数据资产的形成基础与入表路径——基于国家网信办十起执法典型案例的类型化研究

案例②：离职员工植入恶意程序案

一家科技公司的应用软件有大约35万用户。员工刘某参加了这个软件的开发，因为劳动合同续签没成，心里有气，就在离职前偷偷在软件里植入了一个恶意程序，用不正当手段换取推广分成。用户一打开起始页、一搜索，或者一点书签，就会被引导到付费推广地址。网信部门认定公司没有尽到管理责任，责令改正并罚款；刘某因涉嫌犯罪，另案移送公安机关处理。

这个案子有两个可以资产化的对象：应用程序本身属于软件，按无形资产准则确认；那约35万用户的用户关系和行为数据，在满足授权、可控、可变现的前提下，也符合数据资源入表的条件。这两项资产的形态分别是“自有自用”和“自有待售”：前者按无形资产核算，后者根据持有目的确定怎么归属。相比之下，数据资产的条件是最齐备的。

启示在于：控制其实很脆弱。提交权限、写入权限、发布权限，这些就是“控制”在技术上的体现；一个已经离职的人仍然能改变软件的运行行为，说明控制权已经分散了。所以入表之前，必须建立“控制证据链”：权限清单和回收记录、访问日志、密钥托管、变更审批留痕，这些都要有。

案例⑤：车辆状态信息未加密案

广东有一家软件企业，硬件设备存在未授权访问的漏洞：不需要登录，打开4000端口的控制台，就能直接读取车辆状态。用户绑定公众号之后，不管是回传数据还是查询数据，全程都没有加密。最后被认定没有履行个人信息保护义务，责令改正并予以警告。

车联网数据可以分成三层来看：第一层是履行合同必需的数据，随载体一起确认，不单独列示；第二层是增值数据，在去标识化并且取得用户单独同意后，可以入表；第三层是衍生数据，不含个人信息，可以自由交易。

如果三层混在一起核算，成本没法归集，价值也没法区分，最后很可能只能放弃入表。应该设立独立的数据成本中心，分层归集成本，让每一层都能独立回答“成本是多少、收益是什么、能不能单独交易”。第二层的数据即使只是许可使用，也可以单独作价。

加密缺失这个事，提示我们：传输环节是数据资产价值最容易流失的地方。明文传输，等于把资产的完整副本直接暴露在链路上，一旦被截获，资产实体就失控了。

案例⑧：数据出境未申报安全评估案

上海一家科技公司的Windows客户端，超出必要范围抓取了硬件配置、使用时长、系统信息，还和注册信息一起回传到境外机房。最终被认定超过了最小必要范围，也没有完成数据出境安全评估，责令改正并罚款，依据是《个人信息保护法》《数据出境安全评估办法》等规定。

这个案子是十个案例里唯一一个直接改变资产法律环境的案例。说白了，数据出境不是“换个地方存储”，而是监管环境变了：在境内，监管能很快触达，救济路径也短；出境以后，控制力下降，处置周期变长。所以数据出境应该理解成权利的部分让渡——使用权还保留着，但一部分支配力和可救济性也让渡出去了。

跨境的数据资产其实由“境内可用”和“境外可用”两部分构成。如果合并在一起评估，会高估资产；分层评估才能反映差异：按照分级结果划分地域单元，分别归集成本、测试可收回金额，并披露对跨境的依赖。

这个案例还有另一层启示：主机配置、使用时长这些信息，平时常被当作设备信息，可一旦和身份信息合并，就能识别到具体个人。所以资产单元的界定，不能简单按字段划分，而要看“能不能识别到个人”和“能不能独立产生经济利益”这两个标准一起来定。

案例③ 开发测试环境残留文件案

安徽某数据产业公司受托开发“数字档案管理系统”时，选用存在未授权访问漏洞的开源ES组件。测试结束后，测试库中的真实业务文件未清除，导致2400余份文件外泄，含审计报告、合同、会议纪要及等级保护测评报告、立项批复与概算批复等敏感材料。监管机构处罚开发方而非委托客户，认定其未履行网络安全与数据安全保护义务，未采取技术措施及其他必要措施保障数据安全，处理决定为责令改正、给予警告并处罚款，直接负责的主管人员一并罚款。

该批文件权利归客户，开发方自始至终仅为数据持有人。验收完成后，开发方持有的正当性基础消灭，继续留存由“履行合同所必需”转为“无合法依据的持有”，因而不构成开发方数据资产；开发方负担确定的删除或返还义务。义务确定、金额可估、履行不可避免，性质上更接近负债，而非或有事项。  

数据服务商履约中接触的客户数据虽不能入表，却可沉淀形成三类可资产化成果：其一，经脱敏、聚合形成的行业知识库，脱敏后不涉及个人信息，可作为自有数据资源；其二，开发中形成的工具、组件与模型，可确认为无形资产；其三，行业解决方案与客户关系，可构成服务能力。共同前提在“转化”，即将受托期间形成的认知成果转化为不依赖原始数据、不侵害原权利人利益的独立成果。  

就形成机制而言，启示在于转化须有明确法律边界。方法有三：脱敏与匿名化（依《个人信息保护法》第四条，匿名化信息不属于个人信息）；聚合与统计（表现为规律而非个体记录）；工具化（将处理能力封装为软件而非数据本身）。

案例⑩ 接口转售未开展安全评估案

江苏某科技公司运营两个网站，经营“API中转站”，将多家大模型厂商接口接入后转售给自身用户调用对话及问答功能。依规该业务上线前须经安全评估，但该公司未开展。监管机构认定其存在内容安全风险，处理决定为责令改正、对责任人从严处理并予以警告。

