数据商业化：从开放流通到交易与使用边界——全球数据合规与AI治理专题研究（五）

本期尤其适合三类企业重点关注：一是销售联网汽车、工业设备、智能家居、可穿戴设备等联网型产品，并持续获取设备运行或用户使用数据的制造商与平台；二是围绕产品数据、位置数据、行为日志、云端监测信息、高质量数据集等开展增值服务、AI训练或数据产品开发的企业；三是参与数据经纪、广告技术、行业画像、企业间数据交易、公共数据开发利用或数据资产运营的主体。

数据商业化首先需要区分“数据事实控制”“数据访问和使用权利”“个人数据处理合法性”“商业秘密等第三方权益”以及“会计上的资产确认”几个不同问题。以欧盟《数据法案》为例，其核心是重新配置联网产品数据的访问和使用规则，并没有建立一般意义上的“数据所有权”；在中国大陆，通常所称的数据资源“入表”也不意味着所有数据都可以作为独立资产确认，更不意味着完成评估即可直接按评估值入账。企业如果把这些不同层次混为一谈，则容易在数据交易、授权、定价或资本化过程中形成权利基础不足和对外承诺过度的问题。

（一）欧盟：Data Act 将联网产品数据从封闭控制转向法定访问与共享

欧盟《关于公平获取和使用数据的统一规则条例》（Regulation (EU) 2023/2854 on harmonised rules on fair access to and use of data，Data Act/数据法案）自2025年9月12日起适用。该法规并非针对个人数据保护建立新的“数据所有权”，而是围绕联网产品及相关服务产生的数据，重新配置用户、数据持有者和第三方之间的访问与使用关系。其基本逻辑是：用户应能够取得其使用联网产品或相关服务所产生且数据持有者能够合法获取的产品数据与相关服务数据（用户不是数据主体时，其中，个人数据的提供仍须具备《欧盟通用数据保护法》要求的合法基础）；在满足法定条件时，用户还可以要求数据持有者将数据提供给其指定的第三方，从而降低制造商或平台对产品数据与相关服务数据的事实锁定。

欧盟《数据法案》对企业商业模式影响较大的规则主要包括四点：

第一，联网产品和相关服务的数据访问与第三方共享。对于2026年9月12日以后投放欧盟市场的联网产品和相关服务，《数据法案》第三条第1款进一步要求在相关且技术可行的情况下，将产品数据和相关服务数据设计为默认可由用户直接访问。

第二，在法律要求企业间提供数据的场景中，企业对企业（business-to-business，B2B）数据提供应遵循公平、合理和非歧视条件，并可在规则允许范围内获得合理补偿；同时需要平衡商业秘密保护的需求。

第三，法规限制企业在数据访问和使用合同中利用明显不公平条款排除另一方权利。

第四，数据处理服务的客户获得更强的切换和可携带权，云服务等数据处理服务的切换费用将于2027年1月12日起原则上不得再收取，但仍应区分正常服务费和合法的提前终止费用，且服务商不得通过变相收费规避切换义务。

《数据法案》进入实施阶段后，欧盟委员会持续补充操作性工具。2025年9月，欧盟委员会发布与《数据法案》配套的车辆数据指南；2025年12月上线 Data Act Legal Helpdesk，为企业和公共机构提供具体法律问题支持；2026年1月22日又更新《数据法案》常见问题（Frequently Asked Questions，FAQs）至1.4版。同时，欧盟委员会已发布关于数据访问和使用的非约束性模板合同条款（Model Contractual Terms，MCTs）及云计算合同标准条款（Standard Contractual Clauses，SCCs）的建议草案，MCTs及云服务SCCs是自愿使用的合同工具。欧盟委员会还计划继续发布强制B2B数据共享合理补偿等指南。这些配套材料使《数据法案》关于数据访问和共享的要求在合同、接口、补偿、商业秘密及行业适用等方面更加具体，也为企业实际落实相关义务提供了更明确的操作依据。

