案例解读《深圳经济特区数据条例》

2021-07-14

一、解读《深圳经济特区数据条例》的创新

2021年7月6日国内数据领域首部基础性、综合性立法《深圳经济特区数据条例》（以下简称《条例》）在“深圳人大网”全文公布，并将于2022年1月1日起实施。

《条例》共7章，内容涵盖了个人数据、公共数据、数据要素市场、数据安全等方面，坚持“保护与发展并重，以保护为基础，以发展为目标，以保护促发展”的基本指导思想，旨在为数字产业、数字经济的发展提供良好的法治环境。

深圳市人大常委会法工委将本次立法的必要性分为了四项内容：

（一）是全面实施大数据战略，落实综合改革实施方案要求的需要；

（二）是规范个人数据处理活动，强化个人数据保护的需要；

（三）是推进公共数据资源开放利用，提升政府数据治理能力的需要；

（四）是加快培育数据要素市场，促进数字经济发展的需要。

《条例》的主要内容和制度创新可以总结为：

（一）探索数据相关权益范围和类型；

（二）强化个人数据保护；

（三）提升公共数据治理水平；

（四）探索培育数据要素市场；

（五）保护数据全生命周期安全；

（六）建立数据领域公益诉讼制度；

（七）关于违反条例相关规定的法律责任。

《条例》的强化个人数据保护部分的主要创新为：

（一）明确处理个人数据的基本原则；

（二）确立以“告知——同意”为前提的个人数据处理规则；

（三）合理限制生物识别数据的处理；

（四）规范用户画像和个性化推荐的应用；

（五）强化对未成年人个人数据的保护。

《条例》从五个方面探索培育数据要素市场：

（一）建立健全数据标准体系；

（二）推动数据质量评估认证和数据价值评估；

（三）探索建立数据要素统计核算制度；

（四）拓宽数据交易渠道；

（五）明确数据交易范围为“合法处理数据形成的数据产品和服务”。

《条例》在国家立法的基础上进一步细化数据安全保护的相关内容：

（一）明确市人民政府负责统筹数据安全管理工作；

（二）明确数据处理者的数据安全管理责任；

（三）明确数据安全监督部门通过开展数据安全预警工作、对数据处理者进行数据安全管理认证和评估、约谈违规数据处理者等措施强化数据安全监督。

二、数据权益的人格权益和财产权益

在数据权益的立法付诸阙如，相关主体的权利义务处于不确定状态时，司法实践更早地接触了数据权益问题，也逐渐摸索出了数据权益的合理处理方式，为立法提供了案例支撑。

案例一：淘宝(中国)软件有限公司诉安徽美景信息科技有限公司不正当竞争纠纷案^[1]

本案于2018年判决，是最高人民法院发布的依法平等保护民营企业家人身财产安全十大典型案例之一，也是首例涉及大数据产品权益保护的新类型不正当竞争案件。

法官在关于淘宝公司对于涉案数据产品是否享有法定权益的说理部分认为：单个网上行为痕迹信息的经济价值十分有限，网络用户对此尚无独立的财产权或财产性权益可言。网络原始数据的内容未脱离原网络用户信息范围，故网络运营者只能依其与网络用户的约定享有对网络原始数据的使用权。但网络数据产品不同于网络原始数据，数据内容经过网络运营者大量的智力劳动成果投入。对于通过深度开发与系统整合而形成的独立的衍生数据，网络运营者应享有独立的财产性权益。

本案判决确认平台运营者对其收集的原始数据有权依照其与网络用户的约定进行使用，对其研发的大数据产品享有独立的财产性权益，并妥善运用《反不正当竞争法》原则性条款对擅自利用他人大数据产品内容的行为予以规制，依法保护了研发者对大数据产品所享有的竞争优势和商业利益，也为大数据产业的发展营造了公平有序的竞争环境^[2]。

虽然本案中法官就自然人的人格权属性并未过多点评，但对企业因投入大量智力劳动成果形成的数据产品和服务的财产性权益给予了明确的肯定，这与《条例》的探索是一致的。截止2021年6月，裁判文书网上关于“数据权益”的民事案件有88例，除上述案例以外，不少案件对“数据权益”裁判规则的形成有积极的推动作用。

基于裁判推动下的共识的形成，《条例》率先在立法中探索数据相关权益范围和类型，明确自然人对个人数据依法享有人格权益，包括知情同意、补充更正、删除、查阅复制等权益；自然人、法人和非法人组织对其合法处理数据形成的数据产品和服务享有法律、行政法规及条例规定的财产权益，可以依法自主使用，取得收益，进行处分。

三、个人数据处理的 “告知——同意”基础规则

互联网时代下，个人数据的海量处理在给人们带来便利的同时，也带来了前所未有的挑战。个人数据处理与侵权纠纷相伴而生，处理应遵循的规则也处在探索之中。

案例二：庞理鹏诉中国东方航空股份有限公司、北京趣拿信息技术有限公司隐私权纠纷案^[3]

本案是最高人民法院发布的第一批涉互联网典型案例之一，也是最高人民法院发布的中国互联网司法典型案例之一。

庞理鹏委托其助理购买机票，其后收到诈骗短信，短信内容中显示有庞理鹏航班的起飞时间、降落时间、机场名称、航班号。庞理鹏断定被告公司泄露了其个人信息，于是诉至法院，要求二公司赔偿。法院在本案中认定，原告的非隐私信息与隐私信息结合后不可分，应按照隐私权的保护规则一体救济。被告构成对原告隐私权的侵犯。

本案关注到了“个人数据”的特殊之处，也采取了对“个人数据处理”进行规制的态度，但仍是在“隐私权”框架下，通过“个人数据”与“隐私”的紧密结合进行说理。在这一点上，本案对“个人数据”的人格权属性有所启发，但对“个人数据”与“隐私”的区分不足。

