摘要：个人信息权益与数据产权关系阐释的前提是在承认人格利益专属个人的基础上明确个人数据财产利益的归属。个人数据财产利益由数据主体与处理者共同生成，并分别形成纵向和横向共生关系。基于个人数据财产利益的“共生机理”，数据主体与数据处理者之间的关系应从“对立竞争”转向“双向依赖”，权益位阶应从“绝对优先”转向“同步生成”，调整模式应从“排他赋权”转向“治理规范”。由此，个人信息权益与数据产权是将个人数据的不同利用权能分别赋予数据主体与处理者形成的两项平行权利。数据主体可通过个人信息权益实现个人数据财产利益的管理，数据处理者则因合法处理行为享有包括持有权、使用权、经营权等在内的数据产权。针对个人信息权益与数据产权的冲突，一方面应通过限缩同意撤回权的适用条件、细化删除规则并引入匿名化替代机制，协调数据未转移时的冲突；另一方面可依据转移目的合法性约束转移权行使，并以处理方式实质性变化或特别约定作为目的变更认定标准，协调数据转移时的冲突。
关键词：个人信息权益；数据产权；数据共生；治理财产
作者：王年（法学博士，清华大学法学院助理研究员）
来源：《法学家》2026年第1期“主题研讨一：人工智能时代的法学回应”栏目。
问题的提出
个人数据（个人信息）作为与已识别或可识别的自然人有关的数据，不仅关乎个人隐私和人格尊严，也蕴含巨大的经济价值。为保护数据主体的合法权益、促进个人数据的流通利用，《中华人民共和国民法典》（以下简称《民法典》）《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）可解释为数据主体针对个人数据及其处理行为具有个人信息权益，并通过对数据处理者配置相应的义务来保障个人信息权益的实现。随着数字经济的不断发展以及数据生产要素地位的确立，为数据处理者赋予数据产权已成政策和学说上的热点。《中共中央 国务院关于构建数据基础制度更好发挥数据要素作用的意见》（以下简称《数据二十条》）专门构建了以数据持有权、使用权和经营权等为内容的数据产权。然而，数据处理者持有和使用的数据中，相当一部分源于对个人数据的处理。在为数据处理者配置数据产权时，必然涉及如何协调个人信息权益与数据产权的关系问题。由于个人数据同时负载人格利益和财产利益，且人格利益专属于数据主体，因此，个人信息权益与数据产权关系问题的核心是如何在承认人格利益专属个人的前提下，构建能够兼容数据主体财产利益实现需求与数据处理者开发利用需求的财产利益归属与分享机制，并设计出化解两类权益冲突的具体规则，最终实现个人数据保护与数据要素价值释放的动态平衡。
对此，理论上可归纳为分离保护论、一体论保护和共享保护论三种不同的学说。分离保护论认为，由于《民法典》《个人信息保护法》等法律确认了个人信息权益，数据主体在个人数据上的合法权益可通过个人信息权益等法定在先权益得以保护，无需将其作为数据财产权再行确认。在个人信息权益与数据产权发生冲突时，个人信息权益构成数据产权的法定外在限制，相关数据产权人应当在尊重数据主体在先权益的基础上行使权利。即使承认个人信息权益兼具人身属性和财产属性，也应当基于“人财两分”的原则，将个人数据上的财产权利配置给数据处理者。与之相反，一体保护论则认为随着智能设备和技术的不断应用，个人对其个人数据的保护需求将从隐私、人格利益向财产利益转变。自然人享有个人信息权益意味着其既可以同意处理者处理其个人数据，也可以将对个人数据的商业化利用权利授予数据处理者。上述两种路径虽然在观点上相异，但在思维方式上却存在相似性，即均在个人数据上的人格利益和财产利益对立的基础上，将个人数据财产利益或归属于个人，或归属于处理者，从而形成一种“非此即彼”的排他性赋权方案。但是，这种依托个人信息自决理论或所有权排他性理论，将个人数据财产利益完全归属于数据主体或数据处理者某一方的方案，要么会因分散赋权导致个人数据的零散化、碎片化和低效化，无法高效率、低成本地形成具有高价值的数据集合，要么会因集中赋权导致数据垄断和数据孤岛，难以实现数据的融通复用，并引发数据公平利用的难题。
不同于上述两种“非此即彼”的排他保护方案，共享保护论者认为，个人数据乃是数据主体与数据处理者共同劳动的成果，个人数据上的人格利益虽然专属于数据主体，但财产利益却应当由数据主体和处理者共享，且主要由数据处理者所享有。此种“去中心”的共享方案，不仅符合数据财产易复制、可共享的特点，而且能够兼容数据主体与处理者对同一宗数据的不同利益期待，有利于推动数据主体与处理者在持续的数据处理关系中开展更为广泛和更具深度的相互合作与利益共享。但是，此种学说也面临如何从理论上阐释和证成个人数据主体与数据处理者共享个人数据财产利益正当性，以及如何实现这种共享，并在现行法律体系框架内实现个人信息权益与数据产权的规则衔接问题。
本文认为，若要协调好个人信息权益与数据产权的关系，必须追根溯源，阐明个人数据财产利益的生成机理，揭示个人数据财产利益之“源”。只有在充分理解个人数据财产利益何以生成的基础上，才能够据此在参与数据生成的各主体间分配个人数据财产利益，进而依托现行法律体系解决个人信息权益与数据产权的冲突问题。
一、个人数据的“共生机理”及其法律意义
个人数据财产利益归属于谁的判断，取决于谁对个人数据的生成作出了贡献、对生成的个人数据是否具有财产利益期待。为此，必须首先结合个人数据的生产过程，揭示对个人数据生成具有贡献并存在利益期待的主体及其相互关系。
（一）个人数据的“共生机理”
在法律上，个人数据与个人信息具有同质性，均指与已识别或可识别的自然人有关的信息。但从技术上看，个人信息被处理前尚未成为存储于电子介质中的数字载体，而仅表现为信息主体所呈现的运动状态及其变化方式，即“本体论信息”。这种信息是一种客观存在，不以主体的存在与否为转移。但个人数据则是在特定处理者利用信息技术以特定目的和方式对信息进行记录和转化后形成的可控制、有稀缺性的资源。只有个人信息被处理者以一定目的和方式进行处理，转化为数据形式记载和识别的信息，才产生个人数据保护和利用的制度需求。
