〔摘 要〕 随着数字经济的快速发展，个人数据商业化利用过程中的纠纷大量涌现，相关的法律问题亦愈发突出。以相关纠纷所涉内核为标准，其中的利益冲突大致可分为三类，即数据开发利用方与用户之间的利益冲突、数据开发利用方之间的利益冲突及数据开发利用方利益与国家利益、社会公共利益之间的冲突。这三个维度的审视揭示出个人数据法律规制的核心与面向，但现有制度进路仍难以充分、全面、恰当地化解相关利益冲突。以明晰个人数据基本内涵为前提，个人数据的商业化利用原则应当考虑在开发过程中产业链条各方主体所发挥的作用与价值贡献，并在现有法律框架的基础上形成个人数据保护的理论进路。

〔关键词〕 个人数据; 数据权益; 数据赋权; 商业化利用

互联网技术的进步使得数据愈发成为重要的生产资料，以数据处理为核心的数据商业化利用正不断地为市场注入新的活力。数据俨然已经成为一类重要的资源，个人数据是数据资源的关键内容之一，探索如何建构个人数据的利用秩序已经成为数字经济发展面临的重要课题。在此之中，基于个人数据无与伦比的价值性及其与生俱来的财产和人格双重属性，相关的商业化利用纠纷更为复杂与突出。围绕着个人数据商业化利用这一命题，制度的建构任重道远。2020 年 4 月 9 日，国务院发布《中共中央国务院关于构建更加完善的要素市场化配置体制机制的意见》( 以下简称《意见》) ，明确将数据资源作为五大要素之一，并为我国数据产业的发展指明了方向。《意见》明确提出: “加强对政务数据、企业商业秘密和个人数据的保护。”由此可见，与个人数据相关的制度建构已经成为现阶段立法者所肩负的一个重要任务。任何社会问题的治理都是全面而复杂的工程，尤其是在面对新问题、新挑战时，我们更加需要以宏观的视角对基本方向予以把握，从个人数据商业化利用纠纷入手，通过分析纠纷背后的利益冲突，提出框架性的解决方案，以期对纠纷的化解与制度的建构有所助益。

数据分析技术的快速发展和移动终端的迅速普及，使得不同主体产生的各种形式的数据被不间断地收集、处理与使用，我们的社会已跨入了数字经济时代。依据数据来源是否与个人相关为划分标准，可将数据分为两大类: 个人数据与非个人数据。这种分类以自然人为核心，以数据的“可识别性”( identifiable) 为基础。也就是说，如依单独信息或者结合其他信息就可以定位到某特定主体，则该数据应当认定为个人数据，反之，则应为非个人数据。当然，简单以“可识别性”作为判断个人数据之关键要素在实践中存在障碍。首先，应当区别直接识别和间接识别，也就是说通过具体信息直接确认数据主体还是结合其他信息方能确认数据主体。事实上，在现实的数据应用场景中，所有数据都存在与其他数据相结合进而识别出数据主体的可能，即使通过“匿名化”手段也无法真正解决，所以数据永远不能处于个人数据保护法律的范围之外。 从现实效果来看，也使得“可识别性”这一标准在实际应用过程中被泛化。其次，“可识别性”是否基于具体的场景实现存在比较强烈的不确定性。而就算有关数据具有可识别性，是否就直接会与人格权益产生高度关联呢? 以该性质作为定义个人数据的标准在实践中是较为含混的，个人数据在不同角度下呈现出不同的特质，同一个人数据样本在多种场景下也会有不相一致的表现。正如有学者所指出的，脱离具体场景谈论隐私保护或个人信息保护，不但无法为相关权益提供有效保护，还有可能引发过度保护或保护不足的弊端。但目前来看，相关的场景是很难穷尽的，且随着社会的发展会不断演化出新的场景; 因而通过部分列举加归纳总结的方式或许可作为相关问题的解决途径。

在此，本文尝试对个人数据这一概念给予初步界定，即: 个人数据是指能够识别到特定个人的数据，此处之识别包括直接识别与间接识别，同时相应数据在具体的情境下能够与数据主体人格权益产生紧密关联，包括但不限于主体的姓名、性别、出生日期、身份信息、职业信息、家庭住址、联系方式、经济收入和资产状况、医疗健康、消费习惯、识别生物特征及其他信息。在 2021 年 4 月审议的《个人信息保护法( 草案) 》中，也把是否已识别或可识别作为标准来对个人信息进行区分，但不包括匿名化处理后的信息。

