从共享到融合：企业数据合作中的权利分配与风险传导

作者：陈文昊丨原舒仪丨李诗

随着数字化经营和人工智能应用不断深入，企业之间围绕数据的合作，正从一次性的数据提供走向更复杂的数据融合开发。过去典型的数据合作，往往只是一方向另一方提供一批数据，或委托第三方完成某项处理任务；如今越来越多的合作，则由不同参与方共同投入数据、技术、知识产权、资金、业务场景或客户资源，在持续的处理和开发中形成新的数据集、分析能力、模型、产品或服务。

此类合作形式多样：一方掌握技术、另一方掌握数据；不同企业分别拥有车辆运行、用户画像、交易、医疗科研或工业设备数据，希望通过融合发现单一数据集无法揭示的规律。合作既可能通过普通项目合同开展，也可能采取联合研发、联合实验室等方式，甚至成立合资公司，由新的经营主体持续开发利用数据。

虽然形式不同，背后却是一组越来越相似的法律问题。传统的数据合规审查较多关注“这些数据能不能提供给另一方”，个人信息保护、重要数据、数据出境等因此长期处于审查中心；但当合作进入持续的数据融合开发，仅回答“数据能不能给”已经不够。本文不再逐一重复这些基础合规要求 — 它们当然是不可绕过的前提 — 而把重点放在融合之后更容易被忽视的权利配置问题上：各方把什么权利投入合作、合作方取得数据后能做什么、融合后原有限制是否继续存在、新形成的数据和成果由谁控制，以及合作结束后各方能留下什么。数据合作的法律分析，也正从“数据流转合规”走向对数据及其衍生成果的持续权利配置和风险管理。

2025年7月，国家数据局、市场监管总局发布四份数据流通交易合同示范文本，其中专门设置了《数据融合开发合同（示范文本）》，适用于各参与方开放共享数据，或共同委托特定主体处理，以创建数据平台、数据空间、数据池、衍生数据等场景^[1]。与传统的数据提供关系相比，这类安排不再只关注数据如何交付，而需处理原始数据、结果数据、数据产权安排、各方投入及收益分配等问题；这也说明，传统的“提供方 — 接收方”二元结构已很难完整概括复杂数据融合中各方的法律关系。

一、持有数据，并不意味着有权把数据投入合作

数据合作首先要解决的仍是数据能否进入合作，这里有两个容易被混淆的问题：企业是否合法取得或持有某项数据，与是否有权将其投入一项新的合作，并不是一回事。例如，一家公司可能在正常经营中合法收集了大量用户信息，但最初目的是向用户提供自身产品或服务；若想将这些信息用于与第三方共同开展产品研发、用户分析或模型开发，就需重新审视新的处理目的、方式及参与主体是否仍具有相应的法律基础。

涉及个人信息时，还要结合具体合作结构判断各方之间究竟属于分别处理、共同处理还是委托处理，数据共享和跨境传输是否触发相应的告知、同意（含向其他处理者提供个人信息时所需的单独同意）、个人信息保护影响评估等要求^[2]。

类似问题也存在于重要数据、商业秘密及受行业监管的数据中：企业虽事实上掌握某些数据，但其提供、访问和进一步利用仍可能受数据安全制度、行业规则或监管要求限制，汽车、医疗、金融、地图测绘等行业都可能有额外约束。更容易被忽略的，反而是数据本身的权利来源和合同限制 — 从第三方采购的数据可能仅被授权用于内部分析，客户项目积累的数据可能受保密义务或用途限制，设备制造商取得的运行数据中也可能混合客户、供应商或第三方软件产生的信息。即使取得数据的过程不违法，也不意味着企业当然有权将其投入新合作，更不意味着合作伙伴可进一步将其用于研发、商业化或其他客户项目。

因此，“数据来源审查”不能只停留在“数据是不是合法收集的”。更完整的问题是：数据从哪里来、企业基于什么法律或合同依据取得、实际享有什么范围的权利、这些权利是否允许其将数据投入当前合作，以及是否允许合作方按拟议方式继续加工、利用并形成新成果。与其抽象地问“数据归谁”，数据合作首先要回答的其实是：谁有权允许哪些主体，以哪些方式，将哪些数据用于哪些目的。

二、与其问“数据归谁”，不如问“谁可以做什么”

