“互联网+”相关合同法律问答之大数据业务系列（全）

摘要：
麦肯锡环球研究院在2011年5月发布的《大数据：创新、竞争和生产力的下一个前沿》报告中提出了“大数据”概念，在世界范围内掀起了大数据热潮。本期开始我们将介绍大数据业务链条中涉及哪些合同，每类合同下的关注要点。
如何从法律角度看数据信息？
大数据业务是围绕数据信息的经营活动，其最终目的是实现海量数据信息的挖掘、整理直至体现其商业等方面的价值。大数据业务的核心，即数据信息。
“数据信息”本身并不是一个纯粹的法律概念。从法律角度分析和观察“数据信息”，主要是看其是否属于受法律保护的信息。根据全国人民代表大会常务委员会《关于加强网络信息保护的决定》、最高人民法院《关于审理利用信息网络侵害人身权益民事纠纷案件适用法律问题的规定》、工业和信息化部《电信和互联网用户个人信息保护规定》等规定，能够识别公民个人身份和涉及公民个人隐私的信息，都属于公民个人信息。公民个人信息包括但不限于姓名、出生日期、身份证件号码、住址、电话号码、账号和密码，使用相关服务的时间、地点等信息，以及基因信息、病历资料、健康检查资料、犯罪记录、家庭住址、私人活动等信息。
对于上述范畴内或符合上述标准的数据信息，属于公民个人信息，其收集、使用及提供应当依法取得本人的同意。
大数据业务中的数据信息还可能涉及企业商业秘密，需要结合企业商业秘密的保护予以关注。
与大数据业务相关的合同有哪些？
从商业链条上看，大数据业务是针对大数据信息的收集、加工、存储、分析、利用和对外提供而开展的一系列经营活动。
大数据业务经营主体之间的合同关系有：
（1）因收集数据信息而发生的合同关系。这是数据信息从个人或单位被提取出来、用于大数据业务的初始环节。在这个环节中，数据信息收集方收集信息可能是自用，也可能是提供给他人使用。信息提供方可能是数据本身所指向的个人或单位，也可能是征信机构等依法有权提供数据信息的主体。
（2）在将收集的数据信息转化为具有商业价值的大数据信息之前，一般需要经过加工、存储、分析、整理等环节。在这个过程中，拥有数据信息的一方与提供加工、存储、分析、整理等应用服务的主体（即“数据应用服务提供方”）之间存在着提供数据信息应用服务的合同关系。
（3）拥有数据信息的一方将应用服务形成的数据信息提供给有数据信息使用需求的主体（例如，因放贷而需要对贷款人身份资质进行审核的银行），其间形成关于提供经过加工整理后的数据信息的合同关系。
收集、使用数据信息时应当注意什么？
对于不属于公民个人信息或者商业秘密的数据信息（包括依据法律法规而公开的信息），大数据业务经营者可以直接收集、使用该等信息而无需征得用户同意，不涉及与用户之间的协议安排。因此，此处讨论的主要是在被收集信息为个人信息或者企业商业秘密的情况下，大数据业务经营者应当如何收集数据信息，需要关注哪些事项。主要包括：
（1）收集、使用该等数据信息应当事先获得用户同意。同意的方式可以是书面或口头。从证据效力角度，建议采用书面同意方式，包括承诺函、合同、电子形式等。取得同意的时点视情况可以是在收集信息阶段，也可以是在对外提供前。例如，向用户收集信息时，明确告知用户收集范围、对该等信息的使用方式，以及将信息提供给第三方，并取得用户同意，避免在后续业务中重新履行用户同意手续的成本和风险。
（2）信息收集范围应当遵循合法、正当、必要的原则。
（3）在与用户的相关协议等文件中，应当明确告知用户收集、使用信息的目的、方式和范围。其中，如果大数据业务经营者将所收集的用户信息提供给第三方的，应当就该等提供行为取得用户授权或同意。
此时，大数据业务经营者可能同时面临无效格式条款的困扰。因为用户数量众多（特别是个人用户），大数据业务经营者一般采用格式条款方式处理。这样，一方面需要通过加黑等显著方式提请用户特别关注，另一方面也存在被认定无效格式条款的法律风险。
数据信息应用服务合同需要注意哪些事项？
数据信息收集之后，往往需要经过加工、存储、分析，以挖掘其商业价值、满足客户需求，形成有价值的大数据业务成果。一般而言，数据信息的加工、存储、分析等行为可能由数据信息的收集方自行开展，也可能委托专门的数据信息应用服务提供方开展，由此在数据信息收集方、应用服务提供方之间形成了有关数据信息加工、存储、分析等行为的数据信息应用服务合同。
该类合同中，有如下事项需要特别关注：
