企业数据是指由企业实际控制和使用的数据，既包括财务数据、运营数据等商业数据，也包括企业合法收集、利用的用户数据。前一种商业数据通常依照商业秘密的相关规定加以调整，后一种数据是企业通过大量收集用户信息而获取的数据，其价值在于通过分析大量的用户信息从而延伸出相应的商业价值。本文讨论的是后一种数据。

《网络安全法》第76条第5项规定：“个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等”。

企业数据是增值数据和衍生数据，增值数据是数据处理者对网络用户从事各种活动进行搜集整理等增值处理行为产生的各种数据；衍生数据是对原始数据进行去个人标识化、经加密、加工挖掘，具有交换价值和技术可行性的数据。个人信息是企业数据的基础和本源，是企业用户数据项下的原始数据，同样也是衍生数据的来源。

《民法总则》第111条规定，自然人的个人信息受法律保护。任何组织和个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。

《民法总则》第127条：“法律对数据、网络虚拟财产的保护有规定的，依照其规定。”目前针对企业数据权利的性质和保护尚未有具体明确的法律规定，企业数据权利是一种独立的财产权，还是一类知识产权，抑或只是具有经济价值的一类法益，尚无定论。

目前对于数据企业数据权利的来源存在着用户授予、法律赋权、合法采集和多来源说四种观点。

赞成用户授予的观点认为数据企业的数据权利派生于个人数据权，企业拥有的数据权利来自于用户个人的授予。[1]这种观点也是传统的信息产权理论的内容以及当今产业实践所采取的主要做法。传统信息产权理论认为互联网环境下数据企业对数据的权利来源于用户的授权协议赋予的使用权，用户仍然保留所有权，进而形成“所有权—使用权”分离的模式。[2]

赞成法律赋权的观点主张通过法律或者特定机构依法授予或许可特定数据资产化经营企业，以经营为目的从事收集、分析、整理、加工等活动。企业通过法律或政府许可获得保护数据权利的合法依据。这种观点认为，企业拥有数据经营权与数据资产权，数据经营权是指数据经营资格，有一般经营权和特殊经营权之分，一般经营权属于普通领域，企业可自动取得。但适用于特殊领域的金融数据、医疗数据、司法数据、电信数据等等，企业收集、使用数据的权利来源于法律授权与政府许可，具有专营权的特点。[3]

赞成合法采集或原始取得的观点认为，数据企业对合法收集的个人数据享有应当受到法律保护的权利，该权利既不依赖于数据被记录者的授权，也不依赖于法律与政府的在先权利或许可，而是来自于数据企业的合法采集。[4]这种观点反对企业数据权利来源于数据被记录者的赋权，原因在于用户不具有与数据采集者的谈判能力，数据收集企业无法针对每一个个人设置不同的数据使用方案，用户在复杂的数据处理、传播过程中也难以充分知晓自己的数据被收集，进而导致难以有效行使自己的权利。这种观点同时反对企业的数据权利来自于法律的授权或政府的行政许可，因为数据的产生无处不在，数据权利的初始权属并未配置给政府，且特许经营往往都是针对基础设施与公共事业，也不适用于数据。[5]

赞成多来源说的学者认为数据企业收集数据的合法性既可以来自用户的授权许可，也可以来自数据企业对数据的记录。[6]

目前理论上对于这四种观点尚存争论，并没有形成主流性的观点。事实上，数据企业数据权利的来源与数据企业数据权利的范围密切联系。而数据企业数据权利的范围决定着数据权利的价值及其与个人数据权的界限。

对于数据企业数据权利的权利内容方面，企业的数据权利被认为具有占有、使用、收益和处分的权能，主要内容有：（1）数据企业在得到自然人同意的情形下，有权收集个人数据并进行存储（占有）；（2）数据企业在得到自然人的同意的前提下，可以按照法律规定及自然人约定目的、范围和方式进行分析、利用个人数据；（3）数据企业有权处分其合法收集的数据，但对于个人数据必须得到自然人同意才能进行处分；（4）数据企业的数据权利在遭受他人侵害时有权要求侵权人承担侵权责任。[7]

