王錫鋅，北京大學法學院教授。

本文系《個人信息可攜權與數據治理的分配正義》一文的正文，注釋從略，全文發表于《環球法律評論》2021年第6期，原文請參見環球法律評論網站：http://www.globallawreview.org，或點擊文末左下角“閱讀原文”。

內容提要：個人信息可攜權既具有增進個人選擇自由、促進數據流通與再利用、推動數字市場公平競爭的功能，同時也可能帶來個人數據聯結的多元主體權益沖突、加劇數據流動風險、引發技術創新受阻、反向損害公平競爭等問題。有別于個人信息權利束中的知情權、決定權等權利所體現的程序正義價值，可攜權主要涉及的是數據治理中多元主體之間利益的分配正義。應當在平衡個人信息權益、平臺數據權益、數據市場競爭秩序和創新以及數據安全等多元視角下，對個人信息可攜權的性質和功能進行界定，將其作為數據治理中的一項規制策略性工具。對個人信息可攜權的行使應設置相應適用條件，通過采取部門化、場景化的方法，吸納多元主體參與，完善監管機制中的程序要素和機制安排，并通過動態化和反思性調適持續促進分配正義。

關鍵詞：個人信息可攜權　分配正義　個人信息權利束　數據治理

一、問題提出與界定

個人信息可攜權（right to data portability）是一個誘人的觀念。在個人與高度組織化的個人信息處理者之間的不對稱權力結構中，賦予弱勢一方的個人獲取個人數據并加以“再利用”的權利，這不僅具有道義上的力量，對個人也是一種心理上的撫慰。在個人數據被大規模、持續性處理的時代場景中，可攜權的觀念呼應了個人面對大規模數據處理活動所產生的焦慮感，在一定程度上強化了個人對個人數據自主控制角色想象的建構。正是這種個人對數據控制者進行“制衡”的觀念，催生了個人在數據處理活動中的知情、決定、訪問、復制、刪除等權利的集合，或稱“個人信息權利束”。個人數據可攜權正是這組權利集合中最新被引入的內容。

可攜權觀念經由歐盟《一般數據保護條例》（General Data Protection Regulation, GDPR）形成一項個人在其個人數據處理活動中的權利，該條例對數據可攜權的規定主要集中在第20條。在《一般數據保護條例》的框架中，數據可攜權是一個廣義概念，包含了個人向數據控制者查詢、復制數據的權利（right to access）以及要求數據控制者將與其有關的個人數據轉移到另一個數據控制者的權利（right to request data transmission），后者與前者都要求數據是“機器可讀、普遍可用、結構化的”。與上述寬泛的理解相比，狹義的數據可攜權主要指數據的“可攜性”（portability），在數據處理場景中主要指個人享有請求數據控制者將數據傳輸給指定的新的數據處理者（即數據接收者）的權利。

在歐盟委員會看來，隨著信息技術的發展，保護個人數據不僅具有政治意義，也具有經濟意義，因為數據保護有助于構建數字環境下的信任，促進更多的在線交流和交易活動，這對于經濟發展和技術創新具有重要意義。個人數據可攜權就是用于追求數字信任建設的一個制度創新。盡管歐盟立法者在反復調整相關條文后將數據可攜權正式引入到立法之中，但可攜權作為一項新型權利，在具體的權利行使實踐中對個人信息保護、產業創新、數據安全以及公平競爭到底會產生什么樣的影響，仍是一個飽受爭議的話題。這一權利實踐如何展開、效果如何，仍有待觀察和評估。僅僅通過《一般數據保護條例》第20條的規定，也無法理解數據可攜權所蘊含的各種價值和利益競爭，而這些復雜的價值和利益競爭，將決定該項權利的實踐展開及其未來命運。也許是考慮到數據可攜權的內在張力及其實踐難題，作為歐盟個人數據保護立法解釋權威機構的歐盟第29條工作組，于2016年12月制定了《個人數據可攜權指南》（Guidelines on the Right to Data Portability），并于2017年4月對該指南作出新的修訂。不過到目前為止，數據可攜權的規定仍然只是“鼓勵性的”而非“強制性的”要求，這也反映了在個人數據可攜權的實踐問題上，國家仍持一種謹慎立場。無獨有偶，在英國、美國等國家中，可攜權的引入及實踐方式也面臨著巨大爭議，立法者與監管者對是否應廣泛引入可攜權、如何適用可攜權等問題都持較為審慎的態度。

立法者和監管者的這種謹慎立場，從另外一個角度折射出數據可攜權所涉及的多種價值和利益之間的競爭甚至沖突。因此，作為一種促進個人信息權益與數據處理者利益、技術創新和產業發展之間“再平衡”的規制策略性工具，如何權衡可攜權對各種相關利益和價值的所產生的影響，成為可攜權制度安排中的理論和實踐焦點。

對于可攜權，我國學界已有所關注，但其具體權能與落實仍存在較大爭議。我國《個人信息保護法》第45條規定了個人對其個人信息的查詢、復制以及遷移權，從而在規則層面確立了個人對其個人信息的可攜權。《個人信息保護法》在一審稿、二審稿中規定了個人在數據處理活動中享有對其個人信息的查詢、復制權；三審稿進一步增加了狹義的可攜權。從立法過程論的角度看，這反映出立法者對引入個人信息可攜權的斟酌權衡。如果考慮到《個人信息保護法》關于狹義可攜權行使條件的開放性，可以發現關于個人信息可攜權的規定，仍然只是一個授權性的、開放性的條款；個人信息可攜權的行使，將取決于未來對該項權利啟動和行使之具體條件的設定。立法者為何在個人信息保護法制定過程最后階段“臨門一腳”增加狹義可攜權？如何理解個人信息可攜權的性質和功能？如何設定個人信息可攜權的行權條件？這些問題將是《個人信息保護法》實施中個人信息可攜權實踐展開的關鍵。本文嘗試對上述問題進行探討。