个人数据的商业化利用行为是指个人数据的利用方基于商业目的从个人数据中通过数据分析创造价值、实现价值的过程，其核心包括收集、处理与使用三个环节。个人数据的收集，是指数据利用方获取数据主体个人信息资料的行为，是个人数据商业化利用的首要步骤。虽然现今此种行为较为通常，但并不意味着任何面向特定主体信息的收集行为都可落入其范围。具体而言，该行为应当具备两个要点: 首先在主观上，数据利用方具备利用数据之目的; 其次在行为上，数据利用方依靠其所掌握的技术主动收集个人数据。个人数据的处理，应作狭义解释，是以使用相关数据为目标，进行了一系列的其他的辅助步骤。概言之，可包括个人信息的录入、存储、 编辑、更正、搜索、传输、删除等具体环节，其中“匿名化”与“去标识化”是处理过程中备受瞩目的环节。个人数据的使用是大数据商业化利用过程的重要一环，是指数据利用方将其收集到的、经过处理的个人数据投入实际使用或进行数据分析，并依照分析结果以期发挥指引作用、实现利用效果的过程。个人数据的使用是目前数据商业化利用过程中的必经之路，也系收集、处理行为的要旨所在。个人数据的场景广泛引起了种类繁多的数据利用方式，但也必然对规制个人数据利用过程制造更多障碍。

大数据时代的利益，无论是数据主体相关的人格权益与财产权益的保护，还是数据开发中通过利用个人数据所创造的商业价值，都得到社会公众充分的认可，这使得个人数据保护与利用之间的矛盾变得愈发突出与深刻。我国目前尚没有制定专门的个人数据保护法，关于个人数据保护的相关规定散见于其他法律规范中，且保护的法益主要关注于个人数据中的人格权益，未能充分关注个人数据的商业价值。有观点认为，数据的相关权益应通过合同交易规则进行保护。但笔者认为，仅依合同自治无法为交易双方在交易过程中信任缺失问题提供有效解决路径，合同自治也不是交易成本问题解决的根本之道。如果对数据交易轻易采取债权保障或债权交易的方式，相关企业发展中的实际需求和经济结构会遭到严格限制。有些学者希望可以通过为数据赋权的方式来对数据产业投资中所体现的“投资权益”施以绝对权保护。但究竟应如何保护本身存在巨大挑战，具体可从四方面进行分析: 第一，“数据”作为权利客体的基本概念尚存在争议，这主要体现在“数据”与“信息”的界分上。将数据以“物理层”“符号层”与“内容层”进行拆分，通过为“符号层”的数据文件赋权的方法实现数据权利设定。然而，即便是数据文件，其价值与交换价值仍然是由内容层的数据信息或数据本身所决定。第二，数据的价值是在流通中增长和实现的，绝对权赋权的方式极有可能为数据的流动造成阻碍，进而不利于社会利益的最大化。第三，赋以财产权的基础在于促进市场对稀缺资源的合理有效配置，然而数据作为数据产业的物料来说并不必然具有稀缺性。第四，作为数据产业重要组成部分的个人数据面临人身权、财产权双重属性问题，如何协调双重属性需要进行创造性的制度建构。

如上所述，私法中的两条进路都很难使数据的自由流动与个人数据保护达致平衡状态。因此，在确立个人数据保护基本原则的讨论前，应当对个人数据的保护体系进行更深层次的解构，充分考虑数据产业各方之间的角色和定位，平衡个人数据权益保护和数据有序流动、国家数据主权安全与数据产业发展。

(一) 充分尊重用户，保障个人信息权益 

对于个人数据商业化利用中的数据主体来说，大数据本身的“大”体现为两个方面: 其一为单一标签的数据总体量级的“大”; 其次对于单个数据主体来说，也表现为各方面维度数据的“大”。个人数据的利用环节中，个人数据收集的主要形式是通过“知情同意”的规则或者合同授权等方式使数据收集具有合法性，但是在具体应用中，基于对数据主体的差异性与场景的多样性的考虑，企业在这一过程中对待数据主体隐私信息的态度应当有所区别。由于数据主体隐私本身涉及主体主观性极强的信息，因此很难以构建标准的方式进行量化。就商业化利用而言，可以借鉴欧盟在数据处理中的设计结构，为尊重和保护数据主体的隐私，对其个人数据可以通过利用阶段的各个场景来进一步确认。结合我国目前的立法实践，个人数据中人格权益的保护已经起步。2021 年施行的《民法典》以专章的形式明确将“隐私权和个人信息”予以保护，《个人信息保护法( 草案) 》中对于数据主体的权益保护以及处理原则也进行了规定。尽管个人信息权益与个人隐私权利在权利客体上有交错，学界亦就个人信息单独赋权争议不断，但相关立法已经表明了对个人信息中人格权益的关注。在未来的个人信息保护专项立法中，个人信息的基本概念及保护方式将与民法中的“个人信息”相关规定进行有机关联，以实现相关法律规范之间的和谐。同时，对于个人信息的处理需要结合具体场景与产业实践，并充分关注到如未成年人等特殊数据主体，明确相应的利用规则。 

