林军律师

阅读量10

——数据资产归属与合规条款全解析

2023年秋天，北京一家创业5年的MarTech（营销技术）公司走到了命运的十字路口。公司积累了超过800万终端用户的行为数据，这些数据经过了清洗、标注和建模，成为公司最核心的资产——甚至可以说，公司本身就是一个”数据加工厂”。一家上市公司看中了这些数据资产，给出了相当不错的收购报价。

 然而，收购尽调中暴露出了一个致命问题：公司的《隐私政策》中关于”用户数据的收集、使用和共享”的条款语焉不详，大量用户数据的收集缺少明确的用户同意记录。更严重的是，公司从未建立过数据分类分级制度，用户的行为轨迹数据、设备标识符数据和个人身份信息混杂存储在同一个数据库中，没有任何访问控制措施。收购方要求公司证明其对这800万用户数据的”合法所有权或使用权”，创始人团队翻遍了所有服务器，找不到能够满足这一要求的法律文件。

最终，收购从全额收购降级为”资产收购+人员留任”，估值缩水超过60%。投资人不仅没能拿到预期的退出回报，反而因为数据合规问题被拖入了与收购方的漫长谈判。而这个”数据资产是谁的”的问题，恰恰是绝大多数软件创业公司在早期发展中最容易踩的坑——也是最致命的坑。

这个案例将我们引向一个根本性的法律命题：在数字经济时代，一家软件公司所持有的用户数据，到底归谁所有？公司对这些数据享有什么权利？而这些权利的边界，又将如何影响投资和并购交易？

一、数据到底归谁？——数据资产所有权的法律迷局

1. “数据所有权”是一个伪概念吗？

首先需要澄清一个普遍存在的误解：在中国现行法律体系下，并不存在一个明确的、被广泛承认的”数据所有权”概念。这与许多人——尤其是创业者和投资人——的直觉认知形成了巨大反差。

《民法典》第127条虽然规定”法律对数据、网络虚拟财产的保护有规定的，依照其规定”，但该条属于引致性条款（即它本身不创设具体的权利内容，而是指向其他法律的规定）。《数据安全法》和《个人信息保护法》也均未使用”数据所有权”的表述。这意味着：在现行法下，数据并非一个具有明确所有权归属的”物”，而是一种需要从多维度进行法律界定的特殊资产。

这并不是说公司对数据没有任何权利。恰恰相反，法律通过多个维度为企业对数据的合法利益提供了保护框架：以个人信息保护为核心的人格权维度、以商业秘密保护为核心的反不正当竞争维度、以知识产权为核心的版权和数据库权利维度、以及以合同法为核心的数据交易和使用权维度。理解这些维度的交织关系，是正确把握数据资产归属问题的前提。

2. 个人数据：用户是主体，企业是处理者

对于包含个人信息的数据，《个人信息保护法》确立了”个人在个人信息处理活动中的权利”体系，包括知情权、决定权、查阅复制权、更正补充权、删除权等。这意味着：个人信息的主体是用户本人，而非收集该信息的企业。企业在此扮演的是”个人信息处理者”的角色——基于用户的同意或法律规定的其他合法性基础，对个人信息进行处理。

这一点对于投资交易具有直接而深远的影响：当一家公司声称其核心资产是”800万用户数据”时，在法律上，这不意味着公司”拥有”了800万用户的个人信息。公司拥有的，是基于用户授权而形成的对这些数据的处理权——这一权利是有边界的、有条件的，并且用户有权随时撤回同意（《个人信息保护法》第15条）。

同理，对于不构成个人信息的数据（如经过有效匿名化处理后的统计数据、不含个人标识符的聚合行为数据），企业的权利空间则大得多。但需要注意的是，”匿名化”有着严格的法律标准——《个人信息保护法》第73条第4项定义的匿名化，是指”个人信息经过处理无法识别特定自然人且不能复原的过程”。简单地去除姓名和身份证号并不构成法律意义上的匿名化。

3. 公司数据资产的权利结构

综合现行法律体系，公司对所持有的数据资产享有的权益可以从以下层次进行理解：     

从这张表可以清晰地看出，中国法律体系对数据资产权利的保护采用了一种”分层保护”模式——数据越接近原始个人信息，企业的处分权越受限制；数据越接近经过深度加工后的知识产品，企业的权利越接近于所有权。这为投资协议中的数据资产条款设计提供了重要的法律坐标。

