论文部分内容阅读
【摘 要】在大数据时代，数据承载了巨大的价值，数据权利体系的建设成为立法的当前任务。保护数据权利，至关重要的就是明确个人信息权和企业数据权的界限，在此基础之上，应当注重对未脱敏个人信息的保护，不仅是基于隐私的被动保护，也要从个人支配权的层面，主动赋予个人的信息支配权;同时也要承认企业对已脱敏的衍生数据享有所有权，将企业数据权利定位为一种具有财产属性的独立于物权、债权和知识产权的新兴财产权利进行保护。
【关键词】大数据个人信息权数据权企业数据
一、大数据时代下数据权利保护的必要性
当前的时代是一个数据的时代，数据变成价值的代名词之一。疫情当下，云生活方式的迅速发展进一步催生了数据的产生，伴随着数字经济新业态和新模式，数据产业也不断变革，数据的价值也日益受到重视。
大数据对社会生活的方方面面产生了前所未有的影响，也在各个法律部门中引发了许多值得研究的新问题。其中，最为重要的是个人信息权利和企业数据权利的界限以及保护的问题。一方面，社会生活的日益数字化以及收集、存储数据成本不断降低，每个人时刻作为数据的来源主体，海量个人信息被收集、存储和利用，即便是众多原本与个人无关的数据，随着数据收集的数量、种类的增加以及机器计算能力的增强，也使得数据的收集与使用者极容易在这些数据间建立相关关系，从而准确地对特定个人过往活动轨迹加以捕捉并预测其未来行为的选择。倘若不能充分地保护个人信息权利，就很容易出现非法收集、出售和利用个人信息，侵害个人人格权、财产权的问题。[1]另一方面，海量的个人信息蕴涵着巨大的经济价值与战略价值。企业通过技术处理，使得数据产生巨大的价值从而推动数据技术的发展。倘若法律不给予企业数据权利相应的保护，不承认企业对于数据信息所享有的相应的权利，不仅会阻碍数据产业的发展，更会在全球数据潮流中被淘汰。
我国也日益重视信息数据安全法律体系的完善，相继出台了《个人信息保护法（草案）》和《数据安全法（草案）》，界定了个人信息的含义和保护手段以及数据的含义及保护手段，这大大推动了我国信息数据安全立法的进程。然而两个草案的颁布更多的是保护广义的个人信息以及从国家数据安全治理的角度去建立数据安全制度，对于个人信息全和企业数据权的界定与保护方面仍有不足。因此，笔者认为，在整体的信息数据法律体系的构建与完善中，仍应当继续考虑个人信息权和企业数据权在数据的发展链条中二者的界限，明确两种权利的权利客体和权利属性，并有针对性地进行保护，从而实现个人与国家的信息数据安全。
二、个人信息权利与企业数据权利的界限
（一）“数据”与“个人信息”
数据安全法（草案）对于数据的界定是指任何以电子或者非电子形式对信息的记录。个人信息保护法（草案）中对于个人信息的界定就是未经脱敏处理的信息，是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。
根据最新出台的这两个草案中对于数据和个人信息的界定，不难看出我国立法趋势对于数据和信息并不是做泾渭分明的区分，数据与个人信息都是信息保护体系之内的，数据安全中的信息是广义的信息记录，而个人信息则是更有识别性的小数据。数据安全法主要关注数据的宏观层面的安全，个人信息保护法则主要关注数据信息微观层面的安全。[2]
在大数据时代下的数据产业链中，链条的起点是单个的自然人的信息。由个人信息到数据的发展过程是一个数据开放和共享的模式，这种模式目前有三种方式，主动收集、义务提供和自愿公开。实现数据的开放和共享，除了依靠主动收集、义务提供或者自愿公开外，更多的是需要在平等民事主体之间基于合同而自发进行的数据交易。[3]
数据开放与共享的过程是一个数据产业链，也是数据权利的一个生命发展周期。在这个周期中有多方参与主体，自然人、数据处理者、数据控制者等等。厘清数据全生命周期参与主体之间的权利义务关系和责任边界是构建数据权利法律保护体系的前提，要厘清各主体之间的权利义务关系和责任边界，至关重要的就是明确个人信息权利和企业数据权利的分界线。
（二）数据信息的“脱敏”
从包含人身属性的个人信息到包含财产属性的企业数据，判断权利界限的标准为是否“脱敏”。这里的“敏”又可以称为个人信息的“可识别性”。个人信息的含义是任何已识别或可识别的自然人相关的信息。一个可识别的自然人是一个能够被直接或间接识别的个体，特别是通过诸如姓名、身份编号、地址数据、网上标识或者自然人所特有的一项或多项的身体性、生理性、遗传性、精神性、经济性、文化性或社会性身份而识别个体。[4]脱敏数据实际上就是阻断了其与自然人之间的关联，自然人不再是脱敏数据权利主体。对此可以从以下两个方面予以理解：第一，当数据完成脱敏之后，其不再具有识别性，无法再构成“个人信息”。个人信息受到法律保护来源于其对于个人的识别性，无论是直接识别或是间接识别。如（个人信息）它可以定义为属于一个人的各种可识别信息。