全球数据交易实践、行业规范现状与政策法律问题研究 公安部第三研究所网络安全法律研究中心 公安部第三研究所网络安全法律研究中心TRIMPS Cyber Security Law Research Center 摘 要随着信息技术和人类生产生活交汇融合，各类数据迅猛增长。 与此同时， 数据产权问题成为新型法律问题引发国内外的广泛探讨和争论。 从全球范围来看， 数据产权问题仍停留在理论研究阶段，尚没有哪个国家在立法上确立了数据产权。 国外 学术界 从个人数据与非个人数据的划分入手，对引入“数据所有权” 的必要性、 正当性进行了研究。 国内学者对于数据产权问题可以划分为赞成派和反对派。赞成派认为随着大数据、 物联网等新技术新应用的发展， 传统法律已无法适应当前数 据经济利益关系调整的需要， 应当创设新型数据财产权， 以促进创新和数字经济发展。 反对派则认为数据天然具有流通和分享的特性， 可以通过不同途径采集和获得， 无法为民事主体独占 ； 民事主体无法直接控制数据， 只能控制数据载体； 数据的价值可以通过数据活动主体的自我控制来实现和保护。 因此， 不宜将数据视为独立的财产。 同时， 设立新型数据财产权可能会对市场竞争和信息自由带来损害。 我国高度关注数据产权问题， 2017年 12月， 习总书记在十九届中央政治局第二次集体学习时发表讲话， 明确 “要制定数据 资源确权、 开放、 流通、 交易相关制度， 完善数据产权保护制度” 。国务院关于印发 “十三五” 国家信息化规划的通知 中共中央、国务院关于新时代加快完善社会主义市场经济体制的意见 等多个政策文件中多次提到要完善数据权属界定工作。 但由于数据本身性质、 相关利益主体等的复杂性， 数据相关基础理论问题尚未解决且分歧较大，相关立法进展缓慢。 2020 年出台的民法典 对于个人信息和数据的相关规定就体现了立法在数据确权方面的谨慎和犹疑。 对于个人信息， 法典第 111 条表明了安全保护的基本立场；人格权编对个人信息的相关概念、自然人权利、侵害个人信息免责事由、 个人信息合理使用等问题做出了明确规定， 但并未建立 “ 个人信息权” ， 而只是为个人信息通过 “人格利益”予以保护提供路径。对于个人信息之外的数据权益问题， 法典也未做出明确而是留待未来立法解决。 2021 年数据安全法 正式通过， 明确国家要建立数据交易管理制度 。 近年来， 我国地方在数据立法方面积极探索。 深圳市通过的 深圳经济特区数据条例 率先在立法中探索数据相关权益范围和类型， 甚至一度在征求意见稿阶段首创“数据权”概念，并对个人数据权属、公共数据权属问题做出了诸多创设性规定。 虽然最终通过的版本囿于我国对于数据权属问题尚未形成统一认识， 难以通过地方性法规旗帜鲜明地创设 “数据权” 这一新的权利类型， 并未予以正式确立， 但对于 “ 个人数据具有人格权属性 ” “企业对其投入大 量智力劳动成果形成的数据产品和服务具有财产性权益” 予以明确， 还规定了自然人、 法人和非法人组织对其合法处理数据形成的数据产品和服务享有法律、行政法规及条例规定的财产权益，可以依法自主使用，取得收益，进行处分。 本报告并非旨在解决数据产权这一时代发展带来的全新法律问题， 事实上， 我们认为， 随着以大数据、 云计算、 无人驾驶 、AI、 5G 等为标志第四次工业革命席卷全球，数据这一非传统要素给社会发展和变迁带来的深远影响绝非通过原有的思维和方式可充分应对， 作为对特定社会关系进行规范性调整的法律尤为如此。本报告尝试从实证出发，对国内外数据交易实践、事件、行业规范、交易特点做一个全面的归纳和梳理，同时，对欧盟、美国在数据交易政策法律的现状、 动态与趋势进行全方位的考察与研判， 同时分析我国大数据交易的三大现实困境， 以期对数据 产权问题研究有所裨益， 也为数据安全领域基础性法律 数据安全法下数据交易制度的完善与落实尽一份绵薄之力。 目 录一、国内外数据交易实践及行业规范 .1（一）域外数据交易 现状 .11. 数据经纪人概念 .12. 数据 交易平台发展 历程 .23 . 数据 经纪人发展 现状 .64 . 典型 交易 平台模式考察 以 DataBroker DAO 为例 .8（二） 我国 数据 交易现状 .9 （三）国内外 典型数据交易 违规 事件 .171. Torch ConceptS、 JetBlue 航空公司 、 Acxiom 公司违规披露案.172. ChoicePoint 违规交易案 .193. Sitesearch Corp、 LeapLab LLC、 Leads Company LLC 违规交易案 .204. 