📌 教学目标
通过本讲学习，学生将能够：
- 全面理解数据法律关系的概念、特征与构成要素；
- 掌握数据处理者、个人信息主体、数据监管机构等核心主体的法律定位与权利义务；
- 深入辨析数据的法律属性，了解物权说、债权说、知识产权说、新型财产权说等主要学说；
- 理解"数据二十条"确立的"三权分置"产权框架及其制度逻辑；
- 把握2026年7月国家数据局《数据产权登记工作指引》的核心内容与实务操作。
【扩展版新增目标】
- 掌握数据分类分级保护制度，能够区分一般数据、重要数据与核心数据；
- 理解关键信息基础设施运营者（CIIO）、数据交易所、数据商、第三方评估机构等新型主体的法律地位与特殊义务；
- 系统掌握数据处理全流程（收集、存储、使用、加工、传输、提供、公开、删除）各环节的法律要求；
- 了解马克思主义法哲学视角下数据作为生产资料的理论分析。
本讲学时： 2学时（90分钟，建议延展至120分钟；扩展版建议延展至150分钟）
🎯 导入案例模块：从"停车信息泄露"看数据法律关系的多元主体
课前提问（3分钟）： 请思考：你去商场停车，扫描二维码后，商场收集了你的车牌号、手机号、出场时间等信息。这些信息被谁收集了？商场有没有权利把这些信息卖给数据公司？如果发生了信息泄露，谁该负责？
导入案例一："停车场信息泄露"——一个场景牵出三层主体
案情（改编自多地真实投诉）： 2025年以来，上海、北京、深圳等多地车主反映，在某些商业综合体停车场扫码缴费后，不断收到来自陌生公司的推销短信和电话，内容涉及"车险""银行贷款""商铺招商"等。调查发现，部分停车场运营方将采集的车主信息打包出售给第三方数据公司，用于精准营销。车主深感困扰，质疑：我的信息凭什么被卖？谁该为此负责？
法律关系拆解：
| 主体 | 法律角色 | 权利 | 义务 |
|---|---|---|---|
| 车主 | 个人信息主体（数据来源者） | 知情权、决定权、删除权、复制权等 | — |
| 停车场运营方 | 数据处理者 | 对合法采集的数据享有持有权、使用权、经营权 | 告知义务、保密义务、安全保障义务 |
| 第三方数据公司 | 次级数据处理者/数据受让人 | — | 来源合规性审查义务，不得侵害原数据主体权益 |
| 监管机构（网信办/公安） | 数据监管主体 | 执法权、处罚权 | — |
课堂提问：
- 停车场运营方出售车主信息，是否需要车主同意？
- 如果车主起诉，案由是侵权还是违约？法律依据是什么？
- 监管机构对此类行为的处罚依据和标准是什么？
导入案例二：最高法指导性案例262号——数据集合的权益归属之争
案例来源： 最高人民法院第47批指导性案例（2025年8月发布），指导性案例262号：某科技有限公司诉某文化传媒有限公司不正当竞争纠纷案。
案情概要： 甲APP是一款短视频分享平台，用户上传海量视频内容。乙公司开发了一款App，抓取并搬运了甲APP的短视频及相关数据（视频内容、用户评论、播放量等）。甲公司以不正当竞争为由起诉乙公司。
裁判要点：
- 甲公司对数据集合的形成和积累"实质性投入了人力、物力、财力"，通过经营吸引大量用户流量，使得该数据集合额外产生独立于单一短视频的经济价值。
- 甲公司对其"持有、使用、经营短视频数据集合产生的经营性利益"应当受到法律保护。
- 乙公司的抓取搬运行为扰乱市场竞争秩序，损害其他经营者、消费者合法权益。
延伸思考：
- 为什么法院保护的是"数据集合"而非单个视频？两者有什么区别？
- 平台对用户上传内容"不享有著作权"，但为什么能对数据集合主张权益？
- 这对互联网企业的数据合规实践有什么启示？
模块一：数据法律关系概述
1.1 什么是数据法律关系
数据法律关系，是指在数据的采集、存储、使用、加工、传输、共享、交易、销毁等处理活动中，各主体之间形成的法律上的权利义务关系。
数据法律关系的构成要素：
主体要素： 数据法律关系涉及多方主体，包括自然人（个人信息主体）、法人和非法人组织（企业、政府机构等）。与传统民事法律关系通常仅涉及两方当事人不同，数据法律关系往往是多方主体、多层嵌套的复杂结构——同一数据上可能同时存在数据来源者、数据处理者、次级处理者、监管者等多重法律主体。
客体要素： 数据法律关系的客体是数据本身。但数据具有双重形态——既是对信息的记录（数据符号层），又承载了信息内容（语义层）。法学上讨论的"数据"，主要指以电子方式存在的、对信息的记录。
内容要素： 数据法律关系的内容是各主体依法享有的数据权利和承担的数据义务。数据权利是数据法律关系中最核心的问题，也是本讲重点探讨的内容。
1.2 数据法律关系的基本特征
特征一：主体多元、层次复杂。 不同于传统民事法律关系中简单的"权利人—义务人"结构，数据法律关系中，同一数据上可能同时存在个人信息主体、数据控制者、数据处理者、监管机构等多方主体，各方的权利义务相互交织、彼此制约。例如，在企业采集用户数据的过程中，用户享有个人信息权利，企业负有个人信息保护义务，同时企业对其合法采集的数据享有一定的财产性权益，监管机构则对整个过程享有监督执法权。
特征二：权利客体具有无形性与可复制性。 数据不具有物理形体，可以被无限复制而不损耗原物。这一特征使得数据难以适用传统物权法的"占有"规则，也使得数据的"所有权"归属问题变得极为复杂。
特征三：公法与私法交织。 数据法律关系既涉及民事主体之间的权利义务（私法维度），也涉及国家对数据处理活动的监管（公法维度）。《数据安全法》《个人信息保护法》等法律确立了数据处理的公法义务，与民事领域的权利保护机制相互衔接。
特征四：跨境因素普遍存在。 在全球化背景下，数据跨境流动极为频繁。数据法律关系往往涉及多个法域，适用规则更为复杂。
模块二：数据法律关系主体——谁在数据世界中有"席位"
2.1 个人：数据来源者与个人信息主体
（一）个人信息主体的法律定位
《个人信息保护法》第44条至第50条，系统规定了个人信息主体享有的各项权利，构成了一个完整的"数据权利束"：
| 权利名称 | 法条依据 | 核心内容 |
|---|---|---|
| 知情权 | 第44条 | 知悉其个人信息的处理目的、方式、种类、保存期限等 |
| 决定权 | 第44条 | 有权限制或者拒绝他人对其个人信息进行处理 |
| 查阅复制权 | 第45条第1款 | 有权向个人信息处理者查阅、复制其个人信息 |
| 更正补充权 | 第46条 | 发现个人信息不准确或不完整时有权请求更正、补充 |
| 删除权 | 第47条 | 约定保存期限届满、処理目的已实现等情形下有权请求删除 |
| 可携带权 | 第45条第3款 | 有权请求将个人信息转移至指定的其他处理者 |
| 对自动化决策的拒绝权 | 第24条 | 有权拒绝仅通过自动化决策方式作出的对个人权益有重大影响的决定 |
重要提示： 个人信息的"决定权"是所有权利的基石——这意味着，处理个人信息必须获得个人的同意（或满足其他法定处理条件），个人有权撤回同意，有权限制或拒绝处理。
🔑 核心记忆口诀 —— 个人信息主体七大权利，记住"知决定更删携拒"：知情权、决定权、更正补充权、删除权、可携带权、对自动化决策的拒绝权。
（二）"知情—同意"规则的实务要点
《个人信息保护法》第13条列举了无需取得个人同意即可处理个人信息的法定情形（又称"处理免责事由"），包括：
- 取得个人的同意（最常见的情形）；
- 为订立、履行个人作为一方当事人的合同所必需；
- 履行法定职责或义务所必需；
- 应对突发公共卫生事件所必需；
- 科研和统计目的（须匿名化处理）；
- 公共利益实施新闻报道和舆论监督（须合理限度内）；
- 法律、行政法规规定的其他情形。
典型误区： 很多企业在隐私政策中写"您同意我们的隐私政策，即表示同意我们处理您的数据"——但如果处理目的超出用户可预期范围（如将数据用于与主服务无关的商业目的），即便有形式上的"同意"，也可能被认定为无效同意。参见最高人民法院指导性案例265号（罗某诉某科技有限公司案）的裁判要旨。
2.2 企业：数据处理者
（一）数据处理者的认定
《个人信息保护法》第73条明确："个人信息处理者，是指在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。"《数据安全法》第3条将"数据处理者"扩展至所有数据处理活动。
认定数据处理者的关键标准： 谁在实际控制数据的处理目的和处理方式，而非仅仅执行他人指令的技术服务方。
- 数据控制者（Data Controller）： 自主决定数据处理目的和处理方式的实体，是主要责任承担者。
- 数据受托者/次级处理者（Data Processor）： 按照委托合同和授权范围处理数据，其责任限于合同约定范围内。
（二）数据处理者的核心义务体系
⚖️ 法规依据速查 —— 数据处理者六项核心义务，来源《个人信息保护法》
| 义务类别 | 主要内容 | 法条依据 |
|---|---|---|
| 告知义务 | 处理个人信息前，以显著方式清晰告知个人 | 第17条 |