像名字、地址、健康情况、婚姻状况、性取向、民族血统、政治观点等信息都是个人数据。或个人信息是一个内容广泛的术语，不仅包括关于性别、色会关系和职业的信息，也包括关于金融、银行账户明细等信息。国内立法也均以识别性来界定个人信息。如欧盟《基本数据保护条例》第四条将个人数据（Personal Data）界定为识别或可识别自然人（数据主体）的任何有关信息。日本《个人信息保护法》第二条规定：“个人信息是指有生命的自然人的相关信息，该信息包括姓名、生辰年月以及其他可以识别特定个人的记录信息（也包括可以和其他信息对照从而识别特定个人的信息）。”我国个人信息保护法草案中对于个人信息的界定以及网络安全法对个人信息的界定也是以是否脫敏、是否具有可识别性作为重要特征。如前所述，数据脱敏即完成了数据的匿名化、去识别化，其不再是属于个人信息的信息，自然人不再是脱敏数据权利主体。第二，被广泛应用和流转的脱敏数据的原权利人众多。数据原权利人是与大数据控制人相对应的一个法律概念，是实然状态下的大数据中所包含的各类数据的原始权利主体。在大数据环境下，随着社会数据化、生活数据化的浪潮，自然人的个人信息也被普遍地搜集和利用，其已经成为极其重要的数据原权利人。但是大数据的根本特征之一就是数量大，具有价值的脱敏数据往往也是对于众多自然人的信息予以脱敏和处理，从而具有较大的经济价值。[5] 也有学者称经过脱敏处理之后的数据为“衍生数据”[6]。《电子商务法》也有类似的条文设计，即第五十条：“电子商务经营主体交换共享电子商务数据信息的，应当对数据信息进行必要的处理，使之无法识别特定个人及其终端，并且无法复原。”由此可见，在数据交易市场的具体实践中，用于交易的数据通常为一种基于特定目的处理后产生的“衍生数据”。这种特定目的通常有两层含义：第一层即降低对公共利益和个人利益产生危害的风险，第二层即满足买方需求。具体而言，“原生数据”和“衍生数据”是两个相对概念，前者是指通过合法的收集、记录、存储手段而产生的数据，可以理解为是对现实世界的最客观描述，而后者是指基于特定目的，利用算法对“原生数据”进行清洗、脱敏、匿名、加工、计算、聚合等处理后而成的系统的、可读取（计算机数据处理系统）的数据。虽然，“衍生数据”的产生是一种踵事增华的过程，但其也是一种客观性表达，并不是分析概括的结论，即仍旧在具备大数据特征的前提下保持了真实、客观、可靠的数据质量。被合法的收集、记录和储存是“原生数据”的重要技术特征，而清洗、脱敏、匿名、加工、计算、聚合等处理则是“衍生数据”的重要技术特征。一般情况下，我们很难概括、归类“原生数据”，因为它是无序、不规则的，但是“衍生数据”会有一个较为明确的归属类目。通常而言，两者的产生会有一个明显的前后时间过程，但是随着大数据产业的发展，必然会产生专门提供数据收集、记录、存储、清洗、脱敏、匿名、加工、计算、聚合等服务的企业，同时伴随着数据处理技术的发展，可能会使“原生数据”与“衍生数据”产生时间的间隔被无限缩短，即在收集、记录的同时就完成清洗、脱敏、匿名、加工、计算、聚合等处理。也就是说，两者在时间上融为一体。但是并不能因此就认为只有“原生数据”而没有“衍生数据”。
由此可见，个人信息权利与企业数据权利的界限主要在于权利客体的区分，即数据信息是否经过脱敏处理，也可以称之为“原生数据”与“衍生数据”。
三、个人信息权利的权利属性与法律保护
明确了个人信息权利和企业数据权利的界限，就可以具体分析权利客体及由客体所决定的权利属性了。
（一）个人信息权客体的双重属性
个人信息权的权利客体是具有人身属性和一定财产属性的个人信息，即“原生数据”。个人信息关键在于“已识别或可识别”的特征，即“识别就是指个人信息与信息主体存在于某一客观确定的可能性，简单的说就是通过这些个人信息能够把信息主体直接或间接地认出来”。
个人信息能够与特定个人产生连接，对其处理会对该自然人的生活造成影响甚至损害，这正是个人信息需要被保护的原因。识别的可能性指向的是个人某一方面特征。这种特征可能是涉及个人最私密领域，与个人隐私、个人尊严息息相关，也可能无关人格尊严但可以为个人带来经济利益，还有可能以上二者兼具。所以个人信息承载的既有个人人格利益，也有财产利益。个人信息的人格利益与财产利益并非泾渭分明，二者常常混杂于一。人格商品化趋势下，人格权的经济利益被放大，个人信息的人格利益与财产利益之间分出了依存关系：个人信息的人格利益亦能“开发个人特征经济价值中所得的一种类似财产的利益”。可见个人信息兼具人格利益与财产利益。其中财产利益来源有二：一为个人信息本就负载的财产利益;二是人格利益通过技术手段产生的财产利益。[7]
（二）个人信息权的权利属性
个人信息的法律保护核心在于完善个人信息权利轮廓，个人信息的权利配置是针对个人信息负载利益的确权，促进个人信息作为资源的优化配置。学界关于个人信息权的权利属性颇多争议，概括而言有三种观点：人格权说、财产权说、隐私权说。
