【摘要】数据权益是一种新型民事权益,“权利束”理论为我们全面观察数据权益提供了崭新的视角。“数据二十条”将数据上的权益区分为数据来源者权利与数据处理者的财产权,从政策层面提供了明确的确权思路。在确认数据处理者财产权方面,“数据二十条”避开了“所有权”的概念,基本上能够表述数据财产权的权利架构。数据来源者享有在先权利,且应当享有公平访问、合理利用、携带等权益。在对数据权益进行民法保护时,需要坚持人格权益优先原则,人格权益保护并不影响数据财产权的确立。对数据权益的民法保护,需要在确立数据财产权的基础上,引入人格权法、合同法、侵权法进行系统性保护。在对数据的保护过程中,民法的价值应当从注重私法自治向同时注重人文关怀价值转型。
【关键词】数据财产权 合同法 侵权法 人格权益 数字时代的民法
现代社会正在加快步入数字时代。数据作为当代的新型生产要素,是数字化、网络化、智能化的基础,深刻改变着我们的生产方式、生活方式和社会治理方式。数据之上承载着多重法律权益,数据承载权益的集合可以称之为数据权益。一方面,数据权益具有综合性,因为数据负载的内容可能会涉及知识产权、隐私权、个人信息权益等民事权利,也可能属于商业秘密。另一方面,数据财产具有无形性,它不像有形财产那样具有明确的四至。其价值不同于数据载体的价值,而是通过数据所包含的信息内容加以体现。数据不受制于物理排他性的拘束,可以对其进行复制和非排他性利用,甚至可以由许多人共享共用。因此,在进入数字时代后,传统民法中的财产发生了重大变化,民法上的财产已经逐渐由有形变为无形,解释对象发生变化后,解释的视角和方法也应当相应地发生变化。
数据是一种新型财产,其作为重要的新型财富,被称为“最有价值的资源(Most Valuable Resource)”,具备使用价值、交换价值等财产属性,也可能构成独立的新型财产权。数据权益的复合性及其内蕴的多样民事权益,决定了有必要将其作为新型民事权益予以保护。因此,《民法典》第一百二十七条规定:“法律对数据、网络虚拟财产的保护有规定的,依照其规定。”该条虽然是一项宣示条款、引致条款,但也宣告了数据权益在整个民事权益的体系架构里是重要的、新型的民事权益,应当受到《民法典》的保护。数据权益作为新型、内容具有复合性的民事权益,不同于物权、知识产权等既有权利,对既有法律制度和规范提出了系统性挑战。民法作为基础性法律部门,必然要与时俱进,在数据权益保护中发挥重要作用。
在数据权益的研究范式方面,有必要从观察传统的有形财产向观察虚拟财产转化。以往用来解释财产权的“两权分立”“物债二分”或者严格的排他性理论,很难用于观察分析数据中的各项权益。以“大众点评”为例,“大众点评”这个平台可以被看作是一个数据产品,其中包含各种各样的权益。人们在“大众点评”上消费,留下电话号码、个人微信、家庭地址等,这些属于个人信息范畴。“大众点评”中各个商家的店铺介绍、经营信息、优惠券等,可以看作是企业数据,属于经营者。“大众点评”的算法属于商业秘密范畴,可能归属于平台。“大众点评”中的符号设计、相关名称、商标等,涉及到知识产权和人格权的问题。甚至用户在“大众点评”上的留言,如果具有独创性,也可能涉及到著作权问题。可见,在“大众点评”这个数据产品里,各种权益相互交织结合在一起,就像树上盛开的一束束花朵。其中,个人信息和数据财产权密切地结合在一起,很难用传统的两权分离理论来解释。各种权益的交织,甚至形成了你中有我、我中有你的权益格局状态。由此可见,数据权益具有无形性、多层次性、权益主体多元性、权益交织性。由于数据权益构成复杂的“权利束”,在此背景下,传统财产法研究范式如以所有权为中心、物债二分和物权理论,很难用来解释虚拟世界的数据权益问题,由此可以借鉴美国学者霍菲尔德提出的“权利束(bundle of rights)”概念来观察分析数据权益现象。按照“权利束”理论,一宗财产上发生的多重权利关系集合在一起,构成一个权利关系的束体,就像一束束花朵一样。“权利束”理论为我们全面观察数据权益提供了崭新的视角。
