建立個人數(shù)據(jù)保護利用機制需要新思路

劉維

一、華為騰訊數(shù)據(jù)之爭所折射的法律問題

近日，據(jù)稱華為與騰訊之間就微信數(shù)據(jù)（下文“個人數(shù)據(jù)”和“個人信息”混用，不做細(xì)分）采集的行為產(chǎn)生爭議。華為正在通過其榮耀Magic智能手機收集用戶活動信息，以打造其人工智能，例如使手機能夠基于用戶的短信內(nèi)容或微信聊天信息推薦餐廳等。騰訊認(rèn)為，微信的所有者是騰訊公司，華為的上述做法實際上奪取了騰訊的數(shù)據(jù)，并侵犯了微信用戶的隱私。華為則表示，所有數(shù)據(jù)均屬于用戶，在榮耀Magic設(shè)備上處理數(shù)據(jù)之前經(jīng)過了用戶授權(quán)。1

從上述披露的事實看，這個數(shù)據(jù)法律爭端存在三方主體：作為數(shù)據(jù)主體的用戶、作為數(shù)據(jù)處理者的華為、作為數(shù)據(jù)控制者的騰訊。從表面上看，解決這一爭端需要回答兩個問題：第一，數(shù)據(jù)權(quán)益的歸屬問題，即微信聊天信息的權(quán)益歸屬于上述三方主體中的哪一方？是如華為所稱“所有數(shù)據(jù)均屬于用戶”嗎？第二，數(shù)據(jù)處理者經(jīng)過數(shù)據(jù)主體授權(quán)之后，其數(shù)據(jù)處理行為的合法性如何判斷？“用戶同意”是數(shù)據(jù)處理合規(guī)中的唯一手續(xù)或條件嗎？

仔細(xì)思考，上述兩個問題的解決又牽涉如下問題：第一，我國現(xiàn)行法律法規(guī)對數(shù)據(jù)保護及數(shù)據(jù)利用行為做出了何種規(guī)范？第二，數(shù)據(jù)權(quán)益的性質(zhì)和歸屬究竟為何？是一種類似知識產(chǎn)權(quán)性質(zhì)的權(quán)利嗎？第三，現(xiàn)行法律法規(guī)是否已經(jīng)為數(shù)據(jù)保護利用提供了充足的法律供給？如果沒有，該如何建構(gòu)數(shù)據(jù)保護利用的法律體系？下文將主要圍繞這些問題進行分析、表明個人立場。

二、現(xiàn)行數(shù)據(jù)法律規(guī)范的主要內(nèi)容

所有這些問題的回答，都需要先檢視現(xiàn)行法的規(guī)范。大數(shù)據(jù)是信息社會的石油，隨著數(shù)據(jù)收集分析技術(shù)、精準(zhǔn)廣告等技術(shù)和商業(yè)模式的創(chuàng)新發(fā)展，大數(shù)據(jù)無疑帶來了人類決策、分析、效率上的方便，但同時也帶來的隱私風(fēng)險和數(shù)據(jù)安全挑戰(zhàn)。近年來，我國在數(shù)據(jù)保護利用的法律領(lǐng)域立法活動密集、頻繁，《民法總則》、《消費者權(quán)益保護法》、《全國人大常委會關(guān)于加強網(wǎng)絡(luò)信息保護的決定》、《網(wǎng)絡(luò)安全法》、《刑法修正案（七）（九）》等法律均規(guī)定了個人數(shù)據(jù)的保護和利用條款，《關(guān)于審理利用信息網(wǎng)絡(luò)侵害人身權(quán)益民事糾紛案件適用法律若干問題的規(guī)定》、《關(guān)于辦理電信詐騙等刑事案件適用法律若干問題的意見》、《關(guān)于辦理刑事案件收集提取和審查判斷電子數(shù)據(jù)若干問題的規(guī)定》、《個人信息和重要數(shù)據(jù)出境安全評估辦法》【含《個人信息安全規(guī)范（未發(fā)布）》以及《信息安全技術(shù)數(shù)據(jù)出境安全評估指南（草案）》】、《信息安全技術(shù)公共及商用服務(wù)信息系統(tǒng)個人信息保護指南》等司法解釋、行政法規(guī)、部門規(guī)章、行業(yè)標(biāo)準(zhǔn)中的配套規(guī)范更是星羅棋布。

