数据的确权问题，一直是理论界研究的热点，更是实务界迫切需要解决的难题。2023年8月1日，财政部发布《企业数据资源相关会计处理暂行规定》，自2024年1月1日起施行。随着暂行规定的出台，一下子将数据确权问题推到了理论和实务的最前沿，数据资源入表前必须经过确权这一流程，要确认企业对数据资源是合法拥有或控制的，这是任何一个市场主体都无法回避的问题。
1
确权的意义
数据资产入表，首先要解决权属的问题，无论计入无形资产还是存货，根据相应的会计准则，相应的财产都应当是企业拥有或控制的。因此，确权是数据资产入表的前提。
而数据资产入表后的产业运营，更需要进一步夯实资产权属，无论是企业利用被确认为无形资产的数据资源对客户提供服务，还是企业出售被却确认为存货的数据资源，在数据资源流通、交易和应用的过程中，如果存在权利瑕疵，将直接产生经济损失和被第三方索赔的风险。如果企业把数据资源作为发行债券、资产证券化的底层支持资产，对于数据确权将提出更高的要求。
因此，数据资源的确权，是数据资产入表的第一个环节，其影响贯穿了数据资产全生命周期和整个流通环节，需要高度重视。
2
如何理解数据资源的确权
数据资源的确权，不应限定在“所有权”的范畴，用“产权界定”来理解数据确权会更为准确。
首先，数据资源的形成，包含了多种类型数据的集合和再加工，仅从“所有权”的角度无法满足数据资源确权的要求，也不符合数据资源的特征。数据资源的产权，包含了数据资源持有权、数据加工使用权、数据产品经营权等多个类型（参见《中共中央国务院关于构建数据基础制度更好发挥数据要素作用的意见》，即“数据二十条”之三权分置），针对不同类型的数据产权，确权的逻辑是不同的，权属性质也不同。
其次，数据资源的确权，与知识产权相似，其本质是对智力成果的一种主权宣示，在没有相反证据证明第三方拥有权利的前提下，其财产权利归属于宣示主权一方。以《深圳市数据产权登记管理暂行办法》为例，该办法把数据产权登记定义为“数据产权登记机构将数据资源和数据产品的权属情况及其他事项进行记载的行为”，由此可以看出，数据资源的权属界定，“登记”只是一种被动的信息披露，本身并不具有固化权属的功能，但通过登记机构宣示主权，对于确权能够起到正向作用。
最后，数据资源的确权，在财务维度和法律维度上，要求是不同的。从资产入表的角度，有相应的财务凭证即可作为入账依据，无论是购买数据资源的合同、研发数据资源的工资支出等，在相应数据资源符合形式要件时即可作为资产认定；但，从法律维度上，确权的目的是防止未来第三方对权利归属提出质疑，或对权利实施侵害行为，为此需要在权利归属的实质上加以判断。从这个角度而言，法律确权是企业数据资产产权的安全港，只有经过法律确权流程归入企业的数据资产，才是真正意义上由企业拥有和控制的财产。
3
确权的难点与挑战
1、缺少法律的明文规定
目前我国法律层面还没有“数据产权”或类似的定义，《民法典》在第一编总则第五章民事权利第127条规定“法律对数据、网络虚拟财产的保护有规定的，依照其规定。”但该规定太过原则，在实务中实际上无法可依。
企业的数据资源如何确权，是企业数据资源入表前一个无法回避的问题。
数据资源中的数据包罗万象，有涉及企业和公民的财产信息，也有公民个人的身份信息，如用财产权的概念来进行保护，其中有关公民个人身份的信息就成为了财产权利人的私有财产，无法起到保护公民个人信息、隐私的作用；如果用人格权利来进行保护，其中的财产权利将受到极大限制，无法完成数据的流通，无法实现数据的价值；如果用不正当竞争法来保护，保护范围较窄，无法涵盖所有的财产权和人格权。
法律上的不确定性和模糊性，导致实务中对数据资源确权提出了极大的挑战。
2、数据溯源无法实现
我国的《网络安全法》于2017年06月01日施行，《数据安全法》于2021年09月01日施行，《个人信息保护法》于2021年11月01日施行。
早在我国数据领域三大基本法施行之前，一些大型互联网平台、数据型企业（如抖音、美团、滴滴等）就已经成立并开始运行，这些大型互联网平台、数据型企业的发展全部经历了一个我国数据领域法律的空白期，也正是在这个空白期内，大型互联网平台企业、数据型企业，收集了海量的数据，这种收集几乎是不受限制的、无需支付对价的，对信息的保护措施也是不到位的。
现在数据资源可以入表，但在数据资源确权中的数据来源合法性审查时，对这类企业的数据源从技术上无法实现溯源，或者溯源的成本过高从而导致数据资源入表失去意义，但不溯源又无法解决数据来源的合法性问题，导致数据资源无法入表。