以王利明教授为代表的民法学者主张个人信息权是一种独立人格权。[8]人格权说认为个人信息是个人日常生活的忠实记录，个人的一言一行、所思所想都可以通过网络以数据的形式记录并保留。加之随着算法的迭代，数据挖掘能力越强因而数据间关联性也愈加紧密，直接的影响就是个人的几乎所有行为和想法都可以在瞬间被以数据形式收集、记录、整理与储存。这些个人信息组合而成的就是足以反映特定个人人格的关键信息。
财产权说认为，个人信息的可识别性及由此形成的数据化人格拼图，使得日常生活中个人的行为偏好或社会关系、生理特征都可以通过网络被处理以及商业化利用。并且随着数据挖掘技术的进步，数据与数据之间的关联性越来越强，大数据分析技术水平的提高进一步使数据的商业价值得到了充分放大。所以，附着在个人信息上的种种经济价值得以体现，使其具备了财产属性。
隐私权说中有观点提出，隐私权升级为个人信息控制权包含个人信息权，这是“个人、团体或机构自由地决定在何时、用何种方式、在何种程度向他人传递与自己有關的信息的权利主张”。[9]王泽鉴教授也主张“隐私权包括保护私生活不受干扰及信息自主两个生活领域”。[10]
笔者认为，个人信息权是由于大数据技术迅猛发展带来的社会关系现实的重大变化而产生的此前未曾出现过的权利形态。个人信息权是一种多元权利，其以个人信息为权利客体，兼具人格权特性与财产权特性。本文建议应当将个人信息权利定位为权利丛，给予其基于个人信息人格属性和财产属性的双重价值面向的权利设置。
（三）个人信息保护的新课题与保护
大数据时代对个人信息保护提出了新的要求，个人信息保护也面临着各种新的课题。虽然个人信息保护法草案和网络安全对个人信息都提出了明确的界定，但是在司法实践中仍然存在个人信息保护客体认定的模糊地带。
如手机通讯录以及好友列表等通讯录是否属于个人信息，其他手机app是否可以未经个人的同意而使用。深圳南山法院今日做出关于微信好友通讯录归属的判决，在判决中，法院认定原告所主张的微信好友关系既未包含其不愿为他人所知晓的私密关系，他人也无法通过其微信好友关系对其人格做出判断从而导致其遭受负面或不当评价，这一判决引发学界热议。有学者认为包括好友列表、手机号列表在内的通讯录不论是从生活逻辑还是法律逻辑来讲，彰显的是双向的联系，没有人有权不经过另一方的同意而向他人披露通讯录这种联系媒介。[11]笔者认为，通信录等数据信息是未经脱敏处理的信息，根据追踪可以识别到个人，如果认定为企业所有，那么会造成整条数据链上的侵权。同时这也是一种数据可携权，是个人信息权的子权利[12]，从这个角度来讲，数据可携权的客体即包含微信好友关系、电话号码通讯录在内的信息也是个人信息的范畴，深圳南山法院的判决将其认定为企业所有，实属不妥，而是应当纳入个人信息保护的范畴。除此之外，大数据时代下个人信息也不止于文字性信息，人脸识别技术为人们生活带来极大便利的同时，也产生了大量人脸数据信息，当前对于人脸信息的保护也存在漏洞，人脸信息收集的界限也非常模糊。 个人信息在大数据时代下呈现形式多样的特征，难以通过定义来全面覆盖，因此在认定个人信息以及个人信息保护的过程中，应当明确大数据时代个人信息保护的价值基础在于保护个人信息之上所承载的人格利益，通过公法保护和司法保护的双重路径来对个人信息进行实践中的认定，并通过尽快完善信息数据法律体系，通过多个部门法相互衔接与配合形成综合治理体系来对个人信息形成全方位的保护。[13]另一方面，对于个人信息的保护也不能陷入被动隐私保护的窠臼，而是应当重视个人对于信息的支配权，手机app企业在获取个人信息时应当征得信息所有权人的同意，增加拒绝并使用的权利，避免因拒绝被获取信息而不能获得产品服务的现象发生。
四、企业数据权利的权利属性与法律保护
（一）企业数据权客体的财产属性
企业数据权的权利客体是具有财产属性的“衍生数据”。所谓财产，概括而言是指对人具有经济价值的一切事物，并必须具备三个要件：具有经济价值;须不属于自然人的人格;须人力能够支配。“衍生数据”全部符合，首先，“衍生数据”的商品化趋势已经证明了其具有经济价值，能够满足人们的某种需要且能够用金钱来衡量;其次，“衍生数据”是经过清洗等处理后产生的数据，不含有涉及具体某个自然人格的内容要素，故不属于自然人的人格;最后，随着数据采集、存储、传输、运算技术等相关设备和技术的不断升级，“衍生数据”早已能够被人力所支配。
（二）企业数据权的权利属性
