论数据出境评估、合同与认证规则的体系化

汤霞

（华南师范大学法学院副研究员）

摘要：数据携带权既具有便利个人数据移转、推动数据自由流通与共享、促进数据产业公平竞争与创新的功能，也可能因其适用的复杂性和不确定性而面临着加剧反竞争效应、隐私侵犯与知识产权侵权、互操作性困难等挑战。应当构建集体携带权制度、强化数据携带权的身份验证与数据分层安全保护、加强知识产权保护以及建立DTP解决互操作性等来平衡个人数据安全、平台数据权益与数据市场的竞争秩序。我国构建本土化的数据携带权制度应明确其适用范围与携带场景，多措并举实现数据安全与流通的利益平衡。

关键词：数据携带权；数据安全；互操作性；知识产权保护

数据已被公认为经济增长和社会进步的必要基础，在数字经济中流通和共享的数据是市场经济主体的重要资产。与数据生产要素紧密结合的数字平台企业出于继续保持竞争优势的考虑可能会不公开数据或限制数据流动，对其他企业设置进入壁垒，使非主导平台难以与其竞争。为了在由少数巨头主导的数字领域增加竞争，一些监管机构要求大型平台允许用户自由转移数据。欧盟《通用数据保护条例》（GDPR）引入的数据携带权（Right to Data Portability，RtDP）已成为解决数字经济领域竞争问题的首选方案，其使命在于保护数字经济中处于弱势地位的个人的基本价值并在最大程度上推动经济创新与社会福祉。考虑到数据携带权可能存在侵犯数据主体的数据隐私、损害平台的数据权利等隐忧，需要合理设计该制度以激励数据的流通与共享。本文首先对GDPR中数据携带权的适用范围和表现形式予以厘清，在此基础上梳理数据携带权在数据垄断规制与数据权益保护方面的困局，然后从数据安全与流通之利益平衡的角度分析数据携带权适用困局的纾解之道，最后立足我国实际，探讨如何兼顾个人对数据的控制权与平台的数据财产利益，如何打破优势平台的数据垄断以及如何提升数据互操作性以便利数据自由流动。

一、促进数据流通与共享：数据携带权的适用范围和表现形式

随着互联网、大数据以及移动通信等信息技术的出现和普及，数字平台拥有的先发优势使其能够获得显著的市场竞争优势。数据携带权的出现使得用户可以将其数据从一个平台移植到另一个平台，不仅便利了个人对数据的控制和利用，也有助于打破数据壁垒和数据垄断，促进数据流通与共享。

（一）数据携带权的适用范围

数据携带权即数据主体从数据控制者处移动、复制或传输个人数据的权利，保障个人控制其数据和信任数字环境，打破用户在不同的服务者之间转换的锁定效应，促进数据控制者之间的竞争。GDPR中数据携带权集中在第20条，具有重要的制度创新：首先，数据必须以“结构化、常用和机器可读的格式”提供，增加了数据的扩展性；其次，“在技术可行的情况下”，数据主体有权“将这些数据毫无阻碍地传输给另一个控制者”，推动了数据的聚合与重用；最后，被请求的原始数据控制者有义务为数据主体免费提供数据移植服务，有助于降低其他企业的市场准入门槛。为应对数据携带权的措辞在范围和实施上的模糊带来的问题，欧盟第29条工作组（WP29）于2017年4月5日出台了《数据携带权指南》（以下简称《指南》），旨在帮助数据控制者为应用数据携带权做好准备。

1.与数据主体有关的个人数据

数据携带权适用于数据主体向数据控制者提供的个人数据，并且该数据处理是基于同意或合同并通过自动方式进行的。关于数据携带权的适用范围存在诸多讨论，特别是关于术语“提供”的含义。第29条工作组在其《指南》中将“提供”解释为“数据主体在知情的情况下主动提供的数据”以及“数据主体因使用服务或设备而提供的观测数据”。这意味着受数据携带权约束的个人数据除了个人基本信息之外，还包括个人的搜索历史、交通和位置数据，以及其他原始数据，例如可穿戴设备跟踪的心跳和在以收集数据为目的的活动中占有的数据。这一范围不包括数据控制者从所提供的个人数据或任何非个人数据中使用算法推断出的数据。虽然该类数据最具商业价值且能够帮助企业获得市场竞争优势，但考虑到该数据不是由数据主体“提供”的，为了维持数据主体和数据控制者之间的利益平衡，将其排除在数据携带权之外。

