上一讲把数据的来源按法律性质分成了三道正门（自产、受托、外采）加一道偏门（公开爬取）。

三道正门里，第二道是受托。上一讲说了，这道门委屈最多、误会最深，这一讲专门拆它。

说它委屈，是因为几乎每一个替人干活的企业，心里都憋着一个疙瘩。

一、一个软件公司心里的疙瘩

有家软件公司，给制造企业做生产管理系统。系统跑了三五年，里面沉淀了大量的生产数据：产量、良率、排产规律、设备状态。这些数据存在软件公司的服务器上，是他们一行代码一行代码搭起来的系统跑出来的。

软件公司的老板琢磨：我服务了上百家工厂，把这百家的数据汇总起来，做一份“行业生产分析报告”，卖给行业协会、卖给研究机构，这不就是现成的数据产品吗？数据在我服务器上，系统是我开发的，整理是我花人力整理的，怎么就动不得？

你说，他有没有道理？

有一半道理。数据确实在他手里，系统确实是他建的，整理确实花了他的钱。但另一半他没想到：这些数据，他是“因为受托”才拿到的。

二、这种事，早就有人打过官司了

软件公司是替人干活的典型，软件公司老板的想法不是虚构的想象，真事早就发生过而且早就判过了。

当年微博和脉脉合作，微博开放平台给脉脉开了一个接口，让微博用户可以直接登录脉脉。双方签的《开发者协议》，接口给到什么权限、能拿哪些信息，写得清清楚楚。数据交到脉脉手上，是为了实现“微博账号登录”这个功能，不是送给脉脉做生意的。

脉脉怎么做的？合作期间，超出接口的授权范围，把微博用户的职业信息、教育信息也拿了；还拿脉脉用户的手机通讯录去比对微博用户，把大量不是脉脉用户的微博信息也拽了进来。微博发现后发邮件警告，要求三天内删除，否则停掉接口。后来合作终止了，脉脉还继续用这些数据。

微博告到法院。2016年，北京知识产权法院终审判决：脉脉构成不正当竞争，立即停止涉案的不正当竞争行为，赔偿微博200万元，并在脉脉网站和客户端首页连续四十八小时刊登声明消除影响。

这是全国第一例大数据不正当竞争案。法院在判决里立下一条规矩，叫“三重授权”：第三方从平台拿数据，要用户授权、平台授权、再用户授权，一层都不能少。

所以“授权范围就是用途边界”，这话不是我说得狠，是法院判出来的。

这样的事，也不止发生在互联网大厂。

广州中院判过一个案子。购房人为了办房贷，把身份证、配偶和子女的信息交给一家房地产公司，因为这家公司是贷款的担保人。后来这家公司和中介起了业绩归属的争议，为了证明业绩归自己，就把装着购房人信息的文件提供给了中介。一审还认为这是在有限范围内的合理使用，广州中院二审改判：人家交信息给你，是为了办贷款，你拿去处理自己的商业纠纷，超出了同意的范围，构成对个人信息权益的侵害。

包含着个人信息的数据是因为一个用途交到你手上的，换一个用途用，就是越界。跟公司大小无关，跟行业新旧无关。

三、受托的规矩：授权范围就是用途边界

回到上一讲那把尺子：受托、外采这些从外面来的数据，先问一句，我是因为什么法律关系拿到它的？那个关系，允许我用它干什么？

软件公司拿到生产数据，是因为《系统开发合同》或《服务合同》。那个合同让它拿数据的目的是什么？是替客户把系统建好、运维好。 合同签的时候，谁也没说过“数据可以拿去做行业报告卖给第三方”。

所以规矩是冷的：

客户给你数据，是为了让你把活干完，不是把数据送给你。受托拿到数据，你拿到的仅是授权范围内对数据进行处理的权限；权限的边界就是授权范围，越出这个范围，就是越权。

（法律上，《个人信息保护法》第二十一条说得明白：受托处理个人信息，应当按照与委托人的约定处理，不得超出约定的处理目的。合同干完了，该还的还、该删的删。民法典委托合同一章，还有附随的保密义务。道理同一套：受人之托，忠人之事。）

