李谦

清华大学法学博士

“北京百度网讯科技公司与朱某隐私权纠纷案”是中国互联网cookie技术第一案，本文通过深入剖析案件事实和法律争点，特别是细致解读终审判决书，揭示本案所蕴藏的理论线索，即法院洞察并认可现有个人数据的商业实践，因此造成既有法律理论失败。

由此，将本案所折射的个人数据、人格和隐私的理论问题回置当前中国现实的数据商业实践之中，借助互联网“平台经济”的商业观察来重新思考、讨论相关理论与概念，借此指出目前法律理论的不足和缺陷，强调应该正视复杂的现实情况。

目次

一、百度隐私案的案情争点和理论线索

二、重思人格、隐私和数据的商业实践

三、重新界定商业实践的限度

四、结语：一个新的规制思路

本文原题为《人格、隐私与数据：商业实践及其限度：兼评中国cookie隐私权纠纷第一案》，首发于《中国法律评论》2017年第2期思想栏目（点此购刊），为阅读方便，略去脚注；限于篇幅，推送时略有删减，如需引用，请参阅原文。敬请关注！

2015年5月6日，南京市中级人民法院对“北京百度网讯科技公司（以下简称百度公司）与朱某隐私权纠纷案”（以下简称百度隐私案）作出终审判决，法院认定百度公司的个性化推荐行为不构成侵犯朱某的隐私权，即百度公司根据用户的网络行为个人数据（personal data)而实施的商业利用行为不构成侵犯用户的隐私权。终审判决一出，舆论哗然，通行于互联网的cookie技术曾饱受舆论批评。

为什么拥有强大道德优势的cookie批评舆论这次却没有赢得法院终审支持？此案引人瞩目，终审法院在同意一审认定事实无误的情况下，果断否定了一审判决，实现“逆转”，两级法院到底存在什么样的重大分歧呢？

百度隐私案的

案情争点和理论线索

（一）百度隐私案的案情与判决

原告朱某在家中和单位的电脑上通过互联网浏览相关网站，发现利用“百度搜索引擎”搜索某一'关键词后，会在特定网站上出现与关键词有关的广告。例如，朱某通过百度网站搜索“人工流产”等关键词后，再点击“4816”网站和“500看影视”网站，两个网站界面上会分别出现流产广告。

由此，原告朱某认为，百度公司未经其知情和选择，利用cookie技术记录并跟踪其搜索的关键词，将个人需求显露在相关网站上，并对其浏览的相关网页进行广告投放，这一行为侵害原告隐私权，令其感到精神紧张、恐惧，影响其正常生活和工作。据此，原告朱某向南京市鼓楼区人民法院起诉百度公司，请求判令被告立即停止侵害，赔偿精神损害抚慰金，并承担其他费用。

针对原告起诉，被告百度公司辩称，第一，cookie技术是通行于互联网产业界的中立技术，不存在所谓侵权，且收集的用户数据为碎片化信息，依据相关法律法规，并不是用户的个人信息和隐私。第二，百度网站首页上设置有《使用百度前必读》的链接，点击进入页面会看见“隐私权保护声明”的链接，该声明已经充分告知用户百度公司使用cookie技术的情况，并已说明停止使用的方式，因此，百度公司已经尽职履行相关说明和提醒义务。

以上事实是本案主要情状，一审和二审法院未有异议，然而各自的法律论证和最终判决却大相径庭，具体分歧有三：

第一，一审法院认为，用户上网的搜索关键词展现了个人上网的偏好，显示个人私生活情况，确属个人隐私；二审法院援引国家工信部《电信和互联网用户个人信息保护规定》（以下简称《个人信息规定》）认为，网络活动轨迹及上网偏好一旦与网络用户身份相分离，就无法确定数据归属主体，有数据匿名化的特征，不再属于个人信息范畴，因此其虽具有隐私属性，却在商业使用场景中实现了个人信息的匿名化。

第二，一审法院认为隐私权侵权行为不仅有公开、宣扬他人隐私的方式，也包括不当收集、利用他人隐私的方式，百度公司侵权当属后者；二审法院援引《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定（以下简称《规定》），认为《规定》中明确了“利用网络公开个人隐私和个人信息的行为”和“造成损害”为网络环境中侵犯隐私权的构成要件，百度公司的个性化推荐服务，其数据商业使用流程里关键词数据库检索及数据算法均在计算机系统内部操作，并未向第三方或公众展示及公开用户的cookie信息，因此不构成侵权。

第三，一审法院认为，百度公司网站首页上的《使用百度前必读》仅是“默示同意”，且其标识性不足，完全不足以保障用户的知情权和选择权，百度公司并未尽职履行相关说明、提醒义务；二审法院则参考国家推荐性标准《信息安全技术公共及商用服务信息系统个人信息保护指南》（GB/Z28828-2012)之规定，认为百度公司提供的隐私权保护声明及退出机制已臻完善，并援引该文件着重指出个人信息分为个人敏感信息和非个人敏感信息，个人敏感信息的收集应当“明示同意”，个人非敏感信息可“默示同意”，举重以明轻，百度公司利用网络技术所收集的信息只是匿名信息，其以“明示告知”和“默示同意”相结合的方式应是公允措施。

由此，一审法院判决百度公司行为构成侵犯隐私权，二审法院则推翻一审判决，终审判定百度公司的行为不构成侵犯原告朱某的隐私权。

(二）百度隐私案的法律争点：个人隐私和信息识别

1.个人隐私的迷思与实践

本案第一个关键的法律推理是百度公司利用cookie技术收集的用户数据是否是个人隐私信息？

何谓隐私？什么是隐私权？这不仅是一个中国法难以简单回答的问题，在比较法中，同样是一个令人产生迷思的问题。

隐私的界定总是因时而变、因地而变，它是一个历史形成而又现实变化的复杂概念，其理论与实践始终在难以自足自洽的困境中。

如丹尼尔•索洛夫（Daniel  Solove)教授批评所言，现有的隐私权理论总试图寻找隐私的完满定义，各种传统定义希望推理寻绎隐私事务的共同特征，但是，这种演绎性方法使得其所获得的各种隐私权理论要么含义过窄，要么含义过宽，在司法实践中只作为权衡取舍的参考。

现在，社会剧变和技术革新催生很多突破传统法律概念框架的新问题，进一步削弱了传统隐私权理论的适用性，以致索洛夫教授认为，社会演化至今，应该抛弃固求一种隐私权完满定义的传统方式，而是依循实用主义的方法，从实践、事实和具体情景中去理解隐私，把隐私权各种定义放到整个语境中具体研究，让概念接受实践的检验和塑造。