二、可攜權的性質及功能

個人數據可攜權最早由歐盟引入，后為美國加州、新加坡、澳大利亞等地的立法所參考。為何這些地區的立法提出可攜權？可攜權的主張理據是什么？這些理據又面臨哪些批評？對這幾個問題的回顧，有利于我們還原可攜權的真實面貌，從而更好地理解該項權利的性質及功能。

（一）數據可攜權的正當性理據

1.?可攜權作為制衡性的個人“充權”手段

賦予數據主體可攜權的首要目標是為數據主體進行“充權”。在個人與大規模、組織化的數據處理者之間，存在著不對稱的權力結構。個人信息保護立法的根本目標在于對個人數據處理活動進行干預和規制，而不是由個人與數據控制者進行力量懸殊的博弈。因此，個人數據保護立法的一項重要規制目標便在于緩和現實中存在的個人與數據處理者之間的不對稱權力結構。廣義的數據可攜權所包含的權能，特別是“數據遷移權”，可以降低個人對特定數據控制者的依賴度，賦予數據主體擺脫受特定數據控制者“鎖定”及選擇替代性服務的能力。用經濟學的思路分析，也就是數據可攜權可降低用戶的“切換成本”（switching cost），防止用戶被“鎖定”于某個服務商，因而在一定程度上增加了用戶選擇的能力和自由，增強了其對整個數字環境的信任。

2.?可攜權作為數據再利用的權利

個人對其數據的廣義的可攜權也意味著數據主體對數據進行“充分再利用”的權利。個人首先有權在電子環境下以特定的形式復制個人數據，這可以增進個人的便利；在此基礎上，數據遷移可幫助用戶更便捷地切換服務商，進而打破鎖定效應、獲取更加多元且優質的服務。從立法原意觀察，歐盟委員會在2012年關于《一般數據保護條例》的最初議案中明確指出，數據可攜權是重建網絡環境下交易信任的重要工具，而重建信任的重要策略就是增強個人對數據的控制。其中“重述”第68條（Recital 68）亦指出“數據可攜權將進一步增強個人對數據的控制”。總的來說，這種“再利用”表明個人對其數據的某種控制能力。那么，這種“控制”的規范內涵是什么？數據可攜權所指向的“控制”屬于何種法律性質的控制？對上述問題的回答可以從三個方面具體展開：其一，可攜權與作為基本權利的個人數據受保護權是何種關系？其二，可攜權與個人數據所有權是何種關系？其三，可攜權與數據分享是何種關系？以下對此略作展開回答。

第一，數據可攜權并不當然是作為基本權利的個人數據受保護權的組成部分。《歐盟基本權利憲章》（EU Charter of Fundamental Rights，下稱“《憲章》”）第8條規定了作為基本權利的“個人數據受保護權”。一些研究者將可攜權與該項基本權利聯系在一起，認為個人數據受保護權的核心目標是“強化個人信息受保護”的有效性，而這就意味著“個人對其數據擁有控制權，信任數字環境中的個人信息處理”；數據可攜權就是確保個人對數據控制權的一種工具，因此其構成《憲章》第8條規定的基本權利的內容。但是，《憲章》第8條雖規定了與《一般數據保護條例》規定中相對應的其他權利，例如知情、同意、查詢、救濟等權利，卻并沒有清楚地提到數據可攜權或個人對數據的控制，因此無法從《憲章》第8條的規定中直接推導出個人數據可攜權的規范內涵。

同時，數據可攜權也不是數據查詢權或訪問權在邏輯上的必然延伸，雖然兩者在增強個人對數據的獲取能力上有一定的關聯，但在適用條件與功能上仍存在較大差異。一方面，從適用范圍與條件上看，數據可攜權使數據主體能夠獲得一份供自己使用的副本，并以“結構化的、普遍可用的和機器可讀的”格式將數據傳送給另一個控制者，這其實是專門運用于數字環境中的。并且，與普遍適用的查詢權或訪問權相比，數據可攜權只適用于少數情況，它只能針對數據主體向數據控制者“提供”的數據，而不是與數據主體相關的所有數據。另一方面，從功能上看，與知情權類似，《憲章》規定的數據訪問權，主要目的是規范數據處理行為，對個人提供程序性的保護，并未直接體現出促進數據攜轉、遷移與流通的內涵。實際上，數據可攜權在歐盟原有法律中并沒有直接的權利依據，由于其服務于快速發展的電子環境下的數據攜轉目的，因此在歐盟被歸類為“全新權利”，而不是從《憲章》第8條中可以直接推導出的權利。

第二，數據可攜權也不意味著數據主體對其數據的所有權。數據攜轉所對應的數據可復制和可遷移性，并不是財產權的必要特征；可攜權并不具有排他屬性，因而并不涉及產權邏輯。雖然可攜權在一定程度上使得個人可以基于自身權益的需要解除數據控制者對其個人數據的獨占性控制，但這并不意味著個人可因此而獲得對其數據的所有權性質的控制性權利。從權利行使的功能及后果觀察，可攜權的行使并不能使個人自主地、獨占或排他性地支配其個人數據；而且，從權利行使的條件看，個人數據的攜轉也不是僅憑借個人請求便能夠普遍實現的。

第三，從數據共享中的個人角色觀察，可攜權實際上彰顯了數據利用活動中個人角色的強化，使個人在積極的參與中獲得數據流動帶來的便捷、高質量的服務。《個人數據可攜權指南》指出，“數據可攜帶的目標是強化個人對數據的控制并確保他們在數據生態系統中扮演關鍵的角色”。也就是說，要從整個數據生態系統的主體間關系角度來理解可攜權的“控制屬性”，即數據可攜權旨在增強主體對數據移轉與再利用行為的控制，而不是增強對個人數據的控制。因此，對數據可攜權的功能，更為貼切的描述應當是使數據主體參與并受益于數據自由流動，讓個人成為數據共享和再利用的積極參與者和受益者。在社會意義上，這種共享與再利用也可減少使用者共享數據的成本，促進更優水平的數據共享，進而促進數據驅動的數字經濟發展和社會福利。