但数据权益如何找到准确的法律表达?2022年中共中央、国务院颁布的《关于构建数据基础制度更好发挥数据要素作用的意见》(以下简称“数据二十条”)从政策层面提供了明确的确权思路,为未来立法提供了重要的参考,这就是将数据上的权益区分为数据来源者权利与数据处理者的财产权,在此基础上形成数据来源者与数据处理者权利二分的数据权益结构。这一结构清晰地描绘和概括了数据之上的各种权益。仍以“大众点评”为例,虽然其权益结构复杂,但可以将其区分为两大类:一是数据来源者权利,“大众点评”涉及到各种在先权益,既包括个人信息,也可能包括著作、商业秘密等权益,还包括具有独创性的商品点评、商标、商业秘密等等。这些权益都可以笼统地称之为在先权益,如果与数据处理者的财产权益发生冲突,应受到优先保护。二是数据处理者权利,这就是将“大众点评”整体上作为一项数据产品归属于“大众点评”的平台经营者,即数据处理者。如果说数据来源者在数据中留下的知识产权、个人信息等内容,可以统称为数据来源者权利,而数据处理者的财产权则主要指向经处理后的数据集合、数据产品。数据处理者在对相关信息进行处理时,不得侵害数据来源者的在先权益。上述两项权利呈现出“你中有我,我中有你”的权利状态。“权利束”理论有助于解释多元权益主张之间的复杂交织现象。
数据作为新型生产要素,具有财产属性。“数据二十条”提出数据处理者应该享有产权,但严格来讲,产权是一个经济学概念而非法学概念。《民法典》使用的是财产或财产权的概念,因而在未来的数据立法中,使用财产权这个表达更为严谨。首先,数据财产权的确立是回应作为上位法的《民法典》的要求。在现有规范体系内,虽然没有关于“数据财产权”概念的直接表述,但在《民法典》中存在数据保护的明确规定。《民法典》第127条将数据与网络虚拟财产并列,表明两者互不隶属,潜在地为数据财产权的设立明确了边界。该规定也为未来数据财产权立法提供了上位法指引。
其次,承认数据处理者的数据财产权有利于激励数据处理者积极投入数据生产活动。数据作为一种新型的财产,蕴藏着难以估量的巨大价值,但是此种价值并非是凭空产生的,数据虽然以信息为内容,但有些信息并没有价值。原始数据只有经过处理才能产生一定的价值。诚然,数据在自然属性上具有非竞争性、非排他性,数据的价值在于共享共用,但如果缺乏对数据处理者生产数据的有效激励,则数据利用只能成为“无源之水”。只有通过劳动,以及数据处理者提供的各种资金、技术,才能形成数据。可以说,数据财产是经过相应劳动才能形成的新型财产。按照洛克的“劳动是财产权取得的重要方式”理论,劳动者享有劳动成果的所有权,因其劳动而产生增益内容,“除他以外就没有人能够享有权利”。因此,只有通过确权路径,才能够形成对劳动的激励,刺激数据领域中的投资,促进数据的生产和大数据产业的发展。
第三,数据财产权的确立有利于促进数据的交易和利用。按照法经济学的基本观点,产权界定是交易的基础和前提,数据的巨大价值产生于数据的交易和共享、共用,而数据财产权的确立正是数据要素在市场中有效配置的前提。随着大数据的发展,许多地方都建立了数据市场,数据的利用方式也在不断丰富,如实践中出现了数据资产担保、数据资产入股、数据资产入表等形式。数据运用的前景会越来越广泛,但如果缺乏对数据的确权,则在进行数据交易时,相对人可能难以确定该数据的权利主体,不知与何人进行数据交易谈判。如果缺乏对数据的确权,则各种数据利用方式的合法性就难以保障,数据交易将面临巨大的法律风险,数据的有效利用也会因此受到严重影响。
第四,数据财产权的确立可以为数据的民法保护提供重要的法律依据。数据的确权和保护密不可分,确权是保护的前提,古人讲,“有恒产才有恒心”。这里讲的“产”不仅仅限于在农业社会中存在的动产和不动产,也不完全限于在工业社会中产生的知识产权,还应当包括在大数据时代的新型财产,即数据。只有通过确权,才能定分止争,刺激数据处理者“逐数兴业”。如果缺乏对数据的确权与保护,数据收集与处理会由法律保护转向“技术攻防”,进而回到“弱肉强食”的丛林法则。在此情形下,数据处理者必然要设计更高的技术壁垒,以防止他人大规模复制和爬取数据,这可能需要浪费大量的资金成本,投入到无谓的技术争端中,并因此影响数据的交易与流通,也会极大地限制或者降低数据的价值,妨碍数据市场的发展和数据红利的释放。
数据财产权的确权在法律上具有可行性。虽然数据是一种无形财产,不像有形财产那样具有明确的四至边界,但其权利的内容和客体的特定化仍然是可以实现的。一个企业可以通过数据的来源、数量、内容和类型等标准描述一个数据集合状态,从而使得一宗数据(a set of data)区别于另一宗数据,实现数据财产权客体的特定化;同时,数据处理者也可以通过一定的技术手段(如保密措施)控制相关数据,实现数据的特定化,并借助数据登记手段实现对数据的确权。
