我国是首个将数据列为生产要素的国家，2022年12月2日中共中央及国务院一同发布《中共中央国务院关于构建数据基础制度更好发挥数据要素作用的意见》（“《数据二十条》”），进一步推动和活跃了数据要素相关理论和实践的发展。《“数据要素x”三年行动计划（2024-2026年）》《数据交易机构互认互通协议》等政策文件的发布，则促进了数据产品交易市场的发展，以及数据产品交易管理体系的日趋完善。截至2024年3月底，全国共已成立49家数据交易机构，其中，北京国际大数据交易所、上海数据交易所、广州数据交易所、深圳数据交易所以及贵阳大数据交易所为具有代表性的大型数据交易中介机构。上海数据交易所2023年全年数据交易规模达11亿元，有关人士预计2024年将超50亿元，到2025年将超100亿元[i]；深圳数据交易所截至2023年底，已汇聚305家数据商、338家数据卖方、1063家数据买方，打造了228个交易场景。2023年深圳数据交易所实现全年交易规模超50亿元，跨境数据交易额突破1亿元[ii]。数据产品交易市场的规模和前景均不可限量。
以发挥和挖掘数据生产要素作用为目标，从数据资产化和金融服务的诉求出发，通过数据交易所对数据产品进行场内交易的企业越来越多。目前，针对场内挂牌产品，以《上海数据交易所数据交易管理办法(试行)》为例，交易所均需要挂牌方提供针对产品交易的合规评估报告方可上架流通。基于本团队长期从事数据合规法律领域的研究与实践，以及广泛参与数据治理、数据安全等评估实务工作的经验，并结合近期在上海数据交易所与深圳数据交易所提供挂牌交易产品评估服务的最新体会，我们梳理和总结了数据产品交易合规评估工作中的要点与难点，希望对企业在数据产品化、资产化乃至资本化过程中的合规确认，提供借鉴和参考。
一、数据产品交易合规评估重点方面
数据产品交易即数据流通过程中，合规要求主要集中在以下四方面，即：数据产品运营主体的合规性、数据产品运营主体的数据管理保护能力、数据产品情况及其来源的合规性以及数据产品的可交易性或可流通性。
- 数据产品运营主体的合规性
对数据产品运营主体的合规性要求集中在其是否具备开展数据产品交易的资格资质、是否合规经营以及是否存在数据合规方面的潜在风险等。为进行前述评估工作，需要关注该主体所在的行业是否涉及特殊行业、处理个人信息的规模以及处理数据是否涉及特殊类型数据等。因此，除一般性的经营情况证明材料（营业执照、信用中国报告、内部组织架构说明）等的确认外，对于涉及开展特殊经营活动的主体，还需确认其是否具备了进行相关经营活动的资质资格。另外，如果该经营主体自身处理个人信息所涉及的人数较多，则需要确认其内部是否按照《中华人民共和国个人信息保护法》要求建立了个人信息保护负责人或承担相应职责的管理机构。涉及处理重要数据的，需按照《中华人民共和国数据安全法》规定确认是否设置了数据安全负责人等。
同时，运营主体及其高级管理人员在数据合规领域是否存在行政处罚或诉讼的情况，以及运营主体是否存在重大的潜在经营风险也是在实务评估中需要重点确认的内容之一。
2.数据产品运营主体的数据保护能力
评估数据产品运营主体的数据保护能力，着眼点在于运营主体是否建立起了健全完整且切实有效的内部数据合规管理体系，以确保数据产品在流通后能够保持健康的运行生态。结合上海数据交易所和深圳数据交易所的具体规定，在实务评估工作中，关注的内容主要包括是否建立并实施数据分级分类制度、数据全生命周期保护制度、安全事件应急响应制度、合作方管理体系和相关的内部培训评价体系。
由于本部分合规要求不仅限于内部制度的建立情况，还需要确认相关制度是否实际实施。因此，在实务评估工作中不仅需要评估是否建立了相关制度以及相关制度的内容是否符合法律法规要求和主体实际情况，还需要通过制度的实施记录，如培训记录、考核记录、数据资产的分级分类清单、数据删除或销毁的记录等，对制度的实施及其有效性进行证明。
