上一篇序言里，我讲了自己亲历抵押预告登记效力从不确定到确定的全过程。今天进入正题。

持有、加工、经营、交易、登记、入表、质押，绕来绕去，所有问题最后都回到这一句：“你的”数据，到底是不是你的？但这一问，我不敢直接答。

因为在回答“是不是你的”之前，得先问另一个问题：你说的这个“数据”，是数据，还是信息？

很多人愣一下：这不是一回事吗？

不是一回事。分不清这一层，后面所有的困惑全是从这个岔路口走错开始的。

一、烽火台和鸽子

打个比方。

两千多年前，周幽王点烽火戏诸侯。“敌人来了”，这是内容。烽火、狼烟，是把这个内容传出去的工具。

后来不用烽火了，用鸽子。鸽子是工具，信上写的是内容。

再后来，电报、电话、互联网，到今天，是服务器里存着的0和1。

技术进步全部发生在载体这一层。但内容那一层装的东西，是个人信息、隐私、作品、商业秘密等，两千年来一条没变过：它是谁的，永远跟着谁走。

写在竹简上是人家的，印在纸上是人家的，存进你的服务器里，还是人家的。

二、一句口诀：载体还是内容

所以，拿到任何一份”数据”，我养成了一个第一反应，先问一句：

我现在说的，是载体，还是内容？

说内容，依据的是信息的规则：如果数据里头装的是别人的东西：别人的个人信息、别人的隐私、别人的作品、别人的商业秘密，权利永远跟着人家走。

不管这份内容换了多少种载体，复印了多少份，传了多少手，人家的权利都甩不掉。

说载体，才轮到数据的规则：这个文件谁生成、谁保管、谁投入了人力物力去加工，这是财产问题，可以谈持有、谈使用、谈经营。

举个例子。一家公司的人事系统里有一份员工花名册。公司说：这是我的数据，在我服务器里，当然归我。

且慢。分两层看：服务器里那个文件，作为载体，确实是公司投入建设、维护的，这一层的财产利益，公司可以主张。

公司只是依法拿到一个”处理资格”，可以为人事管理的目的用它，不等于拥有了它。

“你的数据”这四个字，本身就是没说清：你说的是装在你服务器里的那个文件，还是文件里装着的东西，张三李四的个人信息、合作方的图纸、别人写的程序？载体可能是你的，内容未必是你的。

三、分清了，才有得谈

这一刀切下去，很多争论就有解了。

你问“我的数据能不能卖”，我先问你卖的是载体还是内容。

载体里装的东西归你吗？里面有没有别人的个人信息、别人的图纸、别人的作品？有，那一层你永远卖不了。个人信息还有一个口子：

彻底匿名化，认不出是谁、也还原不回去，才算洗成了另一堆东西；另一个窄得多的口子，是人家自己合法公开的，只能在合理范围内用。这个到第二讲讲“公开拿”的时候再细说。

图纸和作品，连口子都没有。能卖的，至多是你的加工劳动。

部门之间争“数据归谁管”，争的是载体。载体好办，看投入、看合同。但内容那层没得争：装的是谁的东西，权利就在谁身上，服务器放在谁的机房都改变不了。

听说哪里能办数据确权证书，先别急着高兴：证书确的权又是什么？如果确的是你对载体的加工投入，那是一张凭证；如果有人告诉你这证书能证明”信息归你”，那是把两层混成了一层。

证书可以证明你“做了什么”，证明不了“东西归你”。

四、四行四笔账

分开之后还有一层要看清：数据作为载体里面装的东西不一样，管它的法律就不一样，出事的代价更不一样；就算全是你自己的数据，汇聚得太多，管的法也跟着升级。

真实数据里要当心的无非四种情况：里头装着别人的个人信息、隐私，别人的作品，别人的商业秘密，这是三种内容；第四种不是装了别人的内容，而是你自己的数据汇聚到一定规模，变成了重要数据，踩了那条线，就升级成国家安全的事了。

以下四个真实的案例就是四种情况，四部法律，四笔账：

还要说一句：这四笔，还都是民事和行政的账，赔钱、罚款，是钱的事。走错了路，代价不止这一档。

如果犯罪了，就上升到刑法来管了：倒卖个人信息、偷技术图纸、绕开防护爬数据，第8讲要讲的三个案例，最后都走到了刑事判决。

赔得最少的那行，恰恰管得最宽。郭兵案一张年卡只赔了1038元，但法院白纸黑字认定：单方把指纹入园改成人脸识别是违约，超目的收集的信息必须删除。这个判决写在个人信息保护法出台之前，后来被称为这部法律的“司法样本”。第一层的案子从来不是看赔多少，是看它定了什么规矩。

作品这一行，单看6000万好像不如商业秘密那行多。但要注意两点：一是这个6000万是惩罚性赔偿：快手收到腾讯两千多封下线通知函还放任侵权，判决书认定的事实，法院认定故意且情节严重，判一罚一，全额支持了权利人的诉请；

赔得最多的那行，恰恰离普通人最远。

滴滴那80.26亿，罚单上列的是16项违法事实、四部法律一起用。数据汇聚到一定规模，管的就不再只是你和用户之间的事，是国家安全的事。

“汇聚成重要数据”这七个字的分量，就压在这行里。

这四个案子还有一个共同的塌楼法：全是在第一层没分清载体和内容、第二层没认对门，就冲上第三层盖楼的。

野生动物世界单方将入园方式由指纹变更为人脸识别，想利用收集的照片扩大信息处理范围；快手平台收到腾讯的两千多封通知函，照样拿别人的节目换自己的流量；威马没认清图纸是吉利的，直接拿别人的技术造自己的车；滴滴没认清数据汇聚之后已经是重要数据，照样按普通经营数据处理、出境。

所以我说，“你的数据是不是你的”这个问题，急不得。先把载体和内容分开，再看清内容里装的到底是哪一种对象。对象定错了，后面每一层都跟着错。

第一讲先教你看你手里的数据装的内容是谁的，下一讲，谈第二个问题：你手里的数据是从哪道门进来的？自产、受托、外采，加上公开拿的，三道正门加一道偏门，四种规矩。两个问题都答了，第三层才轮得到你动手。

当然，内容和载体两层分开了，具体到你自己手里的数据，来源合不合法、用途超没超限，未必一眼看得准。

拿不准也没关系，这正是律师做的事：把数据一层一层拆开，看到底卡在哪一层，能不能治、怎么治。

我是冼律师，在佛山做企业数据合规评估。

（数据十讲·第一讲。下一讲：你的数据从哪来的？三道正门，一道偏门）