国家级大数据交易相关标准标准名称发布时间发布机构重要内容GB／T37728-2019GB/T37728-2019,信息技术数据交易服务平台通用功能要求[S].GB/T37728-2019,信息技术数据交易服务平台通用功能要求[S].2019年8月30日全国信息技术标准化技术委员会规定了数据交易服务平台的通用功能要求，包括框架及应具备的基本功能和扩展功能GB/T36343-2018GB/T36343-2018,信息技术数据交易服务平台交易数据描述[S].GB/T36343-2018,信息技术数据交易服务平台交易数据描述[S].2018年6月7日数据交易服务平台中有关交易数据描述的相关信息及描述方法GB/T37932-2019GB/T37932-2019,信息安全技术数据交易服务安全要求[S].GB/T37932-2019,信息安全技术数据交易服务安全要求[S].2019年8月30日规定了数据交易供需双方和服务机构的安全要求、交易客体的范围及质量和数据交易不同环节的安全要求通过梳理可以总结出我国当前的数据分级分类制度的总体框架，主要分为三个层面——法律层面、部门规章及规范性文件层面和各级标准层面（表3-4）。在法律层面，尚在制订中的《数据安全法》初步确定了数据分类分级的管理原则，包括：首次将国家确定为数据分类分级制度的主体，强调国家层面需要对我国各类数据的分级分级进行统一规划。从国家、社会、组织和个人四个主体维度确定分类标准，强化对国家秘密、重要数据、企事业及其他组织专有数据及数据竞争权益、个人信息四大数据类型的保护。从重要程度和危害程度确定分级标准，强化规范的分层规制效果。授权地区和部门以数据保护目录机制进行具体管理，强化分级分类的具体指导作用。在部门规章和规范性文件层面，主要发文主体包括证券会、工信部、中央网信办等。分类分级主体一般为数据控制主体，如科学法人单位、证券基金经营机构、工业企业（及工业互联网平台企业）等。涉及科学数据、证券期货业数据、工业数据等数据类型，各领域分类分级标准不完全相同，科学数据侧重考虑保密要求及开放共享程度、金融数据侧重考虑重要性和敏感度、工业数据考虑生产流程及影响程度等。在国家、行业和地区标准层面，目前我国尚未制定数据分级分类的国家标准，但是行业和地区标准却较为丰富。主要标准制订主体包括中国人民银行、证券会、工信部等。相关标准虽然属于指导性质，但在实践中往往代表着监管思路。表3-5我国数据分级分类管理制度相关规范文件梳理我国数据分级分类管理制度相关规范文件梳理规范名称规范性质适用对象规范内容数据安全法（草案）法律全部数据分类原则：主体标准分为四级分级原则：重要程度和危害程度科学数据管理办法国办发〔2018〕17号国务院规范性文件全部数据数据分级分类管理主体：法人建立科学数据中心（第10条）明确数据密级和保密期限、条件、对象和审核程序并公布开放目录（第20条）证券基金经营机构信息技术管理办法中国证券会部门规章证券期货业数据分类分级原则：按经营及客户数据按照重要性和敏感性标准进行差异化管理（第30条）工业数据分类分级指南（试行）工信厅信发〔2020〕6号工信部部门规范性文件工业数据明确分类主体和分类原则：服务运营模式、业务流程和系统设备、行业要求、业务规模、数据复杂程度等（第5-7条）分级原则：数据遭篡改、破坏、泄露或非法利用后对工业生产、经济效益等带来的潜在影响（第8-11条）国家网络安全事件应急预案中网办发文〔2017〕4号中央网信办部门工作文件网络安全事件事件分级：分为四级（第1.4条）网络数据安全标准体系建设指南（征求意见稿）以及电信和互联网行业数据安全标准体系建设指南（征求意见稿）工信部规范性文件全部数据（重点为电信及互联网行业数据）数据分类分级的基本原则、维度、方法、示例等GBT22239-2019GB/T22239-2019,信息安全技术网络安全等级保护基本要求[S].GB/T22239-2019,信息安全技术网络安全等级保护基本要求[S].国家标准全部数据确定第一级到第五级的安全保护等级，其中第三级及以上提出：大数据平台应提供数据分类分级安全管理功能，供大数据应用针对不同类别级别的数据采取不同的安全保护措施。

续表3-5我国数据分级分类管理制度相关规范文件梳理GB/T31167-2014GB/T31167-2014,信息安全技术云计算服务安全指南[S].GB/T31167-2014,信息安全技术云计算服务安全指南[S].国家标准政府信息非涉密政府信息分为敏感信息、公开信息两种类型并进行界定（第6.3条）JR/T0171-2020《个人金融信息保护技术规范》《个人金融信息保护技术规范》中国人民银行金融行业标准个人金融信息数据分级：C3、C2、C1三个类别划分标准：信息遭到未经授权的查看或未经授权的变更后产生的影响和危害JR/T0197-2020《金融数据安全数据安全分级指南》《金融数据安全数据安全分级指南》中国人民银行金融行业标准金融数据数据分级：从高到低分为5级划分标准：金融业机构数据安全遭受破坏后的影响对象和所造成的影响程度JR/T0158-2018《证券期货业数据分类分级指引》《证券期货业数据分类