| 单独同意义务 | 处理敏感个人信息须取得单独同意 | 第29-32条 |
| 安全保障义务 | 采取必要的安全技术措施和管理措施 | 第51条 |
| 影响评估义务 | 处理敏感信息、跨境传输、自动化决策须事先评估 | 第55-56条 |
| 纠正补救义务 | 发生泄露时立即补救并通知监管部门 | 第57条 |
| 投诉响应义务 | 建立便捷的权利行使申请渠道并及时响应 | 第50条 |
（三）停车场场景复盘：义务体系的实际运用
结合导入案例一，停车场运营方的义务完整对应上表：收集车牌号、手机号须履行告知义务；向第三方出售须取得车主的单独同意（第23条）；泄露后须向监管部门报告——这是数据处理者义务体系在日常生活场景中的完整实战映射。
（四）"谁是数据处理者"：认定中的三大难题
理论上的认定标准清晰，但实务中的主体认定常常困难重重。以下三个场景是司法与执法实践中的高频争点。
难题一：集团企业内部的数据共享。 集团公司与其子公司、关联公司在法律上是各自独立的法人主体。母公司App收集的用户数据，若传输给集团内的电商子公司用于交叉营销，属于《个人信息保护法》第23条意义上的"向其他个人信息处理者提供"，应当告知个人接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。"我们是关联公司"不能成为豁免告知与同意义务的理由——这正是监管通报与行政处罚的高发区。反之，若集团内仅由一家主体统一决定处理目的与方式，其他成员仅提供服务器运维等技术支撑，则其他成员可能被认定为受托方而非处理者。关键仍在于谁"自主决定"。
难题二：委托处理中的角色边界。 《个人信息保护法》第21条确立了委托处理规则：委托人与受托人应当约定处理目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督；受托人应当按照约定处理个人信息，不得超出约定的处理目的、处理方式；委托合同不生效、无效、被撤销或者终止的，受托人应当将个人信息返还或者予以删除，不得保留；未经委托人同意，受托人不得转委托他人处理。角色转化的临界点： 受托人一旦超出委托范围自行决定处理目的与方式，即"升格"为数据处理者，须独立承担处理者的全部义务。云服务商、外包客服、代运营公司是典型的受托方，但若其将委托数据用于自身算法训练或商业分析，性质即发生根本改变。
难题三：共同处理的连带责任。 《个人信息保护法》第20条规定，两个以上的个人信息处理者共同决定个人信息的处理目的和处理方式的，应当约定各自的权利和义务，但该约定不影响个人向其中任何一个个人信息处理者要求行使权利；共同处理个人信息侵害个人信息权益造成损害的，应当依法承担连带责任。典型场景如：品牌方与电商平台联合开展会员营销、车企与经销商共享车主数据、联名信用卡的发卡行与联名商户。"共同决定"的认定看实质而非合同名称——即便协议写明"由一方独立处理"，只要双方事实上共同商定了处理目的与方式，即构成共同处理。
⚖️ 实务方法论 —— 认定数据处理者的黄金标准是"目的决定论"：谁决定了"为什么处理、如何处理"，谁就是处理者。合同文本中的角色标签只是参考，监管机关和法院审查的是数据处理活动中的实际支配力。
（五）特殊数据处理者：关键信息基础设施运营者（CIIO）的特殊义务
在数据处理者谱系中，有一类主体因其网络设施、信息系统一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益，而被法律课以远高于普通处理者的义务——这就是关键信息基础设施运营者（Critical Information Infrastructure Operator，简称CIIO）。
认定机制： 《关键信息基础设施安全保护条例》（2021年9月1日施行）确立"行业主管部门认定制"：公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的主管部门、监督管理部门作为"保护工作部门"，结合三方面因素认定本行业、本领域的关键信息基础设施——其一，网络设施、信息系统等对于本行业、本领域关键核心业务的重要程度；其二，网络设施、信息系统等一旦遭到破坏、丧失功能或者数据泄露可能带来的危害程度；其三，对其他行业和领域的关联性影响。运营者被认定后将收到认定结果通知，相应法定义务随之发生。
特殊义务清单：
| 义务 | 主要内容 | 法律依据 |
|---|---|---|
| 专门安全管理机构 | 设置专门安全管理机构，对机构负责人和关键岗位人员进行安全背景审查 | 《关键信息基础设施安全保护条例》第14条 |
| 数据境内存储 | 在境内运营中收集和产生的个人信息、重要数据境内存储；确需出境的，应当进行安全评估 | 《网络安全法》第37条 |
| 采购安全审查 | 采购网络产品和服务可能影响国家安全的，应当通过国家安全审查 | 《网络安全法》第35条 |
| 年度检测评估 | 每年至少进行一次检测评估，并报送评估情况和改进措施 | 《网络安全法》第38条 |
| 事件应急与报告 | 制定应急预案，发生危害网络安全事件时立即启动并向主管部门报告 | 《网络安全法》第25条 |
| 境外上市审查 | 掌握超过100万用户个人信息的网络平台运营者赴国外上市，必须申报网络安全审查 | 《网络安全审查办法》第7条 |
案例剖析：滴滴网络安全审查与行政处罚案。 2021年7月，网络安全审查办公室对"滴滴出行"实施网络安全审查，审查期间停止新用户注册，相关App随后被下架。2022年7月21日，国家互联网信息办公室依法对滴滴全球股份有限公司处人民币80.26亿元罚款，对董事长兼CEO程维、总裁柳青各处人民币100万元罚款。经查，滴滴公司共存在16项违法事实，违法时间自2015年6月持续至案发，涵盖八个方面，包括：违法收集用户手机相册中的截图信息；过度收集乘客人脸识别信息、年龄段信息、职业信息、亲情关系信息、"家"和"公司"打车地址信息；过度收集乘客评价代驾服务时、App后台运行时、手机连接桔视记录仪设备时的精准位置（经纬度）信息；以明文形式存储司机身份证号信息等。该案是迄今我国数据领域处罚金额最高的案件，集中体现了CIIO及超大型平台在个人信息保护、数据安全、国家安全三个维度上的叠加义务。
延伸： 同期，"运满满""货车帮""BOSS直聘"等平台也先后接受网络安全审查并被暂停新用户注册，整改完成并通过审查后方恢复注册。这组案例提示我们：CIIO义务不是纸面规则，而是直接影响企业上市、融资、产品上架的"硬约束"。
2.3 政府：公共数据处理者与监管机构
（一）公共数据的特殊主体地位
政府机关在数据法律关系中具有双重身份：
- 公共数据处理者： 政府在履职过程中收集了大量公共数据（气象、交通、医疗、教育等），此时政府是数据的处理者，须遵守《数据安全法》《个人信息保护法》的相关规定。
- 数据监管者： 网信部门、工业和信息化部门、公安机关、市场监管部门等，依据各自法定职责对数据处理活动进行监管。
重要区分： 党政机关在依法履行职责过程中收集和产生的数据，以及基于履职需要委托或授权其他企事业单位代为收集的数据，不进行数据产权登记（依据《数据产权登记工作指引(试行)》第15条）。
2.4 数据监管机构：多元协同的监管格局
| 监管主体 | 主要职责 | 法律依据 |
|---|---|---|
| 国家网信办 | 统筹协调个人信息保护和数据安全监管 | 《网络安全法》《数据安全法》《个人信息保护法》 |
| 国家数据局 | 数据要素市场化配置改革、数据产权制度建设 | 国家数据局"三定"方案 |
| 工业和信息化部 | 电信和互联网行业数据监管 | 《电信条例》《网络安全法》 |
| 公安机关 | 数据安全犯罪侦查（侵犯公民个人信息罪等） | 《刑法》第253条之一等 |
| 市场监管总局 | 数据交易市场的竞争监管、反不正当竞争 | 《反不正当竞争法》 |
| 行业主管部门 | 本行业领域的数据安全监管 | 各行业法律规定 |
2.5 数据交易所：数据要素流通的"场内基础设施"
（一）功能定位
数据交易所是为数据产品及数据服务交易提供登记、挂牌、撮合、清结算、交付等服务的交易场所，是数据要素市场化配置的"场内基础设施"。自2015年全国第一家大数据交易所——贵阳大数据交易所成立以来，上海数据交易所（2021年）、深圳数据交易所、北京国际大数据交易所、广州数据交易所等相继设立，形成多层次数据交易场所体系。
（二）权利与义务
- 规则制定权： 制定数据产品挂牌、交易、结算、信息披露等交易规则，组织场内交易；
- 合规审查义务： 对挂牌数据产品的来源合法性、可交易性进行审核。上海数据交易所提出"不合规、不挂牌；无场景、不交易"的自律原则——数据来源不合规的产品不得挂牌，没有真实应用场景的交易不予受理；
- 记录留痕义务： 对交易主体身份、交易标的、交易过程进行记录，为事后追责提供证据链；
- 自律管理义务： 对违规交易主体采取警示、暂停交易、摘牌等自律措施，并及时报告监管部门。
（三）法律性质辨析