3.?可攜權對公平競爭的促進

歐盟《個人數據可攜權指南》中明確指出，可攜權“將支持個人數據的自由流動并促進數據控制者之間的競爭”。從這個意義上說，數據可攜權在一定程度上可以緩解數據主體的“鎖定效應”，從而促進競爭。事實上，數據競爭是現代企業競爭的重要部分，各企業通過產品、技術和服務的優化與創新來改善用戶體驗，吸引用戶投入，進而獲得更多用戶和數據，本是一種良性競爭形態；然而，具有支配能力的數據控制者往往會在數據存儲與利用過程中通過技術、資本、知識、話語等力量，使數據主體無法輕易攜轉個人數據，導致用戶鎖定（lock-in）。可攜權的支持者相信，數據可攜權有助于破解這種競爭困局，可以鼓勵數據控制者通過創新、改進用戶體驗、提升個人數據保護力度等方式而贏得用戶；而對中小企業而言，數據可攜權使它們進入各種平臺和領域等門檻大大降低，競爭環境得以改善；小企業可以通過運營模式服務創新將原來屬于大型企業的客戶和數據吸引過來，因而可改善市場競爭生態。由此，數據可攜權的目標與競爭政策在某種意義上是一致的，消費者可從數據可攜權的制度安排中受益，而這種權利安排也優化了市場競爭環境。

（二）數據可攜權可能引發的問題

在理論層面，數據可攜權的觀念和實踐仍面臨質疑和批評；實踐中，個人信息可攜權也會遭遇適用風險與利益沖突難題。歸納而言，對可攜權的質疑與批評及所指涉的問題主要有以下幾個方面，在制度構建時須加考量。

1.?個人數據承載著復雜的利益關系

個人數據的處理過程融合了相當多的公共性因素，并不僅僅涉及數據主體與控制者關系。基于個人數據在內容上的交互性與公共性，個體行使可攜權將使個人數據所聯結的第三人的隱私權、企業的知識產權和商業利益遭受影響。

一方面，可攜權的行使可能與他人的隱私權和個人信息權益產生沖突。這一點尤其表現在社交平臺領域——個人私密行為和信息往往處于和他人的交互關系網絡中，這導致了個人數據的“多重鏈接”。在社交平臺上，用戶產生的數據很大一部分都是涉他數據，如多數人的合照、聊天記錄、朋友圈的點贊和評論互動等，對這種數據的遷移勢必影響到他人利益，這導致數據控制者很難確定對個人行使數據可攜權的請求是否應作出響應。例如，一個數據主體單方面行使可攜權，可能會剝奪其他人行使刪除權或撤回同意權的機會。因為個人行使可攜權后，與該數據相關聯的第三人若要請求數據控制者刪除相關數據，此時刪除權的行使實際上受到了限制。也正是考慮到這些風險和對第三方的不利影響，《一般數據保護條例》在關于數據可攜權的條款中明確規定，可攜權的行使不能影響被遺忘權（刪除權）的相關規定，也不能對他人的權利或自由產生負面影響。

另一方面，可攜權的行使也會帶來知識產權和商業秘密方面的風險。理論上而言，企業所收集的個人數據經算法處理后可能已經符合企業商業秘密的保護標準，如果這些數據被攜轉到另一個數據接收主體，作為競爭者的數據接收主體不僅可以從這些數據中獲得“搭便車”效益，甚至可以反向破解原數據控制者的數據挖掘技術或算法等商業秘密，從而產生相應的商業或法律上的風險。

2.?個人數據遷移過程的流動性風險

可攜權在促進數據流動性的同時，也帶來了額外的個人信息安全風險。在數據攜轉的啟動環節，最為突出的安全問題是身份驗證問題，實踐中不乏假用戶之名行使“數據可攜權”，進而侵入用戶私人生活的情形；在數據攜轉過程中，為了確保數據的互操作性，數據控制者在收集和處理數據時需要應用更加復雜的程序和軟件，數據處理系統需要具備更多的訪問接口，允許更多類型的系統連接并以更少的限制來處理數據，這些都無形中增加了個人數據遭受潛在攻擊的風險，為惡意攻擊者利用數據或注入錯誤代碼提供更多機會。此外，還應該注意的是數據攜轉的頻次和數量問題。從實踐觀察，個人信息權利束中查詢權、復制權的行使往往可能是一次性的，個人要求提供特定的信息，并獲取有限的數據；而可攜權被引入后，個人在某個處理者服務周期內的所有數據與服務可以一次性下載并傳輸，因而面臨風險的個人數據數量要大得多。

個人數據的攜轉同時還可能帶來數據價值減損和數據濫用的風險。個人數據處理本身就是一個虛擬身份再創造的過程，個人數據在不同處理者之間高頻次的轉移不僅容易導致下游的數據接收者模糊取得用戶同意、進行大規模個人信息抓取等侵害個人信息權益行為，還意味著轉移的數據容易脫離既有的價值網絡，無法確保同樣的數據在另一個競爭性平臺上獲得原有價值，這就抑制了個人信息主體攜轉個人信息的意愿和動力。還應當注意，平臺差異帶來的信息不對稱也可能加劇潛在的數據濫用風險，數據接收者可能利用個人在數據攜轉中的能力分散化及信息不對稱等弱點，對個人信息主體進行壓制，甚至侵犯個人尊嚴。

3.?可攜權未必有利于技術創新

歐盟《一般數據保護條例》第20條為個人數據的攜轉設定了“機器可讀、普遍可用、電子化”等要求，以促進數據的互操作性，并且將可攜轉的個人數據范圍限定在“自動化處理的數據”。但這些規則在一定意義上可能對技術創新產生潛在的抑制效應。首先，數據遷移要求數據處理活動按照一定的標準進行并具有“互操作性”，但一旦確定了一個標準，新技術、新標準的運用可能就會受到限制，因為市場參與者將傾向于提供符合統一標準的產品和服務。其次，可攜權適用所帶來的高昂成本，可能對數據控制者進一步研發技術和利用數據的動力產生抑制。例如，《個人數據可攜權指南》指出，數據控制者在考慮以何種數據格式提供數據時，應當考慮數據主體再利用該數據的場景，以有利于實現用戶的數據再利用目的。這直接帶來的問題是，對數據控制者作出如此之高的要求，是否已經超出了個人數據保護法的邊界？數據控制者不僅要擔負保護用戶數據的責任，還需要考慮到個人對數據的后續利用，甚至進一步要為第三方對數據的后續利用掃清障礙，這實際上是要求數據控制者投入大量成本為他人做嫁衣，違背市場的經濟理性。