這些法律規(guī)范歸納起來具有如下幾方面的內(nèi)容：第一，明確了個人信息的界定及與隱私之間的關(guān)系。不同于美國在隱私法框架中規(guī)范個人信息的保護，我國立法者區(qū)分個人信息與隱私，將兩者單獨規(guī)范，個人信息內(nèi)涵的界定是個人信息法律規(guī)范的邏輯起點；第二，明確了個人信息的收集和利用原則。個人信息的收集和利用原則在數(shù)據(jù)保護利用法律體系中具有基礎(chǔ)地位，是創(chuàng)設(shè)具體權(quán)利和具體規(guī)范的源泉，《網(wǎng)絡(luò)安全法》及相關(guān)法律規(guī)范規(guī)定了數(shù)據(jù)合法原則、必要原則、公開原則、安全原則、質(zhì)量原則、同意原則；第三，明確了數(shù)據(jù)主體的被遺忘權(quán)?！毒W(wǎng)絡(luò)安全法》第43條和第64條賦予數(shù)據(jù)主體就違反法律、行政法規(guī)的規(guī)定或者雙方的約定收集、使用其個人信息的行為，請求刪除其個人信息的權(quán)利；就收集、存儲的個人信息錯誤請求更正的權(quán)利。這被認(rèn)為是我國被遺忘權(quán)立法的首次確認(rèn)；第四，違法行為的行政和刑事責(zé)任條款。《網(wǎng)絡(luò)安全法》第64條針對違反上述規(guī)范的行為設(shè)定了行政處罰，《刑法修正案（七）、（九）》規(guī)定了侵犯公民個人信息罪和拒不履行網(wǎng)絡(luò)安全管理義務(wù)罪，提高了個人信息保護規(guī)范的震懾力。

三、現(xiàn)行數(shù)據(jù)法律規(guī)范的不足及可能對策

我國現(xiàn)行法律法規(guī)沒有明確個人數(shù)據(jù)權(quán)益的法律性質(zhì)，更未詳細(xì)規(guī)范數(shù)據(jù)主體、數(shù)據(jù)控制者和數(shù)據(jù)處理者之間的法律關(guān)系，因而相關(guān)主體在數(shù)據(jù)利用和流通過程中應(yīng)當(dāng)遵循的規(guī)則及其限制例外均處于模糊狀態(tài)。在上述所有的問題中，個人數(shù)據(jù)權(quán)益的法律性質(zhì)是分析數(shù)據(jù)處理相關(guān)方之間法律關(guān)系以及建構(gòu)數(shù)據(jù)保護利用法律體系的邏輯起點，性質(zhì)不明則關(guān)系不清，體系更無從搭建。無論英美法系國家還是大陸法系國家，個人信息的保護均旨在保護人格尊嚴(yán)和人格自由，同時承認(rèn)個人信息的財產(chǎn)價值。囿于各國法律發(fā)展的歷史，美國、日本和我國臺灣地區(qū)在隱私權(quán)框架中發(fā)展出公開權(quán)對個人信息提供保護（隱私與個人信息的一元制保護模式），同時在司法判例中承認(rèn)人格權(quán)商業(yè)化和財產(chǎn)價值，歐洲以及我國則在一般人格權(quán)的框架下創(chuàng)設(shè)個人信息保護權(quán)（隱私與個人信息的二元制保護模式），我國學(xué)界通說認(rèn)為信息具有財產(chǎn)性。2從功能主義的比較法觀之，各國就個人信息保護的立法模式其實沒有實質(zhì)性差異。