3. 数据产品情况及其来源合规性评估
数据产品情况主要涉及对产品基本情况的梳理，旨在梳理和核实其涉及的数据种类、数据来源、处理活动、处理目的、更新频率、交付方式等基本情况是否清晰。其中，数据产品来源的合规性是本部分也是整个数据流通活动合规性的重点内容。数据产品来源合规性包含两个方面，包括数据产品中的原始数据的来源合规性，以及运营主体对数据产品本身的权利合法性。因此，评估重点在于原始数据以及数据产品自身是否权属清晰，关系到运营主体是否有权对数据产品展开经营活动。在评估数据及数据产品权属过程中，相关数据的产生方式，如属于运营主体自行生产的数据还是通过协议等方式从第三方（企业或个人）处获取的数据对其权属划分影响较大。如产品涉及的数据为运营主体自行生产，并由运营主体自行加工为数据产品，不涉及任何第三方，则数据及产品来源的合规性相关风险均较小。除前述情况外，当数据的产生涉及第三方时，则需要就产品运营方与第三方之间的相关约定做具体确认。同时，除数据自身的权属划分之外，数据内容如涉及第三方的其他权利，如知识产权、商业秘密、个人信息权益等，约定中是否明确了该等权利的分配等也属于本部分需要进行合规评估的内容之一。
运营主体对数据产品的权利合法性的评估本质上涉及了数据确权这一话题，我们将在下文中就此内容详细展开。
4. 数据产品的可交易性或可流通性
对于数据产品的可交易性和可流通性，主要从三方面开展工作。第一，确认数据产品及其所涉数据本身是否属于需要特殊资质、满足特殊条件方可流通的产品或数据。例如，如果产品中涉及重要数据或个人征信信息的，则需要取得相关主管部门的许可或运营主体具备一定资质方可参与流通。另外，如果产品本身面向的用户包括境外主体，则还需要结合数据的具体情况开展数据出境的相关手续之后方可流通。数据产品存在前述情形的，评估工作的对象应当包括相关资质、资格、手续的完备性审查。同时，数据产品的内容本身不包含违法违规信息也是本部分评估工作的内容之一。
第二，需确认数据产品的价值所在，是否具有流通交易的价值。这部分评估工作主要针对数据产品本身具有的功能是否能够在其运营场景中发挥出预期的功效，以满足市场的需求。在进行本部分评估工作时，需要结合数据产品的类型、内容、使用方式、以及试运行效果（如有）等方面出发评估，紧密围绕数据产品自身的情况展开评估工作。同时，如存在运营主体向数据产品中投入了技术手段、人力物力，提高了数据产品的效能、效率的情况，也可结合一并评估数据产品最终价值。关于数据产品中投入的各类成本，结合司法实践，相关评估内容除在本部分中可作为价值评估的一部分之外，还可成为确认运营主体对产品具有竞争性权利的部分依据[1]。
第三，确认数据产品的流通本身是否符合法律法规要求。这部分评估工作需结合数据产品交易合同或协议的内容展开。由于数据产品的特殊性，流通过程中，卖方需要就买方在安全、合规的前提下使用产品的情况进行一定的控制。在交易合同中，相关控制手段可体现为事前对买方经营情况、数据保护能力的确认，事中的持续监控以及事后的交易记录管理等。因此，交易合同中是否具备了前述内容，以及相关内容是否清晰、明确、可落实，也是本部分评估工作中需要确认的事项之一。
另外，交易所还会关注数据交易流通的链路是否清晰、完整、合法，各关键节点中是否存在维护链路保持健康运行的合理技术措施等。因此，应不同的交易所需求，在开展评估工作中，确认产品交易流通链路中的技术措施也是评估的一部分。
二、数据产品交易合规评估工作重难点
结合本团队此前在开展数据产品交易合规评估工作中的大量实务经验，特别是在上海数据交易所和深圳数据交易所助力数据产品上架过程中的合规评估工作经验，在上文中提到的四部分合规评估工作中，以下问题可能成为实际开展评估工作时需要着重关注的重难点问题。 - 数据产品字段的属性判断