( 二) 充分尊重平台在数据发展中的权益 

对于个人数据商业化利用的整个生态环境来说，流通的数据产生更多的价值，因此，从有利于产业发展的角 度必然要求增加参与者的数量，提升数据流转的总量，亦即，鼓励数据流动是数据价值和数字经济的内在要求。数据与一般的有体物不同，通常在流动的过程中数据量会表现为逐步增长的态势，而这也为数据的开发提供了更多的样本。对于个人数据，其商业价值的产生与扩大是数据各方主体共同作用所致，必然也离不开各数据利用方。对于数据产业发展来说，也离不开数据利用方的投入和贡献，尊重数据要素市场化配置过程中商业平台作为参与者的贡献也是促进数字经济发展的重要方面。

有人将个人数据比作是数字经济时代个人留下的“脚印”，那么数据利用方就是依照这些“脚印”修筑起条条大路的人。在修筑的过程中，开发者以“脚印”为样本，通过样本分析所得到的结果，是指引各项数据产业的“快车”抵达目的地最为快捷、最为合理的路。在这条路上，我们应当尊重留下脚印的“行人”的贡献，因为这些印记提供了有效的实践和样本。他们完全可以选择不留下这些脚印( 个人信息自决权、删除权等) ，并且留下这些脚印还有可能会使他们承担一定的风险。但路的建成须要有能承担“筑路人”角色的数据利用方参与进来，个人也没有能力修筑起构建数据时代的一条条路，正如要求个人承担数据产业发展所必需的服务器和技术是不可能的， 因此就贡献来说，数据利用方也应当就此享有一定的商业利益。目前，从私法保护角度来说，企业数据保护走向财产权化已经成为一种越来越清晰的趋势。这种方式对于企业具有最佳鼓励和刺激作用，使其乐于积极投入技术、资金和人力成本，不断开发新数据技术和方法，不断推出和改进数据产品，进而繁荣数据经济，促进社会经济发展。当然，前提是我们要充分考虑对留下脚印的“行人”的保护方式与边界。因为个人数据样本的分析为数据利用带来无限的可能，同样的数据可能基于算法的不同产生不同的结果，如果一味追求数据的流动性有可能会给现实社会带来系统性风险。所以，须将个人数据中体现的人格权益的保护置于商业开发之前，绝不能无视数据主体而单纯强调个人数据的商业开发。 

(三) 数据的利用应当遵守商业秩序 

完善对于不同开发者之间利益冲突的解决思路，还要考虑“尊重商业秩序与价值共创原则”。该原则体现为数据产业各商业主体在参与数据创新的过程中，应当充分尊重现有的商业秩序，尊重数据利用开发中产业链的各方主体在个人数据商业化过程中贡献的力量。商业主体和数据平台的积极参与是必要基础，而尊重平台所创造的价值，是推动个人数据产业有序稳步发展的一项基本原则，这里的尊重商业利益是指应当肯定数据产业发展中的商业行为的积极作用，同时在对个人数据进行权益保护或赋权的情况下，充分考虑商业主体对于数据发展中必要的和正当的贡献。 

