浅析平台内经营者数据调用中“正当理由”的应用｜法如山

图文｜Akon  

公众号｜法如山

在数字经济蓬勃发展的背景下，平台内经营者（即“商户”）对用户数据的调用已成为商业运营的核心环节。然而，数据调用的合法性边界问题，尤其是“正当理由”的认定标准，始终是法律实务中的争议焦点。本文结合《网络安全法》《数据安全法》《个人信息保护法》及相关司法实践，对平台内经营者数据调用的正当性认定进行探讨。

一、法律框架下“正当理由”的规范构造

“正当理由”作为数据处理的合法性基础，其内涵需从法律确立的基本原则中提炼。《网络安全法》第41条确立的“合法、正当、必要”原则，构成数据处理活动的底层逻辑。《数据安全法》第32条进一步强调数据获取与使用的正当性要求，禁止任何形式的非法数据攫取。而《个人信息保护法》第5条至第14条，则通过目的限定、最小必要、单独同意等规则，将抽象原则转化为可操作的法律要件。

从规范体系看，“正当理由”的认定需满足三重维度：合法性基础、目的正当性及手段必要性。

合法性基础指向《个人信息保护法》第13条明确的六类法定情形（如履行合同、法定义务等）；目的正当性要求数据处理必须与用户权益或公共利益直接相关；手段必要性则通过“最小化原则”限制数据调用范围，防止过度采集与滥用。值得关注的是，《网络数据安全管理条例》第19条明确提出“正当理由”的场景化解释方向，预示着立法将向精细化发展。

二、司法实践对“正当理由”的实质审查

三、典型场景的合规风险与应对

在订单履约场景中，数据调用的正当性边界相对清晰。《电子商务法》第24条[1]确立的“履约必需”原则，允许商家调用收货地址、联系方式等核心数据[2]，但需在服务完成后及时删除。[3]2022年某物流企业因长期留存用户电话号码被行政处罚的案例警示：数据留存期限必须与处理目的直接相关，不得以“后续服务”为由无限期持有数据。

精准营销场景则面临更严苛的合规要求。根据《个人信息保护法》第24条，基于用户画像的个性化推荐必须取得单独同意。实务中，合规难点在于同意获取方式的有效性。某头部电商平台采用的“双层弹窗”设计（首层说明营销目的、二层设置偏好选项），因符合“知情—自愿—明确”要件，已被多地法院认定为有效授权范式。

跨平台数据调用则是风险高发区。平台因共享用户行为数据实施联合营销，存在被认定违反《个人信息保护法》第23条[4]关于“向其他个人信息处理者提供数据需重新取得授权”的规定的可能性。即使是企业集团内部不同主体之间的数据流动仍需遵循独立授权原则，不可因主体关联性放松合规要求。

四、合规体系构建的路径优化

构建适配平台经营特点的合规体系，需贯彻“预防—控制—救济”的全周期管理。在预防阶段，应建立数据分类分级制度，区分核心业务数据（如支付信息）、辅助数据（如浏览记录）与禁止调用数据（如生物识别信息），并设置差异化的调用审批流程。某跨境电商平台实施的“数据调用白名单”机制（仅开放特定类型必要字段），为此提供有益借鉴。

在风险控制层面，技术手段与制度设计的融合至关重要。采用隐私计算技术处理用户画像数据，既能满足商业分析需求，又可避免接触原始个人信息，已在金融、医疗等领域形成成熟实践。同时，建立数据调用日志审计制度，记录调取时间、人员、目的及范围，可为应对监管审查留存证据链。

救济机制的完善同样不可或缺。平台内经营者需建立用户权利响应通道，对数据删除、解释说明等请求应在法定时限内处理。

五、总结

平台内经营者的“正当理由”认定需以履行合同、用户单独同意、法定义务为合法性基础，同时受平台规则严格限制。合规关键在于：通过平台工具调用数据、最小化数据接触、动态获取有效授权。商家需避免将“业务需求”简单等同于“正当理由”，而应结合法律与平台政策双重审查。

数据调用正当性的认定，本质是平衡数据价值释放与个人权益保护的制度设计。随着司法审查标准的趋严与立法精细度的提升，平台内经营者亟需构建“法律—技术—管理”三位一体的合规生态。只有将正当性要求嵌入数据调用全流程，方能实现商业创新与法律遵从的双重价值，在数字经济浪潮中行稳致远。

参考文献、涉及法律、法规及政策性文件

[1] 《中华人民共和国电子商务法》

第二十四条　电子商务经营者应当明示用户信息查询、更正、删除以及用户注销的方式、程序，不得对用户信息查询、更正、删除以及用户注销设置不合理条件。

电子商务经营者收到用户信息查询或者更正、删除的申请的，应当在核实身份后及时提供查询或者更正、删除用户信息。用户注销的，电子商务经营者应当立即删除该用户的信息；依照法律、行政法规的规定或者双方约定保存的，依照其规定。

[2] 具体标准参照GB/T 35273-2020《个人信息安全规范》第5.3条

[3] 《中华人民共和国电子商务法》

第二十四条　电子商务经营者应当明示用户信息查询、更正、删除以及用户注销的方式、程序，不得对用户信息查询、更正、删除以及用户注销设置不合理条件。

电子商务经营者收到用户信息查询或者更正、删除的申请的，应当在核实身份后及时提供查询或者更正、删除用户信息。用户注销的，电子商务经营者应当立即删除该用户的信息；依照法律、行政法规的规定或者双方约定保存的，依照其规定。

第三十一条　电子商务平台经营者应当记录、保存平台上发布的商品和服务信息、交易信息，并确保信息的完整性、保密性、可用性。商品和服务信息、交易信息保存时间自交易完成之日起不少于三年；法律、行政法规另有规定的，依照其规定。

[4] 《中华人民共和国个人信息保护法》第二十三条　个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。接收方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。

免责声明：文章内容如涉及作品内容、版权和其它问题，请在30日内与本公众号联系，我们将在第一时间删除内容。文章只提供参考并不构成任何投资及应用建议。

点击下方二维码关注法如山

点击下方二维码添加作者微信