数据立法：你的隐私谁来保护？

导读：数据时代更加强调数据的公开，政府能把自己的掌握数据向社会开放，创造更多的经济价值。从数据来讲强调数据流动，因为数据只有流动才能把价值发挥到最大化。对于涉及到个人数据，涉及到个人隐私的时候要强调保护，涉及到不同数据的时候，立法应该有不同的侧重点。

从立法的角度来看，实际有两个视角，一个是发展，一个是安全。需要立法部门研究，也需要实务部门提出可行性的对策。如何平衡这两个维度既有重要的机遇，对行业发展也具有重大的价值。

我今天报告的题目是“数据立法的进展及对数据经济的影响”。 在座从事法律专家不是那么多，我后面对立法所涉及的一些基本概念、基本原则做一个铺垫介绍。第二个部分围绕迄今为止和数据相关的主要立法情况，针对性做一些数据经济关联的介绍。第三个部分结合马上要出台一些的法律或者正在起草的法律，看未来会对我们数据产生那些影响。

一、基本概念

首先中国法律的位阶。从宪法到规章都是法律的正式渊源。第二层的法律是狭义的法律，指全国人大和常委会通过的法律文件。这个表表示在不同法律文件之间的位阶关系。下位阶的文件不能抵触上位阶文件。

下面这个表强调了不同的法律位阶文件之间的调整范围关系。特别是看到地方性法规和行政法规都可以对法律未作规定的部分事项先行立法。这是因为立法机关面临经济社会发展中出现的问题，回应的节奏是相对滞后的。

在这种情况下，我们的《宪法》是赋予国务院和地方人大及其常委会针对一些法律未规定的事项可以先行立法：国务院可以职权范围管理做出规定；地方人大是可以根据本地方特点做出一些试验性的探索。下面介绍的时候会介绍近期贵州省出台的一个地方性法规，事实上它就属于具有创新性、试点性的法律。这个法规事实上就是在目前狭义的法律上没有规定的情况下，鼓励地方立法创新，去面临数据时代的时代变革。

规章也是有两个不同的维度，一个是国务院各个部门，比如发改委、工商总局、商务部这些部门制定的规章。二个是地方政府出台的规章，他们的上位法依据可以是国务院制定的行政法规，也可以是本地方的人大所制定的地方性法规。地方性的政府规章虽然规定适用的范围仅限于每个地方，但是上位法的渊源更广泛。

从一般法理来看，基本原则包括：

法治原则。为什么在这里提到？作为数据经济的角度来说肯定会涉及到财产权的问题。如果涉及到政府向企业调用数据，有可能涉及到这里面提到征收和征用的问题。数据发展过程中也会涉及到隐私权问题。隐私权从法律角度来讲实际是涉及到人格权的问题，对这些内容规定都涉及到法治原则。我们公权力机关事实上有很强烈的立法需求，不断提高自己制定的法律文件的位阶，去增加管理手段。

比例原则。第一目的要有正当性，出台这个法律一定是要有合法、正当且必要的目的，或者为了公共安全或者为了经济发展。为了实现这个目的所采取的手段必须是成本最低的，不能给社会带来更大的负担和成本。如果这个手段带来利益的同时也会影响另一方利益，就要做出平衡，确保最后所造成的损害是比较小的。从目的的角度来解读，数据时代更加强调政府数据的公开，政府能把自己的掌握数据向社会开放，创造更多的经济价值。从商业数据来讲强调数据流动，因为数据只有流动才能把价值发挥到最大化。对于涉及到个人数据，涉及到个人隐私的时候要强调保护。涉及到不同数据的时候，立法应该有不同的侧重点。

公开原则。中国立法公开为什么做得这么好？其实从国际推动国内的改革，特别是加入WTO之后，中国通过的对贸易可能造成影响的法规都要向WTO其他成员国通报，通报事实上就是一个公开的过程。

二、数据立法的情况

法律层面，最早和数据相关的立法可能就是全国人大常委会在2000年通过的一个文件。在立法里面有些概念使用不太清晰，有用信息、有用数字、也有用电子化，我觉得应当对这些概念做进一步梳理，明确使用范围，以对我们立法有一个更好的指引。前期的立法有很多是部门推动，不同部门从不同利益诉求出发，概念就会有不同的冲突和碰撞。

2000年全国人大常委会通过的决定，主要从互联网的运行安全和信息安全方面强化刑事责任规定。2004年通过电子签名法，电子签名法现在讨论研究比较少。

2012年全国人大常委会通过的决定，和刚才提到的2000年决定，是12年会同一个月份同一天通过的。这个决定是关于加强网络信息保护的决定。这个可以看到里面调整的主要内容是加强网络信息保护，主要识别公民信息和公民隐私的电子信息。

这句话可以分两部分：一个是说能够识别个人公民身份的电子信息；二个是涉及公民隐私的个人信息。我们在商务活动中，针对这种不同类型的信息是有不同的要求，涉及到公民个人身份的信息，它必须有一个前提条件是能够识别，具有可识别性，才属于法律所保护的范围。