数据交易所本身通常不是数据处理者——它不实际接触、加工数据内容，而是交易的组织者与自律管理者。但交易所若自营数据产品、直接参与数据加工，则在相应范围内转化为数据处理者，须承担处理者的全部义务。这一"组织者—参与者"的角色区分，与证券、期货交易所的监管逻辑一脉相承。
2.6 数据商与数据经纪人：数据要素市场的"掮客"
（一）政策定位
"数据二十条"明确提出培育数据商和第三方专业服务机构。数据商主要从事数据集成、数据经纪等业务：上游对接数据持有方，下游对接数据需求方，通过汇聚、整合、经纪服务促进数据要素流通。
（二）权利基础
在"三权分置"框架下，数据商经合法授权可以取得数据产品经营权，通过转让、许可等方式对外提供数据产品；其对自行加工形成的衍生数据产品，可以主张持有权与使用权，并依据《数据产权登记工作指引（试行）》申请产权登记。
（三）核心义务：数据来源合规审查
数据商最核心的义务是"了解你的数据"：审查上游数据来源的合法性（收集是否取得个人同意、是否属于可交易的公共数据授权运营产品、是否涉及重要数据或核心数据），确保所经营的数据"来源可溯、去向可查、责任可究"。数据商未尽审查义务经营来源非法的数据，不仅交易合同可能无效，还可能承担共同侵权责任乃至刑事责任。
（四）合法数据商与数据黑产的界限
界限在于来源合法性与授权链条的完整性。以非法爬虫抓取、运营商内部泄露、暗网购买等方式获取数据并转售的"数据黄牛"，不是数据商，而是违法犯罪主体：违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，依照《刑法》第253条之一构成侵犯公民个人信息罪。司法解释明确，非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上，即达到"情节严重"的入罪标准。本讲模块九案例四（2025年央视3·15晚会曝光的"精准获客"黑产）即为反面典型。
2.7 第三方评估与专业服务机构：数据法治生态的"看门人"
（一）主要类型
| 机构类型 | 核心职能 | 制度依据 |
|---|---|---|
| 个人信息保护合规审计机构 | 对处理者遵守法律、行政法规的情况进行合规审计 | 《个人信息保护法》第54条、第64条；《个人信息保护合规审计管理办法》（2025年5月1日施行） |
| 数据安全评估机构 | 数据出境安全评估技术支撑、数据安全风险评估 | 《数据安全法》第30条；《数据出境安全评估办法》 |
| 数据资产价值评估机构 | 数据资产质量评价与价值评估 | 财政部《企业数据资源相关会计处理暂行规定》（2024年1月1日施行）的配套需求 |
| 数据公证机构 | 数据权属、数据交易过程的公证存证 | 《公证法》 |
| 数据托管机构 | 受托保管数据，监督数据按约定用途使用 | "数据二十条"关于数据托管制度的探索 |
| 争议解决机构 | 数据纠纷的仲裁与调解 | 各地数据仲裁中心实践 |
（二）合规审计制度要点
《个人信息保护法》第54条要求个人信息处理者定期对其处理个人信息遵守法律、行政法规的情况进行合规审计；第64条授权监管部门在发现较大风险或发生个人信息安全事件时，要求处理者委托专业机构进行审计。《个人信息保护合规审计管理办法》（2025年5月1日施行）进一步明确：处理超过1000万人个人信息的个人信息处理者，应当每两年至少开展一次合规审计；处理者可以自行开展，也可以委托专业机构开展。这标志着个人信息保护从"处理者自证合规"走向"第三方验证合规"。
（三）独立性与法律责任
第三方机构的生命线是独立、客观、公正：与被审计、被评估对象存在利害关系的应当回避；对执业过程中知悉的个人信息、商业秘密负有保密义务；出具虚假或者严重失实报告的，依法承担相应法律责任。第三方专业机构实质上是监管资源的"市场化延伸"，与行政监管形成功能互补，共同构成数据法治生态的"看门人"体系。
模块三：数据法律关系客体——数据的法律属性之争
3.1 问题提出：数据是什么？
数据是什么？这似乎是一个简单的问题。但在法律上，"数据"的法律属性（它是一种什么性质的权利客体）至今仍是最具争议的理论问题之一。
《数据安全法》第3条第1款规定："本法所称数据，是指任何以电子或者其他方式对信息的记录。"这一定义是从技术角度给出的，侧重于数据的物理形态，而非法律性质。
在法律上，数据究竟属于什么类型的权利客体？它是一种"物"（适用物权法）？还是一种"智力成果"（适用知识产权法）？还是一种独立的、新型财产权的客体？
3.2 主要学说及其评析
学说一：物权客体说（数据所有权）
主张将数据视为一种"物"，适用物权法的规则，数据处理者对数据享有"所有权"。
支持理由： 物权法规则清晰、公示公信、流转便捷，若将数据纳入物权法调整，可以为数据交易提供稳定的法律基础。
根本缺陷： 物权法以"占有"为公示方式，但数据可以被无限复制，物理上的"占有"根本无法公示数据权属；此外，物权法遵循"一物一权"原则，但同一数据可被多方同时合法持有，与物权法原则存在根本冲突。清华大学法学院教授申卫星指出，将数据简单类比物权的思路"不能适应数据的多主体持有、可复制、非排他等特征"。
深化评析： 从学说史看，物权客体说是早期最有市场的主张，其直觉基础是"谁收集、谁所有"。但司法实践始终拒绝使用"数据所有权"概念：最高人民法院指导性案例262号使用的是"经营性利益"这一功能性表述，刻意回避所有权话语。更深层的理论障碍在于"物权法定"原则（《民法典》第116条）：物权的种类和内容由法律规定，在现行法并未创设"数据所有权"的情况下，当事人不能通过约定自行创设物权。此外，若承认数据的排他性所有权，个人信息主体对其自身信息反而沦为"无权人"，与人格尊严保护形成不可调和的冲突。
学说二：债权客体说（数据合同债权）
主张数据关系本质上是合同关系，数据处理者之间的权利义务通过合同约定，不存在独立的"数据所有权"。
支持理由： 尊重当事人意思自治，在合同框架内灵活安排权利义务，避免了确权的困难。
根本缺陷： 债权是相对权，仅在合同当事人之间有效，无法对抗第三人。在数据侵权案件中（如数据被竞争对手不正当抓取），被侵权方无法以违约为由主张对第三人的权利救济。
深化评析： 债权说的实务形态是数据许可合同、API接口协议、数据采购协议等。其真正价值不在于回答"数据归谁"，而在于提示我们：数据流通中的大量纠纷本来就是合同纠纷，不必事事求助于确权。但债权说的软肋在第三方场景：当合同之外的第三人爬取、窃取数据时，合同相对性原则使债权人鞭长莫及，只能转而求助于反不正当竞争法或侵权法。这解释了为什么实务中"合同约定＋反法规制"往往并用。
学说三：知识产权客体说（数据著作权/商业秘密）
主张将数据视为知识产权的客体，通过著作权法或商业秘密制度保护数据。
适用场景： 具有独创性的数据库可作为汇编作品受著作权法保护；具有商业价值、采取保密措施的商业数据可作为商业秘密保护。
根本缺陷： 大多数数据集合不具有独创性，无法受著作权法保护；商业秘密保护需要采取保密措施，且不保护已公开的数据。正如王利明教授在《数据何以确权》（《法学研究》2023年第4期）中所指出的："对于大量不构成商业秘密的公开数据，以及不具有独创性的数据集合，知识产权路径的保护力不从心。"
深化评析： 知识产权路径在司法实践中的适用边界已被划清。就著作权而言，《著作权法》第15条保护汇编作品，但保护的是"汇编的独创性表达"（数据的选择或编排），而非数据内容本身；指导性案例262号中，法院明确案涉数据集合的经营性利益无法依据著作权法等规定获得保护，转而适用《反不正当竞争法》第2条兜底条款。就商业秘密而言，秘密性、保密性要件决定了已公开数据被当然排除。值得注意的是，2025年6月新修订的《反不正当竞争法》增设第13条第3款，专门规制以不正当方式获取、使用其他经营者合法持有数据的行为——立法者最终选择的不是知识产权式的专有权，而是竞争法式的行为规制。
学说四：新型财产权说（数据产权）
这是目前主流学说和立法趋势。"数据二十条"确立的"三权分置"框架即属此类。这一学说主张，数据是一种区别于物权、债权、知识产权的独立的新型财产权利客体，应建立专门的数据产权制度加以调整。
核心主张（张新宝，2026年国家数据局权威解读）：
"数据产权是与物权、知识产权并列的第三类具有对世性的财产权利。"数据产权的基本结构是"持有权—使用权—经营权"三权分置，数据持有权人有权自行持有或委托他人代为持有合法获取的数据；使用权是指通过加工、聚合、分析等方式将数据用于生产经营的权利；经营权是指通过转让、许可、出资或依法设立担保等方式对外提供数据的权利。三权互相独立，同一主体可以全部或部分享有，不同主体也可就同一数据的同一权利同时持有且互不排斥。
学说五：人格权说（数据人格权）
对于包含个人信息的数据，部分学者主张应适用人格权保护路径。
适用场景： 未经同意收集、使用他人个人信息，侵害信息主体人格尊严的，可以适用人格权保护。
局限： 人格权保护主要适用于个人信息中的隐私利益，对于企业的非个人信息数据（如生产运营数据、商业经营数据），人格权说无法提供有效保护。
