数据资源入表法律合规问题探讨

马清泉律师2023年9月数据资源入表

法律合规问题探讨业务领域：网络安全与数据合规、投资并购与公司治理、争议解决与诉讼行业领域：信息和智能技术、物联网、

金融科技与创新、工业与智能制造主要业绩：全国首批国际EXINDPO（数据保护官）&ISO（信息安全官）双认证律师，曾参与起草《中小企业合规管理体系有效性评价》《数据合规管理体系要求》等标准，为诸多企业提供法律与合规支持，可以为客户提供“法律+技术”一站式解决方案，并荣膺2021年度ACE中国法律科技律师10强。职业资格：中国律师执业资格企业合规师资格认证国际EXINDPO&ISO双认证PDPF、PDPP、ISFS、ISMP等数据保护及BI工程师认证马清泉律师简介文康律师事务所网络安全与数据合规专委会主任青岛市律师协会企业合规专委会副主任maqingquan@CONTENTS01有关数据要素的背景介绍02会计处理信息披露的法律合规03数据资源的关键内容介绍04数据资源入表的未来探讨有关数据要素的背景介绍/01数据资源与数据资产的概念辨析5数据资源与数据资产是数据领域常见的两个名词，但针对数据资源与数据资产尚无较为统一的概念，基于《暂行规定》的发布，需对这两个概念进行辨析。在《信息技术服务数据资产管理要求》（GB/T40685-2021）中对“数据资产”的定义为：“合法拥有或者控制的，能进行计量的，为组织带来经济和社会价值的数据资源。”浙江省征求意见中的地方标准《数据资产确认工作指南（征求意见稿）》对“数据资产”的定义为：“会计主体过去的交易或事项形成的，由会计主体拥有或合法控制的，能够进行可靠计量的，预期会给会计主体带来经济利益或产生服务潜力的数据资源。”再结合《暂行规定》对适用范围的有关规定及整体内容，我们理解，符合相关会计处理要求的数据资源在纳入资产负债表后，将构成企业的数据资产。因此，综合前述文件中的相关定义，我们可以推断，数据资产的范畴应小于数据资源，数据资产属于一种符合某些要求和条件的数据资源。数据要素市场的关键词6数据要素：参与到社会生产经营活动，为使用者或所有者带来经济效益、以电子方式记录的数据资源。数据资产：合法拥有或者控制的，能进行计量的，为组织带来经济和社会价值的数据资源。数据权利：数据资源持有权、数据加工使用权、数据产品经营权及相关权利事项。数据登记：经数据相关权利人申请，数据登记机构依法将数据相关信息及权利在数据登记系统上予以记载和公示的行为。数据定价：依据数据质量、成本、应用评价结果，使用成本法、收益法和市场法对被评估数据进行量化估值。数据交易：数据交易是数据供方和需方之间以数据商品作为交易对象，进行的以货币或货币等价物交换数据商品的行为。数据商品包括用于交易的原始数据或加工处理后的数据衍生产品。数据运营：自然人、法人和非法人组织通过合法、正当的方式依法收集、使用、加工数据，形成安全、合规的数据产品和服务，供数据消费者使用，并从中依法获取收益。数据资源化：该阶段指将无序、混乱的原始数据开发为有序、有使用价值的数据资源的过程，包括数据采集、整理、分析等行为，最终形成可用、可信、标准的高质量数据资源。数据资产化：该阶段指基于既定的应用场景及商业目的，将数据资源进行一系列加工，形成可供企业部门应用或交易的数据产品。数据资产在该阶段拥有了场景赋能，预期可产生经济利益，形成数据交换价值。数据资本化：该阶段即数据资产化阶段发展后期，数据资产被进一步赋予金融属性。数据资本化主要有两种方式，即数据信贷融资与数据证券化。数据资本化是拓展数据价值的途径，其本质是实现数据要素的社会化配置。