数据财产权的确认是一个新的法律命题,但“数据二十条”为数据确权提供了明确的指引。首先,“数据二十条”避开了“所有权”的概念,此种经验值得借鉴。所有权以有体物为客体,是建立在有体物之上的概念,具有严格的排他性,而数据是无形财产,不能以有形财产的范式来观察数据财产权概念。以所有权的四项权能很难解释数据财产权的内容。例如,“占有”必须是对物的实际的控制,但是数据权益可以由许多人来利用,因而无需占有,也无法像对有体物那样占有。其次,“数据二十条”采用“三权分置”理论来解释数据处理者权利,将数据处理者的财产权分别确定为数据资源持有权、加工使用权和数据产品经营权,这是对数据财产权内容在概念层面进行的有益探索,基本上能够表述数据财产权的权利架构。但要将其转化为法律层面的规范表达,满足立法技术与概念周延上的要求,仍然存在不足。原因在于:首先,“数据二十条”认为,数据必须经过加工才能够使用,所以数据的核心是使用。但数据是否必须要进行加工才能够使用,这在技术上仍然值得探讨。其次,“数据二十条”采用数据产品经营权的概念来概括数据的各种利用方式,以及在数据利用中的收益、处置等现象,此种表述过于宽泛。例如,部分数据保存到一定期限就要被销毁,销毁数据的权利很难用经营权来进行概括。最后,经营权也没有把应该对数据享有的收益权囊括其中。鼓励数据生产就是要保护数据处理者的收益权,而“数据二十条”并没有明确数据收益权。显然,“数据二十条”关于数据财产权的内容的概括仍然有待完善。基于上述原因,我们可以在有限地借鉴所有权权能的基础上,将数据财产权细化为持有权、使用权、收益权和处置权。
为周延保护数据财产权,亦应强调数据财产权主体消极的数据财产权权能,主要包括停止侵害、排除妨碍或消除危险请求权。另需明确,在数据确权之后,有可能会造成数据的垄断,影响数据的流通与利用,因此,有必要在法律上引入合理使用制度,并通过反垄断机制对数据财产权进行必要的限制,以调和“数据财产权私有化配置”与“数据共享”之间的紧张关系,更有效地释放数据红利,从而推动数据资源的开放共享,减少数据市场流通成本,以消除数据的私有财产权设置可能带来的“数据垄断”“数据红利独享”等弊端。
数据权益的另一部分内容是数据来源者权利。虽然数据确权主要是对数据处理者的确权,但其也应当包括对数据来源者权益的确权。在欧盟的《数据法:关于公平访问和利用数据的统一规则的法规提案》(以下简称《数据法案》)中,数据来源者被称为“用户(user,Nutzer)”,它是指向数据处理者中提供数据来源的自然人、法人和非法人组织。欧盟《数据法案》第2章规定的用户权利主要是访问、请求共享和利用数据的权利。比如“大众点评”里涉及到各种在先权益,包括个人信息权益,以及名称、商标、商业秘密等,这些权益都可以笼统地称之为在先权益。数据来源者的权利应当受到法律保护。例如,如果数据财产权中包含他人的算法,则数据处理者应当尊重权利人对其算法所享有的权利;再如,如果数据中包含用户的个人信息,则数据处理者应当尊重与保护用户的个人信息权益。从民法角度观察,数据来源者的权利包括以下两个部分。
所谓法定在先权益,是指数据来源者为数据提供了各种信息来源,而数据来源者本身对相关的数据来源就依法享有各种权利。例如,“大众点评”中包含他人的知识产权、个人信息等,相关的数据来源者就应依法享有知识产权、个人信息等。就数据来源者与数据处理者的关系而言,如果两者的权利发生冲突,数据来源者的权利应当处于更高的权利位阶,优先受到法律保护。一方面,数据来源者的在先权利是数据财产权形成的前提和基础,对数据来源者的在先权利予以优先保护,也是权益保护的重要内容。另一方面,在数据财产权产生之时,数据来源者的在先权利已经产生,数据处理者在行使数据财产权时,应当尊重、保护数据来源者的权利,否则其行使数据财产权行为的合法性也将不复存在。例如,如果数据中包含数据来源者的隐私与个人信息权益,则数据处理者在生成数据和行使数据财产权的过程中,不仅有必要遵守与数据来源主体的约定,而且要履行告知同意、更正、删除和携带等法定义务,以满足《民法典》和《个人信息保护法》等法律优先配置给个人的人格性权益。因此,数据处理者行使数据财产权利时,有权排除任何第三人对数据权利的侵害,但对于数据来源者的各项在先权利,都应当予以尊重。
