数据交易怎么走合规路径：交易所、授权运营与数据中介义务

数据交易的合规问题，卡住大多数企业的不是“能不能卖”，而是“我的数据从哪来的”。很多企业主把手里攒的用户行为数据当成资产想变现，第一个被问的问题就是数据来源——来源说不清，交易就做不成，这是整个数据交易合规体系的地基。

⁠​‌​‌​​‌​‌‌‌​‌​‌​‌​‌‌​‌‌‌​​‌​​​​‌​‌‌​‌​‌​‌​‌​‌‌​​⁠

答案先给结论：数据买卖本身不违法，但必须满足三个条件——来源合法、授权链完整、经得起核验。 走交易所、授权运营还是场外协议，只是交易形态的区别，三个条件一条都少不了。

一、规则层：三份文件搭出框架

民法典确认了数据受保护的地位，但没有直接规定权属：

2022 年 12 月发布的《中共中央、国务院关于构建数据基础制度更好发挥数据要素作用的意见》（业内称“数据二十条”）给出了现行口径：淡化所有权、强调使用权，建立“数据资源持有权、数据加工使用权、数据产品经营权”三权分置的结构，鼓励通过数据交易所等合规渠道流通，同时对公共数据探索授权运营——政府把公共数据授权给特定主体开发经营，收益按规则分配。

对交易中介机构，法律直接课以核验义务：

这三条合起来就是交易合规的全貌：卖方证明来源合法，中介审核双方并留痕，买方确认数据在约定范围内使用。 爬虫批量抓取、黑产渠道购买、超范围收集后转卖的数据，在交易所过不了合规审查，场外交易做了也是给自己埋雷——非法获取计算机数据另有刑事风险。

二、三种交易形态怎么选

• 交易所挂牌：北京、上海、深圳、贵阳等地的数据交易所有挂牌、合规审查、合约示范、结算交割的完整流程，适合标准化程度高、需要定价参考的数据产品。交易所的合规审查实质上替代了你自证清白的一部分成本。
• 授权运营：主要针对公共数据。企业想用政务、公用事业数据，要按地方公共数据条例申请授权运营资格或购买授权产品，不能直接找政府部门“买原始数据”。
• 场外协议交易：双方直接签数据服务合同，适合定制化需求。因为没有交易所帮着把关，尽调义务更重，建议在合同里写明数据来源陈述与保证、违约赔偿和审计权。

三、深入层：授权链条是最容易断的地方

数据交易打不赢官司、过不了审查，八成出在授权链上：

• 个人数据的授权：平台把用户数据卖给第三方做营销，用户协议里必须有“向第三方提供”的明确告知和同意。隐私政策写“为改进服务可能与合作伙伴共享”这种概括条款，拿来做交易授权大概率被认定不充分。处理敏感个人信息还要单独同意。
• 企业数据的授权：供应商数据、客户名单、经销商数据，要看当初收集时的合同有没有限制二次利用。“卖客户名单”是数据交易纠纷里最常见的违约和侵权混合情形。
• 衍生数据与原始数据：经过深度匿名化、不可复原、不可关联到个人的统计数据、画像指数，交易受限最小；但“表面匿名、实际可回溯”的脱敏数据出事，责任照样落在卖方。

四、操作层：一笔合规交易的动作清单

五、常见误区

• 误区一：数据是我的用户产生的，天然归我。 数据上承载着用户的个人信息权益，企业持有的是“资源”，行使要过授权关，不是绝对产权。
• 误区二：匿名化就是删掉名字。 删掉姓名但保留手机号、设备号、精准位置的“匿名”不成立，仍按个人信息管理。
• 误区三：交易所挂牌等于监管背书。 挂牌只解决交易渠道合规，数据本身的授权瑕疵还是卖方责任。

六、问答

问： 把脱敏后的用户行为数据卖给广告公司，还要用户同意吗？

答： 如果脱敏达到不可复原、不可关联特定个人的标准，已不属于个人信息，交易不受同意规则约束；但脱敏质量要经得起技术核验，且交易过程中混入未脱敏字段的，整个交易按个人信息处理对待。

问： 交易所审查通过了，买方拿数据去干坏事谁担责？

答： 卖方与中介已尽来源审核和留痕义务的，责任主要在滥用方；但明知买方用途违法仍提供的，可能构成共同侵权甚至帮助犯罪。

问： 竞争对手从黑产手里买我客户名单来推销，我能告谁？

答： 可以起诉买方侵犯商业秘密或个人信息权益，同时向公安机关报案。数据来源非法的交易不受保护，买方“不知情”抗辩很难成立。

企业侧的数据安全底线要求，见网络数据安全管理条例实施，企业收集数据有什么新要求；数据保护不到位的处罚后果，见企业没做数据安全保护，会有什么处罚；用爬虫获取数据再交易的边界，见爬取别人网站的数据，违法吗。

以上内容为一般性法律知识分享，不构成正式法律意见；具体交易安排请结合数据形态咨询执业律师。