在判断数据权利性质与来源后，可以考虑如何判断对于数据企业数据权利的归属，既有观点大体可以概括为两类，一类是认为数据权利纯粹属于被记录者或者数据控制者的单一主体所有说，另一类是根据数据的内容类型或者是生产环节而类型化判断数据权属的多主体所有说。

1. 单一主体所有说 

第一种观点认为数据权利应当归属于数据被记录者个人，并以被记录者的权利对数据企业的数据权利进行相应的限制、制约。

第二种观点认为数据企业对合法收集的个人数据以及非个人数据形成的新的数据集享有合法的民事权利，即数据权利应当归属于数据控制者。

2.多主体所有说 

多主体所有说是指要根据数据内容类型、数据生产环节等进行数据权属的类型化分析。

第一种观点按照信息内容，认为应区分个人数据与非个人数据判断权属，个人数据的所有权人为数据主体本人，个人数据具有财产属性，个人对个人数据拥有完整的处分、使用的控制权利。而匿名化后的数据权利，企业最初决定数据收集目的并经用户同意授权，进而取得对该匿名化数据集享有限定性所有权。换言之，若企业收集后的数据并未匿名化，那么能够识别出个人的数据仍然属于个人所有。

第二种观点根据信息形成环节分类，认为数据权利涉及多方主体，是数据内容和数据载体的二元结构，因此，其权属的认定也应当以主体对数据的形成作用为视角进行判断。

1. 著作权法 

（1）依据

我国《著作权法》第14条规定：“汇编若干作品、作品的片段或者不构成作品的数据或者其他材料，对其内容的选择或者编排体现独创性的作品，为汇编作品，其著作权由汇编人享有，但行使著作权时，不得侵犯原作品的著作权。”

我国加入的《与贸易有关的知识产权协议》（《TRIPS》）第10条第2款也规定：“数据汇编或其他资料，无论机器可读还是其他形式，只要由于对其内容的选取或编排而构成智力创作，即应作为智力创作加以保护。该保护不得延伸至数据或资料本身，并不得损害存在于数据或资料本身的任何版权。”

所以，当企业数据本身构成上述两条款所规定的汇编作品时，企业便可以通过此条规定获得著作权保护，从而排除或追究其他企业或第三人相应的数据加害。

（2）局限性

关于汇编作品的规定如果适用于企业数据的保护，在功能上具有较大的限制。

首先，企业数据如果要作为汇编作品进行保护需要满足一个作为作品的前提，就是应该具有“独创性”，如果企业数据的汇编形式不具备独创性的要求，其便很难从著作权法上获得保护。与此同时，企业数据作为汇编作品保护，还存在着“独创性”难以认定的风险，基于数据本身的特点，企业对于其进行“独创”的空间十分有限。

其次，企业数据的汇编即使满足了作品的认定要求，根据《TRIPS》第10条第2款的规定，其保护限定在独创性的编排本身，并不能够延展到编排的内容即数据本身。所以，著作权的保护并不能有效组织数据信息被复制适用。

【案例】北京阳光数据公司诉上海霸才数据信息有限公司技术合同纠纷案

案号：(1997)高知终第66号民事判决书

裁判理由：

一审法院认为阳光公司与霸才公司于1995年8月16日签订的使用SIC实时金融数据分析格式的合同，合法有效，应受法律保护。依该合同霸才公司不得利用数据分析格式做分析软件之外的其他用途，不得以任何方式转发SIC实时金融信息。但霸才公司于1995年9月至1996年6月未经阳光公司同意，利用其所掌握的SIC实时金融数据分析格式，通过阳光公司的客户上海易利实业有限公司，为商业目的获取并转发了阳光公司发布的天津联合期货交易所，上海证券交易所、深圳证券交易所的行情信息，并因此获利92．65万元。霸才公司的行为不仅违反了合同约定，而且还侵犯了阳光公司的商业秘密SIC实时金融数据分析格式，霸才公司应当承担违约和侵权的责任。本案中阳光公司的取证过程已经公证机关公证，霸才公司对此提出的质疑和抗辩不足以推翻公证证明，公证证据应予采信。阳光公司的SIC实时金融信息流，并不构成著作权法意义上的编辑作品，阳光公司关于霸才公司侵害其著作权的主张不能成立。

