海南自貿(mào)港數(shù)據(jù)流動(dòng)及合規(guī)管理探析

海南璟榮律師事務(wù)所 馬維秋

從2016年歐盟頒布《通用數(shù)據(jù)保護(hù)條例》（GDPR），到近年來(lái)國(guó)內(nèi)出現(xiàn)等案件，人們開(kāi)始逐漸認(rèn)識(shí)到互聯(lián)網(wǎng)時(shí)代的數(shù)據(jù)已經(jīng)成為商家爭(zhēng)奪的資源。數(shù)據(jù)是數(shù)字經(jīng)濟(jì)的關(guān)鍵要素，已經(jīng)成為新時(shí)代的“石油”。

近年來(lái)，我國(guó)逐年加大了網(wǎng)絡(luò)信息領(lǐng)域的立法力度，陸續(xù)頒布了《電子簽名法》《網(wǎng)絡(luò)安全法》《電子商務(wù)法》《數(shù)據(jù)安全法》等一系列的法律和規(guī)范性文件，對(duì)規(guī)范和監(jiān)督網(wǎng)絡(luò)信息安全、個(gè)人信息保護(hù)、數(shù)據(jù)有序流動(dòng)等起到了積極的作用。2021年6月10日頒布實(shí)施的《中華人民共和國(guó)海南自由貿(mào)易港法》第二條、第四十二條及第五十五條共七處提及“數(shù)據(jù)”，明確了國(guó)家支持海南自由貿(mào)易港建立安全有序自由便利的數(shù)據(jù)流動(dòng)管理制度，擴(kuò)大數(shù)據(jù)領(lǐng)域的開(kāi)放，探索實(shí)施區(qū)域性國(guó)際數(shù)據(jù)跨境流動(dòng)制度安排。本文擬以此為背景，闡述海南自貿(mào)港數(shù)據(jù)流動(dòng)合規(guī)管理等相關(guān)法律問(wèn)題，以圖為海南自貿(mào)港有序發(fā)展建言獻(xiàn)策。

一、數(shù)據(jù)的法律屬性

（一）數(shù)據(jù)的概念及內(nèi)涵

根據(jù)《數(shù)據(jù)安全法》的前述規(guī)定，數(shù)據(jù)的內(nèi)涵從法律規(guī)定文意解釋的角度可以理解為：（1）數(shù)據(jù)是記錄；（2）數(shù)據(jù)是對(duì)信息的記錄；（3）數(shù)據(jù)包括電子方式對(duì)信息的記錄，也包括其他方式對(duì)信息的記錄。

筆者通過(guò)對(duì)《網(wǎng)絡(luò)安全法》《最高人民法院關(guān)于審理利用信息網(wǎng)絡(luò)侵害人身權(quán)益民事糾紛案件適用法律若干問(wèn)題的規(guī)定》《電信和互聯(lián)網(wǎng)用戶(hù)個(gè)人信息保護(hù)規(guī)定》等規(guī)范性文件的相關(guān)條文比較后發(fā)現(xiàn)，《數(shù)據(jù)安全法》雖然以寥寥數(shù)語(yǔ)對(duì)數(shù)據(jù)的概念進(jìn)行了規(guī)定，但卻從法律邏輯上解決了我國(guó)長(zhǎng)期以來(lái)立法及司法過(guò)程中“信息”與“數(shù)據(jù)”不分甚至通用的局面，在網(wǎng)絡(luò)信息領(lǐng)域立法進(jìn)程中意義非凡。

（二）數(shù)據(jù)的法律屬性

如前文所言，數(shù)據(jù)可以表現(xiàn)為電子形式，也可以表現(xiàn)為其他形式。在萬(wàn)物互聯(lián)的時(shí)代，新基建驅(qū)動(dòng)下的數(shù)據(jù)更多地是以電子形式呈現(xiàn)。目前為止，對(duì)數(shù)據(jù)，尤其電子數(shù)據(jù)的法律屬性尚無(wú)定論。

