摘要：“数据二十条”在构建数据产权制度时，初步提出了数据访问权的概念，即应当保障数据来源者享有获取或复制转移由其促成产生数据的权益。面对实践中数据资源配置不合理、数据“访问-控制”关系失衡的问题，现有法律机制无法实现有效治理，有必要创设数据访问权以解决相关问题。域外立法的经验积累以及我国政策和实践的初步发展，也为数据访问权的引入提供了良好条件。考虑到多元利益冲突、数据产业发展尚处上升期等情况，应当对数据访问权的引入秉持谦抑性态度，谨慎设计数据访问权的权利主体、权利客体、权利内容、权利行使方式、权利行使费用、权利救济方式等基本要素。

关键词：数据访问权；数据来源者；数据持有者；智能产品

基金项目：国家社会科学基金重大项目“互联网交易制度与民事权利保护研究”（项目编号：20&ZD192）、对外经济贸易大学中央高校基本科研业务费专项资金资助（项目编号：24QD12）的阶段性成果。

本文刊于《苏州大学学报（哲学社会科学版）》2026年第2期第100-112页。为阅读方便，此处删去了原文注释和参考文献，如有媒体或其他机构转载，请注明文章出处。

当前，智能汽车、智能家居设备等智能产品的广泛应用使人们生活愈发便捷舒适，但跨品牌、跨平台智能产品不愿开放数据访问权限，导致智能产品之间无法实现互联互通的问题也愈加凸显。“买5台家电，却要下载4个App来管理”“操控空调，必须找相应品牌的App”等问题屡见不鲜，给用户的实际使用造成极大困扰。

2022年12月发布的《中共中央 国务院关于构建数据基础制度更好发挥数据要素作用的意见》（以下简称“数据二十条”）首次在国家政策层面提出，应当“充分保护数据来源者合法权益……保障数据来源者享有获取或复制转移由其促成产生数据的权益”。从“获取或复制转移”的表述来看，这种权利与个人信息可携权颇为类似，但“数据来源者”“由其促成产生数据的权益”等用语表明，其并非仅以保护数据主体人格权益为目标，而更多地考虑到数据来源者在数据价值生成中的贡献，指向对数据上财产权益的公平分配。事实上，这种权利更接近欧盟《数据法案》中的数据访问权（data access right），后者是指，对于使用产品或服务中产生的数据，用户有权向数据持有者请求直接访问，或者请求数据持有者向第三方传输。　　

无论是从“谁投入、谁贡献、谁受益”的公平分配要求出发，还是强调数据访问对数据流通与再利用的促进作用，构建合理的数据访问权制度均有重要意义。囿于篇幅，本文仅关注数据来源者与数据持有者均为私主体的情形，公共部门和公共数据不在本文研究范围之内。

考虑赋予数据来源者以数据访问权，起因在于实践中的数据“访问-控制”关系存在结构性失衡。一方面，数据来源者对于由其促成产生的数据有广泛的数据访问需求，这一数据访问需求伴随着网络技术和传感技术在人们生产生活中的深化应用而愈发强烈；另一方面，数据持有者往往将数据视为自己的竞争资源，不愿意向数据来源者开放数据访问权限，更倾向于对数据资源进行排他性控制。对此，现有法律机制虽然可以在一定程度上缓解数据访控关系的失衡情况，但是各项机制有其本来的制度目的，并不能完全契合智能数字时代的数据访问需求。因此，或有必要创设新型权利即数据访问权以解决相关问题。

（一）数据来源者对于数据的访问需求

　　在网络平台场景中，数据来源者对于由其促成产生的数据存在强烈的访问需求，这种访问需求既有人格利益面向也有经济利益面向。用户既希望个人信息得到准确维持、在虚拟世界的个人形象不被扭曲、个人意志不受平台潜在操控，同时也希望其在原平台上发布的心情、生活记录、图片音视频等数据可以一键迁移至新平台，以优化在新平台的用户体验。

与网络平台场景类似的是，在物联网场景中，作为数据来源者的用户对于由其促成产生的数据同样存在重大利益期待。一方面，联网产品传感器收集的数据与使用该产品的用户的隐私和个人信息密切相关，比如智能手表收集的运动轨迹数据、心率变化数据、生理周期数据，智能家居设备收集的作息时间数据、声音数据、位置数据、生活习惯数据，等等。对于此类数据，用户希望可以获得访问权限，同时不希望相关数据被他人知晓，除非这是该产品正常运作所必需的。另一方面，用户对于使用联网产品过程中产生的数据亦有强烈的经济利用需求。其一，对相关数据的访问可能构成用户实现在同一市场的产品增值使用的必要前提。比如，在智能家居中，用户必须请求智能门锁、智能电视、智能厨房、智能水电表等设备的制造商向智能家居控制系统开放实时数据访问权限，否则将无法实现智能家居控制系统的总控功能，也无法实现对多个智能家居设备的互联使用。其二，对相关数据的访问可能构成用户使用上下游市场的第三方增值服务的必要前提。比如，在智能汽车中，定制保险服务需要获取持续的行车数据，导航App服务依赖于人机界面的GPS实时数据，独立的维修服务商则需要获取详细的车况数据。

