全文转载于《法制与社会发展》2026年第4期
作者单位：徐玖玖，中国社会科学院法学研究所助理研究员
一、问题的提出
数字时代仿佛有着“两张面孔”（Janus-faced），在带来社会结构变革、经济效率提升、文化变迁融合的同时，也催生出个人信息保护失序、数据安全管理失效、数字市场竞争失序、传统治理手段失能等一系列伴生问题。其中，最为突出的变化是，数据被视为“第五大生产要素”，其重要性在经济体系和产业循环中被提到了前所未有的高度。继2022年12月中共中央、国务院发布《关于构建数据基础制度更好发挥数据要素作用的意见》（以下简称“数据二十条”）后，数据领域的改革政策文件和部门规范性文件密集出台，核心的改革方向都是在“数据二十条”的基础上，以产权激励带动数据要素价值释放。在公共数据领域，2024年9月，中共中央办公厅、国务院办公厅发布《关于加快公共数据资源开发利用的意见》，进一步强调公共数据是国家重要的基础性战略资源，在公共数据领域深化数据要素配置改革，落实数据产权结构性分置制度要求。2025年1月，国家发展改革委、国家数据局印发《公共数据资源登记管理暂行办法》和《公共数据资源授权运营实施规范（试行）》，前者构建了全国一体化登记体系，规定对纳入授权运营范围的公共数据资源进行登记，鼓励对未纳入授权运营范围的公共数据资源进行登记，以确保公共数据产权归属清晰、可追溯；后者则明确了公共数据授权运营的适用范围、基本原则和流程、权利义务关系，为公共数据产权市场化流转提供了操作指引。在企业数据领域，2024年12月，国家数据局、中央网信办、工业和信息化部、公安部、国务院国资委发布《关于促进企业数据资源开发利用的意见》，以完善企业数据权益形成、保护和收益分配机制，推动数据持有权、使用权、经营权分置运行，构建公平高效的数据要素价值分配机制。
受到宏观政策导向的影响，理论研究也更加关注数据产权、数据交易等凸显数据要素价值的议题。相关研究将数据作为新型生产要素，侧重于构建适配数据资源特性的数据财产权制度，并将确立数据产权等权利体系视为数据法律制度的“供给侧改革”。尤其是“数据二十条”提出，要探索数据产权结构性分置制度，建立数据资源持有权、数据加工使用权、数据产品经营权等分置的产权运行机制，并将数据产权作为数据要素制度改革的突破点。在这一重大改革方向的刺激下，即使在规范层面上尚未廓清数据产权的权利属性和权能范围，在理论争论上仍未对数据是否确权、如何确权、确什么权等问题形成共识，但是关于数据产权登记、数据资产入表、数据价格机制等权利行使及收益形式的研究已经全面铺开，从而形成了新一轮研究热潮。
然而，通过数据（产权）确权及其衍生的数据产权登记达到促进数据流通之目的，这虽然具有一定可行性，但是数据流通和数据产权之间始终存在着逻辑错位问题。这种以权利为起点的理论思辨囿于“无权则无交易”的传统私法逻辑，不仅缺少对于数据资源持有现状的必要关注，而且导致当前数据基础制度改革对数据交易过度偏重，从而产生路径依赖。事实上，数据流通在重要性和意义上都应高于数据交易，从而应当从数据流通本身来审视数据权利实现的可能性。从数据属性来看，数据具有可复制、可共享的原生属性，其价值实现并不依赖于对数据排他性的静态占有或一次性的权利让渡，而更依赖于数据在不同主体和不同环节间的动态流转，从而与其他生产要素相结合，产生新的价值溢出。数据的价值并不首先体现为交易之价格，相反，如何对数据进行定价反而是现阶段数据交易以及数据资产评估面临的主要困难之一。从数据要素配置方式来看，交易是数据价值变现的重要形式，但其建立在经典的产权理论之上，受到客体的权利化和商品化程度的影响。从这一角度而言，数据交易是数据要素发展到特定阶段的一种典型的市场化配置机制，而非原初性机制。相比数据交易，数据流通的内涵更加丰富、外延更加开放、主体更加多元、法益更加包容，不仅包含基于价格机制的交易行为，也包括数据共享、数据开放、数据协同等非市场化或准市场化的要素配置方式。因此，数据要素的价值实现以流通为前提，但实现数据流通的起点既非确权，也非登记，而是对数据的访问。数据流通与数据访问一体而生，流通是访问在多主体间的动态延展，访问为流通在事实层面提供可行性，即流通首先取决于数据能否被访问，而非能否被交易。基于这一逻辑，只有先构建起第一阶的数据访问权体系，才能够为数据获取、数据共享、数据交易等第二阶段的数据活动提供基础。
值得肯定的是，已有部分学者开始从数据流通的角度重新认识数据权利问题，并开始关注数据访问权的重要性，认为应当关注数据“流通”而非“所有”。有观点认为，应当赋予享有合法利益的第三人访问数据持有者所实际控制的数据集的权利，以此解决因信息不对称、谈判力量不对等所产生的市场失灵问题。有观点认为，应当构建“数据公共领域”，建立以数据访问权为主的合理使用制度。有观点提出，应当建立双轨制的数据访问制度，既确立一般数据访问权，也制定基于不同行业、不同类型、不同主体的定制化数据访问规则。然而，这些研究存在两个方面的不足：一是没有将数据访问权作为一项具有独立价值的权利进行呈现；二是其提出的数据产权等各种权利设计，反而可能进一步加剧规则适用的碎片化，增加数据流通成本。因此，这些研究及其制度构建方案都无法有效解决数据流通动态性与法律权利稳定性之间不平衡和不适配的问题。对此，数据基础制度的构建应当以数据流通为核心，并回到数据访问这一数据流通的起点，确立数据访问权的独立价值。数据基础制度改革可以通过数据访问权的体系扩张和权利构建，破除数据持有者对数据的绝对控制；同时，这也为“数据二十条”所设想的数据产权从政策性概念向规范性概念转化提供可行路径，推动对数据产权部分权利内容的先行探索的规范性表达。
二、我国数据访问权的规则偏构及其局限
我国以《个人信息保护法》为基础，针对个人信息确立了数据访问权。然而，如果从比较法视角横向对比我国和域外数据访问权的立法流变，可以清晰地发现，我国数据访问权制度存在规则偏构的内生局限。数据访问是数据流通的起点，但是规范意义上的数据访问权更侧重个人信息权益的保护，这导致数据访问权的功能被限缩和约束，难以作为一项独立的权利发挥促进数据要素流通的作用。
（一）数据访问权的立法流变与比较
我国立法关于数据访问权的规定主要集中在个人信息相关权利领域。《民法典》第一千零三十七条规定，自然人可以依法向信息处理者查阅或者复制其个人信息。《个人信息保护法》在第四十五条第一款、第二款和第三款分别规定了个人查阅、复制权和可携带权，其中查阅、复制权被视为公开、透明原则和知情权的体现，是告知规则的延续。从《个人信息保护法》的条文设置上来看，立法者的意图在于，通过赋予个人信息主体享有查询、复制权以保障知情权，通过赋予其享有可携带权以促进数据流通共享，这两种权利的功能定位各有侧重。作为《个人信息保护法》的配套行政法规，《网络数据安全管理条例》第二十五条、第四十六条第（二）项分别规定了保障个人信息主体行使可携带权，以及禁止大型网络平台服务提供者无正当理由限制用户访问，其本质还是对于个人信息主体权利的细化，这并没有脱离个人信息保护的规范语境。“数据二十条”也同样将数据访问权作为数据来源者权利的组成部分之一，以“保障数据来源者享有获取或复制转移由其促成产生数据的权益”。理论研究亦是如此，例如有观点认为，数据来源者的权利包含了公平访问权、合理利用权、可携带权和自然人个人数据大规模处理拒绝权等权利；有观点认为，数据来源者权包括访问权、使用权、收益权等权利。