目前對(duì)數(shù)據(jù)法律屬性較為明確的規(guī)定是《民法典》第一百二十七條的規(guī)定，該條規(guī)定保留了原《民法總則》第一百二十七條的規(guī)定，將“（權(quán)利主體）對(duì)數(shù)據(jù)、虛擬財(cái)產(chǎn)的保護(hù)”列為民事權(quán)利。需指出的是，國(guó)內(nèi)有的學(xué)者直接將“數(shù)據(jù)”理解為民法典規(guī)定的權(quán)利，這種理解有悖于民事權(quán)利的主體客體理論。筆者認(rèn)為，數(shù)據(jù)本身沒(méi)有生命，即便是人工智能技術(shù)可以讓數(shù)據(jù)“活”起來(lái)；但數(shù)據(jù)作為權(quán)利指向的對(duì)象（權(quán)利客體）是不存在法學(xué)理論上的障礙的。歐盟GDPR開(kāi)篇提到“自然人在個(gè)人數(shù)據(jù)處理方面獲得保護(hù)是一項(xiàng)基本權(quán)利”，并將數(shù)據(jù)主體的相關(guān)權(quán)利明確為知情權(quán)、訪(fǎng)問(wèn)權(quán)、修正權(quán)、限制處理權(quán)、被遺忘權(quán)、可攜帶權(quán)和反對(duì)權(quán)七項(xiàng)權(quán)利。因此，我們認(rèn)為，數(shù)據(jù)可能構(gòu)成法律意義上的財(cái)產(chǎn)，但不能脫離主體性的“人”而自己成為一項(xiàng)權(quán)利。

二、數(shù)據(jù)流動(dòng)的法律困境

（一）數(shù)據(jù)產(chǎn)權(quán)模糊不清

綜觀現(xiàn)行有關(guān)數(shù)據(jù)流動(dòng)的規(guī)范性文件，我國(guó)目前對(duì)數(shù)據(jù)流動(dòng)的立法已基本囊括數(shù)據(jù)的收集、存儲(chǔ)、使用、加工、傳輸、提供、公開(kāi)等數(shù)據(jù)全周期處理過(guò)程，也包括了數(shù)據(jù)交易、數(shù)據(jù)出海等新的數(shù)字經(jīng)濟(jì)形式。但目前幾乎所有的規(guī)范性文件均未明確數(shù)據(jù)的權(quán)利主體，而互聯(lián)網(wǎng)公司、用戶(hù)之間對(duì)數(shù)據(jù)產(chǎn)權(quán)的紛爭(zhēng)從未停止。一方面，互聯(lián)網(wǎng)公司不認(rèn)為數(shù)據(jù)產(chǎn)權(quán)有爭(zhēng)議，他們認(rèn)為：收集了就收集了，占有了就占有了，數(shù)據(jù)現(xiàn)在在誰(shuí)手里，誰(shuí)就擁有所有權(quán)、處分權(quán)和買(mǎi)賣(mài)權(quán)；數(shù)據(jù)是死的，利用是活得，他們的利用才是互聯(lián)網(wǎng)的精髓，并因此創(chuàng)造了價(jià)值。而對(duì)于消費(fèi)者而言，互聯(lián)網(wǎng)公司收集了數(shù)據(jù)是事實(shí)，但關(guān)于它們要怎樣使用數(shù)據(jù)，消費(fèi)者要有知情權(quán)、決定權(quán)、收益權(quán)。數(shù)據(jù)產(chǎn)權(quán)的問(wèn)題如果繼續(xù)模糊不清，很可能成為新經(jīng)濟(jì)和新文明發(fā)展的瓶頸、障礙。