個人信息保護權(quán)提供自然人對自身可識別性數(shù)據(jù)的保護，其規(guī)則的建立需要在促進數(shù)據(jù)利用和保護個人權(quán)益之間尋求平衡。個人數(shù)據(jù)不是智力成果，不是由數(shù)據(jù)主體創(chuàng)設(shè)出來的，不能以知識財產(chǎn)規(guī)則的創(chuàng)設(shè)邏輯類推至個人數(shù)據(jù)的保護；個人數(shù)據(jù)是數(shù)據(jù)主體的行動記錄或自然結(jié)果，其作用僅在指示和描述特定個人，在這個意義上數(shù)據(jù)主體對個人數(shù)據(jù)的內(nèi)容擁有某種利益，但并非支配利益。個人數(shù)據(jù)常常是由數(shù)據(jù)控制者創(chuàng)設(shè)或生成，在騰訊開發(fā)微信聊天工具之前，不存在微信聊天記錄——盡管存在以其他方式記錄的相同聊天內(nèi)容，但正是技術(shù)創(chuàng)新的力量，使得以微信這種方式記錄、存儲個人數(shù)據(jù)成為可能，微信聊天記錄一旦毀滅，則其上的個人數(shù)據(jù)亦隨之滅失?？梢?，騰訊是聊天記錄的控制者，對以這種方式存在的個人數(shù)據(jù)享有某種利益。以這種方式存儲的個人數(shù)據(jù)正是大數(shù)據(jù)時代進行數(shù)據(jù)分析和利用的基本元素，這些數(shù)據(jù)分析和利用行為主體是數(shù)據(jù)處理者，數(shù)據(jù)處理者因其在數(shù)據(jù)分析和利用付出的技術(shù)、勞動和智慧而對數(shù)據(jù)處理的結(jié)果享有某種利益。上述三方主體，對個人數(shù)據(jù)或個人數(shù)據(jù)的處理結(jié)果分別享有“某種”利益，這些利益的性質(zhì)、權(quán)屬分配以及調(diào)整平衡就構(gòu)成了個人數(shù)據(jù)保護利用的規(guī)則。

全球數(shù)據(jù)立法源于上世紀(jì)八十年代，傳統(tǒng)思路是以數(shù)據(jù)主體為中心為賦予數(shù)據(jù)主體以控制權(quán)或個人信息權(quán)，對應(yīng)著“數(shù)據(jù)同意”原則的無上地位以彰顯自然人對人格自由和人格尊嚴(yán)的自決。在這一權(quán)利框架下，個人數(shù)據(jù)的處理一定要經(jīng)過數(shù)據(jù)主體的同意，這在全球最為重要的數(shù)據(jù)保護公約OECD（經(jīng)濟合作發(fā)展組織1980《隱私保護和個人數(shù)據(jù)跨境流通指南》）中得到確立，3因而這項權(quán)利實質(zhì)上是一項類似知識產(chǎn)權(quán)的控制權(quán)。我國《消費者權(quán)益保護法》第29條和《網(wǎng)絡(luò)安全法》第41條遵循了這一傳統(tǒng)立法思路。源于數(shù)據(jù)流通、數(shù)據(jù)處理的利益需求，這一經(jīng)典的立法思路自本世紀(jì)以來面臨著很多質(zhì)疑聲音。微軟工作組在對OECD提出修改建議的報告中4詳述了放棄或修正“同意原則”的四大理由，顯然也代表了數(shù)據(jù)保護立法思路正在從側(cè)重“保護”向傾向“利用或流通”轉(zhuǎn)變：數(shù)據(jù)控制者一般都有合法理由收集數(shù)據(jù)；傳感器和信息技術(shù)發(fā)展使未經(jīng)同意的收集活動不斷增加；大數(shù)據(jù)時代產(chǎn)生收集之初未被預(yù)料的更多用途、冗長的格式條款導(dǎo)致數(shù)據(jù)保護責(zé)任被轉(zhuǎn)嫁給數(shù)據(jù)主體。以個人信息保護權(quán)為起點，代表全球最新立法趨勢的《歐洲統(tǒng)一數(shù)據(jù)保護條例》在這些利益的具體化設(shè)計上創(chuàng)設(shè)了訪問權(quán)和便攜權(quán)，以提升數(shù)據(jù)訪問作為建設(shè)歐洲數(shù)據(jù)經(jīng)濟體之重點舉措的政策目標(biāo)?！芭c數(shù)據(jù)訪問（data access）有關(guān)的制度設(shè)計，將成為建設(shè)歐洲數(shù)據(jù)經(jīng)濟的關(guān)鍵”，5歐洲學(xué)者從矯正市場失靈的功能主義路徑出發(fā)論證了創(chuàng)設(shè)數(shù)據(jù)訪問權(quán)而非數(shù)據(jù)生產(chǎn)者權(quán)或數(shù)據(jù)支配權(quán)的正當(dāng)性。6我國《民法總則》第111條改變自《網(wǎng)絡(luò)安全法》和《消費者權(quán)益保護法》相關(guān)條文的措辭，強調(diào)個人信息受到保護，是否意味著立法者對數(shù)據(jù)同意原則的刻意緩和，這令人回味。我國司法嚴(yán)苛審查“用戶同意書”的態(tài)度正表明也表明“數(shù)據(jù)同意原則”面臨現(xiàn)代化的問題：暫且不論該格式合同中對于取得用戶同意收集相關(guān)數(shù)據(jù)信息的方式是否適當(dāng)，從該約定本身亦僅能解讀出用戶通過新浪微博賬號登錄脈脈應(yīng)用時，其在新浪微博上填寫、登記、公布、記錄的信息將被脈脈所收集并使用，但并不能得出脈脈軟件可以直接收集并使用非脈脈用戶的微博信息。7endprint