二、合规是数据资产的”产权证”——个人信息处理的核心义务

1. 《个人信息保护法》第51条的安全保障义务

《个人信息保护法》第51条规定了个人信息处理者的安全保障义务：”个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取下列措施确保个人信息处理活动符合法律、行政法规的规定，并防止未经授权的访问以及个人信息泄露、篡改、丢失：（一）制定内部管理制度和操作规程；（二）对个人信息实行分类管理；（三）采取相应的加密、去标识化等安全技术措施；（四）合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训；（五）制定并组织实施个人信息安全事件应急预案；（六）法律、行政法规规定的其他措施。” 

对于软件创业公司而言，这一条款提出了从管理制度到技术措施的全方位合规要求。特别是”对个人信息实行分类管理”和”采取加密、去标识化等安全技术措施”这两项——前述MarTech公司之所以在并购中遭遇重大挫折，核心原因之一就是这两项合规要求的全面缺失。

值得特别指出的是，《个人信息保护法》第69条规定了侵害个人信息权益的过错推定责任：”处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。”这意味着在诉讼中，举证责任倒置——企业需要自己证明自己没有过错，而非由受害人证明企业有过错。这是一种对企业极为不利的举证责任分配，进一步凸显了企业建立合规管理体系的重要性。

2. 《数据安全法》第27条的全生命周期安全义务

《数据安全法》第27条规定：”开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。利用互联网等信息网络开展数据处理活动，应当在网络安全等级保护制度的基础上，履行上述数据安全保护义务。” 

这一条款将数据安全义务扩展至数据处理的全生命周期——从数据的收集、存储、使用、加工、传输、提供到公开，每一个环节都需要有相应的安全管理制度和技术措施作为保障。对于大多数软件创业公司而言，这意味着需要在产品设计的初期就将数据安全纳入架构考量，而非在产品上线后再”打补丁”。

3. 《网络安全法》第23条的制度建设义务

《网络安全法》第23条要求网络运营者”制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任”。这一义务看似概括，但在实践中却构成了数据资产合法性的基础门槛。一个连基本网络安全管理制度都没有的公司，很难说服投资人或收购方相信其数据资产的处理具有合法性基础。

法条速递

《个人信息保护法》第51条（安全保障义务）、第66条（行政处罚）、第69条（过错推定责任）

《数据安全法》第27条（全流程安全管理制度）

《网络安全法》第23条（网络安全等级保护制度）

4. 合规投入：从成本到资产价值的转化

 我们经常听到创业者抱怨合规成本过高——”大公司一套隐私合规系统花几百万，我们一个A轮公司哪来这么多钱？”这个困惑有其合理性，但也存在一个根本性的认知偏差：合规投入不是成本，而是对数据资产”确权”的投资。正如房产需要房产证来证明所有权，数据资产也需要合规体系来证明其合法性——没有合规体系的数据，就像没有产权证的房子，在法律上的交易价值将大打折扣。

更重要的是，重大数据合规缺陷的行政处罚力度正在加大。《个人信息保护法》第66条规定，情节严重的违法行为可处五千万元以下或者上一年度营业额百分之五以下罚款。对于许多软件创业公司而言，这样的处罚金额足以直接摧毁公司。

三、”数据可携带权”——被低估的交易变量

1. 什么是数据可携带权？

《个人信息保护法》第45条第3款规定：”个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径。”这就是所谓的”数据可携带权”——用户有权要求公司将其个人信息转移到另一家公司。

数据可携带权对于软件行业的投资交易具有深远的影响。它意味着：公司的数据资产并不像厂房和设备那样具有高度的排他性和稳定性——如果用户行使可携带权，公司的数据资产可能在短时间内大量流失。这对数据驱动型公司的估值构成了一个独特的风险因素。

2. 数据可携带权对投资估值的影响

在投资尽调和估值中，数据可携带权至少从以下三个维度影响着公司的数据资产价值：

• 用户粘性与转换成本如果竞争对手的产品体验远超本公司，且用户的转换成本足够低，数据可携带权可能加速用户迁移。公司的技术性用户粘性（如数据格式的封闭性）在法律上将失去保护效力。
• 数据资产的”可替代性”评估如果公司的核心价值在于用户的数据本身（而非基于这些数据构建的独特模型和分析能力），那么数据可携带权意味着这些数据在理论上是可替代的——用户可以要求将数据转移给竞争对手。
• 并购中的数据整合障碍在并购交易中，收购方希望将被收购公司的用户数据整合到自有系统中。但如果用户隐私政策中未充分告知这种数据共享安排，或未获得用户的相应同意，数据可携带权的行使可能导致被收购公司数据资产的大幅缩水。

