2019年12月20日，在全國人大常委會法工委舉行的第三次記者會上，新聞發言人、全國人大常委會法制工作委員會立法規劃室主任岳仲明介紹，2020年的立法工作計劃已由十三屆全國人大常委會第四十四次委員長會議原則通過，備受關注的《個人信息保護法》和《數據安全法》即將制定。更令人欣喜的是，根據《中國互聯網發展報告（2019）》，2018年中國數字經濟規模達313萬億元，占國內生產總值的比重達34.8%，數字經濟已經成為中國經濟增長的新引擎。

然而，法學界對此缺乏足夠的系統性和跨學科的理論儲備，難以為中國數據立法提供清晰而明確的法律地圖，更難以為中國數字經濟的發展提供強有力的法律支撐。由此，以構建數據法律新秩序為己任的數據法學的研究顯得尤為重要和緊迫，而這正是筆者寫作《數據法學》一書的初心，期待能在這個領域做出些許貢獻。

2016年5月，學者易中天在北大作了一場有關文明的演講，題目為《文明的意志與中華的位置》。在演講中，他談到一個真實的故事：

民國初年，川陜大道是商旅繁忙的重要交通樞紐，但當時陷入了無政府狀態，廣漢路段盜匪四起，殺人越貨，商旅們被嚇得只好繞道而行，于是土匪們也就沒得搶了，也自然沒有了經濟收入。迫于生計，互不來往的各股土匪召開了“經濟工作聯席會議”，會議決定組成土匪聯盟，分段承包川陜大道廣漢段。收了過路費的土匪要給商旅開一張收據，憑這張收據，商旅可以在廣漢路段暢行無阻。其他土匪第一不得重復收費，第二不得改變收費價格，第三必須提供保護，第四還有投訴機制，即如果哪個土匪做不到以上三點，商旅可以向土匪經濟工作聯席會議投訴，然后由其他土匪共同來整治這個不守規矩的土匪。這對商旅和土匪來說都是一個共贏的方案，川陜公路很快恢復了往日的繁榮。

易中天總結說，土匪的這種變化，就是人類從野蠻到文明過渡的縮影。在數據領域，也正在發生同樣的故事：數據黑產、數據泄露及對個人數據的濫用，這叫野蠻；對個人數據權利的充分尊重和數據的分級分類保護，以及數據合法有序的流動、共享、交易，這叫文明。

從這個意義上講，數據法是探索如何建構數據法律新秩序的新學問，是幫助數據領域實現從野蠻走向文明的新地圖。

具體而言，數據法是規范數據領域活動，以數據隱私和數據安全等問題為主要研究對象，具體調整數據關系的法律規范的總稱。

理論上，數據法需要重點解決如下三個核心議題：數據權利保護與數據流動的平衡；數據確權和利益分配機制的實現；國際數據秩序和競爭規則的確立。

核心議題1：數據權利保護與數據流動的平衡

實現數據權利保護與數據流動的平衡是數據法學的首要核心議題。歐盟《通用數據保護條例》（GDPR）的主要立法目的，也正是解決上述兩者的平衡問題。GDPR第1條第1款開宗明義地指出,“本條例旨在確立個人數據處理中的自然人保護和數據自由流通的規范”；緊接著，GDPR第1條第2款強調，“本條例旨在保護自然人的基本權利和自由，尤其是保護個人的數據權利”；而GDPR第1條第3款則確認了平衡的重要性，即“個人數據在歐盟境內的自由流通不得因為在個人數據處理過程中保護自然人而被限制或禁止”。

在我看來，數據流動和利用的前提和基礎是個人數據權利的保護。雖然我國《民法典》第一編“總則”第五章“民事權利”提到了“數據”，第四編“人格權”第六章專門規定了隱私權和個人信息保護，但只是把“數據”和“個人信息”看作“民事權益”，“是否要上升為權利”有待于法律的另行規定。那么，我們為什么要保護個人的數據權利呢？主要基于以下幾個理由：

