论数据权利保护困境与反法保护路径突破——兼谈数据收集规则的完善

摘要
司法实践中对于数据保护主要采用隐私权、著作权、反法等三种保护模式。但是，隐私权保护对象一般限于个人信息且实践中常难以界定隐私的边界，著作权无法保护事实型数据，而《反不正当竞争法》（下称“反法”）第二条缺乏法定适用要件，不可预测性过强，故三种数据保护模式均存在明显缺陷。如在不突破现行法律制度框架的前提下，比较而言，数据的反法保护路径更为可行，但仍需进一步明确反法原则性条款的适用要件。合法收集系数据能够受到保护的基础，故在为数据权利设计保护路径的同时，亦需要为其数据权利来源设置严格的审查标准，以确保数据来源的合法性。值得一提的是，如能在《民法典物权编》中增设数据所有权的专门保护条款，则可给予数据更全面的保护。
关键词：数据权利 反不正当竞争法 原则性条款 数据收集
一、问题的提出
随着互联网技术的进步，数据总量也呈现出爆发式增长。2018年11月，国际数据公司（IDC）发布了《DataAge2025》，称2018年全球数据总和为33ZB，到2025年该数值将增长至175ZB。[1]为加强数据保护、规范数据应用，欧盟于2016年4月《通用数据保护条例》（General Data Protection Regulations，简称GDPR），该条例已于2018年5月25日在成员国生效实施。在GDPR实施一周年之际，国家网信办于今年5月28日出台了《数据安全管理办法（征求意见稿）》，再次引起热议。
近年，数据类纠纷频发。从微博诉脉脉案（系国内数据商业应用规则第一案）到淘宝生意参谋案（系国内大数据产品第一案），再到“头腾大战”案，数据权利性质不清、权利边界不明等问题已然对大数据产业的发展带来了阻碍。因此，如何在不突破现有法律制度框架的前提下，为数据权利寻找到适合的保护模式，已是实务界亟待解决的重要问题。本文拟在梳理数据权利保护现状与困境的基础上，厘清通过《反不正当竞争法》第二条保护数据的适用要件，并为数据收集规则提出建议。
二、数据权利保护现状与困境
我国现有法律制度对于数据的保护极为有限，立法也停留在个人数据保护上。司法实践中，数据保护主要采用隐私权、著作权、反不正当竞争法的三种保护模式，但该三种模式均存在明显缺陷与盲区。
（一）隐私权保护：限于个人信息且隐私范围难以界定
对于个人信息类数据，以隐私权主张个人信息保护确为司法实践中的常见做法。《民法典人格权编（二次审议稿）》亦将“个人信息”与“隐私权”列为同一位阶的民事权利。[2]
我国虽然明确保护隐私权，但是“隐私”的范围界定却是司法实践中的一大难题，尤其是互联网时代出现新型产物，能否属于隐私往往存在争议。在朱晔诉百度案中[3]，一、二审法院就对利用cookie技术收集的用户轨迹信息能否属于隐私做出了截然相反的判断。一审法院认为个人活动和私有领域属于隐私范畴，互联网上的活动轨迹展示了用户的上网偏好，能够反映用户的兴趣、需求等个人信息，属于隐私。然而，二审法院完全推翻了此观点，认为百度通过cookie技术收集的关键词检索记录，虽然能够反映用户的活动轨迹及上网偏好，但这些信息并不具有个人身份识别力，仅凭这些信息已无法确定信息来源主体，故该些信息不属于隐私。
隐私权保护模式仅能保护个人信息类数据，权利主体为个人，因此数据收集者（通常为企业或组织）难以通过隐私权维权。而且，隐私范围的不明确亦将导致个人维权的难度加大。
（二）著作权保护：事实内容不受保护
关于数据能否受到知识产权保护的问题，一直备受争议。《民法总则（草案一审稿）》曾将数据信息纳入知识产权客体[4]，但自二审稿至最后出台的民法总则均将其从知识产权客体中移除，而单列为一项民事权利。[5]司法实践中，也曾有数据控制人试图以著作权方式保护大数据产品，但却并未获得法院的认可。在四维图新诉奇虎案中[6]，原告四维图新系国内知名数字地图巨头，其付出了大量人力物力进行地理信息实况变化测绘与跟踪，并据此制作了中国电子地图。法院虽然认可了思维公司为绘制电子地图所付出的努力，但仍认为包含了大量客观地理要素、事实的数据产品并不能受到著作权法保护。
“准确客观性”是大数据具有价值的关键因素，具备该特征的数据集合必然会存在是否符合著作权独创性要求之争议。对于欲通过著作权主张数据权利保护的数据控制者/收集者来说，如何证明其就特定的数据集合享有著作权将会成为维权难点。
（三）反法保护：原则性条款缺乏法定适用要件