（二）数据持有者对于数据的排他性控制

　　虽然数据来源者对于由其促成产生的数据存在强烈且必要的访问需求，但是在实践中数据持有者一方倾向于对数据进行排他性控制，数据来源者及其他市场主体难以获得数据访问权限。

在网络平台场景中，平台对于数据的排他性控制主要是借助合同手段和技术手段实现的。一方面，合同手段体现在平台与用户订立的格式合同中。比如，《微博服务使用协议》第1.3.1条、第1.3.2条规定：“微博运营方对微博内容（微博内容即指用户在微博上已发布的信息，例如文字、图片、视频、音频等）享有使用权。未经微博运营方事先书面许可，用户不得自行或授权、协助任何第三方非法抓取微博内容。”另一方面，就技术手段而言，平台通常会采取Robot协议等技术措施以限制第三方爬虫行为。原则上，其他企业不得故意破坏或绕开平台的技术措施对平台内的数据进行抓取。　　

在网络平台场景之外，物联网场景中数据持有者对于数据的排他性控制同样值得关注。在前数字时代，产品制造商对于所售产品及其后续生成数据的控制能力是有限的，而在传感技术与联网技术飞速发展的智能物联时代，产品制造商得以实现对于相关数据的“独占控制”。以汽车行业为例，在传统机械汽车时代，二级市场（如维修服务、导航服务、保险服务）的服务提供商可以通过查阅汽车事故记录、观察汽车仪表盘数据等方式获取相关数据，汽车制造商无法对此类数据进行排他性控制，最多只能通过申请配件专利、提高维修门槛、降低车载OBD接口的互操作性等方式限制第三方服务提供商获取必要数据。但在智能网联汽车时代，借助传感器和联网设备，汽车制造商对汽车及其数据的控制延伸到了汽车的全生命周期。对于数据控制的技术措施，欧洲汽车制造商协会提出了“扩展车辆”方案，即通过专门设计的SIM卡获取、收集汽车数据，进而将相关数据传输到汽车制造商控制的中央数据服务器平台，并在该服务器平台中做进一步的数据存储、处理和分析。诚然，“扩展车辆”有助于实施产品监控、确保网络安全和行车安全，但同时也意味着汽车制造商对于汽车数据具备了全面的、持续的事实控制能力，如果用户想要选择第三方提供的配套服务，那么必须首先获取对数据的访问权限，即需要向汽车制造商提出申请、获得许可。

　　数据持有者倾向于对数据进行排他性控制，而非授予用户以访问权限，主要有两个方面的原因：其一，法律状况不明朗、数据估值不确定等问题导致了较高的交易成本。不过，该问题在近些年已经得到了较好解决，在政策立法的规范指引（如“数据二十条”）和数据交易所的中介辅助下，数据登记、价值评估、数据产品合规体系、数据安全体系等业务进入有序发展阶段，数据交易成本问题已有了妥善的解决路径。其二，数据持有者希望维护和利用现有数据优势，限制相关市场的其他企业基于对数据的访问利用而展开竞争。这一点是数据持有者对数据实施排他性控制的根本原因。从实践来看，场内数据交易在制度建设已趋于完备的背景下，仍然处于起步阶段，与之形成鲜明对比的是，场外数据交互正在如火如荼地进行。数据的交互利用是当前数据流通更为广泛使用的商业模式。企业并非直接交易数据获利，而是与内部各机构以及外部关联各方共享数据，进而打通跨界业务，构建企业的全业务链条。比如，汽车制造商在生产、销售、售后等各个阶段收集、分析、共享数据，包括但不限于消费者偏好感知、智能广告推送、获得客户订单、排产制造、物流体系配送、车辆使用监控、维修预警、保险推荐等，从而实现业务链的全面打通和生态圈的不断拓展。

（三）消费者福利与数据价值最大化

　　在“数据来源者-数据持有者”这一具象框架之外，从更高层面的数据作为新型生产要素的社会价值视角来看，数据访控关系的结构性失衡不仅导致数据来源者的数据访问需求无法得到满足，同时还将影响消费者福利和数据价值的最大化实现。

　　国家数据局等部门新近联合发布了《“数据要素×”三年行动计划（2024—2026年）》，提出应当发挥数据要素的乘数效应，推动数据要素高效合规流通。数据要素的乘数效应主要通过以下两种作用机理实现：一是复用增效，数据在不同场景、不同领域的复用，将推动各行业知识的相互碰撞，创造新的价值增量；二是融合创新，不同类型、不同维度数据的汇聚和融合，将催生新产业、新模式。

