数据作为新型生产要素，被列为比肩土地、劳动力、资本、技术的“第五要素”。日前，市十五届人大常委会第三十七次会议表决通过了《上海市数据条例》，条例将于2022年1月1日起施行。
如何在满足安全要求的前提下，最大程度促进数据流通和开发利用，为上海全面推进城市数字化转型提供基础性制度保障？这部前瞻性法规试图解题。
明确数据权益保护机制
上海法院曾审理一桩大众点评诉百度不正当竞争案。百度公司未经许可，在“百度地图”和“百度知道”中大量使用来自大众点评网的信息，法院认为其实质性替代了原网站，具有不正当性，判决百度构成不正当竞争。而百度也振振有词，说大众点评网的点评不是网站写的，而是用户写的。
平台上的数据到底属于谁的？记者注意到，在地方立法权限内，从数据权益保障的角度出发，此次立法明确了各类主体的数据权益保护机制：明确本市依法保护自然人、法人和非法人组织在使用、加工等数据处理活动中形成的法定或者约定的财产权益，以及在数字经济发展中有关数据创新活动取得的合法财产权益。
“立法所要解决的不是程序性地进行数据开发，而是激发数据这‘第五要素’的活力。”市人大财经委立法监督处处长张震说，数据的权属和利益分配，这正是“第五要素”未来实现经济价值的重要基础。
必须确保自然人知情权
不少人都有这样的体验：去餐厅吃饭，被要求扫码点餐，有的还必须填写姓名、出生年月、手机号码等信息；有时候想下载一款App，需要开放一大堆个人隐私，比如允许授权打开相册、通讯录、开启定位等。
个人信息保护的社会关注度极高，数据如若实现广泛的市场化流通与应用，会不会带来个人信息被滥用？此前审议中，不少委员认为，数据处理者必须确保自然人的知情权。
这次立法回应了社会这一关切。《条例》第十九条明确，基于个人同意处理个人信息的，应当保证个人在充分知情的前提下自愿、明确作出同意，不得通过误导、欺诈、胁迫等违背其真实意愿的方式取得同意。处理者在提供产品或者服务时，不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务。
进楼宇或社区，许多门禁系统悄然装上了“人脸识别”。这一看似更便捷的门禁方案，却也带来了隐私泄露的风险。记者注意到，此次立法做了生物识别信息保护的规定，根据《条例》，处理生物识别信息应当取得个人的单独同意。
《条例》还规定，在本市商场、超市、公园、景区、公共文化体育场馆、宾馆等公共场所，以及居住小区、商务楼宇等区域，安装图像采集、个人身份识别设备的，应当为维护公共安全所必需，遵守国家有关规定，并设置显著标识。所收集的个人图像、身份识别信息，只能用于维护公共安全的目的。
值得注意的是，这些公共场所或者区域，不得以图像采集、个人身份识别技术作为出入该场所或者区域的唯一验证方式。也就是说，市民群众能拒绝“刷脸”，可以通过其他方式进入小区或其他公共场所。
禁止滥用大数据“杀熟”
此前公开征询意见中，大数据“杀熟”是一大争议焦点。不少市民提出，要对交易价格等方面的“差别待遇”进行管理识别。
此次立法禁止滥用大数据“杀熟”等行为。《条例》规定，利用个人信息开展自动化决策，应当遵循合法、正当、必要、诚信的原则，保证决策的透明度和结果的公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。《条例》还规定，通过自动化决策方式向个人进行信息推送、商业营销的，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求处理者予以说明，并有权拒绝处理者仅通过自动化决策方式作出决定。
在此前举办的数据立法研讨会上，市法学会专职副会长施伟东认为，在使用公共数据的同时，还需要有大量其他数据参与进来，这样才能产生数据“回流”。
比如供水、供电、供气、公共交通等服务企业，每天都在产生海量的数据，这是宏观经济的参数指标。但也遇到了难题，电力公司拿出与法人公司签订的协议说，如果要用这个数据，需要“一对一”授权。
这正是立法中的难点之一，此次立法进行了探索。市人大常委会法工委主任阎锐表示，《条例》明确了公共数据授权运营机制，对公共数据采集、整合、共享、开放、应用的全生命周期治理体系作了进一步优化。授权运营的数据涉及个人隐私、个人信息、商业秘密、保密商务信息的，处理该数据应当符合相关法律、法规的规定。
