论文选登 l 数据可携带情形下的权利冲突与规则调适

我国在司法实践中虽屡次遭遇个人信息的携带问题，但截至2023年2月1日，在裁判文书网上进行检索，“可携带权”这一正式称谓仅见于腾讯诉搜道不正当竞争纠纷案^[7]。其原因大致有二：其一，确立可携带权的《个人信息保护法》于2021年11月生效，自然无法对先前的案件产生拘束；其二，多数案件的纠纷集中在数据控制者与数据处理者之间，并不涉及个人这一可携带权的权利主体。然而，从可携带权的视角出发，对非法爬取他人数据的相关案件进行考察仍具有现实意义，不但有助于确定数据携带行为的合法性边界，还将为实现数据控制者与数据处理者之间的利益平衡提供启示。

3.1 现状梳理

纵观近年来与爬取个人信息/数据有关的案例，法院在裁判中体现出如下倾向：其一，法院的论证紧密围绕着“是否构成反不正当行为”这一核心展开，而在《反不正当竞争法》中又尤其依赖一般条款和第12条之规定。其二，在法无明文规定的情况下，法院并没有赋予个人类似“可携带权”的权利，而仅是将个人作为“三重授权原则”中的一环，即数据的跨平台流动需要先后取得用户对数据转出的同意、数据控制者对数据转出的同意和用户在知晓数据用途后的再次同意。其三，为了在数据保护与数据流动之间、数据权益与竞争秩序之间寻求平衡，法院在说理中引入了大量模糊的法律概念，如公共利益、商业道德、消费者权益等。

如果不加节制地允许市场主体任意地使用或利用他人通过巨大投入所获取的信息，将不利于鼓励商业投入、产业创新和诚实经营，最终损害健康的竞争机制。故在具体识别某行为是否构成反不正当竞争时，法院时常会综合考虑如下因素：其一，原告是否为数据的收集与整合负担了相应成本，针对后台运营数据、用户评论等获取难度较大的信息，更容易受到《反不正当竞争法》的保护。其二，擅自抓取的数据是否超过了必要限度，即使是公开的数据，也不必然意味着可以被随意获取和使用。其三，被告是否存在恶意破坏或绕开原告技术保护措施的行为，甚至影响平台的正常运行。其四，被告行为在多大程度上违反了或突破了以robots协议为代表的诚实信用原则和公认的商业道德。其五，被告行为是否对市场竞争秩序和消费者权益等抽象利益造成了负面影响。

3.2 成因与反思

撇开当时可携带权的立法空白不谈，法院选择绕开《民法典》之下侵权责任编的规定转向《反不正当竞争法》,有其内在的动因。第一，反不正当竞争法保护的是权益而非权利，并为孵化性、补充性的法益提供兜底保护^[8]。故其本就具备在搁置数据权益归属问题的情况下，优先为数据控制者利益提供保护的先天优势。第二，由于个人信息案件往往属于大规模的侵权案件，相较于竞争法下的“三重授权原则”,传统侵权责任法的规制模式貌似不经济，也不实用。如果法院选择侵权责任的分析路径，则必须要直面下列诘问：如何证明被侵权人因个人信息遭受的财产或精神损失?如果无法确定是否造成实际损害，又该如何确定原告资格?与其采取零星、分散的个人诉讼，为什么不能通过数字企业间的诉讼寻求救济?第三，在个人与数据处理者的纠纷中，借助公权力介入更充分的反不正当竞争法，能在现实意义上填补二者的地位差距。在遵循比例原则的前提下，市场监管部门按照《反不正当竞争法》的规定，有权对数据携带进行事前监管和事后惩罚，甚至采取行政制裁；面对个人在可携带权诉讼中实际损害不明、举证困难的窘境，从《反不正当竞争法》亦能更快地建立起政府部门代为诉讼和举证责任倒置的规则。

应当对法院向《反不正当竞争法》“逃逸”的现象保持警惕。第一，盲目适用一般性条款加剧了法律适用的不确定性和不同部门法间的矛盾，也存在法官造法的嫌疑。例如，依据《个人信息保护法》,公开个人信息意味着信息主体已作出同意处理的表示，但新浪微博诉脉脉案以《反不正当竞争法》一般性条款为由强加数据处理者寻求信息主体同意的额外义务。第二，在数字经济发展初期，应当秉持“竞争行为中心主义”^[9],要求企业对市场中的损害行为保持一定程度的容忍。当无法借助著作权、商业秘密等权利(权益)保护数据控制者的利益时，意味着请求权基础的缺乏，轻易以《反不正当竞争法》赋予额外的保护可能导致权利范围的不当扩张。第三，法院“重反法而轻侵权”的态度，相当于在反不正当竞争法与侵权责任法之间设立了本不存在的障碍。但所谓的竞争法规则，不过是侵权法规范体系中一种具体的筛选工具，不可能具备侵权法之外的价值体系与论证模式^[10]。是故对不正当竞争行为的认定，只能在侵权法的价值定位、教义学框架和推理模式下展开，而不应忽视《反不正当竞争法》与民事规范的客观链接。