就个人数据而言,除了个人信息之外,还可能包括一些非个人信息,如个人的购物偏好、个人与商家的谈话记录等,这些非个人信息是否可以获得在先权利地位,对此存在不同看法。国外曾有学者认为,有必要确认这些信息的财产权地位,因为数据权益是多方共同参与形成的,法律应当按照对数据形成作出贡献的比例赋予各方主体权益。同时,承认个人对其个人数据享有财产权,有利于提高个人同公司等主体进行谈判的能力,更有利于保护个人的利益。笔者认为,数据来源者不应当对非个人信息享有数据财产权,主要理由在于,一方面,除个人信息外,数据集合中可能包含海量的非个人信息数据,如果确认数据来源者对此类数据都享有数据财产权,则会使成千上万的用户主张权利,可能导致数据在客观上难以利用。如果承认数据来源者对非个人信息类数据享有数据财产权,则数据的利用可能需要取得海量数据来源者的同意,这将极大地降低数据利用的效率,增加数据利用的成本。另一方面,法律在保护数据财产权时,保护的主要是数据集合而非单个数据。数据资源只有集合才具有价值增量,因此,数据财产权确权主要是确认数据处理者对数据集合所享有的财产权,而非确认各个数据来源者对数据享有财产权。此外,确认数据来源者对非个人信息类数据享有数据财产权,那么在这些信息的财产价值计算以及确定其在整个数据权利中的权利份额等问题上,都会面临技术上的障碍,这反而会产生权利行使的冲突和困境。如果用户也能对其非个人信息的数据主张确权,确实会形成权利壁垒,妨碍数据的流通和利用。
除了在先权益之外,数据来源者还享有什么权益?这是一个非常值得探讨的问题。欧盟《数据法案》赋予数据来源者以用户访问、请求共享和利用数据的权利。我国“数据二十条”规定,“保障数据来源者享有获取或复制转移由其促成产生数据的权益”。依据该规定,并借鉴域外经验,笔者认为,应当允许数据来源者享有并主张如下权利:
1.公平访问权
它是指用户可以访问、查询相关数据内容和信息的权利。数据来源者提供了数据来源,因此对提供来源的这部分信息享有公平访问权。这就是说,数据来源者在向数据处理者提供数据后,其对所提供的数据享有访问的权利,类似于个人对其个人信息所享有的查阅权。那么如何界定公平访问?首先,访问的目的应当具有正当性,即用户在访问数据时必须要有正当的事由,用户不能出于不正当竞争等目的访问和利用数据。其次,访问的范围应当受到合理限制。用户的访问权限应当被限制在一定范围内,通常限于由其促成产生的数据,但也不应当将其仅仅限定为此类数据,对于与数据来源者自身业务相关联的数据,用户也应当有权访问。例如,用户在购买一辆汽车后,应当有权访问与该车型相关的使用数据,而不包括其他数据。至于如何具体判断公平访问的范围,需要结合用户的商业活动信息来讨论。第三人在主张访问相关的数据时,应当证明自身具有相应的合法利益。
2.合理利用权
它是指依据法律和合同约定,数据来源者可以根据自身需要在各个生产经营环节自主加工使用数据的权利,包括对数据进行合理利用。欧盟《数据法案》第2条要求产品的设计和制造,以及相关服务的提供应该确保用户可以便捷地、安全地获取产品使用过程中产生的数据,并且可以通过适当的方式直接获得相应数据。我国“数据二十条”规定要“保障数据来源者享有获取或复制转移由其促成产生数据的权益”,笔者认为,此处的获取、复制都是数据来源者利用数据的几种具体方式,其实都在言明数据来源者有权合理利用相关的数据。问题在于,如何界定数据来源者合理利用数据的范围?笔者认为,合理利用原则上应当限于数据来源者自身的生产经营和生活需要,甚至包括将数据用于一些与数据处理者具有商业竞争关系的自我生产经营活动。一般而言,数据来源者不能将其数据向与数据处理者具有竞争关系的第三方平台企业提供。毕竟,第三方没有直接参与数据的生产活动,这很容易构成不正当的“搭便车”行为,破坏公平的生产经营竞争秩序。数据来源者擅自向第三方提供相关数据,超出了合理利用数据权利的范围,缺乏正当性基础。同时,第三方擅自利用相关数据也可能构成不正当竞争行为,涉嫌剥夺数据处理者(平台)的竞争利益。
3.可携带权
它是指数据来源者在符合法定条件和当事人约定的条件下,将其在一个平台上留下的数据携带到另一个平台。“数据二十条”规定,“保障数据来源者享有获取或复制转移由其促成产生数据的权益”。从该规定来看,虽然“数据二十条”将可携带的数据严格限制在“由数据来源者促成产生数据”的范围之内,但“数据二十条”实际上确认了数据来源者对其数据享有可携带权。就个人信息而言,依据《个人信息保护法》第45条,个人毫无疑问享有可携带权。但对于企业数据而言,企业是否可以携带数据,值得探讨。例如,曾经在一家网络零售平台上持续经营的网店拟入驻新的网络零售平台,并希望将在原平台上的经销信息迁移至新的平台。然而,原平台常常以相关经销信息同时构成网络平台自身的经营信息,或者以原平台与网络店铺之间有平台规则或协议关系为由拒绝此种数据迁移。笔者认为,“数据二十条”规定的“复制转移由其促成产生数据的权益”,实际上也承认了企业也有权携带转移由其促成产生的数据当。当然,该项权利需要法律予以确认。