数字技术的革新不仅改变了个人信息的存在形态，更重构了其价值生成逻辑。传统社会中的个人信息以公共领域开放资源的形态存在，因物理载体的限制难以形成排他性控制，其经济价值呈现分散化、低密度的特征。数字技术的介入，使碎片化信息通过聚合产生系统性洞察力，推动个人信息从身份识别符号转型为与土地、资本并列的核心生产要素。作为生产要素的个人数据，不仅因其物理属性可为机器识别和读取，而且能够以可控的方式进行流通，通过跨主体、跨领域的动态流转和开发形成具有高价值的衍生数据。因此，个人数据之所以具有财产价值，是掌握数据收集处理和分析技术的数据处理者参与的结果。如果没有数据处理者投入资金、技术和人力将个人信息转化为格式化、可通用的电子化数据，个人信息的财产价值就无法得以事实呈现，亦无法通过各种方式和途径加以利用。
个人数据生成上的技术介入，意味着个人数据财产利益不再遵循“劳动—所有权”的私有财产的单向生成逻辑，而是呈现数据主体与处理者的合作生产：数据主体通过社会活动产生原始信息内容，数据处理者通过技术加工形成格式化数据集，最终结合应用场景开发利用并通过市场交易实现要素价值。这种技术实现路径揭示出个人数据的财产利益实质是数据主体（信息源头）与数据处理者（设备制造者/服务提供者）的双向建构过程。当数据处理者通过技术手段分离数据中的识别要素与实用价值时，人格利益与财产利益即进入并存状态：前者构成后者的价值源泉，后者则成为前者的数字化延伸。这种共生性价值创造机制决定了个人数据财产利益具有复合性特征，既包含数据主体的人格权益延伸价值，也包含处理者的技术增值贡献。数据主体与处理者在个人数据生成上的双向合作，在多个处理者共同参与的场景下还可以进一步延展形成横向共生关系，并在多个数据处理者之间形成平行处理关系或委托处理关系等。由此，个人数据共生关系呈现双重结构：其一为数据主体与处理者间的纵向共生，源于双方在数据处理活动中地位的非对称性；其二为处理者相互间的横向共生，表现为多个处理者基于协作产生的数据权益关联。
（二）个人数据共生机理的法律意义
1.主体关系：从“对立竞争”到“双向依赖”
既然个人数据是由数据主体与处理者共同生成的，那么双方在同一宗个人数据上的财产利益无法绝对分割和相互竞争，只能在同一数据处理关系中相互依存。个人对其个人数据自始享有人格利益，无论数据处理者是否介入，个人对其个人信息始终具有法定的人格利益。这些人格利益既包括传统的人格权，如姓名权、肖像权、隐私权等，也包括个人信息不受非法处理的受保护权。在数据处理者未经个人同意处理个人数据时，个人可基于人格利益保护而对抗数据处理者的处理行为。但是，个人数据财产利益的形成既需要数据主体持续提供个人信息，也依赖处理者的技术采集与加工能力，双方贡献缺一不可。在利益实现上，数据主体也需借助处理者的技术控制力实现数据流通，处理者则需通过主体授权获取数据流通的合法性，二者在数据流转中形成相互制衡的依存关系。例如，个人数据主体若要行使转移权，就必须请求数据处理者以“经过整理的、普遍使用的和机器可读的”格式向数据主体指定的第三方提供。
因此，在数据主体与处理者的合作共生中，数据主体对个人数据的积极使用期待与处理者的商业开发利益同步形成并共存于同一数据客体，形成双向赋能的利益共同体。这种双向依赖关系使数据主体在数据生成前仅享有人格防御性利益。数据处理者的技术介入则将这种抽象期待转化为具象价值，使之成为具有经济价值的生产要素。
2.权益位阶：从“绝对优先”到“同步生成”
传统民事权益理论坚持“人格优于财产”的位阶关系，将个人信息权益视为人格权并优先于数据处理者的数据产权。其基本的理论预设是：个人对个人数据享有绝对支配权，无论是人格利益还是财产利益，在初始意义上均首先归属于个人。进而，个人数据财产利益可通过合同机制让渡给数据处理者。
然而，这种情形仅存在于对特定个人信息处理的场合。由于《个人信息保护法》并未限定个人信息处理的方式，无论是通过大规模自动化方式还是通过手工等非自动化方式处理个人信息，都属于个人信息处理行为。对以非自动化方式处理个人信息的场合，由于处理技术和能力的有限性，其仅能对特定的个人信息进行处理。这种数据一般规模较小、内容明确具体且经济价值可事先明确，无须数据处理者的介入即已具备经济价值。例如某种变异的基因信息、以特定数字排列的电话号码、独特的声音数据等。这类个人数据本身具有特异性，属于数据主体人格利益的自然延伸，对其商业化利用的价值自始存在。数据主体与数据处理者可进行交易磋商从而订立个人数据许可使用合同，将其对个人数据享有的财产性利益许可给数据处理者。
在自动化、大规模处理个人数据的场景下，个人数据以前所未有的数量和种类被产生、收集、存储和利用，若没有数据处理者的技术介入，个人数据要么根本不存在，要么无法被收集和存储，更无所谓经济价值的形成。换言之，在大规模处理个人数据的场合下，个人数据上的财产利益并非自始存在，而仅产生于数据主体与特定处理者基于法定或约定的事由、出于特定的目的和方式所形成的数据处理关系中。即便个人对个人数据享有积极利用的期待，这种期待也仅是一种抽象期待，因其未现实性地落入具体的数据处理关系而无法实现。个人针对个人数据所享有的查询复制权、转移权、删除权、更正权等既保障数据主体人格利益，又促进个人数据流通的权能也因特定数据处理关系的缺失而不存在。只有在进入特定数据处理关系后，个人才具备行使个人信息权益的现实可能，与此同时，数据处理者则因持有个人数据而享有数据产权。因此，个人信息权益并非完全优先于数据产权的“在先权益”，尤其是涉及个人数据财产利益实现的各项权能，应当与数据处理者的数据产权同时产生、同时存在。