德国的进展进一步增强了该法规的可执行性。德国《数据条例适用与执行法》（Gesetz zur Anwendung und Durchsetzung der Datenverordnung，Datenverordnung-Anwendungs-und-Durchsetzungs-Gesetz，DADG）于2026年5月30日生效，将德国联邦网络局（Federal Network Agency for Electricity, Gas, Telecommunications, Post and Railway；Bundesnetzagentur，BNetzA）确立为《数据法案》的核心主管机关，但德国BNetzA的执行职权不取代个人数据保护机关依法享有的职权。BNetzA可以处理投诉、主动调查、要求提供信息和材料、采取临时措施并执行合规命令；DADG同时建立了具体违法行为和差异化罚款规则。

对企业而言，欧盟的核心合规思路不是简单“开放全部联网设备数据”，而是先识别哪些数据属于《数据法案》覆盖的产品数据和相关服务数据、企业在不同场景下承担何种数据持有者义务，再把用户访问权、第三方共享、补偿机制、商业秘密保护和接口能力落到产品与合同中。尤其对于联网产品制造商，商业模式不能继续建立在“设备数据天然由制造商独占”这一假设上。

（二）美国：同一联网汽车数据商业化事实触发联邦与州两层执法

1. FTC 对 General Motors & OnStar 的联邦执法：隐蔽二次利用被纳入“不公平或欺骗性行为”审查

美国联邦贸易委员会（Federal Trade Commission，FTC）针对通用汽车集团旗下 General Motors LLC、General Motors Holdings LLC 和 OnStar, LLC 的联网汽车数据商业化处理行为，于2025年1月首次公布拟议执法命令，并于2026年1月14日形成最终命令。案件涉及其OnStar 联网汽车服务及 OnStar Smart Driver 驾驶行为功能。FTC指控，通用汽车在用户注册和使用相关功能时，没有充分、清晰地告知其会持续收集精确地理位置和驾驶行为数据，并将这些数据出售给第三方消费者报告机构；相关数据随后被用于形成驾驶行为报告，并可能被保险公司用于承保或费率决策。

FTC的法律依据主要是美国《联邦贸易委员会法》（Federal Trade Commission Act，FTC Act）第5条关于不公平或欺骗性行为或做法的禁止。FTC认为，问题不仅在于数据被出售，更在于通用汽车向消费者呈现的产品用途、注册流程和隐私声明表述与真实的数据收集和商业化用途之间存在差距，使消费者无法作出充分知情的选择。

FTC针对通用汽车的最终命令施加了长期行为约束：通用汽车在五年内不得向消费者报告机构披露相关地理位置和驾驶行为数据；在20年命令期间，应在收集、使用或共享联网汽车数据前取得肯定性明示同意（适用有限例外），向美国消费者提供数据副本和删除机制，并提供关闭精确地理位置收集或退出部分地理位置、驾驶行为数据收集的机制。该案提示企业，数据最初为了安全、导航、驾驶反馈等产品功能而收集，并不意味着可以不经重新评估就扩展至保险风险画像、数据经纪或其他影响消费者重要利益的用途。

2. 加州对 General Motors 的州级执法：同一商业化链条进一步触发目的限制和数据最小化责任

2026年5月8日，加利福尼亚州总检察长办公室与旧金山、洛杉矶、纳帕和索诺玛四个县的地方检察官，在加利福尼亚州隐私保护局（California Privacy Protection Agency，CalPrivacy）的支持下，公布与 General Motors（GM）达成的隐私执法和解。加州调查聚焦的仍是OnStar和Smart Driver数据商业化：根据官方起诉材料，GM在2020年至2024年间向 Verisk Analytics, Inc.（Verisk）和 LexisNexis Risk Solutions（LexisNexis）两家数据经纪相关主体出售大量加州消费者的姓名、联系方式和驾驶行为数据，其中向LexisNexis提供的数据还包括精确地理位置信息。两家机构拟利用这些数据开发可向汽车保险商提供的驾驶评分产品；GM通过在全美范围内开展相关车辆数据销售业务，累计获得约2000万美元收入。