“衍生数据”的财产权客体之位一切财产都反映着权利。具备财产属性的“衍生数据”亦是如此。关键在于，其对应于何种财产权利，传统的物权、债权、知识产权等主要财产权利的客体范畴是否能容纳之？而这又是由“衍生数据”的本质和物理特征决定。就其本质而言，笔者认为，现今技术背景下，数据已并非为记录于传统载体媒介上的数字符号，而是通过计算机实现的数据化的信息。数据和信息作为载体和内容，两者高度融合，不同于传统纸媒与信息本身的割裂，以电子形式存在的数据与信息具有高度对应性。数据承载着信息的内容，信息决定着数据的价值，数据化的信息能够在计算机技术层面被使用。就其物理特征而言，“衍生数据”同时具有无形、可复制、非消耗这三种主要的物理特征。首先，“衍生数据”作为数据化的信息无形无体，只有载体是有形有体的，这使得其在一定时空条件下，可以被若干主体共同使用;其次，“衍生数据”作为数据化的信息可以被无限复制;最后，“衍生数据”作为数据化的信息，在使用过程中并不会发生物理损耗。
由此可知，“衍生数据”作为一种独立于人主观之外的客观存在，显然不是一種民事主体之行为，无法成为债权的客体。但是，在法律尚未明确的情况下，我国的数据交易市场在尝试适用物权制度来推进市场的发展。物权以物为客体，但何谓物，通常认为物系指除人之身体外，凡能为人力所支配，具有独立性，能满足人类社会生活需要的有体物和自然力。但“衍生数据”本身的无形、可复制、非消耗等特征不同于物之独立性、有体性（包括固态、气态、液态）等特征，因此“衍生数据”亦无法成为物权客体之“物”，故不适合用物权所有权制度予以保护。也有学者认为，企业数据权利的权利保护路径可以选择知识产权的路径，因为“衍生数据”的本质及其所具备的无形、可复制、非消耗等物理特征，故其与知识产权客体特征基本一致，可将其视为一种“智力成果”“知识产品”或者视为一种“信息”。[14]
笔者认为，从目前已经明确的知识产权客体范畴中，很难为“衍生数据”觅得一席之地，即使其与著作权客体汇编作品中的数据库以及另一知识产权客体商业秘密在表征上具有一定程度的类似，但是其并不能完全适用后两者的相关法律制度。并且其并不是完全意义上的创造性智慧劳动的产物，不具有完全意义上的创造性。因此，笔者认为应当将“企业数据权”定位为与物权、债权、知识产权并列的一种新型财产权来进行保护。
企业数据权的客体就是具有经济价值的“衍生数据”，主体是数据控制者即企业，在区分个人数据和企业数据的基础上，企业数据权的主体与个人信息权的主体的划分是以数据脱敏、处理、分析为分界线的。内容是权利主体的利益所在，即数据控制者在合法取得数据后，对数据享有的控制、使用、收益的权利。这种权利类似于占有权，是数据控制者对数据财产支配、排他状态的保护。[15]
随着数据经济的发展，企业数据已成为独立于个人信息的数据产品，应当作为一种新型财产权来纳入财产权保护的宏观框架中。构建中的信息数据法律体系在重视个人信息保护的同时，也要保护企业的数据权利，这样才能够平衡各方利益关系，维护数据环境的秩序与安全。
五、总结
在大数据环境下，数据承载了巨大的价值，数据权利体系的建设成为立法的当前任务。保护数据权利，至关重要的就是明确个人信息权和企业数据权的界限，及是否经过“脱敏”处理去掉“可识别性”的特征。在此基础之上，应当给予其基于个人信息人格属性和财产属性的双重价值面向的权利设置;同时将企业数据权利定位为一种具有财产属性的独立于物权、债权和知识产权的新兴财产权利进行保护。由此适应国际对于数据保护的步伐，建立适应我国国情的信息数据法律保护体系。
参考文献：
[1]程啸.论大数据时代的个人数据权利[J].中国社会科学，2018（03）.
[2]陈俊华.大数据时代数据开放共享中的数据权利化问题研究[J].图书与情报，2018（04）.
[3]丁晓东.什么是数据权利？——从欧洲《一般数据保护条例》看数据隐私的保护[J].华东政法大学学报，2018（04）.
[4]王肃之.大数据环境下法人信息权的法律保护——以“脱敏”数据权利为切入点[J].当代经济管理，2018-8（8）.
[5]温昱.个人数据权利体系论纲——兼论《芝麻服务协议》的权利空白[J].甘肃政法学院学报，2019（02）.
[6]王利明.论个人信息权的法律保护——以个人信息权与隐私权的界分为中心[J].现代法学，2013（4）.
[7]袁治杰.数据安全法草案的三“不安”.载于微信公众号“O2O法治研究中心”，2020.7.27.
[8]袁治杰.你的微信好友关系属于你吗？.载于微信公众号“O2O法治研究中心”，2021.2.8.
[9]高宁宁.数据可携权的建构与隐私保护[J].北京城市学院学报，2020（4）.
[10]时明涛.大数据时代个人信息保护的困境与出路——基于当前研究现状的评论与反思[J].科技与法律，2020（5）.
[11]祝艳艳.大数据时代企业数据保护的困境及路径建构[J].征信，2020（12）.
[12]Alan F Westin. Privacy and Freedom. New York：Atheneum，1967. 转引自郭瑜.个人数据保护法研究[M].北京大学出版社2012年版.
[13]王泽鉴.人格权法：法释义学、比较法、案例研究[M].北京大学出版社2013年版.