3.调整模式：从“排他赋权”到“治理规范”
在数据主体与处理者形成的利益共同体中，个人数据财产利益并非个人或处理者自始独占的在先利益，而是个人与处理者基于技术处理、场景融合、价值共创等交互行为合作生成的共享利益，任何一方均不能绝对地决定个人数据的使用和流转，而必须在考虑对方利益的基础上进行容他行使。由此，个人数据就被塑造为一项兼容不同主体财产利益的“治理财产”（Governance Property），而并非由各主体各自行使完全自主权的“排他财产”（Exclusive Property）。格雷戈里·亚历山大（Gregory S.Alexander）指出，财产可以分为排他财产和治理财产两类。排他财产主要反映所有者与非所有者之间的关系，即所有者的外部关系。排他财产只有一个所有者，对该财产的所有权利专属于该所有者，其核心特征是可排除任何人对其财产的干涉。相反，治理财产是多重所有权财产，即同一财产上的权利由多个主体同时或相继拥有，呈现碎片化和分散化的特点。由于不同主体的权利可能重叠或制约，因而需要通过内部治理机制来协调不同利益主体间的关系。典型的治理财产如夫妻财产、建筑物区分财产、公司财产等。这些财产之所以特殊，在于其除了可对抗不特定第三人外，在内部还产生了多个主体对同一财产享有多个权利以及对这些权利加以协调的强制规范，并由此促成了各权利主体之间的合作。例如，小区业主对建筑物及其附属设施维修资金筹集、使用以及改建重建等必须遵循法定的决策程序和要求，从而实现对共有财产使用的共同决定。因此，合作是治理财产制度运行的基础，而治理财产也通过制度设计来反向促进主体间的合作。
数据主体与处理者虽均对同一宗个人数据享有财产利益，但由于数据主体与处理者在数据处理关系中的事实不平等地位以及各自利益期待产生的时点不同，因而具备以治理规范对双方利益关系加以规范和调整的可能。首先，在个人数据生成时，数据主体对个人数据享有抽象的支配权，其可决定是否与特定处理者建立个人数据处理关系，从而与之共同创造个人数据的经济价值。进而，在数据主体授权或同意数据处理者收集和处理数据后，其所享有的对数据绝对控制的状态就演化为与处理者之间的共享关系。数据主体应当允许数据处理者持有并使用由其促成所形成的那部分数据，相对地，数据处理者应当为数据主体行使相对性的个人信息权益，如复制权、转移权、更正权等提供便利。由于数据主体与处理者在利益共同体内部无法彼此排斥，所以对内共享。但是，相对于共同体外的第三人，无论是数据主体还是处理者，均具有排除他人干涉的权利。就数据主体而言，其可以排除与其建立数据处理关系的处理者以外的其他人对其个人数据的处理，即未经个人同意或基于法定事由，任何人不得擅自处理个人数据；就数据处理者而言，其基于合法的处理行为而排除他人对数据完整性的破坏以及未经其许可的访问、复制和使用行为。
二、个人信息权益与数据产权的平行关系阐释
基于个人数据财产利益的“共生机理”，个人数据主体与数据处理者之间在数据财产权益的分配和实现上存在着互惠互利的共同管理关系，且各自对共同生成的个人数据均享有财产利益。由于作为个人信息权益客体的那部分数据构成了数据处理者数据产权客体的数据集合的一部分，且数据具有可复制性和非竞争性，使得数据主体与数据处理者各自享有的财产权益可并行不悖地存在于同一宗数据上，形成“平行关系”。这种关系既适应了数据共生的现实，又矫正了个人数据主体与处理者强弱共存的地位，还能够为数据主体参与数据收益分享提供理论框架，实质是通过制度设计将数据的物理特性（共生性、非竞争性）转化为法律特性（可分割性、可交易性），在保障人格尊严的前提下释放数据要素的经济潜能，最终实现数字经济时代的分配正义。
（一）个人数据财产利益的双重维度：对内管理与对外收益
在讨论个人数据财产利益的归属分配前，须首先明确个人数据财产利益的具体内容。从财产法的视角出发，可在观念上可将个人数据财产利益视为一个独立的整体，将设立于个人数据上的财产权益视为一项类似于所有权的完整财产权。一般认为，所有权的权能是所有权的表现形式和基本内容，是所有权人利用和实现财产利益所可以采取的各种措施和手段。所有权具有的“整体性”“全面主宰性”，决定了其并非对客体的各种权能的集聚乃至综合，而是蕴含着可对财产行使各种潜在的权利的可能性，远非占有、使用、收益和处分四项所能涵盖。所有权或者说任何财产权均围绕着两组利益展开：一组以所有者对其财产所拥有的“基本功能控制”为标志，一组以所有者拥有从交易和开发其财产获得“收入的基本权利”为标志。前者可称为“管理利益”，即通过占有、使用、修改、让渡、销毁等行为来享受特定财产带来的经济利益。后者可称为“收入利益”，即通过从财产中获得收入来享受经济利益。据此，可将个人数据上的财产利益区分为两类，一类是对个人数据财产利益进行自主管理的利益，另一类是开发和交易个人数据并获取收益的利益。
个人数据的管理指向数据价值的创造、维护与终止过程，表现为对数据处理行为的控制。个人数据财产利益产生于数据处理关系中，因而对个人数据经济利益的管理主要通过个人数据处理行为实现，包括收集、存储、使用、加工、传输、提供、公开、删除等。例如，收集行为使得原本不存在或未控制的个人数据被初始性地生成或持有从而产生经济利用价值。再如，为保持个人数据的真实性而对错误内容进行更正、为使个人数据具备分析条件而实施的标注、清洗等加工行为，以及删除个人数据而使其经济价值消灭的行为都在一定程度上增益或减损了个人数据的经济效用。
个人数据的收益指将个人数据进行加工处理，形成特定衍生产品对外交易所产生的经济利益。在民法理论中，收益权是指财产所有者或权利人依法享有的从财产或权益中获取经济利益的权利，其与占有权、使用权和处分权均属于所有权的权能。权利人既可以享有全部权能，也可仅享有部分权能。个人数据收益主要在数据处理者对外提供数据的过程中，必定涉及数据主体与处理者之外的第三人。例如，数据处理者通过共享的方式将个人数据的访问权转让给第三方数据处理者时，该受让方即为个人数据财产权益的外部主体，无论是个人还是处理者均可对抗该第三方处理者。
