随着企业对数据信息的挖掘和利用能力的不断提升，大数据的商业价值逐渐显现，更加受到了互联网公司的重视，互联网公司相继成立了负责数据业务的部门，专司对数据信息的收集、使用或交换工作。

然而，海量数据集合而成的“大数据”带来的不仅仅是机遇，往往也会伴随着较大的安全风险问题。信息的非法获取、泄露及交易扰乱了社会秩序和经济秩序，干扰了人们的正常工作、学习和生活，也给大数据产业的健康有序发展造成了阻碍。

由于大数据的特性，传统的物理保护模式已经难以应对数据信息的非法获取、泄露和交易；同时，由于数据信息的权属存在争议、主体多元化等原因，导致法律边界较难界定，用户维权难等现实问题，笔者认为，这就需要我们从社会、法律、技术等多个层面对大数据进行研究，进而进行调整、保护和规范。

一、数据保护须先行

互联网和大数据产业持续健康发展的前提，是必须保护好相关权利人(下称“数据信息权利人”)的合法权利，这样才能确保数据的稳定和质量。同时，数据信息往往涉及到广大自然人、法人及其他组织的个人隐私和商业秘密，如果只顾商业价值而不保护数据信息权利人的权益及数据的安全，无异于竭泽而渔、饮鸩止渴。

数据的利用和保护存在一定的冲突：对数据权利人权益保障的越充分，对数据的使用和交换的限制就会越大。如何平衡和协调二者之间的关系是现阶段比较重要的问题，笔者认为，在数据的使用和交换过程中，应当遵循先保护，再合理利用及共享发展的原则，尽可能平衡和兼顾促进发展与保障权益。在权利人的权利和数据使用人的利益相冲突时，先保护“在先”权利人的合法权益不受侵害，通过对数据信息的获取、使用和共享给予一定的限制，并对相关行业和产业进行积极引导，为数据保护及使用提供法律和制度保障。

如今，数据信息被窃取、泄露导致各行业乱象丛生。笔者平均每天能够接到3～5个推销电话，这还是在手机已经安装了诈骗、广告推销等号码的识别软件之后。而且其中一些推销者，能够准确说出笔者的姓名、职业及其他个人信息，其目的就是“精准营销”。而这些信息显然都是从非公开渠道获得。这种情况对互联网行业、大数据产业具有非常大的破坏力和杀伤力，容易出现“劣币驱逐良币”的现象，让不诚实守信的经营者反而能够获取巨大利润，对合法经营行为造成巨大的冲击，严重扰乱社会、经济秩序，极大地破坏了网络经济的良性、可持续发展。

因此，在大数据产业和共享经济发展伊始，就应加强保护工作，以按“保护—合理利用—交换—共享”顺序的发展思维，推动整个大数据行业和产业的健康有序发展。

二、建立数据信息的分类分级保护制度

“人类正从IT时代走向DT时代”，对数据信息的使用、交换和共享能够更有效的配置资源、降低成本、提高效率。现阶段数据信息已经成为了重要的生产要素，能够为企业带来巨大的经济利益，其重要性和经济价值日益凸显，被许多企业视为待开采的“金矿”。

然而，并不应对所有的商业数据信息和个人信息都要“一刀切”式的允许或者禁止使用，而是要区分可使用、可交易的商业数据信息和不可使用、不可交易的(商业秘密等)数据信息，划分个人一般信息和个人隐私(或敏感)信息的边界，根据相关数据信息的属性(包括商业属性和人身属性等)、所属领域和类别、可对数据信息权利人造成的影响等多方面对其分类，再根据具体的类别给予相应(级别)的保护。

考虑到相关的数据、信息的类型和性质，对商业秘密和个人隐私要严格保护，除非经过数据信息权利人的许可外，禁止任何企业、其他组织和个人使用、交易或者披露他人的商业秘密和个人隐私。对于商业秘密、个人隐私信息的泄露、盗取和非法使用应当采取“零容忍”的态度，对违法行为给予严厉打击。

根据相关法律的规定，商业秘密是指不为公众所知悉的、且能为权利人带来经济利益，并经权利人采取相应的保密措施的技术信息和经营信息。而商业数据信息中包含的商业秘密，其价值往往要大于普通商业信息，对权利人的影响重大，因此对商业秘密的保护级别和力度就要远高于一般商业数据信息。