[14]陈俊华，《大数据时代数据开放共享中的数据权利化问题研究》，载于《图书与情报》2018年第4期。
[15]祝艳艳，《大数据时代企业数据保护的困境及路径建构》，载于《征信》，2020年第12期。
作者简介：
马青琳（1996.2—），女，汉族，山东临沂人，北京师范大学法学院，18级在读研究生，硕士学位，专业：民商法学，研究方向：商法学。
（作者单位：北京师范大学）
【关键词】大数据个人信息权数据权企业数据
一、大数据时代下数据权利保护的必要性
当前的时代是一个数据的时代，数据变成价值的代名词之一。疫情当下，云生活方式的迅速发展进一步催生了数据的产生，伴随着数字经济新业态和新模式，数据产业也不断变革，数据的价值也日益受到重视。
大数据对社会生活的方方面面产生了前所未有的影响，也在各个法律部门中引发了许多值得研究的新问题。其中，最为重要的是个人信息权利和企业数据权利的界限以及保护的问题。一方面，社会生活的日益数字化以及收集、存储数据成本不断降低，每个人时刻作为数据的来源主体，海量个人信息被收集、存储和利用，即便是众多原本与个人无关的数据，随着数据收集的数量、种类的增加以及机器计算能力的增强，也使得数据的收集与使用者极容易在这些数据间建立相关关系，从而准确地对特定个人过往活动轨迹加以捕捉并预测其未来行为的选择。倘若不能充分地保护个人信息权利，就很容易出现非法收集、出售和利用个人信息，侵害个人人格权、财产权的问题。[1]另一方面，海量的个人信息蕴涵着巨大的经济价值与战略价值。企业通过技术处理，使得数据产生巨大的价值从而推动数据技术的发展。倘若法律不给予企业数据权利相应的保护，不承认企业对于数据信息所享有的相应的权利，不仅会阻碍数据产业的发展，更会在全球数据潮流中被淘汰。
我国也日益重视信息数据安全法律体系的完善，相继出台了《个人信息保护法（草案）》和《数据安全法（草案）》，界定了个人信息的含义和保护手段以及数据的含义及保护手段，这大大推动了我国信息数据安全立法的进程。然而两个草案的颁布更多的是保护广义的个人信息以及从国家数据安全治理的角度去建立数据安全制度，对于个人信息全和企业数据权的界定与保护方面仍有不足。因此，笔者认为，在整体的信息数据法律体系的构建与完善中，仍应当继续考虑个人信息权和企业数据权在数据的发展链条中二者的界限，明确两种权利的权利客体和权利属性，并有针对性地进行保护，从而实现个人与国家的信息数据安全。
二、个人信息权利与企业数据权利的界限
（一）“数据”与“个人信息”
数据安全法（草案）对于数据的界定是指任何以电子或者非电子形式对信息的记录。个人信息保护法（草案）中对于个人信息的界定就是未经脱敏处理的信息，是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。
根据最新出台的这两个草案中对于数据和个人信息的界定，不难看出我国立法趋势对于数据和信息并不是做泾渭分明的区分，数据与个人信息都是信息保护体系之内的，数据安全中的信息是广义的信息记录，而个人信息则是更有识别性的小数据。数据安全法主要关注数据的宏观层面的安全，个人信息保护法则主要关注数据信息微观层面的安全。[2]
在大数据时代下的数据产业链中，链条的起点是单个的自然人的信息。由个人信息到数据的发展过程是一个数据开放和共享的模式，这种模式目前有三种方式，主动收集、义务提供和自愿公开。实现数据的开放和共享，除了依靠主动收集、义务提供或者自愿公开外，更多的是需要在平等民事主体之间基于合同而自发进行的数据交易。[3]
数据开放与共享的过程是一个数据产业链，也是数据权利的一个生命发展周期。在这个周期中有多方参与主体，自然人、数据处理者、数据控制者等等。厘清数据全生命周期参与主体之间的权利义务关系和责任边界是构建数据权利法律保护体系的前提，要厘清各主体之间的权利义务关系和责任边界，至关重要的就是明确个人信息权利和企业数据权利的分界线。
（二）数据信息的“脱敏”
从包含人身属性的个人信息到包含财产属性的企业数据，判断权利界限的标准为是否“脱敏”。这里的“敏”又可以称为个人信息的“可识别性”。个人信息的含义是任何已识别或可识别的自然人相关的信息。一个可识别的自然人是一个能够被直接或间接识别的个体，特别是通过诸如姓名、身份编号、地址数据、网上标识或者自然人所特有的一项或多项的身体性、生理性、遗传性、精神性、经济性、文化性或社会性身份而识别个体。[4]脱敏数据实际上就是阻断了其与自然人之间的关联，自然人不再是脱敏数据权利主体。对此可以从以下两个方面予以理解：第一，当数据完成脱敏之后，其不再具有识别性，无法再构成“个人信息”。个人信息受到法律保护来源于其对于个人的识别性，无论是直接识别或是间接识别。如（个人信息）它可以定义为属于一个人的各种可识别信息。像名字、地址、健康情况、婚姻状况、性取向、民族血统、政治观点等信息都是个人数据。或个人信息是一个内容广泛的术语，不仅包括关于性别、色会关系和职业的信息，也包括关于金融、银行账户明细等信息。