深化评析： 人格权说的规范基础是《民法典》第111条、第1034条至第1039条，以及第1023条对声音权益的参照保护。其独特贡献在于确立了个人信息保护的"人格尊严底线"：无论数据产权制度如何设计，承载个人信息的数据都不能像普通商品一样自由流通。但人格权说的边界同样清晰：其一，它只覆盖可识别自然人的信息，不及于匿名化数据与企业经营数据；其二，人格权以防御性救济为主，难以回答"数据如何交易、如何定价"的流通问题。由此，学理上逐渐形成"人格权＋财产权"双层结构的共识：个人信息层面适用人格权保护，数据集合与数据产品层面探索财产性权益配置。
学说六：行为规制说（责任规则说）
与上述确权思路相反，部分学者主张：数据根本不需要确权，通过行为规制即可实现保护目标。
核心主张（周汉华：《数据确权的误区》，《法学研究》2023年第2期）： 数据不同于其他生产要素，无论是否确权，都只适宜以责任规则（事后赔偿）而非财产规则（事前许可）保护；我国现行法对个人数据与企业数据的保护水平已经高于责任规则，数据确权因此没有实际意义。数据确权只能采取"权利束"方案，而权利束的重叠必然导致"反公地悲剧"——过多的权利人可以相互否决，反而阻碍数据的利用与共享。丁晓东教授（《数据公平利用的法理反思与制度重构》，《法学研究》2023年第2期）进一步提出：数据具有聚合性、关联性、场景依附性、非竞争性与非排他性等特征，应将数据视为"权益混同的聚合型财产"，通过行为规制与数据治理实现公平利用，而非追求权属明晰。
制度回应： 行为规制说深刻影响了立法技术——"数据二十条"通篇使用"数据产权"而非"数据所有权"，淡化支配、强调使用，聚焦数据使用权的流通；新修订《反不正当竞争法》第13条第3款采用的也是"禁止不正当获取、使用"的行为规制模式，而非创设对世的专有权。
课堂思辨： 确权说与行为规制说之争，本质是"财产规则"与"责任规则"两种保护模式的取舍。请思考：如果数据不确权，数据交易所里交易的"到底是什么"？
3.3 数据与《民法典》既有权利客体的对比分析
《民法典》第127条规定："法律对数据、网络虚拟财产的保护有规定的，依照其规定。"这是一个"转介条款"——立法者承认数据受法律保护，但刻意未回答数据"是什么"。将数据与《民法典》三大既有客体类型对比，可以清晰地看到数据的"四不像"特征：
| 对比维度 | 物（物权客体） | 智力成果（知识产权客体） | 人格利益（人格权客体） | 数据 |
|---|---|---|---|---|
| 规范依据 | 第114条 | 第123条 | 第990条、第111条 | 第127条（转介条款） |
| 存在形态 | 有体物为主 | 无形，但可固定于载体 | 无形，内在于人格 | 无形，以电子方式记录 |
| 排他性 | 强排他，一物一权 | 法定排他，但有期限 | 专属，原则上不可转让 | 弱排他，可被多方同时合法持有 |
| 可复制性 | 复制产生独立新物 | 复制受复制权控制 | 不可复制 | 无限复制且原数据不损耗 |
| 权利公示方式 | 占有或登记 | 自动产生或登记 | 无需公示 | 登记制度初建（2026年登记指引） |
| 保护期限 | 所有权无期限 | 有法定期限 | 伴随人格存续 | 无统一期限规则 |
| 核心权能 | 占有、使用、收益、处分 | 复制、发行、许可、转让 | 防御侵害、维护尊严 | 持有、使用、经营（三权分置） |
| 典型救济 | 物权请求权＋损害赔偿 | 停止侵害＋法定赔偿 | 停止侵害＋精神损害赔偿 | 民事＋行政＋刑事多元救济 |
结论： 数据既非"物"，亦非典型的"智力成果"，也不纯粹是"人格利益"，而是在不同场景下与三者发生"部分重合"的独立客体。这正是立法者在第127条"留白"的原因——与其仓促定性，不如交由专门立法与司法实践逐步建构。
3.4 马克思主义法哲学视角：数据作为生产资料
（一）生产资料范畴的当代扩展
在马克思主义政治经济学中，生产资料是劳动者进行生产时所必需的物质条件，包括劳动资料（生产工具、基础设施）与劳动对象（原材料）；生产资料所有制的形式，构成社会经济关系的基础。农业社会的核心生产资料是土地，工业社会的核心生产资料是机器与资本，而数字时代的核心生产资料正在向数据迁移。2019年，党的十九届四中全会首次将数据与劳动、资本、土地、知识、技术、管理并列为参与分配的生产要素；2020年《中共中央 国务院关于构建更加完善的要素市场化配置体制机制的意见》进一步将数据纳入要素市场化配置改革范围。这一政策演进，正是"数据作为新型生产资料"在制度层面的确认。
（二）劳动价值论下的数据价值来源
马克思主义劳动价值论提示我们追问：数据的价值是谁创造的？答案具有双重性——
一方面，数据的内容来源于亿万用户的"数字劳动"：浏览、点击、评论、出行、消费，用户在无报酬状态下持续"生产"原始数据；另一方面，原始数据只有经过处理者的清洗、标注、建模、分析等加工劳动，才能转化为具有使用价值的数据产品。由此产生一个规范命题：数据收益的分配应当兼顾"来源者的贡献"与"加工者的投入"。最高人民法院指导性案例262号"谁投入、谁贡献、谁受益"的裁判表述，与这一命题高度呼应；而学界关于用户是否应分享数据红利的讨论（如数据分红、数据信托等制度探索），则是该命题的另一面向。
（三）批判维度：警惕"数字劳动"的无偿占有
从批判法学视角看，平台以免费服务为对价取得用户数据的几乎全部利用收益，存在对数字劳动成果占有失衡的问题。马克思主义法哲学提醒我们：数据权利配置不仅是效率问题，更是分配正义问题。这一视角为个人信息主体的可携带权、公共数据的开放共享、数据要素收益"向数据价值和使用价值创造者合理倾斜"等制度安排，提供了深层的正当性说明。
3.5 司法实践中的数据权益保护——指导性案例的裁判智慧
最高人民法院第47批指导性案例（2025年8月）是迄今为止最系统的一次数据权益司法保护规则发布。核心裁判规则梳理：
规则一（指导性案例262号）：数据集合的经营性权益保护
- 平台对海量用户数据形成的数据集合享有独立的财产性权益
- 这种权益来源于平台"实质性投入"（人力、物力、财力）形成的额外经济价值
- 保护的是数据集合的整体价值，而非单个数据内容
规则二（指导性案例263号）：关联账号服务的数据权益边界
- 经用户授权后，平台可在合理范围内使用和管理跨平台获取的个人数据
- 但这种使用不得对其他平台经营活动造成"实质性替代或损害"
- 体现了数据权益保护的"比例原则"
规则三（指导性案例264号）：公开数据的合理采集与使用
- 对于已在公开渠道传播的数据（如微信公众号文章、开放群聊中的价格信息），他人可合法采集使用
- 前提：采集方式合法（不得欺诈、窃取），数据产品具有实质性增值
- 这一规则与《数据安全法》第7条"鼓励数据依法合理有效利用"的精神高度契合
模块四：数据客体的分类分级体系
4.1 数据分类的多维度体系
数据不是铁板一块。不同来源、不同敏感度、不同行业的数据，适用的规则截然不同。学会给数据"贴标签"，是数据法实务的基本功。
维度一：按来源与主体划分。 "数据二十条"将数据分为公共数据、企业数据、个人数据三类，分别设计授权运营、流通交易、权益保护规则。公共数据来自党政机关和公共企事业单位依法履职或提供公共服务的过程；企业数据来自市场主体的经营活动；个人数据承载个人信息。
维度二：按敏感程度与重要程度划分。 《数据安全法》第21条确立"核心数据—重要数据—一般数据"三级保护框架，这是数据安全维度最重要的分类（详见本模块4.2、4.3）。
维度三：按行业领域划分。 国家标准GB/T 43697-2024《数据安全技术 数据分类分级规则》（2024年3月发布，2024年10月1日实施）确立"先行业领域、再业务属性"的分类思路，将数据分为工业、电信、金融、能源、交通运输、自然资源、卫生健康、教育、科学数据等行业类别，再由各行业主管部门按业务属性细化。行业层面的规则如金融领域的《金融数据安全 数据安全分级指南》、工业和信息化领域的《工业和信息化领域数据安全管理办法（试行）》（2023年1月1日施行，同样采用一般数据、重要数据、核心数据三级体系）。
维度四：按处理方式与加工程度划分。 原始数据（直接收集、未经加工）、衍生数据（经统计、关联、挖掘、聚合、去标识化等加工活动产生）、数据产品（可挂牌交易的加工成果）。加工程度越深，处理者的劳动投入越多，其财产性权益主张越强；但对数据来源合法性的审查义务并不因此免除。
4.2 重要数据的识别与认定——《数据安全法》第21条详解
（一）条文拆解
《数据安全法》第21条包含三层制度安排：
- 分类分级保护制度： 国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、损毁、泄露或者非法获取、非法使用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护；