3. 如何在投资协议中应对数据可携带权风险？

• 陈述与保证条款要求创始人保证公司的隐私政策充分、明显地告知了用户其个人信息的处理方式，并获得了法律要求的同意。同时，要求创始人保证公司在过去一段时间内未收到过大规模的数据可携带权行使请求。
• 数据资产价值保护条款在协议中约定，如果在投资交割后一定期限内（如24个月），因数据可携带权的行使导致公司的活跃用户数据处理量下降超过约定比例（如20%），则触发估值调整机制。
• 产品设计约束推动公司在产品设计层面建立用户粘性——不仅依赖数据的封闭性，更要通过独特的功能、算法和用户体验来降低用户对数据可携带权的行使意愿。这实际上是将法律合规的压力转化为产品创新的动力。

四、数据泄露——论”连带责任”这场噩梦

1. 数据泄露的民事赔偿机制

《个人信息保护法》第69条构建了一个对企业极为不利的侵权责任框架——过错推定责任。一旦发生数据泄露导致用户权益受损，举证责任在于企业。这意味着企业不仅需要承担数据泄露的直接损失（如系统修复成本、业务中断损失），还要承担对受影响用户的赔偿责任。

对于投资人而言，数据泄露的损失远不止于此。一家发生重大数据泄露的公司将面临：

• 用户信任的崩塌和随之而来的用户流失；
• 监管部门的高额罚款（最高可达五千万元或上年营业额5%）；
• 下游客户和合作伙伴的违约索赔——特别是那些在合同中要求数据处理者具备特定安全能力的B端客户；
• 融资和并购交易的冻结——潜在投资方和收购方将对存在数据泄露记录的公司高度警惕。

2. 共同处理者与委托处理者的连带责任

《个人信息保护法》对”共同处理者”和”委托处理者”作了区分，这两种角色在数据泄露场景下的责任结构截然不同：

• 共同处理者（《个人信息保护法》第20条）：两个或以上的个人信息处理者共同决定个人信息的处理目的和方式的，应当约定各自的权利和义务。但是，该约定不影响个人向其中任何一个个人信息处理者主张权利——即共同处理者之间对外承担连带责任。
• 委托处理者（《个人信息保护法》第21条）：个人信息处理者委托他人处理个人信息的，应当与受托人约定处理的目的、期限、方式、信息种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。受托人应当按照约定处理个人信息，不得超出约定的处理目的、处理方式等处理个人信息。

对于软件创业公司而言，最常见的风险场景是SaaS服务提供商与客户之间的数据处理关系。如果公司在合同中承诺了对客户数据的特定安全保护水平，但在实际执行中发生了数据泄露，公司将同时面临来自用户的侵权索赔和来自客户的违约索赔。这种双重责任可能对一家尚未实现盈利的创业公司构成毁灭性打击。

3. 数据泄露条款在投资协议中的设计

基于上述分析，我们建议在投资协议中设计专项的数据安全和数据泄露条款：

• 数据安全管理制度保证创始人应陈述并保证公司已建立符合《个人信息保护法》《数据安全法》和《网络安全法》要求的数据安全管理制度和技术措施。
• 历史数据泄露披露创始人应披露公司在过去三年内发生的所有数据安全事件，包括但不限于数据泄露、未授权访问、系统被攻击等——无论是否造成了实际损失。
• 投后安全审计机制投资人有权在投资交割后委托第三方机构对公司进行定期的数据安全审计，审计费用由公司承担（或在投资款中预留）。
• 重大安全事故的估值调整如果公司在投资交割后发生造成重大影响的数据安全事件（如受到百万级以上行政处罚或造成十万人次以上的个人信息泄露），投资人有权要求启动估值调整或回购权。
• 网络安全保险要求要求公司购买适当的网络安全保险，以覆盖潜在数据泄露事件可能带来的财务损失。

五、实务要点总结

1. 告别”数据所有权”的幻觉

中国法律体系不承认笼统的”数据所有权”概念。企业对数据的权利是一种分层的、有条件的法律利益组合，而非绝对的排他性权利。

2. 合规是数据资产的”基础设施”