（二）違規(guī)收集個(gè)人信息屢禁不絕

以《電子商務(wù)法》《網(wǎng)絡(luò)安全法》等主要法律依據(jù)，結(jié)合《App違法違規(guī)收集使用個(gè)人信息行為認(rèn)定方法》等法律、法規(guī)、規(guī)章及其他規(guī)范性文件的規(guī)定，網(wǎng)絡(luò)運(yùn)營(yíng)者進(jìn)行數(shù)據(jù)收集邊界包括：（1）收集方式是否合法，是否經(jīng)過(guò)用戶(hù)授權(quán)；（2）目的是否正當(dāng)；（3）是否為必要信息，是否缺失該信息即不能完成交易；（4）信息收集方式及規(guī)則是否公開(kāi)披露；（5）信息使用目的、方式及范圍是否公開(kāi)披露。

然而，作為時(shí)代先鋒的互聯(lián)網(wǎng)企業(yè)幾乎無(wú)一例外地都有過(guò)不光彩違規(guī)收集個(gè)人信息的“黑歷史”。

（三）數(shù)據(jù)控制者的法律責(zé)任邊界模糊

從數(shù)據(jù)安全的角度而言，《網(wǎng)絡(luò)安全法》已相對(duì)具體地規(guī)定網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)采取技術(shù)措施和其他必要措施，確保其收集的個(gè)人信息安全，防止信息泄露、毀損、丟失；在發(fā)生或者可能發(fā)生個(gè)人信息泄露、毀損、丟失的情況時(shí)，應(yīng)當(dāng)立即采取補(bǔ)救措施，按照規(guī)定及時(shí)告知用戶(hù)并向有關(guān)主管部門(mén)報(bào)告。但包括《網(wǎng)絡(luò)安全法》在內(nèi)的現(xiàn)行法律規(guī)定卻對(duì)網(wǎng)絡(luò)運(yùn)營(yíng)者對(duì)有關(guān)數(shù)據(jù)不當(dāng)使用的責(zé)任的規(guī)定并不明晰。

數(shù)據(jù)控制者濫用數(shù)據(jù)控制權(quán)較為典型的情況是“精準(zhǔn)推送”及“價(jià)格歧視”。消費(fèi)者在平臺(tái)上的購(gòu)物信息被收集的初衷只是為了保障消費(fèi)者的權(quán)益，但是后來(lái)該數(shù)據(jù)被用來(lái)計(jì)算消費(fèi)者的購(gòu)物喜好，并向消費(fèi)者定向推送廣告信息。雖然目前《電子商務(wù)法》對(duì)“個(gè)人特征選項(xiàng)推送”進(jìn)行了限定，但這并不妨礙平臺(tái)及商家將“個(gè)人特征選項(xiàng)”及共性選項(xiàng)一并推送的規(guī)避手段。而對(duì)大數(shù)據(jù)殺熟和算法合謀這類(lèi)價(jià)格歧視行為，目前尚沒(méi)有明確的規(guī)制措施。

近年來(lái)，關(guān)于數(shù)據(jù)收集、處理、使用中的算法黑洞問(wèn)題，廣受爭(zhēng)議。自誕生以來(lái)，算法就以保護(hù)競(jìng)爭(zhēng)性商業(yè)機(jī)密為由，一直在一個(gè)相對(duì)封閉的空間中生長(zhǎng)，對(duì)所有消費(fèi)者而言，他是一個(gè)黑盒子，除了開(kāi)發(fā)它的公司和程序員，外人無(wú)從知曉黑盒子里面的運(yùn)行機(jī)制。法律代表公平正義，這也意味著算法也要體現(xiàn)出公平正義的理念。在人工智能時(shí)代，“邪惡”的算法將成為人類(lèi)社會(huì)的災(zāi)難。

