1. 问题的提出
数据作为新时代最具时代特征的生产要素，近年来其生产与利用呈指数型增长，掌握核心数据的企业就相当于掌握了核心竞争力，因此企业迫切需要从传统发展模式转型，建立健全完善的数据制度，充分发挥数据潜在的经济效用，促进数字经济的发展。《“十四五”知识产权保护与运用规划》提出要“研究构建数据知识产权保护规则”并提出“建立健全个人信息数据确权授权机制”，明确了针对企业数据中的个人信息数据的特殊性定位，需要构建完善的企业数据合规利用机制。《中华人民共和国民法典》(以下简称《民法典》)第1035条明确规定处理个人信息应当遵循“合法、正当、必要原则”，但具体放在企业数据合规的角度，该如何界定处理个人信息的方式，还需要针对企业数据的特征进行具体的分析，当下的传统法学已经不能够完全适应数字经济下对于个人信息保护与利用的需求。
个人信息数据涉及个人权益与企业权益之间的关系，是企业数据合规的重难点问题。如今，包含个人信息的企业数据权赋权依据权利归属问题尚有争议，个人信息的使用告知和授权机制缺乏统一的标准，个人信息权的保障流于形式的现象普遍存在，既不利于对数据制作者提供合规利用的指引，也不利于个人或其他主体对信息利用的有效监督[1]。针对企业数据中包含个人信息的部分，既要肯定企业对企业数据所享有的相关权利，又要兼顾对个人信息的保护，有必要在确保个人信息数据得到充分保障的同时，促进企业数据的处理与流通，形成数字经济下企业对个人信息利用的规范体系，从而促进数字时代法律体系的合理构建和适用。
2. 包含个人信息的企业数据赋权证成
(一) 一般性企业数据赋权的正当性
数字与数字之间的关系是天然存在的，就像庞杂的数据在采集后形成一个庞大的数据集合，不经过处理和分析的时候它们以“1 + 1 = 2”的方式堆叠在一起，但经过技术操作后，任何在数字与知识之间建立的联系都可能是一个重要突破，产生“1 + 1 > 2”的效果。一言以蔽之，数据本身不是财产而是获得财产的重要手段。
《民法典》第127条为数据作为一项财产权益提供保护提供了法律依据，但没有明确企业经过加工、处理后所形成的企业数据权益归属。数字产业的发展日新月异，立法层面在出台单行法对数据和数据衍生产品予以规制方面不断进行着深入地探索，而有关企业数据赋权与权属问题一直存在广泛争论，行为规制说、反不正当竞争保护说以及商业秘密保护说等学说都旨在更高效、更充分地实现数据价值的释放。但上述几种学说都存在其不全面之处，例如不正当竞争法将规制的对象限制在具有竞争关系的主体之间，增加了企业数据保护的限制。在现有的制度框架不足以实现强针对性的数据保护模式，一系列数据经济发展问题有待形成一个以数据财产权为核心的数据处理和共享模式。
作为数据利用的主要途径，企业数据通常涵盖多种的数据类型，依据数据的来源可以将企业数据的结构分为公共数据、企业数据和个人数据，企业作为市场不可或缺的经济主体，企业数据也具有很强的经济价值[2]。从价值角度考虑，受保护数据应当具备衍生性、集合性的技术特征，以其可支配性与资源稀缺性获得权利保障，原始数据以及不满足“价值再创造”基本标准的数据不属于受保护的对象[3]。在此基础上，数据财产权不应当归类于物权法，独立形成一种知识产权领域的特别权利，即具有限排他性的数据产权更加具有实践意义。
(二) 个人信息与数据的的承载关系
消费者的需求决定市场的走向，企业取得经营成效必须以“供需关系”的判断为基础，因此，个人信息往往占据企业数据中至关重要的部分。然而，由于“信息”和“数据”在理论和实践层面都存在着概念界限不清的问题，企业对个人信息的合理利用便难以得到妥善规制[4]。一方面，概念的模糊不利于企业对个人信息形成规范且高效的处理模式，从而影响企业数据的合理利用和共享，阻碍数据经济的发展；另一方面，也不利于厘清个人信息应当保护的范围。
《个人信息保护法》第4条对个人信息进行了定义，按照可识别性的标准，将“匿名化处理后的信息”排除在外，“信息匿名化”又叫信息脱敏处理，即达到“无法识别特定自然人”的效果。个人信息的价值在于自己或他人的利用行为，而不是保护，以数字形式呈现出的个人信息很大程度上正是为了满足人们生活和社交的需要，是人与人之间交往的媒介。《数据安全法》第3条第1款将数据界定为“任何以电子或者其他方式对信息的记录”。因此，信息和数据的关系是被承载与承载的关系，企业要想对数据进行处理则必须要充分确保合法利用数据所承载的个人信息，在一定程度上制衡了数据处理者的权利。在社会实践中，大多数网站或软件在提供服务时都需要用户授权，通常以勾选“隐私政策条款、网络用户服务协议”等方式获得个人信息的使用权[5]。我国现行法虽然没有规定个人信息的基础性权利，但法条确定了个人信息受法律保护的地位，《个人信息保护法》第2条称其为“个人信息权益”。1