二审法院认为，SIC实时金融信息作为一种新型的电子信息产品应属电子数据库，在本质上是特定金融数据的汇编，这种汇编在数据的编排和选择上并无著作权法所要求的独创性，不构成著作权法意义上的作品，不能受到著作权法的保护。但阳光公司作为特定金融数据的汇编者，对数据的收集、编排，即SIC实时金融信息电子数据库的开发制作付出了投资，承担了投资风险。该电子数据库的经济价值在于其数据信息的即时性，阳光公司正是通过向公众实时传输该电子数据库的全部或部分而获取收益，阳光公司对于该电子数据库的投资及由此而产生的正当利益应当受到法律保护……霸才公司行为违反了经营者在市场交易中应当遵守的诚实信用原则和公认的商业道德，损害了阳光公司的合法权益，已构成同行业间的不正当竞争。

2. 专利法 

（1）依据

企业对其数据可以引入专利保护，主要是为大数据申请计算机程序专利保护。我国《专利法》可以对具有鲜明技术属性并解决一定技术问题的大数据运算程序进行保护。[8]根据佰腾网的资料显示，我国大数据领域的专利，其中包括：特别适用于特定功能的数字计算机设备或数据设备或数据处理方法，专门适用特定经营的系统或方法，用于阅读或识别印刷或书写字符或者用于识别图形，程序控制系统，单个组中不包含的装备、设置、电路和系统等。

（2）局限性

根据现行法律法规，可以申请专利的大数据要具备鲜明的“技术属性”，并且受到大数据解决技术问题的类型，处理数据类型以及具体应用目的等限制。此外，专利需要的新颖性、非显而易见性和实用性也导致企业数据的编排和选择要获得专利上的保护存在一定困难。[9]

1. 商业秘密 

（1）依据

依据《反不正当竞争法》第9条，商业秘密是指不为公众所知悉、具有商业价值并经权利人采取相应保密措施的技术信息、经营信息等商业信息。这就意味着，企业数据需要满足：不为公众知悉、具有商业价值、权利人采取保密措施这三个条件时，才是商业秘密。

第一，企业数据是否为公众所知悉。这包含双重含义：一是不为相关技术或经营领域内的人员普遍知悉；二是同行业者如欲获得相关信息，必须付出创造性劳动，而非轻易搜集。在此意义上，企业数据无论是内部的业务数据还是合法收集的用户数据都不欠缺秘密性。

第二，企业数据是否具有商业价值。在信息时代，大数据技术的发展激发了商业模式的创新，因此，企业数据很显然已经成为了提升企业核心价值的重要内容。

第三，对企业数据采取保密措施。一般情况下，企业数据作为企业获取经济利益的重要工具，企业必然会采取一定的保护措施，而这一层面的事实在诉讼当中也不存在举证难度。所以，如果能够满足一定的保密条件，企业数据可以满足这一要件。

经过上述分析，企业数据存在满足商业秘密构成要件的可能性，在实务中，如果确存在《反不正当竞争法》第9条所规定的侵犯商业秘密的行为，便可依此来主张权利。

（2）局限性

从数据定位的角度来看，有学者认为数据一开始曾被规定在知识产权范围内予以保护[10]，但在最终稿中确另辟127条进行了独立规定，根据这一立法的历史解释，一旦将用户数据归入商业秘密，将不得不面临与《民法总则》对数据定位的冲突。[11]

