从中美司法案例看平台数据权益保护

现阶段发展数字经济已成为全球共识，数字经济的基础是数据，数据资源是企业核心竞争力和竞争优势所在，保护数据权益、加强数据流通已迫在眉睫。本文基于我国法律法规和相关政府文件的规定，结合中美司法案例探讨我国数据权益保护的边界并为企业提出平台数据合规建议。
一、我国目前对数据权益保护的相关规定
2020年5月28日施行的《民法典》第一百二十七条为数据权益保护提供了法律依据，但该规定目前还比较抽象。2022年1月1日起深圳、上海、重庆、河南、山东等地方陆续出台/施行的数据保护条例通过地方法规的形式对企业数据权益予以保护。
此外，我国近年的多份政府文件中均强调要尽快研究数据知识产权保护规则，加快立法，保护数据权益、加大数据流通，加快数字经济的发展。

二、数据权益保护的司法现状
目前数据产品司法上主要通过“商业秘密”（与技术有关的数据、与经营活动有关的数据）、“汇编作品”（具有创造性的数据库作品）、“竞争性权益”（平台数据产品）予以保护，涉及的法条主要为《反不正当竞争法》第九条、《著作权法》第十五条、《反不正当竞争法》第二条和第十二条。本文主要讨论第三种保护路径所涉问题。
笔者今年世界知识产权日发布的《反法“互联网专条”司法审判大数据报告》[5]中对数据竞争纠纷进行调研发现，我国目前对数据抓取类竞争纠纷保护力度比较大，被抓取方的维权基本均取得胜诉结果且赔偿数额较高，但权属的认定仍存在不稳定性。此外，在涉数据抓取类竞争纠纷案件中抓取方也会采取数据反垄断的诉讼反击措施，如“鹰击”舆情监控系统微博数据抓取案的一方当事人湖南蚁坊软件股份有限公司（“蚁坊”）向长沙市中级人民法院提起了数据反垄断诉讼[6]、Ross Intelligence抓取Thomson Reuters Corp.（汤森路透）万律法律数据案[7]中Ross主张汤森路透公司的行为违反了《休曼反垄断法案》进而向美国特拉华联邦地区法院提起反诉，两案目前都未终审审结。
三、数据权益保护的认定标准
（一） 公开数据的保护边界
1. 公开数据的判断标准
在“超级星饭团”明星微博数据抓取案[8]、“鹰击”舆情监控系统微博数据抓取案[9]中法院均认为平台公开数据应允许他人合法收集和利用，而通过登录规则或其他措施设置了访问权限的数据属于非公开数据。在“超级星饭团”明星微博数据抓取案中，被告直接通过网络爬虫抓取需用户登录微博账户才可见的微博公开内容，法院认为被告在明知原告限制除白名单以外的机器人抓取涉案数据的情况下仍实施，其具有明显主观恶意，通过涉案网络爬虫抓取数据的行为不正当，因数据来源不正当其使用抓取数据的行为也不正当。
美国第九巡回上诉法院2022年4月18日针对hiQ诉LinkedIn[10]案作出维持此前行为禁令的认定，其认为网络爬虫爬取互联网公开数据不违反《计算机欺诈和盗用法》（CFAA），LinkedIn的上诉主张最终未获支持。该案禁令的认定结果区别于我国目前的司法认定，但两案的区别在于LinkedIn的数据全部为公开数据且中美对平台数据的权属认定有差异。
笔者认为通过是否设置登录规则来判断是否为公开数据较为严格，因我国目前大部分平台都需要登录账号才能查看平台完整内容，而数据再流通不可能通过人工复制平台内容，通常需要利用网络爬虫技术抓取，笔者认为应以用户在被抓取平台对内容的公开权限来判断是否为公开数据，同时对公开数据的抓取使用行为进行相应限制约束更为合理。
2. 对公开数据抓取和使用行为的限制
2021年11月1日生效的《个人信息保护法》第四十五条[11]规定用户对平台个人信息享有“数据可携带权”，抓取方如果获得平台用户授权且平台用户提出转移请求的情况下，被抓取方应当允许他人抓取并提供必要转移路径。笔者认为“数据可携带权”将有助于数据的流通，被抓取方对于行使“数据可携带权”引起的数据资源流通应当提供便利，除非该抓取数据的数量和规模实质性替代了被抓取方的平台产品，或者抓取使用行为存在破坏用户信息安全、涉及其他未获同意用户个人信息等损害消费者利益或社会公共利益的情形。
