我國《個人信息保護法》第1條規(guī)定，制定該法之目的為“保護個人信息權(quán)益，規(guī)范個人信息處理活動，促進個人信息合理利用”。歐盟《通用數(shù)據(jù)保護條例》（GDPR）既規(guī)定與個人數(shù)據(jù)處理有關(guān)的自然人保護規(guī)則，也規(guī)定有關(guān)個人數(shù)據(jù)自由流動的規(guī)則。2015年，國務(wù)院發(fā)布了《促進大數(shù)據(jù)發(fā)展行動綱要》，要求“促進數(shù)據(jù)資源流通，建立健全數(shù)據(jù)資源交易機制和定價機制，規(guī)范交易行為”。其后，《中共中央 國務(wù)院關(guān)于構(gòu)建更加完善的要素市場化配置體制機制的意見》《中共中央 國務(wù)院關(guān)于新時代加快完善社會主義市場經(jīng)濟體制的意見》《中華人民共和國國民經(jīng)濟和社會發(fā)展第十四個五年規(guī)劃和2035年遠景目標綱要》《“十四五”數(shù)字經(jīng)濟發(fā)展規(guī)劃》等一系列文件相繼出臺，我國步入了“數(shù)據(jù)交易規(guī)范化”進程。上述文件多為框架性的發(fā)展要求，數(shù)據(jù)權(quán)屬、交易標的、交易規(guī)則等相關(guān)規(guī)范尚付闕如，而現(xiàn)有的研究多關(guān)注個人數(shù)據(jù)保護問題，就數(shù)據(jù)權(quán)屬及權(quán)益性質(zhì)的主張各異。不同學者基于不同角度提出數(shù)據(jù)資產(chǎn)權(quán)與數(shù)據(jù)經(jīng)營權(quán)、大數(shù)據(jù)有限排他權(quán)、數(shù)據(jù)生產(chǎn)者權(quán)、數(shù)據(jù)控制者權(quán)、企業(yè)數(shù)據(jù)權(quán)、抽象的集合性財產(chǎn)權(quán)利、企業(yè)數(shù)據(jù)物權(quán)（所有權(quán)）、企業(yè)數(shù)據(jù)知識產(chǎn)權(quán)說、大數(shù)據(jù)鄰接權(quán)說、公共區(qū)塊鏈數(shù)據(jù)公有說等。筆者認為，在數(shù)字技術(shù)和數(shù)字經(jīng)濟發(fā)展的現(xiàn)階段，難以以絕對權(quán)方式一攬子確定包括個人數(shù)據(jù)在內(nèi)的數(shù)據(jù)權(quán)屬。為適應(yīng)促進數(shù)字經(jīng)濟發(fā)展，可以先行確立數(shù)據(jù)交易規(guī)則。

二、個人數(shù)據(jù)可交易性的爭議

有關(guān)個人數(shù)據(jù)是否可以交易的問題存在爭議。而否定個人數(shù)據(jù)可以交易又是基于不同的原因?？档抡J為，人格乃在體現(xiàn)人的尊嚴及價值，應(yīng)以人為目的，不得將之物化，使其作為交易的客體。因此，在相當長的時期，傳統(tǒng)民法不承認人格法益本身具有財產(chǎn)價值。從我國《民法典》的規(guī)范設(shè)置來看，“個人信息在性質(zhì)上應(yīng)當屬于人格權(quán)益的范疇，其應(yīng)當是人格權(quán)的客體。個人信息權(quán)利以主體對其個人信息所享有的人格利益為客體?！庇袑W者認為，單個自然人的個人數(shù)據(jù)本身并無價值，不承認個人數(shù)據(jù)能作為財產(chǎn)轉(zhuǎn)讓。也有學者從市場失靈的角度否認個人數(shù)據(jù)的可交易性。當一些人比另一些人知道更多的信息時，市場不能使資源得到最好的利用。一方面，信息主體對于數(shù)據(jù)處理者如何處理個人信息基本上一無所知。個人無法知道其披露的數(shù)據(jù)與數(shù)十億其他數(shù)據(jù)點匯總后意味著什么。另一方面，絕大多數(shù)時候，數(shù)據(jù)企業(yè)給消費者的選擇項只有兩個：留下或離開。數(shù)據(jù)處理者沒有向數(shù)據(jù)主體提供多元的隱私偏好表達渠道，當然也不了解數(shù)據(jù)主體的不同隱私偏好。由于信息不對稱，數(shù)據(jù)主體囿于“要么留下要么離開”的二元選擇框架必然產(chǎn)生了無謂損失，從而導致市場失靈。市場失靈的結(jié)果是人們過多的出售財產(chǎn)化的個人數(shù)據(jù)，從而侵蝕現(xiàn)有的隱私保護水平，形成“檸檬均衡”（lemons equilibrium）。還有學者從公共物品的角度否認個人數(shù)據(jù)的可交易性。信息類似于公共物品。由于信息可以被許多人同時利用，信息顯然不具有競爭性。信息在一定程度上也可以說不具有排他性。信息的最初控制者當然可以封鎖信息。但一旦信息被首次出售，最初控制者就很難阻止信息的買方再次向其他人傳播。有學者認為，信息隱私應(yīng)該和清潔空氣、國防一樣作為公共物品以促進社會價值的實現(xiàn)，而個人數(shù)據(jù)的財產(chǎn)化將阻礙此種價值的實現(xiàn)。在信息隱私的場景下，有關(guān)公共物品是隱私公域（privacy commons），即由對個人信息進行的法律限制和其他限制所創(chuàng)設(shè)的匿名的和半匿名的交互空間。社會公眾從隱私公域中獲得的利益是基于民主協(xié)商（democratic deliberation ）和個人自治能力（capacity of individuals for self-governance）的社會秩序。個人數(shù)據(jù)交易將降低整體的隱私保護水平，且不利于窮人和其他不能購買足夠隱私的人，導致社會的不平等，破壞了隱私公域。另外，公共危害（public bads）是公共物品（public goods）的數(shù)學鏡像（mathematical mirror image），前者存在負外部性，后者存在正外部性。一個人的個人數(shù)據(jù)也可能涉及另一個人的信息。例如，某人的生日也是其母親生育的日期。又如，某人患有某種遺傳疾病的信息也會涉及其兄弟的遺傳信息，并導致該兄弟支付更高的保險費。大量個人信息因其在形成過程中可能涉及多方參與主體，有人稱之為“多方關(guān)聯(lián)性”。