　　数据要素的乘数效应产生于数据的非竞争性与有限排他性，体现了数据的社会正外部性特征，数据持有者对数据的排他性控制存在固有的市场失灵。数据来源者权益保护措施，尤其是“数据二十条”提出的赋予数据来源者以数据访问权，将有助于解决这一市场失灵情况。一方面，用户作为数据来源者可以以低成本或者零成本，转换使用不同供应商提供的产品或服务，从而降低锁定效应、增加消费者福利。在网络平台场景下，高昂的转换成本多体现为历史数据、社会关系数据的丧失，不过这些数据可以通过新平台的持续使用而逐步重建。但是在物联网场景中，如果不能访问产品制造商所持有的数据，那么用户根本无法实现对第三方产品的互联使用，亦无法实现在维修、保养等增值服务中向第三方服务提供商的转换。另一方面，数据访问权允许数据来源者自由访问数据，甚至基于利用需求而向其他企业迁移数据。这将大大促进数据的流通与共享，为社会创新和市场竞争提供良好基础。借助数据访问权，其他企业将有机会获取原本被少数企业封锁的数据，从而进行面向用户的产品研发与服务创新。流动中的数据为数据持有者以外的企业提供了参与市场竞争的机会，让产品服务回归到通过提升消费者体验而获取用户黏性的道路，最终将促进消费者福利的增加，实现数据社会价值最大化。

数据“访问-控制”关系存在结构性失衡，并不必然意味着需要在立法层面创设新型权利以解决相关问题。现有法律体系中已经存在有助于满足用户需求、促进数据流通的制度，比如个人信息可携权、竞争法机制、合同机制等。如果现有制度足以实现相关目标，那么创设数据访问权将是不必要的。

（一）个人信息可携权的制度错位

　　在网络平台场景中，自然人用户的身份数据、行为数据等落入个人信息范畴，而《个人信息保护法》第45条第3款已经规定了信息主体对个人信息享有可携权。用户可以通过行使个人信息可携权满足对此类数据的访问需求。不过，平台中的数据并非都是与可识别的自然人有关的数据。自然人用户创建的数据，包括但不限于用户在互联网上发布的天气情况、心情描述、日常生活记录、风景照片、纯音乐、影视作品剪辑等，这些信息往往并不属于“以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息”。

　　在物联网场景下，用户在使用联网产品过程中产生的数据虽然与用户个人具有较强的关联性，但相关数据通常以联网产品本身或者产品使用事件作为描述对象，因此大量数据属于非个人信息，比如智能汽车中的路况数据、耗能数据、磨损数据，智能家居中的温度数据、湿度数据，智慧农场中的光照数据、农作物生长数据，等等。

　　更为关键的是，个人信息可携权的制度目的与用户的数据访问需求并不匹配。个人信息可携权着眼于信息处理者与信息主体的权力失衡状态，意在赋予信息主体对个人信息更多的控制权。虽然立法者也希望通过个人信息可携权来缓解用户锁定情况，促进服务提供商之间的竞争，但这始终是在信息主体对个人信息的控制框架内进行的；特别是，个人信息可携权并未将可携数据定义为转换服务提供商所必需的数据。但是，从上文论述的用户的数据访问需求来看，用户所期望的并不（仅仅）是对个人信息的有效控制，而是对相关数据的有效利用，比如希望将所使用的产品与其他智能设备进行互联互通，从而实现产品利用的最大化，以及希望在售后市场转换至其他服务提供商，从而保障自由选择权。因此，对具有利用价值的非个人信息进行持续、实时访问，成为用户的主要诉求，而这些是个人信息可携权所无法满足的，亦在该权利的创设目的之外。

（二）竞争法的系统性局限

对于打破用户锁定与数据封锁，促进数据访问与数据流通，竞争法是目前最重要的规制手段。但是，在数字经济时代，现有竞争法机制显得力不从心。一方面，传统规制框架难以有效运作。网络平台处于多边市场，其竞争对象为用户注意力和流量，这导致相关市场的边界极为宽泛和模糊，很难进行传统替代分析。同时，平台提供服务的核心往往并非价格，而是通过免费服务的提供进行质量竞争，这使得既有的“价格中心型”分析框架无法适用。另外，数据滥用行为的认定也面临新挑战。禁止数据爬取、对他人爬取行为设置歧视性条件等行为在实践中屡屡发生，如何平衡企业经营自主权与公平竞争权、用户选择权之间的价值冲突成为棘手的问题。　　

另一方面，即使上述问题可以通过引入相对优势地位规制模式、重构相关市场分析框架、确立必要设施原则等方案得到一定缓解，但是竞争法机制终究无法有效地满足用户的数据访问需求。其一，竞争法仅规制企业与企业之间的竞争问题，作为自然人用户的数据来源者不能直接通过竞争法获得对数据的访问权。其二，竞争法只能通过个案审查进行事后干预，无论是时间成本还是金钱成本均耗费甚大。其三，在部分行业，数据封锁并非个案现象，而是已经成为严重影响整个行业健康发展的重要障碍，事后个案审查的竞争法已远远不能满足特定行业需求。鉴于竞争法路径的本质是在事后赋予申请者以数据访问权，因此事前介入，即通过立法直接赋予特定主体以数据访问权，在某种程度上也是必要的。

