1. 问题的提出
在这个“数据为王”的时代，数据红利已经将人类社会推向数字经济社会阶段。数字经济是继农业经济、工业经济后的一种新的经济形态，其以数据资源为关键要素，以现代信息网络为主要载体，是一种公平与效率更加统一的新经济形态。2021年12月，国务院印发《“十四五”数字经济发展规划》，强调充分发挥数据作用、大力推进产业数字化转型，同时还要健全完善数字经济治理体系、强化数字经济安全体系。发展数字经济已然成为一项国家战略。2022年12月19日，中共中央、国务院印发《关于构建数据基础制度更好发挥数据要素作用的意见》，从数据产权、流通交易、收益分配和安全治理四方面初步构建我国数据基础制度体系，并提出要完善数据全流程合规与监管规则体系。可见，数据安全工作一直是重中之重。自2012年以来，我国数字经济增速已连续11年显著高于GDP增速。然而，在经过“野蛮生长”后，我国数字经济如何实现更加有效、更加高质、更加安全的发展？推进数字经济法治化发展或许是一种优解。由此，本文试图以数字经济运行核心要素——数据的安全治理为角度切入，分析我国数据安全领域面临的现实问题并提出解决方案。
2. 以数据安全治理视角切入的该当性
2.1. 概念界定：何谓数据？
数据是构建数据法律制度的基础概念，制度实质上就是概念及其体系的逻辑及实践展开[1]。数据是借助计算机和互联网技术，运用人工智能算法模型识别、收集、管理、处理的海量信息的集合[2]。
2.1.1. 数据的特征
数据具有非竞争性[3]。数据资源作为重要生产要素，蕴藏了巨大的价值，被认为是21世纪的“石油”。但同石油不同的是，数据具有极强的可再生性，数据通过使用能够创造更多联系，持续创造价值。数据具有非独占性。某一数据被一人控制、处理、利用时并不妨碍他人同时进行控制、处理与利用。数据还具有可复制性。通过电子信息形式呈现的数据一个最显著特点就是能够通过一定技术手段实现快速的复制，这种便捷性极大地促进了数据资源的利用，但也不可避免地增加了数据的保护难度。
2.1.2. 数据与信息
数据与信息在语义理解上是两个相互联系但有区分的概念，数据是信息的载体，信息是数据的内涵。数据经过加工处理后即可成为信息，而信息也只有经过数字化处理后形成数据才能在线存储、传输。二十国集团数字经济发展与合作倡议中提到[4]，数字经济是以使用数字化的知识和信息作为关键生产要素的。其中，数字化的知识和信息即指数据。数据作为数字经济的细胞组成，对于现代农业、现代工业、现代服务业的数字化转型发展具有不言自明的重要性。
2.1.3. 数据与数字
信息需要得到传输，不同时代有不同的传输方式。在今天的数字经济时代，人们对信息的传输提出了更高要求。数据是信息的载体，而数字是数据传递的方式。数字化将模拟数据转换成用0和1表示的二进制码[5]，计算机技术可以快速实现对这种“简单化”的复杂数据的读取、存储、处理，极大地提高了数据的管理效率。由此可见数字化技术完成了数据的数据化，是数据得以快速产生、流通的技术支撑。因此，在理解数据与数字、数字化与数据化时不能将其混为一谈，要做分层次理解。
2.2. 回归实践：何以重视数据安全？
2.2.1. 国家层面高度重视数据安全治理