1.數據黑市、數據泄露及數據濫用等侵犯個人數據權利的情況嚴重

中國消費者協會于2018年發布的《App個人信息泄露情況調查報告》顯示，遇到過個人信息泄露情況的人數占比為852%。侵犯公民個人信息已經逐漸形成了“源頭—中間商—非法使用”的龐大地下黑色產業鏈。除了非法數據利用者，企業“內鬼”、數據中間商也在這條黑色產業鏈中扮演著重要角色。相較于傳統個人身份識別類靜態個人信息，個人活動類動態個人信息的比重開始增加；獲取手段也從誘騙、脫庫向非法爬取數據等方式轉變。

在過去的兩年中，數據隱私和數據安全問題頻發。支付寶年度賬單默認勾選《芝麻服務協議》被質疑侵犯隱私權；百度涉嫌侵害消費者個人信息安全被江蘇省消保委提起公益訴訟；大規模數據泄露事件引發了全民的安全擔憂，包括華住酒店集團近5億條用戶信息被泄露，12306網站470余萬條用戶數據在網絡上被販賣。

與個人信息相關的犯罪也屢見不鮮，如上市公司數據堂涉嫌侵犯公民個人信息罪被查，簡歷大數據公司巧達科技非法交易個人信息達數億條，獵頭搜涉嫌非法交換就業者數據，魔蝎科技、天翼征信涉嫌利用網絡爬蟲技術侵犯個人隱私，拉卡拉征信涉嫌非法緩存公民個人信息，這些都引起社會的廣泛關注。

另外，算法涉及的倫理問題也開始顯現，“同房不同價”等大數據“殺熟”讓相關企業備受爭議，大數據讓“價格歧視”具有了現實可能性；“精準營銷”更是令人膽戰心驚，明明只是在電商平臺上搜索過某商品，新聞資訊類App上卻出現了相同商品的廣告。

2.為數據權利而斗爭的需要

二戰期間，美國總統羅斯福在發表國情咨文演講時提出“免于匱乏的自由”和“免于恐懼的自由”，其關鍵點可以歸納為兩個字“安全”，并且這種“安全”被視為實現基本權利和自由的條件和保證。這個原理在數據法領域也同樣適用。

自由放任的數據市場只是神話，無法形成自生自發的自然秩序。在兩極分化的數據世界里，能力受限的數據主體根本無力對抗作為數據壟斷者的數據控制者和處理者。只有通過國家提供的法律框架，不斷賦予數據主體各種數據權利，數據法律秩序才能實現。如果沒有國家對數據權利的保障，數據黑市的流行將不可避免；如果沒有國家通過法律提供一個“以數據權利為基礎的安全環境”，數據主體將因缺乏控制數據的能力，不可能獲得真正的數據自由。

因此，在個人數據廣受威脅和侵害的人工智能時代，作為數據主體的我們非常有必要為數據權利而斗爭。正如耶林所說的，“世界上一切權利都是經過斗爭而得來的”。數據權利也是如此，斗爭也正是數據法律的生命。為數據權利而斗爭也是數據主體的義務，主張數據權利是道德上自我保護的義務，完全放棄數據權利，是數據世界的道德自殺。

同樣，為數據權利而斗爭對國家的數字經濟發展具有重要意義，“只有每個人都擁有健全有力的法感，國家才會有豐富的力量源泉，才會在國內外具有最可靠的保障。法感就如同整棵大樹的根，如果樹根發揮不了作用，大樹就會在巖石與沙礫中枯死，所有其他一切都會成為泡影。一旦暴風雨來臨，整棵大樹將會被連根拔起。”在數據法領域，數字經濟就是具有“顯而易見的優點”的“樹干”和“數冠”，而數據權利則是“深藏土地不被人看見卻發揮重要作用”的“樹根”。

3.數據權利保護與數據流動從長遠看是正相關關系

中國社科院法學研究所研究員周漢華教授把個人信息保護觀念演變分成了四個階段：傳統的陰私觀念、民法上的隱私觀念、公法上的個人信息保護觀念以及大數據時代的個人數據觀念。

他認為，與私法上的隱私相比，公法上的個人信息的概念更為中性，范圍更大，更多的是要靠政府監管和行政法的保護，強調的是多階段、全過程的保護。大數據時代的個人數據觀念同樣重視信息安全與個人數據的保護，但更突出強調大數據開發、開放、利用與共享，要突出競爭優勢。從這個角度看，數據權利保護與數據流動、經濟發展從本質上說并不沖突，從長遠看應當是正相關關系。