在數(shù)據(jù)訪問權(quán)和便攜權(quán)的法律框架下，數(shù)據(jù)主體對其個人數(shù)據(jù)享有個人數(shù)據(jù)保護權(quán)，即有權(quán)請求保護其個人數(shù)據(jù)，其性質(zhì)和內(nèi)涵均與支配權(quán)無涉，數(shù)據(jù)主體享有知情權(quán)，有權(quán)知悉個人數(shù)據(jù)是否被處理、被處理的目的和被處理的方式等（所謂“參與權(quán)”），有權(quán)拒絕其個人數(shù)據(jù)的處理以及請求更正、刪除、限制，還享有獲得救濟權(quán)，即受到侵害時得請求救濟；數(shù)據(jù)控制者則在事實上控制個人數(shù)據(jù)，其不僅對個人數(shù)據(jù)享有事實上的控制利益，而且由于數(shù)據(jù)控制者是格式化數(shù)據(jù)的創(chuàng)造者和天然保存者，為了鼓勵數(shù)據(jù)控制者的創(chuàng)新付出，法律上賦予其特定的法律地位（如天然的、第一順位的數(shù)據(jù)處理者地位）；數(shù)據(jù)處理者是代表數(shù)據(jù)控制者處理個人數(shù)據(jù)的自然人、法人、公共權(quán)力機關(guān)、代理機構(gòu)或其他機構(gòu)，7可以是數(shù)據(jù)控制者，也可能是外包的、具有大數(shù)據(jù)分析能力和技術(shù)的獨立第三方。數(shù)據(jù)控制者和數(shù)據(jù)處理者的數(shù)據(jù)收集、利用或其他數(shù)據(jù)處理行為均無需經(jīng)過數(shù)據(jù)主體的同意（盡管數(shù)據(jù)主體享有知情權(quán)），但法律對數(shù)據(jù)控制者和數(shù)據(jù)處理者均課以更沉重的合規(guī)義務(wù)，需事先開展數(shù)據(jù)處理風(fēng)險評估并建立數(shù)據(jù)風(fēng)險內(nèi)控機制。