(三) 包含个人信息的企业数据权益特殊性
在数字时代背景下，以互联网平台企业为代表，一批依赖数字经济发展起来的企业在接触海量的个人信息方面具备优势地位，其接收信息的方式不仅仅依靠人工技术，更多是依赖信息收集的自动化和强大的计算机算力实现信息的有序收集、存储和处理，数据作为个人信息的一种承载方式表现出越来越重要的地位[6]。保障信息提供者的个人信息权益是企业做到数据合规利用的一项法定义务，个人信息利用的关键问题之一是其涉及人格权益保护的内容。人格权具有人身专属性，对企业数据赋权不影响个人对自己的信息享有人格权，在用户授权企业获取信息时不代表个人信息被转让，企业仅享有约定范围内的使用权。
用户授权个人信息后，未经处理的信息形成的数据集合又被称为原始数据，原始数据在被采集、存储后，经过组合、加工形成有附加价值的衍生数据，企业作为数据处理者在合理范围内享有排除他人侵害的权利，但不得妨碍公正、合法的市场竞争，其他市场主体有权在必要限度内无偿使用原始数据，否则会导致数据流通性大大降低形成“数据孤岛”[7]。
另外一个关键问题在于，承载个人信息的数据财产权益应当如何分配。数据之所以会产生强大的经济效用，主要原因在于海量信息的收集和处理后，产生具有经济增值的衍生数据、数据产品等。从这一角度分析，对于企业收集的未经处理加工的个人信息数据，企业对其不享有数据财产权；对于处理后的企业数据，个人不应享有财产权，一方面，个人对于衍生数据或数据产品产生的贡献难以量化，且数据的增值主要依赖企业的运营行为而不是个人，企业享有财产权更有利于激励其发挥数据的价值；另一方面，企业数据作为一个整体，个人仅对自身的个人信息享有权利，在权利行使上做到不妨碍他人的个人信息权尤为困难，可能最终走向权利扩张或是权利难以行使的极端。
企业数据当中包含的个人信息可能涉及包括隐私权等人格权益，企业要想依赖于企业数据创造价值，首先要处理好个人信息数据与其他数据之间的关系。《民法典》第1032条将隐私定义为“自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息”，因此，隐私属于一种描述性的名词，自然人的个人信息如果能够单独或与其他信息结合识别特定个人的秘密信息，应当优先采取隐私权保护，不可被数据化。
3. 制度框架：个人信息生成企业数据的利用原则
(一) 个人信息处理的合法、正当、必要原则
《民法典》第1035条规定“处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理”，《个人信息保护法》也规定了个人信息处理的“合法、正当、必要和诚信原则”。在社会生活中，当个人作为信息提供者在网络上授权企业身份、住址、电话号码等个人信息时，通常会直接勾选下方的用户服务协议或隐私政策，否则软件或服务平台将完全无法使用，往往导致用户的决定权和知情权无法得到保障[8]。因此，应当更加明确“合法、正当、必要原则”对承载个人信息的企业数据合规利用的规范指引作用，务实信息采集、加工和分析步骤合法化。
1、合法合规原则
合法合规原则是个人信息处理的基础和前提，信息处理者应当依照法律法规的规定处理个人信息。例如，保障个人对其个人信息处理的知情权、决定权需要通过用户的知情同意来实现，用户服务协议或隐私政策中必须重点标注用户授权的范围，以通俗易懂的方式对重要信息做出解释和说明[9]。与此同时，企业数据的利益不得与包括个人隐私权和一般信息权益在内的在先权利相抵触，在获得授权后，企业负有个人信息权益的安全保障义务。另外，这里的法律法规除了法律、行政法规还包括政策文件、司法解释以及指导判例，例如最高人民法院公布的《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》和2019年10月国家互联网办公室室务会议审议通过的《儿童个人信息网络保护规定》等等。