- 重要数据目录制度： 国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护；各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录；
- 核心数据特别制度： 关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据，实行更加严格的管理制度。
（二）重要数据的定义
GB/T 43697-2024给出的定义是：重要数据是指"特定领域、特定群体、特定区域或达到一定精度和规模的，一旦被泄露或篡改、损毁，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的数据"。请注意其中的排除规则：仅影响组织自身或公民个体的数据，一般不作为重要数据——重要数据保护的是"面"上的国家安全与公共利益，而非"点"上的个体权益。该标准附录还提出重要数据识别的17项考虑因素（如是否直接影响领土安全和国家统一、是否反映国家自然资源基础情况、是否支撑关键信息基础设施所在行业核心业务运行等），供各行业制定识别指南时参考。
（三）重要数据处理者的特别义务
| 义务 | 主要内容 | 法律依据 |
|---|---|---|
| 明确负责人与管理机构 | 明确数据安全负责人和管理机构，落实数据安全保护责任 | 《数据安全法》第27条第2款 |
| 定期风险评估 | 对数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告 | 《数据安全法》第30条 |
| 出境管制 | 重要数据出境须依法进行安全评估或审批 | 《数据安全法》第31条；《网络安全法》第37条 |
| 目录识别与申报 | 按行业主管部门要求识别、申报重要数据目录 | 《网络数据安全管理条例》及行业规定 |
（四）行业示例：汽车数据
《汽车数据安全管理若干规定（试行）》（2021年10月1日施行）率先在行业层面列举重要数据：军事禁区、国防科技工业单位、县级以上党政机关等重要敏感区域的地理信息、人员流量、车辆流量等数据；车辆流量、物流等反映经济运行情况的数据；汽车充电网的运行数据；包含人脸信息、车牌信息等的车外视频、图像数据；涉及个人信息主体超过10万人的个人信息；国家网信部门和国务院有关部门确定的其他重要数据。这一列举直接解释了智能网联汽车企业为何普遍将数据存储服务器设在境内，并对外向传输保持高度审慎。
4.3 核心数据：国家数据安全的"底线客体"
概念界定： 《数据安全法》第21条第3款将"关系国家安全、国民经济命脉、重要民生、重大公共利益等数据"界定为国家核心数据。GB/T 43697-2024进一步描述：核心数据是对领域、群体、区域具有较高覆盖度或达到较高精度、较大规模、一定深度的，一旦被非法使用或共享，可能直接影响政治安全的重要数据，主要包括关系国家安全重点领域的数据，关系国民经济命脉、重要民生、重大公共利益的数据，以及经国家有关部门评估确定的其他数据。
保护强度： 核心数据实行"更加严格的管理制度"，具体管理规则由国家另行规定。《数据安全法》第45条第2款设置了该法最严厉的行政处罚：违反国家核心数据管理制度，危害国家主权、安全和发展利益的，由有关主管部门处二百万元以上一千万元以下罚款，并根据情况责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照；构成犯罪的，依法追究刑事责任。
体系小结： 一般数据（常态保护）—重要数据（重点保护）—核心数据（最严格保护），构成我国数据安全保护的"金字塔"。对法科学生而言，掌握这一分级框架，是理解数据出境管制、数据本地化、行业数据监管等具体制度的总钥匙。
4.4 个人信息、敏感个人信息与匿名化信息——精细区分
数据客体分类的另一条主线围绕"人"展开。以下四类信息的区分直接决定法律适用：
| 类型 | 定义与法条 | 识别标准 | 核心处理规则 |
|---|---|---|---|
| 个人信息 | 以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息（《个人信息保护法》第4条） | 可识别性：单独或与其他信息结合可识别特定自然人 | "告知—同意"为基本框架，适用个保法全部规则 |
| 敏感个人信息 | 一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息（第28条），包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息 | 泄露或非法使用后危害后果的严重性 | 特定目的＋充分必要＋严格保护措施；单独同意（第29条）；事前影响评估（第55条）；告知处理的必要性与对个人权益的影响（第30条） |
| 去标识化信息 | 经处理，在不借助额外信息的情况下无法识别特定自然人（第73条第3项） | 需借助额外信息方可复原识别 | 仍是个人信息，但可作为降低风险的安全措施（第51条） |
| 匿名化信息 | 经处理无法识别特定自然人且不能复原（第73条第4项） | 技术上不可复原 | 不再是个人信息，不适用个保法，可依法自由流通利用 |
实务难点：匿名化的"复原可能"判断。 匿名化是个人信息保护与数据利用之间的"转换阀"，但绝对不可逆的匿名化在技术上很难实现——随着外部数据源的丰富，原本匿名的数据可能被"重识别"。因此学理与实务均主张按"合理可能的复原"标准作动态判断：处理者应采取技术与管理措施防止接收方重识别，并在数据提供协议中明确禁止复原尝试。去标识化与匿名化的边界若把握不当，"假匿名、真识别"将成为企业合规的隐形雷区。
模块五：数据法律关系的内容——权利义务的对应结构
5.1 数据权利与数据义务的"镜像"对应关系
法律关系的内容是权利与义务。在数据法律关系中，一方的权利往往就是另一方的义务，呈现严整的"镜像结构"：
| 个人信息主体的权利 | 数据处理者的对应义务 | 连接法条 |
|---|---|---|
| 知情权 | 处理前以显著方式、清晰易懂的语言真实、准确、完整地告知 | 第44条↔第17条 |
| 决定权 | 基于同意处理的须取得同意；不得强迫或变相强迫；尊重撤回同意 | 第44条↔第13—15条 |
| 查阅复制权 | 及时提供查阅、复制个人信息的服务 | 第45条第1款 |
| 更正补充权 | 发现信息不准确、不完整时及时核实并更正、补充 | 第46条 |
| 删除权 | 法定情形下主动删除；未删除的个人有权请求删除 | 第47条 |
| 可携带权 | 符合国家网信部门规定条件的，提供转移途径 | 第45条第3款 |
| 对自动化决策的权利 | 保证决策透明度和结果公平、公正；提供不针对个人特征的选项或便捷拒绝方式 | 第24条 |
| 要求解释说明权 | 对个人信息处理规则进行解释说明 | 第48条 |
两点注意： 其一，镜像关系并非一一对应——处理者的某些义务（如安全保障义务、影响评估义务、事件报告义务）并不对应某项具体的主观权利，而属于面向国家和社会的"客观法义务"；其二，权利行使有边界——《个人信息保护法》第50条要求处理者建立便捷的个人行使权利的申请受理和处理机制，但个人行使权利亦不得滥用（如超出合理频次反复申请查阅复制）。
5.2 数据处理全流程各环节的法律要求详解
《数据安全法》第3条第3款将"数据处理"界定为"数据的收集、存储、使用、加工、传输、提供、公开等"。以下按流程逐环节解析法律要求：
环节一：收集——"最小必要"是铁律。 收集个人信息应当限于实现处理目的的最小范围，不得过度收集（《个人信息保护法》第6条）；应当向个人明示收集的目的、方式和范围并经同意；《数据安全法》第32条要求任何组织、个人收集数据应当采取合法、正当的方式，不得窃取或者以其他非法方式获取数据。中央网信办、工业和信息化部、公安部、市场监管总局联合发布的《App违法违规收集使用个人信息行为认定方法》列举了未公开收集使用规则、未明示目的方式范围、未经同意收集使用、违反必要原则、未经同意向他人提供、不提供删除更正功能等六类违法情形。指导性案例265号进一步明确：收集并非服务必需的用户画像信息且不提供其他登录方式的，构成"非自愿同意"。
环节二：存储——"最短期限＋境内存储"双约束。 个人信息的保存期限应当为实现处理目的所必要的最短时间（第19条）；处理者应采取加密、去标识化等安全技术措施（第51条）；关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的处理者，应当将在境内收集和产生的个人信息存储在境内（第40条），确需出境的应当通过安全评估。
环节三：使用——目的限定与禁止"大数据杀熟"。 使用个人信息不得超出告知的处理目的与范围；通过自动化决策方式进行信息推送、商业营销，应当同时提供不针对其个人特征的选项或者便捷的拒绝方式；通过自动化决策方式对个人在交易价格等交易条件上实行不合理差别待遇的，为法律所禁止（第24条第1款，即"大数据杀熟"禁令）。
