统一大市场下如何破除数据壁垒——以欧盟《数据治理法案》为视角

虽然个人信息保护、数据安全与促进数据流转问题在某些情境下可能呈现“三元悖论”[1]的状态，即国家数据安全、数据自由流通、个人权利保护三个政策目标无法同时实现，但国家始终从多角度积极探索数据流转机制。

在数据要素市场方面，基于网络安全和数据立法“三驾马车”已经给出顶层设计之后，立法者仍需要推动在数据流转方面的制度和政策创新，以破除数据壁垒的困境和难题。

在《个人信息保护法》（以下简称“《个保法》”）《数据安全法》（以下简称“《数安法》”）颁布之前，基于数据流转的考量，国家已从政策、立法等角度采取了一系列措施。例如，2020年3月30日生效的中共中央、国务院《关于构建更加完善的要素市场化配置体制的意见》指出要推进政府数据的开放共享，加快推动各地区各部门间数据共享交换。2021年6月10日全国人大常委会发布并生效的《中华人民共和国海南自由贸易港法》亦提出要在海南自由贸易港建立安全有序自由便利的数据流通管理制度，扩大数据领域开放，以及探索区域性国际数据跨境流动制度安排。

如今，置身于由《网络安全法》（以下简称“《网安法》”）《个保法》《数安法》及其他相关法律法规共同构建的个人信息与数据安全“强保护”法治格局下 ，各部门以及地方政府在加强数据在公、私领域的流转与共享的立法尝试从未停止。从地方立法来看，2022年1月21日由浙江省人大常委发布并于同年3月1日生效的《浙江省公共数据条例》创造性地回答了公共部门之间，公、私领域之间进行数据交互与共享所应遵循的基本原则与方式，为积极促进省内数据共享奠定了基础。由北京市经济和信息化局发布的《北京市数字经济全产业链开放行动方案（征求意见稿）》提出为在北京市建立全国领先且活跃有序的要素市场，须采取措施持续加大数据开放共享力度（包括如何促进政务数据的开放）、促进数据交易繁荣健康发展（包括加快建设北京国际大数据交易所）以及完善数据跨境流动服务(包括积极推进“数据出境标准合同”制度)等。

1、顶层规则有待于完善

肯定国家及地方为积极促进数据流转所采取的一系列措施之余，笔者认为若要触及当前困扰着数据共享、流转之痛点，真正构建通畅的数据流转机制，必须理顺数据流转与其他重大“命题”之间的关系，即：如何在流转中有效保护个人信息、保障知识产权及维护数据安全与促进数据流转之间的有机耦合，并实现政务数据流向企业有法可依、企业之间数据交互有工具可用等。遗憾的是，目前顶层规则多从宏观倡议以及基本原则性的角度表达对建设数据流转机制的积极立场，尚无具体落地细则。而地方立法也囿于其效力层级以及践行经验的问题，尚未产生足够影响。

2、实践中的困扰

实践当中我们也发现，数字平台的权益和收益的分配和归属、平衡平台的盈利目的与公益属性等问题阻碍着当前对建立数据流转制度的探索。例如，北京著名的预约挂号及复诊平台“京医通”以其一卡打通多家医院挂号就诊，为当地民众带来便捷与降低就医成本而闻名，据悉其目前用户已达两千多万。但近期，京医通的运营实体北京怡和春天科技有限公司（以下简称“北京怡和”）却发布了停运该款APP的通知。据其《停运通知》声称，原因是由于出资银行拒绝履行出资义务，导致该公司已经无法独立继续负担“京医通”项目的运营。北京怡和声称，七年以来为“京医通”项目的落地与运营已耗成本过亿。若其所称属实，一个地区医疗挂号平台打通医患交互，实现数据流通、共享即花费如此之大，若要建立全国性的、覆盖各领域的数据共享平台，又该由谁来担负如此巨大的成本？若由企业承担，国家在监管的同时如何有效保障企业利益，这都是当前实践探索中困扰着数据实现有效流转的问题。

他山之石可以攻玉，欧盟议会近期通过的《数据治理法案》（简称“DGA”）为解决数据流转的相关问题从公共部门如何开放持有数据的重复利用、企业之间如何加强数据共享、个人怎样才能信赖公益机构处理其个人数据等角度切入，在积极数据流转所做出的努力与尝试或可给我们提供一些思路。