国内立法也均以识别性来界定个人信息。如欧盟《基本数据保护条例》第四条将个人数据（Personal Data）界定为识别或可识别自然人（数据主体）的任何有关信息。日本《个人信息保护法》第二条规定：“个人信息是指有生命的自然人的相关信息，该信息包括姓名、生辰年月以及其他可以识别特定个人的记录信息（也包括可以和其他信息对照从而识别特定个人的信息）。”我国个人信息保护法草案中对于个人信息的界定以及网络安全法对个人信息的界定也是以是否脫敏、是否具有可识别性作为重要特征。如前所述，数据脱敏即完成了数据的匿名化、去识别化，其不再是属于个人信息的信息，自然人不再是脱敏数据权利主体。第二，被广泛应用和流转的脱敏数据的原权利人众多。数据原权利人是与大数据控制人相对应的一个法律概念，是实然状态下的大数据中所包含的各类数据的原始权利主体。在大数据环境下，随着社会数据化、生活数据化的浪潮，自然人的个人信息也被普遍地搜集和利用，其已经成为极其重要的数据原权利人。但是大数据的根本特征之一就是数量大，具有价值的脱敏数据往往也是对于众多自然人的信息予以脱敏和处理，从而具有较大的经济价值。[5] 也有学者称经过脱敏处理之后的数据为“衍生数据”[6]。《电子商务法》也有类似的条文设计，即第五十条：“电子商务经营主体交换共享电子商务数据信息的，应当对数据信息进行必要的处理，使之无法识别特定个人及其终端，并且无法复原。”由此可见，在数据交易市场的具体实践中，用于交易的数据通常为一种基于特定目的处理后产生的“衍生数据”。这种特定目的通常有两层含义：第一层即降低对公共利益和个人利益产生危害的风险，第二层即满足买方需求。具体而言，“原生数据”和“衍生数据”是两个相对概念，前者是指通过合法的收集、记录、存储手段而产生的数据，可以理解为是对现实世界的最客观描述，而后者是指基于特定目的，利用算法对“原生数据”进行清洗、脱敏、匿名、加工、计算、聚合等处理后而成的系统的、可读取（计算机数据处理系统）的数据。虽然，“衍生数据”的产生是一种踵事增华的过程，但其也是一种客观性表达，并不是分析概括的结论，即仍旧在具备大数据特征的前提下保持了真实、客观、可靠的数据质量。被合法的收集、记录和储存是“原生数据”的重要技术特征，而清洗、脱敏、匿名、加工、计算、聚合等处理则是“衍生数据”的重要技术特征。一般情况下，我们很难概括、归类“原生数据”，因为它是无序、不规则的，但是“衍生数据”会有一个较为明确的归属类目。通常而言，两者的产生会有一个明显的前后时间过程，但是随着大数据产业的发展，必然会产生专门提供数据收集、记录、存储、清洗、脱敏、匿名、加工、计算、聚合等服务的企业，同时伴随着数据处理技术的发展，可能会使“原生数据”与“衍生数据”产生时间的间隔被无限缩短，即在收集、记录的同时就完成清洗、脱敏、匿名、加工、计算、聚合等处理。也就是说，两者在时间上融为一体。但是并不能因此就认为只有“原生数据”而没有“衍生数据”。
由此可见，个人信息权利与企业数据权利的界限主要在于权利客体的区分，即数据信息是否经过脱敏处理，也可以称之为“原生数据”与“衍生数据”。
三、个人信息权利的权利属性与法律保护
明确了个人信息权利和企业数据权利的界限，就可以具体分析权利客体及由客体所决定的权利属性了。
（一）个人信息权客体的双重属性
个人信息权的权利客体是具有人身属性和一定财产属性的个人信息，即“原生数据”。个人信息关键在于“已识别或可识别”的特征，即“识别就是指个人信息与信息主体存在于某一客观确定的可能性，简单的说就是通过这些个人信息能够把信息主体直接或间接地认出来”。
个人信息能够与特定个人产生连接，对其处理会对该自然人的生活造成影响甚至损害，这正是个人信息需要被保护的原因。识别的可能性指向的是个人某一方面特征。这种特征可能是涉及个人最私密领域，与个人隐私、个人尊严息息相关，也可能无关人格尊严但可以为个人带来经济利益，还有可能以上二者兼具。所以个人信息承载的既有个人人格利益，也有财产利益。个人信息的人格利益与财产利益并非泾渭分明，二者常常混杂于一。人格商品化趋势下，人格权的经济利益被放大，个人信息的人格利益与财产利益之间分出了依存关系：个人信息的人格利益亦能“开发个人特征经济价值中所得的一种类似财产的利益”。可见个人信息兼具人格利益与财产利益。其中财产利益来源有二：一为个人信息本就负载的财产利益;二是人格利益通过技术手段产生的财产利益。[7]
（二）个人信息权的权利属性
个人信息的法律保护核心在于完善个人信息权利轮廓，个人信息的权利配置是针对个人信息负载利益的确权，促进个人信息作为资源的优化配置。学界关于个人信息权的权利属性颇多争议，概括而言有三种观点：人格权说、财产权说、隐私权说。
