【专栏】数据中介：像卖房子一样“卖数据”？

今年8月，美国消费者金融保护局（CFPB）发布了关于对数据经纪人（data broker）在消费者数据领域的两项监管提案，同时提出制定数据经纪人的问责制度，以应对人工智能发展对处理敏感个人信息行为带来的风险。这是目前全球范围内数据经纪人监管领域的最新尝试。

作为新型生产要素之一，如何对个人数据进行保护与利用成为当下不可忽视的重要话题。在此背景下，数据经纪人的概念应运而生。飒姐团队在以往也碰到过不少涉及个人数据问题的案子，今天就为大家分享关于数据经纪人的基本信息、潜在的法律风险，以及目前相关的监管措施。

根植于市场对数据价值的需求，上世纪的美国便出现了数据经纪人的雏形。而随着大数据和人工智能等新兴科技的发展，数据经纪人这一行业也逐渐受到大众的关注。根据美国联邦贸易委员会（Federal Trade Commission，FTC）作出的定义，广义的数据经纪人是指从各种来源收集信息，然后将此类信息转售给其客户以实现各种目的的从事数据运营的公司。这些目的包括将信息用于验证个人身份、辨别记录、营销产品，防止财务欺诈等。作为美国最早对数据经纪人进行监管的州，佛蒙特州在2018年发布的《数据经纪法》对数据经纪人的狭义定义是：企业或由企业经营的一个或多个单位，单独或共同有意识地收集并向第三方出售或许可与该企业没有直接关系的被代理的消费者的个人信息。

可见，数据经纪人可以被理解为数据市场中的中间商，对个人数据进行收集和整理，再将处理后的数据转售至其他组织。简言之，数据经纪人的业务通常可以分为数据获取和数据资产化两个阶段。数据经纪人通过匹配数据市场中的供需双方，一方面可以帮助数据所有者从其个人数据中获益，另一方面可以尽可能地促进数据流通，发挥数据的经济价值。例如，消费者相关的数据能够用于改善产品供应、调整营销策略等。在数据作为生产要素的今天，数据经纪人无疑为个人数据经济价值的实现提供了新的思路。

然而，作为个人数据治理中老生常谈的问题，数据泄露风险与数据利益损失也是数据经纪人这一模式不能回避的问题，尤其当前各国对数据经纪人的监管未达到十分明朗的情况下，数据经纪人仍处于一定灰色地带，导致其可能对个人数据所有者造成侵害的可能。

首先，数据经纪人对个人数据的收集情况并不透明，个人数据的删除机制也不完善。根据FTC针对数据经纪人行业的报告，美国数据经纪人获取消费者数据的渠道有以下五种：公共数据、社交媒体、从其他数据收集商购买或获得使用许可、与其他公司协议共享数据库、自行收集。而在多数情况下，数据所有者对经纪人收集其个人数据并不知情。目前，大多数互联网平台在提供服务的同时，都通过用户协议要求访问用户的个人信息，这便成为了个人数据泄露的隐患之一。

而在监管不完善的情况下，数据经纪人可以通过与获取用户信息的互联网平台达成协议，购买其数据库或者获得使用权，甚至一些互联网平台就成为兼职的数据经纪人。在此情况下，个人数据的收集并不为数据所有者所知，更加不清楚他们具有选择退出数据库的权利。即使数据所有者产生了退出数据共享的想法，也不知道应该向谁主张这一权利，因为数据经纪人在其业务过程中并没有向数据所有者提供可见、完整的选择权，导致数据所有者与数据经纪人处于不平等、不对称的地位，进而衍生出数据利益分配不均的问题。数据经纪人通过数据获取与资产化的业务实现数据的经济价值，本应将一定的数据利益反馈至数据所有方，使其也获益。而在数据所有者对其数据获取都不知情的情况下，利益回馈的链条也一并断裂。

最后，对数据所有者的隐私保护是数据经纪人这一模式的基石，其处理数据、从中获益的前提是对个人信息进行保护。然而，对于兼任数据经纪人的互联网平台而言，其逐利天性与对数据所有者的隐私保护相悖，进而导致个人数据滥用，破坏了大众对数据经纪人的信任。例如，某知行社交网络服务网站的运营公司基于应用程序开发人员对用户数据的访问来投放定向广告，通过该商业模式获得的收入占其总收入的90%以上。这一举措对数据经纪人模式的后续发展百害而无一利。

如前所述，今年8月，CFPB在关于保护美国人免受数据经纪人行为侵害的会议上提出两项议案：一是将提供特定类型消费者数据的“数据经纪人”划定为“消费者报告机构（Consumer Reporting Agency）”；二是明确“信用标题数据（Credit Header Data，信用报告文件中开头部分的数据）”是否为一种“消费者报告（Consumer Reports）”，以限制披露敏感信息的行为。

在国内，数据经纪人是在2021年印发的《广东省数据要素市场化配置改革行动方案》中首次提出的概念，文件要求探索开展数据经纪人试点。2022年6月，经广东省政数局批准同意，广州市海珠区率先推出全国首批“数据经纪人”名单。首批入选的3家“数据经纪人”试点企业分别是广东电网能源投资有限公司、广州金控征信服务有限公司、广州唯品会数据科技有限公司。可见，我国的数据经纪人是在政府的监管下，具备开展数据经纪活动资质的机构。该机构要具备生态协同能力、数据运营能力、技术创新能力、数据安全能力和组织保障能力，围绕重点领域开展数据要素市场中介服务，推动数据流通规范化。

目前，我国的数据经纪人模式在如火如荼地发展中，今年4月已在进行全国第二批数据经纪人的遴选。可见，相较于美国数据经纪人的发展与监管模式，我国对数据经纪人模式的尝试主要由政府牵头，重视个人数据安全，根据数据市场实际需求选择试点企业，严格把控准入门槛，在进一步明确数据经纪人遴选方法的同时，对其监管也紧靠国家“数据二十条”的要求，力求在安全环境下推进对数据经纪人的试点工作。

个人数据问题与我们每个人都息息相关，作为治理领域的新尝试，数据经纪人模式会在未来迸发出怎样的火花，值得我们期待。同时，与此相关的监管领域，飒姐团队也会保持关注，及时与大家分享全球各国对数据经纪人的监管新规。