1、认识DGA

作为与《数据市场法》《数据法》等一系列构建欧盟数据市场顶层法治设计的法律法规，DGA着眼于促进数据“要素”的“重复利用”与“共享”。其认识到欧盟境内的现有数据流转体系并不能够满足市场主体对数据的需求，具体表现在公共部门作为最大的数据持有主体，其已收集的数据无法通过有效途径被企业所获取而实现重复利用，造成现有数据资源的浪费。企业之间在互相竞争以及缺乏互信的前提下，难以就所持有的数据资源真正实现互惠共享。个人信息主体在担心个人信息无法得到有效保护或可能被滥用的前提下，不愿意分享个人信息。正如欧盟委员会政策制定官，也是DGA的主要制定人之一的Dr.Malte Beyer-Katzenberger所言：“长期阻碍着数据共享或者重复利用的，从来都不是人们共享意愿的缺位，而是由于没有制度或机制在保护个人信息安全、消弭商业合作不信任、保障知识产权的前提下，真正能够实现数据的重复利用与共享。”[3]

2、理解DGA的核心观点

DGA的立法结构围绕着以下四个话题试图摆脱困扰着欧盟境内数据流转的现状：

• 公共部门作为最大的数据持有人，如何能够帮助企业重复利用（“Re-use”）其所掌握的数据？

• 如何搭建以及搭建怎样的数据中介服务（“Data Intermediate Services”）,以消除共享数据的不信赖，尤其是企业之间的数据共享不信赖。

• 如何认定组织或机构具备“数据利他”（“Data Altruism”）性质？以及怎样对这类企业的“数据利他”属性进行合规监管？

• 如何有效的建立专门管理机构，确保DGA的实施？

1）关于公共部门所掌握数据的重复利用

DGA在其前言部分第（6）条首先明确，欧盟长期以来秉持着公共部门收集或通过公费收集的数据应当造福社会这一理念，但由于过去各成员国并没有建立安全有效的保护个人信息以及非个人信息（尤其是涉及商业秘密或技术秘密的保密类信息）的（制度）结构、（行政）程序以及立法，导致目前数据的重复利用依然不充分。我们通过解读，认为DGA就解决该问题所作出的尝试，有以下亮点：

2）搭建数据中介服务

DGA将数据中介服务定性为“可期待成为数字经济的一个关键性角色，尤其是支持与促进企业间的数据共享实践，或促进数据在‘义务’的框架下进行分享”。[7]其对数据中介在数据主导的新经济生态下寄予厚望。在DGA中数字中介服务存在以下亮点：

3）“数据利他”机构的认定与行政许可

“数据利他”机构之认定，整体都可以作为DGA的亮点进行介绍。由于目前欧盟尚未就相关企业办理行政许可或进行合规监管，笔者将从DGA文本出发就该制度进行简要介绍。

DGA意识到到自然人对于非盈利组织带有公益性质的科学研究等活动，更愿意分享个人信息供其使用。例如为了研发特殊疾病的诊疗手段，患者往往愿意将相关信息分享给相关机构。但如何有效识别此类机构是否真正出于公益目的而非商业盈利来收集个人信息的，一直挫伤着大众的分享意愿。DGA通过设立一系列认定标准，对符合要求的“数据利他”实体进行备案登记，并颁发“欧盟认可的利他主义组织”的标签。[10]同时，DGA还对数据利他组织的后续活动设定了专门的合规监管要求。例如，定期按照监管要求提供必要材料，以验证其开展的活动是否符合DGA的规定。[11]

虽然DGA在促进数据流转问题上，针对数据重用、数据共享等问题做出了一系列创新型的安排，我们遗憾的发现其在一些关键性问题上处理的不够彻底或未触及根本。例如，由私营企业借助数据中介服务搭建数据集，进行分享并鼓励分享的意愿固然很好，但如何让企业真正在不丧失其竞争优势的前提下进行共享，该法案并没有给出制度设计或解决方案。相反，我们看到该法案在说明数据中介服务模型的优势时，提出数据集可开放给所有“利益相关方”（“Interested Party”）进行使用。但如何定义利益相关方？谁来定义利益相关方？怎样定义利益相关方才能避免形成新的行业数据壁垒？DGA并未解释。

另外，在公共部门就哪些数据开放重用的问题上，该法案将选择权交由各成员国，而并未做强制性的规定，这无疑对后续数据重用的真正落地将带来一系列的实际操作问题，甚至有可能因为各成员国在公共部门在数据重用问题上步调不一致，产生新的数据流转“壁垒”，致使其背离制度设计的初衷。同时，我们看到DGA在开放数据重用议题上，主动表明不适用于大量涉及到第三方知识产权的公共事业单位（图书馆、歌剧院等），但对其他公共事业单位，尤其是行业领域内企业重用数据需求很强的相关公共事业单位（例如公立医院），DGA未就是否适用进行说明。

最后，如何保障数据中介服务或类似平台性企业的利益，解决其前期建设与运营成本过高以及融资难等实际问题（如前文提到的“京医通”问题），DGA也并未提供可以借鉴的思路。