从实务层面来讲，选择商业秘密的保护路径很有可能会带来一个问题。商业秘密为不具有排他效力的法益，商业秘密不能被公之于众，因此它不可能产生对世的排他权，只能秘密保有或使用。所以当选择依托《反不正当竞争法》第9条来对企业数据加以保护时，只有对方存在“过错”，即不正当地获取或使用了本企业的数据时，权利主体才可以请求停止侵害、要求赔偿。如果对方企业系通过正当程序，如独立研发、自行搜集的方式获得信息时，商业秘密持有人将无权干预。

【案例】衢州万联网络技术有限公司与周慧民等侵犯商业秘密纠纷案

案号：（2011）沪高三（知）终字第100号

裁判理由：

一审法院认为，原告以公司名义注册了涉案网站，且该网站在对外商业运营过程中均以原告作为实际经营者。五被告参与涉案网站的技术开发、维护及商业运营等事务的行为属于公司员工履行工作职责的行为，不代表五被告对该网站及其数据库享有所有权。因此，原告作为涉案网站的域名所有者和实际经营者对该网站在运营过程中形成的数据库享有所有权。而涉案网站数据库中的用户信息是涉案网站在长期的经营活动中形成的经营信息，且不容易为相关领域的人员普遍知悉和容易获得；该用户信息能够反映涉案网站具有较大的用户群和访问量，与网站的广告收入等经济利益密切相关；原告同时对上述用户信息采取了保密措施，故涉案网站数据库中的用户信息属于商业秘密，受法律保护。五被告未经原告许可，利用自己掌握的数据库密码从万联公司的涉案网站复制下载包含用户信息的数据库，并将该数据库用于被控侵权网站的经营活动，该行为侵犯了原告的商业秘密。法院依法判决五被告共同赔偿原告万联公司包括合理费用在内的经济损失人民币100万元。

二审法院认为，周慧民于2001年6月至2004年6月间为万联公司员工，其参与涉案网站的技术开发、维护及商业运行属于公司员工履行工作职责的行为。涉案网站数据库中的用户信息，符合商业秘密的构成要件，且系争的注册用户名、注册密码和注册时间等信息是万联公司在运营涉案网站过程中形成的，而非周慧民创作完成。一审法院判决并无不当，故依法判决驳回上诉，维持原判。

2. 反不正当竞争保护 

（1）依据

对企业数据权利进行反不正当竞争的保护主要基于《反不正当竞争法》的一般条款，即第二条第一款：经营者在生产经营活动中，应当遵循自愿、平等、公平、诚信的原则，遵守法律和商业道德。通过《反不正当竞争法》的一般条款来对企业数据加以保护的经典案例即为“新浪微博诉脉脉不正当竞争案”，该案具有里程碑式的意义，原因在于其确立了反法2条在侵犯企业数据类案件的如下适用条件：

第一阶层的适用条件为“海带配额案”中所确立的第2条独立适用三要件：（1）法律对该竞争行为未作出特别规定；（2）其他经营者确因该竞争行为而受到实际损害；（3）该种竞争行为因确属违反诚实信用原则和公认的商业道德而具有不正当性或可责性。

第二阶层的适用条件为：（1）该种竞争行为所采取的技术手段确实损害了消费者的利益；（2）该种竞争行为破坏了互联网环境中的公开、公平、公正的市场竞争秩序，从而引发恶性竞争或者具备这样的可能性；（3）对于互联网中利用新技术手段或新商业模式的竞争行为，应首先推定具有正当性，不正当性需要证据加以证明。

关于是否违反了诚实信用原则和互联网中商业道德的判断标准，则是第三方通过Open API获取信息时是否违反了“用户授权+平台授权+用户授权”的三重授权原则。

（2）局限性

有学者认为，一般条款的保护方式是立法上的次优选择；一般条款的保护方式削弱了司法的正当性和安定性，且作为授权规范，一般条款没有明确的要件构成和责任后果；一般条款所表征的行为规制模式，规避了用户数据的法律定位，并未真正回应《民法总则》第127条。[12]

