一、引言：数据二次利用的双刃剑效应
在数字时代，网络平台沉淀的海量用户数据已成为驱动创新的核心生产要素。所谓“数据二次利用”，通常指平台在收集用户数据的原始目的之外，对其进行分析、挖掘、组合并应用于新场景的过程，例如基于购物历史进行个性化推荐、利用社交关系优化广告投放，或将脱敏后的数据用于训练人工智能模型。这一过程极大地释放了数据价值，催生了新的商业模式和服务。然而，其引发的风险同样不容忽视：“大数据杀熟”侵犯消费者公平交易权，用户画像的过度细化可能导致“信息茧房”与隐私侵蚀，未经充分脱敏的数据流通可能引发群体性隐私泄露，而大型平台对数据的垄断性控制则可能扼杀市场竞争与创新。因此，如何为数据的二次利用设置合理的“安全阀”与“红绿灯”，成为全球数字治理的关键议题。
二、现行法律框架的核心规制路径
我国已初步构建起以《网络安全法》《数据安全法》《个人信息保护法》（以下简称《个保法》）为支柱的数据治理法律体系，为限制数据无序二次利用提供了基本遵循。
1. 以“告知-同意”为基石的严格事前约束
《个保法》确立了处理个人信息的核心规则——“告知-同意”原则。对于二次利用，其第六条规定的“目的明确”与“目的限制”原则至关重要：处理个人信息应当具有明确、合理的目的，并限于实现处理目的的最小范围，不得进行与最初收集目的无关的个人信息处理。这意味着，平台若想将数据用于新目的，原则上必须重新取得用户的单独同意。例如，一款导航App收集用户位置数据用于路径规划，若想将这些数据用于分析区域人群流动特征并出售给商业地产商，就必须清晰、明确地向用户告知新的目的、方式及范围，并获得用户的明确授权，而不能通过在冗长的隐私政策中“一揽子”授权来蒙混过关。
2. “合法、正当、必要”原则的实质审查
即便获得了同意，数据的二次利用也必须接受“合法、正当、必要”原则的审查。《个保法》第五条规定了这一基本原则。2021年发生的“微博诉脉脉不正当竞争案”终审判决（北京知识产权法院（2016）京73民终588号）具有标杆意义。法院认定，脉脉在未获得用户充分授权且未与微博平台达成合作的情况下，抓取并利用微博用户信息及社交关系数据，构成不正当竞争。此案虽从反不正当竞争法角度切入，但其核心法理与《个保法》精神一致，即数据的获取与利用必须遵循商业道德和合法性原则，不能以侵害他人权益和破坏市场秩序为代价。
3. 区分数据类型实施分级分类管理
《数据安全法》确立了数据分类分级保护制度。对于一般数据、重要数据和核心数据，其二次利用的限制强度依次递增。特别是涉及国家秘密、国家安全、重大公共利益的数据，其二次利用受到严格禁止或限制。在个人信息范畴内，《个保法》对敏感个人信息（如生物识别、金融账户、行踪轨迹等）的二次利用设定了更严格的门槛，要求取得个人的单独同意，并需进行个人信息保护影响评估。
三、规制难点与前沿探讨
尽管法律框架已立，但在实践中，对数据二次利用的有效限制仍面临诸多挑战与模糊地带。
1. “告知-同意”机制的实效性与豁免情形
现实中的“同意疲劳”和晦涩难懂的隐私政策，使得“告知-同意”机制往往流于形式。如何设计更人性化、更具交互性的同意机制（如分层同意、动态同意）是未来方向。同时，《个保法》第十三条也为无需取得同意的情形留下了空间，如“为订立、履行个人作为一方当事人的合同所必需”，或“为履行法定职责或者法定义务所必需”。如何界定二次利用是否符合这些豁免条款，存在解释空间。例如，平台为优化其算法模型而进行的内部数据训练，是否属于“为实现处理目的所必需”，仍需具体分析。
2. 匿名化数据的再识别风险与规制
根据《个保法》，经过匿名化处理（无法识别特定个人且不能复原）的信息不属于个人信息，其使用无需受个人信息规则约束。这被视为促进数据流通的关键。但问题在于，绝对的匿名化在技术上面临巨大挑战。随着多源数据的交叉比对，原本“匿名”的数据很可能被重新识别。2016年的“剑桥分析事件”即是明证：通过获取Facebook用户的公开资料及其好友网络，分析公司得以构建精准的心理画像，用于政治广告投放。这表明，对匿名化数据的二次利用，仍需施加一定的安全义务，防止其通过技术手段逆转为个人信息。