4.?數據可攜權可能損害公平競爭秩序

在數據可攜權對數字市場公平競爭的效果方面，主要存在以下兩方面批評。一方面，個人數據可攜權是一項普遍的權利，這意味著可攜權對市場中所有的數據控制者都提出了數據可遷移的要求及相關義務，這大大提高了后發企業、中小企業的合規門檻，且有可能壓縮其發展用戶的空間。首先是合規的成本負擔問題。已有實證研究表明，可攜權將可能給軟件和應用程序的供應商帶來大量成本。雖然這種成本對大公司來說可能沒有壓力，但對初創的小企業來說可能構成巨大的技術和成本壓力。其次，促進個人數據處理系統的互操作性，雖然出發點是為了便于個人信息的攜轉遷移，但也可能激勵數據處理者通過兜售自身隱私和數據保護政策而獲得競爭優勢的策略性選擇。一些學者擔心，如果強制要求數據可攜性，可能導致“隱私保護過度攀比”的情況，企業將競相開展高投入、具有更高宣傳效果的隱私保護方案，造成無謂的成本消耗，反過來造成數據利用效率及數據流動性的降低。

另一方面，可攜權的不當行使可能引發數據格式與技術標準的鎖定，導致企業在競爭中受到過度束縛。在目前大型數據平臺已經擁有技術優勢和主要市場份額的情形下，中小企業為實現數據可攜功能所開發的系統，往往只能向大型數據平臺的技術標準看齊，這導致了中小企業不得不受制于主導型的技術標準，處于很不利的競爭結構中。尤其需要考慮的一種可能性是，數字市場原有的大公司、巨型平臺之間可能協作開發實現可攜權的數據傳輸系統，而中小企業則由于缺乏資金、能力和話語權來加入這一協作行動，這可能導致數字市場與數據流通的集中化與封閉化。

應該看到，當代競爭法歷經百年發展，已經形成了一套較為嚴密和成熟的基礎理論，它不僅考慮到了用戶的鎖定成本，也考慮到了適當的鎖定還會帶來一定的消費者福利；一定的轉換成本其實也可以鼓勵對新技術的投資，從長期來看或許是有效率的。因而，如果可攜權的適用范圍過廣、標準不當，反倒可能使諸多有利于消費者長期利益的商業模式受到抑制。就此，政策制定者需要進一步斟酌可攜權與競爭法的協調銜接，避免數據攜轉反向損害數字市場的公平競爭。

（三）可攜權的性質及功能定位

圍繞可攜權利弊的討論，可以讓我們看到該項權利所涉及主體的多元性、利益的復雜性、規則設計和利益分配的挑戰性。這項權利關涉到數據治理中多元價值和利益協調。應該如何把握可攜權規則表達與體系化建構的邏輯？更具體來說，在國家主導的個人數據治理框架中，應當如何定位可攜權的性質及功能？

1.?可攜權在個人信息權利束中的定位

個人信息可攜權具有復雜的內涵，很難單純用個人對其個人數據的自主決定或所有權主張來解釋。其實，相比于對抗數據控制者、自主管理數據使用的個人決定權來說，數據可攜權同時也是數據治理框架下協調數據保護、數字市場競爭與技術創新的一項規制工具。這項工具與個人信息保護法賦予個人的知情權、決定權、查詢權的性質及功能并不相同。

在立法維度，《一般數據保護條例》在背景引言第68條部分解釋數據可攜權時，使用了“鼓勵”這一措辭，這本身就意味著發展兼容性、互操作性的數據和系統格式，并不是數據控制者的法定義務。在大洋彼岸，美國科學和技術政策辦公室（Office of Science and Technology Policy, OSTP）在2016年進行的咨詢研究認為，應鼓勵但不應強制推行更普遍的數據可遷移計劃，這也體現出審慎性態度以及對可攜轉義務的弱化趨勢。相比之下，在這些地區，知情、同意、訪問等個人數據權利都以對處理者設置明確法定義務的方式進行立法。在可攜權的具體實踐中，這項權利的行使更多反映了監管框架中相關個人、監管機構、行業組織、企業、公眾不斷討論、協商、改進的互動關系，其強制性色彩較淡，而協商性、鼓勵性色彩較濃。在權利爭議發生時，裁決者也傾向于選擇一個廣泛的利益平衡條款，即設置開放性、靈活性的解決方案并不斷調整，充分考慮未來的技術變革與市場變化。相較而言，個人數據主體的其他權利更依賴監管機構的執法保障，最典型例子的便是數據控制者違反“告知—同意”機制的行為往往面臨高額罰款、聲譽罰等行政制裁。

在上述討論基礎上，我們可以進一步追問，為何對可攜權并未設定類似“告知—同意”機制中對數據控制者強制性、法定的義務要求？為何這項權利呈現出濃厚的倡導性色彩？要回答這些問題，還原可攜權的真實性質，需要厘清可攜權在個人信息權利束中的性質和功能定位。個人信息權利束是國家通過立法賦予個人進行個人信息保護的工具；但在具體的功能上，又存在程序性保護和實體性保護的差異。這意味著，對權利束中的不同權利，需要納入相應的程序正義和分配正義框架中進行功能界定。