没有合规体系做支撑的数据资产，就像没有地基的楼房。合规投入不是成本，而是数据资产确权的必要投资。

3. 数据可携带权不可忽视

将数据可携带权的影响纳入投资估值和协议设计，避免因忽视这一权利而导致数据资产价值的高估。

4. 数据泄露风险要前置管理

在投资协议中明确历史泄露披露义务、投后审计机制和安全事件触发条款，将数据泄露风险纳入投资风险管理框架。

5. 投资人投前尽调要”数商”在线

数据资产尽调不能只靠财务和法律，还需要技术专家的参与，才能完整评估公司的数据合规状态和数据资产价值。

六、风险提示

• 立法尚在演进中中国数据领域的法律法规体系仍在快速发展，相关配套细则和标准仍在制定中。今天合法的处理方式可能在明天面临新的合规要求。建议在投资协议中设置灵活性条款，以适应法律环境的变化。
• 跨境数据传输的额外风险如果公司的业务涉及跨境数据传输（如使用海外云服务、向海外客户提供数据服务），则需要额外遵守数据出境安全评估等跨境传输规则。违反这些规则的后果可能比境内数据违规更为严重。
• 数据分类分级的监管趋严随着《数据安全法》配套的数据分类分级制度的推进，公司持有的数据如果被划入”重要数据”或”核心数据”范畴，将面临更为严格的合规要求。
• 投资人自身的数据责任在尽调过程中，投资人将接触到目标公司的大量数据（包括其客户和用户的个人信息）。投资人自身也需要遵守《个人信息保护法》下的保密和安全义务，否则可能独立承担法律责任。

七、行动建议

给创业者的建议：

• 从公司成立的第一天起就重视数据合规，即使只有几百个用户也应当建立基本的隐私政策和数据安全管理制度——它们在未来融资和并购中将是至关重要的法律文件；
• 在每一次产品迭代中考虑数据合规的维度，将”隐私设计”理念嵌入产品研发流程；
• 建立数据资产台账，清晰记录数据的来源、类型、处理方式和合规状态，这不仅利于管理，更是在融资时向投资人展示数据资产价值的有力工具；
• 不要低估数据可携带权对企业价值的影响——通过提升产品本身的竞争力来降低用户的”搬家”意愿，比通过技术锁闭来留住用户更可持续。

给投资人的建议：

• 将数据资产尽调从”选做题”升级为”必做题”，尤其是在投资数据驱动型创业公司时；
• 在尽调清单中加入以下项目：隐私政策审查、用户同意记录抽查、数据分类分级状态、第三方数据处理合同审查、历史数据安全事件记录、数据可携带权实施状态；
• 在投资协议中设计数据合规的”达标机制”——如果公司在规定期限内未达到约定的合规标准，投资款的分期支付或对赌条件将相应调整；
• 鼓励被投公司购买网络安全保险，这既是风险转移工具，也是向下一轮投资人和潜在收购方展示风险管理意识的信号。

给公司法务的建议：

• 将数据资产条款纳入投资协议的常规模块，而非在处理”互联网公司”时才临时加入；
• 建立数据合规的”融资前体检”服务流程——在每轮融资前对公司进行一次系统的数据合规审查，识别并解决潜在问题后再推向市场；
• 关注数据资产估值方法的发展，协调财务顾问和技术专家，在估值中合理反映数据资产的合规水平。

     数据资产是数字经济时代的石油，但石油的开采、运输和使用都受到严格的法律规制。对于软件行业的创业者和投资人而言，理解数据资产的法律属性、建立完善的合规体系，不是束缚创新的枷锁，而是保护创新成果的铠甲。在每一份投资协议中，认真对待数据资产的归属与合规条款，就是认真对待公司最核心的价值本身。

用户数据归根结底属于用户。企业的任务不是争论”数据归谁”，而是用技术、合规和商业模型证明：即使数据最终属于用户，但基于合法合规的数据处理所创造的独特价值，无可争议地属于企业自己。

免责声明

     本文仅供一般性参考，不构成法律意见或建议。具体法律问题请咨询专业律师。文中案例基于真实事件改编，涉及的公司名称和细节已经模糊化处理。

林军律师

资深公司法律师 · 行业法律实务专家

💬 欢迎在评论区留下您的看法和理由

延伸阅读

• 投资人特殊权利条款（软件行业版）：投软件公司，投资人必须争取的5项特殊权利
• 技术债务披露条款：投资人尽调时发现，你的'完美系统'其实是一堆'祖传代码'
• 核心技术人员绑定条款：CTO离职了，公司估值直接腰斩——核心成员怎么设？
• 软件行业ESOP特殊设计：为什么软件公司要给程序员10%股权？人才就是生产力
• 源代码共管条款：创始人握着全部代码，投资人担心被'绑架'怎么办？
• 软件行业知识产权出资：创始人用代码入股，估值1000万？投资人看完尽调沉默了

如您在股东协议、投资条款审查或股权纠纷中需要专业支持，欢迎联系林军律师（深圳公司法律师）进行一对一咨询。

本文作者 · 林军律师

广东圳品律师事务所执业律师，专注股权纠纷、股东权益保护、公司治理与股权融资法律实务，长期服务电商创业者、品牌方、直播 MCN 与投资人。执业证号：14403201510897776。

关于林军律师 · 最新案例 · 免费咨询