数据堂侵犯公民个人信息案 .21（四） 数据交易的行业规范 .221. 限制数据流通范围 .22 2. 重视个人信息保护 .25（五） 数据交易实践的特点 .271. 数据交易规模与领域不断丰富，但数据类型仍有限制 .272. 大部分 数据 不直接从消费者处 获取 ，数据经纪人之间数据 交易频繁 . 293. 数据交易过程中的 个人信息保护 制度欠缺 ，消费者退出机制 不健全 . 30二、国内外数据交易政策法律现状及现实困境 .32（一）欧盟数据交易政策法律现状 .321. 政策 层面 .342 .法律层面 .373 .欧盟数据交易 政策法律 特点 .40（二）美国 数据 交易政策法律现状 .43 1 美国数据交易政策法律 .442. 美国 数据交易政策 法律 特点 .58（三）我国 数据交易 政策法律现状 .591. 政策 层面 .592 . 法律层面 .603 . 标准 层面 .644. 我国 数据交易政策 法律 特点 .64（四）我国大数据交易的现实困境 .671. 数据泛化交易，法律红线不明 .67 2. 规则缺乏特性，限制交易创新 .673. 数据权利不清，抑制 产业发展 .68 1 一、国内外数据交易实践及行业规范（一）域外数据交易现状1. 数据经纪人概念 国际范围内将从事数据交易的中间商成为数据经纪人 （ DataBroker） 。根据维基百科的定义 1 ，数据经纪人从公共记录或私人来源收集个人数据， 如通过人口普查、 用户向社交网站提交的材料、 媒体和法庭报告、 选民登记清单 、 购买历史等； 然后将汇总收集到的数据创建成个人档案， 内容涉及年龄、 种族、 性别、 婚 姻状况、 职业、 家庭收入等； 最后， 数据经纪人将这些个人档案出售给针对特定群体推送广告或营销的机构 或者 用于研究的个人、政府机构等。 欧 洲 数 据 保 护 监 管 机 构 （ European Data ProtectionSupervisor）将数据经纪人定义为，收集有关消费者的个人信息并将其出售给其他组织的实体 2 。美国联邦贸易委员会 （ FTC） 3 将数据经纪人定义为， 以将信息二次销售给具有多种目的 （包括验证个人身份、 区分记录 、 产品营销及预防商业欺诈） 的客户， 而从各种来源收集包括消费者个人信息的公司。 佛蒙特州 数据经纪商法案 首次在法律上明确定义了数据经纪人的概念， 对在司法实践中对数据经纪行业进 1en.wikipedia/wiki/Information_broker. 访问日期：2018-08-11.2 edps.europa.eu/search/site/Data%2520Broker_en . 访问日期：20 20 -08-11.32012 年 FTC 报告 快速变革时代的 消费者隐私保护： 针对企业界和政策制定者的建议 （ Protecting ConsumerPrivacy in an Era of Rapid Change: Recommendations For Businesses and Policymakers） .ftc.gov/os/2012/03/120326privacyreport.pdf. 访问日期：2018-08-11. 2 行监管有重要意义 4 。 数据经纪商法案将数据经纪人定义为，有意向第三方收集、 销售或许可与该企业没有直接关系的消费者个人经纪信息的企业。数据经纪人活动的认定应包含数据的进入、流出两个环节。此外， 数据经纪商法案还列举了不能被认定为数据经纪人的两大类情况： 一是与消费者存在直接关系的公司， 例如： 投资人 ； 商业捐助人；业务代表、雇员或承包商；客户、订阅人、委托人等。 二是以下四类具体业务场景： 开发、 维护第三方电子商务或应用程序平台； 代表、 作为电信运营商提供姓名 、 地址、 电话等 目录信息服务；提供与消费者业务相关的公开信息；出于健康、安全的考虑，通过实时警报提供公开信息。 该法还将可从公共渠道获得的与消费者经营或职业相关的个人经纪信息排除在了监管范围之外。2. 