權利束中的知情權、決定權體現的是個人信息處理的程序正義價值，這其實也是公平信息實踐的核心。從國際上典型數據保護規范的發展脈絡來看，全球不同時段、各個版本的公平信息實踐原則，如1980年經合組織《關于隱私保護和個人數據跨境流通指南》（OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data）、1981年歐洲理事會成員國簽訂的《有關個人數據自動化處理中的個體保護公約》（Convention for the Protection of Individuals with Regard to Automatic Processing of Personal Data）以及1995年歐盟《關于涉及個人數據處理的個人保護以及此類數據自由流動的指令》（Directive 95/46/EC on the Protection of Individuals with Regard to the Processing of Personal Data and on the Free Movement of Such Data），都設置了知情、同意、訪問、更正等程序性權利。《歐盟基本權利憲章》第8條關于“個人數據受保護權”的規定，也強調“數據必須被公平處理”（such data must be processed fairly），并將同意等合法性基礎以及訪問、更正的權利作為個人數據受保護權的核心內涵。由此，程序正義觀重視“個人—數據處理者”之間關系中的公正、公開要求，強調對個人的防御性保護，其在規范邏輯上關注“個人—數據處理者”雙方關系中處理活動的公平性。

相應地，基于程序保護的需要，在實施與保障機制上，“告知—同意”代表的程序性權利在規則實踐上指向一套強制性的規范和行為模式，體現了相對靜態、確定、以消極保護為主要規范意旨的權利理念。這一權利理念需要將強制性規范與執法保障機制作為制度框架。我們可以發現，從個人信息處理規則的源頭到處理行為展開的全過程，都存在國家監管主導的強制性糾偏與制裁機制，國家為這部分權利的運行提供了充分的組織保障、程序保障與多元責任機制，在權利實施的監督及救濟層面上以維護和恢復個人數據處理的法秩序為直接目標。

相比之下，可攜權并不是數據處理活動中個人信息主體的程序性權利。可攜權規則及其實踐體現的是數據處理、利用、流動中的各種實體利益分配，因而屬于分配正義范疇，無法被完全納入傳統的公平信息實踐及其相應框架。可攜權凸顯了新的數據治理生態中獨特的理念與價值取向：一方面，在權利目標上，可攜權旨在增強主體對數據移轉與再利用的控制權，旨在刺激數據流動、公平競爭和技術創新，這些目標更多考慮了個人數據主體對數據“再利用”的積極控制，而非防止自身權益受侵害的消極防御；另一方面，可攜權的權利結構并不局限于個人與數據處理者之間的關系，而是同時涉及到個人與個人之間、個人與數據處理者之間、處理者與處理者之間的權利義務分配關系，在宏觀意義上還涉及國家在數據治理體系中對個人權益保護、市場競爭秩序、數據經濟發展、社會目標實現的綜合考量。因此，如何平衡多元主體之間的不同利益競爭，自然成為立法者與監管者需要協調考慮的關鍵。

具體而言，從可攜權所涉及的利益主體間關系視角觀察，可以發現四個維度上的利益競爭。第一是個人與個人之間的利益競爭。由于個人信息內容上的交互性、復合性、社會性，個人數據可攜、遷移可能會給第三方的隱私和個人信息權益帶來風險。第二是個人與數據處理者之間的利益競爭。可攜權的行使雖然可能會給個人帶來便捷性利益，但也可能給數據控制者帶來大量成本與負擔，造成權利義務失衡的風險。例如為了建設傳輸系統、驗證個人身份、對傳輸過程進行加密等技術升級帶來的成本，與免費提供數據可攜服務的義務之間未必符合分配正義原則。第三是數據處理者與數據接收者的利益競爭。這種利益競爭既包括建設傳輸系統、完善技術設置中的成本分配問題，也包括在雙方作為競爭者的情況下可能導致的商業秘密和知識產權等風險。第四是對宏觀利益格局的影響。可攜權的制度設計與規則實踐在很大意義上將影響到整個數字市場競爭和技術創新，最終也就影響到個人、企業、公共利益和社會整體福利的分配。對上述相互競爭的利益如何權衡，正是圍繞個人數據可攜權的立法和實踐的主要問題。

2.?可攜權作為規制工具的特征

可攜權背后所存在的多種利益競爭，意味著該項權利規則本質上可以作為一項規制策略，其功能在于權衡各種利益，實現數據治理中的分配正義，促進數據流通與技術創新。由于可攜權的適用涉及多種利益，且不同利益和價值具有競爭性，將可攜權作為一項個人信息保護規制工具，不僅應考慮其規制功能，也需在宏觀和微觀層面充分考慮可攜權的“治理”功能。

在宏觀層面，即從國家的視角來看，可攜權的立法設計與監管實踐，應在堅持“國家保護”這一理念的同時，重視國家作為“利益協調者”的角色。國家在強化個人參與能力、增進個人自主性和對數據處理者的制衡能力的同時，亦需促進個人信息處理全流程中多種相互聯系的利益之間的協調。這意味著，在可攜權的規則表達上，不應簡單考慮強制性、一刀切的規則設計，而應提供一套對話、互動、權衡的利益協調框架，促進可攜權所牽涉的多種競爭性利益的良性互動和平衡。國家需要根據技術發展的條件，通過規劃性、動態性、演進性、靈活性的規制策略來實現可攜權的價值。例如，新加坡個人信息保護委員會便計劃采用發布實施規程的方式，將數據可攜性義務作為分階段的規制工具。

在微觀層面，即從監管者視角來看，對于可攜權的實施，監管策略應注重軟法與硬法相結合、強制性規范與倡導性規范相結合。一方面，在特定的技術發展時段，某些要求（比如必須允許攜轉的特定數據、禁止攜轉的數據范圍、最低安全標準等）可以是強制性的，構成數據處理者強制性的合規義務，并附隨相應的制裁與糾偏機制，從而避免數據攜轉義務完全被虛置。另一方面，考慮到數據治理的應時性、復雜性、技術性，推行普遍化、強制性的數據可攜規則可能并非良策，甚至對技術創新和產業發展產生負面影響。在制度實踐初期，監管者更應當注重鼓勵性、引導性的標準，賦予數據處理者在是否可攜、如何攜轉等方面一定的選擇權與自主權。也就是說，監管者需要依靠倡導性規則來“助推”特定行業對可攜權的實施進行嘗試、推進，即通過個人信息保護部門與特定行業的溝通與試驗，在具體監管實踐中不斷實現個人利益、數據處理者利益與技術創新等公共利益之間的最佳平衡，進而推動可攜權目標的階段性實現。例如，國家可以鼓勵和協助數據處理者從市場出發形成“最佳實踐”，通過企業、學界和政府機構的共同參與，努力在特定階段內達成一定的推薦性標準，并推動更多數據處理者參與到標準的實施與改進中。歸結而言，在很大程度上，數據可攜轉的標準和方案應是在監管激勵、引導和助推下的數據控制者內生性選擇，而不應簡單地成為個人信息主體權利規范所自然導向的結果。

