□ 夏庆锋

我国现有较多法律法规可为个人数据交易提供制度依据，但是，由于个人数据交易存在特殊性，现行法律法规未能很好发挥对个人数据失控与公正价值丧失等实践问题的规范作用，难以充分保护个人在数据交易中的各项权益。笔者以建立与完善个人数据交易的私法制度为目标，着重围绕个人数据交易的主体与客体、权利配置等私法构造进行研究，并在此基础上提出相关规则设置建议，为立法与司法实践创新抛砖引玉。

个人数据交易的主客体讨论

个人数据交易是数据资产化与市场化的直接表现，从主体角度可以将其区分为初级数据交易与次级数据交易。初级数据交易是指数据处理者从个人处获得数据的交易，在此过程中，个人以数据为交易对价换取数据处理者提供的网络产品与服务；次级数据交易则是指数据处理者与第三方进行的数据交易，即不同数据处理者之间进行的个人数据交易行为。初级数据交易中仅有个人与数据处理者两方主体，次级数据交易中的交易主体主要是数据处理者与第三方数据处理者。

初级数据交易的客体仅为个人数据，次级数据交易的客体中还包括具有个人属性的数据产品。其中，具有个人属性的数据产品既有未进行匿名化操作的个人数据聚集而产生的独创性产品，也包含将大量个人数据进行匿名化操作并重新组合成的数据产品。虽然数据产品在数据数量与范围上都远远大于单个或少数个人数据，但当其具有个人属性时则仍应受到个人数据法律的规制。

个人数据交易的权利配置

无论是初级数据交易抑或次级数据交易，应优先保护个人的隐私权益与人格利益不受侵害，因此，应以隐私与人格保护原则为主体权利配置的首要原则。权利配置应遵从自由与安全流通原则，以强调个人数据交易的自由性与安全性，避免因不正当限制数据交易或因交易泛滥而影响现代社会的健康发展。隐私与人格保护原则是个人数据自由流通的基石而非障碍，个人数据的自由与安全流通为实现更加安全与稳定的网络空间以及对个人隐私权益与人格利益进行更为周密的制度保护提供创新思维，两项原则互为补充与协调，为构建开放可信的个人数据交易环境提供底层逻辑。

个人数据具有个人相关性的基础特征，应当赋予个人享有数据交易全过程的知情权，该权利并非仅是对初级数据交易中数据处理者如何收集、使用个人数据情形的知情，还包括对次级数据交易双方处理者对个人数据的处理约定以及实际使用情形等的知情。

数据产权三权分置的主要目的在于规范数据处理者，而个人作为数据来源者当然也享有对其数据进行持有、使用与处置的权利，即有权对其个人数据进行绝对支配。但与有体物之上具有排他效力的传统所有权不同，数据产权更像是一种框架性权利。同理，对数据处理者获得个人数据后享有的数据权益也无法仅通过所有权进行概括，需对各项权利进行分别规定。

个人作为数据来源者当然享有收益分配权，而数据处理者通过技术化措施对个人数据进行聚合与分析，具有相当程度的智力与劳动投入，也应享有收益分配权。数据处理者与个人进行初级数据交易即确定其使用、经营等处理个人数据获利时应当进行利益返还，第三方数据处理者既可以与个人单独订立收益分配协议，也可以在与数据处理者订立次级数据交易合同中约定向个人返还利益的合同条款，从而保障个人的收益权利。此外，还可以设立奖励性质的收益分配权，以鼓励个人提供真实数据并及时更新与数据处理者创新个人数据保护措施等。

个人数据交易的规则设置

以合同法规则平衡交易主体的当事人地位。在将合同法规则适用至个人数据交易时，应当考虑到个人数据交易主体地位的不平等，提高数据处理者在数据交易过程中的提示义务履行标准。消除个人数据交易中的信息不对称还需要完善网络服务商等处于合同优势地位的数据处理者对格式条款的说明义务，包括对条款内容进行优化以及对条款含义进行明晰等。基于个人数据交易当事人地位失衡以及个人数据具有个人相关性、非排他性等特征，应当赋予在初级数据交易合同中限制第三方享有权利及要求第三方承担义务的条款以法律效力，促使第三方数据处理者遵守初级数据交易合同中对其使用、转让等处理个人数据行为的限制规定。

以个人信息保护法规则保护个人知情同意权利。当面对更为复杂以及更加多元化的个人数据交易活动时，仅依据现有个人信息保护法的规定远不足以保护个人对数据交易全过程的知情权。因此，应对现有规则进行完善，包括要求数据处理者严格履行更全面的如实告知义务以及对个人同意规则进行改进。数据处理者或第三方数据处理者只要通过交易获得个人数据并进行加工、使用等处理活动的，除了需要履行个人信息保护法已经规定的如实告知义务，还需要增加履行以下义务内容：第一，就交易的个人数据数量进行告知；第二，就使用期限进行告知；第三，就收集与个人相关联的推测数据进行告知。

利用动态同意规则能够突破既有静态同意规则的局限，将同意行为与数据处理者履行的告知义务技术化为一个持续、动态和开放的过程。因此，应基于数据处理者履行如实告知义务的范围与程度、对个人数据权益的影响变化以及个人数据交易场景对个人同意规则进行动态调整：第一，当数据处理者已经按照个人信息保护法与增加的如实告知义务要求履行告知义务时，个人采取在线点击同意按钮或其他的简单同意行为，交易即依法产生效力；第二，当数据处理者未按照法律规定履行如实告知义务时，个人的简单同意行为不能发生合法效力，还需要个人补充同意；第三，虽然数据处理者已经充分履行如实告知义务，但是个人数据发生动态变化的，数据交易应重新获得个人同意，否则个人可行使数据纠正权与删除撤回权，并要求数据处理者承担损害赔偿责任。

以物权法规则保护处理者数据产品权益。在财产交易语境下，对个人数据客体难以进行清晰的产权界定。但是，当个人数据被数据处理者聚集、分析并形成相对稳定且具有固定价值的数据产品时，则具有财产权客体的清晰状态。此时，可适用财产法规则，尤其是物权法规则，对包括数据产品经营权在内的一切数据产品权益进行保护。数据产品交易在数据处理者之间发生，主要有场外交易与集中交易两种模式。由于在场外交易中缺乏专门机构对交易履行情况进行监督，要求数据处理者对所有侵权行为都采取合同预防或进行及时制止并不可行。数据处理者重新编辑制作的数据产品内含处理者的智力与劳动投入，为保护其合法的数据产品权益并保证其在遭受损害后得到充分救济，应适用所有权规则等物权法制度强化对数据产品权益的保护措施。

数据产品集中交易的突出问题在于：由于数据交易应用系统需要对每一个身份体系进行认证以及对访问程序进行授权，单个交易主体可能在不同的身份体系中保留不同的身份信息与行为数据，这使得数据产品出让方或受让方有可能利用不同身份信息从事损害相对方数据权益的行为并逃避责任。笔者认为，对此可借鉴物权登记规则，要求数据处理者对身份信息、数据产品信息、交易事项信息等进行类似于物权登记的数据产品登记，并依托数据交易所的流通中枢地位与公信力建立分布登记、统一效力的登记模式。

（原文刊载于《中国法学》2024年第5期）