以王利明教授为代表的民法学者主张个人信息权是一种独立人格权。[8]人格权说认为个人信息是个人日常生活的忠实记录，个人的一言一行、所思所想都可以通过网络以数据的形式记录并保留。加之随着算法的迭代，数据挖掘能力越强因而数据间关联性也愈加紧密，直接的影响就是个人的几乎所有行为和想法都可以在瞬间被以数据形式收集、记录、整理与储存。这些个人信息组合而成的就是足以反映特定个人人格的关键信息。
财产权说认为，个人信息的可识别性及由此形成的数据化人格拼图，使得日常生活中个人的行为偏好或社会关系、生理特征都可以通过网络被处理以及商业化利用。并且随着数据挖掘技术的进步，数据与数据之间的关联性越来越强，大数据分析技术水平的提高进一步使数据的商业价值得到了充分放大。所以，附着在个人信息上的种种经济价值得以体现，使其具备了财产属性。
隐私权说中有观点提出，隐私权升级为个人信息控制权包含个人信息权，这是“个人、团体或机构自由地决定在何时、用何种方式、在何种程度向他人传递与自己有關的信息的权利主张”。[9]王泽鉴教授也主张“隐私权包括保护私生活不受干扰及信息自主两个生活领域”。[10]
笔者认为，个人信息权是由于大数据技术迅猛发展带来的社会关系现实的重大变化而产生的此前未曾出现过的权利形态。个人信息权是一种多元权利，其以个人信息为权利客体，兼具人格权特性与财产权特性。本文建议应当将个人信息权利定位为权利丛，给予其基于个人信息人格属性和财产属性的双重价值面向的权利设置。
（三）个人信息保护的新课题与保护
大数据时代对个人信息保护提出了新的要求，个人信息保护也面临着各种新的课题。虽然个人信息保护法草案和网络安全对个人信息都提出了明确的界定，但是在司法实践中仍然存在个人信息保护客体认定的模糊地带。
如手机通讯录以及好友列表等通讯录是否属于个人信息，其他手机app是否可以未经个人的同意而使用。深圳南山法院今日做出关于微信好友通讯录归属的判决，在判决中，法院认定原告所主张的微信好友关系既未包含其不愿为他人所知晓的私密关系，他人也无法通过其微信好友关系对其人格做出判断从而导致其遭受负面或不当评价，这一判决引发学界热议。有学者认为包括好友列表、手机号列表在内的通讯录不论是从生活逻辑还是法律逻辑来讲，彰显的是双向的联系，没有人有权不经过另一方的同意而向他人披露通讯录这种联系媒介。[11]笔者认为，通信录等数据信息是未经脱敏处理的信息，根据追踪可以识别到个人，如果认定为企业所有，那么会造成整条数据链上的侵权。同时这也是一种数据可携权，是个人信息权的子权利[12]，从这个角度来讲，数据可携权的客体即包含微信好友关系、电话号码通讯录在内的信息也是个人信息的范畴，深圳南山法院的判决将其认定为企业所有，实属不妥，而是应当纳入个人信息保护的范畴。除此之外，大数据时代下个人信息也不止于文字性信息，人脸识别技术为人们生活带来极大便利的同时，也产生了大量人脸数据信息，当前对于人脸信息的保护也存在漏洞，人脸信息收集的界限也非常模糊。 个人信息在大数据时代下呈现形式多样的特征，难以通过定义来全面覆盖，因此在认定个人信息以及个人信息保护的过程中，应当明确大数据时代个人信息保护的价值基础在于保护个人信息之上所承载的人格利益，通过公法保护和司法保护的双重路径来对个人信息进行实践中的认定，并通过尽快完善信息数据法律体系，通过多个部门法相互衔接与配合形成综合治理体系来对个人信息形成全方位的保护。[13]另一方面，对于个人信息的保护也不能陷入被动隐私保护的窠臼，而是应当重视个人对于信息的支配权，手机app企业在获取个人信息时应当征得信息所有权人的同意，增加拒绝并使用的权利，避免因拒绝被获取信息而不能获得产品服务的现象发生。
四、企业数据权利的权利属性与法律保护
（一）企业数据权客体的财产属性
企业数据权的权利客体是具有财产属性的“衍生数据”。所谓财产，概括而言是指对人具有经济价值的一切事物，并必须具备三个要件：具有经济价值;须不属于自然人的人格;须人力能够支配。“衍生数据”全部符合，首先，“衍生数据”的商品化趋势已经证明了其具有经济价值，能够满足人们的某种需要且能够用金钱来衡量;其次，“衍生数据”是经过清洗等处理后产生的数据，不含有涉及具体某个自然人格的内容要素，故不属于自然人的人格;最后，随着数据采集、存储、传输、运算技术等相关设备和技术的不断升级，“衍生数据”早已能够被人力所支配。
（二）企业数据权的权利属性
“衍生数据”的财产权客体之位一切财产都反映着权利。具备财产属性的“衍生数据”亦是如此。关键在于，其对应于何种财产权利，传统的物权、债权、知识产权等主要财产权利的客体范畴是否能容纳之？而这又是由“衍生数据”的本质和物理特征决定。就其本质而言，笔者认为，现今技术背景下，数据已并非为记录于传统载体媒介上的数字符号，而是通过计算机实现的数据化的信息。数据和信息作为载体和内容，两者高度融合，不同于传统纸媒与信息本身的割裂，以电子形式存在的数据与信息具有高度对应性。数据承载着信息的内容，信息决定着数据的价值，数据化的信息能够在计算机技术层面被使用。就其物理特征而言，“衍生数据”同时具有无形、可复制、非消耗这三种主要的物理特征。首先，“衍生数据”作为数据化的信息无形无体，只有载体是有形有体的，这使得其在一定时空条件下，可以被若干主体共同使用;其次，“衍生数据”作为数据化的信息可以被无限复制;最后，“衍生数据”作为数据化的信息，在使用过程中并不会发生物理损耗。
