“大數據”背后：商業機遇or法律禁區

近日，信息泄露事件頻發，由此引發的數據產權歸屬成為焦點。8月10日，京東旗下“京東微聯”智能家居應用軟件，被指擅自將用戶個人wifi密碼上傳至京東服務器；更早以前，華為新款手機榮耀Magic因收集微信聊天記錄，被騰訊控告侵犯騰訊和用戶數據。隨著“大數據”的崛起，個人隱私與商業應用的邊緣卻日益模糊。數據到底歸于誰？大數據與個人信息又當如何界別？個人信息到底能不能商業化？

企業擁有數據，更有利社會總福利

隨著數據經濟時代到來，數據產權問題逐漸凸顯。無論是前幾天炒得沸沸揚揚的華為與騰訊數據之爭，還是最近發生的京東微聯被指上傳用戶wifi密碼，都圍繞著同一問題——數據產權究竟應如何劃定？

數據成為當下最寶貴的財產此前難以預見，對于數據產權界定的法律法規也不免落后。每天產生的大量數據便成為人們競相爭奪的“公共域”，大量糾紛隨之產生，并造成不必要的社會成本。雖然我國對于個人信息的保護有著法律規定，但對于大數據卻缺乏直接規定，這使得商業開發與個人信息保護的邊界愈加模糊，進而引發了數據產權的歸屬問題。至此，建立健全的界定數據產權的規則已刻不容緩。

然而數據產權應如何界定？具體到個案，情況復雜。尤其在個人信息數據的判定及歸屬方面，學界爭議頗多。筆者對此不做過多討論，僅以廣義數據為對象，從經濟角度加以探討。

經濟學上有著名的“科斯定理”：當交易成本為零時，對物品初始產權的劃分其實并不重要，物品最終將被對其評價更高的人獲得。

比如，假設張三和李四正為某物品展開爭奪，張三認為物品值200塊，李四認為值100元。無論將物品初始產權安排給誰，張三最終都將持有這件商品：因為若將初始產權給了李四，張三會以某個高于100而低于200的價格向李四購買這件商品，雙方都能從交易中獲益；若將產權安排給張三，李四卻不會以高于100元的價格購得商品。

當然，以上是理想情況?，F實中交易成本不僅存在，而且可能很高。

設想，如果達成上述交易需要繳納110元手續費，初始產權就會影響最終物品配置狀況：如果物品的最初產權分配給了李四，張三若要購得物品，則要以大于100元的價格進行交易，加上110元的交易成本，張三的投入將高于其200塊的價值評價。這件商品就不可能流回張三手里。

這即是“科斯第二定理”——當交易成本存在且足夠高時，產權的初始分配將會影響物品的最終歸屬狀況，并影響社會總福利。從這個角度看，把數據產權劃分給對其評價最高的人將是最有利于總體社會福利的。

那么，誰會對數據有更高評價呢？事實上，個人未必會是對數據評價最高的。微軟首席經濟學家蘇珊·阿賽教授曾做過實驗：她集合了一些聲稱十分重視個人隱私的被試，并提出付出一定代價向其進行一系列調查。結果顯示，盡管這些被試聲稱對個人信息很重視，但卻以十分低廉的價格出售了大量信息——人們對于個人信息的重視，可能并不如他們自己想象的那么重要。

這一結論很容易理解，除個別信息，大量數據對于個人未必有價值。例如，瀏覽記錄、購物記錄，對個人可能并沒有那么重要，但對企業則是一筆財富。機構將千萬個人數據集合形成“大數據”，就可利用范圍經濟，進行商業決策。因此，根據“科斯第二定理”，讓企業擁有數據，對社會而言應更有效率。

不過，將數據產權分配給某個企業，會產生一些問題：

一方面，它可能影響到數據使用。數據在很大程度上有公共品性質，由一家企業擁有數據很可能造成壟斷，影響公共使用。

另一方面，也可能造成濫用數據，如泄露隱私等。這就涉及產權保護應采用什么規則。法律經濟學家卡拉布雷西曾提出過三種規則：財產規則、責任規則和不可轉讓性。筆者以為，對于大部分數據，應使用責任規則，可以允許需要者使用，并與數據所有者探討相關報酬；至于重要隱私數據，則當適用不可轉讓性——盡管企業可以擁有它，但不可輕易將其轉移他人。