2.涉及第三方的数据

在数据主体要求转移数据时，平台可向其提供复选框，并告知哪些数据可以被转移。数据主体的个人数据至少应包括个人的社交图谱如电话、网络通讯记录等，不可避免地会涉及作为数据主体好友的其他用户信息和数据主体与其好友通过相互交集而共同提供的涉他数据等第三方数据，但在数据携带权请求中应包括哪些第三方数据仍存在不确定性。考虑到移植涉第三方的数据通常是在第三方不知情的情况下进行的，第三方无法行使其作为数据主体的权利。第29条工作组强调了移植涉第三方数据的要求，即新的数据控制者不能将第三方数据用于营销，在未经第三方数据主体知情和同意的情况下，不得利用第三方的数据或对该数据进行分析处理，不得利用移植的数据来丰富第三方数据主体的档案。即便第三方知晓其数据被移转后要求数据控制者删除相关数据，其删除权的行使实际上受到了限制。

3.适用例外

GDPR第20条规定了数据携带权的三个适用例外。第一，该权利仅适用于数据控制者保留的数据。如果数据主体根据GDPR第17条行使其被遗忘的权利，则其不能同时转移数据。对于已呈现匿名且不再属于可识别的个人的数据也无法转移。第二，数据携带权不得妨碍为公共利益或为了行使数据控制者被授权的官方权威而对数据进行的必要处理。这意味着当为了公共利益或法律需要时，个人数据不适用数据携带权。第三，数据携带权的应用不应对他人的数据权利产生不利影响。个人数据通常涉及多个数据主体，若数据主体请求移植的数据可能侵犯他人的隐私权，数据控制者可以拒绝数据主体的请求。即便第三方已同意数据主体将涉第三方数据转移至新平台，数据移转的过程中第三方的数据权利仍然受到保护。

数据携带权的范围和解释主要涉及该权利是否可以被使用以促进个人数据的连续和重复转移。但是，当前的法规没有明确何为“技术上可行”和“不受阻碍”，数据保护工作组希望不同的数据平台能够通过互操作性标准传输个人数据，对数据主体或另一数据控制者对该数据的访问、传输或重用，现有数据控制者不得设置任何法律、经济或技术上的障碍。保障数据携带权安全实施的成本较高，中小企业难以负担，数据保护机构很难要求所有数据控制者遵守严格的互操作性标准。由于数据携带权的范围尚不明晰，就GDPR第20条给予数据主体对其数据控制权的范围和程度，目前的法律实践尚未达成一致意见。《加州消费者隐私法》（CCPA）未就数据携带权包含哪些类型的数据发布任何指南，企业无法根据明确的规则来判断可以移植的数据范围，但CCPA 中数据携带权还包括用户对企业收集的个人信息的知情权，范围宽于GDPR。CCPA在数据携带权的适用问题上也应采用与GDPR类似的标准，以在全球范围内促进反垄断、互操作性等问题的解决。

（二）数据携带权的表现形式

数据携带权是支持个人数据自由流动并促进数据控制者之间竞争的重要工具，它降低了现有数据控制者对数据的持久性控制，刺激竞争并促进数据的扩散和重用。为了便利数据的转移，需要协调数据格式的标准化和互操作性，以完善数据处理过程。数据携带权主要有两种表现形式，不同之处在于如何移动数据。

第一种数据携带权表现形式是一次性导出（one-off exports），即用户以一种可以上传到另一个平台的形式下载其在一个平台上的数据，不需要数据发送方和数据接收方有直接连接。一次性导出可以降低数据转换成本，对其他类型的数据如照片、视频和博客文章等也同样适用。实践中，由于不同的平台传输数据的方式不同，数据发送方在移动大量数据时可能无法以易于访问的格式存储。一次性导出通常需要数据控制者花费较长时间来准备。

第二种数据携带权表现形式是通过应用程序编程接口（API）实现的互操作性，即用户允许两个或多个平台直接交换数据，在访问中不受限制地与当前或未来的其他平台或系统实现互联，并进行持续的、实时的和最新的信息传输。互操作性是实现数据携带权的关键，个人数据通过互操作性可以便捷地从一个系统传输至另一个系统。根据GDPR第20条第1款的规定，数据控制者须提供“结构化的、常用的和机器可读的”系统来便利数据主体传输数据。第29条工作组建议使用API来促进自动化的数据传输，以便企业能够帮助个人进行数据管理或对企业收集的个人数据再利用，防止数据锁定和促进创新。