【案例】淘宝(中国)软件有限公司与安徽美景信息科技有限公司不正当竞争纠纷案

案号：(2018)浙01民终7312号

裁判理由：

一审法院认为，本案争议焦点在于：一、淘宝公司收集、使用网络用户信息，开发涉案数据产品的行为是否正当；二、涉案数据产品所涉各相关主体的权利边界应如何划分，淘宝公司对于涉案数据产品是否享有法定权益；三、美景公司的被诉行为是否构成不正当竞争。

本案中，淘宝公司已在网络上公示了淘宝隐私权政策。淘宝隐私权政策明确宣示了收集、使用用户信息的目的、方式、范围。经审查，涉案数据产品中可能涉及的用户信息种类均在淘宝隐私权政策已宣示的信息收集、使用范围之内，未发现淘宝公司有违反其所宣示隐私权政策的用户信息收集、使用行为。淘宝公司收集、使用网络用户信息，开发涉案数据产品的行为符合网络用户信息安全保护的要求，具有正当性。

网络数据产品不同于原始网络数据，其提供的数据内容虽然同样源于网络用户信息，但经过网络运营者大量的智力劳动成果投入，通过深度开发与系统整合，最终呈现给消费者的数据内容，是与网络用户信息、原始网络数据无直接对应关系的独立的衍生数据。网络数据产品虽然表现为无形资源，但可以为运营者所实际控制和使用，并带来经济利益。随着其市场价值的日益凸显，网络数据产品自身也已成为了市场交易的对象，已实质性具备了商品的交换价值。网络运营者对于其开发的数据产品，应当享有自己独立的财产性权益。此外，数据产品的开发与市场应用已成为当前互联网行业的主要商业模式，其能为开发者或经营者带来可观的商业利益与市场竞争优势，其所带来的竞争性财产权益，亦应当归开发者或经营者所享有。但是否赋予网络运营者享有网络数据产品财产所有权，事关民事法律制度的确定。因财产所有权作为一项绝对权利，如果赋予网络运营者享有网络数据产品财产所有权，则意味着不特定多数人将因此承担相应的义务。限于我国法律目前对于数据产品的权利保护尚未作出具体规定，基于物权法定原则，个案审判中不宜确认网络运营者对于数据产品享有财产所有权。

在肯定数据企业数据权利为一种权利的学者中，对于数据权利性质的判定有知识产权说、商业秘密说、物权说、新型财产说等不同观点。

赞成知识产权说的学者认为数据权属的根据是数据财产化，应从数据财产化的角度来考虑对于数据的保护。企业对数据开发处理之后形成具有独创性的数据产品可以获得版权法保护。[13]在未达到最低创造性水平，而又确需保护的时候，则通过邻接权保护，[14]要求后续的数据从业者对于存储数据一方支付适当的补偿。

赞成商业秘密说的学者认为如果数据企业的数据权利能够符合商业秘密的特点，可以认定为商业秘密，适用反不正当竞争法来进行相应保护。[15]在司法实践中，也存在通过《反不正当竞争法》的方式来对数据企业的数据权利进行保护的案例。[16]

赞成物权说的学者认为尽管我国《物权法》中的物仅指有体物，但我国法律并不排除权利可以作为物权的客体。因此，对于在个人数据基础上所进行的匿名化处理而产生的数据，数据企业享有的是有限制的所有权。[17]

赞成新型民事权利的学者认为数据收集、整理者的数据权不同于目前已有的任何一种财产权，属于一种新型的民事权利，是数据控制者对“数据集合”占有、使用、处分的权利。这种观点认为数据企业的数据权利属于独立于人格权、物权、债权、知识产权的新型财产权。[18]区别于物权，数据不具有排他性，使用价值也不会损耗。区别于知识产权，数据也并不必须具有独创性、期限性，也不以是否属于智力劳动成果为性质判断的标准。[19]区别于商业秘密，数据并非完全保密，且若视为商业秘密，一旦公开就丧失了保护的可能，与现实需求也不相符合。[20]因此，数据权是一种独立的、重要的新型财产权。