因此，个人数据财产利益本质上是针对“个人数据”这一特定对象，权利人可对其施加的各种可能的利用行为，以及渗透在这些客观行为背后的主观目的。而将个人数据财产利益区分为管理利益与收益利益，则是从个人数据是否对外流转的维度，将实定法上已经规定的可作用于个人数据上的利用行为的再类型化，旨在为协调数据主体和处理者在个人数据财产利益归属分配上的冲突，阐释个人信息权益与数据产权平行关系提供理论前提。
（二）自然人可通过个人信息权益实现个人数据财产利益
个人作为个人数据财产利益的生成主体之一，理应享有个人数据财产利益。但就如何实现，学说上存在两种观点。一种观点认为，应当为数据主体创设单独的“个人数据财产权”“个人数据所有权”作为承载个人数据财产利益的法权形式。另一种观点则认为，可通过个人信息权益一体实现个人数据财产利益，无须另行创设新的权利类型。笔者认为，上述问题的关键在于如何认识我国法上的个人信息权益及其构造。此前对个人信息权益法律性质和构造的研究更多地侧重对个人信息权益绝对维度的分析，尤其是将“知情决定权”作为个人信息权益的核心。这种基于数据安全价值考量而关注个人数据主体救济保护的立场，值得赞同。但是，这并不足以涵盖个人信息权益的全部功能。基于个人数据财产利益的共生性，个人信息权益应当具有利益保护和产权配置的双重功能。
从利益保护的视角来看，个人享有的个人信息权益在功能上具有防御功能，旨在“防止因个人数据被非法收集、泄露、买卖或利用而导致其既有人身、财产权益遭受侵害甚至人格尊严、个人自由受到损害的利益”。这种利益保护功能具有绝对性，无论个人数据是否被处理、被何人处理、以何种方式处理，只要处理行为侵害了数据主体的合法权益，其就可行使个人信息权益以保护自身的人格利益。
从产权配置的角度分析，个人享有的个人信息权益也具有利益分配功能，旨在通过积极行使个人信息权益而创造、维护和实现个人数据的经济价值。前已述及，在两个以上主体共同享有某一财产的情况下，就需要不同主体之间协力创造、维持和实现共同拥有财产的价值。由于个人数据财产利益是数据主体和处理者共同生成的，那么也同样需要数据主体与处理者的共同管理来实现。
数据主体对个人数据财产利益的管理并非通过创设新型的“个人数据财产权”来实现，而是依托个人信息权益内化于个人数据财产利益的治理过程。在个人数据采集阶段，个人享有的知情权、同意权的功能在于个人数据价值生成的开启与特定数据处理者的选择。在个人数据存储和使用阶段，个人享有的查阅复制权、更正权的功能在于维护数据质量、保障数据可用。在个人数据流转阶段，个人享有的转移权的功能在于促进数据流通、打破数据垄断。在个人数据终止阶段，个人享有的删除权的功能在于终止合作关系、防止贬值风险。相应地，数据处理者在个人行使个人信息权益过程中承担的各项义务，如协助转移、更正回应等则是对数据主体实现财产利益管理的协作责任。
因此，个人信息权益实际上是个人参与个人数据财产利益合作管理关系的法权基础。个人信息权益的行使意味着数据主体对其个人数据财产利益的管理。这种管理，涵盖采集授权（价值生成）、更正维护（价值保全）、清洗标注（价值优化）、安全防护（价值保障）、删除处置（价值终止）等个人数据全生命周期。在现行法已经对个人信息权益作出规定的情况下，个人对个人数据财产利益的管理可直接通过个人信息权益的行使加以实现，无须另行创设新的权利。
（三）个人数据收益权应属于数据处理者
在有关个人数据财产利益归属问题的讨论中，不少学者认为个人对其个人数据的财产利益集中体现在对个人数据交易后所获取的收益上，因此应当创设一项个人数据收益权，或者在个人数据财产利益被处理者所主要控制的实际下，由处理者与数据主体共享数据收益。这种收益通常是在数据流通交易过程中所获得的可用于支付的现金或其他货币形式，即将个人数据货币化。实践中，也存在类似的做法。例如，北京市曾提出“探索个人以按次、按年等方式依法依规获得个人数据合法使用中产生的收益”。贵阳大数据交易所监督并协助完成了中国首例个人数据合规流转交易，实现了个人可以从数据交易中直接获取经济收益。即使在反对个人对其个人数据享有财产利益的观点中，也常常将个人参与个人数据利润分配的权益等同于个人对其个人数据享有的财产利益。也有学者认为，个人一般只能通过消极的方式分享处理者创造的利润或通过集体管理、数字税等其他制度加以实现。
笔者认为，尽管数据主体可通过个人信息权益享有并实现个人数据财产利益，但经由交易所获取的货币收益应主要为数据处理者所获得，个人一般无权主张。其一，实践中所交易的数据大部分是融合多方主体和来源的数据集合，甚至是已经由处理者投入实质性加工和创造性劳动所形成的数据产品（衍生数据）。数据主体对这类具有较高经济价值的数据集合或产品的利润贡献本身是微薄且难以计量的。如果承认个人数据主体享有收益返还请求权，则会导致用于贡献评估、价格计算和支付管理的额外成本，降低个人数据的整体价值。其二，数据主体对个人数据的财产利益期待主要是要求处理者为其提供更加优质便利的服务或产品，并保证其可便捷高效地访问、复制或转移其个人数据，实现对个人数据的公平利用。例如，个人通过访问和使用个人睡眠数据来监测和改善自身的睡眠状态，以提高生活质量和保持身体健康。如果赋予了数据主体收益请求权，则可能会错误激励数据主体对外生成和披露数据，产生不必要的信息泄露风险。其三，个人虽然不享有法定的收益权，但在特殊情况下，数据主体与处理者可就个人数据收益分配另行约定。这一般是指数据主体对数据价值的贡献极其巨大或特殊，以至于若没有其的贡献，该数据就无法获得收益。其四，实践中的试点探索更多体现政策引导或特定商业和技术模式下的创新尝试，而非确立普遍性的法定收益权，其成功依赖于具体机制设计，不改变个人数据收益权法定归属的一般原则。其五，收益权的否定也不意味着数据主体不享有个人数据被侵害后所产生的损失补偿。在个人数据被数据处理者或其他第三方主体侵害并造成损害时，数据主体仍然可以请求侵权人承担损害赔偿责任。