与一次性导出相比，API 要求数据发送方和数据接收方保持稳定的关系。接收方向发送方请求数据，使其能够更快、更频繁地获取数据。API还允许数据发送方通过速率限制和密钥注册等控制接收方获取数据的内容、时间和方式，并在必要时切断接收方的访问。数据发送者保留对数据的控制除了竞争之外还会考虑安全性、防止垃圾邮件和降低成本等因素。一次性导出和 API并不是严格的二分法，对于一次性导出，数据发送方和数据接收方可能在短时间内直接连接，然后彼此断开；关于API，数据发送方可能仅在满足某些条件时才允许用户将其数据传输至其他平台。

二、数据垄断规制与数据权益保护不足：数据携带权的适用困局

数字平台持有的数据差异可能会造成进入壁垒，阻碍数据的自由流动。为了应对国际社会日益高涨的对数字平台的反垄断规制，大型数字平台将数据携带权纳入其竞争政策之中，允许用户将其个人数据从一个平台传输至另一平台。数据携带权虽增加了数据主体对数据的控制权并推动市场竞争，但其在规制数据垄断问题上仍面临诸多挑战。

（一）数据携带权的实践

数据的可携带最早可追溯至电信领域电话号码可携带的相关规定。美国1996年《电信法》（Telecommunications Act）明确规定号码携带权。2003年 11 月 24 日，美国联邦通信委员会（FCC）要求所有无线运营商允许用户将其电话号码移植到另一个运营商，改变了用户若更换运营商须放弃现有电话号码的做法。FCC希望通过消除转换成本来增加运营商之间的竞争。欧洲议会和欧盟理事会也在《有关电子通讯网络通用服务和用户权利的2002/22/EC号指令》中规定了号码携带权。金融和医疗保健等领域也出现了允许用户查阅和获取相关数据的规定。网络技术的发展使得更多的用户希望将其在互联网上的数据在不同的服务器之间自由传输，实践中也涌现出允许用户移植数据的案例。美国早在2000年的 ReverseAuction.com案中就承认了数据的可携性。ReverseAuction.com 是 eBay 的竞争对手，它使用不公平和欺骗性的行为来收集有关eBay用户的电子邮件地址和反馈评级等信息。尽管美国联邦贸易委员会（FTC）对 ReverseAuction.com 的行为颇有微词，也认为 eBay 控制用户评论的方式阻碍了在线拍卖行业的竞争，但并未声明不允许移植个人的在线评论是反竞争的。

2008年，大型数字平台谷歌和脸书加入数据携带权项目，允许用户在不同的网络服务提供者之间移植数据，以实现数据的重用。但是，用户在转移数据的过程中仍受制于平台的诸多限制。在2013年FTC对谷歌的反垄断调查案中，鉴于谷歌对用户将广告从其在线广告平台Adwords转移到其他竞争性平台的限制，用户在其他平台手动挨个插入广告费时费力，转换成本极高，不得不继续使用Adwords平台。FTC对谷歌发起反垄断调查，谷歌承诺在60天内删除其AdWords API条款中限制用户跨平台管理广告的表述。该案中，FTC未对谷歌的垄断行为进行罚款，也未明确谷歌是否有义务满足用户的数据携带权请求，但至少说明占据市场支配地位的数据平台若拒绝用户的数据携带权请求，可能会受到FTC的反垄断调查。

GDPR在对数据携带权作出规定之后，为满足用户转移数据的需求，受GDPR约束的平台允许用户在平台间自由迁移数据。实践中不同平台之间的数据迁移影响市场主体的竞争，欧盟委员会对大型数字平台滥用市场支配地位排除限制竞争的行为日渐重视。在谷歌滥用市场支配地位案中，欧盟委员会调查发现，谷歌在与第三方网站签订的合同中设置了一些限制性条款，阻止谷歌的竞争对手在这些网站上投放搜索广告或者将广告转向其他竞争性平台。欧盟委员会根据《欧盟运行条约》（TFEU）第102条和《欧洲经济区协定》（EEA Agreement）第54条禁止滥用市场支配地位的规定，认为谷歌滥用其市场主导地位来代理在线搜索广告，并通过对第三方网站实施反竞争合同限制来保护自身免受竞争压力的做法剥夺了其他公司在创新方面进行竞争的可能性，也剥夺了消费者从平台之间的竞争中获益的机会，因而对谷歌处以14.9亿欧元的罚款。