从数据应用规则第一案（微博诉脉脉案）到数据产品第一案（淘宝诉美景案），再到尚在审理阶段的头腾大战案，反法似乎已成为数据企业寻求法律保护的最佳选择，而《反不正当竞争法》第二条也成为了保护数据权益的王牌条款。
互联网行业尚处于发展阶段，行业规则、公认的商业道德仍在摸索。面对新型互联网竞争行为，在规则尚未清晰时，是否有必要通过扩大解释竞争关系而普遍适用《反法》第二条以给予竞争者保护？[7]适用该原则性条款，虽可以给予竞争劣势方一定保护，但是否可能导致另一方的合理竞争机会被剥夺？这些问题仍值得商榷。
三、数据权利的反法保护路径
囿于法律的滞后性，在为数据保护制定专门法律法规之前，《反法》第二条确能够解决一部分的数据权利保护需求。尤其是对于企业/组织等数据收集者而言，《反法》第二条已成为其最后保护屏障。因此，在不突破现有法律制度的情况，《反法》原则性条款的适用关键已非能否适用，而是如何适用，即适用要件的确定。[8]
（一）数据竞争案的类型化分析
根据数据来源及数据性质的不同，本文将判决所涉之数据分为四类：个人信息数据，即直接指向用户身份的数据；个人内容数据，即由用户生产能体现用户偏好的数据；非个人数据，即由机器、设备等产生的数据；数据产品，即已经过数据脱敏、分析的大数据成果。
1. 个人信息数据：新浪诉脉脉案[9]
原告微梦公司（微博经营者）与二被告淘友公司（脉脉经营者）曾通过Open API开放端口实现微博用户的数据信息共享。但在双方合作结束后，脉脉继续抓取并使用微博用户头像、名称（昵称）、职业、教育信息、用户自定义标签等信息。同时，脉脉还通过用户手机通讯录中的联系人信息，获取使用该联系人与微博用户的对应关系。对此，一审法院认为：微博用户信息属于新浪微博公司积累多年的经营资源，属于其保持竞争优势的必要条件，脉脉的行为构成不正当。二审法院维持一审判决，认为用户信息属于社交平台的核心竞争资源，微博在向第三开放端口时坚持了“用户授权+新浪授权+用户授权”的三重授权原则，不仅保护了用户的隐私还为自身竞争力提供了保障。脉脉的行为侵害了微博的商业资源，构成不正当竞争。
2. 个人内容数据：大众点评诉百度案[10]
原告汉涛公司系大众点评网的经营者，网站上积累了大量商家信息与用户评价。被告经营的百度地图展示了商家信息，其中的部分信息来源于大众点评网。对此，一审法院认为，大众点评网的竞争优势在于通过用户体验报告（即点评）为潜在用户提供选择参考并为商家提供用户需求参考。百度公司在无法取得所需信息的情况下，利用技术手段获取大众点评内容，构成不正当竞争。二审法院维持一审判决，认为虽然百度公司的行为具有丰富用户体验与选择的积极效果，部分展示大众点评内容也不足以替代大众点评网，但该行为仍然超出了使用网络信息的必要限度，违反了公认的商业道德，构成不正当竞争。
3. 非个人数据：酷米客诉车来了案[11]与二维火诉美团案[12]
深圳谷米公司开发了一款名为“酷米客”的实时公交APP。该APP通过在公交上安装定位器获取公交实时定位信息，并向用户反馈。被告元光公司开发的“车来了”APP与“酷米客”为同类竞品，其利用网络爬虫技术爬取了“酷米客”后台的公交定位信息。对此，法院认为，“酷米客”后台存储的公交实时定位信息，能够为深圳谷米公司带来现实或潜在、当下或将来的经济利益，具备无形财产属性。元光公司爬取使用他人数据的行为，属于非法占有他人无形财产权益，破坏了竞争对手的竞争优势，且存在为自己谋利的主观恶意，构成不正当竞争。
前不久，又有一起非个人信息类数据案（二维火诉美团案）一审判决，但此次法院却认为“数据获取”不构成不正当竞争。该案中，原告迪火公司开发的二维火“智能收银一体机”深受餐饮业主的欢迎，上市以来已累计用户36万余家。被告三快公司运营的“美团小白盒”插件可根据用户的自主选择，对二维火收银系统进行监控，并读取结账信息等。法院认为，美团收款的安装于二维火系统中，或已取得用户授权，或是基于公开信息，或是在二维火允许范围内，无不正当性。而且，迪火公司对已经出售的收银机及系统不享有垄断私权，且迪火公司与消费者利益均未受到影响，故美团行为不构成不正当竞争。该案一审判决于今年7月，相比较于之前的多起案件，该案判决的侧重点从保护数据收集者转变为促进自由竞争。
4. 大数据产品：淘宝诉美景案[13]