我们通常所说的个人隐私信息，是指不为公众所知悉的、公民个人生活中不愿为(往往是一定范围以外的)他人所知悉的私密信息。例如，高人民法院《关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》第12条就以列举的方式规定了个人隐私信息包含的部分具体内容，包括自然人的基因信息、病历资料、健康检查资料、犯罪记录、家庭住址、私人活动等。个人信息中包含个人隐私信息，同理也要分级保护。

商业数据信息和个人信息，如果经过处理使无法识别特定个人且不能复原(即去身份化)后，可以在一定的条件下使用、交换和共享。例如，贵阳大数据交易所就是在能够很好地保护商业秘密和个人隐私信息这一前提下，得以迅速发展的。

三、加大打击盗取滥用数据信息行为

数据信息的盗取、泄露和滥用是很多违法犯罪的根源，近年来，此类事件时有发生，危害性大、影响面广、涉及人数众多，而且往往会给用户造成永久且不可逆的损害，用户无法因身份信息被泄露而采取补救措施，同时，还可能给当事人造成二次伤害。国家相关部门也已深刻地认识到了问题的严重性，开展了打击相关违法犯罪行为的专项治理，并不断加大打击力度。

我国刑法第285条，规定了非法获取计算机系统数据罪，是指违反国家规定，侵入国家事务、国防建设、尖端科学技术领域以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，情节严重的行为。犯本罪的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

但并非所有的非法获取数据信息行为，都受到刑法的制裁，尚不构成刑事犯罪的，也有可能涉嫌违反治安管理处罚法规定。根据治安管理处罚法第29条的规定，违反国家规定，侵入计算机信息系统，造成危害的；或者对计算机信息系统中存储、处理、传输的数据和应用程序进行删除、修改、增加的；处5日以下拘留；情节较重的，处5日以上10日以下拘留。

四、构建完善的数据信息保护法律体系

尽管我国法律法规中涉及到个人隐私和数据信息的超过了200部，但是这些规定都是分散在各部法律、法规中，没有一部专门的法律保护个人信息和企业商业信息的规范，因此，应当尽快制定《个人信息保护法》《商业数据信息保护法》等法律，完善数据信息保护制度。

最近，笔者欣喜地看到，民法总则(草案)对网络虚拟财产、数据信息等新型民事权利客体作了规定，虽然仅是征求意见稿，但也体现了中国立法机关和法学界的观点——对数据信息权利的确立和保护已经迫在眉睫，并且应当立法进行规范。

草案第104条规定，“物包括不动产和动产。法律规定具体权利或者网络虚拟财产作为物权客体的，依照其规定”，这确立了虚拟财产能够成为权利客体的法律地位；草案第108条第二款第八项还规定，知识产权包括权利人依法就数据信息(客体)所享有的权利，这就确立了数据信息成为新型民事权利的客体，应当受到法律保护。

明确数据信息权利人对数据信息享有占有、使用、处分、收益的权利是互联网和大数据产业发展的法律保障。而数据处理者在经过许可后对收集的数据信息进行分类整理、加工分析得出的数据信息已经具有原始数据所不具有的新特征，这些特征能够为数据处理者带来财产性的利益和新的商业机会，此时，数据处理者可以在获得数据信息权利人的许可后，进行有条件的信息再利用。

毋庸置疑，加快制定专门的法律、法规，建立健全数据信息保护制度，是当务之急和互联网时代的迫切需要。

首先要构建完善的数据信息保护法律体系。制定《个人信息保护法》《商业数据保护法》及配套的法规、部门规章，构建完整的信息保护法律体系，并在此基础上建立信息安全争议解决机制，从实体和程序上完善信息保护制度，切实保护权利主体的合法权益。

其次是要推动网络管理法制建设，促进网络运营商、软件、硬件开发商等主体广泛协同参与，加强信息安全网络建设，倡导构建信息保护的自律机制；指导、宣传和加强公众的自我保护意识，加强数据信息风险预警，减少个人信息泄露风险。

第三是要建立信息安全认证制度，成立第三方评级机构，对企业信息保护制度建设及运行给予评价，并向社会公众开放评价查询。企业可以根据数据信息保护评价的高低及不足之处，采取相应的技术和制度措施，加强企业的数据信息保护。

最后，需要鼓励信息安全企业的发展和研究，建议政府部门从税收、财政补贴等各方面鼓励企业加强信息保护技术的开发和信息保护制度的研究，将数据信息保护作为发展的重点。