数据 交易平台发展 历程目前我国数据经纪人行业仍处于起步阶段， 而在欧美国家该产业已发展成熟 5 ，纵观历史，域外数据经纪人的发展可以分为非电子化时代和电子化时代两个阶段。 在非电子化时代， 欧美数据经纪人产业经历漫长的发展历程。上世纪 20 年代，德国柏林市政电力公司以用户的电费支付状况为依据进行个人分期付款评估，开启了德国数据经纪产业发展的先河。而在美国， 19 世纪 60 年代，纽约布鲁克林出现了第一家信用局，成为美国数据 4 彭星, 万雨娇. 美国佛蒙特州数据经纪商法案浅析及启示J. 武汉金融, 2019, 230(02):48-52.5 金耀. 数据产业法律规制路径研究以美国数据经纪人制度为视角J. 司法改革论评, 2017(2). 3 经纪市场萌芽的标志 6 。 19 世纪末期， Equifax 公司成立， 如今已经成为美国三大个人征信机构之一。 20 世纪初，消费者数据行业协会 (CDIA)成立， 主旨是促进全国的消费者信用信息共享， 成为消费者信用报告行业的代言人 7 。 20 世纪中叶， 信用卡产业迅速发展， 客户量的大量增长使得银行等金融机构对数据经纪产生旺盛需求， 信用机构大量兴起， 向金融机构提供客户信息 ， 发现潜在贷款人 。 20 世纪 70 年代。 Claritas 公司推出一种 “生活方式细分系统” ，通过分析消费者数据，为营销人员提供客户偏好信息。 20 世界 80 年代， Fair Isaac Corporation（ FICO）公司成立， 创建信用评分模型，为各大银行沿用至今。 进入电子化时代， 数据经纪人产业依托大数据分析技术得到快速发展。例如，成立于 1969 年，总部设在美国阿肯萨斯州的Acxiom 公司，为营销活动和欺诈检测提供消费者数据和数据分析服务， 数据库中包含了全球七亿消费者的信息， 如今分公司已经遍及全球 12 个国家 8 。 Datalogix 是知名数据收集 公司， 为企业提供美国家庭的营销数据，以及超过一万亿美元的消费交易数据。 2012 年， Facebook 与 Datalogix 合作，利用大数据技术分析用户数据评估广告效果。 Rapleaf 是美国互联网数据集成商， 拥 有一个以上能够连接百分之八十以上美国用户电子邮件地址的数据点以及三十多个多元化类型数据点， 此外， 该公司也在其电子邮件地址列表中增补电子邮件用户的年龄、 性别、 婚姻状况等6 张吉光. 美国个人征信体系介绍J. 经济界, 2003, 000(001):78-80.7 宋湘燕, 巴晶铝. 美国个人征信市场发展J. 中国金融, 2017(04):81-82. 8 百度百科： 访问日期：2020-08-11. 4 个人信息 9 。 进入 21 世纪以来， 各国已形成大量数据经纪人公司，收集分析数据，满足市场需求。见下表 编号 国别 名称 业务类型1. 美国 Factual 位置相关数据集2. Iofochimps 在线的数据集市，主要数据集中在地理位置、社交以及网络3. Microsoft Azure 开放灵活的企业级云计算平台，旨在 为开发者提供一个平台，帮助开发可运行在云服务器、数据 中心、 Web 和 PC 上的应用程序4. DataBroker DAO 针对物联网传感器数据5. Acxiom 为营销活动和欺诈检测提供消费者数据和分析6. Corelogic 根据财产信息以及消费者和财务信息向企业和政府提供数据和分析服务7. Datalogix 为企业提供几乎每个美国家庭和超过一万亿美元的消费者交易的 营销数据8. eBureau 为市场营销人员 、 金融服务公司 、线上零售商等提供预测性评分和9 启示录丨数据交易发展模式之美国篇： 访问日期：2020-08-11. 5 分析服务9. ID Analytics 用于验证人员的身份或确定交易是否可能存在欺诈行为10. Intelius 为企业和消费者提供背景调查和公共记录信息11. PeekYou 拥有专利技术，可分析来自 60多个社交媒体网站、新闻来源、主页和博客平台的内容，为顾客提供详细的消费者资料 12. Rapleaf 数据整合商13. RecordedFuture 收集互联网上的消费者和公司的历史数据，并使用这些信息来预测这些消费者和公司的未来行为14. 英国 ODI（ The OpenData Institute） 全球首个非营利性的开放式数据研究所15. 法国 date.gouv.fr 公开的数据平台， 以便于 公民自由查询和下载公共数据。