问题在于,在数据来源者行使可携带权之后,其是否有权要求数据处理者删除其已携带的数据?这就涉及可携带权是否包括删除权的问题。一方面,从《个人信息保护法》来看,个人信息的可携带权与删除权是两项并列的权利,因此,对个人信息类的数据,应当可以直接适用《个人信息保护法》的规则,而对非个人信息类数据,应当可以类推适用上述规则,即可携带权并不包括删除权。更何况,非个人信息并不涉及个人人格尊严的保护,而且也没有法律规定数据处理者在此种情形下负有删除义务。另一方面,在数据来源者行使可携带权之后,如果允许数据来源者要求数据处理者删除相关的数据,数据的有效利用将可能受到影响,因为数据处理者通常对相关数据进行的是一种集合性的、整体性的利用。笔者倾向于认为,携带并不等于删除,也不应包括删除权。《个人信息保护法》在携带之外专门规定删除权,意在表明携带和删除是有区别的,携带不等于就要删除,两者权利行使的要件并不相同。
“无场景,不数据”,数据来源者的数据权益在不同场景中有着不同的运作逻辑和保护需求。按照“数据二十条”,对数据来源者权利还要进一步区分公共数据、企业数据、个人数据来进行分级分类确权授权制度。对此三类数据,要分类进行不同对待,而且要分别建立确权或授权制度。
大量的数据都是数据处理者在搜集个人信息的基础上产生的,数据处理者原本可以将搜集到的个人信息匿名化处理,但其大都不愿意匿名化,因为非匿名化的数据产品更有利于为消费者提供精准服务,数据也更有价值。这就导致了大量的数据中包含了个人信息权益,数据处理者享有的数据权益和信息主体享有的信息权益之间相互交叉融合,甚至发生权益冲突的问题,一旦数据处理者享有的数据财产权和信息主体享有的信息权益之间发生冲突矛盾,如何解决?笔者认为,所谓数据确权与保护,首先要保护信息主体享有的个人信息权益,然后才应确认数据处理者的财产性权益。如果个人信息权益得不到保障,不仅会使得与个人的主体性维护相关的各种隐私和信息权益得不到保护,人格尊严也将受到损害,这不符合通过发展数据要素市场来满足人民群众美好幸福生活的需要的出发点和宗旨。同时,如果数据处理者可以随意处理个人信息而不尊重个人对其信息的自主决定和隐私权,那么,个人在未来的数字化生活中就可能变得更加谨慎和保守,不会轻易同意他人处理自己的个人信息。如此一来,数据处理者更难以获得信息,从而会阻碍数据市场的培育和发展。更何况从民事权益位阶来看,数据财产权毕竟是一种财产权益,而个人信息是人格权益,与个人的人格尊严与主体性存在直接关联,应当处于更高的位阶。
我国《民法典》《个人信息保护法》也承认了数据权益保护首先要注重维护数字人格权益的规则。具体表现在,首先,按照《个人信息保护法》的规定,数据处理者搜集个人信息,制作成数据产品,应征得信息主体同意。如果信息主体之前明确表示同意搜集处理,但制作成数据产品以后与他人共享,这时必须再次取得信息主体的同意,否则不得共享。如此,两者之间形成矛盾。此时必须要尊重信息主体的知情同意权。因为共享行为实际上是对个人信息的新的利用,同时对被共享者而言是一个重新搜集他人信息的过程,所以要再次取得信息主体的知情同意。其次,信息主体先前同意被搜集个人信息,但是事后认为这种搜集处理很危险,在此情形下,依据《个人信息保护法》第15条,信息主体享有任意撤回权。这就是说,信息主体任何时候都可以撤回先前的同意,而数据处理者不得以妨碍其数据完整性为由而拒绝个人行使撤回权。再者,信息主体享有信息携带权,只要符合《个人信息保护法》第45条规定的携带的条件,信息主体有权携带其信息。尽管数据处理者可能提出此权利行使会破坏数据的完整性,但是按照《个人信息保护法》规定,必须要尊重信息主体享有的携带权。最后,信息主体享有删除权。《个人信息保护法》第47条第1款规定了信息主体的删除权,该条第2款规定:“法律、行政法规规定的保存期限未届满,或者删除个人信息从技术上难以实现的,个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。”此种权利行使有效维护了信息主体享有的个人信息权益。