原告淘宝系“生意参谋”电商数据产品的经营者，该产品是一款通过收集、分析电商用户行为而生成大数据产品，可为阿里巴巴卖家提供店铺运营参考。被告美景公司引用生意参谋的用户在其经营的“咕咕生意参谋众筹”网站上分享账户，并在“咕咕互助平台”为用户提供软件下载渠道。一审对此，法院认为，生意参谋产品所依托的数据系淘宝公司长期累积形成，其所带来的权益应由淘宝公司享有。淘宝公司就“生意参谋”大数据产品享有竞争性财产权益，美景公司的行为构成不正当竞争。二审法院维持一审判决，认为淘宝公司将商品购买者、卖家信息等众多数据的分析结果作为“生意参谋”主要内容进行商业销售，可为其带来直接的经营收入，故该数据分析结果应属竞争法意义上的财产权益。
（二）《反不正当竞争法》原则性条款的适用要件
《反法》第二条的适用问题，一直是司法实践中的难点。最高院曾在海带配额案中提出该条款的三个适用要件：
第一，可受保护之权益为尚未类型化之法益；
第二，经营者之合法权益确实受到了实际损害；
第三，竞争行为具有不正当性或可归责性，通常违反了诚实信用原则和商业道德。[14]
其中，第一要件较易判断，第三要件需根据行业规则、行为性质进行认定；然而，囿于司法判断系一种事后的认定，对于第二要件 “营者之合法权益确实受到了实际损害”的适用常难有可遵循之依据，故本文拟对该第二要件作进一步阐释如下：
1. 合法权益：数据收集者就特定数据享有合法权益
数据收集者就特定数据享有合法权益系其主张不正当竞争的基础。笔者认为，就数据纠纷而言，反法第二条所称之合法权益应体现在两个方面：其一，数据收集者经合法授权取得数据；其二，数据可为收集者带来竞争优势。
（1）合法授权取得
数据收集通常存在两种方式，一是由收集者直接向个体用户收集，本文称之为“原始收集”；二是通过其他收集者进行数据共享/转让取得，本文称之为“继受收集”。无论是以何种方式收集数据，都需经过合法授权。
就原始收集而言，数据收集者需通过“明示许可”方式取得授权。关于个人数据收集，经济合作与发展组织（OECD）在1980年出台的《关于隐私保护与个人资料跨国流通的指针的建议》中对于数据收集需征得数据主体的同意作出了明确规定。[15]我国于2017年开始实施的《网络安全法》亦正式确立了“明示+许可”的数据收集规则。[16]
就继受收集而言，法院在脉脉案中确立了“用户授权”+“平台（用户）授权”+“用户授权”的三重授权原则。[17]笔者认为，任何形式的数据权益转移行为，包括数据交易、共享等，均应当遵循“三重许可的基本原则，其中两次用户授权所采用的标准亦应一致。
（2）竞争优势型利益
就数据收集者而言，数据的价值体现在能够为其来带竞争优势。在确保数据来源合法性的前提下，需要考虑数据收集者对于数据加工、挖掘所付出的努力，以及这些数据是否能为收集者带来竞争优势，竞争优势与商业优势方才是《反法》保护的基础。[18]
在汉涛诉爱帮网中，二审法院认为：大众点评经商运作吸引用户注册、点击、评论，汉涛公司又将这些数据信息收集整理以获取商业利益，故汉涛公司的合法权益应当受到保护。[19]法院在判断合法权益时，即先考虑了“付出与收获”能否对应，再考虑了这些数据是否能够为其带来商业上的利益。
2. 干扰行为：侵权方实施了破坏数据权益的行为
在数据不正当竞争案件中，干扰行为通常有两种表现方式：其一，未经允许盗用他人数据，包括直接盗用和间接盗用两种方式；其二，破坏数据准确性行为，如通过刷单等数据污染行为使数据价值受损。
（1）非法盗用数据的行为
数据盗用系数据侵权中最常见的表现方式，可以分为两类：一类是直接盗用，如“车来了”APP直接爬取并使用了“酷米客”后台服务器所记录的车辆定位信息；另一类是间接盗用，包括引诱他人盗用或为他人之盗用行为提供便利，如美景公司通过咕咕生意参谋众筹网和咕咕互助平台引诱生意参谋的用户违约分享账户信息。由于此类行为的表现形式直接且易于判断，故本文不再赘述。
（2）破坏数据准确性的行为
抄信、刷带系近年出现的新型不正当竞争行为。“内容的准确性”系大数据具备高价值的原因之一，而刷单、炒信通过数据造假牟利，该行为无疑会污染数据，影响数据的真实性及价值。
在美丽啪抄信案中，被告美名公司借助“美丽啪”平台以“免费使用”的名义招募用户在淘宝平台上购买商品并评价，用户与商家未发生实际交易，但交易数据和评价却作为实际交易数据予以体现。法院认为，美丽啪帮助不诚信的商家通过炒信获取了交易机会和竞争优势，破坏了淘宝的评价规则和评价体系，构成不正当竞争。[20]本案中，淘宝公司因其长期积累、维护所形成的商品评价数据而取得了消费者的信任，即取得了竞争优势与商业利益；美丽啪提供的炒信服务，会将虚假消费与评价计入淘宝电商平台中，污染了消费评价数据，破坏了数据的真实性，进而导致数据的价值下降、用户对淘宝的信任降低。