以数据夺取、数据垄断等形式体现的利益冲突为例，笔者建议数据利用方在数据收集和使用过程应当遵守行业实践中逐步形成的、为广大从业者所接受的、不违反公共秩序和善良风俗的商业秩序，应当考虑产业发展现状，进而建立数据利用规则与生态。比如，针对数据夺取行为，互联网搜索行业在实践中逐步形成了以“机器人协议”( “robots 协议”) 为代表的限制爬虫技术滥用的行业准则。在该协议约束下，网站管理人只需要按照协议在网站根目录下创建名为 robots． txt 的文本文件，就可以禁止搜索爬虫收录指定的网页内容。该类商业秩序不仅仅为行业从业者所认可，在司法实务中也有将对 robots 协议的违反认定为不正当竞争的案例。例如，2012年的百度诉奇虎不正当竞争案件中，robots 协议被法院认定为搜索引擎行业内公认的、应当被遵守的商业道德，被告在推出搜索引擎服务的初始阶段没有遵守百度网站的 robots 协议，其行为显属不当，应当承担相应的不利后果。在裁判理由中，法院还详细论述了争议双方在对 robots 协议产生纠纷时应遵循“协商—通知”的处理原则: 即在搜索引擎服务商认为被抓取网站的 robots 协议约定不合理时，应当首先向网站服务商或所有者提出书面修改 robots 协议的请求，网站服务商或所有者拒绝修改其 robots 协议的，应当在合理的期限内以书面形式清晰地写明其拒绝修改的合理理由，如搜索引擎服务商认为网站服务商或所有者举出的理由不成立的，双方可以由相关行业协会调解和裁断，紧急情况下可以采取诸如提起诉讼、申请行为保全等法律措施予以解决。

（四) 设立个人数据监管机构与行业自治组织 

基于个人数据商业化利用过程中矛盾冲突的复杂性及其呈现形式的多样性，为配合现有相关法律规定及之后个人数据专门立法的实施，个人数据保护专门机构的设立是应对并有效解决现有问题的一个重要环节。一方面，个人数据保护专门机构的设立能够更好地实现对个人数据的全面管理、流程管理; 另一方面，相关专门机构的设立使得个人数据相关行政责任清晰化，进而解决了行政机关责任推诿或多重执法的隐忧。个人数据保护机构的具体职责应当包括监督、管理与宣传指导三个方面。就监督而言，专门的个人数据监管机构负有责任监督个人数据保护法律规范的实施与执行。在这里，个人数据保护法律规范不仅指专门的个人数据保护立法和数据安全领域立法，还应包括散见于《民法典》《网络安全法》等法律、行政法规中的个人数据( 个人信息) 保护规定。就管理而言，个人数据监管机构应当负有接受相关投诉、调查、处理相关违法活动的职责。就宣传教育而言，个人数据保护机构负有开展个人数据保护宣传培训、接受相关问询的责任。同时建立专门的个人数据监管机构也有助于国际间的交流与协作，比如在数据安全、数据跨境流动以及数据应用上形成共识并建立相应标准等具体问题也是一个全球共同的重要课题，因此设立专门的个人数据监管部门也是非常有必要的。 

当然，仅凭政府层面设立的专门机构仍难以全面地化解个人数据商业化利用中多维度的矛盾冲突。可以预见，层出不穷、变幻莫测的相关行为将会为个人数据相关执法制造多重障碍。因此，建立行业自治组织同样显得尤为必要。一方面，对于既有的个人数据保护法律规范不可及的相关行为，通过行业自律组织能够在一定程度上调和、缓解相关利益主体之间的矛盾。另一方面，行业自律组织所达成的相关行业规范、行业标准可以作为个人数据保护机构执法的参考，甚至在有些时候可以佐证相关商业道德与行业惯例，进而对行为正当性的认定产生影响。因为对于个人数据利用的场景是一个动态的过程，通过行业组织能够更好地推动形成行业间达成共识，通过行业间的自治自律达到有序促进数据产业发展的目的。

(五) 建立数据追溯和共享机制 

保护企业数据权益应当以促进数据共享为目标，企业数据的合理保护应当有利于促进数据共享。对于数据产业发展来说，催生新价值的关键在于各方主体之间的数据流动，不能流动的数据是会丧失其价值的。如果产业链中的每一个节点都拒绝分享数据，那么必然会出现“数据孤岛”，导致整个数据产业的发展动力不足。加强数据有序流动是行业发展所必需，而数据流动必然会形成一个上下游数据链条。由于利用场景的不断变化，产业链上下游的角色也随之产生动态变化，下游获取的数据会促进新数据的产生，而新的数据又会在新的交易链条中形成上游的基础数据。在尊重数据利用基本原则和商业秩序的基础上，构建一个数据交换和数据访问的机制，提交换和访问数据程序的便捷度和自动化的程度，不仅有利于促进产业间的数据合作和科技创新，对数据交易的有序开展也具有保障作用，进而也有利于提升数据市场的良性发展活力，使得数据利用方免于处在数据是否清洁的不安定状态。 