由此可见,在数据权益里,当数据处理者享有的权利与个人信息保护发生冲突时,《民法典》《个人信息保护法》均将个人信息置于优先保护的地位,其理论基础在于人格尊严优先于财产权益这一民法基本原则和理念。数据处理者行使数据权利就像放风筝,但风筝线不掌控在数据处理者手上,严格说应该是掌握在信息权益主体手中。如果信息主体要求撤回同意、携带或者删除,要求知情同意,都必须满足其请求。当然,这并不妨碍数据的流通利用,因为对数据处理者来说,可以选择把当初搜集的信息制作的数据进行匿名化处理,按照《民法典》第138条第1款的规定,匿名化需要技术上能够达到无法识别特定个人且不能复原。一旦经过匿名化处理,就切断了数据与特定自然人的联系,该数据也不再涉及个人信息,数据处理者可以处置其数据。
数据是一种特殊的新型财产,在于它能够无限地被利用。现今有一种流行观点认为,数据是新石油,但实际上数据不是石油,石油是一种有形财产、自然资源,数据是无形财产,且数据不同于石油这种有形财产,它具有可再生性。人们每天所有的行动轨迹都可以自动生成成千上万的信息,最后通过数据处理者的劳动,可能形成许许多多的数据,所以它具有无限再生性。数据还具有不可消耗性,石油越用越少,数据越用越多。数据可以反复利用,而且越利用越有价值,数据正是在利用中产生价值。它可以共享,共同利用,且共享共用可以不受任何物理空间的阻隔和限制。数据与一般有形财产的不同就在于,数据会存在平行持有的现象,多个主体可以同步处理和持有高度同质甚至同样的数据。这就决定了,只有鼓励流通、鼓励利用、鼓励共享,才能够真正实现数据应有的价值。这就需要通过合同法充分保障数据的交易,促进数据的流通。
如前所述,解决数据的确权与保护问题是数据立法的当务之急,但在保护数据的同时,应当兼顾数据的流通与利用,在两者之间形成有效的平衡。这是未来数据立法应该秉持的基本原则,也是现在全世界的数据立法所面临的共同难题。保护过度会妨碍利用,而利用过度、完全不考虑保护,就可能走向反面,如果包含个人敏感信息和核心隐私的数据被随便交易,会造成对个人人格权益的重大侵害,带来另一个负面作用。两者之间如何协调,是现在法律上面临的一大难题,也是目前数据立法需要解决的一大难题。我国《民法典》和《个人信息保护法》的很多相关规定都在努力兼顾两者之间的关系。例如,对已经公开的个人信息,并非任何人都可以随意大规模地搜集利用,依据《个人信息保护法》第27条规定,“个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息;个人明确拒绝的除外。”因此,对已公开的个人信息,他人可以利用,但是针对大规模的处理,按照《个人信息保护法》的规定,个人信息主体有权予以拒绝,这称之为大规模已公开信息处理的拒绝权。按照反面解释,如果是小规模处理则应被允许,这就是在两者之间寻求一个平衡。再如,所谓的“数据画像”,在欧盟《通用数据保护条例》(GDPR)中是不被允许的,不能抓取他人的点滴信息来专门地对个人进行精准画像。但我国《个人信息保护法》采取了折中处理方式,不禁止数据画像,但要保证结果公平公正。这就是说,他人不能利用数据画像搜集个人隐私,或者从事一些有损个人人格权益和其他权益的行为。这也是在保护和利用两者之间寻求平衡。
我国合同法的基本价值是鼓励交易、维护交易秩序,其同样适用于数据交易的场景,应当看到,进入数字时代后,合同法也应当发生一定的变化以适应数字时代的发展需要。具体而言,一是进入数字时代,从“一锤子”买卖中的永久性财产让与交易,拓展到广泛注重许可使用的持续性合同交易。传统合同法规则以调整财产的让与关系为中心,在此种交易关系中,当事人需要将物、权利或者其他财产权益完全转移给相对人。而在数字时代,交易的典型形式,并不追求所有权的移转,如消费者下载APP,通常是购买电子书、电影、音乐、图片以及一些虚拟物品在一段时间内的使用权,而非获取所有权。有学者将这种现象称之为“所有权的终结”,即在数字时代不再是所有权的让渡。这种变化导致合同法从过去的一次性交易转向持续性交易,进而导致合同交易规则的参照系发生变化。二是合同的典型形态发生了变化。传统的交易中最典型的合同形式就是买卖,所以买卖合同不仅位于合同编19种合同的第一位,而且《民法典》第646条规定,所有的有偿合同在没有规定的情况下,都可以参照适用买卖合同的规定,这就说明买卖合同是所有有偿合同可以参照的规则。但是到数字时代,买卖合同无法成为主要参照的典型合同的规则。交易形式既然已经由一次性买卖转化成持续性交易、许可交易,那么数字时代最典型的交易形式也就成为了许可合同。三是传统的合同编中,针对有形财产设定的禁止“一物数卖”“一物数租”等重要规则在数字交易中已经不能适用。鼓励共享共用,就不禁止“一物数卖”,数据越利用越有价值。四是在数字时代,许多交易是借助于格式条款完成的。比如知情同意,平台搜集个人信息无需也无法在实践中通过一对一谈判完成,绝大多数知情同意过程都是通过订立格式条款完成的。但因格式条款的使用,用户不能对其提出修改或变更意见,如此一来,一旦格式条款不合理不公正,对广大的消费者来说就会非常不利,进而损害众多消费者的权益。因此,在数字时代,格式条款的使用范围非常宽泛,对格式条款的规制也比以往任何时候都显得更为重要。