数据涉及 国家财政支出、空气质量、法 国国家图书馆资源等16. 日本 Fujitsu（ 富士通 ） 提供全方位的技术产品、解决方案和服务 6 3 . 数据 经纪人发展现状根据 2014 年 FTC 发布的数据经纪人：呼吁透明度和问责制 （ Data Brokers： A Call for Transparency and Accountability）报告，将美国现有的数据经纪人根据不同业务类型分为三种模式： （ 1 ）提供市场营销服务的数据经纪人此类型主要用于满足商业需求或市场营销目的， 数据经纪人提供直接营销、线上营销和营销分析三种服务。 首先， 在直接营销中包括数据添附和营销名单两种。 数据添附中， 数据经纪人的客户提供目标消费者的部分信息， 要求数据 经纪人附加完善更多的信息， 以便在后续业务中更加有针对性地进行营销活动。例如，客户可以提供目标消费者的姓名和地址，要求数据经纪人提供前述消费者的电话号码、邮箱地址等信息。营销名单服务中， 数据经纪人可以根据客户拟定的目标属性， 为其提供符合该属性的消费者信息， 以便针对这些具备特定属性的消费者定向推送相关产品和服务。 其次，在线上营销中包括注册定向、协作定向和载入三种。注册定向主要服务于注册网站。 当注册网站想为用户提供个性化的服务内容推送， 或者在网站提供对用户更有吸引力的第三方广 告， 则可以将注册用户名单提供给数据经纪人进行分析， 由数据经纪人提供相应的分析结果。 协作定向主要服务于第三方广告商和注册网站， 用于当广告商选择在某网站进行广告投放时， 为双方对潜在消费者和预期效益进行分析， 并且在不披露各自消费者 7 信息的情况下， 由数据经纪人这一第三方数据服务商对双方消费者信息进行交叉分析， 从而为后续合作提供参考。 最后一种载入服务指数据经纪人将线下数据添加到 Cookie（线下数据载入过程） 以使广告商几乎可以将互联网上任何位置的消费者作为目标的过程。 这个过程允许广告商使用消费者的线下活动来确定在互联网上为他们提供的广告。 最后， 营销分析主要是为客户提供营销后分析， 可以使其更准确地定位消费者进行广告活动、 改进产品和活动信息， 并获得关于消费者态度和偏好的见解和信息。 （ 2 ）提供风险缓解服务的数据经纪人此类型主要用于安全目的， 以保障日常交易安全或避免欺诈行为。 该项服务下包括身份验证和欺诈检测两类 。 其中 ， 身份验证用于协助客户识别确认消费者身份， 从而在交易过程中减少欺诈等问题的出现。 验证服务采用的信息多为消费者明知， 但不能被身份盗窃者获取的内容。 在欺诈检测服务中， 数据经纪人可以提供信息帮助其客户验证消费者提交信息的可靠性或真实性， 以及 帮助发生数据泄露事件的公司验证遭泄露的数据是否存在不当使用的情况。 （ 3 ）提供人员搜索服务的数据经纪人此类型主要针对个人提供， 但并不排除机构组织使用。 客户可以利用人员搜索服务追踪他人活动， 查找记录等。 数据经纪人提供的信息大多来源于政府或其他公共来源，如社交媒体网络 8 等。 该向服务还允许客户仅提供至少一个属性来进行搜索， 如提供姓名、地址、电话号码等。4 . 典型 交易 平台模式考察 以 DataBroker DAO 为例DataBroker DAO 作为首个直接将数据所有者和采购者联系在一起的物联网传感器数据集市，为传感器数据交易提供平台。该平台主要由传感器所有者、 网关运营者、 数据购买者和数据处理者构成。具体而言： 传感器所有者即数据出售者， 他们将自身拥有的传感器数据通过 DAO 平台进行出售。数据购买者是从平台购买数据的利益 相关者， 他们分为两种群体， 一种是出于自身使用目的获取原始数据的购买者， 另一种是获取原始数据后， 进行再加工 ， 对原始数据进行转化、充实，给数据以新的附加值后再到 DAO 平台出售的购买者。 此时， 该类型的购买者称为数据处理者 。 此外， 在平台交易过程中， 还包括网关运营者， 它负责公开所运营的网关以让传感器所有者在平台上出售自身数据。 对于盈利模式， 传感器所有者获得收入的 80% ， 网关运营者获得 10% ， DAO 平台获得10% （见图 3 10 ） 。 10 图片来源于 Data Broker DAO本地数据的全球化市场白皮书 . 访问日期： 2018-08-13. 