对于个人数据的商业化利用过程来说，应充分肯定商业主体的创新和自治能力，商业主体之间设定的机制能够有效地调节数据流转过程中出现的问题。一方面通过加强数据交换和数据访问，为数据产业的上下游提供高质量的数据，解决很多企业产业发展过程中面临的“冷启动”的问题; 另一方面各方主体的充分参与是追溯和共享机制建立的必然要求，这样能够为行业自律规范的形成提供更好的生长土壤，同时，也对企业之间更好地开展数据安全合规和个人信息保护实践发挥指引作用，进而达到数据产业的动态平衡。另外，建立上述数据追溯和共享机制，可以保障个人信息在商业化利用过程中的数据安全，并在发生数据泄露事件后及时追溯信息泄露源头，以落实各参与主体相应的保护责任。 

(六) 建立合理的数据管辖标准 

数据管辖标准的设立不仅仅是一个关涉商业主体利益与公共利益平衡的问题，它更与国家安全以及国家战略息息相关。诚如有学者所指出，如果过去个人数据保护被上升为国际问题是基于人权保护理由的话，那么数据的资源性所导致的与国家经济和政治安全的勾连又成为国家争夺国际话语权的重要理由。有赖于互联网产业几十年来的迅猛发展及巨大的人口红利，我国已经逐渐跻身数据大国行列。因此，在数据跨境移转问题上我们应当形成得到国际认可的管辖规则，在数据尤其是个人数据管辖标准的确定上亦要格外慎重。

理想的个人数据管辖标准是属人主义，即依照数据主体国籍国来确认相关纠纷的管辖。但这一标准存在实践上的困难，一方面对于某些个人数据难以确定主体的国籍，另一方面以批量个人数据为对象的纠纷中相关数据主体的国籍国很可能是多样化的，进而难以执行统一标准。除此之外，属地主义也是一种具有讨论价值的构想，即以存储数据之服务器所在地作为划分相关纠纷管辖权之标准。但基于价格、带宽、安全性等方面的考虑，有很多企业租用境外服务器以存储、处理相关数据。属地原则之下，基于这些数据产生的相关纠纷将无法诉诸我国法律解决。此外，随着云存储技术的发展，数据存储去中心化的趋势也使我们愈发难以确认数据所在地。最后，以数据利用方国籍国为管辖标准似乎能够解决执行与政策上的问题，但这种管辖标准势必在一些数据产业相对欠发达的国家或地区受到极大的阻力。基于上述分析，个人数据的管辖标准不宜简单采某一特定标准。可综合考量各个标准，以属人主义为基础，在其执行时结合属地主义与数据利用方国籍国等标准进行评估，确定最密切联系地，以妥当地化解相关冲突。

个人数据的商业利用是一个宏观的概念，也是一个极为复杂的过程。从本质上讲，所涉利益主体的多元性与具体利益呈现形式的复杂性是造成个人数据制度建构困难的真正原因。一方面数据利用的范围随着技术的不断发展而不断扩展，另一方面利用场景的不断丰富，使得原有的保护内容被赋予新的内容。传统的私法进路对于权利设置存在阻碍，无法有效平衡不同主体之间的利益冲突，而通过行为立法又不免挂一漏万。所以数据治理，特别是个人数据治理必然走向社会共治，其中数据主体、数据产业链条上各方的参与者，以及监管部门和行业自治组织都需要在其中积极发挥作用。在社会共治的框架中，通过对个人信息采取专项立法，设立核心的法律框架将处于基础性的地位，在此之上，数据追溯与共享制度、涉及数据相关的各项国家标准、企业间的数据自律公约等又将会是重要的组成部分。

数字经济时代，对于个人数据治理应当具有“同理心”。对于数据主体来说，如希望通过丰富的应用场景获得生活和学习上的便利，势必需要让渡部分权利并为数据企业提供相应的授权，但同时我们也应当充分保障数据主体的知情权，并应当给数据主体选择是否接受相应应用场景的选择权和在选择应用场景后撤回的权利。对于数据利用方来说，获得数据主体的授权后，应当在利用的各个环节加以规范。同时对于个人数据不应“一刀切”，分级分类的数据利用规则，将会使产业链中的各方主体通过合理正当的场景来进行个人数据的商业利用。对于国家以及各政府部门来说，有序的数据治理规则，也是国际治理体系的重要部分，各个国家和地区之间只有秉持 “同理心”的共商共建，才会更好地实现全球数据治理的目标。