通过上述分析，笔者认为DGA对于我构建数据流转制度上，有着积极的借鉴意义。结合我国国情，我们将从以下角度分享我国在数据流转机制建设过程中需要考虑的几个问题：

1、落实总体安全观，打通政务数据的流转机制

当前，大量信息以政务数据的形式掌握在国家机关及事业单位手中。若企业无法通过有效途径充分利用这些政务数据，不仅将造成数据资源的浪费，同时还可能致使市场经济丧失部分应保有的活力。当然，建立政务数据有效流转机制的前提，是落实国家数据总体安全观。在《网安法》、《数安法》的框架内，鼓励各类信息，尤其是非个人信息的充分流转，有助于数字经济的长期目标，避免数据和信息在某些相关部门手中形成“孤岛”。

2、基于保护个人隐私和个人信息权益下的流转规则

无论是DGA还是其他国家的有关立法，无不强调保护个人隐私和个人信息的命题。因此，我国在建设数据流转机制时，不应回避个人隐私及个人信息保护的一系列问题。我们也期待立法机构在细化《个保法》过程中，将有利于数据流转的规则体现到个人信息保护的要求中。目前，我们认为在对个人信息流转的保障体系中还应当解决以下两大问题：

1）个人信息的“可携带性”（“Portability”）的规则落地。《个保法》第四十五条明确规定了个人信息主体有权向个人信息处理者查阅、复制及转移个人信息。其现实意义在于增加个人数据的流动性，防止有些企业就其收集的个人信息“锁定”使用，阻碍流通。逐一分解“可携带权”核心要素，即保护个人信息主体针对个人信息所享有的“取回权”、“传输权”、以及按照其意愿进行控制者的转换。[12]在欧盟的实施中，“可携带权”引发了不少的争议，欧盟数据保护委员会出具了指南，但是现实中并未发生很多因可携带权的实施而有效促进个人信息流动的效果。尽管如此，笔者认为可携带权至少从数据流转的角度，开辟了一条思路，在中国的语境下，该机制可以与其他机制有效联动，鼓励用户在保护隐私的前提下进行数据流转。

2）个人信息“匿名化”概念的进一步细化。根据业内对于匿名化的解释：“匿名化，是指通过对个人信息的技术处理，使得个人信息主体无法被识别或者关联，且处理后的信息不能被复原的过程”。[13]此定义中存在争议的是，“不能复原”是绝对的还是相对的，如果是相对的，那么这个界限在哪里？首先，我们认为绝对匿名化在技术世界中存在逻辑无法自洽的问题，而且绝对匿名化会导致数据利用效果完全丧失。故我们建议尽早采纳“相对匿名化”的解释，让个人信息在保留利用价值的状态下，安全可控的流转。目前，世界主流立法均倾向于采纳“相对匿名化”这一理解。其并不要求完全“匿名化”、绝对无风险，而是要求“匿名化”应当充分降低信息重新识别的风险，直到在可控范围内远离识别个体即可视为“有效匿名化”。此种解释大大提升了“匿名化”处理的商业可操作性，同时也有利于促进数据的积极流转。

3、避免零和博弈，建立多方共赢机制

数据流转环节的打通，需要依赖于强大的数字基础设施建设能力和平台运营、维护和升级能力，这对于资金、技术、研发、运营管理等提出了极高的要求。政府部门在此类平台的建设中往往需要依赖于第三方进行全面的实施和推动。如果没有一个合理的多方共赢机制，那么就难免出现类似“京医通”这样的不利事件。因此，我们建议在对于政务数据的利用中，有关部门不仅要考虑公益性，也需要考虑数据商业使用的可行性，有效保障平台运营各方的合法利益，避免“竹篮打水一场空”的双输局面。

4、搭建多重体系下的数据共享机制

从“数据中介”到“数据利他”组织的设置，我们看到DGA无不强调企业和组织在搭建多重数据流转共享机制体系下可以发挥的重要作用。近日，北京市经济和信息化局发布的《北京市数字经济全产业链开放行动方案（征求意见稿）》亦提出要“支持市场主体采取直接交易、平台交易等方式开展数据服务和数据产品交易活动”，对搭建多重体系下的数据共享机制，尤其加强企业参与，释出了积极的信号。而此类数据流转体系的建设，或可借鉴DGA当中的设计思路。即：以“数据中介”为方式促进数据分享的平台，或可要求其保持严格的“独立性”，做到不隶属数据供需关系的任何一方，以消除数据分享过程中的企业之间的不信任。以“数据利他”性收集个人信息的企业，颁发行政许可前，或可首先由主管机关对其“公益性”进行评估，后在其进行公益性项目时，主管部门定期就其使用个人信息进行合规审计，以防止个人信息被滥用，提高民众分享意愿。