数据交易：能买卖的到底是什么、哪些数据不能交易、中介要审什么

一句话定义：数据交易在法律上不是「卖数据」的所有权转移，而是数据使用权的许可与限制性提供。数据安全法第十九条只说「国家建立健全数据交易管理制度，规范数据交易行为，培育数据交易市场」，没有给「数据所有权」下定义；民法典第一百二十七条更是明确「法律对数据、网络虚拟财产的保护有规定的，依照其规定」，把规则留给专门法。★真正落到交易层面的硬约束只有一条——数据安全法第三十三条，针对「从事数据交易中介服务的机构」，要求它「要求数据提供方说明数据来源，审核交易双方的身份，并留存审核、交易记录」。中介之外的主体，义务不在这一条，而在数据来源合法性、个人信息保护、重要数据出境这几条线上。

本词条属于网络与数据栏目。数据交易最常见的三个误解是：以为买了数据就取得「所有权」，可以随意转卖；以为挂了牌就是合法的，交易所审过了就没问题；以为脱敏之后就能自由流通，不受任何限制。这三个误解都会在同一个地方翻车：交易标的的权利来源，不在交易环节解决，而在采集环节就已经决定。本文只讲三件事：什么东西可以交易、谁在交易中要承担审核义务、出了问题谁担责。

构成要件

一、交易的不是所有权，是受限的使用权。

数据有一个和实物完全不同的特性：可以被无限复制而不减损。因此「交付」在数据交易里不可能发生，卖方交出数据后仍然持有，买方拿到的是副本。这决定了数据交易在合同法上的构造只能是「许可使用」或者「限制性提供」，而不是「所有权转让」。

这个构造差异带来三个实际后果。第一，排他性靠合同维持，不靠占有。卖方只能承诺「不再向约定的范围外提供」，无法像卖房子那样通过交付实现排他，所以违约责任条款、审计权条款、二次流转限制条款，是数据合同的真正价值所在。第二，标的的描述必须精确到「字段级」。「提供某市一年的消费数据」这种表述在争议时无法执行，应当写成字段清单、时间范围、颗粒度、更新频率、样本量。第三，权利瑕疵的风险高。卖方可能自己也没有完整权利，比如数据是爬来的、是合作方提供的、是用户同意范围外的，买方一旦被第三方追责，只能回头向卖方索赔，而卖方可能已经注销。

二、三类主体，义务各不相同。

第一类是数据提供方，也就是数据的实际控制者。它的核心义务在采集环节：采集手段合法、取得必要授权、在授权范围内提供。数据安全法第八条要求「开展数据处理活动，应当遵守法律、法规，尊重社会公德和伦理，遵守商业道德和职业道德，诚实守信，履行数据安全保护义务，承担社会责任，不得危害国家安全、公共利益，不得损害个人、组织的合法权益」，这一条是提供方义务的总纲。

第二类是数据商，也就是买入数据加工后再出售的一方。它同时是买方和卖方，义务叠加：既要在买入时做尽职调查，又要在卖出时保证加工没有改变数据的性质和授权范围。实践中容易忽略的是「加工后仍受原授权约束」：从A处买入的数据，经过清洗、建模、聚合后卖给B，如果原授权只允许「内部使用」，加工后出售仍然违约。

第三类是第三方服务机构，包括数据交易所、数据经纪、合规评估、安全审计机构。数据安全法第三十三条专门规范这一类中的「从事数据交易中介服务的机构」，给它加了三项义务：要求数据提供方说明数据来源、审核交易双方的身份、留存审核与交易记录。注意这一条的义务主体是「中介服务机构」，不是交易双方，这是最常被误读的地方：很多人以为第三十三条是「数据交易的一般规则」，实际上它是「中介的特别义务」。

三、不能交易的红线，可以归成五类。

第一类，来源非法的数据。窃取、非法侵入获取、违反约定爬取、通过欺诈胁迫取得的数据，不能交易，这是最基础的一条，违反可能同时触发民事赔偿、行政处罚和刑事责任。

第二类，未取得合法授权的个人信息。个人信息保护法第十三条列了七种合法性基础，同意只是其中之一。平台收集用户信息时的同意范围通常限于「提供服务所必需」，不包括「向第三方出售」，所以「我们有一亿用户授权」这句话在数据交易场景下几乎等于没说，要看的是授权文本里有没有明确写到「向第三方提供」以及提供了哪些类别。