相较而言，欧盟立法形成了较为全面的数据访问权制度，成为目前国内理论研究最主要的借鉴对象。欧盟数据访问权同样以个人数据保护为起点，这在一定程度上也影响了其制度演变的路径。欧盟《通用数据保护条例》（GDPR）第15条规定了数据访问权，数据主体有权从控制者处得知其个人数据是否被处理以及处理的相关情况。欧盟委员会2017年发布的《构建欧洲数据经济》通信文件，已初显数据访问权体系化构建的规范意图。该文件曾探讨创设一种新型的“数据生产者权”，即在机器生成的非个人数据之上，创设一种“数据利用的排他性专有权”，以赋予物联网设备用户（如车辆驾驶人或长租用户）对其设备生成数据享有明确的法定权利，从而打破设备制造商等数据持有者对数据的事实垄断，平衡用户与数据持有者之间的议价能力。除此之外，该文件倡议体系性地拓展了公共数据与企业数据访问的制度空间：一方面，基于公共利益赋予公共部门及科研机构对个人数据的访问权，以发挥数据的社会协同效用；另一方面，引入FRAND原则（Fair，Reasonable，and Non-Discriminatory，公平、合理和非歧视性）构建有偿的企业数据共享框架。2022年5月，欧盟理事会批准通过了《数据治理法》，构建公共部门数据再利用、数据中介服务与数据利他主义等机制，丰富了数据资源共享机制的实现路径。2022年7月，欧盟通过了《数字市场法》，对提供核心平台服务、满足一定用户规模和市场门槛的“守门人”（gatekeeper）平台规定了数据开放与访问的强制性义务，包括保障终端用户数据可携、商业用户数据访问及第三方（经授权）数据获取等具体义务。2023年11月欧盟通过了《数据法》，该法赋予用户对联网产品及服务产生的数据拥有访问、使用和授权第三方共享的一般性权利，使用户所产生的海量数据在一定程度上脱离持有者的垄断和控制，复归可用、可及、可流通的资源状态。欧盟从个人数据权进路彻底转向数据访问权模式，构建了以企业实际控制为前提、以用户使用权为核心的数据访问权制度。
从我国数据访问权相关立法与欧盟数据访问权制度的对比来看，两者存在以下异同点：相同点是，两者的制度目标都包含了实现和保障数据主体对自身数据的“自决”，这也是两种数据访问权的共同起点，为个人有效控制自身个人信息提供了法律保障；差异点在于，由于两者所嵌入的规则样态和制度环境不同，受到立法权限与范围的限制，两种数据访问权制度所能承载的功能价值存在较大区别。欧盟数据访问权制度形成于促进欧洲数字单一市场的时代背景之中，数据访问权也得以在欧盟不同数据立法中进行统筹规定。自GDPR确立数据访问权之后，《数据治理法》《数字市场法》《数据法》都有关于数据访问的规定，就个人数据和非个人数据针对不同数据控制者提出了不同要求。因此，经过从数据生产者权到数据访问权的激辩之后，欧盟关于数据访问权的立法不再将个人数据权利保护作为唯一的制度目标。可以说，欧盟数据访问权立法始于个人数据自决权，但远未止于自决权，而是以数据访问为制度契合点，不断充实其促进数据流通共享利用的功能和价值，从而，从个人数据拓展至非个人数据，从数据权利保护拓展至数据流通利用，通过数据访问权的体系化扩张达到促进数字市场竞争和创新的目的。
（二）我国数据访问权的功能限缩
从横向对比来看，我国《个人信息保护法》第四十五条确立了针对个人信息的数据访问权，却并未向公共数据、企业数据等《个人信息保护法》效力涵射范围之外的领域进行扩张。例如在《中共中央办公厅国务院办公厅关于加快公共数据资源开发利用的意见》中，公共数据流通利用主要依赖于开放共享和授权运营两种方式：在开放共享方面，该意见提出，通过完善政务数据目录，健全公共数据开放政策体系，依法依规有序开放公共数据；在授权运营方面，该意见提出，探索建立公共数据分类分级授权机制，授权符合条件的运营机构开展公共数据资源开发、产品经营和技术服务。而在2024年12月国家数据局等部门发布的《关于促进企业数据资源开发利用的意见》中，企业数据开发利用更强调健全企业数据权益实现机制，并将其分为企业数据权益形成机制、企业数据权益保护机制、企业数据收益分配机制三个具体方面，通过鼓励企业采取共享开放、交换交易、资源置换等方式，促进数据产品和服务创新开发、高效流通和价值复用。
公共数据和企业数据的相关改革政策文件都没有正面认可数据访问权对于数据流通利用的直接作用和独特价值，也回避了通过构建独立的综合性数据访问权来促进数据流通利用的可能性。但是，无论是开放共享、授权运营、交换交易还是资源置换，这些都是对于数据流通具体方式的描述，而非对于数据权利义务关系的规范表达，或者说，公共数据和企业数据中的数据访问被视为相关数据活动中的工具性过程或附随性结果。这种“被动性”的制度安排，使数据访问权因缺乏独立的规范价值而无法在数据流通之始就发挥出更加直接、更加充分的作用。这既无法回应不同主体在数字活动中差异化、多样化的数据资源需求，也使数据需求者无力对抗数据持有者基于事实控制而衍生的“数据圈地”、数据壁垒、数据垄断等滥用技术权力、损害数据主体权益、限制排除竞争的关联行为。
因此，无论是从立法流变的域外比较来看，还是从不同类型数据流通的方式选择来看，我国数据访问权在规则层面和实践层面均存在着功能限缩现象。从根源上而言，我国数据访问权的条文设置方式直接限制了其可以承载的功能范围，使数据访问权在实践中成为不甚起眼的“非热门权利”，几乎无法发挥实质性作用。在我国个人信息保护与数据安全分立的二元立法模式下，《个人信息保护法》第四十五条的规定仅局限于个人信息范畴，难以以此为基础拓展数据访问权的多重功能：如果超出个人信息（个人数据）的范畴建构数据访问权，就必然会突破《个人信息保护法》的立法权限与范围边界；如果仅围绕个人信息（个人数据）构建数据访问权，那么数据访问权的主要场域将聚焦于个人数据部分，而缺乏对非个人信息（非个人数据）的必要关注，这将导致数据访问权的功能仍处于偏废状态，没有形成能够回应数据流通现实所需要的完整的数据访问权体系。从这一角度而言，数据访问权的体系性构建必然要突破和超越《个人信息保护法》的既定范畴，走向综合性数据访问权体系。数据访问权的体系性构建立足于数据访问作为数据流通的起点，旨在为包括但不限于数据主体的不同数据需求者提供获取数据资源的规范性基础和可行渠道，使其有能力对抗或打破数据持有者的技术锁定和绝对控制。
三、数据访问权的独立价值与体系扩张