（三）合同机制的市场失灵

　　还需要讨论的是，可否通过合同机制来解决数据访问难题。对此，有学者已经注意到，实践中关于数据访问权的约定通常是通过格式条款进行的，“广大分散的数据来源者个体往往没有与数据处理者展开充分谈判和协商的机会，数据来源者对数据的合理利用需求很可能会得不到有效满足”，因此，有必要通过法律来确认数据来源者的权利。

　　该观点值得赞同，数据持有者与数据来源者的谈判能力不平衡，是数据访问权的合同方案失效的根本原因。作为格式合同的起草者和数据资源的持有者，数据持有者自然会倾向于在条款制定过程中直接对其他主体的数据访问权进行限制或者排除。在数据持有者与数据来源者同为企业的情况下，双方的权力失衡问题尚不明显，可以通过谈判协商来解决数据访问问题。此时，即使数据来源者企业规模较小、谈判能力不足，导致未能获得自己想要的结果，这也是市场自由竞争的自然结果，只要仍然处于竞争法和反垄断法的允许范围内，那么便是合法合理的。与之不同，若数据来源者为自然人，那么数据持有者与数据来源者之间存在巨大的权力势差，自然人主体往往没有与数据持有者企业展开谈判的机会和能力。如果立法层面放弃对数据来源者的数据访问权进行确认，那么数据持有者通过格式合同排除、限制数据来源者数据访问权限的做法即是合法的，并不存在合规风险。长此以往，排除、限制数据访问权限将成为实践中的通常做法，数据来源者的数据访问空间将会被不断压缩。

（四）域外经验与现实条件

　　面对数据“访问-控制”关系的结构性失衡以及现有法律机制无力应对的现状，“数据二十条”首次在国家政策层面提出，应当保障数据来源者享有访问由其促成产生数据的权利。作为一项新型权利，域外相关立法的经验积累以及我国政策和实践的初步发展，已为数据访问权的引入提供了良好条件。

　　从国际视角来看，欧盟在21世纪初已经开始探索数据访问权的立法实践，部分实践取得了较好的成效，目前数据访问权已经成为欧盟数据治理体系的重要组成部分。

在欧盟成文法中存在两种数据访问权，一是仅适用于个别行业的纵向数据访问权，二是普遍适用于各个行业的横向数据访问权。纵向数据访问权旨在解决个别行业因数据垄断而导致的市场失灵问题，典型代表是汽车售后市场。大型汽车制造商凭借数据优势在售后服务市场也占有优势地位，并倾向于拒绝向独立的服务提供商开放汽车数据访问权限，这严重影响了相关市场的有序竞争。对此，欧盟于2007年颁布了《机动车型式认证以及车辆维修和保养信息获取条例》，并于2018年通过《关于机动车的独立技术单元的批准和市场监督条例》进行了更新。根据以上条例，汽车制造商应当向独立的服务提供商提供无限制、标准化和非歧视性的车载诊断信息，包括适用软件、车辆维修和维护信息的完整参考和可用下载。与纵向数据访问权不同，横向数据访问权旨在破除各个行业普遍存在的数据共享障碍，确保数据资源的公平分配，促进消费者、企业、社会等多元主体共享数据价值。盟于2024年颁布的《数据法案》正式确立了横向数据访问权，该权利的基本内涵是，对于使用联网产品或相关服务中产生的数据，用户有权向数据持有者请求直接访问，或者请求数据持有者向第三方传输。　　

在此，需要注意的是，虽然欧盟较早开始了数据访问权立法活动，在理论和实践中积累了丰富的经验，但是对于我国而言，制度移植应当始终立足于本国国情，并对具体制度进行细致深入的梳理分析。比如，欧盟《数据法案》有较为强烈的产业保护倾向，这一点在横向数据访问权的权利主体、权利客体、权利内容等构成要件中均有体现。因此，对于数据访问权应进行批判性借鉴和本土化建构。在我国，尽管数据访问权尚处于讨论探索阶段，但是政策文件已经初步涉及数据访问权的设立，学界对于数据访问权的历史沿革与规则目的也展开了一定研究；同时，既有的个人信息可携权实践、数据交易实践等也可以为数据访问权的设计提供经验借鉴。

　　一方面，现有的政策和学说为数据访问权的引入创造了制度空间和理论土壤。其一，“数据二十条”在国家政策层面对数据权益保护作出了重大创新，即淡化所有权、强调使用权，在此基础上对数据持有者和数据来源者进行了二元区分，并提出应当保障数据来源者享有数据访问权益。数据访问权旨在约束并制衡数据持有者权，可作为向数据持有者课予数据提供义务的规范支撑。其二，在“数据二十条”颁布前后，学界也迅速对数据访问权制度进行了广泛关注和研究分析，目前已经形成了初步成果。有的学者梳理了欧盟数据访问权的理论基础和立法变迁，提出了适合我国国情的设权建议；有的学者从数据要素公义市场之建构出发，强调数据访问权在数据权利二次配置中的重要角色；还有学者对数据来源者与数据处理者的权利关系进行了深入分析，确定了数据来源者权利的基本准则和内容构成。