从上述案例来看，占据市场主导地位的平台通常利用数据和算法垄断优势对其他企业设置进入壁垒，以强化其现有市场支配地位。欧盟试图通过数据携带权向数据控制者施加义务，一方面能通过保护数据主体的数据安全来降低数据垄断平台对消费者的侵害，另一方面也能推动数据的自由流动和激活数据市场的竞争活力。但是，当前数据携带权的权利主体仅为个人，可携带的数据有限，无法对数据市场的数据垄断行为进行有效规制。如果数据携带权进一步扩展到企业，那么对市场竞争的影响极为重大。

（二）数据携带权适用的局限性

数据携带权可以降低用户的数据转换成本并促进数据流通，但考虑到不同平台市场地位的差异，市场的新进入者仍会面临难以克服的网络效应或规模经济问题。数据在转移的过程中也可能出现信息泄露或盗用的隐私与安全风险、知识产权侵权风险以及企业合规风险等。

1.经济层面：加剧数字平台的反竞争效应

一是降低的转换成本可能加剧数据锁定。若用户在一个平台存储大量数据，其将数据移植到另一个平台时可能会产生大额费用，此时转换成本构成进入壁垒。一次性导出和API可以降低用户的转换成本，但未必会促使数据从主导平台流向竞争对手。虽然数据携带权意味着几家占据主导地位的大平台和众多小平台更容易在同一基础上竞争，但具有强大网络效应的现有平台通过数据携带权可以更好地吸引用户将在初创平台存储的数据转移至大型平台，导致“强者恒强”的局面出现，加剧数据的锁定效应。因而，转换成本的降低实际上可能会损害较小的竞争对手，加剧大企业对数据的垄断。

二是规模经济可能阻碍创新。当企业随着规模扩大、市场份额提升以及数据存量增加而提高效率时，就会出现规模经济。平台产品质量的提升对其他用户尤其是潜在用户的吸引力越大，也就越容易拓展新的客户群。数据携带权便利了数据控制者收集、分析用户数据，推动企业不断变革运营模式并催生高质量产品和良好服务的新型数据产业。但是，一些平台为了达到和保持规模经济的动力会实施掠夺性定价和垂直整合等抑制创新的行为，阻碍数据分析和数据运用等新型初创企业或中小企业的创新发展与服务提升。大型平台为了维持规模经济甚至会利用数据携带权直接从其他平台获取数据，比如谷歌地图公司（Google Maps）从Yelp网站上收集图片以增加企业照片的数量，抑制了其他平台创新的动力。

三是网络效应可能对其他平台构成进入壁垒。当产品或服务的价值随着用户使用数量的增加而增加时，就会产生网络效应。平台具有的双边市场特性使得网络效应不仅取决于平台同种类型的用户数量，也取决于平台另一边的用户数量。如果一个平台的规模远超其竞争对手，新进入者无法获得与占据市场支配力量的大型数字平台竞争的同等数量和质量的数据。即便其吸引用户通过数据携带权来加入其平台，个人一次只能导出一个用户的数据很难为平台吸引足够多的用户群体以达到竞争效果。API比一次性导出更好地解决了网络效应，前提是数据发送者可以随时切断数据访问。总之，API本身并不能让平台更容易克服网络效应。

2.法律层面：隐私侵犯和知识产权侵权

一是隐私侵犯。数据携带权的反竞争效应和网络安全/隐私效应之间存在内在的张力。GDPR、CCPA等现有规范要求各数据平台为用户提供数据自由下载和跨平台迁移服务，既未明确可携带数据的范围，也未对数据下载或迁移过程中可能出现的侵入、泄露、丢失甚至篡改风险出台明确的解决方案；同时，实践中不同平台在数据保护的技术和标准上存在差异，用户携带的数据可能包含他人的数据，甚至包含敏感信息，在跨平台转移的过程中可能出现安全风险，但各平台的身份验证机制并不一致，难以保证数据安全。一些学者将数据所有权视为一种权利，认为用户有权决定其数据的去向。然而，数据作为一种产权并不能解决诸多问题，数据是信息，而非任何人的财产。将个人信息视为需要许可或出售的财产，可能会诱使人们为了很小的价值而放弃隐私权，同时给信息的自由流动注入巨大的阻力和风险。GDPR中“不受阻碍”的措辞为数据的可携性提供了更多的不确定性，数据传输存在安全风险。

