论可交易数据的限定

2022.07.09

苏成慧

摘要：大数据背景下，数据生产者与数据控制者相分离，且数据被不同社会主体交叉持有成为一种常态。这种常态使得在以数据交易平台为核心的数据交易模式下，对可交易数据的认定有必要区分不同交易主体持有数据之不同类型。就数据主体持有的自生数据而言，企业对其持有的自生数据可交易的基础在于企业自生数据的财产属性：个人数据的人格属性决定个人对其自生数据交易受限：公共数据的公共属性决定公共组织对其自生数据的不可交易性。就非自生数据而言，企业对其控制的非自生数据可交易的前提在于合法持有;公共组织持有的非自生数据因受其主体地位性质的限制，对其持有的非自生数据不可交易。此外，应以不同数据类型的敏感性判断数据可交易的具体范围。个人敏感数据应以“损害后果、一般隐私期待”为判断标准的静态列举模式结合以“损害后果、一般隐私期待、使用目的”为标准的动态场景模式予以认定;企业、公共组织敏感数据的认定以是否“公开”为标准。

关键词：数据交易;交易准入;个人数据;敏感数據

中图分类号：DF920.0

文献标志码：A

一、引言

数据作为一种生产要素，其价值实现的前提在于流通。在市场的自发作用下，数据的资源性价值引发数据交易。目前国内已成立多家专门为数据交易提供服务的数据交易平台，为数据的流通、融合提供基础，为推动大数据促进社会发展创造条件。数据已然成为一种新的交易客体，而目前学界关于数据的法律性质和权属界定尚未达成共识，既有法规范亦未予以明确。就交易实践而言，相较于数据的法律属性及权利认定的问题，数据交易者们似乎更关注和期待法律明确告知“哪些数据可以交易？”

关于“哪些数据可以交易”的问题，目前我国尚未有法律明确规定可交易的数据范围，但已具备诸多关于数据流通的规范。由于产生数据主体的广泛性、数据流通环节的多样性、数据应用场域的多元化，数据流通中存在着多元利益冲突。这些利益冲突的核心在于如何化解个人数据保护与利用数据推动社会发展之间的矛盾。因此，目前关于数据流通的规范集中体现于保护个人数据的法律规范，比如《民法典》（第111条及第四编第六章）、《网络安全法》、《刑法》（第253之一）等法律，《互联网个人信息安全保护指南》《儿童个人信息网络保护规定》等部门规章，《互联网企业个人信息保护测评标准》等团体性规定，《信息安全技术个人信息安全规范》（GB/T 35273-2020）、《信息安全技术个人信息去标识化指南》（GB/T 37964-2019）、《个人基本信息分类与代码》等一系列的国家标准。这些规范对数据有序流通起到一定程度的保障作用，但实践中仍然有诸多数据泄漏的重大事件发生。

并且，流通并不等于交易。数据交易仅是数据流通的一种形式，数据流通的范围远大于数据交易。有些数据能够流通，但却不能用于交易。比如，政府数据共享属于政府数据流通的范畴，但是政府数据共享并不完全等同于政府数据流通。政府数据共享存在于政府部门之间，政府数据开放存在于政府部门与政府之外的其他社会主体之间。只能在政府部门之间流通（共享）的数据，不能用于交易。因此，有必要结合当前数据交易实践，探讨可交易数据的范围，破除数据交易的法律障碍，推动数据产业发展，进而推动以数据为核心生产要素的人工智能产业的发展。

由于社会主体掌握技术的客观差异，导致产生数据的主体并不一定持有数据。以数据为核心的要素市场存在着数据生产者与数据持有者相分离、数据被不同主体之间交叉持有的状态。正是基于这种客观样态，对可交易数据范围的确定需根据数据卖方的主体法律性质，并区分数据卖方持有的数据是否为其自主产生的数据予以分类考量。需要说明的是，本文言及“数据交易”是以数据交易平台为核心的数据交易模式为语境，而并非当前已为法律明确禁止的“暗网”交易、“黑色产业链”交易等非法交易信息的行为;本文所言“自生数据”概念，即社会主体自主产生的数据;“非自生数据”概念，系社会主体持有的并非其自主产生而是其他社会主体产生）的数据。本文通过下述关于可交易数据限定的分析框架之论述，以期能为当前数据交易监管者提供一个可行的交易准入审查机制。

