大数据交易安全与法律监管

刘 航

南京航空航天大学，江苏 南京 211106

一、大数据的定义与性质

大数据(Big Data)起初是对规模较大、难以为人力所处理的数据集合的一种描述，随着数据挖掘、整理、分析、集成等技术手段日趋完善，大数据的潜在价值得以呈现，其在社会管理、商业拓展等方面的应用日益广泛，当前大数据已成为当代社会的重要资源。当前对大数据的定义仍未取得共识，笔者认为大数据是由规模巨大、内容复杂、类别广泛的基础数据组成的数据集合，经过特定程序处理后蕴含新价值的数据资源。

我国现行法律并未明确大数据的法律属性，但从宏观政策、经济实践及学术论述等方面均可发现认可大数据具有财产属性及可交易性这一趋势。从宏观政策层面来看，2015年8月颁布的《促进大数据发展行动纲要》中明确指出：“引导培育大数据市场，开展面向应用的数据交易市场试点，探索开展大数据衍生产品交易，鼓励产业链各环节主体进行数据交换和交易，促进数据资源流通，建立健全数据交易机制和定价机制，规范交易行为”；从经济实践层面来看，2015年4月，我国首家大数据交易所即贵阳大数据交易所正式挂牌成立，随后相继出现了中关村数海大数据交易平台、武汉东湖大数据交易中心、华东江苏大数据交易中心、数据堂等多种类型的大数据交易平台，逐步探索出交易中介、数据产品、分析产品等多种大数据交易模式；从学术讨论层面来看，大数据法律属性的主流观点是“财产权客体说”，其认为大数据所蕴含的商业价值使其具备可供交易的价值基础，数据有价、交易流通是大数据具有财产性的有力证明。尽管仍有学者提出“邻接权客体说”、“数据资产说”等，但均不否认大数据财产性特征，只不过分歧在于应该将大数据归入何种权利体系中去。

二、大数据交易的现状与安全风险

虽然在法律制度构建和学术理论层面有关大数据的讨论仍处于酝酿阶段，但在实践层面，大数据产业发展已经起步并初显成效。据中国产业经济信息网估计，2019年我国大数据核心产业规模有望突破7200亿元，增速将维持在25%至30%左右。大数据产业发展离不开流通，大数据交易应运而生。大数据交易是指将经处理的大数据产品在交易平台中流通的过程。我国大数据交易的发展态势总体上呈现出增长快、规模大、市场散、制度少、风险高的特点。增长快、规模大主要得益于庞大的数据资源沉淀和广阔的商业应用前景，我国大数据交易仍将保持高速增长，但由于缺乏统一的市场标准和健全的法律规制体系，大数据交易仍存在诸多风险。

交易安全是大数据产业得以发展的基本前提。关于交易安全，有学者将其划分为静态安全与动态安全，分别指向大数据权利归属明确和流转合法有效。此种考虑其实均基于明确大数据的权利界限，这是大数据交易安全的基石，但并不是全部。除权利归属之外，交易安全的风险主要来自于以下方面：其一，大数据质量安全。当前大数据交易缺乏统一而明确的质量标准，大数据产品真实性与合法性无据可依，交易相关主体合法权利缺乏有效保护；其二，当前大数据产品重清洗而轻脱敏，大数据清洗只是针对数据一致性进行纠错的手段，基础数据源中的用户敏感信息仍然保留，大数据产品在流转过程中存在敏感数据泄露风险；其三，由于数据具有可复制性和易传播性，缺乏安全可靠的存储和传输手段，大数据产品的安全性就无从谈起。

三、大数据交易安全法律监管

大数据交易市场健康业态的形成离不开法律监管，法律监管一方面以法律形式明确交易市场运行规则，另一方面以监管手段纠正交易过程中偏离正常交易过程的违规行为，共同创建大数据交易良性发展模式。

(一)大数据交易法律监管须遵循以下原则

1.安全第一原则。大数据交易的核心在于安全。大数据交易安全维系基础数据提供者和交易双方两端，大数据交易如发生安全事件，交易方将面临财产损失，基础数据提供者的隐私数据也可能因此泄露。故而，大数据交易应以安全为首要目标。

2.权责一致原则。大数据交易法律监管应以法律为依据，明确监管机构，厘清监管职责与范围，落实监管手段与责任体系，既要赋予监管机构一定的执法权力，又要将监管机构纳入法律监督范围，避免监管随意性和过度性。

3.分级监管原则。大数据交易体量必将快速成长，单纯依靠行政机关难以覆盖交易过程全部，自律监管与内部监管是重要补充。大数据交易安全法律监管要将交易平台和交易主体吸纳进去，共同落实大数据交易法律监管。