索洛夫教授这一颇具新意的隐私权视角，对于我们理解当前中国的隐私权纠纷不啻一剂良药。尽管当前我国的隐私权理论与实践研究相对贫瘠，但与其他大陆法系国家如德国、日本不同，中国现有通说认为，隐私权是一项与生命权、健康权、姓名权、肖像权、名誉权并列的具体人格权，这一相对特殊的权利安排使得隐私权脱离了一般人格权过于宽泛的定义框架，可能拥有一个稳定的概念边界。

同时，隐私事务在社会之中具有历史与现实的经验边界，概念与经验的两重边界的相对稳定，让我们面对新型隐私权纠纷时，更加专注于社会实践的具体环境和现实变化，而不是仅仅围绕隐私权的法律概念进行抽象思考。本文正是在这样的理论视角之下去审视百度隐私案的法律争议。

cookie技术是否合理正当并无定论，相较于一些果断认定cookie技术本身即违法的意见，一审法院和二审法院都秉承“技术中立”的立场，认为cookie技术本身并不违法，而取决于cookie技术所收集的数据信息是否具有合法性。如此，cookie技术收集的数据信息的性质考辨就成为本案法律论证的关键。

本案中，二审法院推翻一审判决的第一个理由就是百度公司利用cookie技术收集的用户网络行为数据不是隐私信息，其认定：百度公司在提供个性化推荐服务中运用网络技术收集、利用的是未能与网络用户个人身份对应识别的数据信息，该数据信息的匿名化特征不符合“个人信息”的可识别性，故尽管该数据具有隐私属性，但不具备个人可识别性，因此不是个人隐私。

为此，二审法院直接援引国家工信部《电信与互联网用户个人信息保护规定》中第4条规定佐证“关键搜索词”不是个人隐私信息。

针对二审法院的判断，有评论认为，一般而言，个人信息的范围大于隐私，因为个人信息还包含可公开、可利用的个人信息，而不仅仅只有隐私。但无论是个人信息还是隐私，其前提都应当是具有身份可识别性，脱离特定身份则不是个人信息，更不是隐私。因此某一信息如果被认定为隐私，也应当是个人信息。可是，二审法院在认可“搜索关键词”具有隐私属性的前提下，不认为其是个人信息，其论证逻辑令人费解。

那么，二审法院的这一判断是否合理？

首先，应该承认，由于互联网具有匿名化的技术特征，造成网络行为的隐私信息与日常行为的隐私信息在认知上确实有差别。在日常生活中，我们认知某一隐私信息，往往在获知相关信息时就已认定某一主体。在日常生活中，除非披露隐私的这句话是谎言，一般情况下，主体与隐私事务是互为一体的一条信息，主体与隐私信息之间的个人识别性问题被人的认知心理忽略。

然而，由于互联网的匿名化技术特征和网络身份虚拟化的网络社会特征，网络用户从事隐私事务时，我们能判别这一事务却不一定能识别这一个体，不然也就不会出现“实名制”网络身份规制要求和“人肉搜索”事件。要言之，某一网络用户实施某一网络行为，如果这一网络行为属于隐私事务，这一行为理应具有隐私属性，可是由于存在该网络用户匿名或虚拟身份的可能性，获知网络用户具有隐私属性的某一网络行为并不意味认定个人信息，两者之间存在能否识别、确认的问题。

其次，由上可知，cookie技术收集数据与网络身份之间的识别关系就成为是能否确定隐私事务与个体信息存在关联的关键。

所谓cookie技术，按照法院的理解，其主要是用于服务器和浏览器之间的信息交互，当浏览器访问服务器时，服务器在向浏览器返回HTTP对象的同时发送一条状态信息保存到浏览器里，这个状态信息即为cookie信息。

因此，服务器主要根据cookie数据来识别独立的浏览器，其效果是当网络用户电脑中有多个不同内核浏览器时，就会被服务器识别为多个独立访客；当多个网络用户在同一个电脑上适用同一个浏览器时，则会被识别为一个独立访客。这意味着，cookie数据锁定的对象主体是特定IP的浏览器。

此处，一审法院和二审法院发生了重大分歧，一审法院认为，原告在固定IP地址浏览器上使用特定词汇进行搜索，网络身份与隐私事务之间具有直接关联，可以认定此为原告的隐私信息。相反，二审法院则认为，固定IP地址只与浏览器之间具有直接关联，与使用浏览器的网络用户身份不存在直接关联，不能定向识别出使用该网络用户身份，因此其不是指向原告的隐私信息，而是指向浏览器具有隐私属性的网络匿名行为信息。

虽然这一认识并不是直接认定IP地址法律属性，更强调的是浏览器所关联的cookie搜索关键词数据仅仅是一种网络匿名行为信息。但是，这里隐含IP地址可能不是个人数据的判断，这恰好有别于其他。IP地址是否为个人数据信息在理论与实践中皆有争议，一般认为，动态IP地址不一定与特定个人相联系，但现在普遍的宽带上网均属静态IP，争议较大，世界各地法例并无确论。

可见，通过分析cookie数据、浏览器、IP地址三者之间的关系，二审法院将法律推理链条重新排定，认为IP地址一浏览器使用一cookie数据三者的相互关系，可清晰说明仅凭cookie数据“搜索关键词”是不能直接关联到网络用户，何况百度公司对此cookie数据的商业利用还存在匿名化、非公开的技术特征。

实际上，法院的法律推理在此发生了变化，从“某事是否是隐私信息”的日常隐私判断转向了“某隐私数据是否具有个人数据识别性特征”的网络隐私判断，尽管夹杂法院对于隐私和个人信息不加区分的认知混乱，却是法院正视网络行为复杂性的重要表现。

另外，笔者认为本案还有两个相对特殊的网络身份识别情状应予以说明。

第一，普通网站都需要注册网络账号（account)，以账号来建构网络身份，搜索类网站虽有账号注册，但出于考虑用户体验和使用习惯，网络用户一般不必使用网络账号即可使用搜索服务，本案中也没有发现原告存在注册账号的相关事实。

第二，原告在诉请事实中称“在家中和单位的网络上网浏览相关网站”，尽管按照隐私空间的一般理解，网络个人终端如个人电脑、手机属于个人隐私空间，但是办公室场所的工作单位电脑是否属于个人隐私空间，却有一定争议；同样，工作单位办公室电脑上的浏览器cookie数据是否指向特定用户也存在争议。

可以说，二审法院将本案的隐私辨析问题正确地引向网络数据的识别性（identifiable)，这恰恰是网络隐私与日常隐私的重要差别。cookie技术收集数据的识别性程度由此成为本案的真正争点，其不仅决定信息数据的法律性质，还决定百度公司履行相关告知、提醒义务的具体措施是否合理。