二、自生数据可交易的限定

数字经济背景下，每一社会主体都无时无刻不在产生数据。虽然原始数据的数据生产者与数据控制者相分离是常态，但实践中也不乏数据生产者自主持有其产生的原始数据之情形。那么，数据生产者对其持有的自主产生的原始数据是否可依据“自主支配”的理念进行交易？这是探讨可交易数据范围应予考量的类型之一。

（一）企业持有其自生数据的可交易性

所谓企业自生数据，是指企业从事生产经营活动过程中产生的与自身业务相关的数据，或者以合法方式取得并经过处理后不具备其他数据主体属性的数据。包括两种类型：一是伴随企业生产经营活动而产生的记录企业自身业务状态的数据。比如，企业的销售数据、财务数据等。二是在非基于委托处理的情况下，企业以合法方式取得并经过处理后不具备其他数据主体属性的数据。比如，专门从事以数据开发、存储、分析、挖掘为核心业务的数据运营商、数据中间商、数据经纪人等数据从业者，在非基于其他主体委托处理数据的情况下，通过合法收集而持有大量数据，对这些数据进行脱敏处理且生成不可逆的衍生数据，属于其自生数据的范畴。需要注意的是，企业在生产经营过程中（尤其是销售或服务阶段）收集的大量与个人、其他社会主体相关的原始数据，这些数据虽然被企业持有，但因其具有个人或其他数据的法律性质，其并不属于企业自生数据，而仍然是个人或其他主体自生数据。

证成企业自生数据可交易的基础，在于论证企业自生数据的财产化属性。“财产是一个动态与开放的范畴”，财产的法理论体系应具备包容性和开放性。从财产形态变迁和扩张的过程来看，企业自生数据应纳入无形财产的范畴。所谓无形财产，即虽不具备物理特征的形体，但具有财产意义的一切现实存在，是相对于有体物而言的。将企业自生数据认定为无形财产的理由在于：其一，数据的客观物理属性决定其存在样态的无形性。数据作为信息的载体，以0和1作为基本单位、二进制为基本结构的代码来表现，通过数据编译程序、互联网的共同作用实现其在计算机中的流通。数据并不能被人们直接感知和控制，这一客观自然属性决定了无法将其纳入有形物的范畴。其二，当前数据交易实践表明数据具有较大的经济价值，这是其作为无形财产所应具备的有用性之体现。数据只有流通才能发挥更大价值，在区分有体物和无体物的二元财产结构下，数据虽不能纳入有体物的范畴，但是数据的无体性并不妨碍其作为财产在法定条件下的可流转性。

具体而言，个人数据具有的人格属性决定了个人数据流通（尤其是交易）的受限性。这种限制主要表现为两个方面：一是人格的非可转让性决定个人数据交易的受限性。其逻辑在于：个人数据因人而生，是自然人人格在网络空间中的彰显，人格权是人作为道德主体的本质要求，具有较为强烈的伦理性。“人作为法权的主体，是他自己的主人，但不是他自己的所有者。”人不可像支配财产一样随意的处分自己，否则将导致人之非人。囿于主体处分自己人格要素的伦理限制，具有人格属性的个人数据亦不可转让。二是个人数据的敏感程度难以严格界分导致个人数据可流通的范围难以明确。由于个人数据的种类纷繁复杂，同一数据在不同的分类标准、应用场景、存在领域下，按照“识别性”标准能被识别为个人的情况不同，且不同种类的数据所彰显的个人人格尊严的程度有所差异，故对个人数据可开放的范围难以把握。正如有研究者认为，“人类对现代信息技术的依赖性及个人信息对技术发挥作用的基础性之间的互惠关系让人们决定要对什么进行保密变得异常困难。”因此，对个人数据的法律保护应根据个人数据的不同类型进行差异化考量。即便个人持有的是其自主产生的数据，对其中的敏感数据也应禁止交易。严格脱敏且不可逆是个人数据进入交易的前提和基础，同时应要求个人对其交易的个人数据出具个人数据安全风险评估报告，确保数据交易的安全性。