在数据合作谈判中，业务团队往往首先问：“合作以后，这些数据归谁？”合同中也常见“甲方数据归甲方所有”“合作数据归双方共同所有”一类约定。这些表述并非没有意义，但权利安排若只做到这一步，往往很难解决后续的商业问题。数据与传统有形财产明显不同：它可被复制，可同时由多个主体持有和使用，也可经加工形成新的数据和其他成果。对企业而言，真正重要的通常不是抽象的“所有”二字，而是各方究竟可以对数据做什么。

允许合作伙伴访问数据，不当然意味着允许其下载或永久保存；允许为某一项目分析数据，不意味着可用于自身研发；允许在一个业务场景中使用，也不意味着可用于其他客户、产品或市场；即使允许合作企业使用，也不意味着其关联公司当然取得相同权限。因此在复杂合作中，与其笼统争论“所有权”，不如把实际权能拆开：谁可以持有，谁可以访问和加工，能否复制或下载，能否用于内部研发或商业化，能否提供给关联公司，能否用于其他客户或项目，以及能否对外许可或进一步经营利用。

2026年3月，国家数据局在关于多份数据融合利用产权配置的政策解读中，将数据的持有、使用和经营分别讨论，延续了“数据二十条”确立的数据资源持有权、数据加工使用权、数据产品经营权“三权分置”思路，并特别强调合作开发场景下合同约定的重要性^[3]。对于合同没有约定或约定不明确的情形，该解读进一步提出，各参与方均享有融合后数据的持有权、使用权，对外经营则需征得其他参与方同意。这一口径的意义，未必在于为每一项数据确定唯一的“所有者”，而在于提供了一种更符合数据特征的权利配置思路。对律师或公司法务而言，这意味着数据合作协议的一项核心工作，就是把一句笼统的“数据归属”拆解为一套真正能执行且与合作目的相匹配的权利安排。

比如，一家工业设备企业可允许技术合作方利用设备数据开发预测性维护系统，但不允许其下载或长期保存原始生产数据，技术合作方则希望保留项目中形成的通用故障分析方法；若双方只约定“客户数据归客户所有，项目成果归双方所有”，发生争议时往往解决不了任何一方真正关心的问题。

合资公司场景还会增加一层复杂性。股东与合资公司是相互独立的法律主体，股东允许合资公司使用某些数据，与将相关数据权益转移给合资公司，法律效果并不相同；合资公司经营中形成的数据和研发成果，也不能仅因某一主体是其股东，就认为该股东可拿回母公司自由使用。数据究竟作为财产性权益投入合资公司，还是主要通过许可、授权等方式供其使用，需结合具体交易结构判断；近年来虽已出现数据资产作价入股等探索，但对一般的数据合作项目，“合作投入”与公司法意义上的“出资”仍不宜简单等同。

值得关注的是，数据产权登记制度正在加快落地：国家数据局综合司已于2026年7月印发《数据产权登记工作指引（试行）》，国家数据产权登记服务系统亦于9月11日上线试运行；《指引》同时鼓励登记凭证用于数据流通交易、数据资产入表、融资担保、作价入股等场景^[4]。但登记主要解决数据权属的对外公示与证明，并不自动回答合作内部“谁可以做什么、限制如何传导、成果如何划界”；即便相关权益完成登记，本文讨论的权能配置问题依然存在。

三、数据融合以后，原来的使用限制会不会继续存在

数据进入合作以后，更难的问题是：随着数据不断加工和融合，附着在原始数据上的限制是否会继续向后传导。例如，一批数据只能用于某一特定项目，合作方合法取得后清洗、整理、分析，又与自身数据融合，形成新的数据库、统计结果、业务规则或模型；原来针对基础数据设置的“仅限本项目使用”限制，是否仍约束后面形成的数据和成果？这很难脱离场景给出统一答案：若只是改变格式、排列方式或简单汇总，显然不能因为经过技术加工就认为原有限制已消失，否则任何主体都可能通过简单处理绕开数据资源方设置的用途限制；但在另一些项目中，合作方可能基于合法取得的数据进行了大量独立开发，使数据的内容、结构和价值发生实质变化，形成与原始数据明显区别的新成果，此时如何配置后续权益，同样不能忽视技术合作方投入的技术、资金和研发资源。

2026年3月20日，国家数据局发布关于衍生数据产权配置的政策解读，提出数据处理者对其享有使用权的数据，在保护各方合法权益的前提下，通过加工、建模分析、关键信息提取等方式实现数据内容、形式或结构的实质改变、显著提升价值而形成衍生数据的，可享有相应的持有、使用和经营权益；同时强调，形成衍生数据以合法享有原始数据使用权和保护各方合法权益为前提^[5]。这一解读提供了值得关注的分析框架，但不能被简单理解为：只要技术上形成了“新数据”，原有权利和限制就会自动消失。