数据财产权不同于既有的有形财产权,对数据权益的侵害呈现新的形态。在数字时代,侵权法如何应对数据侵权问题,受数据本身属性及其利用特殊性的影响,存在诸多需要调适和优化之处,不能够完全照搬针对有形财产提供的侵权法保护和救济手段。笔者认为,在数字时代,数据权益的侵权法保护存在以下新特征和新需求。
一是对侵权法的保护效率要求更高。在数字化时代,网络打破时间、空间的限制,可以瞬时完成在世界范围内的传播,这就导致网络侵权的损害会迅速发酵与扩大。而事后通过诉讼解决则需要经历较长的时间周期,即便最后获得胜诉,损害后果业已无法消除。针对此种情形,在对数据侵权进行侵权法保护时,应将法律关注的重点由事后转向事前,通过前期快速的介入,遏制侵权后果迅速发酵和蔓延,以应对数字时代侵权影响快速扩大化的情形。对此,《民法典》人格权编规定的人格权禁令,可以作为预防性责任的快速实现机制。此外,《民法典》《个人信息保护法》等规范也明确了知情权、删除、更正、回应权,确立了“通知—删除规则”,成为数字时代为受害人提供保护的非常有效的办法。
二是更应当强调数据安全。传统民法较少关注安全问题,但是在数字时代,数据安全成为侵权法应当关注的重大问题。在数字时代,网络服务在为用户提供巨大便利的同时,也附带产生了大规模、不可控的风险。在这一背景下,数据安全比以往任何时候都更显重要,而且受到大规模侵害的可能性也在不断增加,例如大规模的人脸信息收集会带来的泄露风险。人脸信息不仅可以识别特定的自然人,进行人脸比对,甚至成为比DNA比对更为精确的破案方式;此外,借助于人脸信息,还可以判断某人的身体、健康、年龄、种族、遗传病、职业、地域来源等信息,甚至可能检测到个人的心理状态和精神状态。《个人信息保护法》对敏感个人信息做了特殊规定与强化保护,要求搜集处理必须要有特定的原因、目的及严格的保护措施。如果任由他人大规模搜集人脸信息,这些信息一旦泄露,则会造成难以预估的损害。再如,不法行为人对以亿万庞大数据为参数的生成式AI实施网络攻击、大规模窃取个人信息和隐私,将构成对网络安全包括AI技术安全的重大威胁,有效应对黑客攻击、保障个人信息的安全,是AI服务提供者应该承担的重要义务。违反此种义务应当承担侵权责任,所以侵权法应把数据安全作为重要内容加以考量。
三是要注重发挥侵权法的预防功能。在互联网时代,信息的传播速度远超传统社会,同时,与传统侵权类型不同,网络侵权具有侵权主体匿名性、侵权信息传播快速性、损害后果的严重性和不可逆转性等特征。在这种情形下,则需要规定各种措施来进行事先预防,防范损害后果的发生。当网络侵权发生后,就应当尽快启动禁令制度等,尽量防止损害结果的蔓延发酵。通过向法院申请,请求对网络上的言论立即采取措施进行封锁屏蔽、断开链接等措施,防止损害迅速扩大,起到损害预防的效果。为充分保护受害者权益,应当明确相关主体的回应权,如果他人发布虚假信息,应当允许相关主体在帖子旁边注明回应内容。当相关主体提出回应后,平台不但不能拒绝,还应积极予以帮助与配合。《民法典》第1028条用“等”字,应该可以将回应权解释进去。
四是应注重公法私法的相互配合以保护数据权益。数字时代损害赔偿的功能也要发生相应的变化。大规模微型损害如何进行赔偿,这是侵权责任法必须要解决的难题。比如大规模个人信息侵权问题,虽然造成了较大的负面影响,但具体分摊到每个人身上,损害可能是微型的,受害者可能会因为维权的繁琐而放弃寻求救济。此时,如何保护个人信息主体权益,计算个体利益的损失,就成为一个难题。所以对这种大规模的微型损害应当有特别的应对方式,积极完善与细化个人信息的公益诉讼制度。例如针对个人信息侵权此种类型,如果出现自诉案件,法院如果判决胜诉后,可以启动特别程序,告知相应机关,自动触发检察公益诉讼。