环节四：加工——受托加工的规则与衍生数据权益。 委托他人加工个人信息，适用第21条委托处理规则（约定、监督、返还删除、禁止擅自转委托）；加工形成的衍生数据，处理者可基于"谁投入、谁贡献、谁受益"原则主张财产性权益（指导性案例262号），但衍生数据承载原个人信息的，原权利人的各项权利不因此而消灭。
环节五：传输与提供——单独同意与跨境管制。 向其他个人信息处理者提供个人信息的，应向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得单独同意（第23条）；接收方变更原先的处理目的、处理方式的，应当重新取得个人同意。跨境提供须满足第38条路径之一（通过国家网信部门组织的安全评估、经专业机构认证、订立标准合同、符合条约协定安排），并履行告知与单独同意义务（第39条）；《促进和规范数据跨境流动规定》（2024年3月）对跨境购物、跨境寄递、跨境汇款、机票酒店预订、签证办理、紧急情况下保护自然人生命健康和财产安全等场景规定了豁免，并明确非关键信息基础设施运营者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）的，免予申报安全评估、订立标准合同、通过认证。
环节六：公开——原则上禁止。 个人信息处理者不得公开其处理的个人信息，取得个人单独同意的除外（第25条）。在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的（第26条）。政府信息公开涉及个人信息的，应当依法作区分处理，不得违法公开。
环节七：删除——权利的终点与义务的闭环。 出现处理目的已实现、无法实现或者为实现处理目的不再必要，处理者停止提供产品或者服务或者保存期限已届满，个人撤回同意，处理者违反法律、行政法规或者违反约定处理个人信息等情形的，处理者应当主动删除个人信息；处理者未删除的，个人有权请求删除（第47条）。法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，处理者应当停止除存储和采取必要安全保护措施之外的处理。删除环节是数据全生命周期合规的"最后一公里"，也是行政执法检查的重点事项。
模块六：数据权利配置的理论基础
6.1 为什么要为数据"确权"
（一）确权的必要性
新制度经济学的产权理论（Property Rights Theory）指出：清晰界定的产权是市场的前提。科斯定理（Coase Theorem）进一步说明，只要交易成本等于零，法定权利的初始配置并不影响效率；但在交易成本为正的现实中，产权不清将导致：
- 数据流通成本大幅上升（交易前须逐项谈判权属问题）
- 数据侵权难以追责（权属不清则损失难以认定）
- 数据资产难以入表和融资（权属不明则会计处理无据）
（二）确权的困境与"中国方案"
数据确权的最大难题在于：数据具有非排他性（同一数据可被多方同时合法持有）和可复制性（复制不损耗原数据）。若照搬传统物权法创设排他性的"数据所有权"，将导致：任何数据的流通都需要全部权利人同意，实际上会阻碍数据流通，与"促进数据开发利用"的立法目的背道而驰。
"数据二十条"给出的"中国方案"是：跳出"所有权"思维，建立"三权分置"——不追求绝对的、排他的所有权，而是根据数据的采集生成、融合利用、创新使用等不同场景，分别界定不同主体的权利。
6.2 理论依据一：洛克劳动财产论
英国哲学家洛克（John Locke）在《政府论》中提出：人对自己的人身享有所有权，通过将自己的劳动与自然物相结合，使该物脱离自然状态，便对该物享有财产权。
应用到数据领域： 数据处理者在采集、清洗、标注、分析数据的过程中投入了实质性劳动，这种劳动使原始数据获得了额外的经济价值，因此数据处理者对其投入劳动加工后的数据享有财产权。
局限性： 洛克的劳动财产论主要适用于"第一手劳动"（如农民耕作土地），但数据领域往往是多主体、多层次的劳动叠加——用户生成内容、平台提供技术服务、算法进行加工——如何量化各方劳动贡献是一个难题。
6.3 理论依据二：数据生产理论
部分学者提出"数据生产"理论（参考马克思主义政治经济学的"生产资料所有制"思想），认为数据的价值是由生产过程创造的，参与数据生产的主体（劳动者、数据企业）应对生产成果享有权益。
这一理论与"谁投入、谁贡献、谁受益"的分配原则高度一致。最高人民法院在指导性案例262号的裁判要旨中明确表述："按照'谁投入、谁贡献、谁受益'原则依法保护数据处理者权益，有助于推动数据要素收益向数据价值和使用价值创造者合理倾斜。"
6.4 理论依据三：数据添附确权论
这一理论来自民法中的"添附"制度——当不同所有人的物结合形成新物，或一方在他方之物上附加劳动，原所有权归属应根据添附规则确定。
核心主张（耿卓、李达，《数据添附确权论》）： 数据处理者在原始数据基础上通过实质性加工（清洗、标注、分析、建模等）形成新的数据产品，类似于民法中的"加工"行为。加工人对因加工而增值的数据产品享有权益，增值部分归属于加工人。
制度价值： 这一理论为"衍生数据"的产权归属提供了理论依据——衍生数据不是原始数据的简单复制，而是经过实质性劳动加工后的新成果，其产权应归属于付出劳动的数据处理者。
模块七：数据确权的实践路径——"三权分置"从政策走向制度
7.1 "数据二十条"：三权分置的顶层设计
2022年12月，《中共中央 国务院关于构建数据基础制度更好发挥数据要素作用的意见》（"数据二十条"）发布，在国际范围内首次提出数据产权"三权分置"的中国方案：
数据资源持有权： 权利人自行持有或委托他人代为持有合法获取的数据的权利。核心功能是防范他人非法窃取、篡改、泄露或破坏。
数据加工使用权： 权利人通过加工、聚合、分析等方式，将数据用于优化生产经营、提供社会服务、形成衍生数据等的权利。核心是在"不对外提供"的前提下进行内部使用。
数据产品经营权： 权利人通过转让、许可、出资或者设立担保等有偿或无偿的方式对外提供数据的权利。核心是将数据作为商品进行市场流通。
7.2 国家数据局《数据产权登记工作指引(试行)》——三权分置落地
发布时间： 2026年7月1日（国数综政策〔2026〕35号）
里程碑意义： 这是"数据二十条"发布近四年来，首次在国家层面系统建立数据产权登记的制度框架，标志着数据产权制度从"政策语言"正式走向"可执行的市场规则"。
核心制度要点：
（一）登记的五大效力
| 效力类型 | 具体内容 |
|---|---|
| 合规证明效力 | 登记过程本身是一次数据全生命周期的合规论证，获得登记凭证相当于获得"合规证书" |
| 确权公示效力 | 登记凭证记载持有权、使用权、经营权的具体归属，是"三权分置"从政策语言转化为可识别、可对抗第三人的权利载体 |
| 合法流通效力 | 凭证表明数据产权人可以通过转让、许可、出资或设立担保等方式对外提供数据 |
| 资产确认效力 | 凭证在"数据资产入表、融资担保、作价入股"三大场景中作为合法拥有或控制数据的证明 |
| 权利主张效力 | 在数据相关的合同纠纷、侵权纠纷、不正当竞争纠纷中，登记凭证可作为数据权益归属认定的证据 |
（二）登记流程：七步闭环
申请→受理→审查→公示→异议处理→信息存证→凭证核发
三重审查标准：
- 数据描述准确性审查： 数据名称、规模、类型、更新周期、应用场景等信息真实可验
- 数据来源合规性审查： 针对自行采集、协议取得、公开收集、衍生创造等不同来源分别核验
- 数据产权明确性审查： 围绕持有权、使用权、经营权"三权分置"框架，界定不同情形下的权利主体和权利类型
（三）不予登记的六种情形
- 数据登记可能危害国家安全、公共利益或个人、组织合法权益
- 数据来源违反法律法规规定
- 存在尚未解决的数据权属纠纷
- 登记申请人隐瞒真实情况或提供虚假证明
- 法律法规规定不予登记的其他情形
7.3 三类特殊数据的登记规则
| 数据类型 | 登记规则 |
|---|---|
| 党政机关履职过程中收集的数据 | 不登记（不进行数据产权登记） |
| 公共数据授权运营后形成的公共数据产品和服务 | 须先在公共数据资源登记平台完成登记后，方可进行数据产权登记 |
| 供水、供气、供热、供电、公共交通等公用企业的公共服务数据 | 可进行数据产权登记（另有规定除外） |
模块八：个人信息与非个人信息的划分
8.1 区分的法律意义
《个人信息保护法》第4条规定："个人信息的处理"适用本法；非个人信息不适用本法。这一区分直接决定了：
- 法律适用： 个人信息适用《个人信息保护法》的全部规则；非个人信息主要适用《数据安全法》
- 同意要求： 处理个人信息须取得同意（法定免责情形除外）；处理非个人信息通常无需取得同意
- 跨境传输： 个人信息的跨境传输须满足第38-43条的严格要求；非个人信息的跨境规则相对宽松
- 保护强度： 个人信息的保护标准显著高于非个人信息
8.2 个人信息的识别标准
可识别性标准： 《个人信息保护法》第4条明确："个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。"
