行之有效的数据监管，离我们还有多远？

文/陈根

发韧于上个世纪50年代的信息技术革命，在经历了半个多世纪的扩散和普及之后，正推动人类社会进入一个新时代——数据生产力时代。当前，数据的价值已经得到了社会的认可和重视，数据已和其他要素一起，融入了我国经济价值创造体系，成为数字经济时代的基础性资源、战略性资源和重要生产力。

然而，在憧憬数字社会巨大的正面效用的同时，数据使用的负外部性也逐渐凸显——由于在无管制的状态下，个人或企业不必完全承担其行为带来的社会成本，因此数据商业化在给己方带来利益或满足的同时，不可避免地对他人或社会带来不同程度的负面影响，构成了负外部性。

由于数字技术的特殊性，风险传播的广泛性和渗透性，数据的风险不仅仅局限在个人隐私范围，而是具有广泛的破坏性。尽管数据的负外部性已经引发各界高度关注，但从公共治理的角度来讲，政府对数据要素的监管却依旧困难。数据监管难在哪？建立一个行之有效的监管架构，社会还能做什么？

从价值创造到风险并存

生产力作为人类征服和改造自然的客观物质力量，是一个时代发展水平的集中体现。在数字时代下，数据生产力则是在“数据、算力和算法”定义的世界里。知识创造者借助智能工具，基于能源、资源以及数据这一新生产要素，构建的一种认识、适应和改造自然的新能力。

数据生产力意味着知识创造者的快速崛起，智能工具的广泛普及，数据要素成为核心要素。其中，数据要素融入到劳动、资本、技术等每个单一要素中，不仅能够提高单一要素的生产效率，带来劳动、资本、技术等单一要素的倍增效应，更重要的是提高了劳动、资本、技术、土地这些传统要素之间的资源配置效率。

数据要素推动传统生产要素革命性聚变与裂变，成为驱动经济持续增长的关键因素。于是，在数字生产力时代，劳动者通过使用智能工具，进行物质和精神产品生产，数据赋能的融合要素成为生产要素的核心，整个经济和社会运转被数字化的信息所支撑。

可以看见，数据生产力创造价值的基本逻辑，是围绕数据的搜集、加工、分析、挖掘，并在这个过程中，将数据转变为信息，信息转变为知识，知识转变为决策。数据要素的价值不在于数据本身，在于数据要素与其它要素融合创造的价值，这种赋能的激发效应是指数级的。

马斯克的SpaceX就完美地呈现了数据生产力价值。2020年，SpaceX实现了载人航天，完成美国太空发射活动的68.3%。马斯克在公司官网发布的信件提到，从1970年到2000年，向太空发射平均每公斤为1.85万美元。而SpaceX则通过在产品开发早期阶段通过数字空间的模拟仿真，大幅降低了研制成本、缩短周期，每公斤的成本仅为2720美元。

当前，数据生产力正在重构整个经济运行的新体系，成为经济增长的新动能，推进经济生产方式和模式的变革。但与此同时，社会化的数据使用，也存在着巨大的负外部性。

一是数据泄露的危害加剧。有报告显示，全球2020年第一季度数据泄露的数据量已达84亿条。巨量的数据泄露带来严重损失，根据IBM《2019年数据泄露成本报告》，2019年全球数据泄露的平均业务成本高达392万美元。

二是违规收集、滥用个人信息情形严重。并且，使用数据的群体相对减少了其他群体的选择权。比如，基于个人数据画像产生的个性化推荐相对削弱了非应用群体和产品的选择权和被选择权。

根据艾媒咨询发布的《2020年中国手机App隐私权限测评报告》，目前我国多数手机App存在强制超范围收集用户信息的情况。97%的App默认调用相机权限，35%的App默认调用读取联系人权限。

三是数据市场不正当竞争频发。大型科技平台企业更是加剧了赢者通吃的垄断风险，加剧了对其他市场参与者的挤出效应和对市场的扭曲。近年来，围绕数据收集、开发等引发多起企业间纠纷，典型案例如领英（LinkedIn）与hiOLabs3关于用户数据使用争议、新浪微博与脉脉用户数据使用争议等。

从价值创造到风险并存，显然，在憧憬数字社会巨大的正面效用的同时，更需要充分认识和评估数据互联互通可能带来的风险，高度重视数字社会的数据公共治理。

数据监管难在哪？

面对价值与风险并存的数据市场，数据治理就是促进数据价值实现的重要保障。而在数据治理中，数据监管则扮演了重要角色。事实上，数据监管的目的正是防范和管控数据使用的负外部性。

由于数据使用方一般只关注自身的利益和成本，如果没有合理的制度来约束数据使用对他方或社会造成的负面影响，很可能会因此给他人或社会带来伤害或损失。但就目前而言，尽管数据监管已经引发各界高度关注，但数据监管的实施却依旧困难。