2.信息识别：直接识别与间接识别的困惑

个人信息识别（Personally Identifying Infor­mation，PII)是美国个人数据保护法律的一个常用法律术语，其内涵所强调的个人信息之识别说(identify)，也是各国个人数据立法例中定义何谓个人数据的基本观点，不过，内涵边界上又各有差别，美国法上相对狭窄，欧盟法上相对宽泛。我国《网络安全法》关于公民个人信息的定义判断同样采用识别说。

本案中二审法院所援引的国家工信部《个人信息规定》第4条的个人信息定义也是识别说。学理上，识别说的具体标准可以分为直接识别和间接识别，所谓直接识别，即仅仅依据数据信息本身即联系到具体个人，如肖像、姓名、身份证号码、社会保险号码等；所谓间接识别，即根据某一数据，再加上其他数据或者知识，才可将数据联系到具体个人，如性别、爱好、兴趣、习惯等。

直接识别与间接识别似乎是较易分辨的法律概念，事实上，随着技术与社会实践的发展，这两个概念的发展走上了不同的道路。直接识别相对简单，它高度依赖于国家认证能力或权威认证能力，由权威认证的事实与具体个人之间的关系往往被视为更紧密，比如身份证号之类具有公文书性质的事实，比如被目前科学标准所认证的人的生物特征，如DNA；显然，这样的事实相对较少，几乎可枚举囊括。

反之，间接识别则在两个极端中来回摆荡，首先，间接识别标准的内涵并不明确，所谓不能够直接联系到具体个人的识别方式就是间接识别，这“口袋条款式”的解释似乎告诉我们只要不是直接识别就是间接识别。其次，间接识别的外延变得漫无边际，很难在概念范畴内清楚界定某一事实信息是否为可间接识别具体个人的信息，而是高度取决于技术手段和具体情景。

识别标准的复杂性反映在网络行为上，即是间接识别与网络匿名的关系。保罗•欧姆（Paul Ohm)教授对美国的互联网个人数据识别与网络匿名现状展开个案研究，其中既有直接识别标准中的公文书证件号、性别的匿名识别，也包括兴趣爱好、消费信息等间接识别标准中的匿名识别，结果发现各种网络匿名形式面临数据整合、挖掘技术时均告失败，具体个人都在散乱的网络数据中被识别出来。

基于此，欧姆教授甚至认为“个人信息识别”是一个失败的法律概念，在概念上无法自足，在经验上无法成立，应该果断放弃它来作为网络隐私的核心概念。不过，尽管“个人信息识别”这一概念有缺点，但是目前的各国个人数据法律及其理论大都奠基其上而生成构造，贸然废弃，无论现有的法律规范抑或与之争鸣的理论都难以接受。要言之，间接识别与网络匿名之间关系，概念上无法准确界定，需在具体实践中充分考虑情景条件而判断认定。

故此，仅仅依凭目前信息识别说相对简单的文义解释，很难准确判断网络匿名与个人数据识别的现实关系，在理论上将陷入所谓欧盟法上“扩张论”和美国法上“还原论”的两难选择中。可想而知，当本案二审法院正确地将争点问题从个人隐私引向个人网络信息识别时，相比隐私权庞杂理论带来的理论过剩问题，信息识别说则带来了理论孱弱问题。

二审法院是如何解决这一问题的呢？

首先，二审法院通过援引权威部门规章《个人信息规定》之第4条，表明认同信息识别说。然后，二审法院参详《个人信息规定》第4条之文义给出一个关于信息识别的判决见解。

二审法院认为，第一，搜索关键词具有隐私属性，但这种网络活动轨迹及上网偏好一旦与网络用户身份相分离，便无法确定信息归属主体，因此搜索关键词不是个人信息范畴。此处，二审法院间接说明了其所理解的个人信息识别理论，即通过反义解释可得知，与网络用户身份相分离的信息，如能确定信息归属主体，才是个人信息。

如前所知，能够以某一信息而直接判定信息归属主体的信息识别方式一般都是直接识别，申言之，二审法院认为能够直接识别的信息数据才是目前现行法律规章中所确定的信息识别说所意涵的个人信息。

第二，百度公司的数据收集和利用等技术行为与个人信息识别并无关联，因为在具体实践过程中，搜索关键词与个人信息识别之间不存在相互关联的技术行为及特征，百度公司只是针对特定搜索关键词进行个性化推荐服务，根本没有必要将搜索关键词与某一个人的主体身份信息联系起来。换言之，此技术与商业过程中，根本不存在个人信息识别这回事，自然也没有所谓个人数据侵权行为。

以上见解是二审判决的基本要点，第一个见解持直接识别说，认定搜索关键词并非个人信息数据，遑论隐私；第二个见解具体分析百度公司技术与商业行为的实践，认为无涉信息识别，判定并无侵权行为。

二审法院的第一个见解援引《个人信息规定》之第4条：本规定所称用户个人信息，是指电信业务经营者和互联网信息服务提供者在提供服务的过程中收集的用户姓名、出生日期、身份证件号码、住址、电话号码、账号和密码等能够单独或者与其他信息结合识别用户的信息以及用户使用服务的时间、地点等信息。可是，二审法院并未在判决中直接说明这一条款的参考意义，结合其判决后文的理由，只能推理出二审法院认为这一条款的信息识别说只是直接识别。

显然，这一理解与条文文义存在距离——“能够单独或者与其他信息结合识别用户的信息以及用户使用服务的时间、地点等信息”，这一表述有两个地方在清晰地阐述间接识别说的要义。

第一，“与其他信息结合识别用户的信息”这正是标准的间接识别说表述，《网络安全法》同样采用类似表述来涵盖间接识别说；第二，如果说前表述是间接识别说的内涵定义，“用户使用服务的时间、地点等信息”则是毫无疑义的间接识别信息的列举。因此，法院判定只有直接识别的信息才是个人信息数据，这是背离条文文义和学理通说的理解，其后又未合理阐释，这是本案判决的一个重大瑕疵。

二审法院明确拒绝了间接识别说。但是，它的第二个见解却又某种程度上回应了间接识别可能性问题。法院经调查，结合cookie技术特点与百度公司cookie数据商业利用的封闭性特征，认为搜索关键词与个人信息识别之间不存在相互关联的技术行为及特征，百度公司只是针对特定搜索关键词进行个性化推荐服务，根本没有必要将搜索关键词与某一个人的主体身份信息联系起来。

