萬眾矚目的 “數字時代基本法”——《中華人民共和國個人信息保護法》(以下簡稱《個人信息保護法》)歷經多年醞釀，終于亮相。8月20日，《個人信息保護法》在經過第三次審議后正式頒布，并將于11月1日正式生效，成為繼《網絡安全法》和《數據安全法》之后，數據保護的重要法律。本報記者通過對包括立法參與者在內的多位專家進行采訪，從法律和實際場景的角度切入，對與消費者密切相關的幾個方面進行深入解讀。

隨著互聯網和大數據技術的不斷發展，數據資源成為企業新的生產要素。其中，企業以各種方式收集的個人信息是非常重要的數據資產，因此，企業有義務更好地保護個人的數據權利。專家指出，《個人信息保護法》在第四十五條中首次規定了數據可攜帶權，不僅增強了個人對個人信息轉移與再利用行為的控制，也將對國內企業數據合規提出新的要求。

哪些信息可以收集?

“《個人信息保護法》針對信息收集有很多條文規定，它的基本原則就是要正當、合法、必要。”中國社會科學院學部委員、全國人大憲法和法律委員會委員孫憲忠說。

孫憲忠指出，與收集個人信息有關的條文有以下幾個：第四條明確了個人信息到底指哪些、信息的處理包括什么，其中明確指出處理個人信息應該合法、正當、必要;第六條對應性更強，明確指出處理個人信息應該具有合理的目的，應該與處理的目的直接相關，應該對個人的權益影響最小，例如醫院對個人疾病治療信息的收集就是有明確合理的目的，但如果收集的信息與處理目的毫無關聯，就屬于違法收集了;第十四條明確規定，即使是個人同意收集信息，平臺或者APP提供者也要給個人提供充分的說明，有時甚至還要采取書面形式，這就延伸出了同意權和知情權;第十五條還提到撤回權;第十六條對信息收集者提出了要求，即個人信息處理者不得以個人不同意處理其個人信息或者要求撤回信息為由，而拒絕向其提供產品或服務。

孫憲忠認為，總體來說，個人信息收集是這次《個人信息保護法》非常重視的一個環節，其中有很多強制性的規定條文，這些都是特別有意義的。

什么是數據可攜帶權?

“我們也許都曾碰到過這樣的場景：去一家銀行貸款，銀行可能需要你提供個人的銀行流水、工資單等相關數據，可能還包括其他銀行的流水數據情況。這就是比較典型的涉及個人信息可攜帶權的場景。”中國首席數據官聯盟專家組成員、法律顧問，觀韜中茂(上海)律師事務所合伙人王渝偉在接受記者采訪時說。《個人信息保護法》第四十五條第一款規定“個人有權向個人信息處理者查閱、復制其個人信息”;第三款規定“個人請求將其個人信息轉移至其指定的個人信息處理者，符合國家網信部門規定條件的，個人信息處理者應當提供轉移的途徑”。

王渝偉指出，《個人信息保護法》首次對數據可攜帶權作出規定，根據該規定，數據主體有權從數據控制者處獲取個人信息副本，以及請求數據控制者直接將其個人信息傳輸給另一實體。至此，數據可攜帶權正式被納入我國個人信息保護法律體系，成為個人在個人信息處理活動中的合法權利。個人對其提交給數據處理者的個人信息將擁有更全面的控制。

據中國信息通信研究院互聯網法律研究中心高級研究員、個人信息保護立法研究團隊負責人楊婕介紹，歐盟《通用數據保護條例》(GDPR)最早提出對數據可攜權的定義，包括個人數據副本獲取權以及個人數據轉移權。

王渝偉指出，從歐盟的相關定義看，數據可攜帶權是指數據主體有權以結構化、通用的和機器可讀的格式接收其提供給控制者的有關自身的個人數據，并有權不受妨礙地將這些數據傳輸給另一個控制者。經營者有義務根據消費者的訪問請求，以郵寄或可攜帶的和可使用的電子方式，向消費者免費披露和傳輸其個人信息，以便消費者能夠將數據不受限制地傳輸給另一實體。

該權益回應什么問題?