3. 平台作为“守门人”的责任边界
大型平台不仅是数据控制者，更是生态内数据流动的“守门人”。《个保法》第五十八条提出的“重要互联网平台服务”义务，要求其建立健全个人信息保护合规体系，并接受社会监督。这预示着，平台对其生态内第三方开发者的数据二次利用行为负有更高的审计与管理责任。未来，监管趋势可能要求平台建立更透明的数据接口管理规则和第三方数据使用追踪机制。
四、构建“法律+技术”协同的规制体系
完善的法律需要技术的支撑方能落地。限制数据二次利用，必须发展并采用 Privacy-Enhancing Technologies (PETs)。
1. 隐私计算技术的应用
联邦学习、安全多方计算、可信执行环境等隐私计算技术，能够在数据不出域、明文不暴露的前提下，实现数据的联合建模与分析。这为数据价值的释放与隐私保护提供了“技术解”。例如，多家医院可利用联邦学习技术共同训练一个医疗AI模型，而无需共享彼此的患者原始数据，从而在符合《个保法》和《数据安全法》要求的前提下，实现数据的合规二次利用。
2. 数据标注与溯源技术
通过区块链、数字水印等技术，对数据的来源、授权范围、流转路径进行全生命周期记录与追溯。一旦发生数据滥用，可以快速定位违规环节和责任主体，为事后监管和追责提供证据链。这强化了《个保法》规定的“可问责”原则。
3. 自动化合规与审计工具
利用人工智能技术，开发能够自动检测数据使用策略是否合规、是否超越授权范围的监管科技工具，帮助平台和企业实现常态化自查，降低合规风险。
五、未来展望：在发展中规范，在规范中发展
展望未来，对网络平台数据二次利用的规制，需在坚持总体国家安全观和以人民为中心的发展思想指导下，持续深化。一方面，需进一步细化《个保法》配套规则，出台关于“目的限制原则”适用、匿名化标准、数据可携带权实施等的具体指南。另一方面，可借鉴欧盟《数字市场法》的思路，探索对具有市场支配地位的数字平台施加更严格的“看门人义务”，要求其在数据跨平台流动、与商业用户关系等方面保持公平、透明与非歧视，防止利用数据优势实施垄断行为，这与中国反垄断监管机构近年来强化平台经济领域执法的方向是一致的。
同时，应鼓励在安全可控的框架下探索数据要素市场化配置。例如，在数据产权结构性分置制度的探索中，明确公共数据、企业数据、个人数据的权属边界和使用规则，为数据的合规二次利用与价值交换奠定产权基础。可以预见，在中国共产党的领导下，通过不断完善的法律法规、持续创新的技术手段和有效的市场监督，我们必将走出一条既能保障公民个人信息权益与国家安全，又能充分激发数据要素活力、赋能高质量发展的中国特色数字治理之路。
附录：本文引用的主要法律条文
- 《中华人民共和国个人信息保护法》
- 第五条：处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。
- 第六条：处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。
- 第十三条：符合下列情形之一的，个人信息处理者方可处理个人信息：（一）取得个人的同意；（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；（三）为履行法定职责或者法定义务所必需……
- 第二十八条、第二十九条：敏感个人信息的定义及处理要求（需取得单独同意）。
- 第五十五条、第五十六条：进行个人信息保护影响评估的法定情形及内容要求。
- 第五十八条：提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者的特别义务。
- 《中华人民共和国数据安全法》
- 第二十一条：国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。
- 《中华人民共和国反不正当竞争法》
- 第十二条：经营者利用网络从事生产经营活动，不得利用技术手段，通过影响用户选择或者其他方式，实施妨碍、破坏其他经营者合法提供的网络产品或者服务正常运行的行为。（“微博诉脉脉案”援引的核心法条之一）