在笔者看来，此调查结果正是在探讨搜索关键词与个人信息主体之间是否存在间接识别的可能性，这一结果正确与否或有商榷余地，但法院勇于在新兴技术和商业实践的具体情景下探讨信息识别，并给出自己的判断，相较于第一个见解的武断认定，无疑值得肯定。因为从本案具体事实和间接识别说理论争议来看，cookie技术所收集的搜索关键词能否以间接识别的方式准确地关联到原告主体，这个问题正是串联起信息识别一个人信息一个人隐私的脊梁。

不无遗憾的是，法院在此论述过于简略，而且通观判决，法院主要还是以搜索关键词的定性判断为主，最终选择直接识别说为个人信息识别的唯一内涵定谳本案，这影响本案判决的说理正当。

简言之，二审法院作出的理论选择和实践理解含有复杂面向。一方面，围绕搜索关键词的定性判断，法院武断选择直接识别说，搜索关键词连个人信息都不是，自然更谈不上个人隐私；另一方面，法院观察cookie的技术特点、搜索关键词的商业利用场景和百度公司广告平台商业关系，间接而隐晦地讨论了搜索关键词网络匿名性与间接识别的关系。由此，从定性判断和过程分析两个方面，法院都给出了自己的意见，本案尘埃落定。

（三）法院判决背后的理论线索

本案二审判决在舆论上两极分化，责之者认为终审判决显失公平，完全无视个人数据信息的重要性，公民基本权利保护落空；赞之者认为判决梳理得当，妥善认定了商业利用与个人权利之间的法律关系，在合理保护个人信息安全的基础上，有利于互联网产业的发展。

本文认为，依据法院认定的本案事实，在目前的法律规范基础之下，本案的终审判决是一份有瑕疵却又勉强正确的判决。笔者还认为，毁誉双方都误解了本案的真实含义，二审法院判决中所认定只是cookie技术所收集的搜索关键词数据不是个人隐私信息，并非认定cookie技术本身的合法性，也不是认定利用cookie技术收集其他数据就是合法的。

申言之，在目前法律规范之下，法院判决所造成的未来预期应该是，cookie技术收集数据的合法性取决于具体数据的性质辨析。这是一个相对审慎的认识，同时亦是一个高度后果主义和基于具体实践的认识。

但是，还有更关键的理论线索隐藏在法院判决之后，通观二审判决主旨要义，除了主要论证隐私与个人信息的识别理据之外，法院还描述并论证了百度公司cookie数据收集的提醒义务模式、cookie数据的具体收集、cookie数据的商业使用和cookie数据商业使用的具体效果。换言之，法院间接地、简约地描述并论证了百度公司所塑造的数据商业模式流程及其正当性。

二审法院认为，百度公司在cookie收集数据时所履行的提醒义务模式是基于匿名信息的“明示告知和默示通行相结合的方式”，因此“不违反国家对信息行业个人信息保护的公共政策导向，未侵犯网络用户的选择权和知情权”；

cookie数据收集所针对的是“公司在提供个性化推荐服务中运用网络技术收集、利用的是未能与网络用户个人身份对应识别的数据信息，该数据信息的匿名化特征不符合‘个人信息’的可识别性要求”；

cookie数据的商业使用主要是个性化推荐服务，此服务“百度网站只是向联盟合作网站提供一个特定的代码，联盟合作网站将这个代码投放到自己的网页中”，故此“通过百度联盟合作网站提供个性化推荐服务，其检索关键词海量数据库以及大数据算法均在计算机系统内部操作，并未直接将百度网讯公司因提供搜索引擎服务而产生的海量数据库和cookie信息向第三方或公众展示，没有任何的公开行为”；

利用cookie数据的“个性化推荐服务客观上存在帮助网络用户过滤海量的便捷功能，网络用户在免费享受该服务便利的同时，亦应对个性化推荐服务的不便性持有一定的宽容度”，而且“推荐服务只发生在服务器与特定浏览器之间，没有对外公开宣扬特定网络用户的网络活动轨迹及上网偏好，也没有强制网络用户必须接受个性化推荐服务，而是提供了相应的退出机制，没有对网络用户的生活安宁产生实质性损害。”

因此，二审法院高度肯定并认可这一数据商业模式，实现“妥善处理好民事权益保护与信息自由利用之间的关系，既规范互联网秩序又保障互联网发展。”

二审判决的内在理路包含两个层面，彼此奥援，第一层面从法律规范基础出发，辨析隐私与个人信息的概念内涵，最终二审法院选择了个人信息认定的直接识别标准，从而奠定本案的方向基准一尽管以“用户同意收集数据”和“数据并未向第三方或公众展示”也能论证百度公司不构成侵犯隐私权。

但法院显然不想走这样的“弯路”——与此呼应，第二层面从经验观察出发，描述并论证当前的数据商业模式及其正当性，将cookie收集数据所反映的隐私与个人信息权利的单一问题嵌入一个以数据为节点的复合商业关系中，这个复合商业关系具有内在有机性，动态演化而相互嵌套，是由种种数据技术、合同权利、个人权利和网络行为惯习耦合拼接组成的。法院不仅清晰地意识到它的存在，而且还可能意识这一数据商业实践相比过去的数据商业实践，已经有了质的变化。

数据技术和商业模式及其法律正当性，这才是隐藏在判决背后的理论问题，对于整个数据技术及其商业模式的洞察才促使法院最终作出cookie收集数据“搜索关键词”并非个人数据信息的判断，回到线索原点，应该同样经验地分析数据技术及其商业模式。

重思人格、

隐私和数据的商业实践

与人格与隐私的商业利用相比，数据的商业实践要年轻得多，早期，其实践主要以数据收集、创建数据库、销售数据库和数据库营销为主，互联网融入社会后，人的思想与行为的数据化成为数据商业实践摸索试错的方向路径，人格与数据的商业实践相应地融合起来，新的商业模式内含新的社会意涵。

第一，过去的人格商业实践及其法律构造其实暗含特殊主体才享有人格商业利益的现实逻辑，即特殊主体的特权，而互联网时代的数据商业实践恰恰反其道而行，芸芸网民普罗大众的人格数据才是重点，具有更大的商业价值和社会意义。

第二，人格之上两种利益开始相互缠绕而彼此干扰，经济利益与尊严利益的截然划分原本就是法律拟制，但是，目前两者相互干扰、冲突。可以说，新兴的数据商业实践及其所意欲塑造、支配的法律构造，并非一个简单现象，而是一个必须回置广阔社会场域的复杂现象。

(一)数据商业1.0:货物与服务的交替

借用韦伯所言的理想型（ideal types)研究范式，数据的商业实践可暂以互联网兴起为时间节点，划分为两种不同理想型的商业实践形态，即以货物贸易与服务贸易的交替并存为特征的传统数据商业形态1.0，而新兴数据商业形态2.0则表现为筑基在互联网之上的平台经济，基本特征为货物贸易与服务贸易的交融并存，这两种理想类型并非替代关系，而是共生演化。

