2015年以来，伴随国家大数据战略的实施，数据成为与劳动力、资本、土地、技术等并列的生产要素，数据的产权配置、流通交易、收益分配和安全治理，被作为数据基础制度纳入顶层制度设计。在这一背景下，数据基础制度研究迅速成为学术热点，但这类研究也存在不少问题，常被批评缺少深度。一些学者将数据财产权权属不清视为数字经济发展的最大障碍，并提出了各种财产权确权方案，既包括赋予个人数据权，也包括赋予企业数据权，且以企业数据确权为主。数据确权理论希望既能加强对个人信息和企业数据的保护，也能促进数据利用、推动数字经济发展。对于各种数据确权观点，已经有学者从不同角度提出批评与商榷，双方观点截然对立。本文从财产权理论出发，结合国内外数据权属法律实践，试图回答数据确权的两个核心问题：数据确权是否能够加强数据保护，数据确权是否能够促进数据利用。本文希望通过对这两个核心问题的讨论，加深对数据规律的认识，澄清数据确权主张的种种观念误区，探索数据治理的正确方向。

财产权的重要性在启蒙思想家的著作中就已得到充分的体现，近代以来的法治实践更证明了财产权的核心地位。20世纪60年代之后，新制度经济学勃兴，财产权理论不断得到丰富与发展。美国生态学家加勒特·哈丁在1968年的一篇文章中给一个思想实验起名“公地悲剧”，该思想实验假设一片公共牧场无偿向所有牧羊人开放，每个牧羊人为追求利益最大化都会放养尽可能多的羊，最后导致草场沙化。要避免公地悲剧，一种方案是明晰财产权，把公地分配给每个牧民。这样，每个牧民在追求自身利益最大化的时候，会考虑长期效应，从而使牧场资源得到更好的保护和可持续利用。在此之前，1960年，经济学家科斯将交易成本嵌入到财产权理论中，提出如果市场交易成本为零，不管初始权利如何界定，市场机制会自动使资源配置达到最优；在交易成本大于零的现实世界，权利的初始界定会对资源配置效率产生影响。

（一）财产规则与责任规则的划分

在承认权利初始界定的重要性的前提下，1972年，耶鲁大学法学院的卡拉布雷西和米勒米德进一步提出财产规则与责任规则的区分理论，该理论后来成为分析财产权保护的经典范式。也就是说，确权之后，需要在法律上明确究竟应该为权利提供财产规则保护还是责任规则保护。财产规则之下，他人必须通过自愿交易从权利人那里购买权利，购买价格必须经过权利人同意。责任规则之下，他人只要愿意事后支付客观确定的价格，就可以随时破坏初始权利。易言之，财产规则是一种强保护、事前保护，最终可以适用行政法律责任与刑事法律责任保障权利；责任规则是一种弱保护、事后保护，最终只能依靠侵权赔偿机制保障权利。在交易成本很低的情况下，应该适用财产规则，当事人可以通过协商达到理想的结果。在交易成本很高、不可能协商或者协商非常困难的情况下，应该适用责任规则，拟制市场可能达成的结果。毫无疑问，财产规则比责任规则更有利于权利人。在此基础上，另外两位美国学者进一步对两种规则的适用领域进行了研究。他们发现，实际占有领域（如房屋、汽车等）受到财产规则的保护，目的是防止占有状态未经权利人同意而被改变；而有害外部性领域（如污染、汽车事故）因为相关当事人无法事先协商，通常只受到责任规则的保护。

我国农村集体土地制度改革可以很好地检验财产权保护理论。改革开放以前，农村土地名为集体所有，实际无人负责，由此开启了家庭联产承包责任制改革。改革后一个时期，农村土地产权边界不清晰，相关政策没有得到全面落实，限制了土地流转的规模和范围。这一时期的制度实践，可视为只适用责任规则保护承包经营权。2011年之后，国家开始对农户承包地进行确权登记颁证，确认和保障农民的土地物权。研究发现，土地确权必须彻底厘清土地的产权边界和权属关系，才能促进土地的流转和集中，提高土地资源的配置效率。也就是说，土地确权必须以明晰的权利边界为基础，否则不同主体之间无法进行协商和谈判。由于土地占有关系明确，明确土地“四至”和承包合同期限就可以明确权利边界，一旦确权颁证就相当于激活了财产规则，更有利于调动权利人的积极性。