9 图 3 ： DataBroker DAO 数据交易集市收入分配模式（二）我国 数据 交易现状我国拥有庞大的网民规模 11 ，形成的海量数据环境中催生市场对数据价值的旺盛需求。根据贵阳大数据观山湖公约 ，数据交易是将数据作为一种资产进行商品化后交易。 首先， 通过收集数据、 加工处理数据、 分析得出结论， 使数据成为产品； 然后，结合商业应用场景对产品经过再处理、再分析得出可视化结果；最后， 通过合理的数据交易规则将数据产品和可视化结果出售给数据需求方。 近年来我国数据交易市场发展迅速， 已成立十余家 数据交易平台。 11 中国互联网络信息中心 （CNNIC） 第 41 次 中国互联网络发展状况统计报告 显示， 截至 2017 年 12 月，中国网民规模达 7.72 亿， 普及率达到 55.8%， 超过全球平均水平（ 51.7%） 4.1 个百分点，超过亚洲平均水平 （ 46.7%） 9.1个百分点 . 2018-08-16. 10 图 4 ： 2014-2020 年中国大数据交易市场规模及增长率 12我国数据交易所根据成立部门或结构形式不同， 可分为政府类 产业联盟 类 和商业 类（部分列举见表 1 ） ，数据供需方涉及政府部门、商业机构、个人等多重主体。具体分为： （1 ）政府类平台以贵阳大数据交易所为例， 该交易所会员有在贵阳大数据交易所进行大数据交易的资格。大数据交易以电子交易为主要形式， 通过线上大数据交易系统， 撮合客户进行大数据交易 ， 并定期对数据供需双方进行资格评估认定。除了提供大数据交易外， 贵阳大数据交易所还提供数据清洗、 建模、 分析服务 ， 协助大数据供应商将数据价值提炼出来， 变成可以交易的数据资产。 而数据需求方可以在交易所提出购买需求， 交易所将全方位整合数据供应商的数据源，满足购买方的一切数据需求。 在此过程中， 交易所对交易数据本身进行清洗、 建模和分析操作， 对于数据本身的安全性和脱敏程度有一定保障， 潜在面临 12 图片来源于贵阳大数据交易所2016 年中国大数据交易产业白皮书. 访问日期：2018-08-1 5. 11 的法律与合规风险较低， 加之会员资格限制和交易所的背书， 使得数据交易可靠程度较高。 但与此同时， 交易所对数据进行的操作要求交易所本身拥有较为全面且可信的数据清洗水平， 在保障数据安全性的同时避免数据价值的过度流失。 13（ 2 ）产业联盟性质的交易平台与贵阳大数据交易所参与数据处理的模式不同， 中关村大数据交易产业联盟下的平台本身不存储和分析数据， 而是作为中立的第三方参与数据交易过程，仅为数据供需双方提供交易平台。 （ 2 ）商业类平台 以数据堂为例， 作为商业化的数据平台， 数据堂主要是依据数据需求方要求， 运用网络爬虫程序、 众包等途径收集相应数据，经整理、 校对、 分析等处理后出售， 或者与其他数据拥有者合作，通过对数据进行整合、 编辑、 清洗、 脱敏， 形成数据产品后出售。在此过程中， 大多数情况下只有数据堂和数据需求方两方主体参与。 此种模式下， 双方直接就数据需求进行交流， 门槛较低 ， 并且数据收集和交易更具针对性，使得数据价值和使用效益更高。但是， 由于缺少第三方机构监管， 对于交易双方的合规要求和自 觉性要求较高，易催生违法违规行为。 编号 名称 简介 性质 网址1. 贵阳大数 我国首个大数据交易 政府类 ww 13 庄金鑫. 三类大数据交易平台模式和优劣势分析J. 中国工业评论,2016(10):109-111 12 据交易所 所，贵阳大数据交易所发展会员数目突 破2000 家，已接入 22 5家优质数据源，经过脱敏脱密，可交易的数据总量超 150PB ， 可交易数据产 品 400 0 余个，涵盖三十多个领域，成为综合类、全 品类数据交易平台。 2. 武汉东湖大数据交易中心 我国 最早探索并实施“ 政务数据运营解决方案 ” 的服务机构 政府类 华东江苏大数据交易中心 经国家批准的华东地区首个领先的跨区域、标准化、权威性省级国有大数据资产交易与流通平台， 2015 年 11 月成立于国家级大数据产业基地 江苏盐城大数 政府类 13 据产业园，承担助推江苏省国有数据增值开放流通、大数据产业发展之重任。4. 陕西西咸新区大数据交易所 国内首个围绕 “ 一带一路 ” 经济带的大数据交易平台 政府类 河北大数 据交易中心 首家开展数据资产证券化的服务机构、华北地区第一家数据资产交易平台 政府类6. 