《个人信息保护法》所确立的个人数据访问权已无法满足数字经济发展和数字市场秩序的规制需要，依附于个人信息权益的传统数据访问权形态也难以回应数据要素动态流转的现实语境。但是，权利的丰富和扩张首先需论证其必要性，即应先从规范性权利的角度重塑数据访问权的独立价值。
（一）数据访问权的独立价值
1.数据流通实现的规范性依托
数据持有是数据访问的对应概念。公共数据持有者缺乏提供公共数据访问的主观动力，并担心其可能催生数据泄露等不确定风险，甚至引发舆情等“黑天鹅”事件，从而增加行政成本与责任压力，这也是公共数据始终处于低质量开放共享的原因之一。而从企业的角度来说，无论是出于对数据作为新型生产要素资源属性的利益诉求，还是出于数据安全保护合规要求的谨慎选择，拒绝数据访问都是大型企业等掌握海量数据资源的数据持有者更加偏好的核心策略。为了达到这一目的，企业通常会采取技术措施控制和维护数据的访问和使用，以实现事实上对数据的锁定和垄断，而访问权管理也成为了数据持有者数据策略的重要组成部分。基于此，促进数据流通，尤其是促进企业数据流通和共享利用，就成为立法者关注的重点。从部门法角度来看，目前主要存在以下三种较为典型的数据流通实现路径：
一是合同法路径。当事人之间通过合同条款约定数据的归属、权限、流转等事项，这在数据流通实践中较为常见，也是市场发挥资源配置基础性作用的具体体现。但是合同法路径存在两个方面的不足：一方面，以合同形式就数据流通（包含数据访问）平等协商、达成共识，其实现依赖于双方的合意与履行行为，但这只适用于不存在法定强制性数据访问义务的平等的数据访问权场景；另一方面，完全的合同自由可能反而会加剧数据垄断和数据权益侵害现象。以平台为例，平台控制越来越多的数据，并在与用户、商户的不对称关系中处于优位，基于数据的不断积累拥有更强的支配力，而用户难以了解自身数据的实际用途，监管者难以发现复杂隐蔽的数据处理活动，小企业难以形成与大企业相匹及的议价能力。如果完全依靠合同法路径实现数据访问权，这将会在事实上扼杀这一制度的现实生命力，加剧数据垄断程度，激化数据权益侵害现象。
二是反垄断法路径。反垄断法路径促进数据访问的核心逻辑，是通过将数据认定为必要设施（essential facility）（或者类必要设施），以此要求企业承担数据强制共享的反垄断法义务。伴随平台极端的范围经济特征、赢家通吃的规模效应以及网络外部性、消费者黏性等特点，数据优势逐渐成为平台控制市场准入、排除或限制竞争的工具之一。部分学者也将平台经济属性描述为“新自然垄断性”。然而，反垄断法路径在促进数据访问方面存在内在的制度局限：一方面，反垄断法路径高度依赖事后规制，面对海量的数据资源与高度复杂动态的数字生态，这种滞后的个案执法的实际效能是有限的；另一方面，以反垄断法要求强制开放数据的方式首先需要进行严格的垄断性判定，但在法理层面，能否将数据界定为反垄断法意义上的必需设施仍存较大争议，尚需充分、谨慎的考量。
三是知识产权法路径。依托知识产权法路径促进数据流通，其核心逻辑主要借鉴了标准必要专利（SEP）领域的FRAND原则。根据该原则，当特定数据构成产业或研发的“必需”时，数据持有者须以公平、合理且无歧视的条件开放数据访问许可。持有者不得无理拒绝或歧视任何潜在的数据获取方（被许可人），从而确保各类主体都能以合理条件获得访问该必需数据的许可，以此促进数据流通利用，维护市场公平竞争秩序。但是知识产权法路径同样面临适用困境：一方面，数据能否移植适用专利法制度仍有分歧，数据与知识产权的客体属性存在区别，这些方面都使制度的适用性面临争议；另一方面，就FRAND原则本身而言，对于其在实践中如何确定“公平、合理和非歧视性”的条件亦存在不同理解，从理论到实践的降维过程存在一定落差，它并不能为数据流通提供稳定的法预期。
因此，传统部门法路径均存在一定的局限和不足，对于数据流通的实际效果影响有限，更是难以为数据访问权的实现提供足够的适用性或解释力。当传统法律范式在数据治理中面临挑战时，理论研究与制度设计需突破传统规范体系与思维逻辑的局限。我国数据基础制度构建应当立足于功能区分，重塑并丰富跨部门、多类型的综合性数据访问权，使数据访问权的规范体系与功能构造更加完备与周延。
2.数据产权激励的功能性补足
“数据二十条”提出要建立数据资源持有权、数据加工使用权、数据产品经营权等分置的产权运行机制，整体上形成了数据资源持有权、数据加工使用权、数据产品经营权三权分置的数据权益架构，这被视为在中央政策层面确立了“数据产权”概念。决策者以数据产权为起点改革数据基础制度的核心意图，是希望通过发挥产权制度的强激励作用，稳定数据利益关系，释放数据要素价值，促进数据流通利用。甚至有观点认为，数据产权的“唯一配置效益目标”就是“激励数据之生产和分享”。但是从具体落实层面来看，自“数据二十条”出台以来，数据产权作为脱胎于数据要素改革纲领性文件的政策性概念，无法必然达致相应的规则效果。这种“自上而下”的强制性制度变迁，始终面临着如何从政策性概念向规范性概念转变的现实问题。当缺乏法律的认可和支持时，决策者所设想的产权制度的强激励效果更将无所归依。
一方面，“数据产权”的规范性定位仍面临理论争议。支持观点认为，“数据二十条”创设的数据产权三权分置框架，实质上明确了数据的财产权与（类）用益物权属性。这种权利构想一方面吸纳了数据之上承载的经济与财产价值，而另一方面却突破并脱离了传统所有权、对世权及绝对权的排他性逻辑，这被认为“更适合数据保护和发挥数据在数字经济中作为生产要素的作用”。反对观点则指出，“数据二十条”本质上属于指导改革的宏观政策文件，其提出的“数据产权”仅具经济政策意义，尚非法学意义上的规范性概念。“数据二十条”既无法直接产生创设权利的法律效力，其所设想的“数据产权”亦非《民法典》所确认的法定民事权利。因此，不能仅凭该改革指导文件便证成“数据产权”的法定地位，相关权利的最终确立仍需通过实体法进行转化和落实。在数据产权概念规范转化存在结构性困境的情况下，以自上而下的改革强制力全面搭建数据产权及其权利体系，这必然面临极大的路径阻力并付出一定的制度成本。而在数据产权的相关具体权利形态中，数据访问权在个人数据领域已经被《个人信息保护法》所认可和确立，其请求权的内容以及行权方式在实践中亦有所积累。以个人数据访问权为基础向企业数据和公共数据拓展、丰富和调适，这相较于将孤立的政策性概念创设为完整的规范性概念而言，更加具备可行性。
另一方面，数据的非竞争性和非排他性直接弱化了产权制度独占性激励的实际效果。对具有高度动态性和流动性的数据尝试构建静态权利的努力，必然会面临激励适配的结构性困境。数据产权本身并非一个严谨、清晰、明确的法律概念，围绕数据产权三权分置的规定，与其说是一种权利的界定和确立，毋宁说是对于权利运行和实现的描述。“数据产权”无法被准确界定为某一类或某几类特定的法律权利，基于数据的处理活动也无法被准确确定为某一类或某几类法律行为，这种政策性概念与规范性概念之间的偏差导致数据活动实践与数据宏观政策之间产生了一种扭曲的“越位”。