抽绎出数据商业实践的基本要素，其仍然是商业形态的两大要素即货物与服务。但是，数据是一种特殊的商品，与知识产权商品如版权作品、专利方案极为相似，是实质为抽象物、表现为无体物形态的特殊物品。

最典型的数据商业1.0实践形态就是基于个人数据的数据库营销，其基本商业模式为：“企业收集和积累消费者的大量信息，并将这些信息处理后预测消费者有多大可能去购买某种产品，以及利用这些信息给产品精确定位，有针对性地制作营销信息，以达到说明消费者购买产品的目的”'如传统直销行业。这一定义实质涵盖数据商业1.0和2.0两种形态中的数据库营销，但由于不同的技术手段和商业关系，其内在意涵其实不一样。

首先，数据商业1.0中商业行为只是具有单边关系的商业行为，数据商主动收集个人数据、主动利用政府人口数据或其他权威数据，包括最后数据库营销过程，其与个人数据主体之间一般来说不存在某种先前关系或者连带关系，个人数据主体往往是被动吸纳进商业流程而摒弃在商业运作行为之外。

在中国，最为常见的就是数据库营销者利用收购个人电话号码数据库，以垃圾短信或推销电话的形式直接进行一对一精确营销。这种数据商业模式的商业关系相对单一，主要是数据商通过自己的单边行动收集数据并利用数据，商业利用数据的具体形式取决于特定行业的应用场景，有时候是货物交易形式，比如电信公司出售电话号码数据库；有时候则是服务贸易形式，如以外包形式服务于直销公司的数据库建设。

当然，这只是一种理想型的描述，实际的商业实践常常是货物与服务交替混合，同时，数据商业的单边行动有时只是某种主要行为的副产品，如通过产品售后服务收集数据再利用此数据。但是，数据商业价值的日渐吃重，数据虽为副产品，但收集数据的单边行动日益成为强烈动机驱动的自主行为。

其次，数据1.0商业行为往往具有程度不一的公开性。

所谓公开性，第一，货物与服务都发生在两个或数个商业主体之间，从信息流通的特殊性质来说，数据交易与其他商品交易最大的区别是，交易完成并不是交易标的物的物理移转，更普遍是数据使用许可的交易形态。换言之，实质上，交易双方共同享有数据的信息内容。随着交易增多，数据流通扩大，数据使用公开性逐渐增强。显然，在自由贸易的情景下，数据商业1.0潜在的公开性最终会造成数据信息内容保护非常困难。典型个案即是个人电话号码数据库的反复销售，使得个人电话号码数据库逐渐蔓延。

第二，由于信息的特殊性质，披露即流通，获知即占有，个人主体与个人隐私在日常的认知过程中相互一体，数据商业1.0形态很难既保证精准营销，又保障数据个人主体是匿名状态，反之，互联网环境中的数据商业2.0形态则以网络匿名与信息识别为特点。这意味着，由于现实局限，哪怕正当的个人数据商业利用，也以信息公开或者隐私暴露为代价获取商业利益。

对于这种代价所具有的潜在危害，现有的法律规制并非视而不见，以现代直销行业为例，针对所谓骚扰性直销，世界各国均有相应法律规制，我国2005年出台的《直销管理条例》亦有规定，这些规定大多谨慎斟酌数据商的营销技术手段（电话、短信还是上门）、自己业务还是其他业务和客户同意类型（积极同意或消极同意）等商业具体细节行为，以此判断商业价值与个人信息披露之间利弊。

可以说，某种程度的单边性和公开性总是贯穿在数据商业1.0形态中。

数据商业1.0形态的特性对于法律有何意义？简言之，单边性和公开性使得个人隐私和个人信息的法律构造更多地倾向于个人权利建构和侵权关系，而非合同权利建构和保密信托关系。因为商业活动的单边性和公开性使其具体活动不会受制于可能存在的与信息主体有关的任何连带关系，因此，能保证信息主体诉请救济的手段只有以立法形式建构个人权利，确立主体对其个人信息的具体权利。

进一步说，商业活动的单边性和公开性逐渐消解了某种具有信任保密氛围的社会关系，以往个人信息与个人隐私只处于这种信托保密的社会关系，此在先关系能够抗辩商家辛勤收集个人信息而产生的劳动所有权，但如果信任保密关系已经缺失，只有靠法律拟制个人权利进行补救。

从这一视角出发，争辩已久的所谓英美法系中英国隐私权法与美国隐私权法的巨大差异也可以得到部分理解，一般认为，英国传统隐私权法是一种有别于美国隐私权法的保密信任责任法，司法裁判注重某种负有保密信托义务的社会关系建构和溯源，而非主要关切信息的个人权利基础。

美国隐私权法则以独处权为核心，强调个人的独立性以及抵御侵犯者的能力，具有强烈的个人主义色彩，更强调个人权利建构。历史演化中偶然事件与路径依赖不断摆荡，在先的英国隐私权法体系可以通过不断解释何谓保密信任关系而应对日益繁复的商业实践，而美国隐私权法作为后来者则大刀阔斧地建构个人权利来抵制侵害并规制商业，甚至最终形成人格的商品化权来促进商业。

数据商业1.0引导的个人权利建构路径并非数据法律构造的终极选择，除了现存的依然高度发达的英国隐私权法体系之外，重新唤醒重视隐私与个人数据信息的社会关系建构的，恰恰又是商业实践，即数据商业2.0平台经济。

(二）数据商业2.0:平台经济中货物与服务的交融

严格来说，平台（platform)经济是一种有待观察的经济商业现象，而不是一个明确内涵和清晰边界的经济学概念。经验地看，所谓平台，是指一种现实或虚拟空间，该空间可以导致或者促成双方或多方客户之间的交易。

从现象上观察，平台经济与信息产业的某些经济效应有非常密切的关系，或者说，平台经济的主要构成要素之一即网络外部性（network externality)、锁定（lock-in)效应之类信息产业的经济效应。

数据作为一种信息商品，其与平台经济现象具有亲缘关系，在数据商业1.0形态下的金融业个人征信服务本质就是寄生于银行等金融平台上的数据服务交易。个人征信个案可以窥见平台经济中数据商业形态特殊性：收集、利用数据等商业实践是一个庞大平台商业流程中的一个环节，寄生于某一在先的商业关系或者社会关系之中，其受制于商业平台的整体逻辑，又反制于商业平台的整体逻辑。