（四）数据处理者数据产权的取得
数据处理者合法地收集并持有数据，就可认为基于这种生产行为取得对数据的财产权，包括数据持有权、数据使用权和数据经营权。所谓数据持有权类似所有权的占有权能，是权利人自行持有或委托他人代为持有合法获取的数据的权利，旨在防范他人非法违规窃取、篡改、泄露或者破坏持有权人持有的数据。数据使用权是权利人通过加工、聚合、分析等方式，将数据用于内部生产经营优化、形成衍生数据等的权利。数据经营权是可通过转让、许可、出资或设立担保等有偿或无偿的方式对外提供数据的权利。基于数据的可复制性和非竞争性，上述三项权利既可能同时归属于同一主体，也可能分别归属于不同主体，还可以同时归属不同主体。例如，A可以同时享有数据持有权、数据使用权和数据经营权，其可将其对数据的使用权转让给B，将经营权转让给C，将持有权、使用权和经营权转让给D。但是，无论如何组合，数据处理者若要取得数据产权，则必须享有数据持有权。原因是，数据持有权表征产权主体对数据的排他性，只有享有数据持有权，权利人的数据产权才能够获得保护，也才能在此基础上行使数据使用权和经营权。因此，数据持有权是数据产权的基础性权利。
数据处理者在享有数据产权的同时，还必须负担相应的义务实现对个人信息权益的保障。根据《个人信息保护法》的规定，数据处理者在个人数据处理关系中负有三类义务。第一类是绝对义务，即数据处理者对不特定数据主体所负有的义务。此种绝对性义务是针对任何实施个人数据处理行为的主体而言的，即凡欲处理个人数据的主体，都必须负担此种义务。如果数据处理者未遵守此类义务，则该数据处理行为不具备合法性依据，数据处理者的数据产权自始无效。例如，根据《个人信息保护法》第13条的规定，未经个人信息的数据主体同意或具备法律规定的条件，任何主体不得实施个人信息相关的数据处理活动。第二类是相对义务，即数据处理者相对于特定数据主体的个人信息权益而负担的义务。这类义务主要规定在《个人信息保护法》第四章，其目的在于保障和配合数据主体个人信息权益的行使和实现。此类义务的履行并非数据产权取得的前提，而是在数据处理者合法取得数据产权后所负有的相对性义务，其本质是数据主体对已合法存续的数据产权行使的内在约束和制衡。第三类是独立义务，即由法律直接规定，且不与个人信息权益相对应的义务。此类义务聚焦于数据处理者处理行为的合规性，主要集中规定在《个人信息保护法》第五章，其目的在于贯彻《个人信息保护法》所确定的合法原则和责任原则。此类义务是数据处理者应当履行的公法义务，对其违反并不构成对个人信息权益的侵害，也不直接导致数据处理者数据产权的丧失。
数据处理者所负担的三项义务中，为保障数据主体合法权益所负有的相对性义务并非数据产权取得的前提或依据。原因是这些义务是在数据处理者合法取得并行使数据产权过程中才产生和需要履行的，相反，数据处理者所负有的绝对义务和独立义务的履行才是其取得数据产权的前提。此时，由于特定和具体的“数据处理关系”已经建立并获得法律认可，数据主体针对该特定处理者所享有的相对性权利才得以形成并具备行使的可能。若未建立特定的数据处理关系，由于不存在合法、特定的义务主体，数据主体的复制、更正、转移等权利便无法有效行使。
因此，数据处理者数据产权的取得遵循“义务履行—权利生成”的逻辑，并形成了三个阶段：第一，履行前置绝对义务和独立义务使得数据产权的取得合法。第二，当具备合法性要件后，数据处理者对个人数据便享有包括持有、使用和经营的积极权能以及排除他人非法获取和干涉的消极权能在内的数据产权。第三，在数据产权取得并行使的过程中，个人数据主体与特定数据处理者之间构成共同管理和分享个人数据财产权益的利益共同体，双方可在各自权利范围内并行不悖地享受个人数据上的财产利益，并对另一主体负担相应的义务。
三、个人信息权益与数据产权的冲突协调
基于数据的可复制性、可重用性等特点，数据主体与处理者可同时行使个人信息权益与数据产权且互不冲突。例如，处理者利用个人数据进行自动化决策或分析市场趋势，并不妨碍数据主体查阅复制个人信息。然而，在一些特殊情形下，两类权益的冲突不可避免。从个人数据财产利益的实现方式看，数据主体与处理者之间的权利冲突可根据个人数据是否向第三人转移而区分为两种情形：一是个人数据生成但不对外转移的情形下，数据主体与处理者分别行使权利时所形成的冲突。二是个人数据生成后对外转移的情形下，数据主体、处理者以及接收数据的第三方处理者之间所形成的冲突。
（一）数据未转移情形下的冲突协调
1.冲突的本质：内容控制权博弈
在个人数据生成但未发生转移的情形中，个人信息权益与数据处理者产权的冲突焦点主要集中于个人数据的“内容层”。数据主体的知情权、查阅复制权、更正补充权、删除权及解释说明权，其根本目的在于确保个人信息的准确性、完整性以及处理过程的透明度。错误、泄露或被篡改的信息可能对数据主体的人格尊严、社会评价乃至人身财产安全造成重大且难以挽回的损害。一般而言，对错误信息的更正或仅查阅复制，通常不会实质改变处理者持有的数据状态及其价值基础，更正错误信息甚至可能提升数据质量。但撤回同意、要求删除或限制处理等权利，则直接要求处理者停止持有、使用或删除特定数据。这将对数据的持有状态、利用方式乃至商业模式造成实质性的干扰或减损，例如导致数据集合完整性受损、分析模型失效或特定服务无法提供，从而直接影响处理者的财产利益。此时，数据主体对信息内容的控制需求与处理者对数据的利用需求便产生了利益冲突。
2.冲突的协调：删除规则的细化