人格權(quán)在不同的時期有著不同的內(nèi)涵，人格權(quán)的外延隨著歷史的進程越來越廣泛。在康德生活的年代，人格權(quán)表征為生命權(quán)、健康權(quán)等與主體不可分割的權(quán)利，當然“不得將之物化，使其作為交易客體”。人格權(quán)不可能作為財產(chǎn)進行利用或者交易。隨著科技的發(fā)展和社會的進步，人格權(quán)商品化的實踐不斷向傳統(tǒng)人格權(quán)理論提出挑戰(zhàn)。美國法和德國法均經(jīng)歷長達一個世紀的發(fā)展，分別建構(gòu)二元或一元的人格利益保護機制，尤其是財產(chǎn)利益的保護機制。美國于1953年在Haelan Laboratories，Inc. v. Topps Chewing Gum，Inc.案創(chuàng)設(shè)了公開權(quán)（right of publicity），認為個人對姓名等所體現(xiàn)的特征有一種支配的權(quán)利，應(yīng)消極地排除他人的侵害，積極地允許他人的使用，以實現(xiàn)其所具有的財產(chǎn)價值。公開權(quán)旨在保護財產(chǎn)利益，被認定為一種無體財產(chǎn)權(quán)，應(yīng)被讓與或繼承。德國于1956年在Paul Dahlke 案中認定人格權(quán)（肖像權(quán)等）系具財產(chǎn)價值排他性的權(quán)利，更于1999年Marlene Dietrich案中宣示姓名、肖像等人格特征具有財產(chǎn)價值，應(yīng)被繼承。我國《民法典》第993條、第1018條、第1023條分別規(guī)定了肖像、姓名和聲音的許可他人使用制度。域內(nèi)外人格權(quán)商品化的立法和司法實踐均突破了人格權(quán)客體絕對不可交易的結(jié)論。尤其我國《民法典》第993條和第1023條通過“等”字保持人格權(quán)商品化外延的開放性，可以根據(jù)科技發(fā)展和社會進步的需要融入新的可商品化的人格權(quán)。有學者認為，個人數(shù)據(jù)如姓名、肖像等為標表型人格權(quán)，兼具人格利益和財產(chǎn)利益，可與人身在一定程度內(nèi)分離。更何況個人數(shù)據(jù)的人格屬性有強弱之分。個人數(shù)據(jù)可分為內(nèi)在個人數(shù)據(jù)和外在個人數(shù)據(jù)，前者如生物識別數(shù)據(jù)、醫(yī)療健康數(shù)據(jù)，后者如GPS數(shù)據(jù)、IP地址或保存在個人任務(wù)管理器中的數(shù)據(jù)。外在的個人數(shù)據(jù)在一定程度上不會面臨與內(nèi)在隱私數(shù)據(jù)相同的概念、倫理和法律問題。

在市場中不對稱信息普遍存在。通常銷售者對一個產(chǎn)品的質(zhì)量比消費者知道得更多，工人對于其技術(shù)和能力比其雇主知道得更多，而經(jīng)理對于企業(yè)的成本和競爭地位比企業(yè)的所有者知道得更多。市場中的不對稱信息所導致的“檸檬”問題可通過政府的干預(yù)和聲譽的形成來減緩。同時，買方和賣方可通過市場信號傳遞（market signaling）這一重要機制來傳遞信息，以解決信息不對稱問題。私人市場可自己解決信息不對稱的問題。即使市場配置資源不是理想的，但它可能是所能達到的最好結(jié)果。即當存在信息不對稱時，政策制定者會發(fā)現(xiàn)很難改善市場承認的不完美結(jié)果。個人數(shù)據(jù)交易市場失靈的主要原因在于信息不對稱。個人數(shù)據(jù)交易市場失靈只是為改善數(shù)據(jù)交易的努力提供了理由，但并不能得出應(yīng)該全面禁止市場機制的結(jié)論。個人數(shù)據(jù)交易市場的信息不對稱問題可通過市場制度的設(shè)計來減緩，如強制數(shù)據(jù)處理者信息披露的內(nèi)容、方式，提高隱私增強技術(shù)為數(shù)據(jù)主體表達隱私偏好暢通渠道等。

公共物品理論只能對個人信息的財產(chǎn)化提出質(zhì)疑，不能否定個人信息的財產(chǎn)化。個人數(shù)據(jù)為公共物品而禁止交易的觀點將個人數(shù)據(jù)的公共屬性絕對化，未能正視個人數(shù)據(jù)的私人屬性。應(yīng)當在個人數(shù)據(jù)的私人屬性和公共屬性之間找到平衡，以公共屬性之名否定私人屬性既非必要也不客觀。廣泛應(yīng)用的信息自決理論便是以個人數(shù)據(jù)的私人屬性為理論建構(gòu)的基礎(chǔ)。從法政策學來看，物理屬性雖對物體本身能否作為私權(quán)客體具有重要意義，但最終決定因素卻是立法者的價值選擇。個人信息物理特性中的非競爭性與非排他性，可通過法律規(guī)范加以變更。有學者認為，隱私公域應(yīng)被視為對個人數(shù)據(jù)的財產(chǎn)化提出了一個問題，即在多大程度上以及如何使公域財產(chǎn)化，而不是完全禁止個人信息作為財產(chǎn)。“多方關(guān)聯(lián)性”為個人數(shù)據(jù)的固有特征。在數(shù)據(jù)流動中要求關(guān)聯(lián)方的共同同意既不現(xiàn)實也不經(jīng)濟，構(gòu)成了數(shù)字經(jīng)濟的巨大阻礙?！拔锉M其用”的原則要求應(yīng)盡量減少財產(chǎn)的共有人，避免“反公地悲劇”的發(fā)生。

三、個人數(shù)據(jù)交易的權(quán)利基礎(chǔ)