（二）数据保护只能适用责任规则

数据作为生产要素，很多方面都不同于土地，不能简单照搬土地确权经验。对于个人而言，个人数据是数据控制者采集形成的可以识别特定个人具体信息的数据，并不由数据主体控制或者占有。在非经同意采集的情况下，个人甚至未必能够知道个人数据的存在，更不用说要去占有自己的个人数据。对于采集数据的企业而言，其采集的数据中既有用户提交的网页数据，也有平台生成的个人数据，还有机器生成的非个人数据，大量的数据都是用户在平台上的活动记录，很难清楚界定权属关系。美国政府在一份官方报告中指出：“数据的来源和格式的多样性和复杂性不断增加。部分来源目录包括公共网络，社交媒体，移动应用程序，联邦、州和地方档案与数据库，从商业交易和公共档案中汇集个人数据的商业数据库，地理空间数据，统计数据，以及通过光学字符识别扫描成电子形式的传统离线文件。互联网支持的设备和传感器的出现，扩大了从物理实体收集数据的能力......个人位置数据可以来自GPS芯片、移动设备的手机塔三角测量、无线网络的映射和当面支付。”并且，企业“收集信息固然至关重要，但还远远不够，因为大部分的数据价值在于它的使用，而不在于占有本身”。大数据并不是采集者数据库中的静态比特，而是开放生态体系中奔腾流淌的“数字音符”。数据驱动的创新通过“对海量交易、生产与沟通过程中产生的大量数据（大数据）近乎实时的分析，以从未预见过的水平加速全社会知识与价值的创造”。典型场景下，不同的主体通过采集者的应用程序编程接口（API）开发、使用、分享、综合、分析、加工数据，数据价值不断被提升，数据也反复被不同主体双向、多向使用，大数据的非独占性、非排他性特点得到鲜明体现。例如，一辆自动驾驶汽车每小时能够产生1TB到5TB的数据，然而，为了能在不同天气、能见度与路况下安全行使，它还需要更多的第三方数据。这样的场景下，各种边界变得模糊，精确度不再成为追求的目标。用传统的占有概念来描述数据的状态，必然会出现多重扭曲。当人们在网络上购买了一本电子书或者一件音乐作品，只是获得了用户协议规定的利用权。“我们所期待的那种财产权利，往好的方面说是不确定的，往坏的情况说就是压根不存在于数字市场。”

关于数据处理活动，欧盟《一般数据保护条例》中规定了数据控制者、数据处理者与第三人三大类主体。其中，数据控制者独立处理个人信息，数据处理者代表数据控制者处理个人信息，第三人得到授权后处理个人信息，而数据控制者与数据处理者几乎总是同时出现。这种多主体并存的规定，非常形象地描绘了多主体共同实时处理个人数据的场景。在数据边界模糊、占有关系退却、多主体协商面临巨大交易成本的大数据应用场景下，很难适用实际占有状态下的财产规则保护，而只能适用责任规则对侵害数据权益的行为事后追究侵权责任。美国网络法专家莱斯格虽然很早就提出过应对隐私权采取财产规则保护而不是责任规则保护，但二十多年的网络发展实践证明，个人数据与企业数据都只能得到责任规则的保护。无论是否确立数据财产权，都不会改变这种规则适用格局。如果像某些方面设想的一样，在不影响业务流程的前提下，将某些数据从其业务场景中分离出来，作为数据产品单独打包提供给数据交易所或数据中介商，实现二次盈利，这种情况下，确实存在适用财产规则的可能。然而，由于脱离业务场景和网络，上述交易活动已经与大数据无关。这样的数据产品交易（咨询服务）在大数据时代之前早已存在，过去不需要确权，现在依然没有必要确权。