数据安全，是指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。解决数据安全问题，最理想的状态是由国家提供统一标准的法治供给，再由地方贯彻落实[6]。近年来，国家高度重视数据安全领域的标准化立法工作，在不同场域都作出了安排。2015年《中华人民共和国国家安全法》指出：国家建设网络与信息安全保障体系，实现网络和信息核心技术、关键基础设施和重要领域信息系统及数据的安全可控。该法从国家安全的大视角对数据安全做出了要求。2016年《中华人民共和国网络安全法》总则第10条明确保障网络安全和稳定运行，要切实维护网络数据的完整性、保密性和可用性。第三章和第四章专章规定了网络运行安全和网络信息安全。2021年《中华人民共和国数据安全法》是一部保护数据安全的专门性法律。在制度构建上，其要求建立数据的分类分级保护、数据审查等制度。在责任分配上，其建构了数据生命周期中相关主体的责任与义务。2021年，社会呼声很大的个人信息保护问题得到了《个人信息保护法》在应然层面的国家回应。该法以更高标准、更高要求，明确了个人信息的处理规则、信息所有者的权利以及信息处理者的义务。同时指令国家网信办为个人信息保护的统筹部门，廓清了行政权力的边界。以上四部法律构成了我国在数据安全领域的顶层设计，体现了国家意志对数据安全问题的重视性。
2.2.2. 社会数据安全事件频发
根据中国信通院《中国数字经济发展研究报告(2023)》显示[7]：2022年，我国数字经济规模达到50.2万亿元，同比名义增长10.3%，已经连续11年显著高于同期GDP名义增速，数字经济占GDP比重为41.5%。不难看出，数字经济已经成为我国经济增长的一个新引擎。然而，繁荣之下也要看到问题。伴随着数字经济的“野蛮增长”，数据泄露等安全事件频发。2021年，江苏无锡警方破获一起特大侵犯公民个人信息案，犯罪嫌疑人非法获取公民超54亿条个人信息，并通过违法网站提供查询、出售等牟取非法利益[8]。同年，广西崇左幼儿师范高等专科学校千余名毕业生莫名被开多个某银行电子账户，部分学生怀疑个人信息泄露。事后涉事银行道歉并撤销了部分账户[9]。2023年，广西北海某公司网站存在严重数据泄露问题，约22万个人信息数据已挂在暗网售卖。经查该公司未采取数据加密等有效的技术保护措施，在发现公司发生个人信息泄露的情况下，也未及时告知用户和主动向公安机关报告[10]。不难想象，这些被曝光出来的数据信息泄露事件只是少数，还有更多的数据非法交易在黑市进行而不为人知。频繁的数据安全事件积累的社会不信任和直接造成的社会危害会严重动摇数据基础制度的根基。而复杂的数据活动使得数据安全治理领域困难重重。虽然国家做好了数据安全治理工作的顶层设计，地方也有相应制度安排，但是这些设计、安排能否落实或者有效治理都还存疑。
3. 我国数据安全治理面临的问题
3.1. 相关法律规范体系存在不足
前文提到，我国向来重视数据安全领域的立法工作，已经出台了多部法律。在《中华人民共和国个人信息保护法》出台之前，关于个人信息的保护的规定散见于我国《民法典》《电子商务法》《刑法》《网络安全法》等法律以及国务院规范性文件、司法解释中，缺乏体系性。2021年《个人信息保护法》出台，其对公民普遍关注的个人信息热点问题作出回应，但原则性条款居多，用语的模糊性给司法实践造成了诸多不确定性和困难。此外，《个人信息保护法》与其他法律存在法秩序上的非一致性。比如，该法与《民法典》的关系定位不清。有学者主张两者是一般法与特殊法的关系，也有人认为与纯粹私法性质的《民法典》不同，兼具公、私法性质的《个人信息保护法》与《民法典》并非特殊法与一般法的关系。法与法之间关系定位不清加上自身的差异性，使得对具体问题的法律适用造成障碍[11]。
作为数据安全专项法律——《数据安全法》也存在一些问题。数据法治要求兼顾数据发展和数据安全[12]。《数据安全法》以发展为目标，以安全为保障。数据分级分类管理制度是体现立法者价值追求的基础性制度。但基础性制度不应仅以原则性的规定完成法律构造。对于如何分类、由谁分类、责任分配等问题都需要有细致的考量与安排。此外，《数据安全法》没有明确统一的数据安全监督管理机构，延续了传统的相互交叉、“九龙治水”的管理模式，这不仅可能会产生不同场域下的规范适用冲突，还会造成治理效率低下、形成数据安全漏洞。