关键要素：
- "已识别"——直接对应到特定自然人（如姓名+身份证号）
- "可识别"——虽未直接对应，但通过与其他信息结合可对应（如手机号+位置信息）
- "匿名化"——处理后无法识别特定自然人，且复原极为困难（这是个人信息保护与数据利用的关键边界）
敏感个人信息的特别规则： 《个人信息保护法》第28条将"敏感个人信息"界定为"一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息"，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及未满十四周岁未成年人的信息。处理敏感个人信息须取得"单独同意"，且须进行个人信息保护影响评估。
【与模块四的衔接】 本模块解决"是不是个人信息"的定性问题；模块四第4.4节进一步解决"是什么程度的个人信息"的分级问题。二者结合，构成数据客体识别的完整方法论：先以可识别性标准定性（本模块），再判断敏感性、去标识化与匿名化程度（模块四）。
模块九：典型案例深度剖析——数据法律关系的立体透视
以下四个案例分别从民事裁判、指导性案例、行政执法、刑事黑产四个维度，呈现数据法律关系的认定逻辑。全部案例均可通过中国裁判文书网、最高人民法院公报及权威媒体报道查证。
案例一：全国首例AI生成声音人格权侵权案——一条声音上的五方主体
基本信息： 北京互联网法院（2023）京0491民初12142号民事判决，2024年4月23日一审宣判，各方均未上诉，判决已生效。
案情： 配音师殷某发现，多款知名App上流传的AI配音与自己的声音高度一致。溯源发现一条隐秘的产业链：殷某曾接受北京某文化传媒公司委托录制录音制品，该公司为录音制品的著作权人；该公司将录音制品音频提供给某软件公司，允许其以商业或非商业用途使用、复制、修改数据；软件公司仅以该录音制品为素材进行AI化处理，生成文本转语音产品，在上海某网络科技公司运营的云服务平台对外出售；北京某智能科技公司经北京某科技发展公司下单采购后，以API接口形式在其运营的平台中调用该产品。殷某诉请五被告停止侵权、赔礼道歉并赔偿损失。
裁判要旨：
- 声音权益及于AI生成声音。 依据《民法典》第1023条第2款，自然人声音参照肖像权保护；利用人工智能合成的声音，如果能使一般社会公众或者相关领域的公众根据其音色、语调和发音风格关联到该自然人，即具有可识别性，落入声音权益的保护范围。
- 录音制品著作权≠声音AI化授权。 文化传媒公司对录音制品享有著作权等权利，但不包括授权他人对声音进行AI化使用的权利；未经本人知情同意，所谓"数据授权"无合法权利来源。
- 责任按过错分配。 文化传媒公司与软件公司未经许可AI化使用声音，构成侵权，连带赔偿经济损失25万元；智能科技公司与软件公司向原告书面赔礼道歉；云平台提供方、采购方主观上无过错，已尽合理注意义务，不承担赔偿责任。
本讲视角： 本案是"主体—客体—内容"三要素分析的绝佳样本：同一条声音数据上，同时存在人格利益主体（配音师）、著作权人（录音制作者）、AI加工者（软件公司）、平台服务商与采购方五类主体；客体兼具人格利益与数据双重属性；法院的裁判逻辑正是先确定客体属性（可识别的声音→人格权益），再梳理各主体之间授权链条的断裂点（著作权授权不能覆盖人格权益授权），最终按过错分配责任。
案例二：指导性案例265号——"非自愿同意"的司法认定
基本信息： 最高人民法院指导性案例265号，罗某诉某科技有限公司隐私权、个人信息保护纠纷案，2025年8月28日发布。
案情： 某科技公司运营某英语学习网站及两款App。2021年1月，其在未征得罗某同意的情况下，通过线下合作体验店收集罗某两个手机号码，为罗某创建网站账号密码，并向其手机发送多条信息。罗某登录时，界面强制要求填写"职业""学习目的""学龄阶段""英语水平"等用户画像信息，不填写则无法继续登录，且全程无"跳过""拒绝"选项，亦无授权同意收集个人信息的提示。罗某以隐私权、个人信息保护纠纷为由提起诉讼。
裁判要点：
- 判断处理个人信息是否属于"为订立、履行个人作为一方当事人的合同所必需"，可以结合有关法律法规及规章、规范性文件等对必要个人信息范围的规定，并考量合同的类型、内容等作出认定；如果不处理有关信息将使合同约定的基本功能服务或者用户自主选择的附加功能服务无法实现的，可以认定属于订立、履行合同所必需，反之则不予认定。
- 在收集用户画像信息并非提供网络服务所必需的情况下，网站或者软件登录注册界面收集该信息时，未向用户提供不同意提交相关信息情况下的其他登录方式的，属于用户非自愿同意提供个人信息；用户主张侵害其个人信息权益的，人民法院依法予以支持。
对比学习： 同批发布的指导性案例266号（黄某欢诉某信用管理有限公司个人信息保护纠纷案）从反面划界："先享后付"功能以开通信用服务为必要条件，信用服务商收集反映用户个人信用或者风险状况的个人信息，属于"为订立、履行个人作为一方当事人的合同所必需"；服务商以对个人权益影响最小的方式收集有关信用信息且已尽到告知义务的，用户主张侵权的，人民法院不予支持。两案一正一反，共同细化了《个人信息保护法》第13条第1款第2项的认定标准。
本讲视角： 本案直接回应导入案例一的提问——形式上点击了"同意"，不等于法律上存在有效同意。同意的有效性取决于：是否充分告知、是否真正自愿、是否确属必要。这正是个人信息主体"决定权"作为权利基石的司法注脚。
案例三：上海"亮剑浦江"专项行动——停车缴费"纯净码"的行政执法样本
基本情况： 2023年以来，上海市委网信办、市市场监管局持续开展"亮剑浦江"消费领域个人信息权益保护专项执法行动，针对扫码停车缴费场景强制关注公众号、加入会员、注册登录等侵害消费者个人信息权益的乱象进行集中整治。2024年3月，全市16个区已有462家设立停车场的商场推出"纯净版"停车缴费码；至2024年4月底，全市3704家公共停车场全面推出停车缴费"纯净码"，覆盖主要商场、宾馆、医院、公园、景区等场所。消费者扫"纯净码"后，只需"输入车牌号、点击缴费"两步，全程约10秒即可离场。上海市消费者权益保护委员会同步发布《上海市商场停车场扫码缴费服务合规指引》，明确运营企业须提供"纯净版"缴费码，若以优惠、积分等名义张贴会员码或公众号二维码，必须有充分提示并仅收集相关服务所必需的个人信息。
执法逻辑： 监管部门认定，停车场运营者强制、诱导消费者关注公众号或注册会员才能支付停车费，属于过度收集消费者个人信息，违反《个人信息保护法》第6条的最小必要原则。执法手段呈现"组合拳"特征：现场执法、约谈指导、行政处罚、媒体曝光、行业合规指引、企业自查整改、各区交叉核验多措并举。
本讲视角： 本案是导入案例一的现实回应，展示了行政监管作为数据法律关系"第四种力量"的运行方式：与民事诉讼的事后个案救济不同，行政专项执法可以一次性重塑整个行业的收集规则。它同时提示我们：数据法律关系中的监管主体不只是处罚者，也是合规标准的供给者（合规指引）与行业整改的组织者。
案例四：2025年央视3·15晚会曝光"精准获客"黑产——数据黑产的立体责任
基本情况： 2025年中央广播电视总台3·15晚会曝光了窃取个人信息的"信息黑洞"产业链：云企智能科技有限公司的"云客引流"软件可将商家设定的关键词作为标签，自动扫描短视频平台评论区，在用户和平台不知情的情况下强行抓取用户的电话、微信账号等联系方式，并可监控偷取同行直播带货数据；绿信科技有限公司的"点点蚁"软件同样利用爬虫技术，不到1分钟即可抓取6个客户信息；企腾网络技术有限公司的"火眼云"软件宣称拥有20亿条精准人群画像，可偷取企业公众号关注用户、微信群成员乃至阅读、转发过文章用户的手机号码，其数据已售予多家知名企业；智优擎网络科技有限公司宣称在地图上"画个圈"即可调出某区域130万条预留信息；启科科技有限公司则号称接入电信运营商"三网大数据"，通过客户管理平台实时筛选用户，个人标签达3800项，每日处理数据量达100亿条。晚会播出后，多地监管部门连夜部署查处涉事企业。
法律定性分析：
- 民事层面： 非法抓取、买卖个人信息，侵害个人信息权益与隐私权（《民法典》第111条、第1032条），被侵权人有权主张停止侵害、赔偿损失；
- 行政层面： 违反《个人信息保护法》第10条（任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖个人信息）与《数据安全法》第32条，可依据《个人信息保护法》第66条处以警告、没收违法所得、罚款，情节严重的可责令暂停相关业务、停业整顿、吊销许可证件；
- 刑事层面： 违反国家有关规定，非法获取、出售或者提供公民个人信息，情节严重的，构成侵犯公民个人信息罪（《刑法》第253条之一）；依照司法解释，非法获取、出售行踪轨迹信息、通信内容、征信信息、财产信息五十条以上，或者其他可能影响人身、财产安全的公民个人信息五百条以上，或者一般个人信息五千条以上的，即达到入罪标准。
