数据交易相关法律合规问题

近年来，数据已和其他要素一起融入经济价值创造的过程，2020年《中共中央国务院关于构建更加完善的要素市场化配置体制机制的意见》明确指出数据成为五大生产要素之一，2021年《数据安全法》也明确国家要建立数据交易制度，同时，《上海市数据条例》《深圳经济特区数据条例》等地方法规也在积极探索数据相关权利和范围并鼓励数据交易。
在数据商业化大势所趋的当下，数据交易模式以及合规审查便成了大家必须关注的问题。

1. 数字经济及其发展
数字经济是人类通过大数据（数字化的知识与信息）的识别—选择—过滤—存储—使用，引导、实现资源的快速优化配置与再生、实现经济高质量发展的经济形态。
G20 杭州峰会发布的《二十国集团数字经济发展与合作倡议》对数字经济的定义是：以使用数字化的知识和信息作为关键生产要素、以现代信息网络作为重要载体、以信息通信技术的有效使用作为效率提升和经济结构优化的重要推动力的一系列经济活动。
现阶段数字经济发展的核心矛盾在于我们仍在用旧的思维方式考虑未来巨变时代的需求，而又无法亲身实证以提出更加明确的方针和更好的建议。
2. 数据要素价值
只有那些参与生产经营活动并发挥重要价值的数据才被称之为数据要素。其需要符合两个条件：
① 纯电子方式，可被计算机「用」，可计算；
② 合法合规。
数据资源作为生产要素，能够提高劳动、资本、技术、土地这些传统要素的资源配置效率（乘数效应），同时数据资源存在供给源，有日益增长的需求，但尚未形成有体系的数据要素市场。
数据要素的价值和重要性需要通过数据流通来释放，这是全球共识。数据要素价值的释放取决于三类价值：
一为数据的「一次价值」，如数据资产化过程中的数据资源的产生与归集。
二为数据的「流通价值」，如数据资产化过程中的数据资产评估。
三为数据的「二次价值」，如数据资产化过程中的数据资产变现。


1. 我国现有有关数据交易方面的法律
我国的数据交易在20年之前基本处于无法可依的状态，但2021年《数据安全法》、《个人信息保护法》的生效实施，加上2017年已经生效的《网络安全法》，为中国数字经济的发展构建了三位一体法律保障，从法律层面已基本确认数据交易的总体合法性。
数据安全法，对数据交易给予了明确的、合理的表态；个人信息保护法，没有排斥个人信息的合规利用与交易。
中央申改委在第 26 次会议中也强调，在个保法和数安法出台之后，要积极探索推进数据要素市场化，加快构建以数据为关键要素的数字经济。

2. 数据交易的现存障碍
① 数据权属问题
目前法律尚未对数据权属进行界定。数据在所有者层面上的权属界定在世界范围内仍无定论，我国个保法在立法时也对权属问题进行了回避。
基于数据的特征和现有的法律框架，不能将数据权属认定为民法上的所有权，因为数据交易并不以数据提供方对数据享有传统意义上的所有权为前提。
数据安全法规定了数据权益受到保护，第七条规定「国家保护个人，组织与数据有关的权益」，可以认为数据权益具有人格权利益与财产权利益双重属性。
人格权权益。我国《民法典》第110 条规定，自然人的个人信息受法律保护，并专设第六章对隐私权和个人信息保护做了进一步的规定，保护的对象均是信息主体的人格权利益。
财产权益。数据安全法和个人信息保护法对于数据的财产权益规定尚不清晰，但是地方立法的规定对此有明确保障，如上海数据条例规定「本市依法保护自然人，法人和非法人组织在使用、加工等数据处理活动中形成的法定或者约定的财产权益，以及在数字经济发展中有关数据创新活动取得的合法财产权益。」
同时国内法院通过运用《反不正当竞争法》，逐步认可大数据成果的财产权益性质，并开始承认企业对其经营的用户信息的权益。
2017年以来，司法实践的一种新趋势就是试图激活《反不正当竞争法》第2 条的一般条款中的「合法权益」，以抽象的不正当竞争行为名义，对于非法侵入、使用企业数据等行为加以排除和救济。
② 数据资产的定价问题
数据资产是由企业拥有或者控制的，预期能够为企业带来经济利益的，能够进行计量和评估的，以物理或电子的方式记录的数据资源。
并非所有的数据都是数据资产，数据资产是能够为企业产生价值的数据资源。
要想实现数据资产的价值，前提是数据资产可发现，重点是数据资产可评估，关键是数据资产可变现。
评估数据资产价值，存在价值评估不统一、缺乏科学性等问题，制约数据资产可评估。
③ 数据交易对象问题
数据交易的数据产品可能是数据集、技术服务、使用许可等。数据交易的对象似乎是数据的使用权，这也符合行业实践的认知，但单独将数据交易归结为数据使用权的交易尚缺乏立法层面的依据支撑。
④ 个人数据交易的合规问题
《数据安全法》、《个人信息保护法》虽然没有否认个人数据可以进行交易，但没有明确界定合规的「度」在哪里，即法律允许的可供交易的个人数据范围，可能会涉及对信息主体进行原始收集的知情同意范围，也可能会涉及到匿名化问题。
3. 未来市场数据交易的发展趋势
目前市场数据交易的体量大，未来数据交易肯定会加速发展。因为现在属于试运行阶段，但只要把规则体系建立好，数据交易的量肯定会随着政策的明朗而增加。
4. 数据交易后应禁止对个人信息进行识别
这是一个敏感问题，目前没有法律去禁止识别到个人。但在未来，我认为应该要通过法律的规定对讲去标识化的数据识别到个人的行为进行限制甚至禁止。
交易双方也可以在合同中约定，数据的受让方不能讲去标识化的个人数据识别到个人，否则就背离了交易的目的，会增加风险。
同时，在数据交易所也有着交易的潜规则，即不允许无目的的购买数据，而应告知购买数据将会运用的场景等，这也有利于保护数据交易的安全。
5. 数据交易的主体在法律上没有明确限制
目前法律对数据交易主体并没有明确的限制，只要是基于合法的目的、合法的理由，满足个保法的规定，即可以进行数据交易。
征信机构属于持牌的特殊机构，可以作为数据需求方，从数据提供方处购买数据，这是被法律所允许的，人民银行的征信管理办法都有对此进行规定。
但征信机构对数据提供方的审查义务要求将会更严格，比如请外部的中介机构出具评估意见以确认数据的来源是否合法。