（四）數(shù)據(jù)交易規(guī)則缺失

整體而言，我國(guó)的數(shù)據(jù)交易目前還處于摸索階段，業(yè)界除了對(duì)應(yīng)該加強(qiáng)個(gè)人數(shù)據(jù)和隱私保護(hù)、匿名化數(shù)據(jù)可以在不同主體之間流通、數(shù)據(jù)主體已經(jīng)公開(kāi)的數(shù)據(jù)可以使用、應(yīng)該就加強(qiáng)政府?dāng)?shù)據(jù)和行業(yè)數(shù)據(jù)的開(kāi)放等問(wèn)題達(dá)成共識(shí)外，數(shù)據(jù)的權(quán)屬問(wèn)題、企業(yè)和平臺(tái)的收益權(quán)問(wèn)題均無(wú)有效解決方案。我國(guó)對(duì)大數(shù)據(jù)交易的規(guī)制起步較晚，目前對(duì)大數(shù)據(jù)交易、流通的規(guī)則、定價(jià)機(jī)制、風(fēng)險(xiǎn)管控及法律責(zé)任等規(guī)定基本處于空白狀態(tài)。近年來(lái)，地方性數(shù)據(jù)交易平臺(tái)大多以數(shù)字資產(chǎn)證券化的模式進(jìn)行了探索，但多因交易規(guī)則缺失、缺乏合規(guī)管理而最終因步入非法吸收公眾存款的深淵而等被司法機(jī)關(guān)或監(jiān)管機(jī)關(guān)取締。

在數(shù)據(jù)出海方面，中國(guó)企業(yè)2018年下半年——2020年上半年對(duì)外投資流量占據(jù)全球第二，在信息技術(shù)和軟件服務(wù)領(lǐng)域上，直接對(duì)外投資比例持續(xù)增長(zhǎng)，出海亞洲、中東、非洲整體趨勢(shì)上揚(yáng)。但因不同法域?qū)?shù)據(jù)收集、處理、使用等數(shù)據(jù)流動(dòng)環(huán)節(jié)合規(guī)存在差異，跨境數(shù)據(jù)流動(dòng)存在極大的跨法域合規(guī)問(wèn)題。

三、海南自貿(mào)港數(shù)據(jù)流動(dòng)的合規(guī)建議

（一）充分利用好立法授權(quán)，建立完善數(shù)據(jù)流動(dòng)規(guī)則

《中華人民共和國(guó)海南自由貿(mào)易港法》規(guī)定，海南省人民代表大會(huì)及其常務(wù)委員會(huì)可以結(jié)合海南自由貿(mào)易港建設(shè)的具體情況和實(shí)際需要，遵循憲法規(guī)定和法律、行政法規(guī)的基本原則，就貿(mào)易、投資及相關(guān)管理活動(dòng)制定法規(guī)，在海南自由貿(mào)易港范圍內(nèi)實(shí)施。

雖然我國(guó)近年來(lái)加大了網(wǎng)絡(luò)信息領(lǐng)域的立法，有關(guān)電子簽名、網(wǎng)絡(luò)安全、電子商務(wù)、數(shù)據(jù)安全的法律已陸續(xù)頒布實(shí)施，個(gè)人信息保護(hù)法也在審議之中，但現(xiàn)有的法律體系對(duì)數(shù)據(jù)權(quán)屬、數(shù)據(jù)定價(jià)、數(shù)據(jù)交易規(guī)則等缺乏界定。在遵循憲法及《民法典》《網(wǎng)絡(luò)安全法》《電子商務(wù)法》《數(shù)據(jù)安全法》等法律的基本原則的前提下，海南自貿(mào)港有權(quán)通過(guò)授權(quán)立法的方式明確數(shù)據(jù)權(quán)屬，將數(shù)據(jù)主體對(duì)與數(shù)據(jù)的占有、使用、收益、處分等相關(guān)的人身權(quán)益、財(cái)產(chǎn)權(quán)益的內(nèi)容落到實(shí)處，逐步建立數(shù)據(jù)定價(jià)規(guī)則和數(shù)據(jù)交易規(guī)則。在權(quán)屬、規(guī)則明確的情況下，數(shù)據(jù)流動(dòng)才能有法可依。