数据的平台经济现象在互联网中如何体现呢？在网络购物中，用户必须提供充分的个人信息数据才能顺利完成电子交易流程。这些个人信息数据大致包括三个方面：

一是具有主体身份意义的个人数据，如网络实名制下的个人真实信息、银行卡账号、个人收货地址和个人通信号码；

二是由于网络技术架构所设定的必须提供给服务器的客户端电脑信息数据，如互联网IP地址和电脑配置信息（硬件、操作系统和浏览器）；

三是网站出于不同目的所收集的互联网用户网络行为数据，如用户在某个特定网站上的所有行为（如浏览、点击）都可以被详细地跟踪记录而应用于某种网络服务，如电商网站收集网页浏览行为数据提供商品推荐服务，社交网站收集用户行为数据而提供更便捷化的社交服务，目前通行的网络行为记录技术即是争议极大的cookie技术。

可以说，互联网数据一开始就是基于用户与服务商之间的技术及商业互动而产生的，双方之间彼此在先建立的社会关系（商业关系或免费服务）是数据存续的前提，没有数据，则无法完成互联网服务。

数据商业2.0形态深入、细致地重新塑造商业行为及其法律意涵。

首先，1.0形态中数据商业行为的单边性与公开性等显著特征在数据2.0商业形态中逐渐淡化，互联网用户与网络服务商的双边互动过程替代了传统数据服务商主动的、单边性的数据收集行为。在互联网服务的互动过程中，尽管用户不一定确切知道自身数据受到监控，但是用户一定认识到自己接受的网络服务与互联网服务商之间存在某种关系——免费服务更能激起人们获得利益的敏锐感受——这是直觉，而对这一直觉的正式确认就是每一家互联网服务公司都精益求精所设计的免费网络服务协议合同。

同时，双方商业关系不再是简单的、一次性的商品交换或服务交易，直接榨取数据的交易利润成为一种粗暴而失之远见的商业行为。反之，互联网公司将数据视为商业经营、产品创新和技术突破的肥沃土壤，数据成为了资本。与此呼应，在互联网技术层面，数据成为网络与信息安全的核心指标，必须严格保护。

商业秘密、技术秘密和隐私秘密三重属性叠加在互联网数据之上，使得数据的商业利用具有极强的封闭性特征。双边互动与封闭运营使得数据2.0商业形态呈现为一种数据黑洞式的商业闭环，网络服务和用户数据相互锁定，形成正向反馈，满足用户已有的消费需求，塑造用户潜在的消费需求，用户则因数据而生于斯（用户注册）、死于斯（用户注销）。

商业实践的深刻变化冲击了既有以人格和隐私权利处理数据的法律逻辑，一是隐私与数据的概念内涵剧烈变化，人格的非财产性和隐私的非公开性无法圆融自洽地论证个人数据的公开商业利用行为，数据权利不能简单地涵射为人格或隐私权利，财产性与人格性、公开性与隐私性两相叠加的混合状态使很多学者明确认识到数据权利应该突破以往的法律权利框架。

二是以往美国式隐私权建构的个人主义思路在实践中遇到了严重障碍，数据的隐私权利侵害不再简约为相对简单的人身侵权，而是成为与复杂商业关系相缠绕的合同纠纷。

互联网服务合同之“同意授权”，在实践中成功地吸纳了隐私侵害行为，社会关系真实地重回到个人隐私的观念与实践中，如何正确地看待、处理这一在先的合同协约关系，在实践中的重要性已然超越了简单的个人数据权利法律赋权。

其次，互联网平台经济的商业实践突破了私法的权利框架，平台与用户、第三方等其他主体在商业演化中产生了类似于公法框架的权力一权利博弈态势，其中尤为关键的是，互联网平台方的平台私有权利异化衍生出的公共权力。平台异化公共权力的现象并不鲜见，互联网治理中很多复杂问题都与此相关，例如，博客、微博、微信公众号等互联网信息平台与言论自由规制的问题、互联网电子商务平台上的主体间商业纠纷的替代性纠纷解决机制问题、利用电子商务平台侵犯知识产权、人身权利和平台监管责任问题等。

具体到微观的数据问题，互联网平台与用户数据安全、数据使用等问题之中同样隐藏着平台异化公共权力的基本问题。平台数据既已被基于服务合同的数据信托关系、人格隐私权利和平台方公共权力重叠覆盖，无疑，这也超越了英国式的基于社会关系信赖保护而以信托责任处理隐私权利的法律框架。

综上所述，两种不同机理类型的数据商业模式形态产生了迥然不同的法律意涵，既有法律体系作为商业模式正常运行的约束条件也深深嵌入商业模式演化的进程。在这双向互动而彼此拉锯的实践中包含大量具体而微的判断和选择，而首当其冲的即是正视数据2.0商业形态的运行逻辑和正当性。

本文百度隐私案中二审法院通过细致的实践考察，认识到百度公司作为互联网平台管理、利用个人数据的特殊性和复杂性，亦认识到互联网网络服务合同协议作为在先关系对于个人数据权利的可能约束，最终，二审法院选择了认同这一商业模式的正当性，才在一系列的法律推理中选择偏向于互联网平台。

重新界定商业实践的限度

数据1.0商业形态是对抽象物财产权的一次历史突破，人格与抽象物财产权的关系主体由“浪漫作者观”所维系的特殊主体作者蔓延至普通大众。但是，普通大众并没有因此而建构出有效对抗数据商业的个人权利体系，某种程度来说，数据的人格隐私利益遮蔽了数据的财产利益。

与此同时，传统信赖关系保护下的隐私活动受到单边的、公开的数据商业行为侵扰，为了加以反制，界定商业实践的限度，以权利对抗权利，隐私权利的个人主义权利建构才蔚然风行。

与数据1.0商业相比，数据2.0商业具有更加复杂的实践形态和利益交错，如何对其实施正当、有效的合理规制已经成为互联网治理中的核心问题，不过，“原子世界”产生的某些法律理论在“比特世界”中明显水土不服，本文百度隐私案可窥一斑。为了克服疑难，我们应该从简单袭用既有法律理论转而观察具体实践和总结真实经验，从现实的“比特世界”中寻找合理、有效的正当性规制。因此，首先应当现实理解互联网平台世界中数据与隐私的内在关联究竟是什么？

(一）数据：消费欲望和智识隐私

在近二十年来所产生的“互联网中心主义”意识形态的引领下，新兴的大数据概念推波助澜，视互联网数据为世界的中心漩涡，可以不断连接、吸纳和融合其他途径所产生的各类数据，以算法（Algorithm)为技术核心，希望建构出一个近乎完美的技术社会。相应地，这一明显具有强烈的技术乌托邦色彩的观念和实践迅疾遭到各层面的质疑，作为要素之一的数据自然逃脱不了相同的批判，这里既有以反思“技术解决方案主义”为目的宏观性批判，也有相当微观地切入个人数据隐私与社会歧视的政策批判。