对于属于平台竞争性权益的数据内容，抓取和使用应当获得被抓取方的授权同意，对于包含用户个人信息的内容应当同时获得用户和被抓取方的明示同意，除非被抓取方禁止数据抓取和使用的行为涉嫌违反《反垄断法》的相关规定。我国目前已审结的数据抓取反垄断诉讼仅为深圳微源码软件开发有限公司（“微源码”）诉腾讯公司垄断纠纷案[12]，法院最终未认定微信公众号产品市场垄断地位。关于平台经济领域垄断地位的认定标准可以参考《国务院反垄断委员会关于平台经济领域的反垄断指南》的相关规定。
综上，对于公开数据应以允许抓取为基本原则，同时从数据的权属、抓取公开数据的使用是否实质性替代了被抓取平台的产品、是否有益于消费者利益和社会公共利益、是否违反商业道德的角度进行综合判断。
（二） 数据权属的认定
我国《个人信息保护法》施行前，涉数据抓取类竞争纠纷案件中抓取方通常会从用户对个人信息享有“数据可携带权”、抓取行为获得平台用户授权的角度进行抗辩，但大部分法院都以我国法律并未规定“数据可携带权”予以驳回，《个人信息保护法》施行后平台数据保护尤其是数据权属的认定将面临更大挑战。
1. 个人信息数据
我国不同法律对个人信息的定义存在一定的差异，2021年11月1日生效的《个人信息保护法》第四条规定，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。根据《信息安全技术个人信息安全规范》（GB/T 35273-2020，以下简称”《35273号规范》”）的规定和司法审判实践的认定情况看，个人信息的界定标准包含两种路径“可识别性”和“关联性”：对于“可识别性”从法条本意出发比较好理解；四川省德阳市旌阳区人民法院最近在火锅店扫二维码点餐侵犯个人信息案[13]中提出“关联性”的界定标准，即已知既定个人，知晓关于该个人的进一步信息，法院基于该标准最终认定被告通过原告微信扫描关注火锅店提取的“微信头像、昵称、地址和性别信息”虽不具有“可识别性”但具有“关联性”，属于原告的个人信息。
除上述案件外，目前司法案例中认定以下信息为个人信息：

2. 平台衍生数据
平台衍生数据（又称“平台大数据产品”）是指平台投入创造性劳动产生的数据内容，法院在淘宝诉美景、微博诉“超级星饭团”等数据抓取案中都普遍适用该认定标准认为平台对平台衍生数据享有专有财产权益。值得注意的是，2022年4月24日国知局局长答记者问时提到保护数据处理者的权益需要考虑“创造性劳动和资本投入”，对于“资本投入”的考量有加大保护数据平台的倾向。在美国联邦最高法院审理的International News Service诉Associated Press案[14]中，法院认为原告在涉案材料的获取上投入了劳动、技能、金钱，并通过出售加工后的新闻材料进行营利，对这些材料享有财产利益，可以阻止竞争者的不当利用、盗用，可见其对数据权益的判断综合考虑了创造性投入、资本投入等因素。事实上，对于平台数据的人力、物力、财力和创造力投入的综合考量有利于保护平台数据权益，只有平台数据权益得到有效保护才能激发其竞争活力，数据经济市场也才能真正激活。
四、企业建议
针对目前司法实践对平台数据保护的现状，笔者从以下角度为企业提供数据合规建议。
1. 保证数据来源合法。平台数据保护的前提是数据来源合法，这就要求数据收集和使用应当坚持对个人信息收集使用的合法、正当、必要原则，且处理个人信息需同时满足用户知情、获得用户同意的条件。此外，对于抓取方还需根据数据是否为公开数据、数据所涉内容分别或同时取得被抓取方、用户的相应授权同意。
2. 通过平台用户协议约定专有权益。如果平台对于收集和处理的用户个人信息及其衍生产品希望获得专有使用权，建议在符合《个人信息保护法》等相关规定的前提下，通过平台用户协议进行明确约定并获得用户同意。在腾讯诉聚客通群控软件案中，法院正是因为微信方未提供证据证明其与微信用户约定相应数据的专有使用权，最终未支持其对用户个人数据主张竞争性权益。
3. 合理设置网络爬虫抓取规则。目前网络爬虫技术普遍遵循的规则为平台Robots协议，对Robots协议的合法性北京高院在360诉百度[15]、字节诉百度唯一黑名单[16]案中分别认定Robots协议不可对搜索引擎区别对待但可对非搜索引擎设置唯一黑名单。所以平台设置Robots协议时需要注意以上两个司法案例的审判结论。