個人數(shù)據(jù)參與了數(shù)據(jù)交易的一級市場和二級市場。早在20世紀末，在美國已開始個人數(shù)據(jù)的商品化。美國數(shù)據(jù)交易主要有三種模式。第一種是數(shù)據(jù)平臺C2B分銷模式。用戶將自己的個人數(shù)據(jù)貢獻給數(shù)據(jù)平臺，數(shù)據(jù)平臺向用戶給付一定數(shù)額的商品、貨幣、服務(wù)等價物或者優(yōu)惠、打折、積分等對價利益。第二種是數(shù)據(jù)平臺B2B集中銷售模式。數(shù)據(jù)平臺以中間代理人身份為數(shù)據(jù)提供方和數(shù)據(jù)購買方提供數(shù)據(jù)交易撮合服務(wù)，數(shù)據(jù)提供方、數(shù)據(jù)購買方都是經(jīng)交易平臺審核認證、自愿從事數(shù)據(jù)買賣的實體公司。第三種是數(shù)據(jù)平臺B2B2C分銷集銷混合模式。數(shù)據(jù)平臺以數(shù)據(jù)經(jīng)紀商（data broker）身份，收集用戶個人數(shù)據(jù)并將其轉(zhuǎn)讓、共享給他人。美國的數(shù)據(jù)中間商行業(yè)的市場規(guī)模已經(jīng)達到2000億美元。數(shù)據(jù)中間商占有龐大的個人數(shù)據(jù)，其中最大的企業(yè)Acxiom幾乎占有包括所有美國消費者在內(nèi)的全球7億多人的信息。Acxiom擁有8000多家公司客戶，2013年的銷售額約為11億美元。如今歐美開始摸索建立介于企業(yè)和個人之間的中介，此類中介在某種意義上構(gòu)成個人數(shù)據(jù)交易的市場，分別有Datacoup、Handshake和Datarepublic等。歐盟《數(shù)字內(nèi)容指令》（Digital Content Directive， 簡稱DCD）第3條（1）款規(guī)定，本指令應(yīng)適用于貿(mào)易商提供或承諾提供數(shù)字內(nèi)容和數(shù)字服務(wù)給消費者，并且消費者支付或承諾支付價款的任何合同。本指令也適用于貿(mào)易商提供或承諾提供數(shù)字內(nèi)容和數(shù)字服務(wù)給消費者，并且消費者提供或承諾提供個人數(shù)據(jù)給貿(mào)易商的任何合同。事實上，消費者每天都在參與個人數(shù)據(jù)的商業(yè)化。

2016年7月1日，數(shù)據(jù)中心聯(lián)盟籌建的“大數(shù)據(jù)發(fā)展促進委員會”在北京成立。成立大會上發(fā)布了《數(shù)據(jù)流通行業(yè)自律公約》（2.0版）（以下簡稱《公約》）?！豆s》包括中國信通院、中國電子科學技術(shù)研究院、中國聯(lián)通、中國電信、阿里巴巴、京東、360、世紀互聯(lián)、滴滴出行等80多家發(fā)起單位。根據(jù)《公約》第2條，數(shù)據(jù)流通是指通過采集、共享、交易、轉(zhuǎn)移等方式，實現(xiàn)數(shù)據(jù)或數(shù)據(jù)衍生品在不同實體間轉(zhuǎn)換的行為。根據(jù)《公約》第4條，用戶對其個人數(shù)據(jù)享有合法權(quán)益。個人數(shù)據(jù)的采集、共享、交易、轉(zhuǎn)移等應(yīng)明確告知用戶，并經(jīng)用戶同意或取得其他合法授權(quán)。據(jù)此，《公約》涉及了個人數(shù)據(jù)交易的一級市場和二級市場。目前，我國個人數(shù)據(jù)交易一級市場主要為數(shù)據(jù)處理者與數(shù)據(jù)主體之間的個人數(shù)據(jù)的收集，我國個人數(shù)據(jù)交易的二級市場主要為數(shù)據(jù)處理者之間的個人數(shù)據(jù)的共享。

在傳統(tǒng)有體物的場景下，通常在明晰產(chǎn)權(quán)后方可進行交易。但是，數(shù)據(jù)在產(chǎn)權(quán)界定方面不斷地面臨困難。世界各國實際上都沒有采取傳統(tǒng)的“先明晰產(chǎn)權(quán)，再發(fā)展交易”的模式。有學者認為，應(yīng)適當理解“界權(quán)”，建構(gòu)性的法律界權(quán)不應(yīng)被既有概念形式體系過度束縛，特別是不應(yīng)誤以為可以甚至必須先找到數(shù)據(jù)在所有權(quán)規(guī)范體系中的“定位”。不能指望任何“體系化”“一攬子”的界權(quán)方案可以畢其功于一役。據(jù)此，當前決策者需要就數(shù)據(jù)權(quán)益提供權(quán)宜性的法律安排。以《個人信息保護法》為基礎(chǔ)的合同路徑或許就是目前解決個人數(shù)據(jù)產(chǎn)權(quán)問題的權(quán)宜之計，此路徑統(tǒng)合了個人數(shù)據(jù)的法律權(quán)利和經(jīng)濟權(quán)利。巴澤爾（Yoram Barzel）指出，個人對某一資產(chǎn)的“經(jīng)濟權(quán)利”是其直接消費或通過交易間接消費該資產(chǎn)的能力；而“法律權(quán)利”則是政府界定和實施的，作為一個人的財產(chǎn)的范疇。巴澤爾是在廣義上使用產(chǎn)權(quán)（property rights）的概念。根據(jù)此種產(chǎn)權(quán)概念，由國家明確界定的法律權(quán)利只占產(chǎn)權(quán)中的一小部分，其余可以在交易過程中由合同界定?；舴茽柕拢╓esley Newcomb Hohfeld）的權(quán)利束理論也為個人數(shù)據(jù)產(chǎn)權(quán)的合同路徑提供了理論支持?；舴茽柕抡J為，權(quán)利束中的某種權(quán)利是與其他權(quán)利相互獨立的。在形成數(shù)據(jù)法律權(quán)利之前，數(shù)據(jù)交易的當事方可以通過合同路徑確認權(quán)利束中的“部分利益”，合同路徑并非個人數(shù)據(jù)權(quán)屬和權(quán)能的終局式的解決方案。其基本邏輯是“個人通過他們自己的行為能夠控制并影響他們對財產(chǎn)權(quán)利的界定”。他們在現(xiàn)有的法律框架內(nèi)由合同雙方以意定的方式達成個人數(shù)據(jù)一定的權(quán)屬和權(quán)能的共識，以合同所具有的約束力建構(gòu)個人數(shù)據(jù)權(quán)屬和權(quán)能的強制力。薩繆爾森（Pamela Samuelson）指出，用合同方法保護信息隱私有諸多的優(yōu)點，它可以實現(xiàn)人們在個人信息中的多重利益，也可以滿足關(guān)于個人信息收集或使用的適當性決定的場景需要，還能兼顧同意作為決定適當用途的重要因素以及社會對信息隱私的性質(zhì)理解的不斷變化。合同方法是一種靈活、適應(yīng)性強、以市場為導向的方式，允許個人能控制個人數(shù)據(jù)的使用。