（二）強(qiáng)化數(shù)據(jù)安全，以更高標(biāo)準(zhǔn)落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度

中共中央、國(guó)務(wù)院《海南自由貿(mào)易港總體方案》要求，海南要制定實(shí)施有效措施，有針對(duì)性地防范化解數(shù)據(jù)流動(dòng)風(fēng)險(xiǎn)，要重點(diǎn)保障關(guān)鍵信息基礎(chǔ)設(shè)施和數(shù)據(jù)安全，健全網(wǎng)絡(luò)安全保障體系，建立健全數(shù)據(jù)出境安全管理制度體系，健全數(shù)據(jù)流動(dòng)風(fēng)險(xiǎn)管控措施。

在落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度過(guò)程中，相關(guān)主管部門(mén)應(yīng)加強(qiáng)網(wǎng)絡(luò)安全認(rèn)證、檢測(cè)、風(fēng)險(xiǎn)評(píng)估等活動(dòng)，除落實(shí)關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營(yíng)的國(guó)家安全審查及保密協(xié)議制度外，還應(yīng)進(jìn)行高于《網(wǎng)絡(luò)安全法》規(guī)定標(biāo)準(zhǔn)的風(fēng)險(xiǎn)評(píng)估、安全應(yīng)急演練、安全信息共享。

（三）加強(qiáng)個(gè)人信息保護(hù)，建立數(shù)據(jù)合規(guī)綜合治理體系

經(jīng)過(guò)近30年的自主發(fā)展，今天的互聯(lián)網(wǎng)開(kāi)始強(qiáng)調(diào)秩序，所謂“互聯(lián)網(wǎng)進(jìn)入下半場(chǎng)”，其實(shí)是一種新的宣示，互聯(lián)網(wǎng)將從對(duì)效率利潤(rùn)的追求，轉(zhuǎn)到公平合理的制度設(shè)計(jì)上來(lái)，這是時(shí)代的必然。人類(lèi)謀求的經(jīng)濟(jì)發(fā)展，曾對(duì)自然生態(tài)環(huán)境嘗試采用先污染后治理的方式，已經(jīng)讓人類(lèi)受到了足夠教訓(xùn)，且在一定程度上也在影響著人的自然健康與生命存在。無(wú)論為謀求數(shù)據(jù)經(jīng)濟(jì)及人工智能的發(fā)展，對(duì)于數(shù)據(jù)、信息的利用有多么迫切，提出何等全面的正當(dāng)性論證，但為了人類(lèi)終極意義上的生存，對(duì)于關(guān)涉人之自由與尊嚴(yán)的隱私絕不能采用先自由后嚴(yán)加管理的方式。

在尊重和保護(hù)個(gè)人信息前提下收集的數(shù)據(jù)，才能長(zhǎng)久有序流動(dòng)。海南自貿(mào)港數(shù)據(jù)流動(dòng)過(guò)程中，嚴(yán)格落實(shí)個(gè)人信息保護(hù)制度，應(yīng)充分發(fā)揮企業(yè)自查自糾、行業(yè)監(jiān)督指導(dǎo)、第三方合規(guī)評(píng)估、政府主管部門(mén)監(jiān)督檢查等多方共同參與的綜合治理體系，避免出現(xiàn)違反必要、最小限度原則的違規(guī)收集個(gè)人信息事件發(fā)生。

（四）完善數(shù)據(jù)交易基礎(chǔ)設(shè)施建設(shè)，確保數(shù)據(jù)安全有序流動(dòng)