3.2. 多元数据主体利益差异造成治理难题
数据权属问题是时下学界讨论的热点和难点。申卫星认为应从物权法的视角出发，基于权利分割思想基础，以数据用益权和数据所有权二分为思路，由数据原发者享有所有权，由数据处理者享有用益权[13]。高富平认为，数据控制者基于对数据的事实控制而具有事实上的数据使用权，若确立数据流通与利用的责任规则，即可进行数据的流通利用[14]。周林彬则认为大数据的本质属性是财产性，同时认为在数据利用的不同阶段，数据的归属有所不同[15]。还有研究根据数据主客体进行分类，分别讨论数据的人格权、财产权、国家主权等法律性质及其权益构造[16]。由此可见，数据权属问题莫衷一是，由此产生的数据相关主体利益诉求矛盾与冲突给数据安全治理造成了首要难题。如果数据权利边界不清晰不明确，有关规制手段将无法精准打击。如何实现数据确权，弥合多元主体的价值追求，塑造具有包容性和共识性的数据制度对改善数据安全治理具有重要意义。
3.3. 主体地位失衡下的赋权治理失败
对于数据安全的保护，现行的主流理论和立法实践基本采取“个人赋权–企业负责”的路径。然而，这一治理路径的选择必然会面临一个现实尴尬：数据来源者与数据控制者、数据处理者之间的地位是不平等。在这种情况下，对个体的数据赋权很难达成理想效果。一方面，个人有时不得不主动“自愿”放弃其个人信息自决权。如有的保险公司要求员工参加“健康计划”，定期提交个人各项身体数据，否则每月需要多缴纳额外的保费。为了避免被区别对待或遭受不必要的麻烦，多数人会选择“自愿”提交个人信息。同样，在公司与个人之间达成服务协议之前，通常会有形式上的隐私政策条款的“知情–同意”，个人常伴有的决策厌恶[17]，使得个体无法对冗长、繁琐、专业的条款进行判断从而作出同意的决定。即便公司形式上完成了信息披露，也难以保证个人信息安全。另一方面，法律赋予个体的信息权利，构成了其寻求法律救济的前提，然而在现有的侵权保护体系下，个体往往不具有实质上的自救能力——无论是数据活动的复杂性导致的举证困难，还是个人与公司之间实力地位的不平等造成的举证能力的差异，都使得数据赋权的治理模式失败。
4. 数据安全治理困境之因应路径
4.1. 法规范层面的改进与完善
法律不是我们嘲笑的对象，法律万能论的观点亦应被批判和摒弃。但是一个社会领域的治理出现问题，法律制度或多或少存在问题或漏洞，我们应当反思。以数据安全领域新近出台的《个人信息保护法》为例，其统合了既往关于个人信息保护方面的相关规定，对社会痛点问题进行了专项回应。然而，一部法律的出台仅是一种顶层设计，法律的滞后性、僵硬性等固有特点势必迫使法律用语变得模糊不清。因此，为了更好地执行法律，需要配套完善相关的法规。国务院应当适时研究制定《个人信息保护法实施条例》，国家网信部门要发挥统筹协调功能推进有关部门依法制定个人信息保护的相关标准、规则。同时，各地方立法部门应结合本地区特点、数据信息保护的痛点难点问题，以《个人信息保护法》为依据，制定契合本地区的个人信息保护法规。此外，伴随数字经济快速发展，一些新的概念、新的技术、新的社会关系出现，需要法律及时跟进给予必要的回应。因此，法律规范要保持一定的动态性，及时修订更新。
数据分类分级制度是《数据安全法》第三章“数据安全制度”下的基础性制度。该法第21条将数据分为核心数据和重要数据。仅依据法条所示的“经济重要程度”、“对国家、公共、个人及组织的危害程度”考量因素不足以进行区分。欣然的是，2024年3月15日全国网络安全标准化技术委员会发布了《数据安全技术数据分类分级规则》，由此，数据的分类分级有了基本的国家标准。下一步，政府部门要更加积极有为。有关部委、地方政府应当依据国家标准制定本领域、本地区的数据分类分级目录，使数据分类分级保护工作更加具有可操作性。同时，还要规范行业组织参与治理，引导行业构建契合本行业发展的数据分类分级目录以及数据安全标准，加强行业的自律自治，指导行业成员强化数据安全保护工作。