（一）數(shù)據(jù)主體參與交易的權(quán)利基礎(chǔ)

數(shù)據(jù)主體參與了數(shù)據(jù)交易的一級市場。如果數(shù)據(jù)受到知識產(chǎn)權(quán)法、數(shù)據(jù)保護法等既有法律規(guī)則的保護并因此配置給個人以可交易性，則意味著此人有權(quán)簽訂有關(guān)數(shù)據(jù)的合同。一個成功的數(shù)據(jù)隱私制度應(yīng)該是能保障個人有權(quán)用其個人信息來換取利益的制度，并為雙方同意的交易設(shè)置最低的交易成本。如果個人選擇在不對第二或第三用途施加限制的情況下交易自己的個人數(shù)據(jù)，這應(yīng)該屬于個人意思自治的范圍。最終，個人數(shù)據(jù)以雙方同意的方式得以控制。在我國《個人信息保護法》中，有27處“同意”將個人數(shù)據(jù)上一定的人格利益和財產(chǎn)利益在法律效果上歸屬于數(shù)據(jù)主體。不論是認為《個人信息保護法》直接賦予了個人以獨立的知情權(quán)、決定權(quán)還是通過行為規(guī)制的方式對不同主體間的關(guān)系進行調(diào)整，其結(jié)果都是將某些人格利益和財產(chǎn)利益歸屬給了數(shù)據(jù)主體。權(quán)利束理論讓我們看到了財產(chǎn)權(quán)形態(tài)的多樣性和彈性。一宗財產(chǎn)之上的財產(chǎn)權(quán)（包括經(jīng)典意義上的所有權(quán)） 實際上是一束財產(chǎn)權(quán)的集合，可以被分割為無限數(shù)量的子權(quán)利。根據(jù)我國《個人信息保護法》第4條第2款，個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開、刪除等。上述的“處理”行為，特別是“使用”“加工”都是以獲取個人數(shù)據(jù)上的財產(chǎn)利益為目的，應(yīng)在數(shù)據(jù)主體“財產(chǎn)權(quán)能”的規(guī)范之下?！秱€人信息保護法》是一定的個人數(shù)據(jù)人格利益和財產(chǎn)利益歸屬的重要法律基礎(chǔ)。

有學者認為，如果認可個人對數(shù)據(jù)的財產(chǎn)利益主張，那么個人授權(quán)或獲取分成收益的成本很可能超過其信息貢獻的價值，導致數(shù)據(jù)交易成本太高，從而無法實現(xiàn)數(shù)據(jù)在市場上的流通，甚至使數(shù)據(jù)市場失去存在的意義。有學者認為，數(shù)據(jù)是一種信息集合，經(jīng)收集聚合而成，收集者進行了時間、資金、管理等方面的投入，且作為數(shù)據(jù)集合的投入者，通常都是單一和清晰的，因而其權(quán)屬界定應(yīng)當是清晰的，此即收集者即投入者享有權(quán)利。就個人數(shù)據(jù)的交易成本問題，目前的事實是個人在數(shù)據(jù)交易市場還不具有強勢的議價能力，反而是數(shù)據(jù)處理者處于單方面決定價格的強勢地位。正如授予標準必要專利的前提是專利權(quán)人的FRAND承諾，數(shù)據(jù)處理者也應(yīng)根據(jù)自己的收益水平公平合理無歧視地給予數(shù)據(jù)主體對價，避免交易成本過高問題。另外，認為數(shù)據(jù)收集者最適合控制數(shù)據(jù)的觀點過于簡單。收集的數(shù)據(jù)一般有其來源并存在原始的個人數(shù)據(jù)主體。只有在收集者得到允許收集數(shù)據(jù)的情況下，數(shù)據(jù)收集者最適合控制數(shù)據(jù)的觀點才具有正當性。用洛克的勞動財產(chǎn)理論證成個人數(shù)據(jù)收集者的產(chǎn)權(quán)恐力有不逮。洛克理論的前提是存在足夠多的無主物品，因此每個人都可以占有他們的勞動對象。因此，只有在該物品尚未為他人所有的情況下，才可以通過自己的勞動來獲得該物品的產(chǎn)權(quán)。名譽、財產(chǎn)狀況等諸多個人數(shù)據(jù)在一定意義上也是數(shù)據(jù)主體的勞動成果，在此意義上，每個人都應(yīng)對自己的個人信息擁有一定的原始財產(chǎn)利益。當然，根據(jù)洛克的勞動財產(chǎn)理論，僅能初步得出個人數(shù)據(jù)上一定人格利益和財產(chǎn)利益歸屬的結(jié)論。面對個人數(shù)據(jù)在現(xiàn)實生活中應(yīng)用的復雜性，目前仍以《個人信息保護法》為基礎(chǔ)的合同路徑較為妥當。

（二）數(shù)據(jù)處理者參與交易的權(quán)利基礎(chǔ)