产品中的字段属性决定了产品在合规评估中适用的合规标准。如前所述，如果数据产品中包含个人信息、重要数据或其他须具备相应资质方可流通的数据，则合规评估需要确认的材料范围和标准均将随之调整。虽然目前前述特殊类型字段的定义在法律法规中基本明确，但实际上架流通的产品中的字段呈现形式和包含的内容往往较为复杂，需要逐一进行判断。而字段在数据产品中的展现形式和作用、买方使用数据产品的方式等均可能对字段属性的判断产生影响，因此需要深入到数据产品的实际使用情况层面开展评估工作。
对于部分因产品使用行为导致的字段属性变化情况，从评估工作的方法论而言，由于字段的呈现形式在实际产品使用过程中会发生变化，因此直接对字段的属性进行唯一性的判断可能比较困难。这种情况下，可依照比例原则，结合产品的目的、效果、与该等字段相关的第三方约定、相关字段的权属划分及产品的具体使用方式进行评估。对字段属性有判断上的困难时，评估参与方可通过线上或线下的访谈，实际确认产品及字段的使用方式和呈现模式等，掌握数据在产品中的实际运用形态。通过这种方式，能够最大限度地使评估工作贴合实际情况，减少后期工作的时间成本。 - 数据产品的确权工作
在进行数据产品来源合法性评估过程中，重点关注的合规评估点之一即为是否能够判断数据产品中的数据及数据产品自身均属于运营主体有权经营并取得收益的对象，即需要对数据产品和相关数据的权属进行确认。关于数据确权，首先需要明确的是确权的对象，即数据产权的定义和内涵。目前法律法规层面尚未就前述内容进行明确的规定。《数据二十条中》提出数据产权包括数据资源持有权、数据加工使用权、数据产品经营权三方面，对于数据确权工作有一定的指导意义。
实践层面上，存在部分通过数据知识产权登记[2]、数据要素综合登记[3]等方式进行确权工作的机构。同时，由人民网自主研发的大型党政时政数据平台人民数据库通过建立人民链·数据确权平台[4]，基于《数据二十条》的指导开展针对数据资源和数据产品的确权工作，并可分别出具数据资源持有权证书、数据加工使用权证书和数据产品经营权证书。根据该平台的官方网站介绍，该平台认为数据资源持有权主要包括自主管理权、数据流转权和数据持有限制。分别指代对数据进行持有、管理和防止侵害的权利、同意他人获取或转移其所产生数据的权利和设定限制数据持有或保存期限的权利；数据加工使用权是数据实现价值增值的核心，包括数据的收集、存储、使用、加工、传输、提供、公开等行为；数据产品经营权是指市场主体对合法处理数据形成的数据产品和服务进行开发、使用、交易和支配的权利。
从学术角度看，关于数据确权，有学者认为，《数据二十条》中规定的三类数据权属应结合数据要素形成数据产品的不同阶段看待。当数据要素还未经企业加工时，企业需要获取的是数据要素的持有权，因此需获得数据要素的所有权人的授权；当数据要素成为数据集合，开始具备成为数据产品的可能性，企业需获得加工使用权以对其进行加工使用。此时应当通过与所有权人订立数据许可使用合同等协议方式取得对数据集合的加工使用权；在企业投入了劳动成本对数据集合进行了加工使用，将其制作成为可流通的产品后，此时因企业已经投入相关劳动使数据要素成为数据产品，因此企业对由其开发的数据产品持有完整所有权。从数据产品的使用场景看，对数据产品的所有权体现在商业场景中对其的占有、使用、处分、收益。因此在这种情况下，企业不仅拥有对数据产品的所有权，同时也拥有了对数据产品的经营权[5]。