因此，我國數據立法面臨的并不是一個“選邊站”的問題：選擇“個人權利保護”，抑或選擇“數據流動和數字經濟的發展”。其實我們面臨的是一個“平衡”的問題，即在同時選擇兩者的基礎上，決定指針應當稍稍偏向于哪一方，但絕對不能出現天平失衡的問題。

核心議題2：數據確權和利益分配機制的實現

根據得到App《邵恒頭條》節目的介紹，郭毅可教授曾講過這樣一個故事：一家著名的制藥公司曾經以上百萬英鎊的巨資，購買了一個罕見的癌癥患者的數據。這家公司之所以愿意花這么多錢，是因為該患者患有6種癌癥，他的數據在世界上幾乎有獨一無二的價值。

在實踐中，如何實現患者的健康醫療數據可以像房產、股票一樣交易呢？這涉及的是數據市場化和數據資產化等問題。而實現數據市場化和數據資產化的前提條件，是保證數據的流動性；實現數據流動，則需要建構完善的數據法律框架和數據新秩序，首要的正是提供數據確權和利益分配機制。這其實是整個數據產業正在面臨的世紀難題：數據到底屬于誰？數據帶來的收益又應當如何分配？這都亟待數據法從理論上予以解決。

1.政策儲備

對于數據確權和利益分配機制，我國已開始進行政策和法律的儲備，目前重點聚焦在數據要素市場化。2019年，黨的十九屆四中全會最早提出將數據作為市場化生產要素之一，數據首次作為生產要素納入“以按勞分配為主體”的分配制度。2020年，中共中央、國務院印發的《中共中央 國務院關于構建更加完善的要素市場化配置體制機制的意見》進一步指明了“數據”市場化配置體制機制改革的方向，數據正式被認為是與土地、勞動力、資本、技術等傳統要素并列的市場化配置改革的五大基礎生產要素之一，強調了加快培育數據要素市場，推進政府數據開放共享，提升社會數據資源價值，加強數據資源整合和安全保護。理論上，數據安全保護需要由法律設立數據隱私保護制度和安全審查制度，而數據的開放共享則重在建構數據確權和利益分配機制。

另外，這次從中央到地方實現聯動。2020年4月7日，國家發展改革委、中央網信辦聯合發布了《關于推進“上云用數賦智”行動 培育新經濟發展實施方案》；在地方政府層面，4月13日，上海市經信委發布了《上海市促進在線新經濟發展行動方案（2020-2022年）》。

2.已有實踐

我國數據交易的實踐已經先行試錯了。從2015年建立的貴陽大數據交易所開始，到武漢東湖大數據交易中心和上海數據交易中心，再到重慶、杭州、哈爾濱等地，各類大數據交易機構不斷涌現。從企業類型來看，這些大數據交易機構既有政府許可而由國有資本主導的企業，也有政府許可的國有控股混合所有制企業，還有純民營資本的創業公司；從交易模式來看，既有類似于股票交易中心的數據掮客模式（典型的是上海數據交易中心，自身不接觸數據，而只是從交易數據的上下家收取傭金），還有增值式交易模式（典型的是貴陽大數據交易所，先從上家買入數據，再將數據賣給不同的下家，賺取差價）。

同時，政府數據開放的實踐也在進行中。根據復旦大學數字與移動治理實驗室出品的《2019年中國地方政府數據開放報告》，截至2019年上半年，我國已有82個省級、副省級和地級政府上線了數據開放平臺，與2018年報告同期相比，新增了36個地方平臺。其中，4193%的省級行政區、6667%的副省級城市和1855%的地級城市已推出了數據開放平臺，政府數據開放平臺已逐漸成為一個地方數字政府建設的標配。另外，全國開放數據集總量也從2017年的8398個迅速增長到2019年的62801個。開放數據集的容量與2018年報告同期相比，呈現出爆發式增長，一年之內增幅近20倍。