政策口径也一样硬。国家数据局官网今年3月登过一篇数据产权登记的配套解读，把数据受托处理的原则总结成一句话：

没有约定的，原始数据、过程数据、结果数据全归委托方；合同终止了，数据该还还、该删删，就算受托方自己破产了，都不能拿这些数据去抵债。法院的裁判要点也是同一个方向：涉及个人信息的委托事务，授权范围不作扩大解释。

还有一条线，已经不只是民事官司了。今年1月，网信湖南通报了全省首例依据《网络数据安全管理条例》查处的案子：一家科技公司受托处理数据，没经委托方同意就擅自分包，把个人信息提供给了分包方，对分包方的安全义务监督也流于形式。处理结果是警告加罚款，公司三十万，主管人员个人三万。注意这罚单开给谁：不是开给委托方，是开给受托方。受托不是免责区，你自己就在责任链上。

法学上把这叫转化：受托人一旦自作主张，自己决定了拿数据干什么、怎么干，从那一刻起他就不再是受托人，法律上直接变成个人信息处理者，全部责任自己扛。委屈没有了，误会也没有了，剩下的只有责任。

这种委屈，每个行业受托处理委托方数据的，多少都会有。除了上面提到的给企业做系统的软件公司，客户的生产数据存在自己的服务器上；还有代运营公司帮客户打理网店，订单、会员、评价数据天天从自己手上过；代账公司给客户记账，人家几年的账务流水全在自己的电脑里；广告公司代客户投放，投放数据和人群画像是自己一手操盘跑出来的。

每一个受托方心里都是同一句话：数据从我手上过、是我整理的、存在我的设备里，怎么就不是我的？

这句话，就是误会的根。把它拆开，是三个想当然。

第一个想当然：数据在我手里，就是我的。但法律上，因委托关系拿到数据，你拿到的只是一份处理的权限，数据并不归你。

第二个想当然：合同没说不行，就是可以做。委托关系的规矩恰恰相反：没说的，就是不能做的。授权是划一个圈，圈里是你要干的活，圈外一步都不能多走。

第三个想当然：数据是我整理、我加工的，投了钱投了人，总该有我一份吧？受托干活，你的投入，委托人已经用服务费付过对价了。

这个误会深到什么程度？前面广州那个案子，一审就认定是合理使用，二审才纠正过来。受托方自己心里那杆秤歪了，不奇怪；要警惕的是，这杆歪秤很多人手里都有一杆，只是还没遇到那个较真的委托人。

说到底，受托这件事，法律其实早就说清楚了。怎么拿到的，看合同；能用来干什么，看约定的用途。两条都明明白白。委屈和误会，不是规矩不清楚，是把清楚的东西想当然了。他为什么敢想当然？因为再往上一层，数据到底算个什么财产、持有加工经营各是什么名分，国家还在试点和探索，没有一部法律拍板。空白给了他幻想的余地，幻想替他把“在我手里”翻译成了“归我处置”。

所以答案才是冷的：委托方让你拿到数据，是为了你按授权范围把活干完。

更何况数据这东西，跟房子车子不一样。房子在你手里，别人就没法同时住；数据在你手里，委托方手里照样有一份，别的地方可能还有备份，谁也不耽误谁用。国家的设计也跟着这个道理走：“数据二十条”把数据产权拆成持有权、使用权、经营权三样，同一批数据上，不同的人可以同时各拿各的权利，互不排斥。连“独一份”都谈不上，“在你手里”就更证明不了什么了。

这个道理，我在长租公寓为什么会爆雷的案子里讲过一遍。当年满地都是“托管”公司，名为托管、实为转租。两字之差，两个性质完全不同的法律关系：托管，是替人管房，房子不是你的；转租，是租进来再租出去，你先成了承租人。名义随便起，性质骗不了人。