回归数据产品合规评估中的确权工作本身，我们理解数据产品交易是数据产品流通过程中的商业交易，因此其中的确权工作相较于确认数据权利的完整所有权归属，更加倾向于确认交易过程中的数据权属归属以划分各参与方之间的权利义务，规避商业风险。因此，在数据产品交易的合规评估过程中需要评估参与方结合目前已生效的法律法规、政策指引等，以《数据二十条》为基础，结合数据产品的形成、流转、交易过程，针对数据资源持有权、数据加工使用权、数据产品经营权三方面逐一评估。对于数据产品来源合法性评估，着眼点在于相关数据是否经过了数据所有人的合法授权使企业具备对数据要素的持有权，如企业是否与个人信息主体签订了披露完整、合法有效的用户协议，或其他第三方数据来源是否与企业之间明确了相关数据持有权归属并能够证明自身对数据的合法所有权。对于加工使用权，往往可在确认数据持有权归属的相关协议文件中一并确认。而关于对数据产品的经营权，则需要确认企业在将数据要素形成数据产品的过程中，是否投入了相应的人力物力、技术成本，是否对其进行了有独创性的加工，加工使用的相关技术、设备、系统等是否完全为企业所有，以及根据原始数据的来源，是否存在侵犯第三方权益的权利瑕疵等要素来进行判断。在评估工作中，如能确认到以上情况，通常可以认为企业对于该数据产品具备合法权属，有权上市流通并取得收益。 - 数据产品合规评估工作流程
根据本团队项目经验，实际开展合规评估工作时，根据不同交易所的要求，相关工作的方式和程序也存在不同。例如，在上海数据交易所提供合规评估服务时，评估机构应当事先作为服务商获取上海数据交易所的服务商身份及系统账户等。在成为正式服务商后，可以获取上海数据交易所为合规评估工作准备的文件材料模板及工作指引等文件。同时，企业委托合规评估以及评估结束后提交报告等都需要在交易所系统上进行。而深圳数据交易所在报告出具与提交过程中并不要求评估方必须事先拥有交易所系统账号，报告提交工作最终由作为数据产品运营方的企业进行。因此，在开展合规评估工作前，了解不同交易所的工作流程，可更好地规划相关工作的进度与顺序。
另外，关于合规评估报告的体例和侧重点。虽然结合目前的法律法规与政策情况，对于数据产品交易合规评估的评估要点均可总结为前文中第一部分提到的四个方面，但不同的交易所在报告中的内容区块设置逻辑、详略分配等依然存在不同。例如深圳数据交易所在企业的数据管理保护能力部分会相对更加关注技术手段措施是否到位，上海数据交易所则相对更关注制度体系建设是否健全等。因此，在不同交易所进行产品交易合规评估时，也需要结合各交易所的侧重内容，针对性地开展评估工作，确定评估材料范围等。
结语
以上是本团队结合相关实务经验梳理的数据产品交易合规评估重点与难点问题。在评估过程中，团队深切体会到数据产品交易目前还存在许多需要大量理论与实务经验方可解决的问题，而囿于篇幅有限，本文仅就重点内容进行整理和说明，供相关企业参考。随着数据要素市场的进一步开放和建设，相关领域理论和政策的不断完善，以及相关机构的不断建设，我们相信数据产品交易的实务工作在将来会更加规范化、流程化。另一方面，随着数据产品交易的规模进一步扩大、数据产品的复合程度增加，合规评估的内容可能也会更加细化和全面，以确认数据产品在设计、运行过程中考虑了实际交易情况中可能发生的各类问题，维护数据交易市场的健康生态。作为上海数据交易所、深圳数据交易所等头部交易所的认证服务商，本团队将在未来的工作中继续深耕本领域，以期为有志参与数据产品交易和数据资产筹划的广大企业提供更好的服务。
参考来源
[1] 广东高院终审宣判首例涉数据抓取交易不正当竞争纠纷案https://mp.weixin.qq.com/s/R5-pViswcupHlVNh9Ncj3A
[2] 深圳市数据产权登记平台：https://sjdj.sist.org.cn/#/home
[3] 天津数据资产登记评估中心：http://www.tjhb.gov.cn/ztzl/ztzl1/tjsjzcdjpgzx/
[4] 人民链·数据确权平台：https://dex.people-chain.cn/home
[5] 申卫星：《论数据产权制度的层级性：“三三制”数据确权法》
数据来源
[i] 数据来源：https://mp.weixin.qq.com/s/QV9rCEEVetzOwNbZJ0aDCw
[ii] 数据来源：https://mp.weixin.qq.com/s/eYHoK-gaRb86IT1l96kMFg