總體而言，由于面臨法律上的巨大困境，我國設立的數十家數據交易中心大多還處于起步階段，政府數據開放也存在法律依據上的缺失，數據要素市場更是遠未形成。

3.現實困境

目前，數據要素市場的發展存在法律上的雙重困境。

首先，以同意機制為基礎的“數據自治”面臨著很大的合法性危機和現實挑戰。《網絡安全法》第42條規定，網絡運營者未經被收集者同意，不得向他人提供個人信息，但經過處理無法識別特定個人且不能復原的除外。由此，同意和匿名化是數據共享和數據交易的兩大合法性基礎。

但隨著5G時代的來臨，我們發現無論是取得用戶同意還是數據匿名化都越來越難以實現：一方面，幾乎所有的家庭設備都會不斷收集數據，面對海量的大數據，企業如何合法合理地獲得用戶的同意將是很大的難題，這不僅需要企業付出極高的合規成本，甚至在技術上也是難以實現的；另一方面，數據匿名化是一種小數據時代的策略，大數據時代的不同數據庫之間的“撞庫”，很容易再次識別出特定個人，從而使得“經過處理無法識別特定個人且不能復原”的合規要求難以實現。

那么，“數據自治”真的沒有價值嗎？是否應當被“事后責任追究機制”所取代？我的答案是否定的。“數據自治”是保證每個人在“數據世界”實現尊嚴、自由、平等的首要條件和法律底線，是實現“數據治理”的前提和基礎。現狀不是否定“同意”機制的理由，相反，我們應當創造實現“數據自治”的“法治環境”和“技術支撐”。

其次，“數據主體客體化”現象嚴重。違法的數據黑產盛行，合法的數據交易中心面臨生存危機；數據爬蟲缺乏法律邊界和倫理底線；同意機制缺乏實效性，并成為數據控制者濫用數據的借口。事實上，“數據主體客體化”現象普遍存在，“數據自由主義”停留在口號階段，數據主體既無財產權，也無人格權。

而改變這種現狀的當務之急是建構數據確權和利益分配機制，具體可以從基于“勤勉獎勵”的所有權理論或使用權理論、商業言論自由理論、知識產權理論以及基于選擇權的數據自治理論去尋求突破路徑。我支持的是數據自治理論。

在我看來，選擇權等數據權利是數字文明社會不可或缺的構成要素，具體闡述如下：數據自治的例外只能由憲法和法律明文規定；數據權利范圍應當通過“概括+列舉”方式實現；數據自治權的實現有賴于完備的配套保護措施的建立；必須改變“要么坐牢，要么沒事”的尷尬局面，從嚴解釋和謙抑適用刑法涉及個人信息犯罪的條款，創新民事訴訟中的“集體”訴訟機制，強化行政處罰，優化行政和解協議等。

4.可能路徑

根據2018年歐盟發布的《關于歐洲企業間數據共享的研究》，未來的數據共享和交易大致有五種形式：

（1）數據貨幣化，即公司與公司之間直接交易；

（2）數據交易市場，如前文談到的上海和貴陽的大數據交易中心；

（3）工業數據平臺，即企業聯盟之間小范圍數據共享；

（4）技術推動者，即出現專門做數據交易平臺的企業，為數據交易提供技術支持；

（5）開放數據策略，如政府開放數據平臺。

當前我國應加快培育數據要素市場。按照得到App《邵恒頭條》節目提出的觀點，區塊鏈作為一種基本生產工具，有可能幫我們更好地解決數據確權和利益分配機制等問題。區塊鏈最主要的優勢是實現數據的完整性，通過分布式賬本記錄數據的來源路徑并且使數據無法篡改，實現數據權利清晰且可交易；另外，通過區塊鏈技術實現查看信息和驗證信息分離，把數據還給數據主體，然后讓數據主體自主決定是否授權給數據處理者或者數據控制者。由于區塊鏈的加密性，只有數據主體本人和付費被授權的數據控制者和處理者才能查看和處理個人數據。