综上，数字经济社会的到来使得人格在经济上的表现被纳入广义财产之范畴。个人数据之上承载的财产性价值成为个人对其自生数据可交易的理论基础，而个人数据所固有的人格属性则成为个人对其自生数据交易的理论障碍。对个人数据交易进行合理市场转让限制的制度安排，是解决其作为人格性财产无法彻底财产化却又存在着超越传统人格权保护的财产性特质范畴之矛盾的必然举措。

（三）公共组织持有其自生数据的非可交易性

所谓公共组织自生数据，即各级行政机关以及履行公共管理和服务职能的企事业单位在依法履行社会管理和提供公共服务的过程中，伴随管理或服务职能而产生，或者以合法方式取得并经过处理后不具备其他数据主体属性的数据。公共组织自生数据主要包括两种：一是公共组织因履行公共服务和管理职能收集、持有，或基于社会管理和服务产生的不具备其他数据主体属性的数据。比如，政府部门掌握的涉及国土资源、能源、地理测绘、气象、水文等方面的数据，作为历史遗产、历史资料等属于因履行公共服务职能收集、持有的数据，以及对政务行为效果的记录数据等。二是公共组织收集的具有其他社会主体属性，但经过脱敏处理且不可逆的数据。这类数据因经过脱敏处理，在性质上已不具备其他社会主体属性，因而可将其纳入公共组织自生数据的范畴。

就现实层面而言，公共组织自生数据的开放具有现实必要性。随着数字经济社会的不断发展，各行各业对数据的需求不断增高。公共组织自生数据对其自身、企业、科研工作者、社会大众及其他机构人员均具有现实需求性。比如，政府部门对其自生数据的合理利用能够提高社会治理中公共决策的准确性、效率性和价值性;于科研工作者而言，公共组织自生数据是从事科学研究的主要实证素材;对企业来说，大数据已成为重要的生产要素，公共组织自生数据相较于其他数据资源更具真实性、完整性和准确性，对其充分挖掘和利用能够释放较大的商业价值;对于社会大众而言，在当前手机网民数量不断上升的趋势下，公共组织掌握的关于交通、天气、教育、金融等数据能够更广泛地惠及到每一社会个体。因此，公共组织自生数据开放对于现代社会发展具有广泛的社会现实需求性。

就理论层面来说，可流通的公共组织自生数据具有公共性，基于公共利益最大化之考量，应当免费开放，而非以交易形式开放。首先，公共利益是公共组织享有公共权力来源的正当性基础，公共组织自生数据流通和使用的目的在于实现公共利益最大化。由于公共组织承担着保障社会有序发展、促进社会公共利益实现的职能，这一职能的实现能够增进每一社会个体的福利。而公共组织自生数据的产生系基于其提供公共服務的行为，受其公共服务主体性质的限制，其自身数据的应用应满足于与服务公共利益之目的。其次，以自利为核心的市场主体的效用最大化追求与公共组织提供公共服务的自觉性相悖，决定了公共组织对其持有的自生数据无法进入交易领域。就政府部门而言，在国家治理现代化的背景下，“促进社会公平正义、实现社会公共利益最大化”的善治理念是政府履行职能的基本追求。基于此，政府承担着数据交易市场监管者的角色。若允许其作为数据交易市场的主体，则容易产生角色冲突。就履行公共管理和服务职能的企事业单位而言，在交易行为的利益诱导下，同样会导致其所提供公共服务的质效受损的风险。因此，公共组织在履职过程中自主产生的数据，因其本身的社会公共服务职能属性决定公共组织对其持有的自生数据不可直接进入交易领域，否则公共组织将成为数据交易市场最大的垄断主体，消弭数据交易市场的竞争性。

三、非自生数据可交易的限定

数据交易实践中，数据卖方持有的数据往往并非其自主产生的数据，而是大量带有其他数据主体属性的源数据。那么，对于数据控制者持有的具备其他数据主体属性的数据是否可以交易？是当前困扰数据交易实践发展最为迫切的问题。若允许其进入交易市场，其可交易的基础是什么？这是当前困扰法学界为数据交易寻求理论支撑的最大难题。