加州执法机关认为，GM没有向消费者充分披露上述出售行为，并曾通过隐私声明表述使消费者理解为其不会出售驾驶或位置数据，或只有在消费者明确指示时才会为保险用途披露。并且，GM还长期保留了已超出提供OnStar或Smart Driver服务所需期限的驾驶和位置数据，再将其用于后续出售。加州因此依据《加利福尼亚州消费者隐私法》（California Consumer Privacy Act，CCPA）及加州《不正当竞争法》（Unfair Competition Law）追究责任，并将本案明确作为CCPA“数据最小化”原则的首次执法。GM在和解安排中同意支付1275万美元民事罚款，并接受五年内不得向消费者报告机构出售驾驶数据、删除部分既有驾驶数据、要求相关数据接收方删除数据、建立和维护更完整隐私治理项目等约束。

这两起执法具有很强的对照意义：同一联网汽车数据商业化链条，在联邦层面可以被FTC从“是否构成不公平或欺骗性数据实践”审查，在加州层面又会进一步受到CCPA的告知、出售/共享控制、目的限制和数据最小化等隐私法要求约束。企业因此不能把“美国没有统一联邦综合隐私法”等同于数据商业化空间更宽。对于精确位置、驾驶行为、健康、金融等可能影响消费者重要利益的数据，联邦消费者保护执法与州隐私法可能形成叠加监管。

（三）中国大陆：从“数据二十条”到入表、授权运营和数据交易生态，数据价值化进入制度化推进阶段

中国大陆在数据商业化领域的政策主线与欧盟、美国不同，更强调在安全合规前提下培育数据要素市场、扩大数据供给和形成多元价值实现机制。2022年发布的《中共中央国务院关于构建数据基础制度更好发挥数据要素作用的意见》（通常称“数据二十条”）已经从数据产权、流通交易、收益分配和安全治理四个方面建立基础制度框架，并明确提出促进数据合规高效流通使用。此后，制度建设逐步从“能否流通”扩展至“如何登记、如何授权运营、如何交易、如何进行会计确认和资产管理”。

1. 数据资源“入表”已经形成会计规则，但不等于所有数据都可以确认为资产

财政部《企业数据资源相关会计处理暂行规定》自2024年1月1日起施行，主要解决企业数据资源在现行企业会计准则体系下如何确认、计量、列示和披露的问题，并未创设独立于现有会计准则之外的“数据资产”类别。具体而言，企业持有和使用的数据资源，只有符合无形资产定义及确认条件，才能确认为无形资产；企业在日常经营活动中持有、以对外出售为最终目的的数据资源，只有符合存货定义及确认条件，才能确认为存货。对于企业内部形成数据资源涉及的研究开发活动，还应区分研究阶段和开发阶段：研究阶段支出应在发生时计入当期损益，开发阶段支出只有符合无形资产准则规定的资本化条件，才能确认为无形资产。

财政部在《关于严格执行企业会计准则切实做好企业2025年年报工作的通知》中进一步强调，数据资源的会计处理仍应严格遵循现行资产确认和计量规则：不符合资产定义和确认条件的数据资源不得确认为资产；相关支出如果在以前期间已经费用化计入损益，不得因后续情况变化而将此前支出重新资本化；企业内部形成或者外购的数据资源应当以成本计量，不得将评估等方式得出的金额直接作为入账或者调账依据，特殊取得方式应另按对应准则判断。因此，数据资源能否进入企业资产负债表，仍取决于其是否符合相关资产的确认条件及计量要求。数据登记、价值评估或者流通交易等活动本身，并不当然产生资产确认或者账面价值调整的会计效果。

2. 数据资产管理从单一会计处理进一步扩展至全生命周期治理

财政部自2025年初至2026年底组织开展数据资产全过程管理试点，试点范围覆盖部分中央部门、中央企业和地方财政部门，重点围绕数据资产台账编制、登记、授权运营、收益分配和交易流通等环节形成可复用管理模式。这意味着中国的数据资产治理正在从“是否入表”的会计问题，进一步扩展为数据来源、控制关系、登记、运营、收益、交易和退出等全过程管理问题。对企业而言，数据资产运营前置的核心仍是数据来源合法、权利和授权边界清晰、个人信息及数据安全义务能够满足，而不是先做估值再补权利基础。

