个人数据能否资产化——个人数据的法律属性、转让边界与合规流通路径
关键词：个人数据权益；数据资产化；人格权；匿名化；合规流通
前言
在数据要素市场建设的诸多议题中，个人数据可否资产化始终是分歧最为集中的基础性命题。一方面，数据已被确立为新型生产要素，国家层面持续鼓励数据依法合理有效利用、有序自由流动；另一方面，个人数据背后承载着人格尊严，相较于一般数据，法律对个人数据权益给予了明显更强的保护。观察实践，征信服务、用户画像、信用评估、账号交易等业务场景中，围绕个人数据商业利用边界的争议屡见不鲜。由此引出本文拟回答的三个问题：个人对其个人数据究竟享有何种性质的权益？此种权益可否让渡？承载个人信息的“数据”又应循何种合规的交易路径进入流通？
核心结论
一、个人数据权益的法律属性——人格权底色与财产化空间并存
（一）个人数据权益以人格权为根基
《中华人民共和国民法典》（以下简称“《民法典》”）第一千零三十四条规定：“自然人的个人信息受法律保护。”
《民法典》第一百一十一条规定：“自然人的个人信息受法律保护。任何组织或者个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。”
《中华人民共和国个人信息保护法》（以下简称“《个人信息保护法》”）第二条规定：“自然人的个人信息受法律保护，任何组织、个人不得侵害自然人的个人信息权益。”
据前述规定，个人数据权益在性质上属于人格权益，而非所有权意义上的财产权。现行法并未借助创设“个人信息所有权”的方式来保护个人数据，而是将其纳入人格权保护与个人信息保护的双重框架。从体系解释的角度看，《民法典》第一千零三十四条被置于《民法典》第四编“人格权编”第六章“隐私权和个人信息保护”之中，与隐私权并列——此种编排本身即表明，立法者意在将个人数据权益塑造为以人格尊严与人身自由为保护对象的独立人格权益，而非赋予信息主体对信息内容的所有权式支配权。
（二）个人数据权益蕴含潜在的财产利用价值
《民法典》第一百二十七条规定：“法律对数据、网络虚拟财产的保护有规定的，依照其规定。”
《个人信息保护法》第四条第一款规定：“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。”
据前述规定，“数据”与“个人信息”在法律概念上彼此分离，匿名化的个人数据由此获得财产利用的潜在空间。依照《个人信息保护法》第四条的界定，落入保护范围的仅是与已识别或可识别自然人相关的信息；某项信息一经处理而再无法识别特定自然人、亦无法复原，即不再属于个人信息。《民法典》第一百二十七条虽未就个人数据的财产属性直接表态，却肯定了数据可作财产权客体；两相印证可得出如下判断：个人数据经匿名化处理后脱离人格权的保护射程，转而作为一般数据资源进入财产法调整领域。
综上，个人数据兼具两种面向：其作为个人数据权益的一面，受人格权保护；其经匿名化而成为数据资源的一面，则可转化为具备财产价值的数据资产。个人数据权益性质上属人格权益，并无所有权式财产权构造，信息主体不能像处分物那样将个人数据整体“出卖”；但承载个人信息的数据可成为商业利用与数据产品化的客体，其经济价值经由同意授权、许可安排与匿名化处理，在合规框架内得以实现。
二、个人数据权益的转让边界——流转须循合规轨道
（一）人格权的放弃与转让为《民法典》所禁止
《民法典》第九百九十二条规定：“人格权不得放弃、转让或者继承。”
据前述规定，《民法典》对人格权的整体处分持否定立场。人格权既不得作为交易客体被放弃，也不得被转让或继承；个人数据权益归属于人格权益序列，同样不得整体转让。但应予辨明的是，信息主体就特定处理行为作出的同意授权，性质上属于人格权益的行使而非人格权的处分，不在禁止之列。
（二）许可使用与同意机制 为个人数据合规流转提供通道
《民法典》第九百九十三条规定：“民事主体可以将自己的姓名、名称、肖像等许可他人使用，但是依照法律规定或者根据其性质不得许可的除外。”
《个人信息保护法》第十三条规定：“符合下列情形之一的，个人信息处理者方可处理个人信息：（一）取得个人的同意……”。
《个人信息保护法》第十四条规定：“基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。”