概括性描述互联网数据与商业的整体关系，一言以蔽之，数据既是消费性的，又是生产性的。因为互联网数据的消费性，使得用户个人必须将隐私数据输入平台，才能满足消费欲望和消费想象，而这样的隐私披露寄生于一种在先建构的具有某种封闭特征的商业关系中，即互联网平台经济现象。

可以断言，正是依托互联网平台经济，仅仅是消极默存的个人隐私才焕发出积极利用的功能，回哺个人欲望，并且不断地刺激欲望泛滥。而这一实践过程也潜移默化地重新塑造了人们对于个人隐私的微妙态度，据美国著名民间调查机构皮尤研究中心的一份报告显示：在隐私观念盛行的美国，互联网用户对于自己的网络数据隐私日渐持有一种“言行不一”的行为作风——在清楚认识个人隐私安全重要性的同时，却完全不肯改变自身的网络行为来保护个人网络隐私数据。

而在中国，个人隐私原本就不是主流意识形态，相关实证研究表明，中国互联网用户人口基数大，社会分层明显，不过，网民对于互联网个人隐私数据的认知态度却高度相似，用户对于网络隐私的概念、内容、实践和救济手段都普遍欠缺认知，同时，各行各业存在不同程度的隐私信任危机。但是，在针对具有良好教育程度和隐私认知的大学生网络隐私调查中，大学生在准确意识到网络隐私数据重要性的同时，也清楚表达，在互联网商业关系中个人依然会选择让渡部分隐私，换取满足消费欲望。

因此，正是大量互联网用户在消费欲望驱动下的“言行不一”网络行为，才使得互联网平台的用户服务协议能在“明示告知”+“默示同意”的合意条款下，成为合法有效的合同，奠定了互联网数据商业的法律正当性。

在大数据概念的炒作下，数据的生产性俨然成为了技术乌托邦的新图腾。数据的生产性价值已经不再仅仅局限于商业范畴，尽管商业依然是数据生产和创新的基本动力。例如，在传统医疗行业中，病人隐私及其更详尽的病况数据和个人日常的健康数据，毫无疑问不容侵犯。

但是，数据平台的触角漫入医疗行业时，以大数据整合病例数据和健康数据，一方面于医学内部，能够更加精准地帮助医学的实践研究，期望通过大量的病例数据研究实现医学突破；另一方面于医学外部，通过数据整合实现更加有效的医疗管理，有助于缓解当前普遍存在的医疗资源稀缺和医疗资源分配的问题。

数据生产性的公共价值令人不得不反思个人隐私与数据的复杂关系。与此相仿，更要紧的是数据的国家安全问题，美国国内围绕公民隐私与国家反恐的口水仗屡兴屡起，无不显示数据的价值张力。

个人数据的消费性和生产性所展示的丰裕诱人的价值图景，显然引导我们逐渐偏离传统的个人隐私理论，套用JulieE . Cohen教授的观点，数据隐私在商品交换中成为了“被客体化的主体”。

但是，隐藏在商业关系之中的并非只有个人消费欲望的膨胀和支配，更重要的是，互联网用户数据的痕迹本质——人特有的智识活动(intellectual activities)。

互联网数据的累积就貌似地质学上地质沉积一样，第一层覆盖在互联网的是普罗大众用户在电子公告板、电子邮件、电子即时通讯和电子阅读中遗留下的所思、所读、所写，而这些智识活动在以往的政治与法律视野中至关重要，因为它们关切到人格品性与政治德性的养成导向，言论自由、通信自由和思想自由种种现代权利——为它们保驾护航。

然而，场景转换，当我们在互联网里阅读、思考、搜寻、创作而遗留下以往根本无法想象会存在的数字痕迹时，智识活动为内核的互联网数据到底意味什么呢？Neil Richards教授认为，这是智识隐私（intellectual privacy)，简目之，目论、阅读和思考是人格养成的基本要素，而人的言论、阅读和思考等智识活动的隐私性质则是确保个人自治、自我完善的基本保障。

过去，处理隐私侵权的法律理论与司法实践囿于经验，又因其历史渊源、特定内涵和具体经验的种种局限，使得智识隐私并不见容于传统理论。而数字互联网时代，互联网用户读写想的智识活动时刻处于互联网平台的监控之下，这一技术状态潜在地具有极大的危险性，表明互联网平台拥有能够运用数字技术和商业关系直接干预用户智识活动的强大能力，进而意味着互联网平台能够塑造乃至操纵用户的人格养成和需求欲望。

Neil Richards教授观察提炼的智识隐私理论，乍看之下，似乎危言耸听，好像科幻小说的奇谈一样。我们按照索洛夫教授的提醒，从实践、事实和具体情景中去理解隐私是反思隐私理论的最实用方法。以下援引两项社会科学意义上的实验研究来探讨智识隐私可能具有的经验事实依据。

第一项研究是关于互联网平台上用户的阅读内容能否技术操纵，该操纵手段会对用户心理造成何种影响。《美国国家科学院》2014年6月17日院刊发表一篇社交网站的数据研究论文， 64 48990 64 31673 0 0 6833 0 0:00:07 0:00:04 0:00:03 6833论文由社交网站Facebook首席数据科学家Adam Kramer、康奈尔大学交流与信息科学学院教授Jamie Guillory和Jeffrey Hancock组成的研究团队完成，该团队通过修改689,003名Facebook用户能够接触的好友新鲜事的情绪帖研究情绪在社交网站上的传播与扩散方式。

该研究发现：情绪可以通过情绪传染（emotional contagion)的形式相互传递，社交网站上的用户会在无意识中感受到相同情绪。而且，这样的情绪传染无需面对面的交流和非言语上的暗示，完全可以通过线上的社交网站，如Facebook轻松完成。

在这项研究中，研究团队的数据研究技术及其实验流程遭到了学界和舆论的广泛质疑，该研究团队涉嫌通过操纵用户的好友消息推送，通过秘密更改互联网平台服务，推送包含积极或消极情绪的好友消息，收到推送的相关用户会在不知情的情况下体会到情绪感染引致的负面情绪。另一项研究则更加尖锐，因为其恰恰指向隐私或者人格的目的关怀之一——政治选择的独立人格。

据美国行为研究和技术研究所（American Institute for Behavioral Research and Technology)高级心理学研究员Robert Epstein等人的研究，在模拟搜索引擎的实验下，从样本来自美国和印度具有有效投票资格的印度选民中随机抽取了2014年印度人民议会选举最后投票前4556位中间选民，被试选民随机分为不同小组，每一组接受的搜索引擎结果经过研究人员设计为偏向于某个特定竞选人。