二是知识产权侵权。通常情况下，数据控制者将收集的数据通过算法进行加工处理，对其赋予财产价值，当满足一定条件时可能构成其商业秘密的保护标准。若一企业可以通过数据携带权不经另一企业的许可而获取其商业秘密，则属于破坏市场秩序的不正当竞争，不利于知识产权保护与创新方案的产生。GDPR并未明确数据携带权应受到知识产权保护的限制，当数据携带的权利加强时，为了保护数据主体的隐私，企业基于数据处理而提供新服务的动机就会减弱。数据携带权使得数据在流转与聚合的过程中易引发权利冲突，若转移的数据涉及企业的知识产权，很可能使得数据接收者获取“搭便车”效益，损害数据发送者的商业秘密，从而引发商业或法律风险。

3.技术层面：互操作性面临技术困难

互操作性被视为开放互联网、增加市场竞争和为用户提供更公平的环境的重要举措。GDPR 规定了数据携带权且将其适用于所有提供数据服务的企业，但没有具体说明其技术特征，导致数字平台在实践中对数据携带权的利用有限。中小企业没有足够的技术能力编写能够实现数据可携的“导入——导出”模块，承担着较大的合规责任，不得不投入更多的成本来降低合规风险，而这些成本最终将转嫁给消费者。第29条工作组发布的《指南》中将数据携带权的“技术是否可行”交给数据控制者自由裁量，且未要求达到兼容性程度。实践中，数据控制者之间意图实现互操作性的文件格式往往不兼容，可能导致格式化问题或者图片、图表等内容的丢失。若数据控制者不采用自动化和通用标准对数据加以处理，数据主体可能无法获得个人数据或虽获取数据副本但因格式缺乏互操作性而无法实现个人数据重用。

三、数据安全与流通之动态调试：数据携带权适用困局的纾解之道

数据安全与数据流通并非完全对立，数据安全关涉个人自由和安宁，数据流通保障数字平台间的经营秩序，二者共同推动数据市场的持续发展。但是，数据携带权适用过程中可能出现经济、法律和技术等层面的挑战，需要采取措施规范数据市场的竞争秩序。

（一）建立数据的集体携带权制度

一次性导出和API侧重于为用户提供对其数据的访问权限，可以减轻转换成本，但无法解决网络效应和规模经济问题。集体携带权不仅能解决上述问题，还便利了不触发隐私安全问题的数据传输。与API携带权一样，集体携带权要求数据发送者和接收者直接互联。

1.集体携带权的优势

集体携带权可以使用户轻松地将其数据以及与其共同使用的其他用户数据一并传输至另一平台。如果一组用户在特定平台上共享对共同创建的数据的访问权并且希望将该数据移动到新平台，则原始平台应帮助该组用户转移其数据。集体携带权降低了用户将个人数据以及与个人数据相关的他人数据转移至新平台的转换成本，还降低了拥有共享数据的用户群的转换成本，避免了在其他携带权形式下不得不放弃共享数据的困境。通过大规模移动用户数据，市场的新进入者可以直接针对特定的大型群体，根据其需求创建产品，比其他形式的数据携带权更好地解决了规模经济和网络效应问题，有助于竞争平台更快地达到与现有平台相似的规模。

2.集体携带权的制度设计

集体携带权允许用户与他人共同传输其数据并维护数据使用的情境，确保竞争对手可以将其用于相同目的，解决了除转换成本以外的市场进入壁垒。希望改善平台竞争的监管机构应尽快制定集体携带权法规来规范涉及大量数据转移的诸多问题：首先，集体携带权法规将完全独立于其他形式的数据携带权法规并旨在保障用户更好地控制其数据。一次性导出、API等数据携带权法规要求平台应个人请求，将其个人数据通过通用的机器可读格式传输至另一平台，使用户能够更好地尝试新的服务产品。集体携带权法规旨在允许个人访问和验证平台拥有或控制下的个人数据，以及企业如何使用其个人数据。比如，新加坡在对其个人数据保护法的修订中将数据携带权的竞争和数据控制目标分为独立的数据携带权和访问权，有助于相关主体对数据的控制和利用。其次，集体携带权法规将区分小型新市场进入者和大型现有企业。这可以防止用户和数据进一步集中到具有强大网络效应的大型平台，同时减轻资源不足的初创公司过度的技术负担。最后，该法规将为用户数据重叠的情形创设例外。如果数据主体是某个封闭群体的一部分，则平台应确保所有相关的数据主体同意转移或导出数据，切实保护他人的数据权益。

