两家公司签订技术服务合同，约定通过第三方大数据平台“合法合规”采集客户信息并引流。一方付款54万元后主张对方未履约要求退款，对方反诉索要尾款。最高人民法院二审认定：双方系为非法获取、使用公民个人信息而签约履约，合同无效，已付服务费涉嫌违法所得，移送公安机关处理。

数据交易中“交付”究竟交付了什么？风险何时转移？数据泄露或被第三人传播，许可方与被许可方责任如何划分？我国尚无专门的数据交易立法，《民法典》第一百二十七条仅做指引性规定，规则供给不足，更需将交付与风险负担规则在数据场景中重新解释和落地。

（一）交付的标准：“排他性控制权移转”

传统买卖交付是物理动作；数据可无限复制、不具有排他性，交付不会使原持有人减损，因此用“文件是否传输成功”判断数据交付是危险误读。司法实践答案更精确：最高法指导性案例267号中，生效判决判项仅写“交付账号及密码”，最高法认为：执行交付账号密码时，应同时依法变更有关实名认证信息。

温州数据资源法庭审理的一起数据交易纠纷中，受让方已付约九成款项，出让方虽开放部分权限、切换收款账户，但未交付源代码、超级管理员权限、软件著作权证书，也未配合变更登记，法院认定核心资产未交付，构成根本违约。该案确立的审查要点包括：数据控制权实际转移、数据资源稳定性与排他性、合法性与可处分性。

综上，数据交易中的“交付”，是排他性控制权的实质移转，而非载体的形式移交。 交易文本应当把交付要件清单化，并在验收条款中逐项对应。

（二）风险负担规则解决“对待给付”，不解决“损害归属”

《民法典》第六百零四条确立交付主义：标的物毁损、灭失的风险，交付前由出卖人承担，交付后由买受人承担，但法律另有规定或当事人另有约定的除外。第六百零五条、第六百零七条、第六百零八条分别处理受领迟延、需要运输、买受人违约未受领三种情形。这里存在一个普遍误解：把风险负担规则当成损害赔偿责任归属规则。二者不同。风险负担规则回答的是对待给付风险——标的物灭失后，买受人是否仍须支付价款。

数据泄露这事儿，关键得搞清楚“责任算谁的”——对下游客户、对个人信息主体、对监管机关，出了问题谁来担责；对内，团队和部门之间又怎么分摊。对外这块，主要看事情发生在哪个时间点；对内这块，主要看谁的行为能归到责任上。《民法典》第六百一十一条明确提示：“标的物毁损、灭失的风险由买受人承担的，不影响因出卖人履行债务不符合约定而买受人请求其承担违约责任的权利。”风险转移不等于责任免除，这是数据交易中最易被数据提供方误读，也最易被数据接收方滥用的条款。

数据本身不会凭空消失，但可能以三种方式“坏掉”，这几种情况和传统意义上的“毁损灭失”差不多，但背后的责任判断逻辑不一样：

1. 用不了——比如被锁住、密钥找不到了、存储设备坏了。这种情况最像传统风险负担规则，就看交付那一刻谁该担责。

2. 泄密了——比如数据泄露、被爬走、被内部人员导出去。这种情况跟交付时间关系不大，关键看“数据到底在谁手里”“泄露的源头在谁那边”。

3.被改坏了——比如数据被篡改之类的情况。

1. 第三人原因不能对抗合同相对方：《民法典》第五百九十三条。

“当事人一方因第三人的原因造成违约的，应当依法向对方承担违约责任。当事人一方和第三人之间的纠纷，依照法律规定或者按照约定处理。”

这是处理“数据被第三人窃取/转卖”场景的第一性条文。被许可方不能以“数据是被黑客拖走的”“是员工个人行为”为由，对抗许可方的违约主张；被许可方应先向许可方承担违约责任，再依该条后段向实际侵权人追偿。

2. 交付时的质量与权利瑕疵击穿风险转移：《民法典》第六百一十条、第六百一十一条、第六百一十二条、第六百一十七条。

第六百一十条规定，因标的物不符合质量要求致使不能实现合同目的的，买受人可以拒绝接受或者解除合同；买受人拒绝接受标的物或者解除合同的，标的物毁损、灭失的风险由出卖人承担。第六百一十二条确立了出卖人的权利瑕疵担保义务，第六百一十七条则指向质量违约的救济路径。

在数据场景中，若泄露根源回溯至交付时即已存在的缺陷——未脱敏或脱敏不达标、留有后门或未切断原访问通道、未删除底层原始副本、数据来源本身存在瑕疵——则“交付后风险由买受人承担”的默认规则被击穿。

3. 验收与异议期限：《民法典》第六百二十条、第六百二十一条。

买受人收到标的物应当在约定检验期限内检验；怠于通知的，视为标的物的数量或者质量符合约定。数据交易尤其需要约定数据验收期、质量异议期与抽样校验规则——接收方拿到数据后长期不做校验，事后以质量问题抗辩的说服力会被大幅削弱。

4. 减责与限责路径：《民法典》第五百八十四条、第五百九十条、第五百九十二条第二款。

第五百八十四条的可预见规则限制赔偿范围；第五百九十二条第二款规定，当事人一方违约造成对方损失，对方对损失的发生有过错的，可以减少相应的损失赔偿额；第五百九十条规定不可抗力免责。