实践中所谓“限制传导”，可能涉及不同性质的约束。有些来自法律本身：个人信息经整理、汇总或与其他信息结合后，只要仍属于个人信息，相应保护要求就不会因加工而当然消失。有些来自第三方合同：原始数据可能受特定用途、特定项目、不得向竞争对手提供或不得进一步转授权等限制，需判断这些限制是否以及在多大范围内继续适用于后续数据和成果。还有一些是双方出于商业利益专门作出的安排，例如，数据资源方允许合作伙伴利用数据优化算法，但要求利用其特定数据训练或优化形成的某些成果不得直接提供给主要竞争对手 — 此时争议的重点并不是模型或算法抽象意义上“属于谁”，而是双方究竟希望把原始数据上的商业限制传导到哪一层成果。

因此，与其等到项目结束以后再争论某项成果是否已“脱离”原始数据，不如在合作开始时就对数据和成果分层：区分合作前各方已持有的原始数据、合作中汇集处理形成的融合数据、进一步加工分析形成的衍生数据，以及最终形成的软件、模型、分析规则和其他项目成果，再明确原始数据上的哪些限制继续适用于后续成果、哪些在达到约定条件后终止。这样的分层可用一张简化的“权能矩阵”固定下来：以数据和成果的层级为纵轴、以各方实际享有的权能为横轴，逐格填入“可以”“不可以”或“附条件”，原本抽象的归属之争由此转化为可谈判、可写入合同的具体安排。当然，实际商业场景可能复杂的多，此表仅做示意。

数据与成果权能矩阵（示意）

注：空白单元格由合作各方根据具体项目填入“可以”“不可以”或“附条件”。

数据经过加工和融合以后，原有的法律、合同和商业限制是否、以及在多大范围内继续存在，是数据融合项目中最值得提前解决的问题之一；一句“衍生数据归双方所有”，往往并不能真正回答这个问题。

四、真正容易产生争议的，是“项目成果”与“通用能力”的边界

前一节讨论的是数据层的问题 — 附着在原始数据上的限制在融合、加工之后是否继续向后传导；本节则是成果层的问题：利用数据形成的项目专属成果，与技术合作方可以带走的通用能力之间，边界应当划在哪里。当数据合作进一步与技术研发结合，仅区分原始数据和衍生数据还不够 — 很多项目的商业价值并不直接体现在某一批数据本身，而是体现在利用这些数据形成的分析方法、业务规则、软件功能、模型及其他研发成果中。

此时，数据资源方与技术合作方的利益立场很容易分歧。数据资源方可能认为，项目成果之所以有价值，很大程度上是因为使用了自己的数据和业务场景，没有这些数据合作方不可能形成相同成果，因此至少不应允许合作方把高度依赖本方数据形成的能力直接提供给竞争对手；技术合作方则认为，其技术框架、算法、研发经验和团队能力在项目开始前已经存在，合作项目只是提供了一个具体应用场景，若所有改进都被视为客户专属成果，完成一个大型客户项目后反而可能无法继续发展自己的通用产品和技术。

类似的立场分歧在多个行业都会以不同形式出现。例如，在汽车行业，主机厂掌握量产车队产生的海量真实路测数据，自动驾驶企业则带来算法、训练框架和模型能力：主机厂往往希望，用本方车队数据训练出的自动驾驶模型、以及从中沉淀的极端路况场景库属于项目专属成果，至少不能被用于服务其他整车厂；自动驾驶企业则希望保留其在感知、预测、规控等模块上的通用算法改进和底层框架，以便继续迭代自有产品、服务其他客户。争议因此集中在几个点上：训练出的模型权重归谁、交付后主机厂能否在所有车型上持续使用，从数据中提炼的仿真场景库能否由自动驾驶企业去标识化后并入其通用数据集，以及合作结束时通用算法改进与项目专属成果如何切分。