數(shù)據(jù)處理者在數(shù)據(jù)交易的二級市場向下游交易其從數(shù)據(jù)主體處收集的個人數(shù)據(jù)。數(shù)據(jù)處理者繼續(xù)交易的“權(quán)源”仍為數(shù)據(jù)主體的同意。我國《個人信息保護法》第1條規(guī)定：“為了保護個人信息權(quán)益，規(guī)范個人信息處理活動，促進個人信息合理利用，根據(jù)憲法，制定本法?！苯Y(jié)合第1條來理解第4條規(guī)定的處理行為會有更清晰的認識。以“提供”為例，此處的“提供”方為個人信息處理者而非數(shù)據(jù)主體，“提供”可以指有償“提供”也可以指無償“提供”，有償“提供”的對價可以是貨幣也可以是非貨幣財產(chǎn)。因此，個人數(shù)據(jù)提供行為包括個人數(shù)據(jù)交易行為。同時，《個人信息保護法》第10條規(guī)定：“任何組織、個人不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息；不得從事危害國家安全、公共利益的個人信息處理活動。”筆者認為，第10條中的“非法”并非指買賣個人數(shù)據(jù)行為本身“非法”，“非法”是對買賣的限定，是與“合法”買賣相對而言，亦即不禁止基于告知同意等規(guī)則的合法的個人數(shù)據(jù)買賣行為。至于如何理解“買賣”和“提供”并列，而在個人信息處理的定義中又沒有“買賣”，合理的解釋是一方面要與侵犯公民個人信息罪中“向他人出售或提供公民個人信息”的規(guī)定相銜接而明確反對非法出售個人信息，在現(xiàn)有條件下對個人數(shù)據(jù)買賣持極為謹慎的態(tài)度，另一方面又兼顧數(shù)字經(jīng)濟的發(fā)展。我國《民法典》第1038條規(guī)定，“信息處理者不得泄露或者篡改其收集、存儲的個人信息；未經(jīng)自然人同意，不得向他人非法提供其個人信息，但是經(jīng)過加工無法識別特定個人且不能復原的除外。”《信息安全技術(shù)個人信息安全規(guī)范》第9.2條更是十分明確地確認了個人數(shù)據(jù)的可交易性。《個人信息保護法》第23條規(guī)定，個人信息處理者向其他個人信息處理者提供其處理的個人信息的，應(yīng)當取得個人的單獨同意。此為個人數(shù)據(jù)二級市場交易的意定授權(quán)。

個人數(shù)據(jù)交易二級市場的意定授權(quán)在域外已有立法例。2020 年 1 月 1 日，《2018 年加州消費者隱私法》（California Consumer Privacy Act of 2018，簡稱CCPA）成為《加州民法典》（The Civil Code of the State of California）的組成部分。CCPA第1798.120節(jié)規(guī)定如下。一是消費者有權(quán)在任何時候指示向第三方出售消費者個人信息的企業(yè)不得出售消費者的個人信息。該權(quán)利可稱為選出權(quán)。二是將消費者個人信息出售給第三方的企業(yè)應(yīng)根據(jù)第 1798.135 節(jié)（a）向消費者發(fā)出通知，告知該信息可能被出售，并且消費者有權(quán)選擇不出售其個人信息。作為美國最嚴格的數(shù)據(jù)隱私和數(shù)字消費者權(quán)利法，CCPA允許數(shù)據(jù)處理者與第三方交易個人數(shù)據(jù)。德國法律規(guī)定，出于銷售的目的處理數(shù)據(jù)需要雙重同意。據(jù)此可推知德國亦允許交易個人數(shù)據(jù)。2020 年2 月19 日，歐盟委員會公布了《歐盟數(shù)據(jù)戰(zhàn)略》（A European Strategy for Data），致力于促進數(shù)據(jù)共享，發(fā)展歐盟數(shù)據(jù)經(jīng)濟?！稊?shù)據(jù)治理法》（Data Governance Act）和《數(shù)據(jù)法（提案）》（Proposal for a Data Act）即為落實《歐盟數(shù)據(jù)戰(zhàn)略》的重要立法舉措。

四、個人數(shù)據(jù)交易的原則

不論是對個人數(shù)據(jù)的絕對保護還是完全公開都不利于對個人數(shù)據(jù)的的最佳利用，合理建構(gòu)個人數(shù)據(jù)交易制度才能平衡個人數(shù)據(jù)的保護和利用。如果說在個人數(shù)據(jù)交易的一級市場應(yīng)遵循“告知同意”原則側(cè)重保護，那么在二級市場則應(yīng)遵循“合法”原則和“兼容”原則側(cè)重利用。我國《個人信息保護法》及其他規(guī)范以告知同意原則為核心。各國也普遍認為，關(guān)于信息隱私的同意要求是建立在向數(shù)據(jù)主體提供足夠的信息的基礎(chǔ)之一，以便使其在知情的基礎(chǔ)上作出決定。在個人數(shù)據(jù)交易的一級市場中仍應(yīng)將告知同意原則作為制度設(shè)計的基石。同時，同意須選入（opt-in）且可退出。當然，選入機制也存在缺點，許多數(shù)據(jù)處理機構(gòu)很可能擅長就其條款獲得同意，而不管默認情況是要求消費者授權(quán)還是阻止信息共享，數(shù)據(jù)主體并沒有因為選入的規(guī)則顯著受益，退出機制的效果也十分有限。為在數(shù)據(jù)交易中增強對數(shù)據(jù)主體的保護，應(yīng)當設(shè)立年度通知機制，重新獲得數(shù)據(jù)主體同意。此時個人數(shù)據(jù)已經(jīng)進入二級市場，應(yīng)采用選出（opt-out）機制。在二級市場中，如果在數(shù)據(jù)主體沒有明示退出時允許一手數(shù)據(jù)控制者單方默認數(shù)據(jù)主體退出，則既不利于個人數(shù)據(jù)二級市場交易合同的穩(wěn)定，也可能構(gòu)成對二級市場合同相對方違約。為兼顧數(shù)據(jù)交易安全與數(shù)據(jù)主體權(quán)益，此時采用選出機制更為妥適。因為個人數(shù)據(jù)具有人格屬性，關(guān)涉公共利益，個人數(shù)據(jù)進入數(shù)據(jù)交易的二級市場并不意味著個人數(shù)據(jù)脫離數(shù)據(jù)主體的控制。因此，當數(shù)據(jù)處理者在數(shù)據(jù)交易的二級市場中提供個人數(shù)據(jù)時應(yīng)受到一定的限制，采用合法原則和兼容原則。借鑒隱私期待的思路，限制個人數(shù)據(jù)在二級市場的可轉(zhuǎn)讓性，應(yīng)要求轉(zhuǎn)讓滿足數(shù)據(jù)主體的合理的數(shù)據(jù)期待，在本文中稱其為隱私期待。如此，才能塑造可信的個人數(shù)據(jù)二級市場空間。