如果从身份化的手段去处理就能处理这个要求，但对于个人隐私是绝对不需要保护，不需要加入可识别性。如果在逻辑上明确个人隐私的话，基本上已经具体到个人。

关于保护原则：这个决定基本上从欧盟到OECD，再到美国提出个人信息保护原则，基本上都是一致的。首先应当遵循这样一个合法、正当、必要原则，明确其使用信息和范围，就是一个告知义务。并且要经收集者同意。

决定提到不能违反法律、法规的规定。

这里的法规规定就包括两种，既包括国务院行政法规，也包括地方人大常委会通过行政法规。如果在某个地方从事数据的交易或者服务活动，你一定要注意，当地地方人大有没有制定这样一个文件？如果地方人大有通过这方面的法律，有具体的要求，你在遵循国家行政法规同意的要求同时，还要恪守地方人大的行政法规。

最后，网络提供者和其他企业事业单位收集电子信息应该公开其收集使用规则。这个法律还有一个比较重要的意义，它实际上在法律层面上面，正式把实名制给确认起来。要求网络提供者为用户办理服务的，应当与用户签定协议或者确认提供服务时要求用户提供真实身份信息。我想实名制管理一方面作为国家宏观的，作为秩序的规管，作为秩序的维护所要求的。另一方面，对有一些经济活动也是必要的，后面也会提到一些金融行业领域，实名制是可以更加重要的保证。虽然这个决定内容比较短，没有一个章节的划分，只有十几条内容，但是基本上框定了我们中国关于网络信息保护一些基本制度。

这里还必须提到刑法。刑法就跟经济数据或者跟个人信息相关，就是2009年通过的刑法修正案七和去年通过的刑法修正案九，这里有一个侵犯公民信息罪，从这个可以看到对公民信息的保护力度更强了，对公民信息处理要求更严了，在涉及到公民信息交易活动的时候，要特别注意合规方面的一些要求，刑责也上升了。

《消费者权益保护法》这个法律从1993年通过到2013年有一个比较大规模的修整，它的核心内容和我们相关的，将个人信息受到保护明确作为消费者一项基本权利。如果我们提供这个数据交易服务是面向普通网民就要特别注意。消费者在购买使用商品和接受服务时，前面已经有的，这里提到享有个人信息依法受到保护的权利，其中有关个人数据利用规则跟2012年的决定要求是基本一样的。

《国家安全法》是去年通过的。一个是信息安全行业利好。国家在这方面加强能力建设，肯定在相关网络、相关技术、研究应用方面要有投入。国家在《国家安全法》里面提出这样一个目标，实现核心技术、关键技术设施和重要领域信息技术和数据安全的可控。如果在这个行业做一些重要的投入，我想在未来会有更好的发展前景。

另外需要注意的是，国家现在已经确定这样一个原则，要建立国家安全审查和监督机制，对影响或者可能影响国家安全的外商投资网络信息技术进行国家安全审查，现在正在起草行政法规。一旦行政法规出台有具体制度的，后面就会有更明确的要求。

下面简单讲下电信条例法规方面的要求：

电信条例有两个亮点：第一支持民营资本进入电信行业，第二对互联网数据传送业务进行细分。如果对新型类型数据服务申请的是新型许可证。

《政府信息公开条例》2008年通过。政府公开信息条件涉及到两方面，一个是政府主动公开发布一些信息，二个是依申请公开流程，公民、法人和其他组织可以根据生产、生活、科研需要向政府申请公开申请。

《征信业管理条例》是2012年通过的，一定要遵循这个条例里所规定的内容，特别是针对个人信息的采集和限制有一些具体的要求。基因、信仰这些敏感信息是禁止采集的。

《计算机信息系统安全保护条例》和《国家联网的管理办法》。

《贵州省大数据发展应用促进条例》通过地方性法规，有一些创新。

三、立法趋势及其影响

关于大数据加强市场主体服务和监管，就是大数据如何监管，中国将来推出一系列数据监管平台，我想这个监管平台建设出来之后，监管数据也是后面进一步挖掘，能够怎么样发挥更好的经济价值一个载体。

立法规划：每一个文件分三个档，全国人大常委会分三类，国务院分三类，可以看到轻重缓急程度不同。

最后想强调一点，我们在立法过程中，实际有两个主题，一个是发展，一个是安全。需要立法部门研究，也需要实务部门提出可行性的对策。对个人信息保护，可以从我们取信于消费者的视角来理解。对应发展和保护，我们可以从电子商务法和网络安全法来评估。我想未来的立法能够从这两个法律具体条文规范内容看要求。如何平衡这两个有重要的机遇，对行业发展也具有重大的价值。

我们希望整个行业能够把握好这样一个机遇，正好推动中国经济数据的发展。

谢谢大家！

作者简介：周辉 ，环球智财数据科技研究院执行院长、新治理智库联盟发起人、国家行政学院博士后。

（注：本文根据周辉在4月20日UBDC全域大数据峰会发言整理）

来源：阿里研究院