因此，很多数据合作真正需要划分的，并非只有数据本身的权利，还包括项目专属成果与合作方通用能力之间的边界。两者之间很难建立一套适用于所有项目的标准，但可围绕更具体的问题判断：相关成果是否能识别或反映另一方的数据和商业秘密，是否在实质上能替代另一方原始数据，是否与特定客户或业务场景高度绑定，是否属于对合作前既有技术的普遍性改进，以及继续利用是否会实质损害另一方的竞争利益。对较复杂的合作，还可进一步区分合作前已存在的背景知识产权、项目开发成果、数据衍生成果及通用技术改进，分别配置使用、许可和商业化权利。

这类安排真正需要平衡的是两个方向的风险：对数据资源方而言，需要防止的不只是“我的数据被别人拿走”，还包括自己的数据在缺乏适当限制时被转化为一种能反过来与自己竞争的产品或能力；对技术合作方而言，则要避免因为合法使用过某一客户的数据，就使自身后续的通用技术研发事实上受到永久限制。到了这一层面，数据权利、知识产权与商业竞争边界已经很难彼此割裂。此外还需提醒：如果合作方之间本身存在竞争关系，数据融合还可能触及《反垄断法》下的横向垄断协议等竞争法问题，宜在立项阶段单独评估；限于篇幅，此处不作展开。

五、数据的权利瑕疵，也可能随着成果不断向后传导

数据融合带来的不仅是权利配置问题，风险同样可能沿开发链条向后传导。假设A公司向合作项目提供了一批数据，B公司据此分析并进一步开发产品；项目进行一段时间后才发现，A公司对其中部分数据其实并不具有充分的使用或对外提供权限。若问题在数据刚交付时被发现，可能还能通过停止使用或删除来处理；但若相关数据已与其他数据深度融合，并被用于形成新的数据库、模型、分析结果，甚至已进入对外提供的商业产品，单纯删除原始数据就未必能解决问题。未经授权披露的商业秘密、存在明显个人信息处理瑕疵的数据，也不会因为经过加工或融合就自然“洗白”；融合程度越深，发现问题后的处置成本通常越高。

2025年1月六部门联合发布的《关于完善数据流通安全治理 更好促进数据要素市场化价值化的实施方案》（以下简称“《数据流通安全治理实施方案》”）明确提出，数据提供方应确保数据来源合法，数据接收方应严格按要求使用数据、防止超范围使用，并鼓励供需双方通过合同清晰界定权责边界^[6]。这种责任分配逻辑在数据融合项目中尤其重要：数据提供方通常需就数据来源、对数据享有的使用和提供权限，以及是否存在重大第三方权利障碍等事项作出适当保证；接收方则需确保其没有突破约定用途、擅自向第三方披露或超范围利用数据。

如果项目融合程度较深，合同还需再往后考虑一步：某批数据被发现存在问题后，能否从合作环境中识别、隔离或替换；基于问题数据形成的融合数据和研发成果是否需要重新生成；已投入商业使用的产品如何整改、替换或停止提供；由此产生的第三方索赔、监管调查、技术整改和业务中断成本如何承担；以及是否就数据来源和权利瑕疵设置专项赔偿等责任分配安排。数据质量也有类似特征：随着数据越来越多地参与算法研发、自动化决策、工业生产或风险控制，其完整性、准确性、及时性和更新机制会进一步影响模型表现、产品质量乃至安全责任。因此，成熟的合作安排需要把数据来源、数据质量、用途限制、第三方权利主张处理、监管调查配合、整改义务和赔偿责任放进同一个风险分配框架，而不能只依赖一般性的保密或数据安全条款。

六、技术措施也可以成为权利安排的一部分

数据资源方与合作方之间常有一个现实矛盾：一方希望对方利用数据创造价值，却不愿把原始数据完全交出；另一方若得不到足够的使用空间，又很难真正开展研发。这并非只能靠“给”或“不给”解决 — 越来越多的合作会通过权限控制、隔离环境、可信数据空间等技术措施，让合作方在特定环境中使用数据，却难以复制下载或带走原始数据；《数据流通安全治理实施方案》也提出，对重要数据可在满足安全要求的前提下，探索“原始数据不出域、数据可用不可见、数据可控可计量”等方式实现价值开发^[7]。对法律合规人员而言，不必掌握全部技术细节，但至少要弄清数据存放在哪里、谁能以何种方式访问处理、哪些内容能离开合作环境、成果最终流向何处；只有如此，技术架构才能与合同中的权利安排真正对应 — 技术方案因此不只是数据安全问题，也可能成为权利配置本身的一部分。

