先说说我自己。这几年，数据二十条的解读会、政策宣讲会、专家讲座，我听了一场又一场。

说句实话，听到后来，连我这个律师都迷糊了：每个人都在讲，讲得都不错，可听完走出会场，我还是回答不了那个最基本的问题：如果我手里有数据，到底该怎么办？数据持有、加工、经营该怎么做才合法合规？

这种焦虑和不安，我太熟悉了。它跟我亲历过的抵押预告登记给银行个人住房贷款业务带来的全行业困境，一模一样。

2007 年《物权法》出台之前，银行做按揭贷款（“按揭”是英文mortgage 的译音，香港传过来的说法，就是借款人买楼花时向银行借款、用买的这套房做抵押），借款人预购的商品房是可以直接办抵押登记，银行的优先受偿权是确定的。

《物权法》第二十条一出，“抵押登记”变成了”抵押预告登记”。就差两个字，效力天差地别：抵押预告登记不再直接产生抵押权，只保全一个”将来办抵押登记的请求权”，能办正式登记了，三个月内不办，预告登记还会失效。

2014 年最高法院公报案例把话挑明了：银行对只办了抵押预告登记的房子，没有抵押权。

虽然对抵押预告登记的效力有异议，但银行业务却不能停。

那十四年里，按揭贷款照放、开发商楼照卖、借款人抵押预告登记证照办，所有人都在一个说不准效力的制度上往前走。

2018 年，我和同事涂建军律师写了一篇文章《试论商业银行个人住房抵押贷款业务中抵押预告登记存在的普遍性系统性风险及防范措施》，判断抵押预告登记是商业银行个人房贷业务面临的普遍性、系统性风险，在物权法等现有法律、法规没有作出修改以前，银行只能靠自己把防范措施做到位，同时这个问题必须从立法层面解决。

缺陷在制度本身，让法官在每个个案里去弥补，是强人所难。

三年后的2021年，民法典担保制度司法解释第五十二条给了出路：预告登记没有失效、房子办了首次登记的，抵押权自预告登记之日起设立。我的判断，被印证了。

那篇文章，拿了佛山市律师论文评选一等奖。

这段经历留给我的，不只是一个奖，而是一个结构性的认知：行业性的不安，从来不是来自大家不懂法条，而是来自底层规则没修好、实践却已经跑在了前面。

今天的数据行业，正在重走这条路。登记证书在发、入表在做、质押贷款在放，但你问这个登记证书的效力到底是什么，没人能打包票。

有人会说：国家不是在补吗？是的，在补。

2026 年 7 月，国家数据局综合司刚印发了一份数据产权登记的试行指引，把来源审查写进了登记程序。

但这份指引不是法律，连部门规章都算不上，文件里的关键词是”请结合实际参照落实” ：各地参不参照、怎么参照，谁也说不准。

立法没来，补丁先打。补丁的层级越低，不确定性就越大，企业的焦虑不安就无法消除。

立法这回事，从来都是新事物先跑、规则后追 ，从低阶到高阶，一级一级爬台阶。数据也不会例外。

所以我决定用在抵押预告登记上验证过的那套办法，再做一遍：先把框架搭出来。

一、先搭框架，这是我的老习惯

为什么听了无数场讲座，还是迷糊？

因为市面上的讲座，大多只解读自己那一小块的政策法条：管登记的讲登记流程，做服务的讲价值变现，办贷款的讲金融产品。

每个人都守着自己的分工，告诉你这个证怎么办、那个手续怎么走。碎片本身是事实，缺的是没人把它们拼成一幅完整的地图：

没人把民法典、个人信息保护法、反不正当竞争法、著作权法、数据安全法、 网络安全法甚至刑法放进同一张地图，更没有人告诉你，如果路走错了，照样盖楼，塌下来要付多大代价。

所以听完讲座的人，手里攥着一堆”怎么办”的答案，心里还是不安，又说不出不安来自哪里。

其实不安的源头很简单：你拿到了一堆路径，却没有人给你标过走这条路径的价码。

先搭框架，再行动。这是我长期为客户提供法律服务练出来的以问题为导向的思维模式。 当年死磕银行案件、写抵押预告登记那篇文章，靠的也是这个习惯。

先看清问题出在哪一层，是立法层面还是司法层面，再在现有法律框架下告诉当事人该怎么办。

框架不是知识清单，是判断标准：它让你能判断自己走的路对不对。走对了，它告诉你凭什么对；走错了，它告诉你代价多大、账从哪一笔算起。

当当事人把重大疑难问题摆到你面前的时候，你敢不敢拿出自己的判断？判断的依据是什么？能不能被验证？说”凭经验”“看判例”“别人都这么办” ，最容易；但看清结构、给出可以被时间检验的判断，才最有价值。

