美國數(shù)據(jù)經(jīng)紀人發(fā)展模式及其啟示

■文/李立雪（中國電子信息產(chǎn)業(yè)發(fā)展研究院）

自《中共中央國務(wù)院關(guān)于構(gòu)建更加完善的要素市場化配置體制機制的意見》提出要加快培育數(shù)據(jù)要素市場以來，以數(shù)據(jù)經(jīng)紀人為代表的新型市場主體不斷涌現(xiàn)，積極推動了數(shù)據(jù)的交易流通和開發(fā)利用。2023年4月，廣州市海珠區(qū)正式啟動第二批數(shù)據(jù)經(jīng)紀人遴選工作，福建省大數(shù)據(jù)交易所頒發(fā)了首批《數(shù)據(jù)經(jīng)紀人授權(quán)證書》。賽迪研究院網(wǎng)絡(luò)安全研究所認為，數(shù)據(jù)經(jīng)紀人概念起源于美國，且在美國的發(fā)展已較為成熟，其制度設(shè)計和商業(yè)模式對我國當(dāng)前數(shù)據(jù)要素市場化配置有一定的借鑒意義。

一、美國數(shù)據(jù)經(jīng)紀人發(fā)展較為成熟

據(jù)On Audience統(tǒng)計，2021年美國數(shù)據(jù)交易規(guī)模已達到306億美元，位居世界第一。數(shù)據(jù)經(jīng)紀人（Data Broker）是美國數(shù)據(jù)交易服務(wù)的主要參與方和支持方。數(shù)據(jù)經(jīng)紀人（根據(jù)美國聯(lián)邦貿(mào)易委員會的定義）通過各種渠道采集消費者個人信息，并對采集的原始信息及衍生信息進行整理、分析和分享，向與消費者沒有直接關(guān)系的企業(yè)出售、許可和交易或提供該信息。數(shù)據(jù)經(jīng)紀人有效解決了供需雙方之間信任缺失的問題，可促進數(shù)據(jù)有序流通和市場化運用。美國數(shù)據(jù)經(jīng)紀人在制度設(shè)計和商業(yè)模式方面發(fā)展較為成熟，可資借鑒。

美國通過提高透明度和實行注冊制對數(shù)據(jù)經(jīng)紀人進行監(jiān)管，在很大程度上規(guī)避了行業(yè)亂象。在聯(lián)邦政府層面，2014年起，美國國會針對數(shù)據(jù)經(jīng)紀業(yè)務(wù)提出了多項立法提案，包括《2015年數(shù)據(jù)經(jīng)紀商責(zé)任與透明度法案》《2019年數(shù)據(jù)經(jīng)紀商法案》《2020年數(shù)據(jù)經(jīng)紀商問責(zé)和透明法案》等，這些法案重點在于提升行業(yè)透明度和安全性。在州政府層面，加利福尼亞州民法典規(guī)定，數(shù)據(jù)經(jīng)紀人每年應(yīng)在加州總檢察長處注冊，支付一定的注冊費用，并提供指定信息；未按照規(guī)定要求注冊的數(shù)據(jù)經(jīng)紀人應(yīng)承擔(dān)民事處罰，并將費用存入消費者隱私基金。佛蒙特州《數(shù)據(jù)經(jīng)紀法》規(guī)定，數(shù)據(jù)經(jīng)紀人應(yīng)每年向州務(wù)卿注冊，注冊時需提供基本信息、數(shù)據(jù)收集做法、個人選擇退出政策，以及購買者資格審查情況和安全漏洞信息等，便于相關(guān)機構(gòu)及時掌握州內(nèi)數(shù)據(jù)經(jīng)紀人基本情況，提高行業(yè)透明度。