针对数据安全监管“九龙治水”的问题，受我国幅员辽阔、经济体量巨大等客观因素影响，确实很难建立一个完全统一的监管机构。分散治理、各自负责将是我国未来很长一段时间的执法监管常态，但是时下兴起的大数据交易似乎为此提供新的思考。大数据交易是数字经济发展的重要内容，数据安全问题往往产生在数据的流通、交易过程中。未来可以在每一个数据交易平台设置一个数据安全监管平台，监测数据本身的合规、交易主体的合规、交易方式的合规等，并在全国设立一个统一的数据监管平台，统筹全国各地数据交易平台的数据安全工作。
4.2. 数据确权：按不同阶段、主体界分权属
在国家、地方政府大力倡导发展数字经济以及打造新质生产力的背景下，作为数字经济发展动力引擎的数据怎样实现更好的生产、流通、交易是需要解决的首要问题。自2015年全国首个大数据交易所——贵阳大数据交易所成立以来，我国已经设立了若干个大数据交易平台。数据交易的前提是确权，也只有规范完备的交易秩序形成，才能打破当前数据黑市垄断数据要素市场的局面，对于解决前文业已提到的权属不明下的数据主体利益冲突造成了数据安全治理窘迫局面有重大意义。出于数据保护动因(强化数据隐私安全)和社会激励动因(刺激数据生产、流通)，许多学者都提出了数据的财产权保护路径[18]-[20]。那么该如何明确数据权属？
首先，应当明确的是，虽然我们在讨论数据安全治理的背景下讨论数据确权问题，但数据财产权不应是一种单向静态权利，不能单纯地强调用户方的财产权利，应当在数据主体和数据经营者之间寻求数据保护和利用的平衡，满足数据财产利益机制的稳健性要求，助推数字经济的安全与发展。在明确这一基本理念后，便可以开展数据权利的分阶段归属。对数据权利而言，保护的对象可分为个人信息和数据资产两类。个人信息是用户本身所具有的或者在网络活动中产生的初始化数据，在这个阶段，数据的人格属性略强于财产属性。这一阶段主要以数据人身权归属确定权利保护，如“知情—同意权”、“数据保密权”、“数据修正权”、“数据删除权”等。对处于个人信息阶段的财产权，应以所有权进行规制，数据主体可以享有对个人数据的占有、使用、支配等权能。基于此，还可以从物权法角度，延伸出数据的用益物权、担保物权等权利类型，赋予数据主体充分利用数据要素价值的空间。诚然，单体的数据信息尚不具太大的经济价值，但权利赋予给予了在其他制度中实现价值的机会性。进入第二阶段—数据资产阶段，即数据业者通过系列收集、加工、处理、存储而形成的具有经济价值的有效个人信息数据集。通过赋予数据业者基于数据资产的权利，能够理顺数据定位和利益关系。一是数据经营权。运用法律制度对数据业者的经营权进行确认，包括收集、分析、加工等业务范围。二是数据资产权[21]。这种权利近乎所有权的权能，赋予数据业者对合法获取的数据或由此形成的数据产品进行占有、使用、收益的权利。通过对数据业者权利的界分确认，同时附加相应的义务，有利于维护数据市场的安全和秩序，为正当数据交易开路，从而逼退数据黑市对数据安全的威胁。
4.3. 数据信托引入：打破“权力不对称”