根据《个人信息保护法》第47条的规定，当数据主体行使删除权或撤回同意时，数据处理者应当删除个人数据或者停止除存储和采取必要的安全保护措施之外的处理。“删除”是指将存储的个人数据从系统中去除，以达到不可被检索和访问的目的。尽管“删除”数据并不代表“数据归于消灭”，但却会使数据处理者持有数据的合法性与必要性的丧失，数据处理者将不再享有对个人数据的持有权。因此，在数据未转移情形下，需考量数据主体行使个人信息权益导致数据删除是否合理，以及数据处理者是否会因此受到损害。
导致数据被删除的原因可以分为两类。一类是法律明确规定的原因，包括处理目的已实现、无法实现或者为实现处理目的不再必要；个人信息处理者停止提供产品或者服务，或者保存期限已届满；个人信息处理者违反法律、行政法规或者违法约定处理个人信息。另一类是数据主体行使同意撤回权导致数据删除。尽管这两类原因都会导致数据被删除的结果，但这两类事由对数据处理者施加的法律义务存在明显不同。第一类事由属于防御性事由，即只有存在导致数据处理关系消灭的事由时，数据处理者才负有删除义务，数据主体也才能据此请求删除。在不具备上述事由时，个人无法积极行使该权利。与之相反，第二类事由则属于积极性事由，即只要数据主体撤回同意，即会引发数据被删除的法律后果。换言之，数据主体可以随时无条件、无负担地撤回同意并导致数据删除。但是，在数据处理者的处理行为符合双方共同利益期待，即数据处理者的处理目的和方式与个人同意的处理目的和方式一致的情况下，个人数据本身并无安全风险。此时若仍然赋予数据主体撤回权，将有违双方共同创造和实现个人数据财产利益的合作意旨。
因此，基于个人数据财产利益的共生机理，应当限制数据主体撤回同意权的行使。具体包括：（1）对撤回同意权的客体范围进行限定。明确只有对个人人格利益保护有重大影响的个人数据，如敏感个人数据才可撤回。对那些与个人数据人格利益影响不大，甚至几乎处于公开状态的个人数据，如IP地址、浏览记录等，可排除在同意撤回权的效力范围。（2）对撤回同意权的行使条件进行限定，即只有在数据主体具有合法利益时，才可撤回。如果说个人纯粹出于经济利益而同意他人处理自身数据，那么其就不得基于维护人格利益而撤回同意。（3）对撤回同意权的行使期限进行限定，允许数据处理者在一定期限内享有不可撤回的抗辩权。当然，并非所有的数据处理活动都需要数据主体的同意。《个人信息保护法》第13条第2-7款规定的数据处理目的和方式是由数据处理者决定的，不存在与数据主体合意的可能。因此，数据主体虽然对该个人数据的财产利益生成做出了贡献，但因无需个人同意，故个人对该种情形下所收集生成的个人数据不享有同意权和撤回同意权。
此外，由于“删除”的目的在于使数据不再具备处理和访问的条件，并由此降低对个人权益侵害的风险，因此，可将“匿名化”作为数据处理者履行删除义务的一种替代手段，从而最大可能保留该个人数据开发利用所可能产生的价值。换言之，为了缓解数据删除为数据处理者造成的经济利益损失，可允许数据处理者对个人数据进行匿名化处理。根据《网络数据安全管理条例》第24条的规定，因使用自动化采集技术等无法避免采集到非必要个人信息或者未依法取得个人同意的个人信息，以及个人注销账号的，网络数据处理者应当删除个人信息或者进行匿名化处理。这意味着，“删除”和“匿名化”对于保障数据主体的合法权益是等效的，无论是删除还是匿名化，均能够有效保障个人数据的安全。但对数据处理者而言，删除和匿名化所带来的经济价值却存在差异。一旦数据处理者删除数据，就意味着数据处理者不能再就被删除的个人数据实施任何处理行为。尽管匿名化处理后的个人数据因不具备直接识别主体的可能性使其经济效用显著降低，但其仍能够保留数据处理者所需的基本经济价值。因此，从最大限度发挥个人数据经济价值的角度，以“匿名化”替代“删除”能够较好地平衡数据保护与合理利用的关系。
（二）数据转移情形下的冲突协调
个人数据对外转移，意味着原本由数据主体与处理者所共同生成的个人数据被第三人利用，从而引发数据主体、处理者与第三方使用者之间的利益冲突。基于数据转移的原因不同，这种利益冲突可进一步区分为以下两类：
第一类是数据主体主导下的转移，即数据主体行使个人数据转移权（也称为携带权），请求数据处理者将个人数据转移至其指定的个人数据处理者引发的“竞争性冲突”。此种情形下，若接收者与处理者存在市场竞争关系，如用户将社交平台上的通讯录数据转移给另一社交平台时，则数据处理者前期为持有该个人数据所投入的商业成本将直接为竞争对手获得。尤其是在转移的数据是经过数据处理者深度加工处理后的衍生数据或可能涉及数据处理者的商业秘密或知识产权时，将会进一步损害该处理者的竞争优势和商业利益，削弱数据处理者开发利用数据的经济激励。
第二类是数据处理者主导下的转移，即数据处理者行使数据经营权对外转移数据，从而使第三方处理者获取和使用个人数据引发的“合规性冲突”。由于《个人信息保护法》第23条对数据处理者对外提供个人数据设置了“告知—单独同意”的规则，使得数据处理者在行使数据经营权对外转移个人数据时与数据主体的知情决定权产生冲突。若数据处理者严格遵守该规则，则大规模的数据转移则需逐一获取个人同意，实施成本将远超中小企业的承受能力。若数据主体滥用同意权或因认知不足而盲目拒绝，则会导致大量具有高价值的个人数据无法流通。
1.竞争性冲突的协调
数据转移权（Right to Data Portability）可被解释为《个人信息保护法》第45条引入的新型权利，其核心价值在于打破数据锁定（Data Lock-in）效应，促进数据要素市场化流通。与复制权、删除权等侧重个体控制的传统权利不同，数据转移权具有鲜明的竞争法属性：一方面，它赋予数据主体跨平台迁移数据的能力，削弱数据处理者的数据垄断优势；另一方面，它通过降低用户转换成本激励企业创新服务模式。这种双重功能使得数据转移权成为平衡数据主体权益、数据处理者利益与市场竞争秩序的制度工具。然而，《个人信息保护法》仅对数据转移权作了一般性规定，并未明确数据转移权的适用条件。《网络数据安全管理条例》虽明确要求在具备技术可行性且不损害他人合法权益的情况下，数据主体可请求转移由其提供或基于合同所处理的个人数据，但过于原则化的表述可能导致实践中的适用困境。