数据要素的发展背景72019年10月，党的十九届四中全会首次将数据纳入生产要素范畴，与土地、劳动、资本、技术等传统生产要素并列。2020年04月，中共中央、国务院印发《关于构建更加完善的要素市场化配置体制机制的意见》，正式把数据作为生产要素单独列出，提出要加快数据要素市场。2021年03月，十四五规划，明确要激活数据要素潜能，强调要建立健全数据要素市场规则，加快建立数据流通交易等基础制度和标准规范。2022年12月，党中央、国务院印发《关于构建数据基础制度更好发挥数据要素作用的意见》，提出要建立合规高效、场内外结合的数据要素流通和交易制度。2023年08月21日，财政部印发《企业数据资源相关会计处理暂行规定》，2024年1月1日施行。数据相关法律法规监管文件8国家层面2021年09月01日，《数据安全法》施行2021年11月01日，《个人信息保护法》施行行业监管层面2022年12月13日，工业和信息化部发布《工业和信息化领域数据安全管理办法（试行》2022年02月15日，修订版《网络安全审查办法》施行地方政府层面2022年01月01日，《深圳经济特区数据条例》施行2022年01月01日，《上海数据条例》施行数据相关法律法规监管文件9《网络安全法》《民法典》《数据安全法》《个人信息保护法》《网络安全审查办法》《数据出境安全评估办法》《个人信息出境标准合同办法》《信息安全技术人脸识别数据安全要求》《证券期货业网络安全管理办法》

《电力行业网络安全管理办法》《个人金融信息保护技术规范》《个人信用信息基础数据库管理暂行办法》《关于银行业保险业数字化转型的指导意见》《车联网信息服务数据安全技术要求》《汽车数据安全管理若干规定》会计处理信息披露的法律合规/02会计信息披露11根据《暂行规定》有关内容，企业应当按照相关企业会计准则及本规定等，在会计报表附注中对数据资源相关会计信息进行披露。一类是应当披露的信息，一类是自愿披露的信息。应当披露的信息12针对应当披露的信息，涉及确认为无形资产的数据资源与确认为存货的数据资源。关于数据资源，分别有外购的数据资源，自行加工的数据资源，以及其他方式取得的数据资源。企业应当披露所有权或使用权受到限制的数据资源存货，以及用于担保的数据资源存货的账面价值等情况。对此，企业需要在对数据资源披露时考虑其数据来源的合法性问题，数据取得应当是依法合规的。自愿披露的信息13关于自愿披露的信息，《暂行规定》采取列举加兜底的方式，规定了8项自愿披露信息：数据资源的应用场景或业务模式、对企业创造价值的影响方式，与数据资源应用场景相关的宏观经济和行业领域前景等。用于形成相关数据资源的原始数据的类型、规模、来源、权属、质量等信息。企业对数据资源的加工维护和安全保护情况，以及相关人才、关键技术等的持有和投入情况。数据资源的应用情况，包括数据资源相关产品或服务等的运营应用、作价出资、流通交易、服务计费方式等情况。重大交易事项中涉及的数据资源对该交易事项的影响及风险分析，重大交易事项包括但不限于企业的经营活动、投融资活动、质押融资、关联方及关联交易、承诺事项、或有事项、债务重组、资产置换等。数据资源相关权利的失效情况及失效事由、对企业的影响及风险分析等，如数据资源已确认为资产的，还包括相关资产的账面原值及累计摊销、减值准备或跌价准备、失效部分的会计处理。数据资源转让、许可或应用所涉及的地域限制、领域限制及法律法规限制等权利限制。企业认为有必要披露的其他数据资源相关信息。自愿披露信息：第一项14第一项披露的信息，是数据资源的应用场景或业务模式、对企业创造价值的影响方式，与数据资源应用场景相关的宏观经济和行业领域前景等。