2、目的正当原则
目的正当原则是指个人信息处理的目的必须明确，且在法律规定或当事人约定的范围内。《个人信息保护法》第13条规定了个人信息处理者有权处理个人信息的几种情形，在具体的实践中信息提供者和处理者应当明确到具体的目的，在规定情形以外的信息处理方式不具备正当性基础。应当注意的是，目的的内容不应过于严苛，《个人信息保护法》第15条第2款规定个人信息处理者可以在一定合理范围内适当变更个人信息的利用目的，变更前后应当具有关联性，这种情况下的数据利用能够符合个人的合理预期，也满足目的正当原则的要求。
3、必要利用原则
必要利用原则是指企业在个人信息在利用时不能超过必要限度[10]。具体而言，首先，“必要”一词包括信息采集和处理要围绕正当目的进行，在目的实现后企业应当即使删除相关个人信息，目的关联性低的手段和方式会增加数据失控和发生侵权行为的风险；其次，企业应当利用达到目的所需的最少的信息资源。现如今，越来越多的互联网企业过度获取用户信息，例如，存在一些游戏软件请求访问“通讯录、短信、相册”等不必要信息，实际上信息不是运用在该游戏的运营过程中，而是用于数据交易获取收益；最后，应当对必要个人信息的采集和利用等行为进行安全风险评估，如果数据中所承载的个人信息权利存在不同类型，可以选择分层保护的模式，降低侵害特定自然人人格权和隐私权遭受侵害的可能性，进而促进数据的高效利用与流通。
(二) 个人与公共利益之间的利益平衡原则
数据权分配的宗旨是实现利益的均衡及其分配，目前的数据权虽然尚未达到一个完满的状态，但随着数字经济发展，数字产权会在实践中不断得到优化以适应新的发展需求。
促进数据的流通与共享是数据权利具有不完整性的根本原因。《个人信息保护法》第1条为个人信息的合理利用定下了“促进”的基调，以私权保护为由导致数据的流通困难，不符合信息时代促进信息高效利用、共享，促进互联互通的数字经济发展需要。因此，对于个人信息设权问题，一方面，一定程度上的设权有利于引导高效、合理的信息利用方式；另一方面，给予信息提供者绝对的排他权不符合充分利用个人信息的宗旨，充分利用个人信息是数字经济下企业发展的重要基础[11]。
从促进数据利用与共享的角度来看包含个人信息的企业数据赋权问题，赋予企业对采集或运营产生的企业数据有限的数据财产权，企业间可以通过达成协议或合同的方式自由支配数据，以经济价值推动数据的共享，更进一步促进企业达到更高水平的数据利用，形成良性循环。从经济学的角度分析，在对企业作为行动主体的“理性”给予重视的同时，将“效率”作为衡量行动、规则的标准，通过比较各种方案的“成本–收益”做出取舍。数据权的激励方式本质是经济激励，同时也是考虑权衡不同主体利益的制度。首先，法律的制定需要考虑权利人对自己成本收益的权衡从而影响数字经济的发展。只有企业在利用数据实现真正获益时，足够的资源才能被吸引到创造更多高附加值的衍生数据和数字产品的领域。其次，法律的制定要考虑社会的成本。当法律的规定过于苛刻，数据的流通与共享被严格限制，企业在依靠数据进行创新突破时寻找资源的时间越长越多，与收益一样，数据利用的社会成本增加的速率可能是随数据获取限制递减的。因此，传播的边际成本随着法律限制条件的增加而可能是减少的[12]。这种边际主义的推理分析可以得出，最优的企业数据权的规制方式不是一味地将数据控制在有限的主体之间，也不是一味地强调个人对企业授权后数据的绝对权利，而是要在鼓励创造和阻止数据传播之间设置一种平衡。
4. 制度体系：企业对个人信息合规利用的路径
企业数据的生成如果需要利用个人信息，损害个人信息行为可能存在于信息采集、存储、加工、流通等各个阶段，有必要对个人信息处理的全过程进行实质性规范，这也是企业享有数据权益的前提。
(一) 个人信息的收集与储存规则
首先，《个人信息保护法》第14条规定“个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意”，同时《民法典》第1035条和《个人信息保护法》第44条规定，个人信息在处理前，个人享有相应的知情权和决定权，因此企业必须通过服务协议或隐私政策方式获取授权。根据上述分析，个人信息权不会随授权发生移转，在保障企业数据权益的同时不能忽视个人信息保护，企业在存储个人信息时必须履行安全保障义务。《民法典》第1038条规定信息处理者应当防止收集、储存的个人信息泄露、篡改、丢失，发生上述问题应及时采取补救措施，“bilibili”、“淘宝”等企业在网络用户授权企业个人信息的协议和政策中都包含了相应的条款。