如何把握数据资源溯源的广度和深度，现在无法可依无章可循。
3、合规体系尚未建立
从数据到数据资源再到数据资产，从单条几乎无价值的数据到万条数据的汇集形成有价值的资产，企业需要建立从数据收集、存储、加工、使用、共享、转让、销毁等各个环节的制度保障。
由于我国数据领域的立法远远落后于数据市场的应用，致使企业尚未建立符合数据全生命周期的合规体系建设，即便做的比较好企业，大多是将数据合规放在法务部门或风险管理部门，少有在企业内部就数据建立完善的合规体系和规章制度。
由于体系和制度的缺失，导致在数据资源确权工作时，主管部门不明确，多部门参加又都不负责，组织体系内部的协调耗费大量精力。
4
实践探索与较优路径
1、框架体系的搭建
在没有专门数据合规部门的情况下，也可以搭建一下临时的框架体系，制定相应的工作制度、工作流程、工作执行机制，在完成本次数据资源入表工作后，做为专门的数据合规部门的雏形予以保留并加强后续建设。
2、无法溯源数据的解决
针对前面提到的数据无法溯源或溯源成本过高的数据资源，企业可分段进行合规治理、整改。
以《网络安全法》《数据安全法》《个人信息保护法》（以下合并称“三法”）生效施行的时间为主要节点，对之前收集现仍存储的数据，依据三法的规定并结合当时法律法规，进行梳理和整改，整改后存储的数据应达到三法的规定，要做好数据安全保护工作，保证数据不发生被篡改、泄露、丢失等。三法施行后收集、存储的数据，应严格按照三法要求及现行的规章、规范、标准进行治理。
3、充分利用现有的数据登记制度
现有的数据登记制度主要有两种：一种是按照知识产权进行登记，国家知识产权局办公室关于《确定数据知识产权工作试点地方的通知》，确定北京市、上海市、江苏省、浙江省、福建省、山东省、广东省、深圳市等8个地方作为开展数据知识产权工作的试点地方，发放数据知识产权登记证书；二种是由各数据交易所/交易公司，发放数据登记证书。以上两种证书虽不能完全起到数据资源确权的作用，但对数据资源确权工作起到积极的正面引导作用。企业在符合条件的情况下，可以申请登记取得相应证书。
4、确权秉持守正创新原则
《民法典》《网络安全法》《数据安全法》《个人信息保护法》《关键信息基础设施安全保护条例》这些法律法规的条文规定虽然比较原则，但在数据资源确权之路上，仍是必须遵守和依靠的主要法律规定。
《关于构建数据基础制度更好发挥数据要素作用的意见》（以下简称“数据20条”）为数据资源确权提供了主要的政策依据。尤其是文件中提到的数据三权“数据资源持有权、数据加工使用权、数据产品经营权”，为数据资源确权明确了方向。我国现有部分省市政府，依据这三权，分别出台了地方性的数据确权文件。
例如海南省发布的《海南省数据产品超市数据产品确权登记实施细则（暂行）》，首创提出“数据产品的所有权，是指申请对象对拥有的数据产品享有占有、使用、收益和依法处分的权利”。
深圳市发布的《深圳市数据产权登记管理暂行办法》（征求意见稿）提出“数据产权登记，是指数据产权登记机构将数据资源和数据产品的权属情况及其他事项进行记载的行为。”
不管是“数据产品的所有权”还是“数据产权”均没有脱离数据20条中三权的规定，是对三权在实践中创新式适用。数据资源入表的确权工作，也必将以数据20条的规定，从持有权、加工权、经营权三方面进行梳理和确认。
2023年9月8日中国资产评估协会发布《数据资产评估指导意见》自2023年10月01日起施行，该指导意见中有关数据资产的法律属性，对入表前的数据资源确权有一定的借鉴意义。该指导意见中数据资产的法律属性主要包括授权主体信息、产权持有人信息，以及权利路径、权利类型、权利范围、权利期限、权利限制等权利信息。这是一份更加具体明确的指导文件，具有实操性，数据资源确权可以此为入口，逐项分析层层深入。
5、确权中的法律审查
数据来源的广度和深度，决定着数据资源的复杂性，每一个数据都是在不同的商业模式和应用场景下产生的，离开应用场景就不能很好的理解数据资源，一数据一场景，数据资源确权工作，不能生搬硬套，而是根据不同行业、不同的数据源、不同数据权利类型、不同应用场景，由法律专业人员提供专属的法律审查和确权服务，以达到数据资源确权合规合法有用的目标，为数据资源入表扫清不合规障碍。
END
来源 | 炜衡上海律师事务所、合规社
声明 | 文字内容来源于网络；非原创文章不代表本号观点，仅供参考，如有侵权，请及时与我们联系。