3. 损害后果：注意力的争夺
不同于实体经济产业，互联网领域的竞争损害主要表现为“注意力”的争夺。[21]在迅雷诉暴风案中，暴风网提供的“轻极模式”可除去迅雷网址、网页、广告等信息，使得迅雷商业利益受损。对此，法院认为，互联网经营在向用户提供网络服务一段的平台经营时，往往不会直接收取费用，但用户的注意力将会是影响另一端平台收益高低的主要因素，因此互联网领域的竞争总是围绕用户注意力而展开。在夺取注意的过程中，经营者应当付出努力，恶意利用他人诚实付出而争取用户注意力的行为构成不正当竞争。[22]
同样，在数据竞争中，竞争者依托大数据所获取的竞争优势亦可表现为“注意力”。如近期引起广泛关注的“头腾大战”案，腾讯认为：抖音在为其用户推荐好友时使用了微信QQ开放平台中用户头像、昵称，并将QQ开放平台为抖音提供的已授权登录服务提供给多闪使用等行为构成不正当竞争。[23]微信用户及用户信息（头像、昵称等）均是微信长期积累的数据资源，抖音的未授权使用与转授权行为，本质上即是利用微信所积累的数据资源以获取更多用户关注/使用的争取注意力行为。“注意力”的争夺未必会造成经营者的直接损害，但此不正当的利用他人劳动成果的行为，理应受到《反法》的制约。
四、数据收集规则的完善
数据收集者的权益自然需要保护，但同时也需要给予一定的限制。今年年初，国家市场监督管理总局与国家标准化管理委员会联合发布了《信息安全技术个人信息安全规范（草案）》（下称“《个人信息规范》”）；5月28日，国家网信办又出台了《数据安全管理办法（征求意见稿）》（下称“《管理办法》”）；8月5日，国家市场监督管理总局与国家标准化管理委员会再次联合发布《信息安全技术移动互联网应用（APP）收集个人信息基本规范（草案）》（下称“《APP规范》”），该规范对APP的数据信息收集进行了细化规定。三项文件均体现了国家层面对于数据收集者的制约。
数据收集者仅能就其“合法收集”之数据享有竞争利益，因此明确数据收集规则对于数据权利的保护有着重要意义。
（一）“同意”的要件
数据收集前需征得收集对象的明示同意并不存在争议[24]，《管理办法》第九条亦将“明确同意”作为数据收集的前提条件[25]。然而，互联网环境中的“明确同意”究竟指何？
1. “明示”的同意
GDPR将“同意”界定为由数据主体自由做出的（freely given）、具体的（specific）、明确告知的（informed）、清晰不含糊的（unambiguously）的意思表示。[26]
“明示”应当是指以作为方式表达的意思表示，推定方式、不作为方式的表示都不构成“明示”。正如GDPR鉴于部分的第32项将“同意”限定为“通过明确肯定方式作出，沉默、事先勾选的对话框、不作为均不能视为同意”。[27]根据GDPR的规定，互联网企业最常采用的推定同意、一揽子同意、甚至是包含在冗长隐私政策中的同意条款，均将不再被认为是合法的同意。[28]
2. 明确撤回同意的方式
GDPR第七条特别强调了撤回同意与作出同意应当是同样容易的。[29]《管理办法》中也强调了数据收集者所公开的收集使用规则中应当包含撤销同意的方式[30]，这一点虽与GDPR一致，但强制性上显然弱于GDPR。事实上，如何撤销同意一直困扰着数据主体。通常而言，APP、网站等数据收集主体通过电子协议取得数据收集同意后，用户就难以再撤销同意收集。即使能够撤销，复杂的撤销步骤也令消费者望而却步。因此，笔者建议在《管理办法》中强制要求数据收集者明示撤销同意方式，且要求这种撤销方式应当与同意收集方式应当具备便捷程度。
（二）最少信息标准
“最少信息标准”体现对数据收集者的保护。以APP经营者为例，其在提供网络服务时难免需要收集用户的个人信息，如以手机号注册等。此时，如严格要求数据收集者不得歧视不愿意提供信息的数据主体，将不利于APP功能的实现和提升。
今年年初发布的《个人信息规范》即确立了“最少信息标准”[31]，随后发布的《管理办法》又再次重申了该标准，同时规定了数据收集者不得因用户不同意或撤销同意提供最少信息标准以外的信息而拒绝提供APP核心服务[32]，强制要求互联网服务提供者提供服务时不得存在歧视。前述两项规则虽然确立“最少信息标准”，但对于“最少”并没有进行量化定义，实操性较低。而不久前发布的《APP规范》中以列举方式明确了常用服务类型能够收集的最少信息类型。[33]因此，数据收集者在数据收集时应当参考前述各规范草案，谨慎确定最少信息范围。