三、分配正義框架中可攜權的適用

可攜權的實踐涉及到分配正義，進而需要監管部門秉持利益權衡理念，通過持續的規則進化，不斷進行成本收益分析與規制方式優化，以設定、動態改進、不斷完善可攜權的適用條件。顯然，這不是一個一蹴而就的規則宣告，而是一個持續的規則進化過程。我國《個人信息保護法》第45條第3款對可攜權作出規定時，在規定可攜權的內容，即“個人信息處理者應當提供轉移的途徑”這一義務時，專門設定了“符合國家網信部門規定的條件”這一前置要件，體現了對可攜權實施條件開放性、動態性特點的認知。在比較法上，不論是歐盟數據保護委員會（EDPB）、數據保護專員公署（EDPS）、信息政策與領導中心（CIPL）等機構不斷發布指南與組織公眾咨詢和探討，還是美國聯邦貿易委員會（FTC）主導的數據行業交流與框架探討，以及新加坡個人信息保護委員會與相關行業一起試驗、尋找合適的運行機制，澳大利亞生產力委員會與澳大利亞競爭和消費者委員會（ACCC）主導的以可攜權為切入點的競爭與創新政策探索，都采用了動態的方式探索可攜權適用條件的具體內容、類型與方法。下文對此作簡要展開。

（一）可攜權適用條件的基本內容

在規則設計層面，可攜權適用條件涉及到三項基本內容：可攜轉數據的范圍，即“攜轉什么”；可攜轉數據的標準與程序，即如何攜轉；風險控制義務的設定與分配，即攜轉帶來負面效應的責任如何分配。

1.?可攜轉數據的范圍

個人數據的交互性、社會性特征，意味著個人信息攜轉可能引發個人信息主體與第三人的信息權益、數據控制者知識產權、商業秘密等利益的沖突，因此需要通過設定可攜轉數據的范圍來進行利益協調。

可攜轉數據范圍的界定如何兼顧數據控制者與數據接收者的利益？對此，歐盟《一般數據保護條例》第20條將可攜轉數據的范圍限定為個人“提供”（provide）的數據；第29條工作組進一步將其明確為個人知情主動“提供給”數據控制者的數據以及數據控制者的“觀察”數據，排除了衍生的分析數據、推測數據等，因為這些數據的產生離不開數據控制者的智力和資金投入，控制者對此類衍生數據也享有合法權益，不能完全交由用戶行使轉移權利。通過“提供”這一標準劃定可攜轉數據范圍，可以避免數據控制者商業競爭利益受損、合法投入生成的商業成果被數據接收者不當占有等情形，這是經過權衡抉擇后的方案。與之類似，印度的數據可攜規則也傾向于認為數據攜轉不適用于“衍生個人數據”，但其在個人提供的數據外還專門涵蓋了“用戶活動數據”，這相較歐盟所規定的范圍有一定程度的拓展，為后續的制度實踐提供了更大的解釋空間。新加坡個人信息保護委員會還計劃覆蓋業務聯系信息，因為這種數據的便攜性對個人和接收組織都有價值。這體現了各國基于自身情況的考量所進行的不同范圍設定。在此基礎上，也有學者主張在一定條件下將可攜轉數據范圍拓展到衍生數據，避免個人數據的價值過度碎片化；不過，數據接收者若是可以在一定范圍內獲取個人衍生數據，需要支付一定的對價，由數據接收者與用戶合理分擔；至于知識產權方面的沖突，也可以考慮通過支付公平報酬的方式進行解決。

對個人可攜權與第三者的隱私利益之間的競爭如何進行平衡？尤其是在以社交信息為典型的交互性個人數據的攜轉時，這個問題更為突出。對此，歐盟第29條工作組劃定的標準是，數據接收者所開展的數據處理活動應當仍能保證個人數據主體的唯一控制（sole control），數據接收者不應基于其商業目進行數據處理。同時，為了防止對第三方個人產生危害，應當鼓勵數據控制者能夠對用戶數據進行剔除，以保證盡可能最小限度涉及第三方數據；或者要求獲得其他數據主體的同意。不過，這一方案也被批評為過于保守。有印度研究者認為，相關數據攜轉爭議可以在主用戶和提出爭議的次用戶之間進行處理，不應把責任都施加到數據控制者與接收者之上；但這進一步提出一個疑問，即在具體的數據攜轉中，有爭議的用戶之間（即主張可攜的用戶和拒絕可攜的用戶）如何通過有效的機制保障其各自的權利？同時，數據控制者如果必須從用戶數據中區分和提取主用戶生成的數據，將帶來很大的成本；也會導致社交網絡被分割成更小、因而價值更低的碎片，這可能使數據攜轉的價值大打折扣。對此，新加坡個人信息保護委員會認為，數據接收者要完全區分數據內容并取得每一個第三方的同意是不切實際的，應當在適當的保障措施下，容許第三人的個人資料可轉移，使數據攜轉義務“均衡、合理及切合實際”。但這種安排是否會不合理地降低對第三人的個人信息保護水平，仍需探討。

此外，在攜轉數據處理的合法性基礎上，《一般數據保護條例》規定可攜權的行使僅僅適用于個人同意處理個人數據或根據合同處理信息的情況；其他處理情形下的可攜權更強調自愿性與鼓勵性，不要求立法與監管的介入。尤其是，第20條第3款規定，可攜權“不適用于執行為公共利益執行的任務或行使控制者的官方權力所必需的處理”，這顯然是基于避免給公共機構造成過多負擔的考量，值得參考；不過，這并不排斥公共部門可將可攜權作為一種柔性管理措施運用在便民服務的情景中，并在特定的合適行政領域內將數據攜轉明確為自身的法定職責。