无论是数据产权的规范性转化困境，还是数据属性对产权激励实现的弱化，都表明数据产权并不能为数据流通提供预期的激励效果。当然，强调数据产权激励结构性困境并非要否定或消解数据产权制度的价值，而是要在数字经济语境下重新校准数据产权制度的功能边界和实现方式。在理想条件下，数据产权制度固然可以并且应当成为促进数据流通的支持性和激励性机制，但是这并非要将产权塑造为先于流通的刚性前提，而是应当根据具体场景和确权需要，把数据产权柔性嵌入到数据流通的整体生态和权利框架中。例如，对于价值较高且动态性相对有限可控的特定数据资源而言，数据产权的激励效果更加突出。但是对于更加普遍和一般性的数据要素来说，当无法通过绝对排他赋予产权制度应有的激励效果时，法律则没有必要强制设定人为的稀缺性来赋予数据价值，而应当将治理范式的重心从静态的权利归属向动态的多元利用转移。在这一逻辑下，数据访问权不是对数据产权的排斥或解构，而可以成为数据产权激励实效不彰的功能性补足。数据访问权承担着消解数据壁垒的前置性制度功能，而数据产权可以对特定的数据财产进行权利确认与利益配置，在流通中重新激活产权在交易中的激励功能，从而形成流通利用与产权安排共存不悖的并行激励体系。
3.数据权利冲突的制度性调和
《个人信息保护法》中的数据访问权是以个人信息权益保护为核心的防御性权利。对数据访问权进行功能扩容，确立涵盖企业数据与公共数据的综合性、一般性数据访问权，重构数据流通的权利配置逻辑，这可以为破解数据权利冲突提供一种制度性调和机制。
一是在数据流通场景中通过数据访问权调和数据权属冲突。动态的数据流通与静态的数据权属（以数据产权为典型）天然地存在适配性困境。为了弥合这种动态性与稳定性之间的偏差，有观点提出将数据确权分成整体确权和进程确权，有观点提出应当区分数据生产和数据流通而分别配置数据权利，但是这些尝试恐怕也无法解耦这种权属的混沌纠葛状态。在数字时代，数据已经成为市场竞争的重要工具而非单纯的要素资源。从数据参与经济体系和产业链的流程来看，数据流通在实践意义和价值上都高于数据交易。根据欧盟委员会的估算，数字经济中的大量机器生成数据未被使用，这也是欧盟反复倡议数据共享和数据自由流通的主要动因。例如在能源、交通、制造行业等场景中，数据活动和经济活动嵌合度较高，数据伴随业务活动随随流动。而当数字产品或服务场景较为复杂，数据活动和经济活动的嵌合度不足时，才需要数据交易等第三方数据作为补充。综合性、一般性的数据访问权承认数据作为生产要素的非竞争性与公共性特征，并构建一种基于合法利益而非原始归属或事实持有的数据获取资格，以此在更大范围的数据流通场景中实现数据访问。
二是在数字秩序场景中通过数据访问权平衡公平竞争冲突。数据既是数字经济的重要资源，也是数字经济秩序的基础要素。公平访问和合理使用数据将会惠及用户以及市场竞争中的各类主体。若缺乏公平访问和合理使用，则会对创新型数字公司以及其他初创企业向市场提供替代性产品或服务构成阻碍。数据持有者对于数据的控制甚至基于数据的“特权”，使其在一定程度上成为了（准）公共决策者。新近研究发现，在数据资源上具有优势的持有者并不必然会绝对“锁死”数据流通渠道，而是会将数据访问作为其市场力量的工具之一，通过控制数据访问来有目的地筛除竞争对手。既有主导者（incumbents）基于市场竞争的判断有区别、有选择地配置第三方的数据访问权限，以此对未来竞争者、现有竞争者以及合作竞争者等不同市场参与主体产生不同的竞争效果，甚至完成对于具有颠覆式创新潜力的潜在竞争者的非竞争性“收缩”（coopt）。因此，在数据持有日益“类所有权化”的趋势下，事实上绝对化地控制数据可能会引发一系列排他性权益的冲突。一般性数据访问权的确立并非否定数据持有者的合法权益，而是在数据持有者和数据需求者之间引入一定的责任规则，使其成为绝对控制和开放利用之间的制度“调节阀”。
（二）三种不同意义的数据访问权
数据访问权并非单一维度的平面化权利，而是依据不同的功能指向以及背后的法益关系，可被分化为多层次权利谱系的体系性权利。以功能类型为区分，存在权利保障型数据访问权、监管协助型数据访问权、发展促进型数据访问权三种不同意义的数据访问权，三者共同构成了“私益保护—公共治理—市场配置”的多维权利谱系，呈现出“权利奠基—秩序约束—价值释放”的内在法理逻辑。
1.权利保障型数据访问权
无论是我国还是欧盟，数据访问权最初都产生于立法者对数据“失控”及其安全风险的担忧。我国《个人信息保护法》明确赋予个人对其信息的查阅、复制以及向第三方转移利用的权利，这实质上是将数据访问权作为个人数据控制权的实现方式之一。与之类似，欧盟GDPR亦将保障数据主体对个人数据及处理行为的知情权作为核心。两者的立法旨趣和内在逻辑是相同的，都是通过赋权数据主体，使其在与数据处理者非对称的关系架构中，重新掌握对自身数据的自主支配。由此，在数据持有者事实占有数据、信息严重不对称的情况下，数据访问权成为数据主体以及其他利益相关者分享数据利益的方式之一。但是，由于数据访问权本身是告知规则的延续，访问权对于个人数据相关权利保护的实际效果是有限的。告知同意规则无法真正保护个人信息和隐私，或保障数据安全。法律也不能过于理想化地寄希望于个人信息条款或隐私服务协议能够成为用户对抗数据持有者的“权利书”。同时，由于数据的非竞争性和可重复使用性，叠加上网络生活的复杂性，以及数字产品和服务的多样性，要求数据处理者在数据获取环节就严格依照法定程序进行完整告知并获得数据主体的同意，这本身也很难做到。因此，通过告知同意规则实现个人对于自身数据的控制和自决，这无论是在主观上还是在客观上都过于理想主义。这种以权利保障为核心的数据访问权虽然有助于数据主体知情权和控制权的实现，但其权利保障的实际效果有限，因此不能仅在这一单一维度构建数据访问权。
2.监管协助型数据访问权
市场失灵置换了市场万能观念，政府失效拒斥了国家的神话。针对数据治理中“为数众多的违法行为”，由私人主体帮助行政机关来发现、阻止、预防有害行为，这能够缓解行政资源有限与全面实施法律之间的紧张关系，比行政机关监督执法更符合成本收益分析。从这一角度而言，数据访问权可以成为监管协助的重要工具，以消除外部治理所存在的治理效率低下、治理力量分散、治理成本较高等弊端，达到最优的治理效果。以监管协助为目标的数据访问在国内外立法都已有所涉及。例如欧盟《数字服务法》第40条规定，超大型在线平台（VLOPs）与超大型搜索引擎（VLOSEs）应根据数字服务协调员（DSC）或欧盟委员会的合理请求，向经审核的研究人员开放数据访问，以审查和评估平台所引发的系统性风险；同时允许欧盟委员会通过颁布“授权法案”细化访问程序并保障执行。欧盟《数据法》亦为数据持有人设定了多维度的强制性数据访问与共享义务，包括向用户、用户指定第三方及特定公共利益情形下的公共机构提供数据访问的义务。我国监管协助型数据访问权主要集中在金融监管、电子商务、交通管理领域等方面，在实践中主要包括物理归集、接口调用、数据核验等具体方式，这些均是数据访问在物理和网络不同层面的具体实现方式。例如在金融监管中，《征信业管理条例》规定，从事信贷业务的机构应当按照规定向金融信用信息基础数据库提供信贷信息；《证券基金经营机构信息技术管理办法》明确证券基金经营机构需定期向证监会报送客户交易终端信息。又如在电子商务领域，《电子商务法》要求电子商务经营者应向有关主管部门提供电子商务数据信息；《网络交易监督管理办法》规定，网络交易经营者应当按照国家市场监督管理总局及其授权的省级市场监督管理部门的要求，提供特定时段、特定品类、特定区域的商品或者服务的价格、销量、销售额等数据信息。再如在交通运输领域，《网络预约出租汽车监管信息交互平台运行管理办法》规定，网约车平台公司应当向部级平台传输相关基础静态信息以及订单信息、经营信息、定位信息、服务质量信息等运营数据。监管协助型数据访问权的本质是以数据要素为驱动，通过常态化的数据访问实现信息归集与交互，进而推动监管范式由传统的事后惩戒向事前预防与全流程监测的数字化监管转型。