（二）强化数据携带权的身份验证和数据分层安全保护

数据携带权应具有严格的标准，以确保个人数据安全可靠地跨平台传输。第29条工作组就数据携带权的安全性提供了一些指导，《指南》第11条第2款规定数据主体可以提供更多信息来识别其身份，第12条第6款规定数据控制者对数据主体的身份有合理怀疑时可以要求其进一步提供信息以确认身份。第29条工作组进一步指出，数据控制者应在一个月内满足用户转移数据的要求，复杂情况下该期限可以延长至三个月，但须在最初请求提出后一个月内通知数据主体关于延迟的原因。《加州消费者隐私法条例》第4条也对如何验证个人身份提供了指导，要求企业建立适当验证个人身份的方法，比如个人信息的类型、敏感性和价值；伤害风险；欺诈或恶意行为者的可能性；用于验证目的的信息和可用的验证技术等。

与《指南》一样，《加州消费者隐私法条例》为个人数据提供了安全保护，但并未完全保护个人数据在移转过程中的安全。虽然对复杂情况进行核查和延长时间在一定程度上可以保证安全性，但数据平台和监管机构应根据用户账户的安全风险大小，对数据进行分层安全保护。首先，平台可以根据个人感知的安全水平或风险实施更高级别的安全标准来预防和减轻身份盗窃行为。具体而言，原数据控制者在接收到数据主体转移数据的请求后，应对数据主体的身份进行多重核验，在符合传输条件的情况下对要传输的数据进行加密，并确保数据主体指定的接收方接收数据。若在此过程中数据出现泄漏，则原数据控制者应当承担侵权责任，数据转移之后出现泄漏的情况则由数据接收方承担侵权责任。其次，监管机构应根据平台的收入和拥有与控制的个人数据量进行不同程度的监管。CCPA已对总收入超过2500万美元的营利性公司、每年购买或接收5万人以上的个人数据以及从出售个人数据中获得其年收入的50%或以上的公司加强监管力度，监管机构在审查有关数据携带权的安全标准时应考虑公司的相对成熟度和参与度。

（三）加强知识产权保护

企业收集用户数据并建立数据库，在此基础上投入资金和技术对数据进行挖掘形成衍生数据，尤其是企业对数据主体的数据进行加工构成其业务核心和商业秘密时，企业应当对数据拥有有限产权，以维持其核心竞争力。若传输的数据涉及企业的知识产权时，数字平台应当将涉及其知识产权的数据分割后再进行传输。但若企业利用其数据优势地位拒绝交易以达到排除限制竞争效果时，可通过反垄断法予以规制。目前，一些国家逐渐意识到数据携带权不仅关乎个人利益，也是企业实现数据要素市场化的重要手段，对其利益应予以关注。比如，印度2019年的《个人数据保护法案》第19条明确了构成商业秘密的情况不符合技术可行性条件，新加坡个人数据保护委员会（PDPC）制定的数据携带与创新条款建议案也指出数据控制者可以自证数据是否构成其商业秘密。

（四）建立DTP来解决互操作性难题

数据传输项目（Data Transfer Project，DTP）是苹果、谷歌、脸书、微软和推特等大型企业的合作项目，旨在创建一个开源的、服务到服务的数据携带权平台，减少供应商和用户的基础设施负担，以便网络上的所有个人可以轻松地在在线服务提供商之间移动其数据。DTP 将由用户、数据发送方与接收方、托管实体和 DTP 系统共同承担安全责任，其设计格式允许任何数据运营者参与该项目而不影响其核心基础设施。

第29条工作组和加利福尼亚监管机构都未解决标准格式问题，DTP 提供了一个可供所有平台使用的标准格式，有利于创建互操作性标准。尽管大型平台企业的存在可能会使互操作性所需的成本和专业知识成为小型企业的进入障碍，DTP为新的市场进入者提供了可用的标准格式，降低了中小企业的技术成本。监管机构应密切关注 DTP 或其他意图创建数据携带权通用交换方法的组织，以确保数据携带权的互操作性和安全性。

四、实践与建构：数据携带权在中国的本土化

数字经济的繁荣发展需要充分发挥数据要素的市场化，加速数据的流通与共享。数据携带权的价值逐渐被我国学界认可，但其作为一把双刃剑，极可能促进市场的有效竞争，也可能加剧市场的恶性竞争。我国应根据自身实际，合理借鉴欧盟经验，对数据携带权进行适当调试，明确数据携带权的适用范围和携带场景。