第三类，未脱敏或者脱敏不彻底的个人信息。去标识化与匿名化是两个不同的法律概念：去标识化后的信息仍然是个人信息，仍受个人信息保护法约束；只有「经过处理无法识别特定个人且不能复原」的匿名化信息，才不属于个人信息。数据安全法第三十二条和网络安全法第四十四条都用「经过处理无法识别特定个人且不能复原」这个表述。实务中的问题在于「能不能复原」需要技术验证，卖方单方声明「已匿名化」不足以免责。

第四类，重要数据。重要数据不是不能流通，而是不能随意流通。向境外提供的，要按数据安全法第三十一条、网络数据安全管理条例第三十七条通过安全评估；境内提供的，要按条例第三十一条做提供前风险评估。把重要数据当作普通数据挂牌交易，是数据交易领域风险最高的一种操作。

第五类，法律明确禁止交易的数据。涉及国家秘密的、涉及国家安全的、依法不得公开的政务数据、涉及他人商业秘密且未获授权的，都属于此类。这一类的判断不靠合同约定，靠法律禁止性规定，合同里写「双方确认标的不违反任何法律规定」不能产生免责效果。

四、中介的三项义务，落地要做什么。

第一项，「要求数据提供方说明数据来源」。注意用词是「要求说明」，不是「保证真实」，所以中介的合规动作是「建立来源说明的书面流程并留痕」，而不是「替卖方担保来源合法」。可操作的做法是设计一张《数据来源说明表》，让提供方逐项填写：采集方式、采集时间、采集范围、授权依据、是否含个人信息、是否含重要数据、是否曾向第三方提供，并由提供方法定代表人或者授权代表签字。

第二项，「审核交易双方的身份」。身份审核不是看一眼营业执照。对机构，至少核验营业执照、经营范围是否覆盖数据处理、授权代表权限；对个人，核验身份证明与处分权限。涉及重要数据或者大规模个人信息的，还应当核验对方的数据安全能力，这一步法律没有明写，但它是中介自身免责的基础。

第三项，「留存审核、交易记录」。法律没有规定保存期限，这一条与网络数据安全管理条例第十二条的三年保存期可以衔接：条例第十二条要求「向其他网络数据处理者提供、委托处理个人信息和重要数据的处理情况记录，应当至少保存3年」。实务中按三年执行是稳妥的，记录内容至少包括审核材料、交易合同、交付记录、付款凭证。

违反这三项义务的后果写在数据安全法第四十七条：责令改正、没收违法所得、处违法所得一倍以上十倍以下罚款，没有违法所得或者违法所得不足十万元的，处十万元以上一百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销许可证，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。

五、场内与场外：交易所不是审批机关。

数据交易所的法律地位是「提供交易服务的机构」，不是「行政机关」，它做的挂牌审核属于平台自律管理，不是行政许可。这个定性带来两个直接结论：第一，在交易所挂牌不等于合法性背书，标的是否可以交易，仍按法律判断；第二，交易所拒绝挂牌也不等于标的不合法，只说明不符合该平台的规则。

场内交易的真实优势在证据和流程，不在合法性：有标准合同、有交付存证、有合规审核记录、有争议处理机制。这些在事后举证时价值很高，尤其是「我已经尽到合理审核义务」这一类抗辩，场内记录比场外自证有力得多。所以选择场内还是场外，本质上是「用流程成本换举证便利」的取舍，不是「合法与非法的分界」。

法条依据

与相邻概念的区别

第一，与数据出境的区别。数据交易是「在境内转移使用权」，数据出境是「向境外提供」，两者可能叠加但不能互相替代。一笔交易如果买方在境外，就同时构成交易和出境，此时除了合同审查，还要按数据安全法第三十一条、网络数据安全管理条例第三十七条判断是否需要安全评估。实务中最危险的结构是「境内签约、境外交付」：合同签在境内主体之间，但数据实际传输到境外服务器，企业以为只是「境内交易」，监管看的是数据流向。判断标准只有一个：数据最终被谁、在哪个法域内处理。