作為數(shù)據(jù)訪問權(quán)機制的關(guān)鍵一環(huán)，由于數(shù)據(jù)控制者在事實上控制著數(shù)據(jù)，并且常常在相關(guān)服務(wù)或技術(shù)市場處于市場支配地位，這非常容易導(dǎo)致競爭法上的壟斷問題，從而產(chǎn)生市場失靈的效果，目前大多數(shù)因數(shù)據(jù)利用行為在數(shù)據(jù)控制者和數(shù)據(jù)處理者之間的產(chǎn)生爭議，都涉及到數(shù)據(jù)控制者的壟斷問題。比如最近在美國發(fā)生的hiQ與領(lǐng)英之間的數(shù)據(jù)爭議，前者是一家為客戶提供雇員評估服務(wù)的公司，其服務(wù)基礎(chǔ)是對市場上公開獲取的數(shù)據(jù)進行統(tǒng)計分析，主要依托于職業(yè)社交網(wǎng)站領(lǐng)英的公開數(shù)據(jù)。2017年5月，領(lǐng)英要求hiQ停止非授權(quán)性抓取數(shù)據(jù)并通過技術(shù)手段阻止hiQ抓取相關(guān)數(shù)據(jù)。hiQ認(rèn)為領(lǐng)英構(gòu)成不正當(dāng)商業(yè)行為并請求法院發(fā)布臨時禁令。法院在審查領(lǐng)英是否存在不可挽回的損害時（作為臨時禁令的四個條件之一），9認(rèn)為現(xiàn)有證據(jù)表明領(lǐng)英正試圖進入數(shù)據(jù)分析市場，可以認(rèn)定其濫用市場地位，不正當(dāng)?shù)貙⑵湓凇奥殬I(yè)社交網(wǎng)絡(luò)服務(wù)市場”的市場力量，傳導(dǎo)到“數(shù)據(jù)分析市場”，以獲得在數(shù)據(jù)分析市場上不正當(dāng)?shù)母偁巸?yōu)勢，而《謝爾曼法》正是要禁止企業(yè)通過傳導(dǎo)其壟斷力量的方式“封鎖競爭或獲得競爭優(yōu)勢，或者摧毀競爭對手?！庇捎陬I(lǐng)英的用戶數(shù)據(jù)仍然向第三方開放，因此其關(guān)于為了保護用戶隱私的抗辯不能成立。10因此，為了鼓勵數(shù)據(jù)分析和數(shù)據(jù)利用行為，避免數(shù)據(jù)控制者利用其事實上控制數(shù)據(jù)的地位壟斷數(shù)據(jù)的利用從而造成數(shù)據(jù)利用市場失靈，數(shù)據(jù)訪問權(quán)制度授予數(shù)據(jù)處理者訪問某些類型數(shù)據(jù)的權(quán)利，訪問權(quán)應(yīng)限于為有資格的主體進行數(shù)據(jù)分析之目的，而無論此分析是在有權(quán)人的公司內(nèi)組織還是外包給獨立的數(shù)據(jù)分析服務(wù)供應(yīng)商。11

四、現(xiàn)行法數(shù)據(jù)收集利用原則的豐富內(nèi)涵

就華為與騰訊之間的數(shù)據(jù)爭端，筆者只能基于目前披露的事實進行分析，且因披露的事實相當(dāng)有限，僅能就華為公司“已經(jīng)取得數(shù)據(jù)主體的授權(quán)”這節(jié)事實進行分析，目的是為了展現(xiàn)數(shù)據(jù)處理者在收集、處理數(shù)據(jù)之前所面臨的復(fù)雜的合規(guī)要求以及需要解決的相應(yīng)問題。顯然，這些問題的提出并非表明筆者對騰訊公司的支持，更不能解讀為對華為公司的質(zhì)問，而僅僅是基于目前有限的事實、對當(dāng)下輕易獲取相關(guān)主體的格式化“同意”聲明所展開的進一步思考。表面上看這些數(shù)據(jù)處理者的數(shù)據(jù)收集利用行為似乎已經(jīng)滿足我國目前數(shù)據(jù)法規(guī)的合規(guī)性要求，但仔細(xì)思考至少還存在如下問題需要查清，表明我國現(xiàn)行法律框架下的數(shù)據(jù)原則的豐富內(nèi)涵。

第一，就數(shù)據(jù)公開原則的遵守而言，《信息安全技術(shù)公共及商用服務(wù)信息系統(tǒng)個人信息保護指南》明確規(guī)定公開告知原則：對個人信息主體要盡到告知、說明和警示的義務(wù)。以明確、易懂和適宜的方式如實向個人信息主體告知處理個人信息的目的、個人信息的收集和使用范圍、個人信息保護措施等信息。那么，數(shù)據(jù)處理者收集數(shù)據(jù)之前是否已經(jīng)明確公開了數(shù)據(jù)收集和利用的特定目的、收集方式和手段、具體內(nèi)容和留存時間、保護措施、處理者的名稱地址聯(lián)系方式、數(shù)據(jù)主體提供數(shù)據(jù)后的可能風(fēng)險、數(shù)據(jù)主體不提供數(shù)據(jù)的后果、數(shù)據(jù)主體的投訴渠道、轉(zhuǎn)移數(shù)據(jù)的轉(zhuǎn)移目的、轉(zhuǎn)移內(nèi)容和范圍等？