上海数据交易中心 经上海市人民政府批准，上海市经济和信息化委、上海市商务委联合批复成立的国有控股混合所有制企业。承担着促进商业 数据流通、跨区域的机构合作和数据互联、政府数据与商业数据融合应用等工作 政府类 14 职能。7. 哈尔滨数据交易中心 哈尔滨数据交易中心由黑龙江省政府办公厅组织发起并协调省金融办、省发改委、省工信委等部门批准设立。 面向全国提供数据交易服务的创新性交易场所 ， 采用 “ 政 府指导 ， 市场化运作 ”模式，提供完整的数据交易 、 结算 、 交付 、安全保障、数据资产管理和融资等服务 政府类 中关村大数据产业联盟 成立 于 201 2 年 1 2 月 ，一直致力于推动大数据产业的发展。 国内首个面向数据交易的 产业组织 产业联盟 zgc-bigdata/9. 数据堂 中国人工智能数据服务行业第一家挂牌新三板企业 商业类 15 10. 中关村数海大数据交易平台 全国第一家数据交易平台，推动数据的流通，发挥数据的商品属性 ， 促成数据交换 、整合，将真正带动大数据产业繁荣。 商业类 华中大数据交易所 我国 首个全网系大数据交易平台，是国内首个独立同时支持个 人和机构用户的综合实时在线交易系统 商业类12. 钱塘 大 数据交易中心 工业大数据应用和交易平台 商业类 数据星河 是全球首款大数据产业链生态平台，基于国际主流的大数据生 态技术研发，结合先进的大数据资产运营理念，汇聚全球近千家大数据公司 。 商业类 16 14. 优易数据 国家信息中心发起，国内首家拥有国家级信息资源的数据平台 商业类 数据宝 全国首家省部共建的大数据资产运营管理平台，首个大数据双创平台 商业类 数粮 大数据领域的流通平 台，供数据资源和大数据技术应用产品进行交易，支持 API 接口、数据包下载、定制等交易模式。 商业类 百度智能云云市场 由百度智能云建立的云计算软件或商品的交易与交付平台，下设多个商品品类，包 括镜像环境、建站推广、企业应用、人工智能、数据智能、区块链、泛机器人、软 商业类 17 件工具、安全服务、上云服务、 API 服务等 ， 商品数量数千种 。18. 京东万象 以数据开放、数据共享、数据分析为核心的综合性数据开放平台，拥有的数据类型主要包括金融 、 征信 、电商、质检、海关、 运营商数据 商业类 聚合数据 主要提供两种核心服务：以 API 数据接口的形式，提供数据服务；以大数据技术，提供数据应用服务。 商业类 1 ：我国数据交易平台列举（三）国内外 典型数据交易 违规 事件1. Torch ConceptS、 JetBlue 航空公司、 Acxiom 公司违规披露案 2003 年，美国电子隐私信息中心（ EPIC） 14 向 FTC 投诉，认为美国 JetBlue航空公司和 Acxiom公司在进行数据交易和披露的14 电子隐私信息中心 （ EPIC） 成立于 1994 年， 属于非营利性公共利益研究组织， 主要活动包括审查政府和私营部门的政策及实践，以确定对个人权利的潜在影响。 18 过程中未尽到应有的消费者通知义务，并且违反自身隐私政策，存在欺诈行为 15 。在投诉中， EPIC 表示 ， 2002 年，美国陆军部队雇佣 TorchConcepts 研究 “公私记录将如何帮助军事基地免受恐怖分子或其他敌人的攻击 ” 。因此， 2002 年， Torch Concepts 在运输安全管理局的协助下从 JetBlue 获取超过 150 万乘客的行程信息，包括乘客姓名、住址和电话号码。同年 10 月， Torch Concepts 又 从Acxiom 公司购买了 前述 150 万乘客中 40% 的人口统计数据，包括性别、 经济状况 （收入等） 、 子女数量、 社会安全号码等 。 200 3 年 2 月， Torch Concepts 在公开会议上以 “ 国土安全航空乘客风险评估” 为题进行公开演讲， 内容涉及基于上述数据进行的研究成果。该报告披露了一名 JetBlue 乘客的“异常人口统计数据 ” ，涉及住址、 社交安全号码、 生日等信息， 尽管并不能通过名字识别该乘客。此外，该演讲用演示文稿直至 2003 年 9 月都可以在网站公开获取。 对此， EPIC 认为 JetBlue 在隐私政策中表明 “ 本网站收集的财务和个人信息不与任何第三方共享” ， Acxiom 表明 “不会向个人提供任何信息，不论是公共还是非公开信息。 