总结针对企业数据权利的保护现状，针对企业数据现有的保护路径主要有：（1）在司法实践中也存在权利人试图从知识产权法的角度来保护企业数据权利，如从汇编作品以及大数据专利的角度定性企业数据。（2）依托于反不正当竞争法，具体可分为两条路径：商业秘密保护、反法一般条款保护。（3）由于我国目前对于数据权利的保护尚不完善，众多企业在关于企业数据的纠纷中最终不得已选择了私了或求助主管部门的路径，如2017年6月发生的顺丰宣布关停菜鸟数据事件[21]、2017年8月华为与腾讯之间因前者发布荣耀Magic手机而引发的用户数据之争[22]。

以上保护路径中，在知识产权保护路径中，对于企业数据构成汇编作品，由于数据本身的特点，通常会在作品独创性的层面遇到障碍，也就是数据的价值并不主要在于其艺术性或创造性；在反不正当竞争保护的层面，商业秘密的保护无法体现企业数据的独特价值，反不正当竞争法保护的层面又常常会陷入过度适用一般条款的困境；私力救济或者求助主管部门更是体现现有法律框架的保护不力。鉴于上述保护路径所分别具有的局限性，针对企业数据权利的保护，学界广泛建议确立数据财产权的新型保护路径。

《民法总则》第127条规定：“法律对数据、网络虚拟财产的保护有规定的，依照其规定。”该条虽规定在中“民事权利”一章中，但正如本文第一部分所列举的，对于数据的权利性质究竟为何目前还无定论，同时根据127条的规定，虽然该条对于数据（包括企业数据）和虚拟财产提供保护进行了表态，但是对于如何保护却未予以实质化明确，而是交给了法律的另行规定。在我国众多学者所提出的企业数据权利保护路径中，数据新型财产权保护路径是一条值得考虑的新路径。

正如上一部分所列举的，目前许多数据纠纷案件是依照知识产权法或反不正当竞争法进行裁判，但是法院在适用相关法律规定时，已经感觉到这种数据保护的私法机制发展需求，不断通过扩张适用方式做出了一些不容忽视的发展。例如“新浪脉脉案”中，北京知产法院适用了《反不正当竞争法》的一般条款，实务界认为暗含了一种数据基础性的认定，实际上确认了企业对于其收集积累的数据享有“竞争法意义上的财产权利”。[23]因此，如果能够确立财产权的保护路径，数据新型财产权可以成为企业数据的直接保护依据，数据企业通过法律对其数据产品的这种赋权，直接获得一种排他性的数据合法关系支持，由此获得一种独立的全新法律保护。[24]而这一法律保护的意义不仅仅在于防止企业数据的权利遭到窃取或侵害，也有利于激发和鼓励企业进一步开发数据的商业价值，推动社会经济的发展。

但是，针对确立企业数据权利这样一个新型财产权，也面临着一定的问题和障碍，主要有二：一，企业数据权属尚存争议。法律并未明确认定数据的权利性质，因而在模棱两可的情况下，除非为其创设出新型财产权的权利性质，否则其只能被归入到现有的各类权属当中。二，无相应的财产权保护路径法律。《民法总则》第127条将数据的保护交给了法律另行规定，这也给司法实践中的法官裁判带来了一定的困境，因为根据现有的法律，其只能从知识产权法、反不正当竞争法、合同法中寻找到可以规制数据侵权的法律条文。

企业数据权利保护任重而道远，需要立法以及司法实践的不断探索，也需要相关理论学说的发展成熟与逻辑自洽，在相关理论认知无法达到普遍共识之前，相关司法实践的经验做法可能会在一定时期内被借鉴适用，目前对于企业数据的司法保护更多的还是集中于反不正当竞争法领域，期待日后能有更多的突破与发展。