3.发展促进型数据访问权
数据是数字经济的新型生产要素，对于数据访问和使用的控制会对用户、商户、竞争者以及数字生态都产生深远的影响，由此促进数据公平获取和利用成为数字市场秩序的关键之一。以当前快速发展的手机AI智能体（AI Agent）为例，与传统移动互联网“用户一APP”的交互模式不同，AI智能体正在形成“用户一智能体一服务”的新型交互结构。用户不再直接进入具体APP完成操作，而是通过智能体表达需求，由其自动调用不同应用和服务完成任务。这一模式天然依赖跨平台、跨应用的数据流通。智能终端操作系统（OS）、用户以及各类APP既是这一生态的共同参与者，也是围绕数据控制权展开竞争的利益主体。APP希望维持对用户数据和服务入口的控制，以保持商业优势；操作系统则通过权限管理和任务调度增强生态主导能力；用户则追求更高效、便捷和个性化的服务体验。与传统移动互联网主要由APP主导数据利用不同，在AI智能体场景下，操作系统逐渐成为连接用户、应用与服务生态的数据协调中枢。智能体能否理解用户意图、协调不同应用并完成复杂任务，很大程度上取决于操作系统对数据、接口和权限的整合能力。因此，操作系统已不仅是数据流通的技术基础设施，更承担着生态协同、资源配置和规则协调的重要功能。其通过全局调度能力推动跨应用数据和功能资源的衔接，在一定程度上突破APP主导下的数据割裂和生态壁垒，使分散于不同平台和场景中的数据资源得以重新组织和利用。从这一意义上来说，操作系统正成为新型交互结构中的关键节点，其对必要数据和功能接口的合理访问，不仅关系到智能体价值的实现，也关系到下一代智能生态的发展方向。正因如此，数据能否在不同主体之间实现合理流通，已经成为决定AI智能体发展的关键因素。但如果缺乏约束，数据持有者（尤其是数字守门人）可以基于自身对于数据的控制状态，以加强个人信息保护、增强隐私保护为由，事实上阻止任何第三方获取数据或拒绝向任何第三方提供数据共享和访问，实质控制用户、平台内商户以及平台外第三方等主体获取数据资源的深度和广度，从而在一定程度上加剧阻碍创新和扭曲竞争的效果，使自身脱离传统竞争法所能捕捉的约束范围。
以欧盟《数据法》为例，其立法目的在于构建公平的数据获取与利用规则，实现数据价值的公平分配，以及保障数据在多元主体间的公平使用，以此赋能欧盟的数据经济，培育竞争性数据市场。根据该法及其配套的解释说明文件（Data Act explained），对于联网产品（涵盖联网汽车、医疗健康设备、智能家居等消费品，及飞机、机器人、工业机械等产业设备）、相关服务（如冰箱温度调控、灯光亮度调节、洗衣机洗涤周期监测等应用程序）以及相关售后与辅助服务（如维修、保养服务以及基于数据的保险等）所生成的数据，用户均依法享有访问与使用的权利。在此基础上，依赖前述数据开展的相关市场服务，用户亦有权基于其作为数据来源者（联网产品所有者、承租人或长期使用者）的法律地位，或者依据合法协议，有权要求数据持有者向次生市场的第三方服务商开放数据访问，从而打破原始制造商对售后及关联服务的数据垄断。我国《反不正当竞争法》和《反垄断法》在修法中也关注到了数据对于市场秩序和公平竞争的重要作用。2022年《反垄断法》在修改中新增第九条，规定经营者不得利用数据和算法、技术、资本优势以及平台规则等从事被禁止的垄断行为；新增第二十二条第二款，规定具有市场支配地位的经营者不得利用数据和算法、技术以及平台规则等从事滥用市场支配地位的行为。2025年《反不正当竞争法》在修订中明确规定网络不正当竞争专条，并新增数据及平台相关核心规则。
因此，不管是数据流通还是数据交易，要想让数据“动起来”，就要从数据持有的事实状态出发，通过数据访问打破数据持有的僵化状态。数据一旦被事实上控制，无论持有者之外的其他权利主体对其享有的是所有权、财产权还是使用权，都可以被持有者以技术措施隔绝访问，形成实际的排他性垄断。在这个意义上，数据访问权也在很大程度上承担着破除数据垄断和绝对控制、促进数据流通利用的功能。
综合而言，三种类型的数据访问权并非彼此独立，它们既有层级界分，亦有耦合统一。权利保障型数据访问权以个人信息自决与人格尊严为法理基础，赋予数据主体对抗数据异化现象、保障数据利益的防御性权利。监管协助型数据访问权以公共利益和公私合作治理为逻辑支点，为平衡私益与公益提供秩序规制基础。发展促进型数据访问权以数据要素市场化配置和公平竞争秩序为价值目标，从经济法理与分配正义的角度完成权利功能的积极转化。从三者的关系来看，权利保障型数据访问权构成了监管协助和发展促进的合法性阈值与伦理底线；监管协助型数据访问权是权利保障的系统性支撑，也是发展促进的结构性制衡；发展促进型数据访问权是权利保障的实质延展，也是监管协助的功能归宿。由此，三者共同构成综合性数据访问权体系的多维权利谱系。
四、数据访问权的权利特征与规范结构
权利的规范构造是法律规则的核心要素。数字时代激发了法律制度的深刻变革，新型权利构造也需要遵循时代发展要求而及时更迭和重塑。数据访问权在数字时代可以超越个人信息数据访问之狭窄范畴，在数据流通利用、激活创新应用等方面发挥出更重要的价值。对此，本部分将进一步阐释不同数据访问权的权利结构和运行机理，进而体系性构建其规范结构与内涵。
（一）数据访问权的一般特征及其界分
从概念属性上而言，数据访问是一个技术术语，并非法律概念，它指的是连接数据源并获取数据信息的行为或过程。对于数据访问权的概念有多种解读，有观点认为访问权是一项由国家立法的强制性受益权，有观点认为访问权是检索和存储的权利。数据访问权在范畴上应当适当宽泛，在核心概念上应当有所聚焦和界分：范畴宽泛是指，数据访问权不能被狭义地限定为个人数据查询权或强制性的数据访问权，而是包含了个人数据、公共数据、企业数据多数据形态的体系性权利，从而具有更加丰富的权能内涵；核心概念聚焦是指，数据访问权不宜过度拓展和延伸到获取、使用、转移数据等一系列继发的数据活动上，否则会使不同数据权利制度在功能效用上出现交叉重叠，而不利于各个制度发挥各自独特的效用价值。从这一角度出发，数据访问权可以被描述为，在约定或法定等具有合法事由的情形中，赋予权利主体接触数据持有者所控制之数据的权利。
