数字经济下商业数据行政监管机制研究

窦星宇 曹琳

      【摘要】数字经济背景下，商业数据兼具经营利益与公共治理属性，单纯私法保护难以应对权属界定、流通利用及风险防控等难题。我国现行数据治理框架虽已初步形成，但仍存在重安全轻流通、分类标准不稳、程序保障不足及多头监管协调不畅等问题。商业数据治理需安全、流通与利用并重，因此有必要引入行政监管机制，通过分层分类监管、场景化识别规则、程序保障完善、部门协同及企业合规嵌入，构建安全保障、权利保护与要素流通相统一的行政监管体系，释放数据要素价值，助力数字经济高质量发展。
      【关键词】商业数据；行政监管；数据要素
一、商业数据行政监管的制度背景与现实需求
      党的十八大以来，我国数据治理制度体系正从单一安全防护向“安全与发展并重”转型。《中华人民共和国数据安全法》维护国家安全与发展利益，《中华人民共和国个人信息保护法》确立合法性基础与最小必要原则，《关于构建数据基础制度更好发挥数据要素作用的意见》强调激活数据要素价值，均印证了这一趋势。在此转型期，如何精准界定监管边界、明晰行政权责并稳定市场预期，构成核心命题。制度转型仍在细化中，尤其在商业数据这一兼具经营属性与公共影响的领域，如何细化监管、明确职责并形成稳定预期，仍是理论与实践共同面对的重要课题。
二、商业数据进入行政监管的规范逻辑
      （一）商业数据对单纯私益范畴的超越
      商业数据的价值早已突破企业内部资源的狭隘定义，其生成与应用深度嵌入宏观市场活动。例如，跨境电商平台用户的购买行为、支付流水及物流轨迹，直接关乎宏观的库存调配、价格策略与精准营销。在平台型企业、连锁经营企业和数字服务企业中，商业数据已成为决定组织效率与市场话语权的核心要素。企业通过对数据的深度加工，提炼出算法能力、风控能力、供应链协调能力与营销能力。这种数据竞争价值呈现出显著的动态性与结构性特征，其对市场格局的颠覆性影响远超传统静态财产收益。
      （二）行政法介入的独立正当性
      行政法介入商业数据不仅是私法补充，更是独立的制度干预。平台掌握数据可能形成市场支配力，跨境经营涉及出境风险，处理不当可能削弱消费者知情权。私法机制通常在损害发生后才启动，而商业数据风险一旦现实化，难以通过事后救济修复。如信息大规模泄露后损失具有长期性与扩散性，平台利用数据形成不公平优势后，被排挤者也难以通过个案诉讼恢复市场地位。对此类问题，行政法更适合发挥前置预防与持续监督功能。信息不对称下，民事自行维权成本高、效果有限，行政机关通过规则设定、合规检查与专业审查介入，具有明显制度优势。
三、商业数据行政监管的现实构造
      （一）以安全规制为核心的制度展开
      商业数据行政监管由网络安全、数据安全、个人信保护及数据要素制度共同构成，以安全为核心。
      我国数据法治建设起步于对安全风险的集中回应，商业数据治理早期采取“先设防、后优化”路径，虽迅速建立了底线规则，但制度重心偏于禁止、审批和风险识别，对一般经营性数据的合规流通与创新利用缺少精细安排。《中华人民共和国数据安全法》要求重要数据分级管理，《中华人民共和国个人信息保护法》规定合法性基础和最小必要原则，《中华人民共和国网络安全法》要求关键信息基础设施运营者承担安全义务。现行制度已解决“数据活动不能无规则运行”的问题，但尚未解决“不同数据活动应如何区别对待”的问题。对高风险活动严格监管具有正当性，但对大量中低风险的经营性数据活动若仍按相近强度约束，便会产生制度资源错配和企业合规负担过重的后果。      （二）分散执法格局
      执行层面呈现分散化特征。网信部门负责数据出境与平台合规，公安、工信、市场监管及行业主管部门分别监管网络运行、行业数据及平台秩序。企业在实践中面临多头监管、标准差异及程序复杂问题。
      分散执法格局在实践中表现为两个层面的不协调：一是实体标准不完全一致，不同部门对同类数据活动的关注重点不同；二是程序接口不够统一，企业往往需要分别回应不同机关的材料要求、时间节点与审查方式。对于具有跨平台、跨区域、跨行业属性的数据活动而言，这种制度分割会被进一步放大。更重要的是，分散监管不仅增加成本，还会影响制度信号的清晰度。企业在面对多套规则时，往往难以判断究竟何种风险最需要优先控制、何种程序最具有决定性效力，从而导致内部合规投入难以形成重点。对于监管而言，部门之间若缺乏信息共享与裁量衔接，也可能出现重复检查、标准冲突甚至责任交叉不清的问题。
四、商业数据行政监管的主要缺陷
      （一）监管目标偏移
      现阶段的制度价值序列仍将安全防御置于绝对优先的位阶。对多数数据活动施加高强度的前置控制，使监管实质上从“重大风险防范”滑向了“普遍性审慎管理”。在一般经营数据场景中，这严重压缩了企业的容错空间与技术创新动能。安全当然是商业数据治理的前提，但如果安全被理解为对多数数据活动实行近似强度的前置控制，就会使监管由“防止重大风险”滑向“普遍审慎管理”。这种趋势在高风险领域有其合理性，但在一般经营数据场景中则容易压缩企业试错、创新和合作的空间。
      （二）分类识别标准失稳
      分类标准的模糊直接冲击了行政法上的法律确定性原则。数据类别的界定直接关乎企业合规义务的范围与行政强制措施的边界。标准的长期不确定，迫使企业在“过度合规”与“违规惩戒”间被动摇摆，亦导致行政自由裁量权的无序扩张。分类识别标准不稳并非单纯的技术细则不足，而是直接影响行政法上的确定性原则。对企业而言，数据分类决定了应履行何种合规义务；对监管机关而言，分类则决定了其可以采取何种行政措施。若分类边界长期处于模糊状态，企业将难以形成稳定预期，监管裁量也可能因缺乏统一标准而扩大。
      （三）程序法治控制效果不足
      繁复的审批流程、不明晰的标准与不透明的程序，阻碍了监管从“管理型”向“法治型”的转型。在数据治理这一专业性极强的领域，行政决定的正当性高度依赖于程序的公开透明及救济渠道的畅通。企业对监管决定的接受程度，不仅取决于结果本身，更取决于程序是否公开、可申辩、可救济。程序规则不足直接削弱了制度的可预期性与可接受性，意味着行政监管尚未完成向“法治型行政”的充分转化。
五、商业数据行政监管机制的完善路径
      针对上述问题，商业数据行政监管机制的完善不能停留在原则性倡议层面，而应当沿着“重塑监管结构—明确分类规则—强化程序法治—提升协同效能—嵌入企业合规—形成动态治理”的逻辑逐层推进。只有这样，制度改革才能既回应现实中的突出难题，又与数字经济条件下数据活动的运行规律相衔接。如表 1 所示，通过将规范逻辑、制度缺陷与改革方案如上表所示，分层治理、程序法治、部门协同与企业合规并非空洞的政策口对应起来，可以更清楚地说明：分层治理、程序法治、部门协同与企业合规并非政策口号，而是由商业数据自身的估→分级许可/备案→监管抽查→合规整改→定期复核。复合属性和现实监管困境共同推导出的制度选择。

