详解欧盟《数据法（提案）》

详解欧盟《数据法（提案）》  解读人：帕格健，上海交通大学法学院硕士生~

2022年2月23日，欧盟委员会发布了《关于公平获取和使用数据的统一规则（数据法）》提案》。该提案又被称为《数据法》,是欧盟委员会2020年2月公布的《欧洲数据战略》下的第二项主要立法倡议。

近年来，数据驱动技术对所有经济部门都产生了变革性影响。物联网产品和相关服务的激增，增加了用户、企业和社会的数据量和潜在价值。欧盟希望从用户、企业和公共机构在内的全部利益主体的角度出发，促进尚未被有效利用的数据在欧盟境内及各行业之间的自由流动，并确保数据价值的公平分配。《数据法》的公布，意味着欧盟有巨大潜力持续推进以数据为驱动的经济社会发展：从用户角度来讲，扩大了数据可携带权的范围；从企业角度来讲，有助于促进市场的创新和竞争；从公共角度来讲，可以通过更加科学的政策制定来提升社会公共服务的整体水平。

    一、《数据法》的目标：公平分配数据价值

欧盟认为，数据共享中存在的技术性障碍、不正当竞争、不公平合同条款和非个人工业数据的滥用等问题阻碍了欧盟的数字化转型。因此，为提高数据的再利用、释放创新潜力，欧盟从过去的“强调保护个人信息”转向了“个人信息保护和数据流动并重”的价值取向。本次发布的《数据法》规制的是因使用物联网产品和相关服务获得和生成的数据，探索对数据访问权和使用权的最优分配，以确保高质量的数据被不同领域利用。

《数据法》解释性备忘录中列出了五项具体目标：第一，在便于消费者和企业获取和使用数据的同时，保持对数据投资的激励机制；第二，规定公共部门机构和欧盟机构、机关或团体在有数据需求的特定情况下使用企业持有的数据；第三，促进云和边缘服务之间的转换；第四，实施安全措施，防止未经云服务提供商通知的非法数据传输；第五，为各部门间重复使用数据制定互操作性标准。

    二、《数据法》的亮点：三大数据共享场景

《数据法》列举了数据持有人对用户、企业和公共机构的三种数据共享场景，在适用规范上体现了立法者对数据持有者商业自由和相关方公平性之间的平衡考量。中小微企业由于其规模和能力的不足，不宜过多增加数据共享负担，因此被排除在《数据法》规制的数据持有者的义务范围之外。

   （一） 用户数据可携带权

    1. 用户权利。根据《通用数据保护条例》（GDPR）第20条，数据可携带权应满足以下三个条件：1）应数据主体请求；2）与数据主体相关的个人数据；3）由数据主体主动提供给数据控制者的数据。《数据法》从以下几个方面对GDPR下的可携带权进行了扩充：首先，是主体的扩充。不止数据主体可以行使可携带权，掌握数据主体数据的法人组织也可以。其次，是方式的扩充。不仅限于请求获取，相关产品或服务应设定用户在默认情况下能够直接获取数据。再次，是对象的扩充。可携带权不仅适用于个人数据，还适用于非个人数据，以及主动提供和被动监测获得的数据。

    2. 数据服务提供商的义务。首先，数据服务提供商的产品或服务应默认允许用户获取数据，且在书面合同中与用户明确约定数据可携的权利。其次，数据服务提供商使用非个人数据应基于合同约定。再次，数据持有者承担着应用户请求，向第三方提供数据的义务。在用户不是数据主体的情况下，数据持有者在转移数据主体的个人数据时，应先取得数据主体同意。此外，数据持有者不应将使用产品或相关服务所产生的任何数据用于深入了解用户的经济状况。

    3. 数据接收者的义务。获得数据的第三方可以是企业、研究机构或非营利组织。数据接收者作为可携带权的获益者，也承担着相应的义务。比如，当用户行使可携带权涉及数据服务提供商的商业秘密时，必须是为履行合同所必需，且采取必要措施，才能进行转移。另外，数据接受者不得将获取的数据用于开发竞品或除服务所必需外将收到的数据以原始、汇总或衍生的形式提供给其他方。

    4. 数据可携带权不适用于“守门人”企业。根据《数字市场法》第3条，“守门人”是指在数字市场中达到一定规模或具有一定影响的科技企业。《数据法》的第5条和第6条明确规定守门人不得作为第三方获取数据，第三方也不得将获取的数据提供给守门人。对此，解释性备忘录给出的理由是“考虑到这些企业获取数据的无可匹敌的能力，没有必要将他们作为数据访问权的受益者，因为这对那些承担义务的数据持有者来说是不相称的”。然而，这并不妨碍第三方使用守门人提供的数据处理服务，因为《数据法》中规定的“数据处理服务”不同于GDPR下“数据处理”的定义，数据处理服务的客户可以在没有数据服务提供商的任何人工交互的情况下单方面自行提供计算能力。换言之，不存在数据处理服务提供商通过数据处理服务获取企业数据的风险。