（一）合法原則

合法原則是指個人數(shù)據(jù)二級市場交易應(yīng)符合法律，特別是保護第三方的法律規(guī)定及合同約定，以此劃定個人數(shù)據(jù)二級市場交易的邊界。在我國，個人數(shù)據(jù)二級市場交易合法原則應(yīng)由“不構(gòu)成犯罪”“不受行政處罰”“不侵權(quán)”和“不違約”四部分構(gòu)成?！安粯?gòu)成犯罪”和“不受行政處罰”是個人數(shù)據(jù)二級市場交易的重要前提。本文主要論述“不侵權(quán)”原則和“不違約”原則。

第一，不侵權(quán)。個人數(shù)據(jù)二級市場交易帶來的侵權(quán)風險存在特殊性，二級市場交易的當事方可能侵犯數(shù)據(jù)主體的權(quán)益。在個人數(shù)據(jù)的二級市場交易中，交易主體不應(yīng)侵犯具有第三方效力的權(quán)益。例如，在違背權(quán)利人的隱私期待等情況下，出售涉及知識產(chǎn)權(quán)、隱私權(quán)、個人信息等具有第三方效力的權(quán)益可能構(gòu)成侵權(quán)。在數(shù)據(jù)定性及權(quán)屬尚無定論的今天，我國法院在實務(wù)中一般通過反不正當競爭法來保護利害關(guān)系人的權(quán)益。在當前數(shù)據(jù)權(quán)益反不正當競爭保護中，大多案件涉及的都是采取保護措施的數(shù)據(jù)，被訴行為通過繞過或者破壞技術(shù)措施等方式擅自獲取數(shù)據(jù)。因此，在下列情形應(yīng)該認為未經(jīng)授權(quán)訪問數(shù)據(jù)構(gòu)成了對他人數(shù)據(jù)的侵權(quán)。一是規(guī)避安全措施。二是利用數(shù)據(jù)控制者的安全漏洞，不能合理期待該安全漏洞是控制者的意圖。三是通過技術(shù)手段攔截非公開傳輸?shù)臄?shù)據(jù)。此外，《個人信息保護法》第9條、《網(wǎng)絡(luò)安全法》第9條、《消費者權(quán)益保護法》第29條都明確規(guī)定了數(shù)據(jù)處理者的安全保障義務(wù)，切實履行安全保障義務(wù)也是不侵權(quán)的重要要求。

第二，不違約。個人數(shù)據(jù)二級市場交易的另一合法邊界為不違約，其特殊性在于數(shù)據(jù)提供方不能違反其對數(shù)據(jù)主體的承諾。不違約意味著在個人數(shù)據(jù)交易的二級市場中，數(shù)據(jù)交易當事方都要受到數(shù)據(jù)價值鏈中的前手關(guān)于個人數(shù)據(jù)使用和轉(zhuǎn)讓的具體限制。否則，數(shù)據(jù)提供方與下游數(shù)據(jù)接收方惡意串通將弱化甚至架空對個人數(shù)據(jù)使用和轉(zhuǎn)讓的限制。實踐中已經(jīng)開發(fā)出了不同的問責制管理平臺，以確保數(shù)據(jù)主體知道其個人數(shù)據(jù)在二級市場中的使用符合自己的隱私期待，且下游數(shù)據(jù)接收方能夠驗證個人數(shù)據(jù)是合法商品化及遵守向諸多前手負有的法律和合同義務(wù)。例如德國的ZIVIT平臺能夠?qū)€人數(shù)據(jù)的任何訪問、使用、披露、更改和刪除都追溯到發(fā)起方。有的管理平臺使用粘性策略（sticky policies）將個人數(shù)據(jù)使用策略作為元數(shù)據(jù)附加到個人數(shù)據(jù)。平臺可以跟蹤粘性個人數(shù)據(jù)使用策略的執(zhí)行情況。統(tǒng)一的場內(nèi)交易目前也許更適合個人數(shù)據(jù)交易可審計可追溯的要求。

我國正加快培育統(tǒng)一的技術(shù)和數(shù)據(jù)市場，建立健全數(shù)據(jù)安全、權(quán)利保護、跨境傳輸管理、交易流通、開放共享、安全認證等基礎(chǔ)制度和標準規(guī)范。國家發(fā)改委2022年3月21日發(fā)布了《關(guān)于對“數(shù)據(jù)基礎(chǔ)制度觀點”征集意見的公告》，建議構(gòu)建在使用中流通、場內(nèi)場外相結(jié)合的交易制度體系。在數(shù)據(jù)交易市場還不完善，個人數(shù)據(jù)保護機制還有待健全的當下，我們認為，我國尚不具備個人數(shù)據(jù)同時進入場內(nèi)和場外結(jié)合的交易制度的條件，當前似更應(yīng)完善場內(nèi)個人數(shù)據(jù)交易制度，構(gòu)建數(shù)據(jù)的可信流通體系。

（二）兼容原則

根據(jù)個人數(shù)據(jù)二級市場交易是否需要征求數(shù)據(jù)主體的同意為標準，我們將在個人數(shù)據(jù)的二級市場交易中需要逐次逐件征得數(shù)據(jù)主體同意的觀點稱為“同意說”；將個人數(shù)據(jù)的二級市場交易不需要數(shù)據(jù)主體的同意、與數(shù)據(jù)主體的隱私期待兼容便可再次轉(zhuǎn)讓的觀點稱之為“兼容說”。在大多數(shù)情況下，在數(shù)據(jù)價值鏈中使用個人數(shù)據(jù)需要基于“正當利益”“兼容的二次使用”或“同意”。前兩種理由更聚焦個人數(shù)據(jù)的實質(zhì)及處理的風險，權(quán)衡有關(guān)各方的相關(guān)利益、可能造成的任何潛在損害以及現(xiàn)有的保障措施，而第三種理由則更具形式性，考察“同意”是否自由、知情、具體和明確。