筆者的分析僅從經濟角度出發，現實問題復雜，可能涉及法律、社會、倫理等問題。筆者希望，本文的討論可以起到一些拋磚引玉的效果，為界定數據產權提供一些思路。

陳永偉（北京大學市場與網絡經濟研究中心研究員）

【法律專家談】

個人信息商業化，當以用戶意愿為先

互聯網技術的4.0時代已經到來，數據經濟替代用戶經濟，成為新網絡時代的基礎。一方面，人工智能、智慧城市、用戶習慣等新技術需要數據作為支撐，另一方面，精準營銷、用戶畫像、個性化服務等互聯網生態經濟也需要數據作為基礎。

數據作為一種經濟形態，從自然人隱私權角度看，在法律上可分為兩大類：一是可以直接或間接識別到自然人身份的個人信息；二是不能識別到自然人身份信息的大數據。個人信息屬于隱私權范疇，在我國《侵權責任法》、《民法總則》和《網絡安全法》中進行了明確界定。大數據性質區別于個人信息，盡管缺乏現有法律直接規定，但一般被認為屬于知識產權。

必須強調，個人信息屬于隱私權，未經允許授權任何人不得非法使用。超出法律底線對公民個人信息的商業化采集、使用和買賣不僅是侵權行為，而且觸犯了我國刑法修正案七、九，以及2017年最高檢和最高法聯合發布的關于辦理公民個人信息刑事案件司法解釋的相關規定。我國法律對保護公民個人信息極為嚴格，在《網絡安全法》中明確將政府、網絡經營者和其他數據保有人，作為公民個人信息的安全責任主體。若是有人非法使用公民個人信息，將面臨包括民事、行政和刑事責任在內的法律責任體系。

不過，個人信息也并非絕對不能商業化使用。個人信息屬于隱私權，性質上就是民事權利，民事權利當然可以按照平等自愿的原則進行處分。個人信息的合法使用，關鍵就在于商業使用者是否遵循了《網絡安全法》中規定的“合法性、正當性和必要性”三個原則：

合法性說的是數據采集、使用和處分的全過程應該遵守強制法規定；正當性就是強調使用者應事先得到用戶明確授權；必要性是不得超過業務需要和用戶知情權范疇過分采集、使用數據。

實踐中，網站一般以“網民協議”的方式取得用戶授權，這種合同授權方式大都以格式條款作出。最近的“京東微聯”事件就是如此。用戶是否事先通過格式合同的方式完全知情和授權，成為網站能否有權商業化搜集用戶信息的關鍵。

不僅如此，我國《網絡安全法》特別規定了用戶對自己數據的控制權——在用戶發現網站違法違約或出現存儲錯誤數據時，有權利要求網站刪除、終止使用或更正。因此，協議應以顯著位置提示用戶隱私條款的注意，明確告知用戶信息被采集和使用的范圍；網站應提供高效暢通的退出機制，使得用戶隨時可以拒絕、刪除和終止網站已采集的信息。我國對此也早有判例。

因此，盡管網站可以取得用戶對個人信息的處分權，但必須建立在充分尊重用戶意愿的前提下，明確告知、顯著提示、事中事后退出和賦予用戶及時更正權利等條件，成為合法個人信息使用的關鍵所在。

相比個人信息，大數據屬于知識產權范疇。其來源是用戶行為數據和不能識別到個人的數據信息，這部分數據性質因無法關聯到個體，所以不具隱私權性質，我國的網安法和刑法司法解釋都將大數據排除在法律保護個人信息之外。從商業化使用角度看，大數據具有明顯的財產權屬性，加之大數據凝結了網站的脫敏、算法和處理，具有一定獨創性，可以按照知識產權或商業秘密進行保護。

數據的知識產權所有權人屬于采集的平臺。如同其他財產權的市場行為一樣，其他人非法獲取的行為屬于不正當競爭。諸如騰訊和華為的數據權糾紛，未經騰訊微信許可，華為通過技術手段以“用戶授權”等方式獲取他人數據，本質上屬于不正當競爭行為。