在数据流通的视域下，综合性数据访问权既超越了对“数据产权”的功能依附，也实现了从防御性权利向赋能性权利的范式转变，从而形成了以“访问”为独立逻辑起点的权利交互结构，让数据要素重新复归广泛、开放、包容的数据流通生态。基于此，数据访问权具有以下权利特征：
一是主体明确。现有研究普遍认为，访问权（或公平访问权）是数据来源者权的组成部分之一。从主体角度来看，数据访问权的权利主体和义务主体是明确的：权利主体可以是自然人、企业等主体，只要具有约定或法定等合法事由，这些主体就有权访问特定范围的数据，不一定必须是数据来源者；义务主体是数据持有者，其负有允许他人访问数据的义务。
二是以数据持有状态为前提。数据访问权所对应的是数据的持有状态，而非数据所有权或数据使用权。只要主体基于技术手段对数据具有事实上的持有状态，具备控制数据及其流动的掌控力，那么无论该主体对于数据的持有是否具有正当权利或存在法定情形，都不影响数据访问权的成立和行使。
三是权利主体有行使权利的行为。数据访问权需要由权利人具体行使，即权利主体向数据持有者提出申请，而后进行访问，或是按照数据持有者预先设定的技术手段和程序要求自行访问数据，否则无法产生相应的法律效果。无论采取何种方式，权利主体都需要有行使数据访问权的行为。无访问即能获取数据的情况应当归属信息公开，而非数据访问权。
四是应当具有合法目的。数据访问权不是无限扩张、没有边界的，数据访问应当具有合法目的，并且不得影响数据持有者对被访问数据的正常使用，也不得损害数据持有者或其他主体的合法权益。
五是具有复合性特征。数据访问权既包含平等适用原则，也包含区别对待原则；既包含法定性、专有性权利，也包含相对性权利。例如在公共数据访问权的结构中，数据访问权对于开放共享的公共数据通常适用平等原则，为不同主体的访问提供相同的便利条件；而在企业数据访问中，数据访问权并不必然对所有访问主体都平等适用，也并不必然对所有义务主体都同等对待，而是根据企业数据和持有者的情况区别对待。例如，属于门径业务或具有门径属性的平台如果被认定为守门人，就需要承担额外的数据开放义务；又如，欧盟《数据法》规定，应当免除微型企业提供数据访问的义务。
数据访问权具有独立的功能价值，因此有必要将数据访问权与相近概念进行区分：一是数据访问权与个人信息查询权的区分。个人信息查询权（或个人数据查询权）是《个人信息保护法》第四十五条第一款和第二款所确立的个人在个人信息处理活动中所应享有的权利，其内涵是个人有权向个人信息处理者查阅其个人信息。数据访问权的范畴更加广泛，不仅包括个人数据，也包括公共数据和企业数据中的非个人数据部分，其目的在于促进海量数据的充分利用，发挥数据推动产业创新和市场竞争的要素作用。事实上，在诸如工业数据等产业链数据中，数据访问是产业数字化转型的重要基础，其中并不涉及个人数据查询权。
二是数据访问权与数据可携带权的区分。数据访问权和数据可携带权在许多文献中被混同讨论，这些研究认为个人数据可携带权在广义上属于数据访问权的一部分，例如，可携带权是指个人数据可携带权，而企业数据可携带权则为数据访问权所包含。但是，数据访问权和数据可携带权不能混为一谈，两者有着不同的制度侧重点。数据访问权是数据可携带权、数据共享、数据对接、委托处理等权利行使或处理活动的基础和起点，是第一性的权利。而数据可携带权的重点是由数据控制者提供结构化、通用化和机器可读的数据，并将这些数据转移给其他主体。数据可携带权在数据访问的基础上，还要求数据处理者承担后续的数据质量、数据标准、数据转移等一系列积极义务，是第二性的权利。
三是数据访问权与数据持有权的区分。数据访问并不必然带来数据获取，因此也并不必然会产生新的数据持有权。数据在被访问后是否有权被获取甚至被持有，这需要另行依据数据持有者与访问主体之间的协议约定或法律法规的特别规定进行判断。从权利结构来看，数据访问权作为一种动态、交互的介入性权利，本质上是施加于数据持有权上的一种法定负担与权利限制，即数据访问权主体基于法定或约定事由，可以穿透数据持有者对于数据的绝对控制，实现数据在访问权主体和持有权主体之间的分享与触达。但是数据访问权并不是剥夺持有者对于数据的排他性控制，两者更接近于财产法中归属与利用之间分离但并存的关系。数据访问权并不以占有为权利行使的直接目标，其核心在于交互而非转移或者获取，因此，数据访问权虽然是数据持有权的权利负担，但其实现同样受到数据持有权核心权能的约束和限制。
（二）公共数据访问权：“请求主体—公共数据持有者”结构
公共数据作为承载着多元法益的非排他性、非竞争性公共产品，应当在发挥数据价值和实现社会公共利益目标的同时，承担一定的促进性义务，其中就包括提供数据访问的义务。在规范构造上，公共数据访问权并未实质剥夺公共部门对于数据的持有权，而是通过赋予相对人以访问权，将公共数据的持有状态、流通利用活动、要素价值释放三者相互解绑。因此，公共数据访问权是典型的发展促进型数据访问权。
公共数据访问权的权利主体具有广泛性，自然人、企业等不同主体都可以申请访问公共数据。同时，公共数据访问以激活数据价值、鼓励数据再利用为目的，因此，公共数据访问权既可以为公共利益而行使，也可以为私益目的而行使，访问目的的的不同不应影响公共数据访问权的实现：为公共利益访问公共数据，通常包括以科学研究为目的、以宏观政策分析为目的、以公共决策为目的等具体场景；为私益目的访问公共数据，通常包括以企业经营决策为目的、以市场营销为目的等具体场景。但是，为了规范公共数据访问行为，公共数据持有者可以请求主体告知身份、明确访问的数据类型和范围等，并且针对特定的公共数据（如涉及特殊行业领域的公共数据）限定访问主体的范围和具体的访问方式。
公共数据访问权的权利结构区别于公共数据开放共享和公共数据授权运营：第一，公共数据访问权与公共数据开放共享同源而异构，二者既紧密关联又有所区别。在关联性上，开放共享指行政主体基于法定职责主动供给数据资源，它是实现公共数据访问权的方式之一，两者都旨在打破“数据孤岛”，提高公共数据资源的社会化利用率，实现数据红利的普惠共享。在差异性上，公共数据开放共享遵循“以开放为原则，不开放为例外”，本质上是行政主体基于职权履行法定义务的单向行为，其客体通常为经过脱敏处理的标准化通用数据集，它更加强调数据资源供给侧给公共服务属性和平等普惠性。这导致公共数据开放共享往往受制于行政目录等行政决策和裁量，在需求响应上存在一定的不确定性和被动性。相较而言，公共数据访问权属于更具主动性的请求权。权利人可以针对特定类型数据资源（包括原始数据或高敏感数据）提出访问请求。在制度构造上，公共数据访问权可以针对性地引入隐私计算、“数据可用不可见”等安全机制，并灵活采用接口调用、沙箱验算、物理归集等强受控式交互模式，从而构建起精准化、场景化、差异化的数据供给路径。基于此，公共数据访问权作为一种特定的流通通道，即便在无法进行物理开放或实质获取的场景中，依然能够独立实现数据的流转利用价值。