此外,在借助侵权法保护数据权益时,需要区分非法处理、泄露个人信息和一般侵权的关系。非法搜集、处理个人信息性质上应属于“大规模微型损害”,从法律依据看,其不仅仅适用侵权法,还应该适用《民法典》中人格权编和《个人信息保护法》的相关规定。《个人信息保护法》针对个人信息侵权问题,采用过错推定原则,适用获利返还制度等。而且《个人信息保护法》内部存在诸多个人信息保护规范,在进行过错认定时,应当重视这些法条的价值。个人信息侵权责任存在特殊的救济机制,包括查阅复制权、更正补充权和删除权等,在服务提供者作为个人信息处理者的场景中,用户还可以向这些服务提供者主张个人在个人信息处理活动中的权利。而一般侵权通常不适用这些特殊规则。
(四)数据保护的价值演变:从意思自治到维护人格尊严的发展
进入数字时代以后,虽然要重视对数据财产权的确权和保护,但是首先要注重对人格权益的保护和对人格尊严的维护,应该把对人的关照和保护提到一个更高的位置。
我们进入了一个科技爆炸的时代,美国学者Froomkin提出了“零隐权”(zero privacy)的概念,认为各种高科技、互联网的发明在给人类带来巨大福祉的同时,也存在一个共同的副作用,即对我们的隐私权保护带来了巨大威胁。科技主宰了人,就会对人的自由和尊严造成巨大威胁。任何科技发展既解放人又会对人形成新的制约和控制,是进化的开始,也是异化的开始。这就表明高科技时代对人格权益、人格尊严的维护比以往任何时候都更为重要。
我们进入了一个大数据时代,借助于大数据分析,数据处理者可以知道个人信息主体的过去和现在,甚至可以预测个人信息主体的未来,比个体更了解自己。人类在大数据面前,都成了裸奔的人、透明的人。算法作为企业的核心竞争力,给市场发展和技术创新带来巨大好处,同时也带来算法黑箱、算法伦理失范、算法歧视等问题。此外,因为受算法的影响,出现了信息茧房等现象,数字时代的人也日渐成为单向度的人,因此在数字时代,对人格权益的尊重和保护比以往任何时候都更为重要。
我们进入了一个人工智能时代,人工智能的发展对人的主体性存在尤其是对人格权益形成挑战。具有“大模型+大数据”特征的生成式AI,以亿万的庞大数据为参数,具有更出色的生成能力,其用途极为广泛,且具有惊人的应用价值。ChatGPT一经产生,就引发了全世界的广泛关注,被媒体称为“有史以来向公众发布的最佳人工智能聊天机器人”。比尔·盖茨认为,它是一项革命性的技术,其出现的重要性不亚于互联网和个人电脑的诞生。ChatGPT虽然被视为伟大的技术创新,但是其依然存在设计上的固有缺陷和漏洞,很容易大规模地产生一些虚假信息,生成虚假图片,而这些图片的真伪甚至连人工智能自身都难以辨识。现有技术的缺陷、训练数据的不可靠性等导致AI产品出现“臆想(Hallucination)”,因而可能公然地胡说八道。如果生成虚假的信息、图片、音频等,一旦在网络上广泛传播,就会对个人的人格权益造成重大损害,产生非常严重的不利后果。
在互联网、高科技、大数据和人工智能时代,个人信息和隐私受到各种技术应用的威胁,“人越来越沉浸于工具理性所创造的物化世界之中”,这严重影响了人的全面健康发展。因为个人信息与隐私作为重要的人格权益,与财产权相比,其与人的主体性、人格尊严具有最直接的关联度,是决定人之所以成为人的根本原因。在数字时代,民法面临的不仅是数据财产权益的保护问题,不仅是对主体私法自治的尊重问题,而且需要回应对人的保护、对人格尊严的维护问题。
孟德斯鸠在《论法的精神》中留下一句名言:“在民法慈母般的眼中,每个人就是整个国家。”他的意思是,一部理想的民法典应该能够充分关爱、保护到每一个个体。因此,需要充分发挥民法典所具有的保障私权的效能,推动民法典的与时俱进,民法就是人法,强化人文关怀是当代民法的重要发展趋势,它使得整个民法规则发生一种重大的改变,即要重视对人特别是人格尊严的保护。所有的社会科学最终还是要回到人的问题上来,社会科学归根结底还是人学。民法不应仅将重心放在交易法和财产法上,而更应当成为尊重人、关爱人、保护人的人法。我国民法典是充分彰显人文关怀和人文价值的法典,从重视保护财产权益,到同等重视保护财产和人格权益,民法的价值应当从注重私法自治向同时注重人文关怀价值转型,甚至在私法自治与人文关怀价值发生冲突时,人文关怀价值应当处于优越的地位,这也是数字时代民法转型的关键所在。
党的二十大报告明确提出加快建设数字中国。建设数字中国是推进中国式现代化的重要路径,为此,必须要为数字经济的发展提供全面的法治保障,数字社会治理需要加强数字法治,法治要为数字中国建设保驾护航。数字必须要与法治同步发展,相向而行。为实现这一目标,必须要求切实推动数据的确权和保护,尽快推进有关数据保护和确权的立法,这样才能保障数字经济有效健康稳定的发展,充分释放数字红利,推动数字共享,消除数字经济发展的阻碍,早日建成数字中国。