Acxiom 也不允 许其客户向个人提供任何非公共信息 。 ” 同时，没有证据证明两家公司就此次数据交易通知受影响的消费者， 或获取同意。 因此，EPIC 认为 JetBlue 构成欺骗性贸易， Acxiom 构成不公平和欺骗性 15 epic/privacy/airtravel/jetblue/ftccomplaint.html. 访问日期：2018-08-14. 19 贸易， 要求 FTC 调查两家公司的信息收集和传播实践， 通知受交易影响的所有个人，他们的个人信息已向 Torch Concepts 披露；在今后以此方式传播信息的过程中获得消费者明确同意、 罚款等处罚。2. ChoicePoint 违规交易案ChoicePoint16 是美国最大的数据经纪公司之一。该公司向超过 50000 家企业出售消费者的个人信息 ， 包括姓名、 社会安全号码、出生日期、就业信息和信用记录等。 2004 年 9 月 27 日， ChoicePoint 发现一些位于洛杉矶的小企 业客户从事可疑活动。 随后， 该公司将这一情况通报给警方 ， 但没有通知受数据泄露影响的个人。直至 2005 年 2 月，该公司依法向 35000 名加利福尼亚消费者通报了该情况 。 随后， 在社会舆论压力下，该公司进一步向涉及数据泄露的 128000 名美国居民通报了该情况。 据调查， 此次数据泄露至少导致 800 起身份盗窃案件。 2006 年， FTC 就此次事件对该公司进行 处罚 。 FTC 表 示ChoicePoint 将大量消费者信息出售给用于身份窃取的犯罪分子 17 。该公司没有对潜在客户通过合理程序进行筛选，并且将消费者的敏感个人信息转交给明显带有“危险信号”的客户。此外，FTC 表示 ChoicePoint 的客户甚至存在个人认证信息虚假的情况。 162008 年 2 月， Reed Elsevier（ LexisNexis 的母公司） 以 41 亿美元收购该公司。 该公司更名为 LexisNexis RiskSolutions.17ftc.gov/news-events/press-releases/2006/12/ftc-launches-redress-program-choicepoint-identity-theft-victims. 访问日期： 2018-08-12. 20 对此， FTC 认为 ChoicePoint 违反了公平信用报告法 （ FCRA） ，向没有合理数据获取目的的客户提供消费者报告和信用历史。 此外， 该公司没有通过合理的程序验证客户身份以及数据获取目的。 FTC最终要求该公司支付 100 0 万美元的民事罚款 18 ，并向消费者补偿 500 万美元 ， 这是当时 FTC 历史上最大的民事罚款。 此外， FTC 要求该公司实施新程序 ，以确保仅向出于合法目的的合法企业提供消费者报告， 并建立和维护全面的信息安全计划， 每隔一年由独立的第三方安全专业人员进行审核， 直至 202 6年。 3. Sitesearch Corp、 LeapLab LLC、 Leads Company LLC 违规交易案2014 年 12 月， FTC 向美国地方法院提起诉讼 19 ，指 控Sitesearch Corp、 LeapLab LLC、 Leads Company LLC 在没有消费者知情或同意的情况下，向非贷方出售消费者发薪日贷款 20 申请信息，涉及消费者金融账号、社交安全号码及其他敏感个人信息。其中，一名被告的客户 Ideal Financial Solutions 公司使用敏感的消费者信息对其金融账户进行未经授权的借记， 并且被告知道或有理由知道该公司的行为。 2006 年至 2013 年底， 被告作为数据经纪人， 从数千个发薪 日贷款网站收集消费者的贷款申请信息，并销售给包括欺诈者、18 ftc.gov/news-events/press-releases/2006/01/choicepoint-settles-data-security-breach-charges-pay-10-million . 访问日期：2018-08-12.19 ftc.gov/news-events/press-releases/2014/12/ftc-charges-data-broker-facilitating-theft-millions-dollars. 