二、框架的第一层：先定对象，再定法律

回到数据行业，框架从哪搭起？从一个最容易被跳过的问题搭起：我们天天说”数据” ，这个东西到底是什么？

第一讲会讲：数据不等于信息，载体不等于内容。这不是咬文嚼字。

对象没定清楚，法律就进不了场。你手里那个”东西”如果其实是别人的个人信息，那归民法典和个人信息保护法管；如果是人家的商业秘密，归反不正当竞争法管；如果是人家的作品，归著作权法管；几亿条聚到一起贴上重要数据的边，数据安全法、 网络安全法就进场了；如果就是机器跑出来的参数，不含任何人的东西，那是另一套规矩。

记住这个比喻：数据本身没有一部“数据法”来确权，它像一面镜子，照出什么内容，就归什么法律管。

不定对象，就不知道哪一层归哪部法律管。这就是听完讲座还是不知道怎么办的总根源。

三、框架的第二层：原始数据里，混着什么

原始数据不是一块干净的砖。里面混着别人的东西：个人信息、隐私、别人的作品、商业秘密等，这些”锁”是跟着数据走的，数据到你手里，锁也跟着来了。而镜子里照出来的，往往不是你自己，是别人的个人信息、别人的作品、别人的商业秘密。

进门先查来源。实务中盘家底，数据来源常按七种分：自产、受托、外采、授权、爬取、公共运营、员工入离职。

但这七种是实务中盘家底的分法，不是按法律属性的分法。数据来源从法律归属上分，就是三道正门：自产、受托、外采，加上一道偏门：公开拿。

至于盘家底的七种来源怎么进法律的四道门，第二讲用一张表对号入座。

来源查清了，才轮到处理：不管从哪种来源进的门，里面混着别人的东西，就得从下面的三条通道里挑一条走。

注意一处容易混的：来源里的“授权”和通道里的“取得同意” ，是同一个动作的两面，授权解决的是“怎么进来的” ，同意解决的是“进来之后能干什么”。

所以这一层的关键动作是”处理”。

属于别人的部分，法律给的通道数得出来：

第一条，取得人家的同意。授权你处理，你才能处理，而且只能在授权范围内处理，这是正道。

第二条，人家自己已经合法公开的，合理范围内可以用。但公开不等于放弃权利，公开的个人信息也不能拿来干跟原来公开目的无关的事。

第三条，彻底匿名化。不可识别、不能复原，删个名字不算数。

前三条都走不通的，这条数据就不能要了，该删就删。这不是通道，是底线。

“可用不可见”这类技术手段也管用，但它管的是”用得安全” ，管不了”拿得合法”。技术不能替代授权，它只是授权之后的锁上加锁。

当然，纯机器数据、工艺参数，不含任何他人权益，拿来就用没问题。

四、框架的第三层：手续归手续，地基归地基

持有、加工、经营、交易、登记、入表等，这是框架的第三层，既是目前最热闹的一层，也是制度最乱的一层：

国家层面的统一法律还没出台，只在《民法典》第一百二十七条给留了个位置：“法律对数据、 网络虚拟财产的保护有规定的，依照其规定”。

位置留了，规则没来。数据可以作为财产权益被讨论，但它的边界、内容、对抗效力，至今没有法定标准。

所以各地规则五花八门，你办的证到隔壁省认不认，没人答得上来。

但框架搭到这里，钥匙就露出来了：乱象集中在第三层，钥匙在第二层。就是上面说的三道正门加一道偏门，以及出门那三条通道 （通道走不通，数据就彻底删除不能用）。

你的数据从哪道门进来的、里面混着谁的东西、走哪条通道才合法，这三个问题答完了，第三层的手续才敢碰。

反过来也一样：没在第二层把来源搞清楚、没把别人的东西从三条通道里处理干净，就在第三层盖楼，楼是盖起来了，地基却是带病的，塌楼只是迟早的事。

五、这十讲怎么讲

第一讲先掰概念：数据不等于信息，内容不等于载体；然后讲原始数据里”别人的东西”怎么处理；接着三道正门加一道偏门，一门一门过，把”来源合规”这个总开关交到你手里；再往后，看罚单、看判例、看五花八门的证，看第三层到底乱在哪；最后一讲，讲规则修好之前，怎么活、怎么赢。

听完十讲，我不能保证国家哪天立法。但我能保证：你手里的数据，哪些干净、哪些带病、病在哪一层、能不能治，你心里会有底。

安全感不是等规则给全了才有的，是你看清了底层逻辑，心中有份完整地图，你走起路来才会稳，才会有安全感。

我是冼律师，在佛山做企业数据合规评估。

（数据十讲·序言。下一讲：“你的”数据是谁的？先别急着答。）