合规解读：关于该项信息披露，企业需要考虑在数据资源所属的应用场景或业务模式中，是否有关于数据方面的合规监管要求，比如金融行业、医疗行业等，均有明确的监管要求。企业应结合自身所有的数据资源进行合规评估。第一项披露的信息，是数据资源的应用场景或业务模式、对企业创造价值的影响方式，与数据资源应用场景相关的宏观经济和行业领域前景等。自愿披露信息：第二项15关于第二项披露的信息，是用于形成相关数据资源的原始数据的类型、规模、来源、权属、质量等信息。合规解读：对此，企业需要考虑原始数据的来源是否合法，权属是否清晰，质量是否合格，否则容易搬起石头打自己的脚。自愿披露信息：第三项16关于第三项披露的信息，是企业对数据资源的加工维护和安全保护情况，以及相关人才、关键技术等的持有和投入情况。合规解读：对此，企业需要判断数据资源所涉数据是否属于重要数据，是否需要采取网络安全等级保护，是否会被认定为关键信息基础设施等等。如有符合相关内容的，需要结合相关监管规定，采取符合要求的安全保护和技术投入，而非仅仅是普适性的安全保护与技术投入。自愿披露信息：第四项17关于第四项披露的信息，是数据资源的应用情况，包括数据资源相关产品或服务等的运营应用、作价出资、流通交易、服务计费方式等情况。合规解读：在数据资源的应用过程中，主要涉及数据产品是否合规，数据资源是否可以出售，如何出售，是否采取加密或脱敏，是否需要在出售前或出售时对相关数据主体进行告知，以及是阶段性数据服务，还是持续性数据服务等等。企业需要围绕前述问题对各个环节的数据资源应用开展合规评估工作。自愿披露信息：第五项18关于第五项的披露信息，是重大交易事项中涉及的数据资源对该交易事项的影响及风险分析，重大交易事项包括但不限于企业的经营活动、投融资活动、质押融资、关联方及关联交易、承诺事项、或有事项、债务重组、资产置换等。合规解读：当前，数据作为重要的生产要素之一，很多企业因为持有相关数据而获得较高的估值。因此，在对数字化产品，如APP或互联网平台进行收购时，或在对企业股权进行收购时，都会涉及数据资源的处理。特别是在一些投资并购场景中，数据资产将会作为一项重要的交易标的。因此，对于投资方而言，需要对标的企业的数据资产进行尽职调查，了解该企业所涉数据资源是否合法合规，否则收购后将会产生诸多法律风险。而对于被投资企业而言，需要保证自身数据资产的合规性，才能实现良好的估值，以及可持续的发展，促进交易的顺利进行。自愿披露信息：第六项19关于第六项的披露信息，是数据资源相关权利的失效情况及失效事由、对企业的影响及风险分析等。合规解读：数据资源作为一项资源，以及入表后作为一项资产，企业需要考虑该项资产是企业所独有，还是涉及其他所有者，是否面临数据资源相关权利的失效情形，比如数据共享协议的终止等。对于数据资源属性比较重的企业，需要提前做好规划，否则一旦数据资源失效，将会对企业经营与市场声誉产生负面影响。关于第六项的披露信息，是数据资源相关权利的失效情况及失效事由、对企业的影响及风险分析等。自愿披露信息：第七项20关于第七项的披露信息，是数据资源转让、许可或应用所涉及的地域限制、领域限制及法律法规限制等权利限制。合规解读：该项披露信息尤为涉及法律监管问题，一方面是需要注意数据资源的转让、许可或应用等三大环节，另一方面是需要注意地域限制、领域限制，以及法律法规限制等三大限制。具体而言，企业需要评估自身数据资源是否可以转让，是否可以对外许可或应用。若可以，则需要进一步考虑相关限制。比如，在地域限制方面，数据资源是否可以出境，是否符合出境的要求。在领域限制方面，是否属于金融数据，是否属于医疗数据，是否属于关系国家安全的重要数据等。