首先，是衍生数据的可转移性问题。根据生成方式，个人数据可进一步区分为主动提供数据、被动观察数据以及衍生数据三类。《网络数据安全管理条例》将可转移数据限定为“本人同意提供或基于合同收集的数据”，实质上仅明确涵盖主动提供数据。对后两类数据的处理则存在分歧。欧盟第29条工作组《数据转移权指南》主张排除衍生数据，认为其承载企业智力投入，应当归属于处理者。印度、新加坡等国家的个人数据保护法也均规定衍生数据不应作为数据转移权的客体。此种路径是典型的“贡献标准”，即以数据生成过程中数据主体与处理者各自的贡献度大小为依据来界定该数据是否可被纳入数据主体的权益范围或数据处理者的权益范围。由于衍生数据主要是数据处理者的智力贡献，且可能涉及数据处理者的商业秘密或知识产权，因而难以被作为转移权的客体。但是，在数据共生的背景下，难以认定数据主体或处理者是数据的唯一生成者。尤其是对衍生数据而言，即便其主要是由数据处理者开发形成的，但却很难绝对地将数据主体排除在该数据生成主体之外。最多可以认为，与处理者的贡献相比，数据主体在衍生数据生成过程中所占的贡献度较小，但决不能就此认为其对衍生数据不享有任何利益。相反，即便数据主体对该数据的生成贡献较小，但对该数据的获取和使用有更为充分必要的利益，则仍然可以通过行使转移权来实现对该数据的使用，否则难以实现数据公平利用。例如，对于经过医院分析计算后的病理数据，病人仍然可基于疾病治疗或保险理赔的需要，要求医院将该病理数据转移给病人指定的医疗机构或保险机构。反过来，如果数据主体的合理期待并不必要且可能对数据处理者的合法利益造成潜在损害的情况下，数据处理者可拒绝转移或限制可转移数据的范围。例如，若数据主体请求转移的数据涉及数据处理者的商业秘密或知识产权，除非数据主体与处理者就该商业秘密的保护达成一致并采取必要措施，否则数据处理者可拒绝提供相关数据。因此，笔者认为应以数据主体转移的目的为标准来确定转移权的客体范围，即只要数据主体转移数据的目的合法且必要，则无论是主动提供的数据，还是被动观察数据抑或是衍生数据，均可转移。
其次，就可请求转移的主体而言，一般而言应由数据主体请求。但在特定情形下，亦可由他人代为请求。其一，对于不满14周岁的未成年人而言，其虽然也享有个人数据转移权，但由于其不具备完全民事行为能力，因而应由该未成年人的父母或其他监护人代为请求或征得其明确同意。其二，对于死者个人信息，其近亲属仅能为了自身的合法、正当利益代为行使查阅、复制、更正和删除的权利，不能代为行使个人数据转移权。其三，实践中出现的诸如“数据经纪人”等代理机构可在取得数据主体的委托授权的基础上，代表数据主体提出转移请求。代理人应当向数据处理者提供证据证明其具备受托权限。
最后，数据转移过程中，不仅存在数据主体与处理者，还涉及数据接收者。为了避免数据主体与接收者恶意串通，损害数据处理者的合法权益，应对数据接收者的行为加以约束。具体包括：（1）数据接收者应当为接收数据提供必要的技术支持，并仅限于数据主体所同意的目的进行处理。（2）不得在未经数据主体和处理者同意的情况下，将接收到的数据提供给他人使用。（3）不得将接收的数据用于与提供数据的处理者数据经营权内容相同或相似的目的，以及不得以此目的向他人提供，除非数据处理者同意。（4）数据接收者不得阻止数据主体或处理者将该个人数据另行转移给其他人。（5）对于数据处理者转移的具有较大价值的衍生数据，应当与处理者约定补偿。（6）在数据主体的转移目的实现后，及时删除接收的个人数据。（7）承担数据安全保护义务等。除了负担义务外，因数据接收者与数据主体又建立了新的数据处理关系，因而亦可作为数据共生主体对接收的个人数据享有数据产权。
2.合规性冲突的协调
为了保障数据主体的权益，《个人信息保护法》第23条就数据处理者主动对外提供个人数据作了特别规定，要求数据处理者向数据主体履行告知义务，并取得个人同意。数据接收方变更原先的处理目的和方式时，需要重新取得个人同意。
首先，就数据提供者对外提供个人数据时的告知同意规则而言，有学者指出，在鼓励数字经济发展和推动人工智能创新的背景下，数据处理者对外提供个人数据无需频繁征求个人同意，只需集中告知并取得概括同意后即可提供。这种方法无疑有利于缓和单独同意规则对数据处理者转移个人数据所造成的阻碍，但其仍是在承认单独同意规则前提下采取的宽松适用，并不能解决数据处理者未告知以及未取得个人单独同意时提供行为的效力以及处理者是否因此而丧失数据产权的问题。数据处理者未告知或未经过个人同意即对外提供数据，意味着数据处理者提供该个人数据的行为属于非法处理个人数据，其目的在于防止个人数据被非法处理而损害数据主体的人格尊严。但是，提供行为属于数据处理的一种行为，并非全部。尽管数据提供行为可能不符合法律规定，但此前存在的收集行为、存储行为、加工行为等并不因此而被认定为非法。由于数据产权不仅包括经营权，还包括持有权和使用权，数据处理者在未经个人同意对外提供个人数据仅影响数据处理者的数据经营权，数据处理者仍然可基于合法的收集、存储和使用等行为享有数据持有权、数据使用权。在数据处理者通过行使经营权导致数据转移，且未告知或取得个人同意的情况下，仅导致数据处理者不享有数据经营权，并不就此导致数据处理者数据产权的整体性丧失。同时，个人同意与否也不会影响数据处理者与提供者之间签订的数据提供合同的法律效力，只有处理者现实履行提供义务，才会落入《个人信息保护法》第23条规定的“对外提供个人信息”的调整范围。数据处理者未现实提供时，个人是否同意并不影响数据提供合同的效力。
