中央民族大学副教授、律师李扬：大数据交易的法律保护与风险控制

从企业角度来看，在大数据交易对象里主要得注意三个问题：如今，在大家认为法律欠缺、民法通则没有完全确定的情况下，哪些数据绝对不能交易？哪些数据可以自由交易？哪些需要通过法律设计之后，把数据变成合法的才能安心交易？

首先，这会涉及到数据产权边界问题。根据现有法规，三类数据不能进行交易——第一是危害国家安全、涉及国家秘密的；第二是侵犯商业秘密和个人隐私的；第三是未获合法授权或者授权失效的。

司法上有一个基本原则叫“法无禁止皆可为”。从原理上讲，只要国家不禁止的数据都属于企业可自由交易数据，但有一部分数据一定要假设法律前提才能合法交易，它就是“个人信息到底是否属于可采集交易的对象”。

从法律上讲，个人信息的核心特点是可识别性，即通过这些信息直接指向一个具体的归属人。若对个人信息进一步分类，又可以分成两类，一是个人敏感信息，二是个人一般信息，这两部分信息对信息主体本身的利益关联不同，所以法律上对二者保护的力度和方式也不一样。如果要收集信息主体的个人敏感信息，法律要求必须要经过信息主体的明示同意，即明确授权，企业一定要留存证据；收集个人一般信息时，只要信息主体没有明确反对，企业告知即可。

个人信息若要成为交易对象，需假设一个合法的法律前提才能继续往下运作。工信部个人信息保护指南里提到：“从信息系统获取个人信息的个人组织和机构，依据个人信息主体的意愿，对获得的个人信息进行处理”，这实际上就为企业运作打开了一扇窗。

那么，企业如何在运转、交易过程当中体现保障了信息主体及其意愿呢？法律上完成两步就能认可——第一步是保障个人信息主体知情权。知情权即告知他人所享有的权利，告知内容是收集使用信息的目的、方式、范围、查询更正信息的渠道，以及拒绝提供信息的后果等事项，告知方式是“普通的注意义务足以发现即可”。第二步是保障个人信息的选择权。选择权*核心的一点叫做“通常的退出机制”，若信息主体有一天不想被收集了，可随时停止。

其次，还需关注大数据安全交易的边界问题。企业在大数据交易过程中超越底线，容易带来各式各样的法律风险。

在数据收集的界限上，目前的法律中提供了三个词，分别是合法、正当、必要。工信部要求“不得将数据信息用于提供服务之外的目的”“不在个人信息主体不知情的情况下改变处理个人信息的目的”。这些条款看似制约了企业的经营范围，但反过来看，如果个人信息主体知情并授权，那企业的做法就是合法的。这也要求大数据企业在第一次权利数据收集、权利告知时，一定要对使用信息的目的进行精细化的法律设计。

在数据信息使用的实现上，法律规定“电信业务的经营者，互联网信息的服务提供者，在用户终止使用电信服务，互联网服务，要停止对个人用户信息收集和使用，并且注销账号”。在停止服务之前，已经收集信息并处理的情况下，如果采集的是原始信息，则要看双方之前的约定；此外，直接认为上面附着的新数据可用。

在数据转移方面，按照工信部规定，企业通过合法手段可以向他人提供用户及个人信息。那法律规定的合法界限在哪里？相关文件提出，如需将个人信息转移或者委托到其他机构，要向个人信息主体告知包含以下信息，转移的目的、转移具体内容加使用范围、接受转移者的名称、地址和联系方式等内容。也就是说以上程序只要符合立法所规定的合法要求，便可以向他人进行数据转移。