3. 公共数据从开放共享进一步进入登记、授权运营和市场化产品供给

公共数据资源开发利用也在形成更加完整的制度链条。2025年，国家发展改革委、国家数据局形成公共数据资源开发利用“1+3”政策体系，其中《公共数据资源登记管理暂行办法》建立全国一体化登记机制，《公共数据资源授权运营实施规范（试行）》明确授权运营决策、实施、登记、价格、信息披露和安全管理要求。授权运营并非将原始公共数据直接出售给市场，而是由符合条件的运营机构在授权范围内对公共数据进行治理、开发，并面向市场公平提供数据产品和技术服务；规范同时要求严格管控未依法依规公开的原始公共数据资源直接进入市场。

值得注意的是，《公共数据资源授权运营实施规范（试行）》还明确要求识别和管控“数据资产化、数据资产资本化不当操作”带来的安全隐患并防范金融风险。由此可以看出，中国政策一方面推动公共数据开发利用和价值释放，另一方面并未把“资本化”作为不受约束的价值放大工具。对于以公共数据为基础开展融资、资产化或收益设计的项目，授权范围、产品化方式、成本收益核算、数据安全和金融风险均需要单独论证。

4. 数据交易方式和市场主体持续扩展，数据价值实现从单一交易走向多元化

2026年2月，国家数据局、工业和信息化部、公安部和中国证券监督管理委员会联合发布《关于培育数据流通服务机构加快推进数据要素市场化价值化的意见》，进一步明确数据交易所（中心）、数据流通服务平台企业和数据商等不同主体的功能定位，并提出发展更加多样的数据价值实现方式。政策不仅支持传统的数据采购和交易，还提出数据换数据、换订单、换服务、换模型、换场景等交换方式，探索数据作价出资，支持数据资产合规化、标准化、增值化服务，推进数据资产入表并探索数据资产运营与收益分成。

国家数据局2026年4月发布的《全国数据资源调查报告（2025年）》进一步提供了市场侧数据：2025年全国年度数据生产总量达到52.26泽字节（zettabyte，ZB），企业数据流通总量达到1935.36艾字节（exabyte，EB），同比增长25.17%；样本企业中11.65%的企业购买过数据，企业购买数据费用同比增长22.36%；企业数据产品和服务交易额同比增长39.8%，数据资产入表金额同比增长34.63%；公共数据开放数据量同比增长31.71%，授权运营数据量同比增长53.96%。这些指标说明，数据付费、数据产品交易、公共数据授权运营和数据资源会计确认都在扩大，但仍处于制度持续完善和市场逐步成熟阶段。

因此，中国大陆数据商业化监管趋势可以总结为“鼓励流通与规范价值实现并行”：政策明确支持数据交易、数据产品开发、授权运营和一定形式的资产价值应用，但并没有取消个人信息保护、数据安全、商业秘密、合同授权和会计确认条件。特别是“数据作价出资”“数据资产资本化”等做法，目前仍在有边界的探索，并未形成可以普遍复制的成熟资本化制度。

综合欧盟、美国和中国大陆的制度发展，可以看到三种具有代表性的监管逻辑：欧盟通过法定访问和共享权限制联网产品数据被单一主体长期封闭控制；美国通过联邦消费者保护和州隐私法限制企业将原本为产品功能收集的数据隐蔽转化为新的商业用途；中国则在数据安全合规底线下，持续建设数据资源会计确认、资产管理、公共数据授权运营和数据交易市场规则。尽管各法域制度路径不同，但数据商业化均要求企业对数据来源、权利基础、使用目的、第三方流向及交易条件建立清晰、可验证的合规基础。

第一，先明确数据商业化的权利基础和可利用边界。

企业在设计数据产品、数据交易或其他商业化模式前，建议首先对相关数据的来源、性质、权利基础、处理目的及相关主体权利进行系统审查，明确企业对不同数据依法享有何种使用、共享、许可或者交易权限，以及哪些数据受到个人信息保护、商业秘密、合同约定或者其他权利限制。只有将数据事实、权利边界和拟开展的商业用途结合审查，才能判断相关数据是否真正具备商业化利用条件。