      （一）监管机制完善的论证逻辑结构
      如上表所示，分层治理、程序法治、部门协同与企业合规并非空洞的政策口号，而是基于商业数据复合属性与现实困境严密推导而出的制度必然。
      （二）核心完善举措的纵深展开
      为提高监管效率并兼顾企业创新，应全面构建涵盖分级许可、跨部门协作、程序控制及企业参与的现代化机制。其动态实施流程可概括为：数据收集→风险评估→分级许可/ 备案→监管抽查→合规整改→定期复核。
      1. 重塑分层治理结构体系：摒弃统一高压式管理，代之以基于风险差异配置的阶梯型干预模式。这要求不仅区分数据类型，更需结合数据的敏感度、影响域、潜在损害及不可逆性进行评估。对涉及个人敏感信息、核心重要数据及关键平台规则的活动，维持严格的行政许可与重点审查；对一般经营数据及去标识化的低风险交易数据，则应全面下放至备案、自主承诺与随机抽查的治理轨道。
      2. 细化场景化识别与解释规则：国家层面应主导制定高度精细化的行业分类标准，针对平台经营、零售流通、跨境服务、智能推荐及供应链协同等高频核心场景，发布具有强操作指导意义的解释清单与典型案例库，促使监管边界由模糊裁量向精准映射转型。
      3. 夯实正当程序的法治底座：推动数据监管由结果控制向过程导向的法治行政演进。在涉及限权、处罚或定性等重大行政决策时，监管部门必须履行详尽的说明理由义务，并实质性地引入陈述、申辩、听证与复核机制，以此增进企业对监管逻辑的认同，培育主动合规的法治文化。
六、结语
      综上所述，商业数据行政监管的核心并非以行政控制消解企业经营自主，而是在充分认识数据复合属性与外部性的基础上，为数据活动建立合理边界与运行秩序。行政法的作用既包括底线规则设定与风险预防，也包括通过程序保障、部门协同与合规引导为数据流通和创新利用提供稳定预期。监管机制若不能与时俱进，便可能在安全不足与规制过度之间反复摇摆。唯有在制度层面形成更清晰的分类、更充分的程序、更顺畅的协同与更灵活的动态调整机制，商业数据治理才能真正走向现代化。
参考文献
[1] 王永强，李佐：《商业数据法际协同治理的规范路径及其展开》，《湖北经济学院学报》2025 年第 23 卷第 2 期 .
[2] 中国信息通信研究院互联网法律研究中心、北京市金杜律师事务所：《数据治理研究报告（2024 年）——网络数据安全管理法律制度体系研究》，2025 年 1 月 .
[3]Regulation (EU) 2016/679 of the European Parliament of the Council of 27 April 2016 (General Data ProtectionRegulation).