五、结论
随着互联网技术的日渐成熟，大数据已成为企业的核心竞争资源。在数据权利保护上，传统的隐私权与著作权保护模式存在明显缺陷；而反法的保护，因为缺少法定适用条件而存在过度保护或保护不足之争议。在不突破现行法律框架的前提下，《反法》确系数据保护之首先路径，但需要进一步界定原则性条款的具体适用要件。
在适用《反法》第二条时，首先需要考虑数据收集者是否就特定数据享有合法权益，具体包括数据收集是否合法、数据集合能否为收集者带来竞争性利益；其次要考虑干扰行为是否破坏了数据，具体表现形式为数据盗用与数据准确性的破坏；最后则要考虑损害后果，在互联网竞争中损害后果可以表现为注意力的争夺。
数据收集需要经过数据主体的“明确同意”，即数据主体应当以作为方式表达同意，任何推定方式、不作为方式的同意都不能认为构成“明确同意”。同时，数据收集者可按照“最少信息标准”界定其网络服务所需之必要信息边界。
注解
[1] IDC：DataAge2025：The Digitization of the World From Edge to Core, https://www.seagate.com/files/www-content/our-story/trends/files/idc-seagate-dataage-whitepaper.pdf, P.3. 最后访问时间2019年8月10日。
[2] 《民法典人格权编草案（二次审议稿）》第六章：隐私权和个人信息保护。第八百一十三条：自然人的个人信息受法律保护。本法所称个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。
[3] 南京市中级人民法院（2014）宁民终字第5028号民事判决书。
[4] 《中华人民共和国民法总则（草案一审稿）》第一百零八条第二款：知识产权是指权利人依法就下列客体所享有的权利：（八）数据信息。
[5] 《中华人民共和国民法总则（草案二审稿）》第一百二十四条：法律对数据、网络虚拟财产的保护有规定的，依照其规定。三审稿未改变条款内容，而将该条款设置为第一百二十八条，《民法总则（2017）》将该条款调整为第一百二十七条。
[6] 北京市海淀区人民法院（2016）京0108民初27234号民事判决书。
[7] 李杨：《堵住<反法>第二条的黑洞》，知产力http://news.zhichanli.cn/article/1608.html，最后访问时间2019年8月11日。
[8] 余晖：《<反不正当竞争法>第二条适用的考量因素》，《竞争政策研究》2016年7月号，第13页。
[9] 北京知识产权法院（2016）京73民终588号民事判决书。
[10] 上海知识产权法院（2016）沪73民终242号民事判决书。
[11] 深圳市中级人民法院（2017）粤03民初822号民事判决书。
[12] 杭州市中级人民法院（2018）浙01民初3166号民事判决书。
[13] 杭州铁路运输法院（2017）浙8601民初4034号民事判决书，杭州市中级人民法院（2018）浙01民终7312号民事判决书。
[14] 最高人民法院（2009）民申字第1065号民事再审裁定书。
[15] 《关于隐私保护与个人资料跨国流通指针的建议》第7条：应对个人资料的收集加以限制，并以合法的、公正的手段获取资料，必要时，应告知资料主体或获得资料主体的同意。
[16] 《中华人民共和国网络安法（2016）》第四十一条：网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。
网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。
[17] 北京知识产权法院（2016）京73民终588号民事判决书。
[18] 姜琨琨：大数据保护与司法裁判研讨会发言摘登（上·法官发言），《人民法院报》2019年7月4日第5版。
[19] 北京市第一中级人民法院（2011）一中民终字第7512号民事判决书。
[20] 杭州市中级人民法院（2018）浙01民初3845号民事判决书。
[21] 孔祥俊：《反不正当竞争法新原理·分论》，法律出版社2019年3月版，第524页。
[22] 北京知识产权法院（2015）京知民终字第2204号民事判决书。