第二，公共数据访问权与授权运营分属两个制度维度。公共数据授权运营是集约化释放公共数据要素价值的重要方式之一。该模式通过赋予被授权人对特定高价值数据享有一定的获取、访问、开发、加工等权利，充分发挥市场机制在资源配置中的调节作用，从而推动公共数据配置效率达到最优状态。在权利构造上，公共数据访问权是基于公共利益之法益的请求权，而公共数据授权运营则带有鲜明的特许经营属性，指向一种排他性准物权，遵循市场化逻辑并以此作为收益激励。因此，公共数据授权运营是公共数据领域公私合作数据治理的典型代表，其本身就是建立在被授权人对被授权公共数据享有合法访问权的基础之上。
（三）企业数据访问权：“请求主体—企业数据持有者”结构
企业数据访问权具有较高的复合性，兼具了监管协助型数据访问权和发展促进型数据访问权等多种功能形态，并需要结合具体场景进行分析。
一是基于合意的企业数据访问权。基于合意的企业数据访问权是实践中较为常见的数据流通机制。例如在电子商务中，在消费者从购买商品到最终收到商品的过程中，电子商务平台、商户、快递企业等相关市场主体都能够访问相关数据，这些数据除了个人账号、收件地址等个人数据之外，还包括消费品类、销售数量等非个人数据，它们在不同主体之间基于合同进行流通共享。该类企业数据访问权的设立本质上是经营自由的市场行为。相较于为企业设定强制性的数据访问义务，立法者应当原则上尊重企业的数据访问策略，鼓励以契约自由和意思自治为基础约定数据访问权，不宜过度干涉企业基于数据的经营自主权。在此场景中，数据访问权是数据交易之外实现数据要素市场化配置的轻量式权利工具。
二是基于监管协助义务的企业数据访问权。伴随物联网的部署和应用，以企业为持有主体的社会数据将进一步涌现，与政府持有的政务数据一起共同构成数字时代社会经济生活的重要基础。对于企业而言，获取政府数据是提高经营决策效率、促进合规运营、推动政企协同治理的有效路径；对于政府而言，单一、封闭的数据源难以满足复杂多元的监管需求，获取企业数据是政府利用大数据、算法等新科技重塑监管，提高监管效能和科学性，实现智慧治理、敏捷治理、韧性治理的重要基础。基于监管协助义务的企业数据访问权需要建立公平、公开的规范程序，行政机关访问数据行为应有法律授权，遵循法无授权不可为。同时，法律应当明确行政机关之间、行政机关内部人员之间的数据访问权限，加强对相关方的个人信息、商业秘密等数据的保护。考虑到对企业核心商业信息的保护，企业相关运营策略和交易信息等数据，原则上不应被纳入此类数据访问权的范围。在此场景中，数据访问权成为监管部门公权力对企业数据持有权这一私权利的有限穿透，在不实质剥夺企业对数据持有利益的基础上，监管部门通过行使访问权达到公共治理的目的。
三是基于发展促进目的的企业数据访问权。基于发展促进目的的企业数据访问权往往与极端不平等的数据条件相关，数据优势可能来源于数据持有者的主体特点或市场地位，也可能来源于特定行业领域天然的信息不对称条件。第一种情形是数据持有者构成垄断地位或具备守门人地位。当数据构成市场竞争的关键因素时，法律需要对数据持有者的主体性质进行判定。具体而言，法律原则上不应当强制数据持有者向潜在的竞争对手提供数据访问。当企业构成垄断地位或具备守门人地位时，针对核心平台业务等相关的特定数据，企业需要承担提供数据访问的义务。借鉴欧盟《数字市场法》的规定，针对企业用户和终端用户提供或生成的数据，守门人应当向企业用户及其授权的第三方承担免费提供的义务，并且守门人应当为确保有效、高质量、持续、实时的数据访问提供技术保障措施，而不应在平台规则、算法、技术、流量分配等方面，对平台内第三方产品和服务提供者公平获取平台产生的数据等设置不合理的限制条件。第二种情形是存在数据条件严重不对称的特殊场景。对于部分特殊场景，企业对相关数据的掌控可能导致利益第三方无法通过其他可行途径获取业务必需的数据，在这种情况下，出于公平原则和平衡目的，法律应当赋予利益第三方对必需数据的访问权。例如，欧盟《数字市场法》针对数字广告领域，规定了针对广告主和发布者及其授权的第三方，守门人应当提供必要的数据和访问权限，使广告主和广告发布者能够获取需要的数据，从而能够对在线广告的效果和提供情况进行独立验证和测验，以此缓解平台和广告主、广告发布者之间存在的信息不对称程度。在此场景下，当企业基于事实持有数据所形成的绝对控制能力对数据流通形成实质性阻碍时，法律赋予相对人独立的数据访问权以摆脱数据产权的约束，矫正事实性数据垄断带来的市场失灵，在产权激励与要素流通之间重构利益衡平机制。
五、数据访问权的均衡约束与边界限制
权利法定化的过程，就是明确哪些利益获得法律认可和保护的过程。数据访问权的制度设计和体系构建应当充分权衡不同功能类型的数据访问权所承载的法益位序，坚持审慎平衡原则，设定数据访问权的边界和限制条件，从而避免因“一刀切”式地构建数据访问权而对数据持有者造成过度干预。
（一）数据访问权的均衡约束
数据访问权制度的本质是国家以法律的形式对数据这一生产要素的市场配置机制进行干预，是对数据持有者的行为归束，这实质上会对数据持有者的既有利益产生限制。因此，数据访问权的制度构建必须正视数据访问在促进数据流通利用与诱发数据安全风险之间所形成的内在张力，平衡好数据流通与数据权益，从而形成均衡的权利设计。
第一，数据访问权是否会带来数据安全风险。数据一旦被访问就可能出现失控风险，“在访问和安全之间存在一个真正的冲突”。伴随有权限访问、获取和利用数据的处理者不断增加，数据面临极不可控的安全风险，用户和数据处理者都无法预测和控制访问者是否会出现超越授权和合理期待的使用行为。事实上，Facebook与剑桥分析的隐私泄露门等事件都已经充分表明，大规模的数据共享利用将会大大增加数据泄露的可能和数据安全的风险，这是由数据非排他性、非竞争、可复制可转移等属性所决定的原生性的、直接的风险。虽然数据访问权是强化数据主体自决权的重要方式，但是完全意义上的数据自决也无法克减或阻断数据安全风险。因此，在部分高度风险的场景中，数据持有者需要通过法定或约定方式弱化数据访问权和用户自决权，以防范可能带来的安全威胁和漏洞等危害性后果。
第二，数据访问权是否会因“数据粘连”（Data Adhesion）而扩大数据持有者的责任范围。互联网时代万物互联，人和人之间、人与物之间、人与机构之间的信息粘连度较高，数据处理从收集开始就面临着是否会关涉其他第三方数据的问题。加之，人的行为具有社会性，诸如通讯录、电话往来、聊天记录等数据充斥着大量涉及其他主体的信息。数据粘连使告知同意规则在一定程度上出现失效，以及数据会因“此次”的同意行为而被数据处理者提供给第三方主体，或者因捆绑于他人的数据而事实上已被收集使用，这些风险在由数据访问所启动的数据共享、流转和二次利用中更加突出。即使数据处理者通过协议等方式明确访问主体在数据保护和保密方面的注意义务、违约后果以及双方在数据安全管理方面的责任分配，但是由于合同的相对性，数据处理者仍然面临就第三方主体的数据访问、获取、存储、使用情况向数据主体承担责任的可能性。