4  数据可携带情形下权利冲突的调适路径

4.1 采取开放的立法理念

为尽量减少可携带权与其他权利的冲突，首先要在其构造上保持充分的开放性与灵活性，这是由可携带权在个人信息权利束中的特殊定位决定的。一方面，可携带权是用户对数据所做的积极的、涉及实体利益的干预，与防御性的、程序性的个人信息权利存在本质差异。应对传统个人信息权利和可携带权采取两种截然不同的立法框架，前者是静态的、消极的、相对确定的，后者是互动的、积极的、充分灵活的。另一方面，由于可携带权兼具竞争属性和私权价值，在相当长的一段时间内，我国的可携带权制度大概率会采取“权利化模式”与“行为规制模式”并行的双轨方案。因此，在数据权益分配尚未形成共识的当下，不宜过早形成明确、详尽的立法，为可携带权的诸多细节盖棺定论。

4.2 设定合理的客体范围

过宽和过窄的客体范围都会影响可携带权的效益，前者可能会为数据控制者增添不必要的成本，而后者又会阻碍个体数据权益的实现。我国虽未在《个人信息保护法》《网络数据安全管理条例(征求意见稿)》等规范中对可携带权的客体进行明确，但参考域外立法，对可携带权客体的限制主要基于三个方面：其一，可携带权原则上仅针对直接来源于用户的“原始数据”,如年龄、性别、位置数据、浏览痕迹、消费记录等，而不包括经过加工和处理形成的“衍生数据”和“观测数据”,如用户画像、行为习惯、消费动机等。该限制主要是为了弥补数据处理者此前投入的智慧和劳动，因此若支付合理的对价，也可以将客体延伸至其他两类数据。其二，可携带权划定的客体范围不应对公共利益构成妨碍。即如果具有公共管理职能的行政部门出于国家安全、应急管理、社会道德的需要进行数据获取和转移时，可携带权应进行合理的避让。其三，可携带权涉及的客体不应侵犯他人在先的民事权益。若一段数据上同时存在第三方的删除权或隐私权，在未达成合意的情况下，作为数据来源的自然人亦无权决定个人信息的去留；同时，为了避免行使可携带权时侵犯他人的知识产权，在进行转移决定前，应由数据控制者证明携带数据具备基本的“清洁性”,即所涉数据不存在明显侵犯他人商业秘密或汇编作品的情况。

4.3 实现部门法间的良性互动

建议法院在审判过程中，将《个人信息保护法》《民法典》和《反不正当竞争法》等多个部门法视为有机的整体，以体系化目光促进部门法间的良性互动，对行为违法性作出更精准判断，杜绝根本性冲突。一方面，判定数据携转行为违法性的过程中，应综合适用《反不正当竞争法》第2条与《民法典》第1165条之规定，倘若穷尽请求权基础仍无法对原告的权益进行救济，相关诉讼请求就不应获得法院的支持。另一方面，应缓解《个人信息保护法》与《反不正当竞争法》之间的紧张关系，既要规避绝对意义上的数据可携带权，又要防止落入严格的三重授权原则当中。具体而言，一来要承认数据控制者对数据的持有付出劳动，借助数据盗用理论牵制可携带权的功用，一旦具有直接竞争关系的数据处理者窃取或盗用该数据，即便取得个人同意，也并非意味着行为的正当性^[11]。二来要防范数据控制者权益的任意扩张，数据控制者付出的成本和劳动完全可以通过付费获得补偿，而不必为每次数据携转捆上控制者同意的枷锁。

4.4 提供数据携转的安全保障

随着立法的进步与技术的迭代，我国完全有可能将数据携带中的安全风险控制在合理区间内。一方面，应为数据携转提供全生命周期的风控方案：在数据存储阶段，应充分利用区块链、云计算等数字加密手段，尽可能降低数据入侵及泄露的风险，并做好数据的标记、脱敏和溯源工作；在数据转移阶段，应落实严格的身份验证制度，通过密码确认、短信验证和人脸识别等多重技术手段，确保数据携转的决定由权利人本人做出，在传输金融、医疗等敏感数据时，更应通过电话、短信或电子邮件进行风险提示；而一旦数据主体对数据库失去控制、无法保障个人信息处于安全状态，应果断启动自毁程序，最大程度上降低数据泄露和非法复原的可能性^[12]。另一方面，有必要进一步明确数据处理者的安全保障义务。其一，应当依据数据处理者的地位、所处市场的竞争程度和行业性质，设定差异化的安全保障义务和场景化的责任水平^[13];其二，建议逐步完善数据审查制度和数据安全认证制度，由国家相关部门制定“可信赖接收者”标准，并将审查或认证的结论作为评判数据处理者过错程度的主要问责点；其三，有必要健全数字企业内部的合规管理体系，厘清个人与数据处理者在数据携转过程中的义务边界，防止责任混同。

5  结论

随着《个人信息保护法》的落地，继续在我国讨论可携带权的必要性和可行性已不再具有现实意义。以欧美等地的法律实践为参照，唯有直面并尝试化解数据可携带情形下的各类权利冲突，才能使可携带权这项颇具争议的新兴权利真正服务于数字经济和社会发展的远景目标。同时，由于可携带权在个人信息权利束中的特殊定位，在构建民事权益平衡机制的过程中，应当秉持谦抑、保守的姿态，审慎处理制度的本土化问题，切忌盲目革新。

2022年 12 月 19 日，由中共中央和国务院联合发布的《关于构建数据基础制度更好发挥数据要素作用的意见》明确指出，应“建立健全个人信息数据确权授权机制”,加快实现个人信息的合理使用；在 2023年 2 月印发的《数字中国建设整体布局规划》中，亦将“畅通数据资源大循环”作为数字中国建设基础的重要内容。相信在此背景下，我国的可携带权终将从“纸面”走进“现实”,成为打通个人介入数据流转与分配的重要契机。