第二，再根据目标市场和具体商业模式落实产品、合同及交易安排。

不同法域对数据商业化的监管重点并不相同，建议企业将法律要求转化为具体的产品和交易合规机制。欧盟业务应重点落实联网产品数据访问、用户及第三方数据共享、商业秘密保护、合理补偿以及云服务切换等要求，并将相关义务前置到产品设计和合同体系；美国业务则应重点区分为核心产品或服务所必要的数据处理与后续出售、共享、广告、风险定价等二次商业利用，对精确地理位置、驾驶行为、跨情境行为广告共享、敏感个人信息使用及相关退出权等高敏感场景建议加强告知、合法性基础、选择、目的限制及第三方提供的独立审查；中国大陆业务则应在数据产品开发和交易前，对数据来源合法性、相关权益、个人信息和数据安全要求、合同授权及交易条件进行整体评估。数据商业化合规的关键，不是简单确定数据“归谁所有”，而是明确具体场景下企业可以如何取得、使用、开放、共享和交易相关数据。

第三，将数据商业利用、数据交易与资产化、资本化安排分层处理。

特别是在中国大陆，数据登记、价值评估、数据交易、会计确认以及作价出资、融资等资本化安排分别受到不同制度规则约束，不宜将其设计为当然递进的流程。数据资源完成登记或者评估，并不意味着当然符合资产确认条件；符合会计上的资产确认条件，也不当然代表企业已经取得充分的数据使用、处分或者交易权限。因此，企业开展数据入表、作价出资、收益权安排或者其他数据资产运营时，应分别审查数据权益基础、交易可行性、会计确认与计量、估值依据以及可能涉及的公共数据、国有资产、金融监管等其他要求，避免将法律上的数据利用权利与会计、估值或者资本市场意义上的“资产化”混为一体。

第四，建立覆盖数据商业化全生命周期的持续治理机制。

数据商业化并非一次性合规判断。建议企业建立由业务、产品、法务、隐私与数据合规、安全及财务等相关职能共同参与的治理机制，并将新增数据用途、第三方共享或销售、AI训练、广告和风控利用、跨境提供以及数据资产运营等重大变化设置为重新评估的触发事项。重点确保实际数据流转和商业模式始终与用户告知、合同约定、内部权限及技术控制措施保持一致，并留存必要的决策和合规证据。监管实践表明，合规制度文件本身并不足以降低数据商业化的合规风险，企业还需要确保真实业务模式能够被准确识别、审查并持续反映在外部合规告知和内部合规控制措施之中。

第一，欧盟的数据商业化规则将进一步进入实际执行阶段。《数据法案》已经适用，德国等成员国的国家执行体系也已落地，未来争议将更多集中在具体数据是否属于可访问范围、接口是否真正可用、第三方共享是否受到不当限制、补偿是否合理以及商业秘密保护是否被正确使用，而不再停留在抽象讨论“用户是否享有数据访问权”。

第二，美国对数据商业化的执法预计仍会保持联邦与州规则叠加的特征。GM案件说明，企业对同一数据的收集、保留、二次使用和出售可能同时触发FTC Act以及州级综合隐私法和联邦消费者保护法约束。尤其对于能够揭示精确地理位置、行为习惯、健康、金融状况或影响保险、就业等重要利益的数据，商业化用途与最初产品功能之间的距离越大，企业越需要重新建立清晰的告知、选择和数据最小化依据。

第三，中国数据要素市场将继续沿“扩大供给、促进流通、规范资产管理和防范价值应用风险”几条路线同时推进。预计公共数据开放和授权运营、企业数据采购、高质量数据集和数据产品交易仍有较大增长空间，数据资源入表和数据资产全过程管理也会继续积累实践；但从财政部和国家数据局现有政策看，未来规范重点同样会包括防止不符合条件的数据资源入表、避免以评估值直接替代会计计量，以及防范不当数据资产化和资本化带来的风险。

总体来看，“数据能否产生商业价值”正在由一个单纯的业务问题转变为产品设计、数据权利、隐私与安全、合同、会计和交易规则共同决定的问题。对跨市场经营的企业而言，更可持续的做法不是先把数据变现，再为不同市场补充合规文件，而是在产品和数据架构形成时就同步确认哪些数据可以内部使用、哪些需要向用户开放、哪些可以向第三方提供，以及每一种商业化用途需要满足什么前提。

系列研究·下篇预告