　　另一方面，数据访问权在权利内容、权利行使方式等方面与个人信息可携权存在高度的相似性，在技术实现方式上与数据交易亦有共通之处。因此，个人信息可携权和数据交易的现有实践可以为数据访问权的落地实施提供良好经验。其一，针对个人信息可携权，企业目前已形成两种较为成熟的信息提供方式：一种是企业主动设置操作指引，公开提供具体的查阅复制路径，由信息主体自行查阅、下载所需信息；另一种是企业通过设置专门的系统或人工客服渠道，受理信息主体提出的查阅复制请求，在经过一定的审查程序后再行决定是否响应请求事项。以上信息提供方式同样可以适用于数据访问权的行使场景中，而不会给数据持有企业造成过度的负担。其二，数据交易在技术实现方式上大体可分为两种，一是数据提供方授予数据需求方访问权限，即数据提供方向数据需求方提供应用程序编程接口（API接口），数据需求方按照约定的访问权限对相关数据进行实时持续访问；二是数据提供方向数据需求方交付数据集，即数据提供方根据数据需求方的要求采集、筛选、汇总数据后向数据需求方直接交付相应的数据包。提供API接口和直接交付数据包作为数据访问的通用技术方案，也可以为数据持有者履行数据开放义务提供参照。

在肯定了创设数据访问权的必要性与可行性之后，如何引入数据访问权、如何具体设计相应规则，即成为下一步需要回答的问题。对此，应当辨别与其相关的多元利益竞争，审慎探索数据访问权的权利引入方式以及权利主体、权利客体、权利内容等基本构成要素。

（一）数据访问权的谦抑性引入

数据访问权的权利结构并不局限于数据来源者和数据持有者之间的关系，而是同时涉及多元主体和多元利益。从利益主体间关系视角观察，可以发现三个维度上的利益竞争：其一，数据来源者与数据持有者之间的利益竞争。数据访问权的行使可以为数据来源者带来产品互联使用和供应商切换上的便捷性利益。但是，从数据持有企业视角来看，这也意味着企业有可能失去一批原有客户，并且还要为辅助数据访问权的实现而投入大量成本，比如需要建设传输系统、验证个人身份、研发加密技术等。其二，数据持有者与数据接收者之间的利益竞争。在产品互联使用和供应商切换的大多数场景中，最终接收或访问数据的并非作为数据来源者的用户，而是用户所使用的智能产品和智能服务的其他供应商。考虑到相关数据很可能涉及数据持有者的商业秘密、知识产权，或者至少构成数据持有者的竞争优势，其他企业尤其是竞争企业对数据的访问将大大减损数据持有企业的利益。其三，宏观层面的利益平衡。虽然数据访问权有利于打破用户锁定和数据，使多元社会主体得以共同利用数据资源，但是一定程度上的锁定模式也可能是有利的，智能产品或服务的提供者可以进行长期规划和研发创新，并提供更优质量和更低价格的产品或服务。　　

数据访问权涉及复杂多元的利益竞争与利益平衡，这意味着不应简单地、一刀切地引入数据访问权制度，而应当提供一套对话、权衡的利益协调框架，促进各种利益的良性互动与平衡。这体现在两个方面，一是数据访问权规则形成的渐进性，二是数据访问权规则适用的纵向性。一方面，渐进性是指，在实践初期，监管者应当首先从市场出发，支持企业和行业协会根据实践发展情况，对数据访问权的引入进行探索和尝试。比如，行业协会可以发布“倡议书”或“行为指引”，鼓励企业采取数据访问友好型的产品设计和制造，使用户可以直接从产品的数据存储卡或者从特定服务器上访问相关数据。在数据产业尤其是物联网产业进入稳定发展期、数据访控关系失衡问题愈发凸显，且数据访问权实践操作已有一定积累之后，监管者便可通过立法方式引入强制性数据访问权。

另一方面，在立法之时，考虑到各个行业的发展情况和具体问题各有不同，先在个别行业进行有针对性的纵向访问权设计，而非直接推行一般性的横向数据访问权，可能是更合适的。从欧盟的经验和教训来看，数据访问权的立法实践最早发生在汽车行业，在21世纪初，欧盟汽车维修和保养市场已经出现了严重的数据封锁问题，对此，欧盟立法者创造性地提出了纵向数据访问权制度。该制度聚焦于当时汽车行业已经存在的市场失灵问题，在解决方案上也充分结合了汽车行业的自身特点，及时且有效地对汽车售后市场存在的障碍进行了清除。最近，欧盟尝试在物联网领域进行一般性的横向数据访问权立法，即2024年颁布的《数据法案》。但该立法受到了多个行业的广泛反对，人们普遍认为，数据访问权应当针对存在明显用户需求和市场失灵的特定行业。从现阶段的产业发展情况来看，横向层面的一刀切做法太过武断，纵向数据访问权、合同法、竞争法是更合适的规制工具，即应当综合利用现有的法律工具，并进行必要的纵向数据访问权立法。

