律師：以商業秘密的視角，探索“數據”中的法律問題

作者：何國銘律師 （專于商標犯罪與商業秘密犯罪案件控告與辯護）

數據已成為未來商業競爭的核心動力，有人將“數據”比喻為21世紀的“石油”。尤其是在互聯網企業中，數據屬于重要的生產資源，在算法模型優化、用戶拓展、產品或服務升級與營銷推廣等方面，數據都起著不可替代的作用，在人工智能領域，數據更是AI深度學習的源泉。基于數據的重要性，我國前后出臺了《個人信息保護法》、《數據安全法》及《個人信息安全規范》等法律法規對之進行規制。

數據具有財產屬性基本不存在爭議，但對數據之本質曾存在爭論，究竟是將之視為物權，還是可以將之視為一種人類的智力成果，從而納入知識產權的范疇？目前，對于侵犯商業數據的行為，在民事領域，我們可以按照反不正當競爭法來處理；在刑事領域，則有可能會涉及到侵犯商業秘密罪。

因商業秘密可分為涉技術信息與涉經營信息，故涉數據的商業秘密，包括涉技術信息類的數據與涉經營信息類的數據。故不論是上述何種類型之數據，當探討數據中的商業秘密問題時，首先需要分析數據之合法性。權利人的商業秘密能夠受到法律的保護，前提條件是其訴稱的商業秘密具有合法性。所謂合法性，即當事人對該技術信息和經營信息的獲取、使用等均不違反法律的規定以及不損害他人的合法權益。司法實踐中，涉訴數據不合法包括主體不合法、手段不合法與目的不合法。判斷某項信息是否合法，需要辨析該項商業信息是否符合國家的法律法規，是否符合公共利益，是否符合社會公德，對其進行保護是否會破壞社會公共秩序。當前，關于如何判斷涉案商業信息合法與否，尚未有法律明文規定的實操性指引，主流觀點認為可參照《專利法》來判斷技術秘密合法與否，對經營信息則參照民法中的合同無效情形予以判斷。對此，希望最高法及最高檢及早出臺相關規定，對此問題予以明確。

以上海的一起涉個人信息的商業秘密案件為例。A公司為履行其與B公司的合同，委托C公司打印信封標簽共計5000條數據，每條數據包含了姓名、性別、城市、地址、郵政編碼等內容。同時，A公司為履行其與D公司的合同，委托C公司打印信封標簽共計10000條數據。后來，A公司發現B、C、D公司向其客戶發送相關函件，因此認為B、C、D公司擅自使用其掌握的客戶信息，認為上述三家公司侵犯其商業秘密，為此向法院提起訴訟。在這起案件中，因A公司所訴的有關數據信息涉及到公民個人的有關信息，與其他技術信息和經營信息相比，具有較大的特殊性。如果不經過合法程序而對這些個人信息進行獲取和使用將會造成對公民個人權利的損害。因此，A公司對其主張的有關數據信息商業秘密，應當舉證證明其取得及使用這些有關數據信息具有合法的依據。否則，A公司要求保護的商業秘密不能受到法律的保護。從本案的有關證據來看，因無法反映A公司是合法取得該有關數據信息的，也無法反映A公司對于該有關數據信息的使用是經過有關公民的許可。最終，法院對A公司認為其所掌握的客戶信息屬于商業秘密的主張不予支持。

假定獲取數據的手段非法，同樣會致使涉訴數據被認定不具有合法性，致使商業秘密的主張不能成立。然而，在辨析手段合法與否的問題上，法庭上常常會出現技術中立之論據。究竟是技術中立、技術無罪，抑或手段非法，當前判斷標準難以統一。就司法判例而言，在最高人民法院曾審理的“爬蟲技術數據商業秘密案”一案中，被告挑戰涉案爬蟲技術的合法性，法院認為爬蟲技術是否被用于違法活動不等于該技術本身違法，即技術本身是中立的。無獨有偶，在微博訴“鷹擊”輿情監控系統案中，法院在該案中認為不應對通過用戶瀏覽和網絡爬蟲等自動化程序獲取數據的行為進行區別性對待，實則就否定了利用爬蟲獲取信息的違法性。

商業秘密的前提是涉案數據符合“秘密性”的要求。商業秘密的“秘密性”要求數據在被訴侵權行為發生時不為所屬領域的相關人員普遍知悉和容易獲得的，因此若該信息可通過其他公開渠道獲得，或無需一定代價而容易獲得則應認定為不具有“秘密性”。被企業公開的，能夠在企業對外開放的網站中按照普通手段收集到的數據，往往因不能滿足該要求而被排除在商業秘密保護的范圍之外。

此外，商業秘密的“秘密性”還有第二個門檻，即要求“不容易獲得”。司法實踐中，法院往往會將其分類為“公開數據”與“非公開數據”，“公開數據”自然是不滿足商業秘密的“保密性”條件。即使是“非公開數據”，在數據時代下，企業所擁有的信息多種多樣，即使企業的后臺數據處于非公開狀態，但企業的“非公開信息”是在商業活動中普遍會獲得，簡單儲存在公司而無需付出一定程度的勞動、整合與分析，那么即便數據是非公開的，也有可能無法作為商業秘密受到保護。反之，權利人對此投入了人力、物力和財力，并進行了一定程度的收集、匯總、整合，通過跟蹤和挖掘數據，進而了解用戶的深度信息，則能認定其具有“不容易獲得”性。由此，我們不難看出法院在審理此類案件時會關注企業是否為處理涉案數據而付出一定程度的勞動，畢竟知識產權是一種智力成果。通常來說，對于個人信息的原始數據，一般不將之列入為商業秘密，僅且經過收集、整理、分析的衍生數據，才是具備價值性的商業數據，才能被認定為商業秘密。