本案在无明确个人信息相关法律指引的情况下，采取了《中华人民共和国消费者权益保护法》的保护路径，其中第二十九条关于经营者收集、使用消费者个人信息的规则，与个人数据处理下的“合法、正当、必要的原则”和“明示收集、使用信息的目的、方式和范围”别无二致。

从本案来看，《条例》积极回应了现实需要，确立了以“告知——同意”为基础的个人数据处理规则。首先是处理个人数据具有告知义务，其次是处理个人数据应当征得自然人的同，最后是针对自然人撤回同意的情形，规定数据处理者应当提供撤回同意的途径。

四、个性化推荐的明示与拒绝规则

用户画像和个性化推荐的应用，为人们提供了更加精准、个性化的商品和服务，为用户带来了前所未有的体验，但同时也不免造成一些负面影响。

案例三：朱烨与北京百度网讯科技公司隐私权纠纷上诉案^[4]

本案被称为中国“cookie隐私权纠纷第一案”，经历了二审改判，对于个性化推荐问题的处理有突出的参考意义。

朱烨认为，百度公司未经其知情和选择，利用网络技术记录和跟踪朱烨所搜索的关键词，将其兴趣爱好、个人需求等显露在相关网站上，尤其利用“减肥”、“人工流产”、“隆胸”等关键词，对其浏览的网页进行广告投放，侵害了其隐私权，使其感到恐惧，精神高度紧张，影响了正常的工作和生活。

本案二审认为百度网讯公司的个性化推荐行为不构成侵犯朱烨的隐私权。一审判决认定事实基本清楚，但判定百度网讯公司承担侵犯朱烨隐私权的法律责任不当，依法应予改判。

本案法官认为，网络精准广告中使用cookie技术收集、利用的匿名网络偏好信息虽具有隐私属性，但不能与网络用户个人身份对应识别，不符合个人隐私和个人信息的“可识别性”要求，因而该行为不构成侵犯隐私权。

二审的改判并非是对“个性化推荐”的“同意”低标准的体现，而应视为对“隐私权”范围的限缩。案件中有关“个性化推荐”需要同意并未得到反对，只是对行业惯例的默认同意方式予以了肯定。某种程度上，裁判中的个性化推荐存在规范力度减弱的倾向。

《条例》对“个性化推荐”事前规制的高标准也可以视为对裁判中对“个性化推荐”事后救济高标准的回应。《条例》规定，数据处理者基于提升产品或者服务质量的目的，对自然人进行用户画像的，应当向其明示用户画像的具体用途和主要规则。自然人有权拒绝对其进行的用户画像或者基本用户画像推荐个性化产品或者服务，数据处理者应当以易获取的方式向其提供拒绝的有效途径。

五、人脸识别使用的谨慎性

人脸识别是基于人的脸部特征信息进行身份识别的一种生物识别技术。目前已经被应用于移动支付、城市安防等场景，在为我们带来便利的同时，也带来了隐患。

案例四：郭兵诉杭州野生动物世界有限公司服务合同纠纷案^[5]

本案被称为我国的“人脸识别第一案”，2021年4月，该案二审依法公开宣判。该案起因是：2019年4月27日，郭兵购买野生动物世界双人年卡，留存相关个人身份信息，并录入指纹和拍照。后野生动物世界将年卡入园方式由指纹识别调整为人脸识别，并向郭兵发送短信通知相关事宜，要求其进行人脸激活，双方协商未果，遂引发本案纠纷。

一审判令野生动物世界赔偿郭兵合同利益损失及交通费并删除郭兵办理指纹年卡时提交的包括照片在内的面部特征信息。二审在原判决的基础上增判野生动物世界删除郭兵办理指纹年卡时提交的指纹识别信息。

本案的说理中体现出对“人脸识别”中涉及的生物识别信息的保护，对强制使用人脸识别进行了否定性评价。法官认为：自然人的个人信息受法律保护。生物识别信息作为敏感的个人信息，深度体现自然人的生理和行为特征，具备较强的人格属性，一旦被泄露或者非法使用，可能导致个人受到歧视或者人身、财产安全受到不测危害，故应当更加谨慎处理和严格保护。

《条例》针对“人脸识别”问题给出了与裁判文书相同立场的回应。同时，《条例》对处理生物识别数据作出了较处理其他数据更加严格的规定，要求处理生物识别数据时，除该生物识别数据为处理个人数据目的所必需，且不能为其他非生物识别数据所替代的情形外，应当同时提供处理其他非生物识别数据的替代方案。

六、《条例》对实务回应的意义

深圳作为全球重要的电子信息和数据产业基地，其商贸、金融、物流、通信等数据的生产量处于全国前列，同时汇聚了超过300家大数据企业，基本形成了较为完善的大数据产业链，在数据催生下的数字经济新产业、新业态和新模式也正蓬勃发展。

《条例》在数据权益、个人数据处理规则、个性化推荐、人脸识别等方面积极回应了实务问题，既具有司法裁判的规则的确认性，也具有实务需要的前瞻性。对于规范数据要素市场化行为，推动数据的有序流动和数据产业的健康发展，促进数据要素市场的培育和发展有重要作用。

文中备注：

[1]（2018）浙01民终7312号。

[2]《最高人民法院发布依法平等保护民营企业家人身财产安全十大典型案例》，https://www.pkulaw.com/pal/a3ecfd5d734f711d7d9ac77ba366df319306c4a3ef87f3b7bdfb.html。

[3]（2017）京01民终509号。

[4]（2014）宁民终字第5028号。

[5]（2019）浙0111民初6971号。

本文作者：