（一）企业持有的非自生数据交易之受限性

企业持有的非自生数据，即企业持有的具备其他数据主体属性的数据，包括个人数据、政府及其他社会主体产生的数据。企业可以“爬虫”的方式于网站公开获取，亦可以合约的方式获取这些数据。由于政府及其他社会组织的自生数据不涉及数据主体人格属性问题，企业持有这类数据是否可交易可依法通过双方协议进行自主约定。因此，本部分主要阐述企业对其持有的个人数据可否交易的问题。

首先，企业持有的个人数据具备可交易性。理由在于：一是基于现实主义之考量，企业将其持有的个人数据用于交易具备现实迫切性。以人类行为为基础而产生的数据已成为支撑现代数字社会运转的核心生产要素，企业则是推动数据潜能发挥的最直接社会主体，亦是推动数字社会经济发展的中坚力量。在当前国内逐渐兴起的以数据交易平台为核心的数据交易模式下，数据控制者对其掌握的实时数据（其中则包括大量个人数据）以交易方式进行共享存在着迫切需求。并且，就数字经济社会发展而言，数据共享的范围越大、程度越高，越有助于新兴的大数据产业发展，并助推大数据推动传统产业发展。二是从利益衡量的角度而言，保障个人利益的同时应注重社会利益的平衡。当前限制企业对其持有的个人数据进行交易的最大理论障碍在于个人数据的人格属性。有学者认为，对个人利益的保护系基于人权之考虑，而保障数据产业利益系基于实用主义之考量，且个人利益有着更高的利益位阶。但在保障处于高位阶的个人利益的同时，应防止堕入无节制的个体主义，否则最终势必导致社会的整体失序，进而影响每一社会个体的利益实现。因此，对企业持有的个人数据允许交易有助于推动数字社会整体利益的实现。三是人之固有社会属性亦决定个人数据被个人以外的主体合理使用具备正当性。人是社会性的动物，脱离社会人将不能被称之为真正意义上的人。自人类文明发展以来，个人信息被合理使用已然成为支撑个体人际交往的有效方式。而在人类逐渐迈入数字社会的过程中，原本以语言交流为载体的个人信息转变为以数据传输为载体，并显现出较大经济价值的个人数据。这种形式上的转变，并未从实质上改变个人数据本身具有的社会属性，反而越发增强这一属性。由于个人数据经济价值的显现并非体现在单一的个人数据之上，而体现于实时产生的数据流，并且企业较之于个人对数据流的控制和使用更具备技术优势，故允许企业对其持有的个人数据进行合法交易更有助于个人数据之社会属性效用的发挥。

其次，企业对其持有的个人数据具备交易的正当性。该命题的本质在于探求企业对其持有的个人数据享有权利/权益之法律正当性。目前，“企业对其持有的个人数据享有权利/权益”这一观点已然为现实所践行，亦成为学界研究数据权属的预设命题。为证成这一预设，存在着关于“企业对其持有的个人数据之权源基础”的三种论述：一是企业基于合法收集个人数据的事实行为而原始取得数据权利，是一种绝对的新型财产权;二是立基于传统的个人信息自决理论，以“告知一同意”的授权协议作为权利来源基础;三是“个人享有基于个人信息的人格权和财产权，企业对其持有的其他主体性质的数据享有经营权，企业对其数据产品享有资产权”的数据新型财产权体系。这些观点之间产生分歧的关键在于法律应如何处理个人信息的人格属性问题。实际上，第一种观点将企业对个人数据的收集行为等同于民事主体合法建造房屋而原始取得房屋所有权的事实行为，其忽略了一个客观前提：企业是按照法律规定的方式合法收集带有人格属性的个人数据，而房屋建造的主体则是按照合法方式（主要是买卖合同）在先取得具备财产属性且享有所有权性质的房屋材料。这一前提决定了无法将两种行为进行等同处理。它们之间的差异在于行为对象的属性不同。第二种观点基于个人对其个人信息的绝对控制理论，完全依赖于个人授权，不仅不利于个人数据的开发利用，且由于存在着因合同的相对性无法约束第三方的局限，制度安排上亦过度依赖事后救济，无法达到充分保障个人数据安全的效果。正如有研究者所认为的，知情同意应与个人信息自决解绑，其影响的并非数据控制者能否收集个人数据，而是个人数据流向哪些数据控制者的问题。相对而言，第三种观点具备一定的合理性，肯定个人数据人格属性的同时，为避免绝对“知情一同意”的弊端，以法定方式肯定企业对其持有的个人数据享有经营权。这种经营权的本质是企业对个人数据享有的有限使用权（基于此可进行交易），而不是绝对的财产权益，其权源基础在于法律对于实现整体社会利益的追求而依法授予的权利。