受托拿数据是同一个结构：名义上数据“在我服务器里”，性质上你是替人管数据的。看问题，不看名义看法律关系的性质。

四、三条路，没有第四条

那受托攒下的数据，就一点都不能动了？也不是。但回答“能不能再用”，眼睛别盯着数据，盯着合同：数据是委托方交到你手上的，你能拿它干什么，边界就是授权范围。授权只写到把活干完，那就到此为止。想再往再利用走一步，先把丑话说在前面：受托这条路，干完活想再利用，途径非常窄，成本非常高。入口只有一个，就是合同。路有三条，一条比一条难走。

第一条：找委托人补授权。 坐下来谈：我想拿这些数据做行业分析，咱们补个协议，用途写清楚、范围写清楚、脱敏要求写清楚、收益怎么分也写清楚。客户点头，你就合法了。这是正道，但谈判有成本，客户未必点头。

第二条：彻底匿名化。 先看合同有没有约定。匿名化本身也是处理数据，合同没写，连抹这个动作都是越权。想做，先返回第一条，找委托人补授权，然后才是彻底匿名化的操作。把数据里能识别到具体企业、具体个人的东西全部抹掉，抹到“不可识别且不能复原”。注意，删掉客户名字不算数，行业里一看“佛山某陶瓷厂、年产能多少”就猜出是谁，那就不叫匿名化。彻底匿名化做到位，过的就是第一关，个人信息关。第二关是合同保密义务：数据中个人信息抹得再干净，合同约定了保密义务的，你仍然动不了。第三关是商业秘密关：账上查不出是谁，如果内容上还是人家的经营秘密，照样动不得。三关都过了，还得算一笔账：匿名化和值钱是反着来的。抹得越干净，数据越没用，客户名单抹没了，行业规律也跟着糊了，最后手里剩一堆没人要的统计数字；抹不干净，又还在法律的管辖区里。两头都难，走这条路之前，先想清楚值不值。

第三条：提炼成自己的东西。 不卖数据，卖从数据里长出来的本事。你服务了一百家工厂，知道了行业的良率水平大概在什么区间、什么工艺容易出什么毛病，把这些经验提炼成你的行业知识、咨询方法、诊断模型，拿去做咨询服务。产出里没有一个具体客户的数据，但处处是一百家客户喂出来的判断。注意这个“长”字：是从你脑子里长出来的，不是从客户数据库里跑出来的。拿着委托方的数据库跑一遍分析再卖结论，就又成了处理数据，得回到第一条去补授权。还要再看一眼合同：服务中形成的成果要是约定了归对方，这条缝也堵上了。走脑子的经验，法律不动它。这是三条路里唯一可能不靠补授权的窄缝，走对了，这条路最干净，也最长久。

三条路之外，没有第四条。“反正在我服务器上，悄悄用”，那条不叫路，叫雷。所以最划算的动作，在签约那一刻：数据能用来干什么、用完了归谁，写进合同。写得越清楚，后面的路越宽。

五、想不清楚，就不做

要是三条路都走不通呢？补授权谈不下来，匿名化做不彻底，提炼又嫌慢。那就不做。

这话听着丧气，其实是评估的真本事。评估的价值不在于给出“能”，在于敢给出“不”。不是不能做，是算完账之后，补合法性的成本大于收益，不做就是最优解。

受托这道门，记住一句话：

手里有数据的企业，回去翻翻你和客户签的合同，看数据用途写到哪一行。写到哪，用到哪；没写到的，别动。拿不准，找律师评估：把合同、数据、用途摆在一起对一遍，能不能用、怎么用、要不要补协议，一次说清。

我是冼律师，在佛山做企业数据合规评估。

（数据十讲·第三讲。下一讲：用户打了勾，是不是就万事大吉了？）