数据可携带定义、作用、潜在消极影响及制度建设进展如何？

消费者数据流通的制度工具。

一、什么是数据可携带（Data Portability）

数据可携带是指自然人或法人请求数据持有者将有关该人的数据以结构化、通用和可机器读取的格式随机或持续地转移给该人或特定第三方的能力（有时被描述为一种权利）。数据可携带权由 2016 年欧盟《通用数据保护条例》第20 条首次创建，作为一种新型数据权利，其目的是赋予数据主体对其个人数据的更多控制权，同时也是支持欧盟个人数据自由流动并促进控制者之间竞争的重要工具。

欧盟《数据可携带权指南》进一步将可携带权分成两部分：个人数据接收权（a right to receive personal data）和个人数据转移权（a right to transmit personal data from one data controller toanother data controller）。前者指数据主体有权请求数据持有者将数据主体本人提供的个人数据传输给自己。后者指数据主体可要求数据处理者直接将其个人数据传输给另一数据处理者。两种个人数据传递路径可简约为：①数据持有者A→个人→数据持有者B；②数据持有者 A→数据持有者 B。此外，数据可携带可能涉及如下制度规定，例如，数据持有者是否可以收费；用户多久可以请求并接收其数据副本；验证用户或安全传输信息的技术规定；数据接收方（第三方）需要遵循的安全标准或使用数据的限制，数据泄露或数据滥用的责任；哪些数据受到此要求的约束，哪些数据（例如专有数据）被豁免等。

二、数据可携带的积极作用

数据可携带的潜在价值取决于涉及的行业和数据，通常具有三个方面好处。

1.增加市场竞争和消费者选择用户能够将其数据从一个服务提供商迁移到另一个服务提供商，降低转换成本和避免供应商锁定，从而促进竞争。数据可携带鼓励企业通过提供更好的服务来留住客户，使新进入者更好地与现有市场参与者竞争。没有数据可携带和对数据二次使用的许可，数据保护规则可能会导致数据垄断，从而损害消费者福利并限制创新。

2.促进数据流通和市场创新 为了开展数据驱动的创新，组织通常需要访问外部数据。当数据限定在单一服务中时，其价值受限于该服务如何使用数据。数据可携带允许用户将其数据分享给其他服务，打破数据垄断，使得数据用于二次目的，为创新提供更多机会。例如，消费者可以利用数据可携带将信用卡消费的数据副本快速转移到在线预算应用中，消费者实现个人财务的深入洞察，同时利用这些数据开展全新金融规划应用。 数据可携带性还可以刺激新业务模式的创立，如个人信息管理系统（PIMS）和个人数据存储（PDS）赋予数据主体等。

3.保障消费者信息自决权 数据可携带使用户对其信息拥有更大掌控。消费者可以获取完整的数据副本，无需依赖第三方。当数据持有者终止服务、将免费服务更改为付费服务、修改服务条款或破产时，消费者不会失去其数据。个人信息能够在转移过程中，不断地补充和完善，使其准确性得到提高，避免因为个人信息的错误而对个人产生不利影响。

三、数据可携带的潜在消极影响

可携带权是一把“双刃剑”，在促进数据流通和市场创新的同时，面临潜在的消极影响。这就要求政策制定者进行谨慎的制度设计，发挥可携带权制度工具作用的同时，尽可能规避风险。1.增加合规成本 为了响应个人行使可携带权的请求，数字平台需要承担一定的合规成本，以实现系统之间的互操作性，这将增加数据服务领域的准入门槛。数字平台为履行数据迁移义务所付出的合规成本，最终可能转嫁到消费者身上。

2.加大数据安全挑战 身份冒用的危害在可携带权的行使过程中被扩大。一旦个人的身份被冒用，由于可携带权允许个人一次性下载或转移其所有的个人信息，加大个人信息泄露危险。在数据传输过程中，可能出现数据转移对象错误、数据传输至资质不佳的数据服务商等情况，从而导致数据泄露的风险增加。3.降低企业数据收集投入意愿 数据可携要求将部分数据利益重新分配给数据主体，削弱了企业对数据的掌握能力，并降低其开发数据收集类应用程序的意愿。

四、国外数据可携带制度建设进展

数据可携带已经被多个国家和地区纳入数据制度规则构建之中。由于互联网发展程度、社会发展水平、商业模式和基础条件等有所不同，这些国家和地区在实施前提、数据范围、请求次数、传输方式等数据可携的制度设计细节和要求方面也存在差异。

1.欧盟 2016 年欧盟 GDPR 首次明确数据可携带权。2022 年欧盟《数字市场法案》（DMA）将可携带权规定为大型平台的义务。2024年欧盟《数据法案》（DA）赋予消费者物联网数据访问权，以及规定消费者与第三方数据共享的权利，即应消费者的请求，数据持有者应以同样的标准向第三方提供数据。2024 年《欧洲健康数据空间条例》规定了电子处方、医疗报告、化验结果、出院报告等六类适用可携权的数据类型。2.美国 美国没有统一联邦数据保护法，数据可携制度主要体现在部门立法之中。比如，2009 年《经济和临床健康信息技术法案（HITECH）》赋予个人从相关实体获得电子健康信息副本，且可要求该实体将副本直接发送给个人指定的实体或个人的权利。2016 年《21 世纪医疗法》，对数据可携带提出了额外要求，包括数据交换标准、用于健康信息交换的安全应用程序编程接口（APIs）等。2010 年《多德-弗兰克华尔街改革和消费者保护法》赋予消费者以电子格式访问其金融信息的权利，相关主体应根据要求，向消费者提供该主体控制或处理的消费金融产品或服务的信息。

3.韩国 韩国在 2020 年 1 月修订的《信用信息法》中规定了在MyData服务中可以应个人要求传输个人信息到服务运营商，后又在2021年 1 月公开征求意见的《个人信息保护法（修正案草案）》中添加了个人信息可携带权的相关条款。韩国 2021 年 12 月对《电子政务法》进行修订，引入公共数据的公民可携带权，即公民可以要求行政、公共机关等，将所拥有的与本人相关的行政信息提供给本人或第三者。

4.新加坡 新加坡国会于 2020 年底通过了《个人数据保护法修正案》，修改 2012 年通过的《个人数据保护法》（Personal Data ProtectionAct）。修订后的新加坡《个人数据保护法》新增了个人数据携带权和数据传输义务相关内容。 5.澳大利亚 2019 年澳大利亚通过《消费者数据权利法案》主要内容包括：数据持有者（如四大银行）必须向消费者或经消费者许可的数据接收者分享消费者数据。同时数据持有者必须公开自己的产品参数，包括利率、费用和收费等信息，以及申请信用卡和抵押等银行产品需要符合的相关资质要求。2020 年澳大利亚通过《消费者数据权利规则》，主要是对法案的细化规定，包括对产品参数请求、消费者数据请求、争端解决、数据标准在内的重要问题提出操作方案。