最后，企业对其持有的个人数据虽可交易，但并非毫无限制。企业持有的个人数据仍具备人格属性是对其限制的基础理论。个人数据虽被企业持有，但企业持有个人数据的状态并不当然能够改变个人数据的人格属性。关于“限制”的实现方式，由于对个人信息权益的法律保护属于横跨公法、私法的范畴，非传统民事法律体系能够完全予以规范，需以一定的公法规范予以保护。因此，个人数据被利用的范围和场景应由具备公法性质的法律予以明确规定。宜通过《个人信息保护法》等法律明确个人信息可流通的范围、不同种类个人信息可利用的场景以及不同场景下分析利用个人数据的基本安全保障技术手段等，并且需保障个人对其个人数据被使用的知情权。

关于个人对其个人数据被其他主体收集、使用的“知情一同意”规则，学界争议较大。主要存在三种观点：一是“绝对同意”规则，即无论个人、企业、国家产生的原始数据，数据收集者只能在原始数据权利人同意的范围内，并且对所收集数据涉及的隐私安全、对价、使用范围、用途等向原始数据权利人作出承诺时，才能对原始数据进行收集和利用。二是“相对同意”规则，即需要在特定的语境下判断数据主体是否“同意”，数据控制者需基于数据所有者的合理预期进行数据处理。采取消费者预期与风险规制进路能有效消除受个人同意的限制而导致个人数据无法被二次利用的困境，并有助于更好的平衡个人数据保护与促进信息流通之间的利益冲突。三是“否定同意”規则，即互联网环境下的个人信息收集，并不适用“同意”规则。其理由在于：其一，高频率的信息收集和处理，客观上决定以“同意”保障个人对其数据进行控制的法律效果难以实现。如若个人信息被搜集、存储和使用的各个环节都需个人信息主体一一确认，则会导致个人花费更多的时间处理其个人信息流通的相关问题。这种操作模式将会给个人带来更大的干扰，每天处理大量的同意信息甚至会影响个人的安宁生活。其二，数字社会背景下个人对网络服务存在着客观需求，由于掌握技术的受限性，个人无从知晓其个人信息在何时、何种状态下被利用，个人对其个人信息的利用处于“被动同意”的状态。笔者认为，“绝对同意”规则存在着“同意”法律效果实现的现实困境，但并不意味着应当否定或者取消个人对其个人数据被收集、使用时的“知情一同意”规则，宜采取“相对同意”规则。即在公法对个人信息可流通的范围、场景以及个人信息控制者的行为方式等方面进行规定的前提下，明确个人的“知情一同意”规则。这一模式不仅可以保障个人对其个人数据被收集和利用的知情权，同时有助于个人对数据控制者收集、利用数据的行为进行监督。

（二）公共组织持有的非自生数据之非可交易性

所谓公共组织持有的非自生数据，即各级行政机关以及履行公共管理和服务职能的企事业单位基于社会治理、行政管理的需要，向社会收集、保存的大量与个人、企业、其他社会组织有关的数据。这些数据涉及金融、交通、教育、医疗、社会信用、保险、通信、电商、物流等各行各业。数据只有流通才能发挥其资源性价值，而公共组织持有的非自生数据占整个社会据数据量的绝大多数。因此，只有实现公共组织数据的可流通才能最大限度的发挥数据在现代数字社会中的生产要素价值。