(二)大数据交易法律监管模式

1.行政机关宏观监管。行政机关作为国家事务的主要执行者，具备成为大数据交易法律监管主体的天然条件，但由于交易信息庞杂，无法逐条甄别，行政机关监管主要以制定规则、明确标准、事后监督与执法等方式完成监管。当前，国家市场监督管理总局是负责市场监督管理与执法的主要机构，其在市场监督、质量管理、市场秩序维护、标准制定等方面有明确权责和成熟制度，可将大数据交易行政监管职责纳入其中。

2.交易平台自律监管。大数据交易平台在我国发展迅猛，总体上呈现数量众多、规模较大、类型多样、市场占有率较高的特点。大数据交易平台是大数据供需双方的重要纽带，既是大数据交易的组织者，也是大数据交易的参与者，兼具监管主体和监管对象的双重身份，对交易平台的监管实际上就实现了对大数据交易的监管。交易平台自律监管主要从交易要素出发，主要关注交易主体是否适格、交易客体是否真实合法、交易活动是否安全合规，更容易及时发现交易中存在的问题，将大数据交易法律监管推进至事前阶段。

3.企业内部监管。大数据交易的本质属性是商事交易，交易目的亦是用于企业经营而非其他，企业是大数据交易最主要的供求方。企业内部应设置专门机构负责大数据收集、使用、交易、保存和应急处理，主要目的是明确大数据来源、使用情况以及应对突发情况，一方面企业应妥善使用和维护掌握的大数据资源，另一方面企业应以合法手段取得大数据资源。可参照证券交易信息披露制度，企业内部监管情况应按时、自行申请或应监管机构要求公布，如发布虚假情况，企业将面临相应处罚。

(三)大数据交易法律监管内容

1.数据质量安全。数据质量是影响大数据价值最主要的因素，保护数据质量安全是实现大数据交易安全的基础。数据质量体现在合法性、真实性、准确性、一致性和完整性等多个方面，需要在数据收集、整理、分析、集成、传输、储存等多个环节严格把控，是法律监管的重点与难点。在大数据交易立法中，应根据大数据产品形成的多个环节分阶段监管，对大数据产品进行质量评估与检测，以此作为其进入下一阶段的首要标准。数据质量安全的关键在于建立客观中立的评估机构和完整统一的评估标准。评估机构的法律地位、权责与组成方法均须由立法明确，并尝试给予数据质量评估纠纷以司法救济途径。评估标准由于比较细致，仍需要根据市场发展适时调整，可以在主管行政机关制定统一的基础标准之上，交易平台或评估机构可以据此探索更为全面的质量标准，由主管行政机关认可后执行。

2.数据内容安全。大数据产品内容关乎国家安全、公共安全与个人隐私安全，应对可供交易的大数据产品内容加以明确。在立法层面，针对不同类别的数据内容可采取不同的保护方式。与国家安全有关的数据内容应“法无授权即禁止”，严格遵守《中华人民共和国政府信息公开条例》第二章之规定；由于数据流通是大数据产业发展的必要条件，交易安全与数据流通需妥善平衡，与企业或个人有关的数据内容可采取“负面清单”加以保护，即“法无禁止即可为”，在立法中明确规定不得用于交易的企业或个人数据，譬如企业商业秘密、个人身份信息等。在技术层面，数据匿名化等脱敏手段可有效保护数据内容安全。以往的数据匿名化主要面向个人数据，譬如欧盟《一般数据保护条例》指出“匿名化是指将个人数据移除可识别个人信息的部分”。随着脱敏技术手段的发展，不同类别的数据内容都可以进行敏感程度检测，其将成为保护数据内容安全最为关键的一环。

3.数据流通安全。数据流通是大数据产业发展的必然过程，数据流通安全影响大数据交易目的能否实现。数据流通安全可以分为静态安全与动态安全。静态安全即是存储安全，应建立数据安全分级机制，对不同类别的数据存储进行不同安全级别的保护。在存储阶段，数据存储者负有妥善保管和异常情况及时报告的义务，如在大数据交易中隐瞒则将承担相应的法律责任。动态安全即是传输安全，数据传输方面的风险主要来自人为干扰。解决传输安全问题，一方面要发展更为安全的传输技术手段，譬如非对称加密算法、证书机制等，并在交易规则中加以确认；另一方面要检视当前的法律制度是否对恶意攻击数据传输有力打击。我国《刑法》第二百八十五、二百八十六条、《治安管理处罚法》第二十九条中对破坏数据安全的刑事及行政处罚已制定相对完备的法律规范，但司法实践中一般将人为干扰作为其他犯罪行为的牵连犯，容易泛化打击其他技术手段的进步和发展，司法机关应尽量避免出现此类问题。

四、结语

消除大数据交易安全风险需要构建完善的大数据交易法律监管制度，应在立法中明确行政机关、交易平台、交易主体的监管权责，从大数据的收集到使用实现全链条、多环节分段监管，重点关注交易要素中的数据质量与内容，并在存储与传输过程中确保大数据产品不变质，由此实现大数据交易安全。