（二）数据访问权的基本要素

　　在确定了对数据访问权的谦抑性引入态度后，进一步在理论上对数据访问权的基本要素进行初步讨论和建构，将有助于实践中企业、行业协会等对数据访问权进行探索设计，并可为后续立法层面的数据访问权之引入提供一定基础。

1.权利主体

　　就权利主体而言，数据访问权的权利主体是数据来源者。数据的生成过程是“通过技术手段将特定对象的状态、行为、内容或过程以数字化形式记录下来”的过程，被数据记录的对象即为“数据来源者”。数据既可以来源于人也可以来源于物，不过，物并不具有法律上的民事权利主体资格，因此当数据来源于物时，享有数据访问权的主体指向物背后的所有权人。

　　但是，并非所有数据来源者均可成为数据访问权的权利主体。王利明教授认为，数据访问权是指“用户”可以访问、查询相关数据内容的权利，类似地，欧盟《数据法案》也将数据访问权的权利主体限制于“使用产品或服务的用户”。该观点值得赞同。如果数据来源者不是用户，比如游客在旅行途中对沿途的房屋、汽车、麦田等进行拍照，那么除非相关行为涉及数据来源者的隐私，否则数据来源者无权请求对照片的访问。从分配正义视角来看，只有用户对于数据生成做出了实质性贡献，且其对于在使用产品或服务中产生的数据具有强烈的访问需求时，赋予用户以数据访问权才具有合理性，同时不会给数据持有者造成过度的负担。

　　对于用户的具体范畴，一方面，欧盟数据访问权的权利主体不仅包括作为产品所有权人的用户，也包括因租赁产品而享有使用权的用户。从贡献和需求角度看，租赁产品的用户作为数据来源者，确实也应享有对相关数据的访问权限。但是，从数据持有者角度看，租赁关系发生在产品所有权人和第三人之间，第三人是否享有合法使用权，对于数据持有权人而言是难以验证的，可能产生过度的、不合理的制度成本。因此，在衡量多方利益后，应当认为仅购买产品的用户享有数据访问权，租赁产品的用户可以在租赁协议中与产品所有权人另行约定对相关数据的访问。另一方面，有学者指出，在自然人用户之外，企业用户也应当享有数据访问权。对此，需要注意到，虽然在数据来源者认定上不应区别对待自然人用户和非自然人用户，但是数据访问权的一个重要功能在于，在数据来源者和数据持有者双方力量极不均衡的情形下，对数据来源者进行“充权”。当数据来源者为企业用户时，数据来源者和数据持有者之间的力量对比并不像自然人用户情形中那么悬殊，尤其是，作为数据持有者的产品制造商也可能是规模较小的企业，而作为数据来源者的企业用户可能是力量较大的跨国公司。因此，不宜将企业用户纳入数据访问权的权利主体中，此时双方应当通过合同方式对数据访问事宜进行商议。

2.权利客体

　　数据访问权的权利客体是数据，即用户在使用产品或服务过程中促成产生的数据。这里的数据并不限于个人数据，因为数据访问权的目标不在于保障信息主体的个人信息自决权，而在于促进用户共享数据利益，对用户的实质性贡献进行公平补偿，并考虑用户对于相关数据的客观需求。当然，如果相关数据包含其他主体的个人数据，那么数据持有者在开放相关数据的访问权限之前，应当对数据先做匿名化处理或者取得其他主体的同意。

　　此外，关于可访问数据的具体范围，欧盟立法者认为，对“使用产品或服务中产生的数据”这一权利客体应作狭义理解，即应当仅限于用户使用相关产品过程中“直接”产生的数据，比如传感器自动生成的数据或嵌入式应用程序记录的数据。如果数据持有者通过算法等技术对数据做了进一步加工，那么由此产生的衍生数据不应被视为数据访问权的客体。这种对权利客体的狭义理解值得肯定。与直接产生的数据不同，衍生数据强调数据处理者的实质性加工，即通过利用专业知识加工、建模分析、关键信息提取等方式实现数据内容、形式、结构等实质改变。虽然有学者指出，衍生数据可能是用户实现产品增值使用或使用第三方增值服务所必需的，但是，其一，在需求层面，无论是产品或服务的互联使用还是上下游市场的供应商切换，“直接”产生的数据已经可以满足用户对于数据的绝大多数利用需求；其二，在贡献层面，衍生数据的产生依赖于数据持有者的实质性加工和额外投资，此时数据持有者是数据生成的主要贡献者而非用户；其三，衍生数据通常是数据持有者重要的竞争资源，并可能构成数据持有者的商业秘密、知识产权。综上，在对各方利益进行权衡后，应当认为数据访问权的权利客体不包括推断数据和衍生数据。

3.权利内容

　　根据“数据二十条”，数据访问权的内容可以概括为数据来源者“获取或复制转移由其促成产生数据”的权益。从字面来看，数据访问权似乎可以分为以下两项子权利：获取权和复制转移权。不过，仔细分析后便可发现，（狭义上的）访问权和转移权是更为适合的表达。