但是，流通并不等于共享，共享亦不同于开放。数据的开放、共享、交易均为数据流通的方式，公共组织对其持有的非自生数据按照其流通的对象可以区分为共享和开放。比如，政府数据共享存在于政府部门与政府部门之间，而数据开放则为政府组织向政府组织之外的非政府组织、个人开放。政府组织之间可共享的数据不一定能够向政府组织以外的其他社会主体开放。因此，为更好的提供社会公共服务，公共组织之间可以依法共享其合法持有的个人数据及企业非公开数据，但不能将这些数据向公共组织之外的其他社会主体开放。

同时，开放亦不等于可交易。交易虽然作为数据流通的方式之一，但由于受数据本身所具备的公共产品性质及公共组织作为社会管理者或公共服务提供者的角色之双重限制，决定了公共组织对其持有的非自生数据不得交易。一方面，公共组织基于履行社会公共管理服务职能的需求而依法收集、持有其他社会主体产生的数据，这些数据具备公共性，属于“取之于民”的数据，自当“用之于民”。另一方面，市场交易主体的自利性决定了公共组织不具备数据卖方的主体资格。正如卢梭认为的，“政府中的每个成员首先是他自己本人，然后才是行政官，然后才是公民;而这种级差是与社会秩序所要求的级差直接相反的。”因此，政府等公共组织对其持有的依法可流通的、非共享的非自生数据不可交易，应直接免费开放。基于对数据开放采用的技术成本考量，可对开放的数据收取适当的技术成本费用，而这种收取费用行为本身并非数据交易。

四、敏感性标准下可交易数据的限定

前述解决的是不同类型的主体持有不同类型的数据可否交易的定性问题，其中存在着部分可交易和交易受限制的情况。比如，个人对其持有的自生数据部分可交易，企业对其持有的非自生数据交易应受限。那么，个人对其持有的个人数据可交易的部分具体包括哪些？应采何种标准加以认定？企业对其持有的非自生数据交易具体应受何种限制？这些问题是回应可交易数据认定应予解决的关键问题。解决这些问题应从数据本身性质着手，即分析数据的敏感性。

目前学界关于敏感数据的讨论大多集中于个人敏感数据。而在交易领域中，数据卖方提供的数据来源于不同的数据主体，部分数据主体持有的数据虽然可流通，但并非可交易。因此，需要从交易数据的来源界定敏感数据的范围。交易领域中敏感数据宜界定为：“丢失、滥用、改变或未经许可存取会损害个人隐私或利益、商业秘密，甚至国家安全和国家关系的数据。”具体而言，应区分认定个人、企业和公共组织的敏感数据。

（一）个人敏感数据的认定

个人敏感数据的认定是个人数据法律保护中最核心、最难以解决的问题。目前学界关于个人敏感信息的认定主要有两种模式。

一种模式是直观的静态列举模式，即通过法定方式依据信息内容直接列举个人敏感信息的范围。该模式最为典型的是欧盟《一般数据保护条例》，其第9条直接规定涉及“种族或民族背景、政治观念、宗教和哲学信仰或工会成员的个人数据、基因数据、为了特定识别自然人的生物性识别数据，以及与自然人健康、个人性生活或性取向相关的数据”禁止处理的原则性规定及例外规定。我国既有相关规范较为零散，对部分特殊个人信息的保护亦采取该种模式。比如，《征信业管理条例》第14条以“列举+兜底条款”的方式对三类个人信息进行规定：绝对禁止采集的信息、经信息主体书面同意可采集的信息及其他可采集的一般个人信息。《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第5条对《刑法》第253条之一的“情节严重”予以解释，在对个人信息分类的基础上，以数量为标准将个人信息区别对待。此外，《关于人民法院在互联网公布裁判文书的规定》第10条、《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》第12条中均强调个人信息的类型化保护，列举出需要更加严格保护的个人信息的类型。国家质量监督检验检疫总局、国家标准化管理委员会2012年发布的《信息安全技术公共及商用服务信息系统个人信息保护指南》及2017年发布的《信息安全技术个人信息安全规范》中提出“一般个人信息”和“敏感个人信息”的区分概念，将个人敏感信息界定为：一旦泄露、修改、非法提供或滥用可能危害个人信息主体的人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息。并列举出部分敏感信息的范围，主要包括与个人财产、个人生理健康、个人生物识别、个人身份、网络身份标识等方面相关的信息。敏感个人信息之外的个人信息即为一般个人信息。