其次，根据《个人信息保护法》第47条第1款第4项的规定，个人信息处理者违反法律、行政法规或者违反约定处理个人信息的，个人可以提出删除个人数据的请求，从而使数据处理者不再持有该个人数据。但考虑到数据主体与处理者的共生关系，以及数据处理者转移个人数据的行为可能会实质性提升个人数据的价值，应对数据主体删除权的行使要件作进一步限定。其一，应考虑数据处理者对外转移个人数据的目的。若数据处理者对外转移个人数据属于正常经营行为，其不仅实质性提升了个人数据的经济价值，而且还履行了法定和约定的数据安全保障义务和交易合规义务，不会导致个人数据泄露、篡改和丢失，则数据主体应基于数据共生关系容忍数据处理者的此种行为，不得行使数据删除权。相反，若数据处理者的转移目的在于减损数据主体的权益，例如对个人实施算法歧视或改变个人数据的内容等，则应当允许数据主体行使删除权。其二，应考虑提供的个人数据类型。若数据处理者提供的是敏感个人数据，则无论是基于《个人信息保护法》第23条还是第29条，数据处理者都须取得个人单独同意。未经个人单独同意而处理敏感个人数据的行为，数据主体可依据《个人信息保护法》第47条第1款第4项请求删除。若提供的是一般个人数据，则数据处理者在保障数据安全的前提下可不经数据主体同意而提供。其三，应区分数据转移行为的对内和对外效力。由于数据主体与处理者基于数据共生构成了利益共同体，未经数据主体同意对外提供个人数据的行为构成非法处理，从而导致数据处理者的数据产权整体或部分灭失。但对于接收数据的第三方数据处理者而言，其基于数据转移行为取得的数据产权并不必然因此受影响。对此，可借鉴善意取得的制度原理，第三方数据处理者接收该个人数据时，如对数据处理者未经个人单独同意而提供的事实不存在故意或重大过失，仍然可取得该个人数据的持有权、使用权和经营权。若数据接收者明知或应知数据处理者的提供行为未取得个人同意而仍然接收，甚至与数据处理者恶意串通损害数据主体的知情同意权，则其不应享有数据产权且应及时删除该个人数据，数据主体亦可请求其删除接收的个人数据。判断数据接收是否明知或应知的标准，是其是否履行了数据转移过程中负有的对数据提供者是否履行告知义务并取得单独同意的合法性审查义务。此外，随着数据产权制度的建立，还可以数据接收者知道或应当知道数据产权登记公示信息为依据判断其是否构成“善意”。
最后，是数据接收者“目的变更”的认定。如果数据接收者在原先的处理目的、处理方式范围内处理个人数据，即便其取得了对个人数据的数据产权，数据处理者关系的同一性不会遭到破坏。但是，若数据接收者变更了原先的处理目的和方式，则意味着其与数据主体建立了新的数据处理关系，数据主体同时与先前的数据处理者、现在的数据接收者形成数据关系，数据处理关系的同一性便不存在。这种变更将对数据主体、处理者和接收者三方的权利义务关系产生重大影响。一方面，原先的数据处理者享有的数据产权将会因目的变更而受到损害。数据处理者之所以主动转移个人数据给第三方处理者，是因为其对该个人数据享有法定的数据产权，虽然数据接收者经由转移行为亦可对该个人数据实施处理行为，但因其权利的取得来源于个人数据提供者，因而始终受到该提供者数据产权内容和效力的约束，不得超出已获得的处理权限。若其变更处理目的并与数据主体建立新的数据处理关系后，就超越了原先的授权或许可内容，不仅违背了与数据处理者的约定，而且可能构成对数据处理者市场地位的替代。另一方面，数据接收者目的变更行为需要数据主体的知情和同意。若数据接收者未及时告知数据主体并取得其同意，则数据接收者继续处理个人数据的行为可能构成违法处理行为，其据此取得的数据产权也将不再存续。因此，有必要进一步明确“目的变更”的认定标准，即明确数据接收者的何种处理行为属于对原先目的的变更。根据《个人信息保护法》第6条第1款的规定，处理个人信息应当有明确合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。该条虽然确立了目的限制原则，但在具体适用上仍然存在诸多问题，尤其是对目的兼容的判断仍需进一步解释。比较法上，欧盟《一般数据保护条例》第5（4）条提出了判断目的兼容的标准。我国也有学者提出在解释目的限制原则时，除考虑处理目的不应对个人信息权益造成特定风险外，还需考虑明确、合理的目的必须符合理性人的合理期待，满足多方利益主体的可预见性，并提出了基于社会场景的兼容性判断标准。笔者认同这一主张，并认为可考虑从数据处理方式是否发生实质性变化和当事人之间是否存在特别约定这两项条件进行判断。所谓处理方式变化，是指即便目的没有变更，但处理方式可能对数据主体的合法权益造成损害或损害风险，也应当属于目的变更。反过来，即便目的变更，但处理方式没有变化，对个人数据的安全不会造成太大风险亦可认为其属于目的兼容。同时，若数据主体与接收者之间存在其他特别约定则应尊重双方的约定。
结语
个人信息权益与数据产权的关系协调难题源于传统排他性赋权模式与数据共生本质的错位。数据主体与处理者通过纵向协作与横向联合形成的共生关系，共同创造了数据的复合财产价值。构建“人格利益专属个人、财产利益共享治理”的个人数据权属结构，既是尊重数据生成机理的必然选择，亦是破解流通效率与分配公平矛盾的关键路径。通过明确自然人依托个人信息权益行使管理权能、数据处理者合法持有数据产权并享有收益权的基本规则，并以精细化规则设计平衡个人信息权益与数据产权的冲突，最终为个人信息保护与数据产权制度的规则衔接提供可行方案。未来需在治理财产理论下深化数据主体与处理者的协同机制，推动个人数据财产利益在保护与利用的动态平衡中释放数据要素价值。
本文原载《法学家》2026年第1期。转载时烦请注明“转自《法学家》公众号”字样。