對涉訴數據進行非公知性鑒定，是需要技術查新的，當前的檢索機構只能支持以文字的方式進行查新。因此，對于技術數據而言，權利人需要將數據中所蘊含的技術信息，以文字的方式進行表達，撰寫書面的技術說明，再委托檢索機構查新。在這個過程中，需要熟悉該領域的技術人員、代理律師及鑒定人共同探討，撰寫一份合格且符合案件事實的技術說明，這在辦理侵犯商業秘密案件中尤為重要。

“價值性”是商業秘密其中的一個構成要件，數據要成為商業秘密，也需先肯定其具有“價值性”。價值性，指的是該數據能夠給權利人在行業角逐中帶來競爭優勢，能夠帶來經濟價值。商業秘密的“價值性”可以是正價值，也可能是負價值，關于技術研發過程中的階段性數據是否具有價值性的問題。目前，可以肯定的是，階段性數據也是具有價值性的，即使是失敗實驗的數據也是可以被認定具有“價值性”。成功的階段性數據能夠替被告人節省了大量的研發時間與成本，能夠降低試錯的概率，無疑這也是一種競爭優勢，具有現實或潛在的經濟價值，假定被告人侵犯了該“階段性成果”，無疑是為獲得經濟價值而實施不正當競爭行為。負面的、失敗的階段性數據同樣可以節省了被告企業的研發時間，指導其少走彎路，故其數據依然是具有價值性的。放在網絡商業數據上，數據經營者首先通過收集、匯集或交易所得的原始數據，在經去標識化和匿名化等脫敏加工后形成一個數據產品。在原始數據到數據產品，其中需要對數據集合進行不同程度的加工，在此過程是付出了相對應的勞動，因此其亦是具有價值的數據資產。

商業秘密要求數據具有“保密性”，權利企業對涉訴數據采取了相應的保密措施。企業在主觀上要有保護這些數據的意愿，客觀上采取了防止信息泄露的措施，且其采取的保密措施與數據的商業價值是適應的。總體而言，在判斷保密性的問題上，法院會綜合保密措施的可識別性、適應性、權利人的保密意愿等來考量。

數據之權屬問題。數據可分類為“原始數據”與“衍生數據”，對用戶的基本信息等原始數據，經營者僅有與用戶間協議所約定的使用權，而無所有權，但經營者基于該原始數據而分析、整理的衍生數據是在原始數據的基礎上，花費了一定的時間精力整理而成的，經營者對該數據產品是擁有所有權的。個人身份數據或個人行為數據，這部分數據只是將用戶提供的信息作了數字化記錄后而形成的原始數據，并非使用產品所產生的衍生數據。因此，根據《網絡安全法》的規定，網絡用戶網上瀏覽、搜索、交易等行為信息，屬于痕跡信息和標簽信息，網絡運營者收集、使用時應遵循正當、合法、必要的原則，網絡運營者收集、使用留有個人身份信息的會員用戶行為信息的，除用戶已自行公開披露的信息，應比照《網絡安全法》第四十一條、第四十二條規定予以嚴格規制。在無法律規定或合同特別約定的情況下，網絡用戶對于其提供于網絡經營者的用戶信息不具有財產權屬性；網絡運營者對于原始數據只能依其與網絡用戶的約定享有有限使用權；網絡運營者對于其開發的大數據產品，享有競爭性財產權益。未經許可，直接將他人數據產品作為自己獲取商業利益工具的，則有可能構成侵權。

我們可以這樣理解：商業數據分為兩種數據形態，一是單一原始數據個體，二是數據資源整體。就平臺方而言，對于原始數據個體與數據資源整體所享有不同的數據權益。就單一原始數據個體而言，數據控制主體只能依附于用戶信息權益，依其與用戶的約定享有原始數據的有限使用權。使用他人控制的單一原始數據只要不違反“合法、必要、征得用戶同意”原則，一般不應被認定為侵權行為，數據控制主體亦無賠償請求權。就數據資源整體而言，因系網絡平臺方經過長期經營積累聚集而成，且能夠給網絡平臺方帶來開發衍生產品獲取增值利潤和競爭優勢的機會，網絡平臺方應當就此享有競爭權益。如果擅自使用他人數據資源的，權利人有權提起訴訟。

企業因采購數據而被訴侵犯商業秘密之風險。部分企業會選擇通過采購數據的方式獲取信息，并將該數據投入使用，而該環節上，企業可能存在被訴侵犯商業秘密的風險。在多種多樣的數據中，不乏一些數據可能包含有其他企業的商業秘密，出售或采購這些數據，就有可能會涉及到侵犯其他企業的商業秘密。例如，數據供應商以盜竊、賄賂、欺詐、脅迫、電子侵入或者其他不正當手段獲取了商業秘密，又或者數據供應商違反了相關保密義務，向數據采購商出售該數據，而數據采購商又明知上述數據是侵犯商業秘密的數據。此時，數據供應商與采購商均涉嫌侵犯商業秘密罪。因此，數據供應商與采購商在進行數據供銷活動時，應當對數據實質審查，以確保數據中不包含他人的商業秘密，避免在數據供銷活動讓企業承擔侵犯商業秘密的責任。

結語：在大數據時代，數據之重要性無需多言，但對于數據是否能被認定為商業秘密，數據如何才會以商業秘密的形式獲得法律保護，當前還處于探索階段。