總之，如果區塊鏈技術真能幫我們解決數據確權和利益分配機制等問題，數據資產將大量形成，而以數據共享和數據交易為基礎的數據要素市場將真正出現。

核心議題3：國際數據秩序和競爭規則的確立

由于美國的國家利益至上主義與政治標簽化，再加上新冠疫情的全球肆虐，國際秩序開始陷入地緣政治衰退，隨之而來的“去全球化”甚囂塵上。數據領域也同樣如此，世界正在形成三個獨立的數據治理“王國”：如果說歐盟建構的是以“基本權利”為基礎的數據治理模式，美國建構的是“自由式市場+強監管”的數據治理模式，那么中國試圖建構的則是“安全風險防范為主兼顧數字經濟發展”的模式。事實上，中國、美國和歐盟的三種數據治理模式表面上看互不兼容，但未來卻很有可能殊途同歸。

以G20大阪峰會為例，各國領導人基于自身國家利益對“數據跨境”表達了截然不同的態度:中國憑借近年來互聯網經濟的強勢崛起，主張在完善數據治理框架的前提下實現數據市場的開放和國際合作；美國、日本等發達國家希望依靠數字經濟的優勢，主張數據跨境的自由流通；而印度、巴西等發展中國家則以“能力短板”為由直接拒絕簽約，主張先發展后談數據跨境流動。具體闡述如下：

中國主張，要營造公平、公正、非歧視的市場環境，不能關起門來搞發展，更不能人為干擾市場；要共同完善數據治理規則，確保數據的安全有序利用；作為數字經濟大國，中國愿積極參與國際合作，保持市場開放，實現互利共贏。

美國主張，數字經濟是經濟增長的重要推動力，美國在數字經濟上的成功是基于數據自由流動、強大的隱私和知識產權保護、獲得資本和創新。期待推進一個開放、公平、以市場為基礎的數字經濟，為數據的自由流動提供支持，為所有國家帶來新的繁榮。

日本主張，建立允許數據跨境自由流動的“數據流通圈”。要在更好地保護個人信息、知識產權與網絡安全的基礎上，推動全球數據的自由流通并制定可靠的規則。

印度則主張，數據跨國間的分隔與流通“嚴重阻礙發展中國家從數據貿易中獲利”，發展中國家需要時間來訓練、建設數據基礎設施，從而克服能力上的短板。由此，印度以需要加強數據本地存儲的理由拒絕簽字，并認為數據是一種新形式的財富，相關討論與談判應該在世界貿易組織（WTO）框架內進行。

面對若隱若現的“反數據全球化”趨勢與潛在的數據國際爭端，如何確定國際數據秩序和競爭規則成了當務之急。根據得到App《邵恒頭條》節目的報道，歐亞集團創始人伊恩·布雷默（Ian Bremmer）的解決方案是：在數據領域，建立與WTO類似的世界數據組織（WDO）。WDO意在鼓勵數據流通和數據開放，支持各國通過這個組織來協商未來數據收集、處理、使用、共享及交易的國際標準，促進各國在數據領域的分工協作。另外，WDO甚至可以在完善數據爭端制度的基礎上設立數據爭端解決機構，如設立專家組和常設上訴機構，具體負責解決國與國之間的數據爭端。

對于我國而言，國家在數據領域的建構能力是現代化國家的最基礎因素，也是構建數據法律新秩序的核心力量，它具體表現為數據主權，即國家對其管轄范圍內產生的所有數據的收集、存儲、使用、處理、共享及交易等活動具有最高的決定權，以及國家在數據跨境流動中具有獨立自主權。但與此同時，我國的數據立法顯然也不能閉起門來搞一個與世隔絕的“數據烏托邦”，而是要實現與歐盟GDPR和美國《加州消費者隱私法案》（CCPA）等歐美主流數據法律模式的對接和融合，為我國未來深度參與直至主導國際數據規則和標準的制定提供堅實的法律基礎。

總而言之，如何平衡“個人數據保護”與“數據價值挖掘”的關系，目前并沒有一個被各國普遍接受的解決方案。但不管怎么說，針對個人數據野蠻掘金的時代在全球范圍內已經結束，該是到了建構國際數據新秩序的時候了，讓我們一起為數據權利而斗爭！

（作者何淵為上海交通大學數據法律研究中心執行主任，著有《數據法學》、《大數據戰爭》等。）