（一）数据携带权的本土化实践

我国在2017年12月发布的《信息技术安全 个人信息安全规范》第7.9条规定了个人信息主体的个人信息副本获取权和数据移转权，被视为我国数据携带权的雏形。《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）第45条规定了个人有向信息处理者查阅、复制其个人信息的权利，信息处理者应根据信息主体的请求将个人信息转移给指定的信息处理者。这是我国在法律层面首次明确个人信息的可携性，与欧盟的数据携带权极为类似。我国的法律规定中通常将个人数据表述为“个人信息”，“信息主体”与欧盟的数据主体相对应。本文认为个人数据与个人信息虽有细微差别，但实践中常将二者交叉使用，故不对二者进行区分。为表述方便，本部分将信息统称为数据，将个人信息携带权统称为数据携带权。

关于个人能否便捷地行使数据携带权转移数据的问题，可从相关案件中一探究竟。在前锦公司诉逸橙公司案中，上海知识产权法院认为逸橙公司在取得用户授权的情况下通过关联账号迁移数据的行为正当，未对前锦公司的经济利益造成实质性损害，反而为用户提供了便利与效率，不构成影响市场正常秩序的不正当竞争。在抖音诉腾讯案中，抖音认为腾讯通过微信与QQ限制用户分享来自抖音的内容构成垄断，遂向北京知识产权法院提起诉讼。此前，字节跳动也曾因腾讯拦截和屏蔽用户分享头条网的内容而起诉腾讯。上述案件表明，抖音、腾讯等争夺的关键在于用户背后的关系链以及相关联的巨大的群体市场，用户是否享有数据携带权对案件的性质至关重要。若赋予用户数据携带权，那么抖音和字节跳动通过获取用户授权而获得腾讯数据的行为很可能是合法的，腾讯应当配合抖音和字节跳动来转移用户数据。占据优势的数字平台利用垄断地位限制数据自由流动，损害了消费者利益，数据携带权一定程度上可以打破数据垄断，增加消费者的选择权。具体而言，普通用户缺乏与平台竞争的能力，其与平台是数据主体与数据控制者的关系，可以允许其行使数据携带权自由转移个人数据；对于知名认证用户，鉴于其本身具有较大的影响力和商业性，具有与平台直接竞争的实力，因而不应当允许其通过数据携带权无偿获得平台的数据，双方可以通过合同的方式约定有偿使用。迁移数据的接收者作为第三方平台介入，可以有效化解用户和平台之间悬殊的技术力量对比和数据锁定等问题，也可以推动数据持有者之间在数据携带服务层面的市场竞争，满足用户对数据保护的偏好和其对个人数据的有效控制。

（二）数据携带权的本土化建构

《个人信息保护法》中虽确立了数据携带权，但仅笼统规定了数据主体行使权利的要件和个人数据处理者的义务，对可携带数据的种类、范围、数据转移过程中的风险以及技术可行的条件等未作明确规定，也未涉及企业对数据可携性的诉求，缺乏可操作性。我国在构建数据携带权制度时应明确和细化相关规定，最大限度促进数据流通和共享。

1.明晰数据携带权的适用范围

数据携带权的适用范围应在数据主体和数据控制者之间保持平衡，宽泛的适用范围加重了数据控制者的成本，而狭窄的适用范围不利于数据主体实现数据利益和数据控制者之间互相传输数据。《个人信息保护法》中对数据携带权范围的规定较为宽泛，操作性不强。为了进一步规范和完善数据携带权，首先，我国应借鉴第29条工作组对用户提供的原始数据、观测数据和衍生数据的区分，分别制定不同的数据携带标准。具体而言，我国应将个人数据和观测数据纳入《个人信息保护法》的数据可携带范围内加以规定，并赋予企业对衍生数据有限的携带权，允许商家携带评价等级和商誉等级等类似数据，打破数据垄断者通过拒绝交易、提高许可条件与价格等方式对新企业设置准入壁垒的企图。其次，在不会对第三方带来不利影响的前提下，数据携带权的范围还包括涉及第三方的数据。数据主体行使携带权转移的数据需征得第三方同意且是经机器可读的格式整理过的可识别数据。最后，数据携带权的行使应受制于数据主体的删除权和公共利益，且不能影响他人的权利与自由，比如不得损害企业通过算法等技术对数据加工处理而形成的知识产权。相对于GDPR在公共数据收集上的豁免规定，我国在公共部门收集和储存个人数据问题上应积极运用数据携带权，当此类信息不涉及国家安全、公共利益和第三人利益时，应允许数据主体获取和转移数据，以打破我国政府部门之间的藩篱，实现部门之间的数据共享。