需要指出的是，欧美国家的政界、学界与产业界近年来也不时有一些关于数据财产权的建议。然而，对于什么是数据、什么是财产权，各种观点往往非常模糊。除少数情况以外，主流建议完全不同于我国学者的数据确权主张。首先，他们所说的数据财产权，指的是个人对于自己个人信息的所有权，而不是企业的数据所有权。前者指向的是可以识别特定个人具体信息的数据，范围相对确定；后者指向的数据范围则难以确定，几乎无所不包。其次，主张财产权的目的，是为了使数据主体能够通过同意机制控制自己的个人信息，并分享数据控制者从个人信息使用中获得的收益。因此，当他们主张数据财产权或者主张将隐私作为财产时，并不是在建议设立新类型的权利，而是主张将财产规则（而非责任规则）作为个人信息转移规则。有学者将这种主张辨析为适用财产规则主张，而不是设立新型财产权主张。如果对财产权理论的背景缺乏清晰认识，就会在比较研究与借鉴中出现误解与误用。我国学者的数据确权主张，不但包括设立个人数据权与企业数据权，还包括要系统构建数据财产权规则体系，这远比国外的讨论复杂。

（三）我国对于数据的法律保护现状

考察我国实践可以发现，经过多年探索，我国刑法、民法、行政法三大部门法对于个人数据与企业数据的保护水平，已经远远高于财产权责任规则的保护水平。2009年刑法修正案（七）在第四章“侵犯公民人身权利、民主权利罪”中增设刑法第253条之一，将侵犯公民个人信息行为纳入刑事制裁。民法总则（已失效）第111条规定自然人的个人信息受法律保护，任何组织和个人需要获取他人个人信息的，应当依法取得并确保信息安全。民法典将个人信息保护归入人格权编，并要求除法律、行政法规另有规定的外，处理个人信息应征得该自然人或者其监护人同意。2013年修订的消费者权益保护法，在第14条中规定消费者“享有个人信息依法得到保护的权利”，并在我国公法中首次构筑以知情同意为基础的个人信息保护基本制度。网络安全法、个人信息保护法进一步完善以知情同意为基础的个人信息保护制度，并以完备、严厉的法律责任作为个人信息权益的保障。尽管三大部门法对个人信息的保护在性质上究竟是权利保护还是权益保护，究竟是人身权保护、人格权保护还是国家安全保护，以及权利与权益究竟是什么关系等重大理论问题还存在许多争论，需要更为和谐、一致的法律解释，但三大部门法对个人信息的法律保护，已经完全达到财产规则的保护水平。这种情况下，即使赋予个人以数据产权，也只能适用责任规则，没有任何实际意义。

对于企业数据，尽管我国法律从未明确以权利加以界定，反不正当竞争法等法律甚至未规定“数据”概念，但不同法律均对数据权益提供着有效的保护。在最高人民法院公报案例北京中锐文化传播有限责任公司诉北京零点市场调查与分析公司不正当竞争纠纷案中，法院认定，“对特定行业从业者具有实用性，能给权利人带来经济利益的商业信息”属于企业的商业秘密，“如果受托人将调查中获得的相关商业信息予以公布，就是将委托人的商业秘密予以公开，属于侵犯商业秘密的不正当竞争行为，应当承担相应的民事责任”。法院在本案中适用的，明显是与责任规则相似的保护标准。

进入移动互联网时代后，随着竞争的加剧，企业间的数据权属争议案件越来越多。在新浪微博诉脉脉不正当竞争纠纷案中，法院采用“用户授权+新浪授权+用户授权”的三重授权原则，即被告方在爬取数据前，除要取得自己用户授权外，还应获得原告方和原告用户的授权同意，否则构成不正当竞争。这体现了权利规则加责任规则的双重特点。在大众点评诉百度不正当竞争案中，法院将被爬取的数据认定为原告的劳动成果，并补充解释，该劳动成果虽不属于法定权利，但被告未经许可而使用的行为仍然不符合商业道德，违反反不正当竞争法。在腾讯诉浙江搜道公司、杭州聚客通公司不正当竞争纠纷案中，两被告开发运营“聚客通群控软件”，利用外挂技术将该软件中的“个人号”功能模块嵌套于个人微信产品中运行，为购买该软件服务的微信用户在个人微信平台中开展商业营销、商业管理活动提供帮助。法院最后认定，对于单一原始数据聚合而成的数据资源整体，数据控制主体享有竞争性权益；未经许可规模化破坏性地使用他人所控制的数据资源的，可以认定为不正当竞争。在淘宝诉美景不正当竞争纠纷案中，法院认定，“开发者对合法采集的网络用户数据信息和网络原始数据，进行深度分析处理整合加工而形成的可为经营者实际控制和使用，并带来相应经济利益的大数据产品享有合法权益。其他经营者未付出创造性劳动，直接利用他人开发的大数据产品盈利的，既违反诚实信用原则及公认的商业道德，又损害了产品开发者的合法权益，同时扰乱相关行业市场竞争秩序。因此，上述经营者未付出创造性劳动，直接利用他人大数据产品盈利的行为构成不正当竞争，须承担相应的民事责任”。