七、合作开始时，就要考虑合作结束以后留下什么

很多数据合作协议对项目终止后的安排非常简单：合作结束以后，接收方应当返还或删除数据。对单纯的数据交付，这种安排或许足够；但在持续的数据融合开发中，“删除数据”往往无法解决全部问题 — 合作期间形成的融合数据怎么办？衍生数据是否也需删除？已形成的分析规则、软件功能、模型或其他成果还能否继续使用？合作方通过项目积累的通用经验和研发能力是否受限？已交付客户或已投入运营的产品又如何处理？若这些问题直到项目结束时才第一次被提出，往往已经太晚：合作越成功，各方的数据、技术和业务场景融合得越深，越难重新区分哪些价值直接来自原始数据、哪些来自后续独立开发投入。

合资公司场景尤其如此。若合资公司持续经营多年并积累了大量自身形成的数据和研发成果，某一股东退出后能否继续利用合作期间形成的成果，可能直接影响其退出后的业务能力；若成立合资公司时没有同步安排股东对相关数据和成果的使用权，股东身份本身并不能当然解决这一问题。因此，成熟的数据合作安排应从项目开始时就考虑退出：哪些原始数据必须删除或返还，哪些数据基于法律义务或审计要求可继续留存，哪些融合数据或衍生数据可保留，项目专属成果在合作结束后受到什么限制，通用成果能否继续使用，以及已投入运营的产品如何过渡和处置。从这个意义上说，数据合作协议最重要的安排未必只是数据如何进入合作体系，还要提前回答：合作结束以后，谁能够把什么留下。

结语：从“数据合规”走向“数据关系治理”

随着数据价值越来越多地来自不同来源数据之间的组合和持续开发，企业之间的数据合作也在从一次性的数据提供，转变为数据、技术、知识产权、业务场景和商业利益的深度结合。个人信息保护、重要数据、数据安全和行业监管仍是不可绕过的合规基础，但对复杂的数据融合项目而言，仅审查“数据能不能共享”“是否需要取得同意”，已经越来越难覆盖合作中真正重要的商业和法律问题。

一项完整的数据合作分析，往往需要沿数据和成果的整个生命周期展开：什么可以带进来，进来以后可以怎么用，融合以后原有的限制是否继续存在，形成的成果谁可以利用，以及合作结束以后什么能够留下。数据合作真正需要治理的，已不只是某一批数据，而是围绕数据不断形成、变化的一整套权利关系。越早把这些问题转化为清晰的合作架构、权利安排、风险分配和退出机制，企业就越有可能避免在数据和成果已产生巨大商业价值之后，再围绕“数据究竟是谁的”“成果究竟能不能用”进行代价高昂的争论。

[1]国家数据局综合司、市场监管总局办公厅：《关于印发数据流通交易合同示范文本的通知》（国数综政策〔2025〕78号），2025年7月发布，其中包括《数据融合开发合同（示范文本）》（GF-2025-2617）。

[2]《中华人民共和国个人信息保护法》第二十条（共同处理）、第二十一条（委托处理）、第二十三条（向其他个人信息处理者提供个人信息需取得单独同意）、第三十八条至第三十九条（个人信息跨境提供）、第五十五条至第五十六条（个人信息保护影响评估）。

[3]国家数据局：《政策解读｜多份数据融合利用的产权配置》，2026年3月18日；文中“三权分置”思路源自《中共中央 国务院关于构建数据基础制度更好发挥数据要素作用的意见》（“数据二十条”，2022年12月）。

[4]国家数据局综合司：《关于印发〈数据产权登记工作指引（试行）〉的通知》（国数综政策〔2026〕35号），2026年7月印发；中国证券报·中证金牛座：《国家数据产权登记服务系统9月11日上线试运行》，2026年9月11日。该系统提供统一的登记公示、结果查询核验服务，并为登记结果全国互认提供基础支撑。

[5]国家数据局：《政策解读｜衍生数据的产权配置》，2026年3月20日。该解读提出了衍生数据“实质改变”“显著增值”等判断思路，并强调相关产权可以通过合同约定。

[6]国家发展改革委、国家数据局、中央网信办、工业和信息化部、公安部、市场监管总局：《关于完善数据流通安全治理 更好促进数据要素市场化价值化的实施方案》（发改数据〔2025〕18号），2025年1月。该文件明确提出数据提供方应确保数据来源合法、数据接收方应防止超范围使用，并提出通过合同界定数据流通权责以及“原始数据不出域、数据可用不可见、数据可控可计量”等技术路径。

[7]同脚注6。