美國數(shù)據(jù)經(jīng)紀人發(fā)展多年，已形成三種穩(wěn)定的商業(yè)模式。在美國，數(shù)據(jù)經(jīng)紀人現(xiàn)已成為數(shù)據(jù)流通交易市場的主力軍，它既可以是數(shù)據(jù)產(chǎn)品和服務(wù)提供商，也可以是撮合買賣雙方交易的數(shù)據(jù)交易平臺，還可以是提供數(shù)據(jù)共享功能的數(shù)據(jù)管理系統(tǒng)。經(jīng)過多年的積累和發(fā)展，數(shù)據(jù)經(jīng)紀人已形成三種穩(wěn)定的商業(yè)模式：一是B2B集中銷售模式。數(shù)據(jù)經(jīng)紀人以中間人身份為數(shù)據(jù)提供方和數(shù)據(jù)購買方提供數(shù)據(jù)交易撮合服務(wù)，例如美國微軟Azure、Datamarket等。二是B2B2C分銷集銷混合模式。數(shù)據(jù)經(jīng)紀人收集用戶個人數(shù)據(jù)并將其轉(zhuǎn)讓、共享給他人，例如Acxiom、Corelogic等。三是C2B分銷模式。用戶將自己的個人數(shù)據(jù)提供給數(shù)據(jù)經(jīng)紀人，數(shù)據(jù)經(jīng)紀人向用戶支付一定數(shù)額的商品、貨幣和服務(wù)等價物或者優(yōu)惠、打折和積分等對價利益，例如Edvisors等。

美國不斷細化數(shù)據(jù)經(jīng)紀人對消費者隱私保護的相關(guān)條款，可有效規(guī)避信息泄露風(fēng)險。數(shù)據(jù)經(jīng)紀人掌握和經(jīng)手大量個人數(shù)據(jù)，若不注重數(shù)據(jù)安全和隱私保護，容易發(fā)生大規(guī)模的信息泄露事件。美國聯(lián)邦貿(mào)易委員會（FTC）曾著重強調(diào)，未來數(shù)據(jù)經(jīng)紀人不得從其他方出于不法行為目的獲取個人信息，還需保障消費者自主選擇退出的權(quán)利以及數(shù)據(jù)隱私權(quán)。2023年5月，美國加州參議院對數(shù)據(jù)經(jīng)紀人相關(guān)條款進行了修訂：一是將數(shù)據(jù)經(jīng)紀人注冊機構(gòu)更改為加州隱私保護局（CPPA），并細化了數(shù)據(jù)經(jīng)紀人注冊信息，要求提供收到隱私請求等內(nèi)容的情況記錄、是否收集未成年人個人信息、是否收集精確地理位置信息，以及是否收集生殖與健康信息、合規(guī)審計情況和網(wǎng)站的消費者行權(quán)途徑頁面等信息。二是要求CPPA建立個人信息可訪問刪除機制，允許消費者通過單次身份驗證，要求數(shù)據(jù)經(jīng)紀人及相關(guān)服務(wù)提供商刪除其個人信息。三是數(shù)據(jù)經(jīng)紀人應(yīng)至少每31天接入一次該刪除機制，處理消費者的相關(guān)申請。而且自2028年起，數(shù)據(jù)經(jīng)紀人每三年需要向CPPA提交由獨立第三方機構(gòu)完成的審計報告，以證明其履行了刪除相關(guān)義務(wù)，重點保障消費者的刪除權(quán)。

二、我國數(shù)據(jù)經(jīng)紀人發(fā)展尚處于初步探索階段

數(shù)據(jù)經(jīng)紀人在我國仍屬于新興行業(yè)，雖已開展初步探索，但在數(shù)據(jù)要素市場化配置過程中，仍存在一些尚未解決的問題。