   （二） 企业数据共享

《数据法》提出了企业间数据共享的基本原则，即公平、合理、非歧视和透明原则（FRAND原则）。同时，为了激励企业持续投资以产生更多有价值的数据，《数据法》还设置了补偿规则，数据接收者应合理补偿数据持有者共享数据产生的费用。但是，如果数据接收者中小微企业，则约定的补偿不得超过提供该数据的直接成本（数据复制、通过电子手段传播和存储的必要成本，不包括数据收集或生产的成本），这体现了保护中小微企业的立法取向。

针对不公平合同条款问题，《数据法》规定如果合同条款是一方单方面施加的，且具备以下几种情形，则该条款不具有约束力，主要有：1）排除或限制故意或有重大过失一方的责任；2）排除合同相对方寻求救济的权利；3）赋予单方解释合同条款权利的内容。此外，应由制定不公平条款一方对该合同的公平性承担举证责任。

   （三） 公共机构获取企业数据

公共机构获取企业数据应满足以下条件：1）法定情形：公共机构仅可在a)自然灾害、传染病防治等公共紧急情况下，或b)为预防公共紧急情况，或c)履行公共职能时才可向企业提出数据需求，不得因刑事侦查、行政案件或海关税务管理等原因要求企业提供数据。2）前提条件：非公共紧急情况下，仅有当数据无法通过市场购买、无法从现有渠道及时获取、无法及时通过新立法等情况下才可要求企业提供数据。3）要求明确：数据需求必须明确清晰，并提供该数据需求提出的具体原因、计划使用的方式和时间、所依据的法律基础等内容。4）比例原则：在提出需求时，公共机构也需要充分考虑比例原则、企业保护商业秘密的合法需求、企业需要花费的成本和精力等因素，并尽可能关注非个人数据。

同时，《数据法》也为提供数据的企业制定了保护措施。例如第18条的争端解决机制，第20条规定了经济补偿，第14条明确中小微企业不负有应公共机构要求提供数据的义务，进一步为中小微企业提供了额外的保护。

    三、《数据法》的优化：数据服务的互操作性

GDPR注重个人信息权益的保护，互操作性标准的缺失导致少量大公司大量累积用户数据的数据垄断问题未得到充分解决。无论是数据持有者向用户、企业还是公共机构共享数据，如果没有互操作性规范的落实，数据可携的影响范围十分有限。

《数据法》在GDPR“以结构化，通用化和机器可读的格式”实现数据可携的基础上要求数据持有者“在适当情况下持续和实时提供数据”，加强了对数据服务互操作性的要求。《数据法》第八章规定了数据开放互操作性、数据共享机制和服务、数据空间、数据处理服务的要求和标准，以及数据共享的智能合约要求。欧盟委员会被授权进一步制定互操作性要求。

   四、《数据法》与相关立法的衔接  

    1. 《数据法》与GDPR

《数据法》是对现有的个人数据处理规则（包括GDPR和《电子隐私条例》）的补充，规制的客体对象因使用物联网产品或相关服务产生的数据，包括个人数据和非个人数据，主动提供或被动观察得出的数据，也无论基于何种法律依据处理的数据。因使用产品或相关服务而产生的数据包括用户有意记录的数据，还包括作为用户行为的副产品产生的数据，如诊断数据，以及用户没有采取任何行动的数据，如产品处于“待机模式”时，以及产品关闭期间记录的数据。但不涉及通过算法产生的衍生数据，因为算法可能受到知识产权的保护。

    2. 《数据法》与《非个人数据自由流动条例》

《非个人数据自由流动条例》通过引入行为准则来促进云服务提供商之间的数据传输，并对云服务提供商提出了一套自我监管的方法。《数据法》在此基础上为用户设立了云服务数据可携带权。另外，由于自我监管的方法没有对市场动态产生重大影响，《数据法》对《非个人数据自由流动条例》所强调的问题提出了一个监管方式。

    3. 《数据法》和《数据库指令》

《数据库指令》对因大量投资而创建的数据库采取特殊保护，即使该数据库本身不是受版权保护的原创知识创造。对于“大量投资”的定义，欧盟法院FixturesMarketing Ltd诉Oy Veikkaus Ab案指出“大量投资”保护的是对数据收集的投资，而不保护作为另一个经济活动副产品的数据创造的投资。因使用物联网产品或相关服务获得或生成的数据是否受到《数据库指令》的保护，这一点在《数据法》公布之前仍然存在争议。《数据法》解决了这种不确定性，明确通过使用产品或相关服务产生或获得的数据无权获得《数据库指令》保护，而应接受《数据法》的规制。

来源：数据法盟