在法律法规限制方面，有的数据是不被允许转让的，因此也会导致其数据资源不可以转让。自愿披露信息：第八项21关于第八项的披露信息，是企业认为有必要披露的其他数据资源相关信息。该项属于对企业自愿披露信息的兜底规定。合规解读：即使是企业自愿披露，也需要考虑是否符合法律规定。数据资源的关键内容介绍/03数据资源的确权问题23对于数据权属问题，目前尚无明确的法律规定，现有的政策法规主要是对数据确权做出方向性和框架上的指导。数据容易被复制和传播，侵权成本低，数据权益容易被侵权，如果没有相关规定，数据资产的确权和权益保护也会面临较大的挑战。从权利保护角度，数据确权是数据资源运营、开发和使用的有力保障，也是数据资源交易授权和流转的有效证明。数据资源的特殊性决定了确定数据权属时，不便采用类似于房产的绝对权利理念，数据权属的重点应是让价值创造者获得数据权益。因此，《关于构建数据基础制度更好发挥数据要素作用的意见》提出“探索数据产权结构性分置制度”。此处的“结构性分置”，要充分考虑数据的生产、流通等环节，厘清数据上不同利益主体间关系，从数据资源持有权、数据加工使用权、数据产品经营权等方面对数据资产的确权问题提供一个解决思路。数据资源的确权问题24数据确权是数据资产化的基础和交易流通的前提。从会计角度，明确权属才能使数据进入资产负债表；从法律角度，明确数据权属才能解决滥用、盗用等问题；从管理和使用的角度，明确数据权属才能更好地进行溯源。数据与传统实体物相比，存在可复制、易共享的特征，使得以排他性所有权为内核的物权难以使用在数据身上；同时数据往往由自然人和企业共创，是社会网络的共同产出，难以套用民法中绝对权的逻辑。根据《关于构建数据基础制度更好发挥数据要素作用的意见》，目前国内采取暂时搁置数据所有权的争议，提出“建立数据资源持有权、数据加工使用权、数据产品经营权等分置的产权运行机制”。数据资源的定价问题25数据资产入表会必然会带来数据资产的定价问题，目前深圳、上海等地也在支持构建数据资产定价指标体系。2022年6月8日，中国资产评估协会发布《数据资产评估指导意见（征求意见稿）》（“《指导意见》”）。《指导意见》在其2019年12月印发的《资产评估专家指引第9号——数据资产评估》基础上，进一步细化数据资产评估操作要求，明确数据资产评估过程中的各项考量因素。比如，《指导意见》规定，数据评估机构需要重点关注影响数据资产价值的质量因素、应用因素、成本因素和法律因素。其中，质量因素包括准确性、一致性、完整性、规范性、时效性、可访问性等；应用因素包括使用范围、应用场景、商业模式、市场前景、财务预测、供求关系以及应用风险等；成本因素包括直接成本和间接成本；法律因素包括法律法规、政策文件、行业监管等新发布或变更对数据资产价值产生的影响。企业在根据《暂缓规定》对数据资产入表时，可以参照《指导意见》内容对数据资产价值进行判断，为数据资产定价提供一个基础依据。数据资源的交易问题：交易途径&交易方式26数据资源的交易途径直接交易交易平台经纪人拍卖数据资源的交易方式数据包交付模式数据脱敏处理个人信息、商业信息、国家社会利益数据资源不可直接交易API模式网络安全隐患身份认证、未授权访问数据篡改、敏感数据泄露防火墙、白名单、加密传输通道数据托管模式遵循交易平台的使用规则数据资源的交易问题：交易主体27数据供应方确保目标数据来源合法且可交易确认双方的必要资质合理确定需求方使用数据的约束条件确保数据交付的安全合规数据需求方遵守交易合同约定数据用途、使用限制确认资质、合法来源数据交易平台合规监管职责目标数据来源交易双方身份数据