（1）站在数据信息收集方的角度，应当注意要求数据信息应用服务提供方就其所提供应用服务的合法性做出承诺，包括但不限于对数据信息进行加工、存储、分析等行为时所使用软件、模块、技术或服务（如云服务）的不侵权等。
（2）站在数据信息收集方的角度，应当注意要求数据信息应用服务提供方承诺对于所接触到的数据信息的保密。数据信息收集方也可以通过对敏感数据信息进行清洗和脱敏处理等措施做保密处理。
（3）站在数据信息应用服务提供方的角度，应当关注数据信息收集方所收集的数据信息的合法性。例如，在合同中要求数据信息收集方承诺就数据信息的收集和使用已经依法取得信息权利人的同意。
（4）应用服务成果的效用性，也是数据信息收集方和应用服务提供方都会关注的问题。例如，数据信息应用服务提供方负责提供数据产品的商业模式分析、设计，开发相应的算法模型，形成标签数据。对于标签数据的完整、实时、功能、效用和价值，数据信息收集方当然希望应用服务提供方能够对此做出承诺，至于应用服务提供方是否做出承诺及其具体内容，则需要根据双方的商业安排、谈判地位等因素确定。
数据信息提供合同需要注意哪些事项？
数据信息的使用方，是大数据业务链条的最后一端，也是使得大数据业务价值化的最终体现者。实践中，对数据信息的使用需求是各方各面的。例如，商家为了了解消费者的消费需求和倾向，网络广告应用者为了能够定向投放广告、提升广告投放效用，银行、P2P等金融机构为了审查申请贷款人的资质和信用，都需要数据信息。当有数据信息使用需求时，需求方可能使用自行收集的数据信息，也可能使用他人提供的数据信息。在后面这种情形下，数据信息提供方与数据信息需求方或使用方之间存在数据信息提供合同。
该类合同中，需要关注的事项主要包括：
（1）数据信息的收集、使用是否取得用户的同意，是该类合同的核心问题。
首先，需要判别数据信息是否属于公民个人信息（这一点在本系列此前的问题中已有讨论）。经过加工、处理后的数据信息，可能已经无法识别、溯源到信息主体，从而不再属于公民个人信息等需要保护的信息范畴。对于该等信息，收集方与使用方之间可能直接约定信息的提供与收集，而无需再取得信息主体的同意。但是，如果提供给数据信息使用方的信息仍然含有公民个人信息等需要保护的信息，则数据信息收集方、使用方仍需要就该等信息的提供与使用取得信息主体的同意。
其次，就属于公民个人信息的数据信息的使用，一般来说，数据信息提供方、数据信息使用方需要就各自行为自行取得用户同意；但实践中，也可能存在由一方出面取得用户同意的操作。这种操作下，需要结合实际做法特别关注如何落实取得用户同意。
（2）数据信息的真实性、完整性，是数据信息使用方使用数据信息、做出商业判断的基础。因此，数据信息使用方同时关注数据信息的真实性、完整性，并要求数据信息提供方做出承诺。至于数据信息提供方是否做出承诺及其具体内容，则需要根据双方的商业安排、谈判地位等因素确定。
与征信机构的合同中需要注意什么？
征信机构是大数据业务链条中的一类特殊主体。根据从事征信业务所涉信用信息主体的不同，征信机构分为企业征信机构、个人征信机构。其中，企业征信机构负责企业、事业单位等组织的信用信息的采集、整理、保存、加工和提供；个人征信机构负责个人信用信息的采集、整理、保存、加工。根据《征信业管理条例》等规定，企业征信机构需要依法办理备案手续，个人征信机构需要依法取得资质。
征信机构的业务涉及信用信息的采集、整理、保存、加工及提供等经营行为，征信机构会就不同的行为与其他主体订立合同。例如，为采集信用信息与信息收集方订立信息收集合同，为保存信息与服务提供方订立信息存储服务合同，为加工信息与应用服务提供方订立应用服务合同，为提供信息而与信息使用方订立信息提供合同。
对于征信机构来说，根据合同的不同内容需要关注不同的事项。例如，征信机构向他人收集信息的，应当关注信息提供方是否依法拥有该等信息、是否依法有权提供（特别是涉及的信息方授权问题）；又如，征信机构就信息存储订立云计算服务合同时，要关注服务提供方是否具有相应的资质。
对于与征信机构签订合同的其他主体来说，需要关注的主要是征信机构的资质问题。征信机构的经营范围中应当有征信业务或类似表述。并且，合同约定事项应当符合征信机构的经营范围和法定资质范围内。例如，对于经营企业征信业务的征信机构，如果其主要从事的个人信息的收集和提供，可能被认为超出法定资质范围开展征信业务。