第二，与政务数据共享的区别。政务数据共享是国家机关之间的履职行为，不是交易，依据是数据安全法第五章和各级政务数据管理规定，不适用数据交易规则。但政务数据开放给社会主体使用时，可能形成「授权运营」，此时要看授权文件的性质：是特许经营、是服务采购，还是数据提供。这三种结构对应的义务完全不同，把授权运营当成数据买卖来做，是政务数据领域最常见的不合规形态。

第三，与数据资产入表的区别。数据资产入表解决的是会计确认与计量问题，依据是财政部关于企业数据资源会计处理的规定，关注的是「能不能带来经济利益」「成本能否可靠计量」；数据交易解决的是权利流转问题，关注的是「有没有权利处分」「标的能不能合法流通」。两者的判断方向不同：入表看价值，交易看权属与合法性。所以「已经入表」不能证明「可以交易」，反过来「可以交易」也不代表「能够入表」。

第四，与非法买卖个人信息的区别。这条线是刑事红线，必须单独说清。刑法第二百五十三条之一规定侵犯公民个人信息罪，「违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的」构成犯罪，「窃取或者以其他方法非法获取公民个人信息的」也构成犯罪。在数据交易场景下，三条行为最容易越线：卖的是未获授权的个人信息、买的是明知来源非法的个人信息、以「数据服务」名义实质提供个人信息。「不知情」不是免罪理由，但影响主观故意的认定，所以买方做尽职调查不只是合规动作，也是刑事风险隔离动作，相关罪名的构成与量刑见侵犯公民个人信息罪。

实操指引

第一步，确权：我到底有没有权利处分这批数据。 要回答四个问题：数据是怎么来的（自采、合作、购买、公开渠道）；采集时取得了什么授权（用户同意文本、合作协议、公开声明）；授权里有没有「向第三方提供」这一项；有没有第三方的权利负担（合作方限制、上游许可限制）。四个问题里任何一个答不上来，这批数据就不具备可交易的基础，先解决权利来源，再谈交易结构。

第二步，定级：是不是重要数据、含不含个人信息。 定级决定后面所有动作：含个人信息且未匿名化的，要先解决合法性基础；属于重要数据的，要先做提供前风险评估，涉外的还要过安全评估；属于一般数据的，按普通合同处理。这一步不能由业务部门自己判断，应当由法务和数据安全负责人共同出具书面结论并留档，因为事后追责时，「我们以为是普通数据」不是有效抗辩。

第三步，处理：去标识化还是匿名化，要分清楚。 去标识化是「移除直接标识符但保留可复原可能」，处理后仍是个人信息，仍受个人信息保护法约束；匿名化是「无法识别特定个人且不能复原」，处理后不再是个人信息。两者的技术门槛差别很大，合同里写「已脱敏」是没有法律意义的表述，应当写明具体方法（如泛化、扰动、假名化、聚合）以及是否经过复原测试。如果只能做到去标识化，就按个人信息交易的规则走，不要按匿名化处理。

第四步，签约：六类条款不能少。 标的条款要精确到字段级；授权范围条款要写明目的、方式、期限、地域、可否二次流转；权利瑕疵担保条款要写明来源合法并约定违反时的赔偿责任；安全义务条款要写明接收方的加密、访问控制、人员管理义务，并约定审计权；违约与终止条款要约定数据删除、销毁、返还的具体方式与验证方法；争议解决条款要考虑数据所在地与证据取得便利。这六类条款直接对应条例第十二条的要求，缺项在争议时会变成举证障碍。

第五步，留存：三年起步，能自证。 留存内容按四组归集：来源与授权材料（采集规则、同意文本、合作协议）、定级与评估材料（分类分级结论、影响评估报告、重要数据风险评估）、交易材料（合同、交付记录、付款凭证、对方身份材料）、监督材料（对方履行安全义务的记录、审计报告）。保存期限按条例第十二条的三年执行，涉及重要数据的建议延长到五年。这套材料既是合规档案，也是诉讼中的证据链，企业合规体检可以参照企业合规体检全流程逐项核对。

常见问题