2016年，微夢(mèng)公司（新浪微博的運(yùn)營(yíng)商）以“第三方數(shù)據(jù)侵權(quán)”為由起訴淘友技術(shù)公司、淘友科技公司（脈脈軟件和脈脈網(wǎng)站的共同運(yùn)營(yíng)商），并最終勝訴（下稱“脈博之爭(zhēng)”）。該案件被稱為“大數(shù)據(jù)不正當(dāng)競(jìng)爭(zhēng)第一案”，轟動(dòng)一時(shí)，引起互聯(lián)網(wǎng)公司對(duì)第三方應(yīng)用的關(guān)注。2019年，騰訊計(jì)算機(jī)公司、騰訊數(shù)碼公司和騰訊科技公司（微信、QQ的共同運(yùn)營(yíng)商）再次以“第三方數(shù)據(jù)侵權(quán)”為由起訴北京微播視界公司（抖音運(yùn)營(yíng)商）、北京拍拍看看公司（多閃運(yùn)營(yíng)商），由于本案兩造（下稱“頭騰大戰(zhàn)”）分別坐擁數(shù)億用戶，影響性遠(yuǎn)勝“脈博之爭(zhēng)”，因此，第三方應(yīng)用如何合規(guī)運(yùn)營(yíng)的爭(zhēng)議又一次被迅速激起。
所謂的“第三方應(yīng)用”，是指APP運(yùn)營(yíng)商為了快速積累用戶資源，與開放平臺(tái)簽訂《開發(fā)者協(xié)議》，通過開放平臺(tái)的應(yīng)用編程接口（OpenAPI）接入平臺(tái)，在成為平臺(tái)生態(tài)圈組成部分的同時(shí)，利用雙方的段位差，將平臺(tái)的用戶流量順勢(shì)導(dǎo)入自己的應(yīng)用程序，這些APP運(yùn)營(yíng)商被稱為“第三方應(yīng)用”。其中，“脈博之爭(zhēng)”的第三方應(yīng)用指代“脈脈”，“頭騰大戰(zhàn)”的第三方應(yīng)用指代“抖音”和“多閃”。
由上可知，開放平臺(tái)和第三方應(yīng)用本是互聯(lián)網(wǎng)生態(tài)圈相互依賴的存在，為什么兩者會(huì)出現(xiàn)難以調(diào)和的矛盾呢？網(wǎng)上傳得紛紛揚(yáng)揚(yáng)的“脈博之爭(zhēng)”和“頭騰大戰(zhàn)”究竟在吵什么？法院對(duì)“脈博之爭(zhēng)”和“頭騰大戰(zhàn)”是怎么判的？法院的判決對(duì)第三方應(yīng)用以后的發(fā)展有何影響？第三方應(yīng)用該如何做好數(shù)據(jù)合規(guī)工作？下文中，筆者將結(jié)合“脈博之爭(zhēng)”的判決書和“頭騰大戰(zhàn)”的裁定書，逐一分析并解答上述疑惑。
一、“數(shù)據(jù)之爭(zhēng)”吵什么？
“脈博之爭(zhēng)”和“頭騰大戰(zhàn)”的本質(zhì)實(shí)際上是“數(shù)據(jù)之爭(zhēng)”，是微博、微信和QQ平臺(tái)不愿開放數(shù)據(jù)給脈脈、抖音和多閃等第三方應(yīng)用，但是脈脈、抖音和多閃等第三方應(yīng)用仍試圖多途徑獲取數(shù)據(jù)的喂養(yǎng)。具體而言，開放平臺(tái)一般允許第三方應(yīng)用在接入應(yīng)用程序接口（OpenAPI）后，僅能獲取平臺(tái)用戶的頭像、名稱等基礎(chǔ)數(shù)據(jù)，并且頭像和名稱僅能作為登陸的依據(jù)，不能援作他用；然而第三方應(yīng)用為了快速構(gòu)建自己的社交鏈或者完成用戶的原始積累，更傾向于獲得平臺(tái)用戶更多的數(shù)據(jù)，以及將數(shù)據(jù)應(yīng)用于更多的場(chǎng)景中，兩者相互背離的訴求最終引爆了“數(shù)據(jù)之爭(zhēng)”。
（一）“脈博之爭(zhēng)”吵什么？
在“脈博之爭(zhēng)”中，微博的訴求有二：第一，微博控訴脈脈非法抓取新浪微博的用戶信息，用戶信息包括頭像、名稱、職業(yè)信息、教育信息、用戶自定義標(biāo)簽及用戶發(fā)布的微博內(nèi)容；第二，微博控訴脈脈利用用戶手機(jī)通訊錄與新浪微博用戶的對(duì)應(yīng)關(guān)系構(gòu)建脈脈的社交鏈。
該案爭(zhēng)點(diǎn)在于微博認(rèn)為脈脈獲取的用戶信息已經(jīng)超過了《開發(fā)者協(xié)議》約定的范疇，此外，脈脈還在構(gòu)建自己的社交鏈上具體運(yùn)用了用戶信息。換言之，脈脈不僅在用戶信息的“獲取鏈”上存在問題，在“應(yīng)用鏈”上也存在問題。對(duì)此，脈脈的抗辯理由是微博用戶信息的獲取，或是得到用戶的授權(quán)同意或是利用技術(shù)手段獲取，不存在非法獲取的問題，進(jìn)而社交鏈的建構(gòu)也就不存在問題。