數(shù)據(jù)交易在數(shù)據(jù)的授權(quán)、收集、存儲(chǔ)、處理、流通等環(huán)節(jié)中，都需要相應(yīng)的技術(shù)基礎(chǔ)設(shè)置作為支撐，讓數(shù)據(jù)交易過(guò)程能夠正常有效地進(jìn)行。數(shù)據(jù)基礎(chǔ)設(shè)施包括數(shù)據(jù)存儲(chǔ)與處理技術(shù)、數(shù)據(jù)確權(quán)技術(shù)、數(shù)據(jù)通道與計(jì)量技術(shù)等。其中，數(shù)據(jù)存儲(chǔ)與處理技術(shù)是數(shù)據(jù)交易的基礎(chǔ)，只有進(jìn)行了數(shù)據(jù)存儲(chǔ)與處理，才能進(jìn)行后續(xù)的數(shù)據(jù)交易；數(shù)據(jù)確權(quán)技術(shù)是數(shù)據(jù)交易的必要條件；數(shù)據(jù)通道與計(jì)量技術(shù)保證數(shù)據(jù)在傳輸過(guò)程中的安全性，保證數(shù)據(jù)交易能夠順利進(jìn)行。

（五）借鑒域外算法透明原則，建立并完善物聯(lián)網(wǎng)（IoT）、人工智能等領(lǐng)域算法評(píng)估機(jī)制

如前文所言，設(shè)計(jì)算法之始就應(yīng)該包含盡可能完善的法律規(guī)則。近年來(lái)，公共政策委員會(huì)計(jì)算機(jī)協(xié)會(huì)（USACM）提出了可供參考借鑒的算法透明的七大原則，分別是：第一，意識(shí)原則，即算法系統(tǒng)的所有者、設(shè)計(jì)者、建設(shè)者、用戶(hù)和其他利益相關(guān)者應(yīng)該意識(shí)到他們?cè)谠O(shè)計(jì)、實(shí)施和使用中可能存在的“偏見(jiàn)”，以及由此可能造成的潛在危害；第二，準(zhǔn)入和補(bǔ)救原則，監(jiān)管機(jī)構(gòu)應(yīng)該鼓勵(lì)采用機(jī)制，對(duì)因算法決策而受到不利影響的個(gè)人和群體提出質(zhì)疑和糾正；第三，問(wèn)責(zé)原則，機(jī)構(gòu)應(yīng)該對(duì)其算法負(fù)責(zé)，即使機(jī)構(gòu)不可能詳細(xì)解釋算法是如何產(chǎn)生結(jié)果的，仍需承擔(dān)“無(wú)過(guò)錯(cuò)責(zé)任”；第四，透明原則，鼓勵(lì)使用算法決策的系統(tǒng)和機(jī)構(gòu)對(duì)算法遵循的過(guò)程及所做的具體決策給出解釋?zhuān)坏谖?，?shù)據(jù)來(lái)源原則，算法設(shè)計(jì)者應(yīng)當(dāng)對(duì)訓(xùn)練數(shù)據(jù)的來(lái)源進(jìn)行說(shuō)明，同時(shí)還要對(duì)人類(lèi)算法數(shù)據(jù)收集過(guò)程中可能存在的偏差進(jìn)行探索；第六，可審計(jì)性原則，即應(yīng)記錄模型、算法、數(shù)據(jù)和決策等數(shù)據(jù)，以便在可疑的情況下可以對(duì)他們進(jìn)行審計(jì)；第七，驗(yàn)證和測(cè)試原則，即算法設(shè)計(jì)者應(yīng)該使用嚴(yán)格的方法來(lái)驗(yàn)證他們的算法模型，記錄這些方法和結(jié)果，并定期進(jìn)行測(cè)試，以評(píng)估和確定該算法模型是否產(chǎn)生了歧視性損害，鼓勵(lì)機(jī)構(gòu)公開(kāi)這些測(cè)試的結(jié)果。

數(shù)據(jù)的安全、有序、自由流動(dòng)，既是海南自貿(mào)港建設(shè)的時(shí)代使命，也是法律賦予海南自貿(mào)港的數(shù)字經(jīng)濟(jì)動(dòng)能。在中共中央、國(guó)務(wù)院的強(qiáng)力支持下，海南自貿(mào)港的數(shù)據(jù)安全有序流動(dòng)必將得以實(shí)現(xiàn)。