綜上而言，對可攜轉數據的范圍，可以在個人明確、知情、自愿提供的個人數據的基礎上，根據不同的利益權衡考量，延伸到“觀察的數據”“用戶活動數據”與特定場景、行業中的衍生數據；涉及第三人隱私利益的個人數據也可以在通過風險評估后，在采取適當保障措施與平衡方案的基礎上進行攜轉。在此基礎上，監管框架中應當包含一套定義明確的數據類別與數據“白名單”，區分監管的優先級別，對個人數據進行分級分類處理，為個人和數據控制者根據“數據可攜性”規則攜轉數據的行為及后果提供可預測性和確定性。

2.?攜轉數據的標準與程序

在明確了可攜轉數據的“白名單”后，下一步需要處理的是進行數據攜轉的技術標準與程序要求，包括數據攜轉請求模型、攜轉時間框架、數據格式等標準、方式和程序。在歐盟實踐中，這已經成為一個棘手的難題。《一般數據保護條例》“重述”第68條雖然在一定程度上澄清了“技術上可行”的界限，指出“它不應該給控制者帶來采用或維護技術上兼容的處理系統的義務”，但并沒有提供一套具體標準，數據控制者與接收者之間如何達成“互操作性”也并不明確。這就給不愿意進行數據遷移的數據控制者提供回旋余地；同時，差異化的標準也會引發數據攜轉過程中的大量分歧和沖突，不僅增加制度運行的成本，也無助于統一化、便捷流通的數據市場發展。不過，如果由監管部門設定或授權市場主導性的企業來設置統一的技術標準，也可能帶來數據攜轉成本分配的不均衡，無法保證不同技術能力和規模的企業受到公平對待。因此，技術標準的設定將有賴于監管部門、行業利益相關者的不斷溝通、試錯、調適，數據可攜技術標準的推進與協調必將是長期的博弈過程。例如，歐盟數據保護專員公署（EDPS）提倡，個人信息管理服務（PIMS）是實施數據可攜權的“最有希望的努力之一”，因為由中介機構持有并管理消費者的可攜轉數據，可能更加方便、低成本、準確與中立。該倡議已在歐洲展開了艱難的探索嘗試。又如，英國競爭與市場管理局（UK’s Competition and Markets Authority）要求英國最大的9家銀行開發應用程序接口（API），使銀行客戶能夠安全地與受監管的第三方分享其金融數據，以便金融服務業的競爭。這是從2018年開始實施以來已取得較為成功的嘗試。

在技術標準協調推進的過程中，監管部門可對其基本要素進行約束和限定，并引入相應監督機制。第一，數據可攜轉性和互操作性的要求，應與數據處理的公平和反歧視義務相結合，防止數據控制者設置可攜轉的歧視性條件。第二，即便不頒行統一的技術標準與格式要求，監管部門也需要確定相對容易實現的最低限度數據可攜性標準，防止數據可攜權因技術標準缺位而被虛置。第三，監管部門可以適當考慮數據攜轉中的收費模式，通過向數據接收者或用戶收取適當費用來彌補數據控制者的成本。事實上，免費模式并非利益權衡的合理安排，也不利于激勵數據控制者為落實可攜權而進行技術和資金的投入。在比較法實踐中，新加坡個人數據保護委員會便享有對數據攜轉收費方案提供指導與審查的權力。第四，在一些情況下，還可免除未達到特定規模或技術標準的企業的數據攜轉義務，將其列入不負有攜轉義務的名單中。因為強行要求這些企業承擔數據可攜性義務會使其在高額成本負擔中失去競爭力和生存空間，這主要是考慮對小微初創企業的規制靈活性。第五，為了解決一些平臺（尤其是社交平臺）上突出的網絡效應問題，監管者需要考慮群體數據攜轉的技術標準，允許一組用戶將他們共享的數據集體轉移到另一個平臺。

3.?風險控制義務的設定與分配

在操作的技術標準、格式與程序外，對數據攜轉的風險防控、安全保障義務的設定與分配也是監管策略的基本內容，這主要體現在數據傳輸協議、認證協議和網絡安全標準當中。

這類風險控制和安全保障義務應主要配置在數據攜轉流程的前端，即數據控制者端，還是在后端，即數據接收者端？從比較法視角觀察，對此問題的處理有不同做法。歐盟第29工作組傾向于在前端配置安保義務與風險控制責任，要求數據控制者應充分評估實施風險，選擇安全系數較高的系統，并采取相應手段避免產生數據安全危險。若數據攜轉面臨較高風險，數據控制者應當加強身份校驗，如采取二次身份驗證等措施。同時，數據控制者不能因采取安全措施而額外收取費用。但歐盟委員會信息政策與領導中心則認為，這種將風險控制義務集中配置于數據控制者之上，不僅將減弱其遷移數據的動力，也會導致過高的合規成本，削弱其競爭能力。這一方案在新加坡的立法過程中也遭到反對，立法者更傾向于由更能從數據攜轉中獲益的數據接收者承擔所接收數據的準確、完整、安全的義務，而并不要求數據控制者承擔繁瑣的驗證程序與數據安全保障義務。

參考比較法的既有經驗，我國對數據可攜權具體條件和操作制度的構建，應當注重提升個人數據攜轉的安全保障，但在安保義務的設定與配置方面，也要對安全風險和采取相應措施的成本進行充分評估和合理分配；在構建相互協調的技術標準的同時，推動數據控制者和數據接收者的數據安全責任邊界清晰化、均衡化。在此基礎上，應避免一刀切地設定過高的安全標準，防止因安全保障義務門檻過高而抑制數據可攜權的實現。

（二）可攜權適用條件的設定路徑

可攜權雖然可以更好地保護個人信息權益，激活數字治理中的競爭與創新，但運用不當也會給企業增加合規成本、產生數據安全風險隱患，影響個人信息保護和數據治理能力。因此，設計個人信息可攜權適用條件應謹慎研判其可能產生的綜合影響，采取理性、務實、動態調整以及立足本土的規則設計路徑。