访问日期：2018-08-14.20 发薪日贷款 （payday loan） 是短期、 高费用、 无担保贷款的通用名称， 通常用于向消费者提供预期即将到来的薪水所需的资金。发薪日贷款网站 通常会帮助消费者获得发薪日贷款。为此，他们要求消费者填写 申请，大多包含姓名、地址、电话号码、雇主、社会安全号码和银行帐号等。 21 垃圾邮件发送者和电话推销员在内的非贷款方。 2009 年至 201 3年期间， Ideal Financial Solutions 从数据经纪人处购买至少 220 万消费者的财务信息， 并用以从消费者的银行账户中购买未经消费者同意的所谓金融产品。仅使用被告提供的消费者信息， IdealFinancial 从消费者银行账户中扣除了至少 412 万美元。对此， FTC 要求法院对被告签署永久禁令， 承担消费者损失 ，包括但不限于撤销或更新合同、 恢复原状、 退还已支付的款项等。4. 数据堂侵犯公民个人信息案 2017 年 5 月，有媒体消息称国内数据交易和服务公司数据 堂因泄露客户隐私，公司多位高管和业务人员被警方带走调查，公司数据业务处于停摆状态。 随后数据堂官方予以澄清， 表示传闻与事实严重不符。 2018 年 7 月，山东省公安部门成功破获一起特大侵犯公民个人信息案， 共抓获犯罪嫌疑人 57 名， 打掉涉案公司 11 家。 在被查获的公司中，再次涉及数据堂公司。 经调查， 数据堂在 8 个月时间内， 日均传输公民个人信息 1亿 3000 万余条，累计传输数据压缩后约为 4000G 。查获的数据隐私性高， 案件涉及的上网 URL 数据包含了手机号码、 上网基站 代码等 40 余项信息要素，记录手机用户具体的上网行为，甚至部分数据能够直接进入公民个人账号主页。 7 月 11 日，数据堂发布公告表示，案件发生后，公司及时对涉案业务予以整改和停止， 并对相关业务进行了梳理， 不存在 22 其他涉及侵犯公民个人信息的合同。 本次事件系公司个别人员不当行为造成。 数据堂的及时回应， 让无从查证的内部消息成了一个 “罗生门 ” 。不管当时情况如何，数据堂关于 “ 数据不安全 ” 的流言坐实了。目前，该案已由检方提起公诉，法院尚未宣判。（四）数据交易的行业规范 我国大数据交易行业发展已有一段时间， 但目前尚未专门针对数据交易进行立法规制。 各数据交易中心多通过平台规则、 行业公约等形式为数据交易划定行为边界。 平台规则层面包括上海 数据交易中心、 哈尔滨数据交易中心等， 行业公约方面涉及贵阳大数据交易所的贵阳大数据交易观山湖公约 ，中关村大数据产业联盟的中关村大数据产业联盟行业自律公约（试行版 ） 等。 经过梳理， 无论是平台规则还是行业公约， 内容主要涉及以下方面：1. 限制数据流通范围 1 ）行业规范层面美国 DMA 协会道德商业实践指南 （ Guidelines for EthicalBusiness Practice） 21 要求营销数据不 得用于以下目的 ： （ 1 ）就业资格： 对个人雇佣、 晋升、 再分配、 处罚或留任产生不利条件或取消备选资格的； （ 2 ） 信用评级： 对个人信贷 产生不利条件或取21 DMA道德商业实践指南 旨在为所有媒体中参与数据驱动营销的个人和实体提供普遍接受的行为准则。这些指南反映了 DMA 在数据管理和营销方面维持最高道德水平的长期政策。DMA 认为，DMA 、协会成员以及参与数据和营销的所有实体都有责任开发基于公平和道德原则的可信赖的消费者关系.thedma/accountability/ethics-and-compliance/dma-ethical-guidelines/. 访问日期： 2018-08-16. 23 消备选资格的； （ 3 ） 医疗保健治疗资格： 对个人接受医疗保健治疗产生不利条件或取消备选资格的； （ 4 ） 保险资格、 承保、 定价：对个人保险产生不利条件或取消备选资格的， 包括但不限于健康保险。 此外， 尽管有其他规定， 但信用卡号、 支票账号和借记 账号都被视为敏感的个人数据，因此，如果消费者希望数据保密，则不得交换、 出租、 出售、 允许访问或转移营销。 此类金融账号不应公开显示在营销促销活动中或以其他方式公开。 最后， 社会安全号码也被视为个人敏感信息， 因此第三方在自身