另一种模式是基于信息使用场景的动态认定模式，即法律不直接列举敏感信息的范围，而是基于不同的个人信息利用场景来判断信息的敏感性。该种模式具有一定的社会现实基础——如果有足够多的数据量，一般个人信息在特定场景下也可能是敏感信息，静态列举的敏感信息在不同的数据使用场景下亦可能不构成敏感信息。基于这一客观现实，传统的静态敏感个人数据保护模式难以克服其较为僵化的弊端，而采取基于场景的动态敏感信息认定模式对个人敏感信息的保护较为适宜。美国《消费者隐私权利法案（草案）》中对个人敏感数据的保护即采取该模式。

具体而言，两种模式用于个人敏感数据认定分析对象、判断标准、敏感数据认定范围的准确性、企业可利用的数据范围以及法律制度设置及实施等方面存在差异。就分析对象来说，静态模式直接从个人信息中挑选敏感信息列举;动态模式以“个人信息+场景”的方式判断敏感信息。就判断标准而言，静态模式以信息泄漏可能造成的损害后果及隐私期待的一般性标准作为敏感信息认定的判断标准;动态模式除这两个标准之外注重强化数据利用的目的性标准。就敏感数据认定范围的准确性而言，静态模式虽然采取严格标准，但缺乏对数据应用场景的多元化考虑，可能导致不同场景之下数据敏感性认定的不准确;动态模式采“具体问题具体分析”的思路，不同场景下数据敏感性的认定相对较为准确。就企业可利用的数据范围而言，静态模式下个人数据利用显得较为僵化;动态模式下个人数据被利用相对较为灵活，可利用的空间更大、范围更广。就法律制度设置及实施而言，静态模式下立法相对简易，立法及执法成本较低;动态模式下法规范的制定及实施都较为繁杂。两种个人敏感数据认定模式的分析对比如下表所示：

数据交易视域下，实时动态数据更显流通价值。由于数据应用场景的多元化，静态列举模式下的敏感数据认定过于僵化。而完全依赖场景分析的动态模式下的敏感数据认定因受场景多元、数据多元的限制，则存在着对敏感数据保护不足的风险。可见，两种模式对个人敏感数据的保护各有优劣。但要实现对个人数据的最大化利用，且不侵犯数据主体的合法权益，宜采取静态列举和动态判断相结合的模式来判断敏感数据。即以损害后果和隐私的一般期待标准对个人数据进行敏感等级分类，具体每一等级可采“列举+兜底”的方式进行认定，同时应将多元化的应用场景按照商用、公用、学术研究等不同性质进行类型化，并将不同等级的个人数据与不同场景下的数据利用行为按照损害后果、使用目的、一般性隐私期待的标准来界定个人敏感数据，以此实现对不同类型的个人数据区分保护。

（二）企业敏感数据的认定

不仅个人数据中的敏感数据应予特殊保护，企业数据中的敏感数据亦应予以特殊保护。所谓企业敏感数据，即企业在生产经营过程中产生的未予公开的数据，包括商业秘密和其他未公开数据。公开与否是判断企业敏感数据的标准，即是否为公众所知悉。

我国《反不正当竞争法》第10条规定：“商业秘密，是指不为公众所知悉、能为权利人带来经济利益、具有实用性并经权利人采取保密措施的技术信息和经營信息。”由于商业秘密具备秘密性、非公开性，以数据承载的商业秘密信息自然属于企业敏感数据的范畴。并且，除商业秘密以外的企业尚未公开的数据亦属于企业敏感数据。大数据背景下，与企业经营相关的实时数据是这类数据的典型。比如，多数企业通过淘宝、美团、京东、当当等互联网服务提供商提供线上交易服务，同时产生与其线上经营相关的海量原始实时数据。这些数据虽不具备商业秘密特质，但却属于企业未公开的数据。对这类数据的获取方式有赖于互联网服务提供商与使用网络服务进行线上营业的企业之间的服务协议。比如，淘宝平台与卖家之间的《淘宝卖家服务协议》（2019年8月生效版）第3.6，1条即约定卖家在使用淘宝网络服务过程中产生的数据归属于淘宝平台。可见，伴随企业生产经营过程中产生的实时数据属于企业未公开的数据。对于这类数据，任何主体除以合法方式获取外，不得进行交易。