我國《個人信息保護法》采用同意說。我國《個人信息保護法》第23條規(guī)定：“個人信息處理者向其他個人信息處理者提供其處理的個人信息的，應(yīng)當向個人告知接收方的名稱或者姓名、聯(lián)系方式、處理目的、處理方式和個人信息的種類，并取得個人的單獨同意。接收方應(yīng)當在上述處理目的、處理方式和個人信息的種類等范圍內(nèi)處理個人信息。接收方變更原先的處理目的、處理方式的，應(yīng)當依照本法規(guī)定重新取得個人同意?！痹凇秱€人信息保護法》實施前的2016年，上訴人北京淘友天下技術(shù)有限公司（簡稱淘友技術(shù)）、北京淘友天下科技發(fā)展有限公司（簡稱淘友科技）與被上訴人北京微夢創(chuàng)科網(wǎng)絡(luò)技術(shù)有限公司（簡稱微夢公司）不正當競爭糾紛一案中，新浪微博（由微夢公司運營）通過OpenAPI途徑，允許第三方在用戶授權(quán)的前提下，通過相應(yīng)接口獲取相關(guān)用戶的信息。OpenAPI通過《開發(fā)者協(xié)議》來約定平臺與開發(fā)者（第三方）間的權(quán)利義務(wù)?！堕_發(fā)者協(xié)議》約定開發(fā)者需要收集用戶數(shù)據(jù)的，必須事先獲得用戶的同意。上訴人訴稱其在與被上訴人合作期間取得并使用新浪微博用戶的職業(yè)信息、教育信息系合法獲取、合法使用，并未違反 《開發(fā)者協(xié)議》之約定。被上訴人則持相反意見。北京知識產(chǎn)權(quán)法院認為上訴人違反了《開發(fā)者協(xié)議》，未經(jīng)用戶同意且未經(jīng)被上訴人授權(quán)，侵害了被上訴人的商業(yè)資源。法院認為，在OpenAPI開發(fā)合作模式中，第三方通過OpenAPI獲取用戶信息時應(yīng)堅持“用戶授權(quán)”+“平臺授權(quán)”+“用戶授權(quán)”的三重授權(quán)原則。北京知識產(chǎn)權(quán)法院在此案中采同意說，但前提是《開發(fā)者協(xié)議》中已約定開發(fā)者收集用戶數(shù)據(jù)須獲得用戶的同意。數(shù)據(jù)接收方從二級市場獲取個人數(shù)據(jù)不但需要提供方的授權(quán)，而且需要重新取得數(shù)據(jù)主體的同意。

同意說具有尊重數(shù)據(jù)主體的信息自決、行為指引明確、易操作等優(yōu)點。有學者認為數(shù)據(jù)共享“既是數(shù)據(jù)財產(chǎn)的流轉(zhuǎn)行為，同時也涉及個人信息的反復收集、利用的過程”，那么“同意”是題中應(yīng)有之意。但是同意說也存在諸多問題。首先，同意說難以適應(yīng)個人數(shù)據(jù)交易市場的復雜情況。如果個人數(shù)據(jù)交易止于數(shù)據(jù)主體、數(shù)據(jù)提供方、數(shù)據(jù)接收方三方之間，那么數(shù)據(jù)提供方通過與數(shù)據(jù)主體直接聯(lián)系征得數(shù)據(jù)主體同意尚具有現(xiàn)實可行性。但當數(shù)據(jù)接收方成為數(shù)據(jù)共享下一環(huán)中的數(shù)據(jù)提供方時，此環(huán)中的數(shù)據(jù)提供方或許難于直接取得數(shù)據(jù)主體的同意。而且數(shù)據(jù)價值鏈條并非單一的線性結(jié)構(gòu)而是復雜的非線性結(jié)構(gòu)，這更增加了征求數(shù)據(jù)主體同意的難度，也使數(shù)據(jù)主體不堪其擾。其次，同意說導致數(shù)據(jù)企業(yè)的合規(guī)成本過高，通過個人數(shù)據(jù)所獲得的價值可能還不能滿足征得數(shù)據(jù)主體同意的費用，結(jié)果必然是要么放棄征得數(shù)據(jù)主體同意，要么數(shù)據(jù)經(jīng)濟嚴重受阻?！短詫毦W(wǎng)隱私政策》第3條、《“抖音”隱私政策》第2條、《微博個人信息保護政策》第3條、《百度隱私政策總則》第3條都專條規(guī)定了數(shù)據(jù)共享的相關(guān)內(nèi)容，均以“同意”作為共享的前提，可以作為我國數(shù)據(jù)共享現(xiàn)實的一個縮影。

兼容說則以數(shù)據(jù)主體的合理隱私期待為標準，而非征得數(shù)據(jù)主體的實際同意?！凹幢銢]有信息主體的明確許可，但只要相關(guān)的信息處理行為是當事人在該情形下能夠合理預(yù)期的，且這種期待客觀上被社會認為是合理的，就應(yīng)當受到保護?！?/span>

雖然GDPR第14條規(guī)定了非從數(shù)據(jù)主體獲得個人信息的數(shù)據(jù)處理者對數(shù)據(jù)主體的告知義務(wù)，但在有關(guān)目的限制原則部分規(guī)定了兼容原則。GDPR第5條第1款（b）項規(guī)定，“個人數(shù)據(jù)應(yīng)當為特定、明確、正當?shù)哪康氖占也坏靡耘c以上目的不兼容的方式進一步處理。”GDPR第6條第4款對“兼容”作出了具體的解釋。第一，明確了兼容目的是除了個人數(shù)據(jù)收集目的以外的目的。第二，明確了兼容測試的考量因素，包括但不限于：任何在個人數(shù)據(jù)被收集時的目的和意圖與進一步處理的目的之間的聯(lián)系；個人數(shù)據(jù)被收集的場景，尤其是關(guān)于數(shù)據(jù)主體和控制者的關(guān)系；個人數(shù)據(jù)的性質(zhì)，特別是是否為敏感個人數(shù)據(jù)或與刑事定罪和犯罪有關(guān)的個人數(shù)據(jù)；意圖進一步處理給數(shù)據(jù)主體可能造成的后果；存在適當?shù)谋Ｕ洗胧赡馨用芑蚣倜?。繼GDPR之后，歐盟于2019年通過《開放數(shù)據(jù)指令》（Open Data Directive）。溫德霍斯特（Christiane Wendeborst）認為，《開放數(shù)據(jù)指令》的鑒于條款第52條可被理解為確認GDPR第6條4款足以作為數(shù)據(jù)繼續(xù)傳輸?shù)莫毩⒎梢罁?jù)，不需要額外的法律依據(jù)。