其次，企业对包含个人信息的企业数据的利用也必须以合法为前提。无论是人工技术还是企业自动化决策，都应当在实现信息提供的个人知情同意的基础上对个人信息进行处理，否则构成对个人信息权益的侵害。具体而言，根据《个人信息保护法》第17条，信息处理者需要真实、完整向个人告知信息处理的具体方式，包括目的、方式、个人行使权利的方式和程序等等；当企业选择自动化决策，根据《个人信息保护法》第24条，企业在保证处理过程“透明、公开、公正”的同时，个人有权拒绝企业根据自动化决策对用户发送个性化推送和营销，企业应当设置拒绝服务的快捷方式。
(二) 企业数据加工形成数据产品的规则
企业在对个人数据的加工后可以形成数据产品以实现更高程度的利用。关于数据产品的的保护与利用，我国有待形成统一的数据产品标准。近年来，出现了“淘宝诉美景案”2此类与数据产品相关的纠纷，淘宝公司所涉及的“生意参谋”软件虽然使用了用户的提供的身份信息等个人资料，但经过数据匿名化处理，通过数据产品已经无法识别特定网络用户，丧失用户关联性的数据产品则不再受信息提供者的控制，企业因此享有排他性的数据财产权，企业有权以达成购买协议的方式为用户提供权限范围内的使用权，其他竞争企业不得在未经许可的情形下占有和使用数据产品[13]。
数据产品中的信息是否仍存在可识别性是数据产品上的财产权是否受制约的关键，企业在通常情况下应当确保数据产品达到数据匿名化的要求。现如今，个人信息私人化的现象越来越普遍，例如日常生活中使用的导航提供的交通数据不断精确，甚至可以准确提示下一次绿灯的时间以及在这个路口可能还需要等几个红绿灯，这类信息的获取不仅仅是依靠与交管部门的信息同步，还要通过个人手机上的定位系统采集行使车辆的位置、速度等信息，导航软件是可以将车辆信息与驾驶人的信息联系起来的，而只要信息能够精确识别到个人就受到《民法典》《个人信息保护法》和《网络安全法》等法律的保护。
(三) 企业间数据的流通与共享规则
企业是否有权与其他主体之间实现包含个人信息的数据财产的流通与共享一直以来存在很多广受学界讨论。由于个人信息包含人格权内容，原则上企业转让或授权其他主体使用的范围必须限制在该企业所享有的权利范围内被转让或授予的权利实际上也是个人信息的利用权，具有人身专属性的信息所有权依然归特定自然人享有。
企业数据如果能够在企业间“活跃”起来，将会有更高水平的经济效用，个人信息保护不是推动企业数据流动的障碍。《个人信息保护法》第23条规定，个人信息处理者之间信息流通需要“取得个人的单独同意”并履行详尽的告知义务，保障特定自然人的知情权和决定权[14]。为了促进数据在保障个人信息的基础上高效流通，企业在获得用户授权时可以在服务协议或隐私政策中获得许可。在包含个人信息的数据转让时，转让方与受让方签署的转让协议应当载明受让方处理个人信息的目的、方式和个人信息种类等范围。需要考虑的是，由于新型产业发展在快速地更新迭代，应当适当放开在合理预期内的个人信息处理范围的变更，在出现对数据利用产生实际影响的范围变更时，才需要再次获得个人同意。除此之外，信息匿名化带来了更高效的数据流通与共享模式，让数据失去人格权属性而独立存在纯粹的经济价值，企业能够因此享有强排他性的数据财产权。
5. 完善企业对个人信息数据利用的制度构建
(一) 健全包含个人信息的企业数据多元权属模式
相比企业对自身运营所产生数据的绝对权，包含个人信息的企业数据上存在多个利益主体，因此具体问题具体分析。个人信息蕴含巨大的商业价值，因此既存在被动保护的一面，也存在主动利用的一面，其应当设置作为人格权保护的信息提供者的个人信息权以及作为财产权的个人数据所有权的框架性权利。用户对于数据中所承载的个人信息享有个人信息权，《民法典》分则中编纂的有关个人信息方面的权利义务均设置在人格权编中，由此可以将个人信息权确定为一项具有人格权属性的权利，且在数据利用过程中应当予以有限考虑；《民法典》第127条将数据置于与网络虚拟财产同等的受法律保护地位，为其作为一种新型财产权留下了进一步规范的空间，个人数据所有权的原始归属应当是个人。