据前述规定，许可使用与同意机制相衔接，共同搭建起个人数据合法流转的制度基础。个人数据向数据资产转化，可循许可或同意授权的路径完成——该路径并非人格权的放弃或转让，其法律效果在于：权益人许可或授权个人数据处理者，在特定目的、方式与范围的限度内取得处理该个人数据的权限。
综上，《民法典》第九百九十二条并非个人数据合规流转的障碍。个人数据权益本身不可让渡，个人数据交易便只能以许可使用、同意授权的方式展开。
三、合规流通的三条路径——匿名化、许可同意与产品化
（一）匿名化处理后脱离个人信息范畴即可流通
《个人信息保护法》第四条第一款规定：“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。”
《个人信息保护法》第七十三条第一款第（四）项规定：“本法下列用语的含义……（四）匿名化，是指个人信息经过处理无法识别特定自然人且不能复原的过程。”
据前述规定，个人信息经匿名化处理即脱离个人信息范畴，从而具备流通可能。信息经过处理达到无法识别特定自然人且不能复原的状态，便不再属于个人信息，此时可作为一般数据资源持有、加工、交易；但匿名化须满足“无法识别”且“不能复原”的法定标准——仅完成去标识化、借助额外信息仍可识别特定自然人的，不构成匿名化，个人信息保护义务亦不能因此免除。
（二）未匿名化的信息可经信息主体许可或同意进入流通
《民法典》第九百九十三条规定：“民事主体可以将自己的姓名、名称、肖像等许可他人使用，但是依照法律规定或者根据其性质不得许可的除外。”
《个人信息保护法》第十三条规定：“符合下列情形之一的，个人信息处理者方可处理个人信息：（一）取得个人的同意……”。
《个人信息保护法》第十四条规定：“基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。”
据前述规定，未匿名化的个人数据须依托信息主体的许可或同意方能流通。对未匿名化的个人数据而言，交易性流通别无他途，只能借助信息主体作出的有效许可或同意实现；个人信息处理者原则上须事先取得个人同意或许可，并在充分知情、自愿明确等同意要件以及变更事项须重新取得同意等规则上严格合规。
（三）企业对数据的产品化与登记确权
《中共中央、国务院关于构建数据基础制度更好发挥数据要素作用的意见》第（七）条规定：“建立健全数据要素各参与方合法权益保护制度。充分保护数据来源者合法权益，推动基于知情同意或存在法定事由的数据流通使用模式，保障数据来源者享有获取或复制转移由其促成产生数据的权益。合理保护数据处理者对依法依规持有的数据进行自主管控的权益。在保护公共利益、数据安全、数据来源者合法权益的前提下，承认和保护依照法律规定或合同约定获取的数据加工使用权，尊重数据采集、加工等数据处理者的劳动和其他要素贡献，充分保障数据处理者使用数据和获得收益的权利。保护经加工、分析等形成数据或数据衍生产品的经营权，依法依规规范数据处理者许可他人使用数据或数据衍生产品的权利，促进数据要素流通复用。建立健全基于法律规定或合同约定流转数据相关财产性权益的机制。在数据处理者发生合并、分立、解散、被宣告破产时，推动相关权利和义务依法依规同步转移。”
据此政策安排，企业可将数据产品化并登记确权，使价值以产品形态进入流通。企业对合法收集的数据施以脱敏、加工、分析而形成数据产品后，围绕该产品开展经营并取得收益的权益即受法律保护；经此转换，个人数据的经济价值以“数据产品”而非“个人信息”的面貌进入市场。
综上，个人数据合规交易的可行通道有三：其一，匿名化处理后作为一般数据资源流通；其二，基于真实自愿的许可或同意授权实现流转；其三，企业将产品化数据登记确权后，以产品形态对外流通。
结语
就法律属性而言，个人数据权益呈现人格权属性与财产化潜力并存的格局，个人数据因此具有两面性：一面是作为个人数据权益接受人格权保护，另一面是作为匿名化后的数据资源转化为具备财产价值的数据资产。就转让边界而言，个人数据应当合规流转——个人数据权益本身固不可转让，但经许可、同意授权使用等合规路径即可实现流转。就流通路径而言，匿名化、许可同意与产品化三途并行：个人数据匿名化处理后可流通，基于真实自愿的许可或同意授权可流转，企业对产品化数据登记确权后亦可以产品形态流通。