由此可知，“衍生数据”作为一种独立于人主观之外的客观存在，显然不是一種民事主体之行为，无法成为债权的客体。但是，在法律尚未明确的情况下，我国的数据交易市场在尝试适用物权制度来推进市场的发展。物权以物为客体，但何谓物，通常认为物系指除人之身体外，凡能为人力所支配，具有独立性，能满足人类社会生活需要的有体物和自然力。但“衍生数据”本身的无形、可复制、非消耗等特征不同于物之独立性、有体性（包括固态、气态、液态）等特征，因此“衍生数据”亦无法成为物权客体之“物”，故不适合用物权所有权制度予以保护。也有学者认为，企业数据权利的权利保护路径可以选择知识产权的路径，因为“衍生数据”的本质及其所具备的无形、可复制、非消耗等物理特征，故其与知识产权客体特征基本一致，可将其视为一种“智力成果”“知识产品”或者视为一种“信息”。[14]
笔者认为，从目前已经明确的知识产权客体范畴中，很难为“衍生数据”觅得一席之地，即使其与著作权客体汇编作品中的数据库以及另一知识产权客体商业秘密在表征上具有一定程度的类似，但是其并不能完全适用后两者的相关法律制度。并且其并不是完全意义上的创造性智慧劳动的产物，不具有完全意义上的创造性。因此，笔者认为应当将“企业数据权”定位为与物权、债权、知识产权并列的一种新型财产权来进行保护。
企业数据权的客体就是具有经济价值的“衍生数据”，主体是数据控制者即企业，在区分个人数据和企业数据的基础上，企业数据权的主体与个人信息权的主体的划分是以数据脱敏、处理、分析为分界线的。内容是权利主体的利益所在，即数据控制者在合法取得数据后，对数据享有的控制、使用、收益的权利。这种权利类似于占有权，是数据控制者对数据财产支配、排他状态的保护。[15]
随着数据经济的发展，企业数据已成为独立于个人信息的数据产品，应当作为一种新型财产权来纳入财产权保护的宏观框架中。构建中的信息数据法律体系在重视个人信息保护的同时，也要保护企业的数据权利，这样才能够平衡各方利益关系，维护数据环境的秩序与安全。
五、总结
在大数据环境下，数据承载了巨大的价值，数据权利体系的建设成为立法的当前任务。保护数据权利，至关重要的就是明确个人信息权和企业数据权的界限，及是否经过“脱敏”处理去掉“可识别性”的特征。在此基础之上，应当给予其基于个人信息人格属性和财产属性的双重价值面向的权利设置;同时将企业数据权利定位为一种具有财产属性的独立于物权、债权和知识产权的新兴财产权利进行保护。由此适应国际对于数据保护的步伐，建立适应我国国情的信息数据法律保护体系。
参考文献：
[1]程啸.论大数据时代的个人数据权利[J].中国社会科学，2018（03）.
[2]陈俊华.大数据时代数据开放共享中的数据权利化问题研究[J].图书与情报，2018（04）.
[3]丁晓东.什么是数据权利？——从欧洲《一般数据保护条例》看数据隐私的保护[J].华东政法大学学报，2018（04）.
[4]王肃之.大数据环境下法人信息权的法律保护——以“脱敏”数据权利为切入点[J].当代经济管理，2018-8（8）.
[5]温昱.个人数据权利体系论纲——兼论《芝麻服务协议》的权利空白[J].甘肃政法学院学报，2019（02）.
[6]王利明.论个人信息权的法律保护——以个人信息权与隐私权的界分为中心[J].现代法学，2013（4）.
[7]袁治杰.数据安全法草案的三“不安”.载于微信公众号“O2O法治研究中心”，2020.7.27.
[8]袁治杰.你的微信好友关系属于你吗？.载于微信公众号“O2O法治研究中心”，2021.2.8.
[9]高宁宁.数据可携权的建构与隐私保护[J].北京城市学院学报，2020（4）.
[10]时明涛.大数据时代个人信息保护的困境与出路——基于当前研究现状的评论与反思[J].科技与法律，2020（5）.
[11]祝艳艳.大数据时代企业数据保护的困境及路径建构[J].征信，2020（12）.
[12]Alan F Westin. Privacy and Freedom. New York：Atheneum，1967. 转引自郭瑜.个人数据保护法研究[M].北京大学出版社2012年版.
[13]王泽鉴.人格权法：法释义学、比较法、案例研究[M].北京大学出版社2013年版.
[14]陈俊华，《大数据时代数据开放共享中的数据权利化问题研究》，载于《图书与情报》2018年第4期。
[15]祝艳艳，《大数据时代企业数据保护的困境及路径建构》，载于《征信》，2020年第12期。
作者简介：
马青琳（1996.2—），女，汉族，山东临沂人，北京师范大学法学院，18级在读研究生，硕士学位，专业：民商法学，研究方向：商法学。
（作者单位：北京师范大学）