我國數(shù)據(jù)經(jīng)紀人行業(yè)處于初起步階段，有待于進一步細化相關(guān)法律制度。2022年12月底，《中共中央國務(wù)院關(guān)于構(gòu)建數(shù)據(jù)基礎(chǔ)制度更好發(fā)揮數(shù)據(jù)要素作用的意見》（“數(shù)據(jù)二十條”）中提到，要有序培育數(shù)據(jù)集成、數(shù)據(jù)經(jīng)紀等第三方專業(yè)服務(wù)機構(gòu)，提升數(shù)據(jù)流通和交易全流程服務(wù)能力。一些地方政府在相關(guān)政策文件中也引入數(shù)據(jù)經(jīng)紀人概念，并開始小范圍試點。例如，廣東省在2021年7月發(fā)布的《數(shù)據(jù)要素市場化配置改革行動方案》中就明確提出，要探索建立數(shù)據(jù)經(jīng)紀人資格認證和管理制度，并于2022年8月在廣州市海珠區(qū)認定了首批3家數(shù)據(jù)經(jīng)紀人。上海市2021年11月發(fā)布的《上海市數(shù)據(jù)條例》中也提到，要支持提供數(shù)據(jù)經(jīng)紀等專業(yè)服務(wù)，上海數(shù)據(jù)交易所和福建大數(shù)據(jù)交易所也在積極探索培育數(shù)據(jù)經(jīng)紀人。整體來看，數(shù)據(jù)經(jīng)紀人概念在我國還比較新，誰來頒發(fā)牌照、誰來監(jiān)管等問題缺少相關(guān)法律依據(jù)。

我國數(shù)據(jù)經(jīng)紀人多為小范圍的嘗試和探索，規(guī)模難以滿足數(shù)據(jù)交易需求。不同于美國發(fā)展成熟的三種商業(yè)模式，從廣州市海珠區(qū)數(shù)據(jù)經(jīng)紀人試點工作來看，國內(nèi)數(shù)據(jù)經(jīng)紀人主要有三方面職責(zé)：一是受托行權(quán)，即數(shù)據(jù)擁有者可以授權(quán)數(shù)據(jù)經(jīng)紀人行使權(quán)利；二是風(fēng)險控制，在數(shù)據(jù)流通交易過程中起到中介擔(dān)保作用；三是價值挖掘，挖掘數(shù)據(jù)要素價值，充當(dāng)數(shù)據(jù)價值發(fā)現(xiàn)者、數(shù)據(jù)交易組織者、交易公平保障者、交易主體權(quán)益維護者等多重角色。目前，廣東、上海和福建等地的數(shù)據(jù)經(jīng)紀人多為小范圍的嘗試和探索，輻射范圍有限，且多數(shù)服務(wù)于中小企業(yè)數(shù)字化轉(zhuǎn)型。相比于龐大的數(shù)據(jù)要素市場規(guī)模，其體量與日益旺盛的數(shù)據(jù)交易需求不相匹配。

我國數(shù)據(jù)經(jīng)紀人管理剛剛起步，交易安全有待進一步保障。國外數(shù)據(jù)經(jīng)紀人均以嚴格的內(nèi)控制度規(guī)避操作上的安全風(fēng)險，同時還采用多重身份認證、高科技加密措施和區(qū)塊鏈等技術(shù)手段，加強對數(shù)字資產(chǎn)的保護。雖然我國數(shù)據(jù)經(jīng)紀人試點企業(yè)也在逐步推進企業(yè)內(nèi)部數(shù)據(jù)安全管理制度規(guī)范建設(shè)，不斷完善自身數(shù)據(jù)安全管理體系，但數(shù)據(jù)交易過程仍存在“監(jiān)管難”的困境，相關(guān)部門對交易行為、數(shù)據(jù)來源、數(shù)據(jù)存儲以及個人信息保護等方面難以進行監(jiān)控。數(shù)據(jù)經(jīng)紀人作為海量數(shù)據(jù)的采集者和存儲方，很可能成為黑客攻擊的首要目標(biāo)。國際上大型數(shù)據(jù)經(jīng)紀人都有被黑客入侵的案例，其中僅有少部分為公眾知悉。同時，數(shù)據(jù)交易過程中也極易發(fā)生數(shù)據(jù)竊取和泄露問題，為數(shù)據(jù)經(jīng)紀人的數(shù)據(jù)安全和個人信息保護帶來了一定的風(fēng)險挑戰(zhàn)。