　　狭义上的数据访问权，是指用户获取、复制由其促成产生的数据的权限。其一，从“访问”与“获取”的关系来看，与实物不同，利用数据并不需要“获取”数据的所有权或者取得对数据的排他性占有，数据来源者只要取得对数据的访问许可，即可满足对数据的利用需求。对于数据持有者而言，数据访问权意味着其可以灵活地设置多层级多程度的数据开放，而不会丧失对数据的实际控制。其二，从“访问”与“复制”的关系来看，对数据的复制往往以访问可能为前提，数据持有者只需向数据来源者提供访问接口并设定权限，数据来源者即可自行完成对数据的“访问-复制”。因此，数据来源者对数据的复制权限落入数据访问权的权利范畴。

　　所谓转移权，是指用户请求将由其促成产生的数据转移至其指定的第三方（即数据接收者）的权限。有观点认为，数据访问权应当仅限于数据来源者自身之需要，第三方企业并没有参与数据的生产活动，其对数据的“不劳而获”很可能破坏公平的竞争秩序。对此，应当注意到，其一，用户对于数据的访问需求指向对数据的利用，而这种利用往往以第三方对数据的访问、处理作为必要前提，比如用户希望将所使用的产品与其他智能设备进行互联互通、希望能够在售后市场转换至其他服务提供商等。假如数据访问权不包含面向第三方的数据转移权，那么数据访问权的功能将大打折扣，甚至可以说其制度目的将无法实现。其二，对于数据转移权可能破坏竞争秩序的担忧，可以通过其他方式予以解决。比如，对数据转移权进行限制，规定数据最小化原则，即第三方只能访问提供用户所要求的产品或服务所必需的数据。如果第三方通过格式合同诱导、欺骗或者胁迫用户，使后者负有过于广泛的数据访问义务，那么该条款不仅违反了数据访问权的数据最小化原则，同时损害了用户作为消费者的自主权、选择权和决策权，根据《民法典》第497条、《消费者权益保护法》第26条，相关条款无效。

4.权利行使方式

　　就权利行使方式而言，数据持有者应当履行必要的合同说明义务，设置合理的权利行使流程，并采取配套的技术措施，使用户可以较为便捷地实现对数据的访问。

首先，为保障用户的知情权，在订立产品买卖合同或服务提供之前，产品制造商、服务提供商应当以清晰易懂的方式向用户描述其在使用有关产品或服务过程中可能产生的数据之信息，比如数据类型、数据内容、数据结构、数据格式等，并对用户可以如何行使数据访问权进行明确充分的告知，比如API接口模式以及相应的使用条款和服务质量。　　

其次，从权利行使流程来看，产品制造商、服务提供商在产品或服务的设计制造过程中即应当将用户的数据访问需求考虑在内，使用户可以无需申请而直接实现对数据的访问。举例来说，汽车制造商可以在汽车内部设置车载数据接口，用户可以通过USB连接线、SIM卡读取器等设备自行访问相关数据；或者，网络平台可以在官方页面上设置一个链接，用户直接点击链接即可查阅、下载相关数据。在此之外，如果产品制造商、服务提供商确实无法满足用户对于数据的直接获取要求，那么也应当提供其他的便捷程序，使用户经简单申请即可获得相关数据的访问。比如，设置机器人客服或人工客服，在用户提出数据访问申请后，客服可对申请者的用户身份、访问事项等进行形式审查，审查通过后自动向申请者发送相关数据或提供数据访问链接。

　　最后，从技术措施来看，与个人信息可携权以及数据交易的实践操作类似，数据访问权有两种实现方式，一是数据持有者向数据接收者提供API接口，数据接收者按照约定的访问权限对相关数据进行访问；二是数据持有者采集、筛选、汇总数据后，向数据接收者交付相应的数据文件。不过，与个人信息可携权略有不同，数据访问权并非以保障信息主体对个人信息的知情、控制为目的，而是指向对数据的积极利用，这种利用往往需要对数据具有持续、实时的访问权限，比如，在智能家居场景中，智能家居控制系统的总控功能之实现，依赖于对智能门锁、智能电视、智能扫地机器人等单个设备的实时访问。因此，较之一次性的数据文件交付模式，可灵活设计访问时限、访问内容等的API接口模式是更适合数据访问权的技术手段。

5.权利行使费用

关于数据访问权行使的收费问题，无论是从产品自带接口或平台服务链接直接访问数据，还是通过人工客服、官网邮箱等间接请求访问数据，数据访问权的行使均应当是免费的。

诚然，为了满足用户访问数据的要求，数据持有者必将付出相应的人力物力成本，而且实践中可能出现高频、恶意的数据访问申请情况，给数据持有者造成不合理的负担，所以由用户支付合理的费用以补偿成本并预防风险，似乎是合理的。但是应当注意到，对数据访问权的行使收取费用，容易对用户行使权利造成妨碍，导致用户因顾虑经济负担而减少正常的数据访问需求，进而架空数据访问权的制度功能。当然，对于不符合条件或者多次甚至是恶意行使数据访问权的用户，数据持有者可以考虑收取相应的费用，而这可以由数据持有者在其建立的用户行使权利的申请受理和处理机制中做出相应的规定，不应当在权利设计时即做强制性规定。同时，随着技术的发展，访问和转移数据也会越来越方便，成本越来越低甚至忽略不计。因此，规定用户行使数据访问权时需要支付费用，并不妥当。　　