综上，按照数据对企业的重要程度来看，企业数据一般可以分为公开数据和非公开数据。仅供企业内部使用或者机密的数据一般被企业纳入非公开数据的范畴。其中，部分数据虽然不具备认定为商业秘密的条件，但属于企业未予公开的数据，亦属于企业敏感数据。对此类数据，非依法律规定或基于与数据生产者的协议约定，不得进行交易。

（三）公共组织敏感数据的认定

信息科技的发展使国家安全的范围延展到网络空间，对涉及国家安全的数据保护成为网络空间领域维护国家安全的重要事项。党的十九大报告指出：“要坚持总体国家安全观，完善国家安全制度体系，坚决维护国家主权、安全、发展利益。”各级行政机关以及履行公共管理和服务职能的企事业单位持有的自生数据和非自生数据，称为公共数据。保障公共数据安全是数字社会背景下国家安全制度体系的重要组成部分。明确界定公共数据中的敏感数据，禁止敏感数据交易，既能保障国家数据安全，同时亦能激发政府可流通数据的价值。

所谓公共组织敏感数据，即公共组织未公开的数据，包括国家秘密和除国家秘密之外的其他非公开数据。大数据背景下的公共数据公开，即公共数据的开放，指公共组织依法按照规定面向社会提供具备原始性、可机器读取、可供社会化再利用的数据集的公共服务。数据交易主体依法获取的公共组织开放数据可交易，公共组织非开放数据即属于政府敏感数据，任何主体不得用于交易。

关于公共组织敏感数据的范围，以数据是否开放为标准。可分为国家秘密数据和非国家秘密性质的只在政府或其他公共服务性质的部门之间流通的非开放数据。我国《保守国家秘密法》第2条将国家秘密界定为：“关系国家安全和利益，依照法定程序确定，在一定时间内只限一定范围的人员知悉的事项。”可见，国家秘密数据具备保密的必要性、非公开性和不可滥用性等特征。因此，国家秘密的保密性固然决定其敏感性，故不能用于交易。此外，公共组织敏感数据还包括虽不具备认定为国家秘密的条件，但是公开之后可能会对公共安全或公共利益造成损害的数据信息。比如，公共组织在履职和提供社会服务过程中持有和保存的其他社会主体的相关数据，这些数据可能涉及个人隐私或企业商业秘密，但不属于国家秘密的范畴，依法能够在政府和其他公共组织之间共享，但不能对外开放，亦属于交易中的敏感数据。

五、结语

社会实践并不总是按照原有法律的既定框架发展，当数据的法律性质及权属认定在学理上尚存争议时，数据作为互联网大数据时代背景下新的交易關系客体，已同法权结构客体项下的诸多标的物一般参与市民社会的多元化交易，并集散出其作为财产的基本价值。数字社会背景下，伴随社会生产活动，每一社会主体（自然人、社会组织）都无时无刻不在产生数据，而这些数据被不同的数据主体持有。这一客观现实决定在以数据交易平台为中心的数据交易实践中，应综合考虑交易主体的法律性质、交易主体持有的数据类型、交易主体获取数据的来源等方面去考察可交易数据的范围。通过本文的分析，不同主体持有不同数据类型是否可交易总结如下表所示：

法律的使命在于维护和保障社会有序发展，现代社会的法律变迁应如何回应数据作为交易关系客体的现实，是规范数据交易、保障相关主体合法权益面临的首要问题。为更好的规范数据交易行为，在明确数据交易准入标准的前提下，还需进一步制定个人数据可流通清单、政府数据可开放的范围：同时数据交易平台作为自律性的自治组织应当发挥其市场监管者的作用，严格监管数据交易准入，切实保障各数据交易主体的合法权益。