1.?部門化、場景化的適用條件設定

數據可攜權涉及數據治理中安全、隱私、競爭、創新、信任等多元價值和利益的協調，在數據治理的不同領域和場景中，基于不同產業的數據內容及運行機制上的差異，利益分布及其權衡也存在不同情形。因此，需要通過情境化、場景化考察來確定利益的分布及其相互關系，根據不同領域和場景中可攜權實踐的特點制定相應的適用條件和規制方案。一言以蔽之，可攜權的行使條件的設計，應當采取部門化、場景化、領域化的設定模式。

觀察歐盟可攜權的實踐，可以發現《一般數據保護條例》提出的普遍性的數據可攜權仍僅停留在紙面上，電信、金融，交通等不同領域的實踐方案其實存在巨大差別。相較而言，美國、英國、印度則更加注重在電信、金融、交通等領域展開針對性的可攜權實踐，使制度設計更加契合不同數據行業的利益關系。新加坡個人信息保護委員會也計劃按照相關行業的不同需求確定監管手段，頒布數據遷移的具體要求和詳細標準。這也說明，有針對性的部門化路徑更適宜推進可攜權實踐。

對此，還可以通過以下兩個部門的可攜權實踐進一步展開分析。在電話號碼的可攜性方面，整體來看，攜號轉網具有巨大的效益和低成本。電話號碼數據可攜性在很大程度上可拓寬消費者選擇，緩解用戶鎖定效應，促進競爭與創新。而在成本上，攜轉電話號碼的隱私成本較低，網絡安全風險較為可控，因此該場景在世界范圍內都是可攜權實踐的典型領域。我國的攜號轉網也是啟動較早、探索經驗較豐富的可攜權實踐的試驗田。相較而言，金融領域的數據可攜權雖然也有利于降低用戶鎖定效應，但由于金融支付領域的數據攜轉面臨數據安全風險較高、風險后果危險更大、監管難度更大等現實問題，因而可能帶來的個人信息保護、數據安全、監管有效性等挑戰更為復雜。實踐中，美國不同的州和歐盟不同成員國基于自身不同情況，對金融數據可攜權的推進力度存在較大差異。

上述分析表明，厘清不同部門和領域中可攜權實施所涉及的不同利益、成本分布、監管的現實能力，是設定個人信息可攜權行使條件的基礎。這里也提出一個問題：我國《個人信息保護法》將可攜權的實施條件及具體規則的設定權籠統地授予網信部門，這是否妥當，值得斟酌。在立法已經作出此種籠統授權之后，一個應當考慮的方案是，網信部門在制定可攜權實施條件的過程中，應當與不同領域的監管部門進行充分協商，采用區分不同領域、分別推進的方式，將部門化、場景化的可攜權條件設定路徑貫徹到規則制定和落地的過程之中。

2.?動態化、反思性的規制策略優化

在技術標準日新月異、利益格局不斷更新、風險認識能力不斷發展的數據治理結構中，分配正義的實現無法僅僅依靠私人自主執行或者國家規制就能完成，也不可能通過一次性的規則供給就皆大歡喜。數據治理格局中分配正義的實現，需要反思性改進和動態調整。反思性所指的是治理結構中多元主體的交流和學習；動態化指的是根據時空變遷和場景變化而展開的策略改進，二者是有機統一的。

第一，作為數據治理結構中主導者的政府，在可攜權實施的條件設置和監管權力行使中應注重溝通理性，充分注重與多元利益主體的溝通和互動，充分考慮各種利益并進行權衡。這也正是我國《個人信息保護法》第11條規定“推動形成政府、企業、相關行業組織、社會公眾共同參與個人信息保護的良好環境”的規范邏輯。只有充分考慮并合理權衡各種利益，才能最大程度推進公共利益的實現，保障個人信息可攜權實踐的有效展開。

第二，可攜權條件的設計應同時注重前端設置與后續改進的“政策學習”閉環（policy cycling）。監管部門應當注重可攜權實施的試點、評估和改進，對實施效果和影響定期評估并予以公開。一方面，無論是監管部門（數據保護法、競爭法、消費者保護法等監管部門）之間，還是政府與數據企業之間，在規則制定與規則實施的全過程中都應充分進行可攜權實施效果和影響評估及信息共享，以保障規制政策的不斷改進、增強決策的適應性和可接受性；另一方面，需要重視可攜權權利主體在政策實施不同階段的真實體驗及反饋，在政策調整過程中也要平衡數據控制者或數據接收主體相對個人而言的技術、話語、信息的不對稱優勢，防止可攜權實踐異化為監管者的獨角戲或者監管者與數據控制者的“合謀”游戲。

四、結論

個人信息可攜權及其實踐，既有可能增進個人在數據治理結構中的選擇自主性和自由，促進數據流通與再利用，推動數字市場公平競爭，也可能造成個人數據聯結的多元主體權益的沖突，加劇數據流動的風險，導致技術創新受阻并損害公平競爭秩序。個人信息可攜權之目標的實現，有賴于進一步的規則設計和實踐優化。我國《個人信息保護法》在最終出臺前“臨門一腳”引入個人信息可攜權，這既為推動數字市場競爭與創新、優化數據治理結構提供了契機，也對數據治理中多元利益的分配正義提出了新挑戰。面對這些挑戰，為充分實現可攜權的積極功能，需要我們在考慮可攜權涉及的多元利益競爭甚至沖突的前提下，從多元利益分配正義的視角，對可攜權行使的條件設定和監管策略進行具體化。

從多元利益分配正義的視角觀察，可攜權在功能上有別于個人信息權利束中的知情—決定等權利的程序正義功能，內蘊了對個人信息處理和數據流動利用過程中多元主體利益進行協調的規范要求，因而具有實現分配正義的功能期待。可攜權的實踐展開，說到底就是個人信息權益、平臺數據權益、數據市場競爭秩序、數據行業發展以及數據安全等多種利益的平衡的過程。既然如此，可攜權的規則設計和實踐展開，就需要在充分考慮多元利益的基礎上，以部門化、場景化的路徑，通過動態性和反思性的過程，不斷調整優化，避免一刀切和單向化的規制誤區。