数据信托是近年来兴起的一种数据治理模式。2021年《麻省理工科技评论》发布“2021年全球十大突破性技术”[22]，“数据信托”位列其中。所谓数据信托是指在数据主体与数据控制人之间创设出信托法律关系，数据控制人基于数据主体的信任对数据享有更大的管理运用权限，同时也要承担更严格的法律义务[23]。数据信托的概念最早在英美两国提出，并形成两种不同的数据信托模式。一种是以数据处理者为核心主体，通过增加数据处理者义务，实行“自上而下”监管治理思路的美国“信息受托人”模式，一种则是以第三方独立机构为核心主体，通过聚合主体权利，实行“自下而上”约束的英国“数据信任”模式。基于前文所述，为了破除赋权保护模式下数据主体与数据经营者地位不平等造成的数据安全漏洞，本文在数据信托治理模式上倾向于选择英国方案。三元主体相较于合同模式的二元主体更有利于实现企业数据权与个人信息权的分离保护[24]。
数据信托治理实际是一种信托法律关系的建构，在这一过程中，首先要明确“信托财产”。根据信托法一般理论，信托财产应是确定的且为委托人合法所有的财产或财产权利。数据本身不具有财产性，只有经过加工处理的数据才具有财产价值。因此，经典数据信托理论将数据权利作为信托财产[25]。在数据信托主体构成方面，应当至少包括委托人、受托人和受益人三方主体。一般来讲，信息主体是委托人一方，第三方独立机构为受托人，而受益人既可以是信息主体也可以是信息主体以外的数据使用者等。但鉴于单个信息主体的信托意识非统一性，难以形成数据信托的意思联络，故而不符合数据信托管理的经济原则。因此，数据信息的收集处理者在收集、聚合一定数量信息后亦应准予作为委托人，但这不影响原信息主体的权利，仍可作为受益人主张基本权利。在信托机制的保障方面，应当对受托人课以严格信义义务。数据信托中数据控制人与一般数据平台的差异主要体现在数据控制人在数据信托中享有更大的权限并承担更严格的信义义务[26]。现代信托法确立的两条最重要的受托人行为标准——忠实义务和谨慎义务为此处信义义务的内容。忠实义务体现在三个方面的要求：一是无冲突原则，即受托人不得置身于受益人利益与自己的个人利益相冲突的地位；二是无利润原则，即受托人仅应收取信托费用，而不得从信托财产中获益；三是保密原则，受托人在履行信托义务过程中应对知悉的相关商业秘密等信息予以保密。谨慎义务则要求受托人处理信托事务如处理自己事物一样，尽到善良管理人的义务。对数据信托而言，受托人的谨慎义务需要坚持“安全第一”原则[24]。比如，受托人应当提前规划好处理、加工、储存、访问数据的若干技术方案，做好数据安全应急预案，形成预防为主、防治结合的数据安全治理体系，保障数据安全。在对受托人课以信义义务后，还需实行严格责任确保义务履行。若受托人不能自证履行了高标准的信义义务，则应当成立连带责任。由此，一种“用户权益保护型”信托得以构建。个人信息安全实现了由“个人自救 + 国家治理”二元模式变成了集体保护补强模式，受托人作为一个数据集体推动实现了数据安全的集体治理，第三方独立专业机构有更强实力、专业能力代表信息主体进行谈判或维权，以及进行专业的技术反制(如规制算法黑箱)。
5. 结语
在当今“数据即资产”的数字经济时代，数据治理尤其是数据安全是时代面临的重大课题。数据安全问题能否得到有效、妥善、周全应对，事关数字经济的高质量可持续性发展。虽然国家层面一直重视数据安全领域的治理，积极推进相关顶层设计，但是该领域在客观上存在的一些问题，如相关规范体系内生不足、数据主体间利益冲突造成的治理困境、个人信息赋权治理失败等都阻碍了数字经济的安全发展。由此，本文针对性地提出了基本的解决方案。其一，通过完善相关法律配套法规、标准、细则，借力大数据交易建设统一监管平台来弥补相关规范体系的不足。其二，通过数据确权，区别不同数据阶段、不同数据主体确定数据权利归属来规范数据场域的秩序性。其三，通过引入新颖的英国数据信托方案，运用自下而上的信托数据治理，破除原有的信息主体与信息处理者之间的“权力不对称”，更加有效地保障数据运行安全。