需要特别提示：黑客攻击原则上不构成不可抗力。网络攻击属于可预见、应防范的经营风险，《数据安全法》第二十七条本就要求数据处理者采取相应的技术措施和其他必要措施保障数据安全。若将网络攻击认定为不可抗力，等于让法定的安全保障义务落空。

（五）公法义务不因交付而转移

传统买卖中，交付之后标的物的保管风险基本在买受人一侧。数据交易不同，公法上的义务链条并不因交付而切断：

《个人信息保护法》第五十一条：个人信息处理者应当采取分类管理、加密、去标识化、合理确定访问权限、安全培训、制定应急预案等措施。第六十九条第一款：处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任——即过错推定。

《个人信息保护法》第二十三条：向其他个人信息处理者提供其处理的个人信息的，应当取得个人的单独同意。这是数据二次流转的授权闸门。

《数据安全法》第二十七条：开展数据处理活动应建立健全全流程数据安全管理制度，采取相应的技术措施和其他必要措施保障数据安全。第三十三条：数据交易中介服务机构应当要求数据提供方说明数据来源，审核交易双方的身份，并留存审核、交易记录。第五十二条：违反本法规定给他人造成损害的，依法承担民事责任。

《网络数据安全管理条例》（国务院令第 790 号，2025 年 1 月 1 日起施行）第十二条：网络数据处理者向其他网络数据处理者提供、委托处理个人信息和重要数据的，应当通过合同等与网络数据接收方约定处理目的、方式、范围以及安全保护义务等，并对网络数据接收方履行义务的情况进行监督；处理情况记录应当至少保存 3 年。

第十二条尤其值得注意：它在行政法规层面确立了提供方的交付后监督义务。这意味着“交付即免责”在数据法上缺乏规范基础——交付只是责任形态的转换，不是责任的终点。

《网络安全法》第四十二条：未经被收集者同意不得向他人提供个人信息，但经过处理无法识别特定个人且不能复原的除外。匿名化是否达标，既是数据能否合法交付的前置门槛，也是泄露发生后责任回溯的溯源点。

（六）第三人二次传播的新请求权基础：反不正当竞争法数据专款

《反不正当竞争法》第十三条第三款增设数据专款：“经营者不得以欺诈、胁迫、避开或者破坏技术管理措施等不正当方式，获取、使用其他经营者合法持有的数据，损害其他经营者的合法权益，扰乱市场竞争秩序。”

这一条款的意义在于：第三人二次传播不再只能依靠第二条原则性条款兜底，而是有了明确的行为构成要件——他人合法持有的数据＋以不正当方式获取或使用＋损害合法权益＋扰乱竞争秩序。第三人因此可能承担独立的竞争法责任，而不被合同相对性所遮蔽。

综合上述条文与裁判事实，数据交易中的交付与风险转移可以归纳为一个四层递进的判断框架。

第一层：交易标的是否合法、授权链条是否完整

涉及个人信息的 → 核查单独同意（《个人信息保护法》第二十三条）、影响评估（第五十五条）、匿名化是否达标（《网络安全法》第四十二条但书、《个人信息保护法》第七十三条匿名化定义）。

涉及重要数据、数据出境的 → 另行核查分类分级与出境评估要求。

第二层：是否已实现排他性控制权的实质移转

判断要件：访问凭证和密钥要交出来，实名信息或主体信息该变更就变更，管理员权限也要移交过去，原来持有人留的后门通道得切断，必要的说明文件和元数据一起移交，底层冗余副本按约定删掉或者封存起来。

未完成 → 数据仍在提供方实际支配范围内，毁损、泄露风险与责任由提供方承担（《民法典》第六百零四条反面适用），并可能构成根本违约（参照温州数据资源法庭审理的数据资源交易纠纷案）。

已完成 → 进入第三层。

第三层：交付完成后，风险在谁的控制领域内发生

一般规则：谁控制，谁担第一性责任。规范依据为《民法典》第五百九十三条、第五百零九条，《数据安全法》第二十七条，《个人信息保护法》第五十一条。

被许可方作为控制方，对许可方负保管、保密、不得转提供等义务。数据在其系统内被内部人员导出、被黑客拖库、被其下游转卖，均由其对许可方先行承担违约责任，再向实际侵权人追偿。

举证分配：控制方就“已尽安全保障义务”“泄露归因于对方或不可归责的第三人”负举证责任；举证不能的承担不利后果。

减责与限责：《民法典》第五百九十二条第二款（与有过失）、第五百八十四条（可预见规则）；黑客攻击原则上不构成不可抗力（第五百九十条）。

第四层：泄露根源是否回溯至交付时即已存在的缺陷

若泄露源于提供方交付时即已存在的缺陷——未脱敏或脱敏不达标、留有后门或未切断原访问通道、未删除底层原始副本、数据来源本身有瑕疵、交付副本未加密——则风险负担的默认规则被击穿：

《民法典》第六百一十条：不符合质量要求致合同目的不能实现的，买受人可拒绝受领或解除合同，风险由出卖人承担；

第六百一十一条：风险由买受人承担的，不影响就出卖人违约请求违约责任；

第六百一十二条、第六百一十七条：权利瑕疵担保与质量违约责任。

提供方对接收方的义务并不因交付终止：《网络数据安全管理条例》第十二条确立的监督义务与 3 年记录留存义务，未履行本身即可构成过错。