“比如上述貸款案例，我們實際遇到的情況是：銀行的APP可以提供下載個人相關信息的服務，但是用戶協議里寫了‘該交易記錄僅供用戶自己查看，不能作為他用，否則視為違約’的條款。雖然我們會認為這樣的約定是無效的，但在《個人信息保護法》出臺之前，用戶心里沒底，其他銀行也會有‘拿這樣的信息直接用是否會構成不正當競爭’的顧慮。《個人信息保護法》新設個人信息可攜帶權益，這類問題將迎刃而解。對用戶來說，對自己的個人信息查閱、復制、提供給第三方等權利都有了法律依據。”王渝偉表示。“一直以來，社會各界普遍認為應當在《個人信息保護法》中設定數據可攜帶權，增強個體對個人信息轉移與再利用行為的把控。數據可攜帶權的設立，不但能夠體現立法的前瞻性，還能夠有效回應大型平臺數據壟斷現象。”楊婕說。

觀韜中茂(上海)律師事務所律師陳剛認為，數據可攜帶權的引入，主要是為了解決數據平臺的數據壟斷問題。一方面，數據可攜帶權被作為數據主體的數據權利之一，加強了數據主體對其個人數據的控制。另一方面，數據可攜帶權也可成為反壟斷法規中的重要制度，用以規制數據平臺的壟斷行為。他指出，很多數據平臺實際上充當了兩個或多個用戶組(如買家和賣家)之間的重要紐帶。當他們在平臺的一側(如買家)吸引大量用戶時，會成為通往這些市場或客戶路上不可避免的收費站——平臺另一端的用戶(如賣家)由于別無選擇而使用其平臺。

楊婕認為，具有先發市場地位的大型互聯網平臺，通過在市場早期積累的大量用戶個人信息，逐步形成了不可撼動的行業地位。大型互聯網平臺因此常常肆意調整隱私政策，迫使用戶接受不公平的隱私條款。數據可攜帶權的設立，強化了用戶自主權，能夠有效破除個人信息流通障礙，以用戶權益為出發點，形成用戶主導型的個人信息跨平臺流通，起到防止個人信息鎖定、降低市場準入門檻以及增強平臺之間競爭的效果。

哪些數據可以攜帶?

把在一家銀行的數據拷貝給另一家銀行，把醫療信息轉移到另一家醫院，寫了多年的博客一鍵導入到另一個平臺……這些，都可以嗎?

王渝偉認為，《個人信息保護法》頒布以后，在司法實踐和個人權益維護的過程中，用戶可以理直氣壯地引用數據可攜帶的相關條款。但由于規定較為籠統，還存在用戶哪些數據可攜帶、如何攜帶的問題。王渝偉認為，《個人信息保護法》對數據可攜帶權適用的數據范圍尚不明確。個人對于其提交給數據控制者的具有可識別性的原生數據(即基礎數據)，應該具有所有權，這部分信息屬于可攜帶數據。而與用戶有關的監測數據以及數據控制者經過算法加工、計算、聚合而成的衍生數據，是否屬于可攜帶權的保護范圍，則未明確規定。一般認為，獲取該類數據需要獲得數據控制者的同意，即該類數據不屬于數據可攜帶權的范圍。GDPR的可攜帶數據包括兩類：數據主體有意和主動提供的個人數據(如收件地址、用戶名、年齡等)以及數據主體通過使用服務或者設備所提供的觀測數據。

楊婕指出，根據GDPR的定義，數據主體有權獲取其提供給數據控制者的個人數據，所獲取的個人數據應當是結構化的、通用的和機器可讀的，但并不涵蓋數據處理者抓取數據主體行為形成的觀測數據和各類衍生數據。

“數據攜帶權主要是指給到第三方的場景，這其中需要一個平衡。比如有人要創建一個類似的平臺，直接轉移用戶數據就可能產生另一種不正當競爭。畢竟企業本身特殊的業務模式、特殊的數據場景也是自己特殊的競爭優勢。因此，如果數據搜集企業已經對數據進行了再加工，這部分數據到底屬不屬于可攜帶的范圍，就要具體區分，不能籠統地歸到可攜帶信息。”王渝偉說。

關于可攜帶數據的傳輸格式，根據《個人信息保護法》第四十五條第一款和第三款，數據可攜帶權的內容包括數據主體獲取個人信息副本權，以及請求數據控制者直接將與數據主體有關的個人信息傳輸給另一數據控制者的權利。《個人信息保護法》對數據可攜帶權下傳輸數據的形式規定不明確。陳剛認為，條文并未明確傳輸數據格式應當滿足的要求。正確的解讀應該是：數據主體可以通過網絡隨時訪問數據控制者處理的個人信息。同理，數據控制者也應當以可攜帶的、通用的、機器可讀的形式向數據主體或者經指定的數據接收方傳輸個人信息。

在楊婕看來，第四十五條對可攜帶權僅僅作了原則性規定，為接下來進一步研究論證如何落實可攜帶權以及為國家網信部門制定配套性立法留足了空間。下一步，可以考慮從個人信息類型、處理方式、處理目的、平臺規模以及對第三方權益影響等方面，對可攜帶權進行限縮。

王渝偉指出，數據可攜帶權的具體業務場景、具體司法解釋，包括具體的攜帶方式、支撐數據攜帶所產生的費用誰來承擔等，都還需要在實踐中繼續摸索和完善。

標簽： 個人數據 數據可攜帶權 銀行APP 平臺數據壟斷