该研究发现，搜索引擎存在操纵效应(Search Engine Manipulation Effect, SEME)，经过技术设计的有政治偏见的搜索排名可以改变中间选民的投票取向，而此平台界面和用户体验上，相关偏好可以经数字技术精心设计而相对隐蔽，以致平台用户很难意识到自己被操纵。因此，如果控制搜索结果排名，以搜索引擎为平台的互联网公司有能力影响选民决策、操纵竞选结果。值得一提的是，研究人员在研究设计中明显指向互联网搜索引擎第一平台Google。

综上所述，这两项研究可以帮助我们更有现实感地理解智识隐私，进而更清晰地厘清其与数据商业的互动关系。

一是实验真实还原互联网平台网站的网络服务流程及数据技术切入流程的关键环节，揭示了数据收集产生于消费行为和数据操纵服务于平台商业，使之区别一般的数据利用行为；

二是凸显数据操纵才是互联网平台侵犯个人隐私与人格尊严的、最具危害性的行为，而比之数据商业1.0的数据公开交易，数据操纵的特点则是平台内部的封闭操纵；

三是表明了互联网平台在商业竞争之外的政治功能及其意义，平台的权力异化及其可能失控。

需要补充的是，“操纵”（manipulation)似乎是一个贬义词，但行为经济学及其法律规制应用研究等已经重新解释了这一话语及其行为。

Richard H.Thaler和Cass R.Sunstein的相关研究证明，基于经济行为的社会心理研究可以推衍一套旨在帮助大众进行合理决策的公共政策理论，而这一套公共政策框架即是建基于非强制、诱导性的操纵思维（nudge，直译为“轻轻一推”）。

可想而知，这一套理论与应用面临巨大的正当性争议。毋庸讳言，在商业营销中这不过是一套经久不衰的“缄默知识”而已，但恰恰触发争议的是，如果公共权力沿袭套用，其正当性和有效性为何？如果商业权利异化为公共权力，又该如何界定其正当性和有效性？

(二）小结

综上所述，重新返回本案，笔者坚持认为，隐私数据、网络匿名和识别标准等本案关键问题之法理推敲，其实是都置于数据商业实践的正当性及其价值考量之下，法院在认可互联网平台的商业模式之后才依次选择相应的法律判断。但是，这并不意味着笔者认为用户搜索引擎“关键词”之类行为数据的定性判断不重要，反之，恰恰应该从数据商业实践的具体环节和相关细节去重新审视其正当性。

但是，如果简单沿袭传统隐私理论，的确很难论证搜索引擎“关键词”等具有琐碎特征的网络行为数据究竟有什么隐私价值，不过，如果相关数据形成大数据，其中蕴涵着人们极为珍视的智识隐私，互联网平台的技术力量和商业闭环可以隐秘地利用智识隐私，进而支配网络用户的心理与行为，而这一切又是在内部合同垄断、外部监督缺乏的情况下悄然展开。

那么，法院认可、激赏的互联网平台商业模式的价值前景会不会大打折扣？

结语

一个新的规制思路

互联网数据的法律治理，时间不长，教训颇多，梳理总结的任务至今未全面展开，其中又以美国与欧洲的两条不同法律路径及其衍生影响为重。

本文重心不在比较法，而在中国法之下的互联网数据商业实践，但行文思考却无时无刻不在比较法的覆盖之下。中国互联网数据商业实践的复杂性和特殊性完全内生于其特定的政治经济环境和用户社会心理，这与比较法上的点滴教训恰好形成对话。

基于现实观察和理论考察，本文尝试给出一个简约的法律规制思路。当然，从过去数据库与个人数据的法律治理来看，以欧洲为例，积极作为的立法与行政规制往往带来出乎意料的非意图性后果，而美国与中国的“低法治”（冯象教授语）互联网治理现状所伴随的各种衍生后果，也促使我们亟需一种超越商业经济的政法视野。

首先，从宏观而言，商业实践带来的法律挑战并非完全是一种静态的权利缺失，相反，而是非常复杂的动态的权利交易/委托。因此，互联网商业模式之规制才是治理的破题之处，无论是行政管理、法律赋权还是规制合同，都需围绕这一主题。同时，单一的法律赋权也需要考虑不同层面的权利主体的实际作用，以利益衡量为基本立场和思维，将法律赋权、公共治理和行业自治相互统筹起来，形成合力支撑，缺一不可。

其次，从微观上看，互联网数据是基于某一在先的商业关系而产生，而这一商业关系的法律正当性建基于互联网服务合同之上。现在，围绕个人数据的权利建构，立法思路依然是在法律思维上遵循美国式的个人主义权利建构理路，立法技术上充分参考欧盟的个人数据法律保护框架。

但是，考虑到互联网数据的具体实践，以某种负有保密信托义务的社会关系为基点的英国式隐私权利似乎更有实际价值，尤其是针对黑客攻击导致互联网公司数据泄露的法律问题，一方面稳定双方的商业服务关系，促进产业；另一方面增强互联网公司的相应责任，使其技术权力和法律责任相匹配。

再次，互联网服务协议将成为所有法律关系的一个聚合物，从目前来看，针对互联网服务协议标准合同的法律规制，这是一项与个人数据权利建构同等重要的事情，甚至更加紧迫。

同时，长远来看，互联网平台的政治与法律问题同样是依托于互联网服务协议，平台—用户的权利—权力关系和平台—政府的权利—权力关系都将或明或暗地寄身于互联网服务协议之中，其中最需要厘定的当然是平台权力异化、商业合同异化社会契约等互联网异化问题，这要求我们超越相对简约的技术现象与商业实践，将互联网回置特定的政治经济关系之中进行政治经济学考察。

最后，消费欲望的强大驱动已使互联网用户存在大量不谨慎的网络行为，简单的法律赋权也因此导致权利交易/委托，而令法律赋权的保护目的落空。对于消费主义的激烈批判不足以唤起人们的危机意识，而解决这一问题又无法脱离用户的自我认知。“代码即法律”，平台架构和软件算法对用户的认知引导作用可谓至深至巨，大数据算法技术更加增强了互联网平台的监控和支配能力，也激起了部分以技术审查和算法备案为治理手段的法律规制建议。

技术审查的细节流程虽颇值商榷，但是其基本方向确实符合科技法律的走势，与核能安全技术和生物克隆技术的安全审查相类似。更重要的是，平台的大数据算法本质上是希望能够提供“千人千面”个性化网络服务，如果能塑造数据算法的某种伦理性质，其显然也有助于针对性地解决用户个人化的数据安全问题。