个人数据的价值与保护：从法律视角看数据经济的平衡之道

个人数据的价值与保护：从法律视角看数据经济的平衡之道

在数字经济时代，个人数据已成为一种重要的资源，兼具隐私属性和经济价值。清华大学教授程啸在其研究中指出，尽管单个自然人的个人数据在某些情况下价值有限，但这并不妨碍其进行多样化的商业化利用。个人数据的经济价值不仅可以通过数据处理者的许可使用获得回报，还可以通过免费享受网络服务等方式间接实现。然而，个人数据的商业化利用也带来了隐私保护与数据利用之间的冲突。如何在保护个人隐私的同时，合理利用个人数据的经济价值，成为当前亟待解决的重要问题。

个人数据是指以电子或者其他方式记录的与已识别或者可识别的自然人有关的任何信息。个人数据与非个人数据的划分是最重要的数据分类方法之一。在数字社会中，个人数据的处理具有普遍性，无论是国家机关履行法定职责还是企业的生产经营活动，抑或是公共机构提供公共服务，都需要进行个人数据的收集、存储、加工、使用、提供等各种处理活动。个人数据上承载了个人信息，而自然人针对个人信息的处理享有个人信息权益，该权益受到民法典、个人信息保护法等法律的保护。因此，个人信息与个人数据一体两面，都是个人信息权益的客体。

个人信息权益不仅具有防御侵害的作用，可以排除他人非法处理个人数据；还具有法益分配的功能，确保个人可在数字经济中对其个人数据的商业化利用方式予以组织建构并据此实现经济利益。个人数据的经济价值可以通过商业化利用实现，例如，数据处理者与个人签订个人数据许可使用合同，向个人支付相应的金钱作为对价。此外，实践中还有大量的隐性个人数据商业化利用的场合，即个人因为提供个人数据而获得了免费享受网络服务的对价，也就实现了其个人数据上的经济利益。

在数字经济中，个人数据的商业化利用已成为常态。企业通过收集和分析个人数据，可以提供更个性化的产品和服务，优化用户体验。然而，这种利用也引发了隐私保护与数据利用之间的冲突。信息主体认为数字企业平台未经自己同意即利用个人信息的行为侵害了自己的个人信息权，个人信息权通过宪法解释可以被证成为基本权利，信息主体得以基本权利的国家保护义务功能向国家提出请求保护的要求。当国家对“企业——公民”的私法关系进行介入时，平台对于经其处理的信息所享有的基本权利意义上的财产权，同样也要求国家不得对其进行干预，由于国家的介入，二者之间产生了基本权利冲突。基本权利冲突具有抽象性，传统的基本权利冲突的解决模式难以解决。应从基本权利冲突的三层主体入手，即信息主体对于其信息利益进行让渡、国家将公共利益纳入考量以及商业主体对其经济利益进行限缩的方式，对冲突进行平衡。

为了平衡个人隐私保护与数据利用之间的关系，我国制定了《中华人民共和国个人信息保护法》。该法确立了个人信息处理的基本原则，包括合法、正当、必要和诚信原则，明确、合理的目的原则，最小必要原则，公开透明原则，信息质量原则，安全保障原则等。个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全。

个人信息保护法规定了个人信息处理的合法性基础，包括取得个人同意、履行合同所必需、履行法定职责或法定义务所必需、应对突发公共卫生事件或紧急情况所必需、新闻报道和舆论监督等公共利益行为、处理已公开信息等情形。基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。个人信息处理者应当提供便捷的撤回同意的方式。个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。

个人信息保护法还规定了个人在个人信息处理活动中的权利，包括知情权、决定权、查阅权、复制权、更正权、补充权、删除权、可携带权、解释说明权等。个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制。拒绝个人行使权利的请求的，应当说明理由。

广州互联网法院于2024年9月发布的“跨境数据纠纷十大典型案例”中，某国际型酒店集团跨境传输个人信息的案例[(2022)粤0192民出6486号]被称为中国“个人信息跨境传输首案”。该案中，原告（自然人）购买了被告某国际酒店的会员卡并通过酒店APP预定了境外住宿服务，在预定过程中勾选同意了酒店方提供的《客户个人数据保护章程》，并提供了姓名、电话、国籍、银行账户等信息。后原告发现该章程中规定，其提交的全部个人信息将被传输并共享至境外多个地区和主体。原告认为该酒店跨境传输、共享、处理个人信息的行为超出了履行合同所必须，应当承担侵权责任，遂起诉至广州互联网法院。

广州互联网法院生效判决认为，对于被告为消费者预定境外酒店服务收集个人信息并传输到对应境外酒店，属于履行合同必需，不须单独同意。但被告在其《客户个人数据保护章程》中，未遵循公开透明原则，真实、准确、完整告知其处理规则，未能依法正确履行告知义务。此外，被告基于商业营销目的，向位于境外其他国家和地区的第三方公司传输处理相关个人信息的行为及其处理目的超出履行合同必需，也未向信息主体充分告知并取得其单独同意，属于违法处理行为，侵害了该主体的个人信息权益，应当承担民事侵权责任。

随着数字经济的快速发展，个人数据的价值将日益凸显。如何在保护个人隐私的同时，合理利用个人数据的经济价值，成为当前亟待解决的重要问题。未来，我们需要进一步完善个人信息保护法律体系，明确个人数据的权属和利用规则，建立更加科学合理的数据治理体系。同时，还需要加强个人信息保护的宣传教育，推动形成政府、企业、相关社会组织、公众共同参与个人信息保护的良好环境。只有这样，我们才能在数字经济时代，既保护个人隐私，又充分利用个人数据的价值，实现社会进步和经济发展。