三、幾點思考

一是完善與數(shù)據(jù)經(jīng)紀人相關(guān)的法律制度體系，明確注冊制與管理要求。持續(xù)開展數(shù)據(jù)要素市場理論研究，界定數(shù)據(jù)經(jīng)紀人范圍，明確數(shù)據(jù)經(jīng)紀人的業(yè)務(wù)特征。研究制定數(shù)據(jù)經(jīng)紀人管理規(guī)則和實施細則等配套制度，明確數(shù)據(jù)經(jīng)紀人的主管部門、準入條件、行為規(guī)范、責(zé)任義務(wù)和監(jiān)督管理等相關(guān)要求。探索實施數(shù)據(jù)經(jīng)紀人注冊制，規(guī)定從事數(shù)據(jù)經(jīng)紀業(yè)務(wù)的主體必須向主管部門提供基本情況、數(shù)據(jù)安全技術(shù)措施、個人信息處理措施和內(nèi)部控制制度等方面的信息，經(jīng)主管部門審核通過后方可執(zhí)業(yè)。同時，進一步健全數(shù)據(jù)產(chǎn)權(quán)、流通交易、收益分配和安全治理等數(shù)據(jù)基礎(chǔ)制度規(guī)范，推動數(shù)據(jù)要素市場健康有序發(fā)展。

二是培育以數(shù)據(jù)經(jīng)紀人為主體的數(shù)據(jù)交易生態(tài)，帶動數(shù)據(jù)產(chǎn)業(yè)鏈規(guī)模化發(fā)展。出臺支持培育數(shù)據(jù)要素市場主體的綜合性政策，從資金、技術(shù)、項目和人才等方面，對數(shù)據(jù)經(jīng)紀人等新型市場主體予以扶持。探索優(yōu)先授權(quán)數(shù)據(jù)經(jīng)紀人開展公共數(shù)據(jù)產(chǎn)品運營工作，支持數(shù)據(jù)經(jīng)紀人面對社會各界的數(shù)據(jù)應(yīng)用需求，形成創(chuàng)新性定制化的數(shù)據(jù)產(chǎn)品和服務(wù)，打造政企融合應(yīng)用鏈條。探索以現(xiàn)有數(shù)據(jù)經(jīng)紀人為抓手，引薦合規(guī)認證、安全審計、數(shù)據(jù)公證、數(shù)據(jù)托管、資產(chǎn)評估、爭議仲裁和人才培訓(xùn)等其他第三方數(shù)據(jù)服務(wù)機構(gòu)入圈，帶動整個數(shù)據(jù)產(chǎn)業(yè)鏈規(guī)?；l(fā)展。

三是強化數(shù)據(jù)經(jīng)紀人的數(shù)據(jù)安全保護要求，保障消費者依法享有個人信息權(quán)益。督促數(shù)據(jù)經(jīng)紀人落實《中華人民共和國網(wǎng)絡(luò)安全法》《中華人民共和國數(shù)據(jù)安全法》等法律法規(guī)，落實數(shù)據(jù)分類分級、數(shù)據(jù)全生命周期安全保護、數(shù)據(jù)安全風(fēng)險管理和數(shù)據(jù)安全事件應(yīng)急響應(yīng)等要求，建立數(shù)據(jù)安全防護手段，健全數(shù)據(jù)安全保障體系。督促數(shù)據(jù)經(jīng)紀人落實《中華人民共和國個人信息保護法》等法律制度規(guī)定的個人信息保護責(zé)任，在內(nèi)部制定相應(yīng)的保護措施，尤其注重保障消費者個人信息刪除權(quán)和可攜帶權(quán)，防止個人信息被濫采濫用。適時對數(shù)據(jù)經(jīng)紀人等新型數(shù)據(jù)要素市場主體的個人信息保護合規(guī)情況予以監(jiān)督檢查，督促其及時整改不合規(guī)現(xiàn)象，履行個人信息保護的法定義務(wù)。