最后，需要指出的是，我国对于欧盟《数据法案》中的权利收费模式应当谨慎借鉴。欧盟的数据访问权收费方式在用户为个人和用户为企业的情形中有所不同，在前一情形中为免费，在后一情形中则进一步区分用户的规模：因提供数据而支付的合理补偿包括与提供数据直接相关的成本以及利润，但如果用户是中小型企业，那么合理补偿不应超过与提供数据直接相关的成本。欧盟将企业纳入数据访问权的主体范围，并规定了特定情形下的费用减免，带有鲜明的地方保护色彩。与中美相较，欧盟的数字企业相对弱小，赋予企业以数据访问权，并减免中小型企业的权利行使费用，将有利于欧盟数字企业的发展。对于我国而言，不需要也不应当做如此规定。企业之间的数据访问问题应通过合同协商自主解决，数据访问权的权利主体仅限于个人，且权利行使应是免费的。

6.权利救济方式

　　所谓“无救济则无权利”，对于数据来源者而言，如果数据访问权得不到有效保障、权利被侵害后无法得到有效救济，那么数据访问权的创设将是无意义的。

　　讨论数据访问权的救济方式，首先需要明确该权利的性质。有学者认为，数据访问权原则上是一种沟通治理型的权利，除非双方已经在合同中就数据访问权做出了约定，否则，数据来源者“仅可以向有关部门提起知情、访问、转移的请求，督促相关监管部门或行业协会对数据垄断、数据锁定、数据孤岛等问题进行调查与应对”。该观点值得商榷。如果数据访问权只是赋予了权利主体在权利受侵害时向有关部门进行投诉建议的权利，或者仍然有赖于双方当事人的进一步协商约定，那么数据访问权的效力将大打折扣，数据来源者既无法按照自己的意愿充分行使权利，亦无法在权利受侵害时得到法律的强力救济。鉴于此，数据访问权应当是一项法定的民事权利，“是当事人在没有特别约定的情形下应当享有的一项权利”。如果数据持有者未正确履行与数据访问权相对应的数据提供义务，那么数据来源者有权请求数据持有者承担民事责任。

　　从权利救济视角来看，数据访问权是一种相对权，数据来源者在行使该权利时，必须首先向特定的数据持有者提出请求，而不能向任何不特定的第三人主张；同时，只有在数据持有者不履行或不完全履行相关义务时，数据来源者才可以请求其承担责任。一方面，正如上文所提到的，由于数据持有者负有合同说明义务，应当在合同中就数据访问权的相关情况进行清晰明确的说明。因此，如果数据持有者未按合同约定向数据来源者开放必要的数据访问权限，那么数据来源者可以要求数据持有者继续履行数据提供义务，或者要求其承担损害赔偿责任（《民法典》第577条）。另一方面，数据访问权是一项关于数据的民事权利，虽然立法者目前尚未对数据访问权进行特别立法，不过《民法典》已经对数据权利的保护做了基本规定，根据《民法典》第127条，“法律对数据、网络虚拟财产的保护有规定的，依照其规定”。因此，如果数据持有者拒绝向数据来源者提供相应数据，或者没有为数据来源者行使数据访问权提供及时必要的便利，那么数据来源者有权请求数据持有者承担侵权责任（《民法典》第1165条）。一般情况下，数据持有者不履行或不完全履行数据提供义务的，既构成违约责任也构成侵权责任，数据来源者应当择一请求，而不能请求数据持有者同时承担上述两种责任。

“数据二十条”在构建数据产权制度时，区分了数据持有者权益与数据来源者权益，对于前者提出了建立数据资源持有权、数据加工使用权、数据产品经营权的“三权分置”方案，对于后者则初步明确了数据访问权方案。目前，学界对于数据权益分配的讨论大多聚焦于数据持有者的权益构成，而较少就数据来源者的数据访问权展开深入讨论。事实上，数据持有者与数据来源者同为数据经济生活的重要主体，二者之间具有紧密的共生依存关系，需要在法律层面对双方权益予以合理协调和审慎设计，以实现数据价值的公平分配，并促进数据生产与再利用。数据访问权的设权必要性产生于实践中数据“访问-控制”关系的结构性失衡问题，且现有法律机制如个人信息可携权、竞争法等无法实现有效治理。此外，域外立法的经验积累以及我国政策和实践的初步发展，也为数据访问权的引入提供了良好条件。考虑到多元利益冲突、数据产业发展尚处上升期等情况，应当对数据访问权的引入秉持谦抑性态度，对数据访问权的基本要素包括权利主体、权利客体、权利内容、权利行使方式等进行谨慎设计。