第二，就數(shù)據(jù)必要原則的遵守而言，《信息安全技術(shù)公共及商用服務(wù)信息系統(tǒng)個人信息保護指南》（下稱《指南》）規(guī)定只處理與處理目的有關(guān)的最少信息，達到處理目的后，應(yīng)在最短時間內(nèi)刪除個人信息。只收集能夠達到已告知目的的最少信息，不違背收集階段已告知的使用目的，或超出告知范圍對個人信息進行加工，不違背收集階段告知的轉(zhuǎn)移目的，或超出告知的轉(zhuǎn)移范圍轉(zhuǎn)移個人信息，收集階段告知的個人信息使用目的達到后，應(yīng)立即刪除個人信息；如需繼續(xù)處理，要消除其中能夠識別具體個人的內(nèi)容；如需繼續(xù)處理個人敏感信息，要獲得個人信息主體的明示同意。那么，數(shù)據(jù)處理者是否收集了與其提供的服務(wù)無關(guān)的個人信息？是否僅僅處理與收集目的相關(guān)的最少信息并在實現(xiàn)目的之后的最短時間內(nèi)刪除？

第三，就數(shù)據(jù)同意原則的遵守而言，《指南》規(guī)定處理個人信息前要征得個人信息主體的同意，并區(qū)分一般信息和敏感信息分別采取默示同意和明示同意的方式。那么，數(shù)據(jù)處理者是以何種方式取得數(shù)據(jù)主體的同意？明示還是默示？微信聊天信息和手機短信信息可能涉及特殊的敏感信息，處理者針對這些信息的收集利用是否已經(jīng)征得數(shù)據(jù)主體的明示同意？其中可能還涉及未滿16周歲未成年人的微信聊天信息和短信信息，處理者原則上對此信息不得收集，確需收集時是否征得法定監(jiān)護人的明示同意？

第四，就數(shù)據(jù)安全原則的遵守而言，《指南》規(guī)定：采取適當(dāng)?shù)?、與個人信息遭受損害的可能性和嚴(yán)重性相適應(yīng)的管理措施和技術(shù)手段，保護個人信息安全，防止未經(jīng)個人信息管理者授權(quán)的檢索、披露及丟失、泄露、損毀和篡改個人信息。要采取相應(yīng)的管理措施和技術(shù)手段，就需要事先對個人信息遭受損害的可能性和嚴(yán)重性進行評估。本案的數(shù)據(jù)處理者是否建立做了相應(yīng)的內(nèi)控機制？是否采取了相應(yīng)的技術(shù)手段？

第五，就數(shù)據(jù)質(zhì)量原則而言，《指南》規(guī)定：保證處理過程中的個人信息保密、完整、可用，并處于最新狀態(tài)。正是因為數(shù)據(jù)質(zhì)量原則，數(shù)據(jù)主體享有數(shù)據(jù)處理的參與權(quán)，《指南》規(guī)定：發(fā)現(xiàn)其個人信息存在缺陷并要求修改時，個人信息管理者要根據(jù)個人信息主體的要求進行查驗核對，在保證個人信息完整性的前提下，修改或補充相關(guān)信息?！毒W(wǎng)絡(luò)安全法》還規(guī)定了數(shù)據(jù)主體的被遺忘權(quán)；endprint

第六，就數(shù)據(jù)處理者和數(shù)據(jù)控制者之間的關(guān)系而言，數(shù)據(jù)控制者在事實上控制數(shù)據(jù)，在我國缺乏訪問權(quán)或便攜權(quán)機制的背景下，數(shù)據(jù)處理者只能就受保護的個人數(shù)據(jù)處理行為向數(shù)據(jù)控制者取得授權(quán)，或者相互之間達成協(xié)議，不可能徑由數(shù)據(jù)處理者處理用戶數(shù)據(jù)，當(dāng)然個案中也可能存在數(shù)據(jù)控制者利用其數(shù)據(jù)控制事實和即時通訊市場的支配地位，封鎖數(shù)據(jù)分析市場從而導(dǎo)致反壟斷問題，這些問題需要對案件的全部事實和證據(jù)進行審查而得出結(jié)論；