1974年，哈蘭（John Harlan）法官在Katz v. United States案中提出了合理隱私期待公式（reasonable expectation of privacy）：首先，個人展示了實際的隱私期待（主觀條件）；其次，社會認可該期待是合理的（客觀條件）。2004年，尼森鮑姆（Helen Nissenbaum）在闡述尊重場景原則的基礎(chǔ)上構(gòu)建了場景一致性理論（the theory of contextual integrity），認為只有滿足信息規(guī)范（informational norms）時才達到了一致性或隱私保護標準。而信息規(guī)范存在三個變量。一是參與者（actors），包括數(shù)據(jù)主體、提供方、接收方。參與者變量關(guān)注場景的功能和作用，重在考察參與者之間的關(guān)系，如醫(yī)生—患者、老師—學生等。二是信息類型（information types），是信息屬于特定領(lǐng)域的變量。如醫(yī)療保健數(shù)據(jù)、教育數(shù)據(jù)、政治觀點方面的數(shù)據(jù)。三是傳輸原則（transmission principles）。傳輸原則包括：“保密”“第三方授權(quán)”“法律要求”“購買”“出售”“互惠”“認證”（authenticated）等。尼森鮑姆進一步指出，以上三個變量共同定義了隱私期待。2012年2月，奧巴馬政府發(fā)布了一份白宮報告，建議國會立法保護消費者的隱私。報告中提出“尊重場景原則”，即“消費者有權(quán)期待公司以與消費者提供數(shù)據(jù)的場景相一致的方式收集、使用和披露個人數(shù)據(jù)”。尊重場景原則要求公司應(yīng)將個人數(shù)據(jù)的使用和披露限制在特定的目的上，此類目的既符合公司與消費者的關(guān)系，又符合消費者最初披露數(shù)據(jù)的場景。消費者提供個人數(shù)據(jù)的目的可能為改進服務(wù)、銷售在線廣告或收集公司提供給第三方，目的屬于一個連續(xù)體（continuum），始于消費者與一群同伴在線互動的核心場景。只要在消費者合理期待的范圍內(nèi)，公司無需在每次使用個人數(shù)據(jù)時尋求肯定同意，前提是這些個人數(shù)據(jù)的新用途與用戶在社交網(wǎng)絡(luò)場景中的預(yù)期一致。

可以看到，GDPR的兼容測試和場景一致理論的相同之處在于數(shù)據(jù)可以不需征求數(shù)據(jù)主體同意而二次使用，但限于滿足兼容測試亦或場景一致性理論。在考察因素上，歐盟和美國都認為應(yīng)該包括參與者關(guān)系考量和信息類型考量。二者不同之處在于，GDPR更側(cè)重于風險評估，而場景一致性理論側(cè)重信息流動的依據(jù)是法定還是意定。兼容測試和場景一致理論各有千秋，對我國均具有一定的參考價值，在個人數(shù)據(jù)二級市場交易中應(yīng)該綜合予以考量。

我國《個人信息保護法》第6條規(guī)定：“處理個人信息應(yīng)當具有明確、合理的目的，并應(yīng)當與處理目的直接相關(guān)，采取對個人權(quán)益影響最小的方式。收集個人信息，應(yīng)當限于實現(xiàn)處理目的的最小范圍，不得過度收集個人信息?！钡?4條第2款規(guī)定：“個人信息的處理目的、處理方式和處理的個人信息種類發(fā)生變更的，應(yīng)當重新取得個人同意?！笨梢?，我國《個人信息保護法》采用同意說。一項實證研究顯示， GDPR的實施導致歐盟境內(nèi)企業(yè)融資金額下降約 26.5%，減少就業(yè)崗位 5000—30000 個。與合規(guī)相關(guān)的巨大成本可能會導致資源較少的小公司處于不利地位。綜上，本文認為《個人信息保護法》 采用兼容說更為妥當。第14條第2款應(yīng)修訂為“個人信息的處理目的、處理方式和處理的個人信息種類發(fā)生變更的，應(yīng)當重新取得個人同意，但與個人信息的初始收集目的兼容的除外?！钡?2條及23條也應(yīng)作類似修改，以促進數(shù)據(jù)在二級市場及其后的價值鏈中流通。

五、結(jié)語

繼GDPR之后，歐盟陸續(xù)公布了《數(shù)據(jù)治理法》《數(shù)據(jù)法（提案）》，以促進數(shù)據(jù)共享，發(fā)展數(shù)字經(jīng)濟；美國個人數(shù)據(jù)交易市場也已相當發(fā)達。在我國個人數(shù)據(jù)匿名化或去身份化制度有待完善的今天，更應(yīng)完善個人數(shù)據(jù)交易制度。應(yīng)當根據(jù)個人數(shù)據(jù)的外部性、損害風險的大小和技術(shù)保障措施、組織保障措施的發(fā)展水平分類分步實施個人數(shù)據(jù)交易。個人數(shù)據(jù)不能無禁區(qū)地交易，應(yīng)當設(shè)置個人數(shù)據(jù)的絕對例外和相對例外。個人數(shù)據(jù)交易的絕對例外是指絕對禁止特定種類的個人數(shù)據(jù)進入市場流通如關(guān)系國家安全、國民經(jīng)濟命脈、重要民生、重大公共利益等的核心數(shù)據(jù)。個人數(shù)據(jù)交易的相對例外是指個人數(shù)據(jù)交易分類分步實施，特別是敏感個人數(shù)據(jù)和重要數(shù)據(jù)。不論是敏感個人數(shù)據(jù)還是重要數(shù)據(jù)外延都較為寬泛，應(yīng)當對敏感個人信息和重要數(shù)據(jù)的交易采取審慎的態(tài)度，根據(jù)不同類型進行具體分析。