第三，数据访问权是否会影响企业经营自由和市场竞争秩序。企业基于经营自由立场的行为边界，天然是开放的、模糊的、不稳定的，甚至“变动不居的”，这也需要法律和政策给予企业充分的自由和“呼吸的空间”。数据是企业的重要资产，不同企业在数据访问上有权选择不同的开放策略，可以选择开源以鼓励更多数据合作和技术创新，也可以选择不开源以维系数据资源和市场的优势。过度扩张适用的数据访问权可能使中小企业（甚至是竞争者）无成本或低成本获取数据资源，从而产生“搭便车”效应；也可能直接打击企业基于数据所展开的经营互动和商业利益，降低其进行数据创新、开发和利用的积极性；甚至可能催生“寒蝉效应”，反而使中小企业在从大平台获取数据时面临更高的壁垒和成本。
（二）数据访问权的边界限制
基于不同法益均衡的考虑，数据访问权的权利建构和规范实现需受到以下要素的限制：
第一，法定情形或优先法益限制或排除适用数据访问权。对于存在法定情形或者优先法益（如国家安全、知识产权、商业秘密等）的场景，数据访问权需要被限制行使。例如，在知识产权的限制中，欧盟立法针对科学研究访问数据创设了文本与数据挖掘（TDM）例外规则，即对合法获取的作品或其他受版权保护的内容进行文本和数据挖掘时的复制与提取行为，被界定为版权的法定例外情形。但是，该例外规定并不是没有限制的，其适用仅限于具有非营利性与公益特质的科研机构。欧盟立法赋予科学研究等公益目的的文本数据利用以完全的侵权责任豁免，用来保障公共研究对数据的无障碍利用。如果文本数据的利用目的属于商业目的，那么该规则允许版权人事前提出反对以限制该类访问，即使允许访问也可以要求访问者证明其具有完备的数据安全保障能力。又如，在可能涉及商业秘密的企业数据访问场景中，即便数据访问本身不直接减损数据价值，但是考虑到数据与信息在物理形态与逻辑表达上高度融合、难以彻底剥离或简单分割，法律应当设定审慎的访问阻断机制。在现有技术条件下，单纯的“访问”往往难以与实质性的“获取”划定明确边界，也很难实现绝对的“仅有访问而无获取”。因此，当数据访问可能导致商业秘密的保密性受损时，数据持有者应当享有阻断或暂停访问的权利。也就是，在特殊情况下，当数据持有者能够证明其极有可能因商业秘密的数据信息被披露而遭受严重的、不可逆的损失时，数据持有者可以在个案申请中拒绝申请者访问特定数据。
第二，强制性数据访问权的适用场景应当受到严格限定。强制性数据访问权本质上是一种非对称义务，即对同一市场中具有不同市场力量的主体施以不同强度的规制约束，从而达到平衡主导企业、非主导企业、新进入企业、小企业之间竞争关系的目的，以促进公平竞争市场格局的形成。因此，一方面，立法应当限定强制性数据访问权的适用场景。对于数据持有者构成垄断地位或守门人地位的情形，立法分别根据反垄断法和守门人制度，针对特殊主体、特定业务服务、特定类型数据构建具体的强制性数据访问权，但这种数据访问权原则上不应包含企业的衍生数据和推理数据。另一方面，立法应当妥善平衡好大企业和小企业之间的关系，避免采取“无差别式”的数据访问规制路径。诚然，数据访问权承载着基本权利保护与数据流通促进等多重价值追求，但是其并不以追求片面的形式公平为旨归。当数据访问权上升为强制性法定义务时，立法必须秉持审慎原则和比例原则，并进行充分的合乎宪法规定的合理性论证。这要求立法者不能将公平和竞争（或效率）简单对立，也不能陷入“规模即不公”的简化逻辑误区。具体而言，立法者不仅要考量市场进入的公平性，还应评估强制性数据访问权对原始创新激励可能产生的减损，从而在比例原则的框架下精准寻获公平与效率的动态平衡点，实现制度效益的最大化。
第三，数据访问权的行使不能损害公共利益和他人的合法权益。数据访问权的行使应遵守合法和合理边界。例如GDPR第15条第4款规定，数据主体行使数据访问权时，其获得所涉副本的权利不得对他人的权利和自由产生不利影响，以避免权利被滥用。这在我国《网络数据安全管理条例》中也有类似体现。与此同时，公共利益亦不能无限扩张。部分研究提出应为公共利益创设数据访问权，在诸如电信运营商、网络交易平台、汽车制造商、社交媒体等场景中，政府或研究机构有权为公共利益和科学用途等目的访问企业数据。诚然，为公共利益等目的扩大企业数据访问权的边界，这能够大大提高数据流通共享和利用的范围与程度，对于城市规划、交通管理、环境保护等方面有着重要的意义和作用。但是公共利益的内部亦存在细分法益的位序差异，除了具有绝对优先性的国家安全等公共利益之外，如科学研究、公共决策等公共利益与企业经营自由之间在法益位序上并不存在绝对的优先关系。也就是说，公共利益固然是数据访问的合法目的要件之一，但并非所有的公共利益都足以为创设强制性的数据访问权提供充分的正当性基础。因此，企业数据原则上不应当基于一般性的公共利益而被强制访问。该类数据访问需求应当归属于数据公私合作范畴，依托契约化路径，通过数据合作合同等形式进行，以明确各方的权利义务。在制度激励层面，考虑到公平互利原则，立法可以鼓励通过合理的经济对价实现对数据持有者的成本补偿和利益回馈，从而激活数据供给动力。同时，针对企业数据的合作协议还应当明确不同主体在数据安全保障和个人信息保护方面的具体义务内容，建立起覆盖数据全生命周期的风险穿透机制与责任分担体系。
结语
近年来，无论是美欧还是我国都围绕数据制定了大量规范，希望通过细密、完善的规则体系为数据治理和执法活动提供扎实基础。这表明，我国数据领域基础制度体系事实上并非处于“无法可依”或“立法空白”的初期阶段，而是已经进入考验制度效用性和规则合理性的发展阶段。在数字时代，数据的价值自不待言，丰富的理论研究更为数据相关议题的讨论“添薪加火”。但是在各种数据权利“堆积叠加”的背后，数据访问权才是“个人基本权利保护、数字经济发展、数据收益共享之间达成适当平衡”的逻辑起点。脱离了线性的、绝对的权属迷思，我们就可以通过类型化的权利构造，构建具有丰富内涵的数据访问权体系。以此为基础，数据访问权将有效承载起权利保障、监管协助、发展促进的多元功能价值，成为驱动数据要素安全有序流转的核心机制。但是，这一权利体系的构建仅依靠《个人信息保护法》是无法完成的，而应当由“数字经济促进法”等以数字经济为新语境的促进型立法承担起统筹规定、系统解决的制度构建任务，从而形成能够广泛涵摄不同类型数据、不同持有者主体、不同业务场景的数据访问权体系。
凡本网站标明“来源：XXX（非吉林大学司法数据应用研究中心网）”的作品，均转载自其他媒体，转载的目的在于分享信息、助推学术交流，并不代表本网赞同其观点和对其真实性负责。若作者或版权人不愿被使用用，请联系本网，本网即予删除。
中心获批吉林省高校哲...
吉林省委常委、省委政...