通道型业务是数据要素市场的基础设施形态，数据交易所、API聚合平台及SaaS集成商均属此类。其资产构成并非“模型”或“数据”，而是用户关系、调用记录、计费系统与服务能力，可确认为无形资产；但价值取决于上游授权是否涵盖转售、转授权及二次分发。若授权仅限自用，通道排他性不成立，资产可能随时被上游切断。  

形成机制启示在于“依赖型资产”的识别与披露。通道资产寿命不由企业自身决定，而取决于上游授权期限及可撤销性。此类信息披露在传统资产中不常见，却是数据资产特有的信息需求。  

若通道商从单纯转售接口转向加工增值，资产形态即发生实质变化。在调用记录基础上形成的用量分析、行业模型与场景模板，属于自有数据资源或数据产品，权利不依赖上游授权。转化关键在于取得上游对衍生成果归属的书面确认，但多数平台服务条款未明确约定。因此通道商签约阶段应争取三项条款：转售与转授权许可、衍生数据成果归属、授权终止后的过渡安排。三项条款的缔约成本签约时几乎为零，争议发生时却决定资产存废。  

案例⑥ 强制授权收集个人信息案

浙江某信息科技公司运营的运动类App，用户使用跑步功能时，以防作弊为由要求一次性授予定位、电话、存储等全部权限。若拒绝，App便以“拒绝提供全部权限”为借口关闭跑步功能。监管机构认定其未按场景区分功能、一次性索取多项权限，且在另有替代方案的情况下超范围收集非必要个人信息，处理决定为责令改正并予以警告，依据《个人信息保护法》第六条、第十六条。

跑步场景核心需求仅位置信息与运动轨迹，其余权限均与处理目的无关。超出目的采集的数据字段既不能用于已告知目的，也难以用于新目的，却产生泄露面扩大、合规成本上升、被查处概率提高等负面效应。依资产定义，“预期会给企业带来经济利益”是资产确认必要条件。  

形成机制启示在于“必要性映射”的方法价值。必要性成立，数据字段可合法使用、可持续积累、可用于经营活动，采集成本方构成资产成本；必要性不成立，成本即为沉没成本并伴随合规负债。未经必要性筛选的数据，规模带来的是风险敞口而非资产。

案例⑦ 人脸信息用于渠道判客案

重庆某置业公司在售楼场所布设十余处图像采集装置，采集存储到访客户人脸信息5000余条，用于辨认客户身份并判断其与哪家中介存在带看关系。公司未就采集目的、方式、用途真实准确完整告知，亦未取得客户单独同意。监管机构处理决定为责令改正、给予警告并处罚款，依据《个人信息保护法》第二十六条、第二十八条、第二十九条，《网络数据安全管理条例》第二十一条及第二十二条第二项，以及《人脸识别技术应用安全管理办法》关于必要性审查、非人脸识别替代方式与备案管理的规定。

生物识别信息属于敏感个人信息，须具有特定目的、充分必要性并取得单独同意；公共场所图像采集设备收集的信息只能用于维护公共安全。  

但本案对数据资产研究的意义，在于揭示一条常被忽略的替代路径：房地产开发销售中真正具备资产价值的并非人脸信息，而是经匿名化处理的客流数据，包括到访量、停留时长、动线分布及复访率。此类数据匿名化后不属于个人信息，可自由使用与交易，商业价值不低于渠道判客——后者仅解决佣金结算争议，前者直接服务于选址、定价与营销策略。企业将高敏感数据视为资产，反而走上资产化歧路。

案例① 门户网站被植入恶意代码案

上海某电子企业自2020年以来未修复门户网站后台管理员弱口令，对系统可能遭受暴力破解的风险亦未监测。2026年4月后台被攻破，站点源文件被植入恶意代码，通过搜索引擎检索，返回结果夹带大量违法及不良信息。事发后未启动应急预案、未采取补救措施，也未向主管部门报告。监管机构依据《网络安全法》第二十三条、第二十七条及第六十一条处理决定为责令改正并处罚款。

网站内容数据是典型的内容型数据资产，包括页面、产品信息、案例与资讯，价值体现在触达能力（索引量、检索排名、访问量与转化率），而非数据条目数量。但在入表时需要注意的是：服务器与网站软件分别属于固定资产与无形资产。

案例④ 安全设备授权过期案

河南某医院的体检系统存在弱口令，凭借该弱口令即可调取就诊病历等数据。属地网信办责令全面整改，复核时发现该院六类防护设备——防火墙、入侵防御、漏洞扫描、日志审计、数据库审计及堡垒机——均因授权到期而失效，终端仍存在700个漏洞，其中73个可能被实际利用，数据泄露风险并未消除。医院因此被责令改正，给予警告，并处罚款，对直接负责的主管人员一并处以罚款，有关情况另行通报卫生健康部门。

我们可以从本案提炼一条普遍结论：数据资产的维持依赖一套可运行的保护设施，设施失效即资产失控。六类设备：防火墙、入侵防御、漏洞扫描、日志审计、数据库审计、堡垒机，恰是数据资产的“保管设施”，其清单可以直接作为数据资产安全能力的评估框架。

案例⑨ 生成合成内容未标识案

四川一家科技公司的小程序对外提供AI文本对话与图片生成，却没有给产出内容加上显式标识；文件元数据里亦无隐式标识，制作要素、服务提供者、内容编号均无从查考；用户导出时同样未作提示。处理为责令下线该小程序。

由此可知：合成数据的资产化有两个前置条件：来源可追溯与质量可验证。