4. 对抓取数据的限制。首先，抓取的对象应限定为特定对象，即获得用户明示同意的个人信息，超范围的抓取将可能因涉及非特定对象的个人信息，而存在侵犯他人个人信息权或危害平台数据安全等问题。其次，抓取的规模不应超出合理必要的限制，否则将可能因直接实质性替代被抓取方产品，造成“食人而肥”的恶性不良竞争，同时还可能导致加重被抓取方服务器负担等损害。第三，抓取的手段应当遵守被抓取方的合法规则。
5. 提前设置基于“数据可携带权”发起的数据转移请求规则。基于“数据可携带权”的数据转移，目前虽然尚未发生相关司法纠纷，但笔者建议企业应提前做好相关规则设计。首先，微博诉字节移植微博内容案[17]中，法院认定“数据可携带权”必须依用户请求提起，所以企业需要提前考虑对请求的内容、送达途径、处理时间等作出规定；其次，关于数据转移的路径，目前法律并无相应规定或限制，但欧盟《一般数据保护条例》（“GDPR”)第20条提出只有“技术上可行”（technically feasible）即可，对此企业可参考该规定设置相应转移路径。
6. 对于涉数据垄断问题的应对。2021年开始我国不仅发布了《国务院反垄断委员会关于平台经济领域的反垄断指南》，更包括《中华人民共和国反垄断法（修正草案）》征求意见稿，最近浙江省市场监督管理局发布的《互联网平台企业竞争合规管理规范（征求意见稿）》[18]大篇幅强调平台企业反垄断合规问题，结合目前已发生的蚁坊、微源码的反垄断反诉案件，未来互联网大平台涉数据抓取纠纷的反垄断诉讼也将不断涌现，所以企业应提前进行反垄断合规建设。
总体来讲，目前我国立法缺乏对数据知识产权保护的具体规则、整个数据经济市场仍处于新兴和探索阶段，如何在加强数据保护的同时保护用户个人信息安全、数据可携带权、实现数据的流通和共享仍将面临各种挑战和不确定性，笔者期待通过各方努力最终能创建符合我国数据交易市场特点的数据知识产权保护规则，通过对数据权益的保护促进数据资源的流通，最终实现数字经济的繁荣发展。
[1] https://www.cnipa.gov.cn/art/2021/9/23/art_2742_170305.html。
[2] http://www.gov.cn/zhengce/content/2021-10/28/content_5647274.htm。
[3] http://www.gov.cn/zhengce/2022-04/10/content_5684385.htm。
[4] http://www.scio.gov.cn/xwfbh/xwbfbh/wqfbh/47673/48204/index.htm。
[5] https://mp.weixin.qq.com/s/Lp7vX3cOSZpZ703DiPuayQ。
[6] 案件信息来源：https://mp.weixin.qq.com/s/JAt3YBCtGHzAopxTLyOL1g。
[7] https://mp.weixin.qq.com/s/E6vQEqXi-BUolwfychgwmA。
[8] （2017）京0108民初24512号。
[9] （2019）京73民终3789号。
[10] https://mp.weixin.qq.com/s/FR8mnZ6sdp3Vvqnt-_s-pQ。
[11] 《个人信息保护法》第四十五条，个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径。
[12] （2017）粤03民初250号。
[13] 案件信息来源：https://mp.weixin.qq.com/s/eN8Id5v1tZE_tiHKO3GvbA。
[14] International News Service v. Associated Press, 248 U.S. 215 (1918).
[15] （2017）京民终487号。
[16] （2021）京民终281号。
[17] （2017）京0108民初24530号。
[18] https://mp.weixin.qq.com/s/fKcAWXbHlVRsSpUC6UWa-Q。