[23] 天津市滨海新区人民法院（2019）津0116民初2091号民事裁定。
[24] 《中华人民共和国网络安全法（2016）》第二十二条第三款：网络产品、服务具有收集用户信息功能的，其提供者应当向用户明示并取得同意；涉及用户个人信息的，还应当遵守本法和有关法律、行政法规关于个人信息保护的规定。
[25] 国家互联网信息办公室《数据安全管理办法（征求意见稿）》第九条：如果收集使用规则包含在隐私政策中，应相对集中，明显提示，以方便阅读。另仅当用户知悉收集使用规则并明确同意后，网络运营者方可收集个人信息。
[26] Regulation (EU) No 2016/679 of the European Parliament and of the Council of 27 April 2016 on the Protection of Natural Persons with regard to the Processing of Personal Data and on the Free Movement of Such Data, and Repea-ling Directive 95/46/EC (General Data Protection Regulation), OJ L 119, 04.05.2016, Article 4 (11), p.112．
[27] Regulation (EU) No 2016/679 of the European Parliament and of the Council of 27 April 2016 on the Protection of Natural Persons with regard to the Processing of Personal Data and on the Free Movement of Such Data, and Repea-ling Directive 95/46/EC (General Data Protection Regulation), OJ L 119, 04.05.2016, p.18．
[28] 王融：《<欧盟数据保护通用条例>详解》，《大数据》2016年第4期，第95页。
[29] Regulation (EU) No 2016/679 of the European Parliament and of the Council of 27 April 2016 on the Protection of Natural Persons with regard to the Processing of Personal Data and on the Free Movement of Such Data, and Repea-ling Directive 95/46/EC (General Data Protection Regulation), OJ L 119, 04.05.2016, Article 7 (3), p.122．
[30] 国家互联网信息办公室《数据安全管理办法（征求意见稿）》第八条：收集使用规则应当明确具体、简单通俗、易于访问，突出以下内容：（七）个人信息主体撤销同意，以及查询、更正、删除个人信息的途径和方法。
[31] 国家市场监督管理总局与国家标准化管理委员会《信息安全技术个人信息安全规范（草案）》5.2：对个人信息控制者的要求包括：(a)收集的个人信息的类型应与实现产品或服务的业务功能有直接关联。直接关联是指没有该等信息的参与，产品或服务的功能无法实现；(b)自动采集个人信息的频率应是实现产品或服务的业务功能所必需的最低频率；(c)间接获取个人信息的数量应是实现产品或服务的业务功能所必需的最少数量。
[32] 国家互联网信息办公室《数据安全管理办法（征求意见稿）》第十一条第二款：个人信息主体同意收集保证网络产品核心业务功能运行的个人信息后，网络运营者应当向个人信息主体提供核心业务功能服务，不得因个人信息主体拒绝或者撤销同意收集上述信息以外的其他信息，而拒绝提供核心业务功能服务。
[33] 国家市场监督管理总局与国家标准化管理委员会《信息安全技术移动互联网应用（APP）收集个人信息基本规范（草案）》4.1：App收集个人信息应满足以下管理要求：b） 当用户同意 App 收集某服务类型的最少信息时，App 不得因用户拒绝提供最少信息之外的个人信息而拒绝提供该类型服务。附录A：常用服务类型的最少信息。