归纳上述案件的共同特点可以发现，案件争议的均是各方面可以通过网络公开利用、获取的数据，属于典型的大数据。并且，这些数据基本都由数据控制者的用户行为所产生，由数据控制者所控制。尽管法院在判决中普遍不对数据主体还是数据控制者拥有这些数据作出判断，但均认可数据控制者对这些数据享有合法权益，第三方未经其许可使用这些数据构成不正当竞争，需要承担民事责任。据统计，2016年至2021年上半年，“浙江法院审结的14件数据权益知识产权案件中，判决结案10件，占比71.43%，其中判决认定构成不正当竞争的9件，胜诉率90%；调撤率仅为28.57%，远低于其他知识产权民事案件”。民法典第127条规定：“法律对数据、网络虚拟财产的保护有规定的，依照其规定。”这等于确认了司法实践中对于数据权益的责任规则保护。

对于不能公开获取、利用的企业数据，我国的法律保护水平更高，分别依据行政法与刑法提供保护。在行政法保护方面，由于网络安全具有外部性，会对国家安全与社会公共利益产生重大影响，网络安全法第27条规定，任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动。数据安全法第32条规定，任何组织、个人收集数据，应当采取合法、正当的方式，不得窃取或者以其他非法方式获取数据。因此，企业必须采取法律规定的安全保障措施，包括各种物理措施，维护数据安全。不履行网络与数据安全保护义务的，需要承担相应的法律责任。对于数据控制者而言，维护数据安全不仅是权利，也已经是一项法律义务，权利的行使要受到国家的干预。用财产权理论解释，这已经是保护水平远远超出财产规则与责任规则的第三类规则——不可剥夺性规则，该规则不仅“保护”权利，也限制或规范权利的授予。

在刑法保护方面，我国刑法在分则第六章“妨害社会管理秩序罪”第一节“扰乱公共秩序罪”中规定了非法获取计算机信息系统数据、非法控制计算机信息系统罪（第285条），破坏计算机信息系统罪（第286条）和拒不履行信息网络安全管理义务罪（第286条之一），体现了维护社会管理秩序的立法意图。另外，诸如危险作业罪（第134条之一）、妨害信用卡管理罪（第177条之一）、侵犯著作权罪（第217条）、侵犯商业秘密罪（第219条），也都可以用来保护企业的数据权益。有意思的是，我国刑法对于数据保护的规定，均不在“侵犯财产罪”一章中。这就说明，尽管数据没有被确定为财产权的客体，但这丝毫不影响刑法对数据权益的保护或者对数据保护义务的要求，并且，刑法的保护水平相当于或者高于财产规则的保护水平。浙江省高级人民法院课题组调查发现，2016年至2021年上半年，浙江法院共受理涉数据权益知识产权民事一审案件21件。同一时期，“浙江法院审理的涉数据权益刑事案件裁判文书共708份，其中非法侵入计算机信息系统罪8份，非法获取计算机信息系统数据罪137份，破坏计算机信息系统罪87份，侵犯公民个人信息罪464份，侵犯著作权罪8份，侵犯商业秘密罪4份”。这种情况下，认为我国法律对企业数据保护的强度与密度不足，并以此作为主张数据确权的主要理由，显然既不符合实际情况，也存在对财产权理论的误读。并不是所有产权都应该或适合以财产规则保护，也不是所有权利都需要动用国家力量或者刑法保护。

总之，我国法律对个人数据和企业数据的保护，比数据确权以后的责任规则保护水平更高、力度更大。这种情况下再确立数据财产权，并适用保护力度更弱的责任规则予以保护，没有任何实际意义。