凡此種種的數(shù)據(jù)合規(guī)性問題必須由數(shù)據(jù)處理者開展事先的專項數(shù)據(jù)風(fēng)險評估才能解決，而這種數(shù)據(jù)風(fēng)險評估事項又依賴于內(nèi)部數(shù)據(jù)風(fēng)險控制機制的建立。實際上，這些合規(guī)要求早已在行業(yè)標(biāo)準(zhǔn)和自律規(guī)范中確立，《網(wǎng)絡(luò)安全法》只是將這些合規(guī)要求上升到了法律層面，比如該法第21條明確要求網(wǎng)絡(luò)運營者按照網(wǎng)絡(luò)安全等級保護制度的要求，制定內(nèi)部安全管理制度和操作規(guī)程，確定網(wǎng)絡(luò)安全負(fù)責(zé)人，落實網(wǎng)絡(luò)安全保護責(zé)任。

五、展望

將規(guī)范數(shù)據(jù)保護利用的思路仍然囿于與數(shù)據(jù)有關(guān)的知識產(chǎn)權(quán)、反不正當(dāng)競爭或者反壟斷的視角甚至脫離數(shù)據(jù)保護利用的國際規(guī)則試圖“從零開始”打造全新的財產(chǎn)權(quán)或支配權(quán)體系，不僅已經(jīng)落后于中國立法者的實際立法行動，更遠遠落后于全球數(shù)據(jù)立法的實踐，需要轉(zhuǎn)變思路跟上日新月異的技術(shù)和商業(yè)發(fā)展。有評論認(rèn)為，華為騰訊之間的數(shù)據(jù)之爭打響了中國數(shù)據(jù)法律之爭的第一槍，盡管言過其實，但兩大公司的這一爭端確實為思考中國數(shù)據(jù)保護利用的法律規(guī)則和企業(yè)合規(guī)建設(shè)提供了絕佳的素材。企業(yè)在建立商業(yè)模型時，特別是向終端消費者提供傳感器設(shè)備產(chǎn)品的公司，必須考慮到數(shù)據(jù)保護利用的各種規(guī)則。12

我國《民法總則》和《網(wǎng)絡(luò)安全法》等法律法規(guī)為個人數(shù)據(jù)保護利用的法律規(guī)制已經(jīng)邁出了重要一步，但還遠遠不夠，立法者存在過于重視個人數(shù)據(jù)保護的傾向，因而現(xiàn)行法律法規(guī)都圍繞個人數(shù)據(jù)保護權(quán)展開，個人數(shù)據(jù)保護的目的、個人數(shù)據(jù)權(quán)益性質(zhì)等基本問題還有待澄清明確，個人數(shù)據(jù)保護原則面臨現(xiàn)代化難題，個人數(shù)據(jù)處理相關(guān)方之間的法律關(guān)系有待厘清（從而得以明確數(shù)據(jù)控制者和數(shù)據(jù)處理者的權(quán)利義務(wù)），個人數(shù)據(jù)收集、利用、本土化、跨境傳輸及例外規(guī)則等有待確立，個人數(shù)據(jù)權(quán)益受損的私法請求權(quán)基礎(chǔ)需要進一步廓清和體系化，個人數(shù)據(jù)保護的執(zhí)法機構(gòu)和執(zhí)法機制也有待進一步理順等等。總之，數(shù)據(jù)保護和利用的法律供給是數(shù)字經(jīng)濟發(fā)展以及釋放數(shù)據(jù)紅利的制度保障。數(shù)據(jù)保護利用的國際規(guī)則從上世紀(jì)八十年代制定以來，因數(shù)據(jù)保護利用的需求、技術(shù)和商業(yè)背景等發(fā)生重大改變而處于不斷修訂之中，全球?qū)W術(shù)界針對數(shù)據(jù)權(quán)益性質(zhì)及其歸屬等基礎(chǔ)法律問題的研究還存在較大爭議。在國內(nèi)外法律、技術(shù)和商業(yè)背景下，立足本土、面向全球、側(cè)重規(guī)范數(shù)據(jù)利用——至少數(shù)據(jù)保護和數(shù)據(jù)利用雙管齊下——的統(tǒng)一《個人數(shù)據(jù)保護法》的建立已經(jīng)刻不容緩。endprint