2.在具体场景中平衡个人的数据安全保护和平台企业的发展

数据携带权的行使涉及数据主体、数据接收者和控制者等多方主体，针对数据在被迁移的过程中面临的泄露、丢失等风险，我国应当在具体的场景下要求各平台在收集与处理个人数据时提升数据安全保障能力。比如数据控制者对提出移植数据请求的数据主体进行身份核验，若传输敏感数据时实行多重要素核验，并以短信、电子邮件等方式向数据主体发送安全警告，身份验证通过之后才能传输数据。在特定的场景下，数据控制者之间传输数据时不得超出最初的场景设定而对数据加以滥用，应根据传输数据的性质、用途以及面临的风险等，商定好数据加密协议，提高数据传输的安全性，推动数据在不同平台之间安全、自由传输。当出现数据泄露时，合理厘定数据发送者和接收者的侵权责任，维护数据主体的权益。具体而言，我国可在电信、医疗、金融等特定场景明确可携带数据的内涵，当数据控制者收到用户传输数据的请求后，在遵循安全保障和履行充分告知义务后，可在保证互操作性的情形之下开展数据移植活动。数据的接收方不仅应保障所接收数据的安全性，也应避免采用网络爬取等方式获取数据发送方采取技术保护措施的非公开数据。同时，我国也应考虑到过于宽泛的数据携带权反而可能抑制有利于用户利益的商业模式，损害数字市场的公平有序竞争和创新发展。为了不影响数字平台提升服务和创新技术的积极性，立法者应兼顾数据主体和数据运营者之间的利益平衡，明确用户的数据携带权不应影响企业对其商业秘密的保护，允许企业在用户授权同意的情况下对用户数据进行访问和利用。在涉及第三方数据的问题上，我国可要求数据发送方提供寻求第三方同意传输其数据的渠道或者对涉他数据进行分离与匿名化处理等。

3.制定数据存储格式的互操作性标准

数据携带权要求的兼容性并非数字平台间的完全兼容，而是数据存储格式的兼容。我国可借鉴欧盟的做法，推动行业利益相关者与行业协会加强协作，协调各方关切，共同制定一套数据存储格式的互操作性标准，便利数据传输。对于技术可行性要求，应对其作广义解释，只要符合系统兼容的要求即可满足技术可行性条件，切实降低数据控制者创建系统兼容性的成本。鉴于初创企业和中小企业与大型平台在用户数量和技术等方面的劣势，在实现数据携带权时可能受制于大型平台的网络效应和规模效应而步履维艰，甚至因使用的非结构化或非通用格式而面临合规风险。因此，行业利益相关者与行业协会应根据我国当前的信息技术发展水平、行业惯例等，协调制定通用的数据存储与传输标准来保障数据主体的选择自由与数据接收方对数据处理的便利，对具有一定经济规模的数据平台在一定年限内达到数据传输技术条件的企业进行奖励或政策扶持，对短期内无法达到合规标准的企业提供相应的指导与帮助。为了保障数字网络的开放共享，大型数字平台应当无条件地向数据接收方开放API并建立安全可靠的数据跨平台传输环境。需要注意的是，行业利益相关者与行业协会协调制定的互操作性标准为最低标准，平台企业可报其批准，在最低标准基础之上根据自身的技术条件自行拟定更高标准的实施细则，以增强自身对用户的吸引力。我国可先在电信、医疗和金融征信等数据安全保护能力较强的领域积极推行个人数据可携，并设定具体的技术标准，既可以打破垄断行业的数据锁定，也避免了全面实施数据携带权带来的巨大制度成本。

结论

数据携带权加强了数据主体对个人数据的控制，一定程度上减轻了数据垄断，有助于数据的自由流通和共享。但是，欧盟对数据携带权的制度设计中存在数据携带权的适用范围不明、隐私侵犯、知识产权保护不足以及互操作性弱等问题，对数据迁移过程中的数据权益保护和垄断规制有限。大型数字平台可能利用其对数据的垄断优势对中小企业设置市场进入壁垒，中小企业面临着高昂的技术开发成本和法律合规成本，难以产生与大型平台博弈的市场竞争力。构建集体携带权制度、完善数据携带权的身份验证和数据分层安全保护、加强知识产权保护以及建立DTP来解决互操作性等举措可以有效解决数据携带权面临的挑战。我国的个人信息立法应在具体场景下适当运用，通过数据携带权为用户提供便利，加快数据的流转和应用，打破“数据孤岛”现象，推动市场竞争与数据保护的良性互动。