首先，不论是数据权利的界定，还是数据权属的争议，监管部门制定的规章层面上的数据监管规则仍留有空白。

从数据权属来说，按照经济学原则，任何需要拿到市场上进行交易的产品和服务首先应该界定其产权。当然，这种产权是一个权利约束，包含所有权、使用权、控制权、收益权等，这些权利在特定情形下是可以分离的。明晰的数据要素产权归属和法律性质，是数据资源要素市场化配置的基础。

然而，尽管对于个人信息保护，我国已经初步建立了与国内环境相符、与全球态势相适应，包括《民法总则》《网络安全法》等为主体的个人信息保护法律框架。但是，这些法律对于数据收集者/持有者收集和交易涉及公民个人信息的数据，其产权的归属、类型和结构界定规则仍然比较模糊，尚无明确的法律法规依据。

又如，数据交易和流通方面，数据交易的核心在于可交易数据和不可交易数据的清晰界定。不可交易数据是未经过处理的可识别个人的数据，为保护个人隐私和安全，任何可追溯到个人身份信息的数据在当前阶段都应被禁止进行交易。但法律实践中，我国也没有制定出台《数据交易和流通法》的专门性法律法规，可交易和流转的数据范围还没有明确的法律依据。

其次，是监管执行层面所面临的困境。即在监管实践中，并未形成完善的监管组织在开展具体工作时有效监管。因此，亟待从国家层面设立数据管理机构予以统筹协调和监管。

当前，由于缺乏国家层次统筹推进数据资源管理的机制和统筹协调的管理机构，国家层面，中央和地方、各职能部门、行业、企业、社会在推动数据要素配置过程中看似“落实国家战略”以求“劲往一处使”，实则“条块林立”，对数据开放共享、数据交易市场准入、数据安全、数据滥用、数据交易纠纷等监管治理存在权责不明的问题。

最后，随着大数据和人工智能技术的成熟，数据的主要使用对象已经由人变为计算机，对数据要素的管理也必然需要采用新的技术手段。在这样的背景下，隐私计算由于它的“数据可用不可见”技术特性，在旺盛的数据融合计算需求的推动下近年来开始蓬勃发展，并被寄予赋能数据要素交易流通的厚望。

然而，隐私计算技术在设计过程中，主要有两种技术架构：一种是各数据提供方相互直接连接的直连模式，另一种是使用代理计算的平台模式。在直连模式中，各数据提供方自行扮演计算方角色，数据使用在各数据方之间形成一对一直接连接的闭环，无法为外界提供集中审计和监管的功能。

也就是说，不论是监管部门采用的技术标准，所使用的数据监管科技，还是对相关技术发展趋势的分析研判或者监管系统建设，都值得社会更多的关注，以避免对数据融合使用的负外部性无法进行有效防范和管控的情况出现。

监管还能怎么做？

当前，我国数据要素市场化配置尚处于起步阶段，配置规模较小，成长速度相对缓慢，要想培育发展数据要素市场，促进数据作为生产要素价值的最大化释放，完善监管治理是必经之路。

一方面，要通过立法划定行为边界。在总结各地实践探索经验与教训的基础上，充分考虑数据交易的独特性，以促进数据流通、加快发挥数据在各个行业中助力提质增效作用为出发点和目的，建立全国范围的数据交易法律法规和监管框架，积极培育数据服务新业态。

比如，加快完善相关立法为数据交易流通提供合法性依据。在数据相关立法中对合法的数据交易流通模式予以明确，并明确划定禁止或限制交易流通的数据范围，从而为数据依法依规的交易流通扫清障碍。

并且，可以由政府对非法和违规的行为严加惩治，通过税收、产权分配等经济手段，将有关经济行为造成的社会成本直接纳入到相关主体的行为成本范畴，实现个体成本与社会成本的匹配。

另一方面，是完善监管组织，构建数据要素治理体系。比如，成立专业监管机构。目前，许多国家都成立了专门的网络信息监管机构，这类机构不仅负责对网络信息的和行为的监控，对网络违法行为的警告或惩处，也负责公民隐私权的行政保护。并且，由于网络信息监管是高度技术化的工作，无论采取何种机构建制，都应该保证专业化的队伍从事政策的制定及执行。

同时，建立协同执法机制。由于平台企业往往涉及多个行业或领域，针对混业经营的客观现实，不可能由某一个或几个部门单一执法。联动或协作执法可以有效的解决这一问题，只有将各部门的职能进行整合，才能消除目前监管中的分散低效，各自为政，多头执法的弊端。这既是对现有的执法模式的改造，也会间接导致行政机关职能的整合。

当然，从监管技术层面来看，仍需强化数据安全技术能力建设。积极研发和推广防泄露、防窃取、匿名化等大数据保护技术，加强以人为中心的隐私和安全设计，促进网络信息安全威胁数据采集与共享。建立统一高效、协同联动的网络安全管理体系，强化个人信息保护与数据安全管理。

从数据的价值创造机制来看，数据只有充分流动，才能发挥其价值，才能为个人、企业、社会带来福利。其强也强，但实现其强大作用力的前提是拥有一个安全、公平的社会环境。想要数据价值得以实现，就必须实现有效的政府监管。这一背景，既是政府监管重心转移的前提，又是建构新型监管模式的基础。