本讲视角： 黑产链条中的每一环——采集端（爬虫软件商）、加工端（画像标注）、交易端（数据贩卖）、使用端（购买数据的企业）——都对应着独立而衔接的法律责任。请特别注意购买方：明知或应知数据来源非法仍购买使用的，同样可能构成犯罪或承担侵权责任。这正是数据商"来源合规审查义务"（模块二2.6节）的反面教材，也解释了数据交易所"不合规、不挂牌"原则存在的意义。
互动习题模块
一、判断题（正确打✓，错误打✗）
- 数据处理者对其合法采集的数据享有"数据所有权"，可以任意处置。（ ）
- 在公开群聊中发布的价格信息，他人不得采集使用，否则构成侵权。（ ）
- "数据二十条"确立的三权分置框架中，持有权、使用权、经营权可以同时由不同的主体分别享有。（ ）
- 根据《数据产权登记工作指引(试行)》，登记机构审查的重点包括数据描述准确性、数据来源合规性和数据产权明确性三个方面。（ ）
- 党政机关在依法履行职责过程中收集和产生的数据，须进行数据产权登记。（ ）
- 最高人民法院指导性案例262号认定，平台对用户上传的单个视频内容享有著作权。（ ）
- 个人信息主体有权要求数据处理者删除其个人信息，但在法定情形下（如法律要求保留）数据处理者可以拒绝。（ ）
- 仅影响组织自身或公民个体的数据，一般不作为重要数据。（ ）
- 受托处理个人信息的第三方超出约定范围自行决定处理目的的，仍按受托人确定其法律责任。（ ）
- 经匿名化处理的信息不再属于个人信息，处理者可以依法自由流通利用。（ ）
二、选择题（单选）
题目一： 某互联网公司开发了一款运动健身App，用户在使用时需要提供手机号、年龄、身体质量指数（BMI）等信息，并同意公司将这些数据用于"个性化健身计划推荐"和"第三方健康产品推广"。该公司将部分用户数据共享给了其关联的一家健康产品电商公司，用于精准广告投放。根据《个人信息保护法》，以下说法正确的是：
A. 该公司只需要在用户注册时弹出一个"我已阅读并同意隐私政策"的按钮，即可合法共享数据给广告公司
B. 将数据共享给关联公司用于广告投放，属于超出原始处理目的的"二次利用"，须重新取得用户的单独同意
C. 只要用户签署了健身服务合同，公司就可以无需同意直接共享用户的健康数据给任何第三方
D. 公司作为数据处理者，对其合法采集的用户数据享有类似所有权的完整支配权
题目二： 甲银行将其掌握的客户交易数据委托乙科技公司进行风控模型训练，乙公司在训练中擅自将部分数据用于训练自己的通用营销模型。关于乙公司行为的法律定性，下列说法正确的是：
A. 乙公司只是受托人，其一切行为均由甲银行承担责任
B. 乙公司超出委托范围自行决定处理目的，就该部分处理活动转化为数据处理者，独立承担相应义务与责任
C. 乙公司的行为仅需承担合同违约责任，不涉及行政或侵权责任
D. 只要模型最终服务于甲银行的风控业务，乙公司的行为即属合法
三、延伸思考题
题目一： 某电商平台通过爬虫技术采集了大量其他平台公开的商品价格信息和用户评价数据，开发了一款比价App并对外收费提供服务。原平台起诉比价App抓取其数据，要求停止服务并赔偿损失。请运用指导性案例264号的精神，分析：
（1）原平台对公开数据是否享有禁止他人采集的权益？
（2）比价App的行为是否构成不正当竞争？
（3）这一案例对企业的数据合规策略有什么启示？
题目二： 试述"数据二十条"确立的"三权分置"框架与国家数据局2026年《数据产权登记工作指引》之间的关系，并分析登记制度对数据要素市场化配置改革的意义。
题目三： 甲公司是一家大型连锁零售集团，运营会员App收集消费者购物数据。甲公司拟将会员数据：（1）共享给集团内的电商子公司用于交叉营销；（2）委托乙科技公司进行用户画像分析；（3）与丙银行共同推出联名会员卡并共享消费数据。请分别分析三种安排下各主体的法律角色（处理者、受托人、共同处理者），并说明每种安排依法需要履行的程序。
题目四： 周汉华教授认为"数据确权没有实际意义"，只会导致"反公地悲剧"；王利明教授则系统论证了"数据何以确权"。请结合本讲学过的六种学说，谈谈你对"数据是否需要确权"这一问题的看法，并评价"数据二十条"的三权分置方案是否以及在多大程度上回应了行为规制说的批评。
题目五： 某智慧城市项目中，市大数据中心将公交刷卡数据、共享单车骑行数据授权某国有企业运营，该企业加工形成"城市交通热力分析产品"后在数据交易所挂牌出售。请分析：（1）其中涉及的公共数据、个人信息、衍生数据各适用什么规则？（2）若分析产品能够间接识别特定个人的出行轨迹，其法律性质会发生什么变化？（3）数据交易所对该产品挂牌的合规审查义务应覆盖哪些内容？
政策追踪与前沿动态
【2026年7月最新】国家数据局发布《数据产权登记工作指引(试行)》
这是继2022年"数据二十条"之后，数据产权领域的里程碑式政策文件。指引共6章42条，系统回答了数据产权登记"谁来登、登什么、怎么登、登了有什么用"四个核心问题，为全国数据产权登记工作提供了统一指导。
【2025年8月最高法发布首批数据权益指导性案例】
最高人民法院发布第47批指导性案例（262-267号），涵盖数据权属认定、数据产品利用、个人信息保护、网络平台账号交付等四大领域。这是最高法首次发布数据权益司法保护专题指导性案例，标志着我国数据权益司法保护进入体系化新阶段。
【2026年1月国家数据局数据产权登记座谈会】
国家数据局党组书记、局长刘烈宏主持召开数据产权登记座谈会，邀请北京互联网法院院长姜颖、北京大学常鹏翱教授等专家学者，就数据产权登记的法律效力、审查标准、凭证应用等关键问题进行研讨，为后续制度完善奠定理论基础。
【2024年9月《网络数据安全管理条例》公布】
国务院公布《网络数据安全管理条例》（自2025年1月1日施行），系统整合网络安全、数据安全、个人信息保护三部法律的实施规则，明确网络数据处理者的义务体系、重要数据的认定与目录管理、数据出境安全管理制度，是数据安全领域首部综合性行政法规。
【2024年国家标准GB/T 43697-2024实施】
《数据安全技术 数据分类分级规则》于2024年3月发布、2024年10月1日实施，首次以国家标准形式给出核心数据、重要数据、一般数据的定义与识别方法，并附重要数据识别的17项考虑因素，为各行业制定数据分类分级规范与重要数据目录提供统一方法论。
【2025年6月《反不正当竞争法》第二次修订增设数据条款】
2025年6月27日修订通过、2025年10月15日施行的新《反不正当竞争法》在第13条第3款明确规定：经营者不得以欺诈、胁迫、避开或者破坏技术管理措施等不正当方式，获取、使用其他经营者合法持有的数据，损害其他经营者的合法权益，扰乱市场竞争秩序。数据权益保护从兜底条款（第2条）走向专门条款。
【2025年《个人信息保护合规审计管理办法》施行】
国家网信办发布《个人信息保护合规审计管理办法》，自2025年5月1日施行，明确处理超过1000万人个人信息的个人信息处理者应当每两年至少开展一次合规审计，个人信息保护进入"强制审计"时代。
参考文献与延伸阅读
- 申卫星：《论数据来源者与数据处理者的权利义务关系》，《清华法学》2024年。
- 王利明：《数据何以确权》，《法学研究》2023年第4期。
- 张新宝：《产权结构性分置下的数据权利配置》，国家数据局官网2026年权威解读。
- 陈星：《数字时代数据产权的理论证成与权利构造》，《法商研究》2023年第6期。
- 程啸：《论数据产权登记》，《法学评论》2023年第4期。
- 冯晓青：《数据产权的法律构造论》，《政法论丛》2024年第1期。
- 耿卓、李达：《数据产权分置的权利解释与法律表达》，2024年。
- 申卫星：《数据确权之辩》，《中国法学》2023年。
- 姚佳：《数据利用的合法性来源与数据产品的权利归属——兼评最高法指导性案例264号》，《法律适用》2026年第4期。
- 周汉华：《数据确权的误区》，《法学研究》2023年第2期。
- 丁晓东：《数据公平利用的法理反思与制度重构》，《法学研究》2023年第2期。
- 梅夏英：《数据的法律属性及其民法定位》，《中国法学》2016年第1期。
- 纪海龙：《数据的私法定位与保护》，《法学研究》2018年第6期。
- 王锡锌：《个人信息国家保护义务及展开》，《中国法学》2021年第1期。
- 高富平：《个人信息保护：从个人控制到社会控制》，《法学研究》2018年第3期。
教师备注： 本讲内容涉及大量理论学说和前沿政策，建议教师在讲授时注意：（1）引导学生理解"为什么数据确权很难"，而非简单记忆结论；（2）结合指导性案例讲透司法实践逻辑，让抽象理论落地；（3）结合企业合规实务，讲解三权分置和登记制度对商业实践的影响；（4）提醒学生关注政策动态，数据法领域立法更新极快，课堂知识需要持续"保鲜"。（5）扩展版新增模块四（分类分级）、模块五（法律关系内容）、模块九（典型案例）建议作为课堂讨论重点，所引案例均经权威来源核验，可指导学生通过中国裁判文书网、最高人民法院公报及监管部门通报查阅原文；（6）讲授学说争鸣时避免给出"标准答案"，可组织学生在确权说与行为规制说之间开展课堂辩论，训练论证能力。