1. 数据交易模式的分类
目前我国北京、上海、深圳都分别成立了数据交易所，将数据交易模式分为场外与场内两种交易模式，有利于监管部门的架构。
2. 场内数据交易的价值
①有助于数据交易的公开透明，对数据交易市场的培育具有积极意义
② 有利于降低数据出让方的交易成本，从场外的一对一谈判转为场内的一对多挂牌
③有助于减少数据受让方的合规顾虑和责任承担，挂牌的数据产品均经过合规评估和交易所的审核
④ 有助于更加有效率地挖掘数据的潜在二次价值
3. 场内数据交易的流程
以上海数据交易所为例，数据供给方将通过合规评估的数据集或数据服务产品在上海数据交易所公开挂牌，数据需求方可以依照场景需要对挂牌数据进行点选，供需双方自主确定交易价格和交付方式，通过上海数据交易所签订交易合同后进行交易。
交易合同应载明数据内容、应用场景、交易价格、交付方式等。通过上海数据交易所开展的数据交易不涉及标准化合约，不采取集中交易，不涉及连续竞价。
第一，挂牌的企业进行合规登记，提交数据产品说明书，交易所进行审核。
第二，挂牌企业对数据产品进行合规评估。
第三，挂牌企业对数据产品进行质量评估。
第四，交易所审核通过之后，挂牌企业可以将数据产品在数据交易所的平台上挂牌，并持有相应凭证等等。
第五步，挂牌企业或亲自与买家对接，或通过数据经纪商与买家进行交易。
第六步，双方签订交易协议。
第七步，交付数据。通过双方约定的合法的方式进行交付并结算。



1. 关于公司的基础背景调查
该部分的审核目的在于确定数据交易主体是否具备法律所规定的从事民事活动的主体资格及行为能力，是否具备进行数据交易行为的主体资格。
主要审查内容可能包括：
① 主要业务类型，尤其是涉及数据领域的业务概况;
② 公司信用情况;
③ 公司涉诉和行政处罚情况。是否在过去三年有数据相关行政处罚和诉讼以及其它重大涉诉和行政处罚案件;
④ 交易数据产品的动因、用途或目的及其可能利益相关方;
⑤ 企业是否按照《个人信息保护法》的要求充分履行了个人信息保护相关的义务也应当考虑纳入主体合规评估的要素;
⑥ 数据交易主体是否被认定为关键信息基础设施，是否属于特殊监管行业，是否具有其它特殊监管要求等也可能成为评估内容之一。
2. 数据产品的数据来源合法性
在数据交易的情境下，数据来源的方式「合法、正当”」是企业固定与构筑自身数据资产的第一步，也是数据产品得以交易的首要原则。
合法的数据来源包括：
① 公开收集。如果是通过爬取等方式获取公开数据，应当说明其合法正当;
② 自行生产，应当提供其系统运行和记录形成情况说明;
③ 合法间接获取，应当提供购买协议或许可使用协议等;
④ 合法的直接采集，涉及个人信息的数据已经获得个人同意，或者遵循数据采集合法基础的其他来源。
对于拟参与数据交易的企业有以下建议：
① 在内部建立数据来源区分和审查制度，从数据来源这一最初环节做好数据隔离与风险排除；
② 对数据授权相关协议进行全面的审查，确保相应的数据获取协议不会对后续数据产品的形成和流通形成障碍。
3. 数据产品的可交易性
目前法律上没有规定可以进行交易的数据类型，尚无可以进行交易的数据类型的正面清单，但是可以从负面清单角度保障数据交易的合法性。
目前可交易的数据产品不应包含：
① 未经权利人同意的个人数据；
② 可能危害国家安全和公共利益的数据，包括未经政府主管部门同意交易的重要数据以及任何核心数据;
③ 其它法律法规禁止交易的数据。
4. 数据产品的流通风险
① 拟挂牌的数据产品需明确界定使用场景，鉴于数据产品的特殊性，数据交易秉承「无场景不交易」的原则，数据交易必须预设适用场景，以发挥数据的价值，也避免的无序和违法利用。
② 拟挂牌的数据产品应当限定数据使用条件和约束机制，例如对数据使用主体的资质和使用期限、能否转售、再许可作出明确要求。
③ 数据产品本身的可流通性要考察数据流通是否有任何特殊限制。例如《数据安全法》第三十四条规定，「法律、行政法规规定提供数据处理相关服务应当取得行政许可的，服务提供者应当依法取得许可」，即数据交易主体应在取得相应资质或者许可牌照的前提下开展合规的数据处理服务与经营活动。
数据产品的供应和获取是否都受限于特定的前置性证照，是数据产品流通性应当重点考察的要素之一。
④ 企业是否存在相应的数据安全风险预防、管理和处置措施。
⑤ 是否涉及数据出境。上海数交所首批挂牌数据产品基本都是针对境内主体，但是，未来数据产品涉及境外主体、数据跨境流动或被境外访问的情况是可能的，届时需要符合法律法规和监管对此的具体要求。