在个人数据所有权建立的基础上，企业作为数据制作者享有数据用益权。将信息和数据做区分后自然人的个人利益被相应地剥离出来，企业可以直接支配和取得数据的经济价值。信息的利用具有一定程度上的不确定性，为了促进个人信息发挥更大的经济效用，不应当过度地把个人信息的授权限制在一个较窄的授权范围内。应当允许合理、适当地变更信息的使用场景，否则信息和数据可能会沦为“孤岛”，导致其蕴含的经济价值无法实现[15]。
个人基于《个人信息保护法》享有自身信息数据的个人信息相关权利以及有限的数据收益权，对于具有可识别性的衍生数据，个人按比例享有决定权和收益权。对于丧失可识别性的衍生数据和数据产品，由于企业投入的算力和成本使得原始数据的价值获得显著提高，且其与原始数据的关联性丧失，原始数据提供者不再享有获得该数据在处理和流通阶段的支配权和收益权。鼓励企业间进行数据流通与共享，企业数据中的公开数据以及企业收集的公共数据，因其公共属性应当将权利归属社会公众。
(二) 加强企业对个人信息利用的全流程管控
一方面，应当规范企业对于数据的事前合规，履行风险防范义务。鼓励个人信息匿名化处理是企业数据利用的重要课题，企业在提供相应服务时有必要确定数据已经匿名化后无法识别个人。在此基础上，企业应当评估企业数据的被识别风险，定期做好相应的审查、记录工作，将风险防范义务列入与用户达成的合同或协议中。建立专业的数据风险评估机构，助力企业制定标准化个人信息利用制度体系，并发挥监督和协助管理作用。
另一方面，应当做好企业数据的事后合规，规定企业的数据追溯义务。数据处理者在数据采集、存储和处理等过程中要做到留存相应的证明。在企业与个人或其他主体产生数据纠纷时，数据利用过程的记录可以作为解决纠纷的直接依据；同时，在数据流通和共享的过程中，完整的记录能够充分证明数据权益的归属事实。当企业违规利用企业数据导致损害发生时，企业需要配合行政部门的监管，防止损害进一步扩大，由于不配合监管行为或疏忽大意引起损害扩大的，企业应当承担相应的责任。
(三) 形成个人信息保障下的数据共享模式
一方面，应当建立统一的数据交易与共享服务平台。数据经济的发展依赖数据挖掘、分析利用后形成的价值增量，在这个过程中产生的激励最终都应当作用于促进消费者和数字产业的整体发展[16]。遵循互联网领域开放、共享和发展的理念，在落实有限的数据排他权保护的同时通过政府和企业共同的努力推动建立企业数据共享平台，在“去中心化”后重构由政府或行业协会主导的“中心化”数据流通平台。该平台应当统一规范数据传输、流通的格式，例如个人信息必要授权条件、数据基本处理方式和准确的数据权利归属等等，由专业机构作为中间主体搭建起数字交易的桥梁，降低企业沟通与协作的风险。
另一方面，明确数据共享、转让标准和非法行为的责任承担，以企业数据的强制许可制度和合理使用规则作为数据共享的例外规则，以达到数据控制和流通之间的平衡。全国信息标准化技术委员会2020年发布了《信息安全技术个人信息安全规范》，第9.2条明确了在安全风险控制和个人信息主体知情同意的基础上的数据可以进行共享和转让。除了一些可识别信息具有特殊意义的情形，个人信息的处理应当以去标识化为一般方式，进一步探索安全度更高的个人信息的加密技术；在企业数据包含个人信息时，企业数据侵权可能也构成对个人信息知情权和决定权的侵犯，根据权利客体的不同，企业和个人可以分别针对企业数据权和个人信息上的人格利益主张相应的侵权请求权，且二者处于并列地位，权利人有权独立请求法院颁布侵权禁令或判决侵权方停止侵权行为，以实现对个人信息的有效保护。
6. 结语
数据作为一种新型生产要素和数字经济的核心驱动力，已经成为企业间竞争的重要资源，保障个人信息权益在一定程度上加大了企业数据合理利用的复杂性。我国应当适应新时代发展需求，通过立法规范数据要素的收益分配规则，建立企业数据的有限保护模式，明确企业针对包含个人信息的企业数据享有的权利和承担的义务内容，从框架性的原则到具体的制度体系，不断深入把握企业作为信息处理者与个人之间的利益平衡，促进个人信息保障下的企业数据的合规利用，充分发挥企业数据对数据产业发展的推动作用。
NOTES
1《中华人民共和国民法典》第111条、1034条第1款均规定“个人信息受法律保护”。
2杭州市中级人民法院(2018)浙01民终7312号民事判决书。