（二）“頭騰大戰(zhàn)”吵什么？
在“頭騰大戰(zhàn)”中，騰訊的訴求有四：第一，騰訊控告抖音在向用戶推薦好友時(shí)使用了平臺(tái)數(shù)據(jù)；第二，騰訊控告抖音向第三方多閃提供了平臺(tái)數(shù)據(jù)；第三，騰訊要求抖音和多閃立即刪除平臺(tái)數(shù)據(jù)；第四，騰訊要求多閃不得在構(gòu)建社交鏈時(shí)運(yùn)用平臺(tái)數(shù)據(jù)。
該案爭(zhēng)點(diǎn)在于騰訊認(rèn)為抖音未經(jīng)授權(quán)許可，將用于登陸功能的平臺(tái)數(shù)據(jù)不僅運(yùn)用于構(gòu)建社交鏈，還將平臺(tái)數(shù)據(jù)傳輸給第三方，作為第三方登陸的接口，并且第三方還運(yùn)用該數(shù)據(jù)構(gòu)建社交鏈。對(duì)此，抖音的抗辯理由是抖音對(duì)用戶數(shù)據(jù)的獲取已經(jīng)得到了用戶的授權(quán)同意。
可以看出，“頭騰大戰(zhàn)”較之于“脈博之爭(zhēng)”，法律上的問題更為復(fù)雜。“脈博之爭(zhēng)”的焦點(diǎn)在于脈脈是否越權(quán)獲取了微博數(shù)據(jù)以及是否在社交鏈構(gòu)建中運(yùn)用了微博數(shù)據(jù)。“頭騰大戰(zhàn)”的焦點(diǎn)除了抖音是否將用于登陸功能的數(shù)據(jù)用于建構(gòu)社交鏈外，還涉及是否將平臺(tái)數(shù)據(jù)轉(zhuǎn)授權(quán)給第三方，并允許第三方運(yùn)用數(shù)據(jù)建構(gòu)社交鏈。兩者之間的爭(zhēng)點(diǎn)詳見下圖：
二、“數(shù)據(jù)之爭(zhēng)”怎么判？
從上述內(nèi)容可以看出，無論是“脈博之爭(zhēng)”還是“頭騰大戰(zhàn)”，它們的訴訟爭(zhēng)點(diǎn)大致相同，即開放平臺(tái)認(rèn)為自己擁有用戶數(shù)據(jù)的占有權(quán)，第三方應(yīng)用侵犯了自己的占有權(quán)；而第三方應(yīng)用認(rèn)為自己使用用戶數(shù)據(jù)已經(jīng)得到了用戶授權(quán)同意，并沒有侵犯開放平臺(tái)的權(quán)利。針對(duì)此類訴訟糾紛，兩起案件的法院一致認(rèn)為開放平臺(tái)擁有的用戶數(shù)據(jù)是平臺(tái)重要的商業(yè)資源，開放平臺(tái)有權(quán)維護(hù)自己的商業(yè)利益，并都做出了有利于開放平臺(tái)的判決和裁定。
（一）“脈博之爭(zhēng)”怎么判？
在“脈博之爭(zhēng)”中，針對(duì)脈脈非法抓取用戶信息，一審法院認(rèn)為脈脈既侵犯了開放平臺(tái)的合法權(quán)益，同時(shí)侵犯了用戶的知情權(quán)。首先，法院認(rèn)為微博用戶是微博的重要商業(yè)資源，這些用戶信息是微博開展經(jīng)營(yíng)活動(dòng)的基礎(chǔ)，也是保持競(jìng)爭(zhēng)優(yōu)勢(shì)的必要條件，脈脈的行為侵犯了微博的合法權(quán)利；其次，法院認(rèn)為脈脈抓取用戶信息并且將其應(yīng)用在社交鏈上侵犯了用戶的知情權(quán)。
二審法院在肯定一審法院判決的基礎(chǔ)上，總結(jié)OpenAPI開發(fā)合作模式中第三方應(yīng)用應(yīng)遵循“三重授權(quán)”原則，即開放平臺(tái)向第三方應(yīng)用開放數(shù)據(jù)的前提是開放平臺(tái)已經(jīng)取得了用戶的同意，第三方應(yīng)用在使用用戶信息時(shí)還應(yīng)當(dāng)明確告知用戶其使用的目的、方式和范圍，再次取得用戶的同意。因此，在OpenAPI開發(fā)合作模式中，第三方應(yīng)用通過OpenAPI獲取用戶信息時(shí)應(yīng)堅(jiān)持“用戶授權(quán)”＋“平臺(tái)授權(quán)”＋“用戶授權(quán)”的三重授權(quán)原則。
最終，一二審法院一致認(rèn)為脈脈非法獲取或應(yīng)用數(shù)據(jù)的行為損害了公平的市場(chǎng)競(jìng)爭(zhēng)秩序，一定程度上損害了微博的競(jìng)爭(zhēng)利益，因此支持微博的訴訟請(qǐng)求，判決脈脈立即停止涉案不正當(dāng)競(jìng)爭(zhēng)行為，并賠償微博經(jīng)濟(jì)損失200萬元及合理費(fèi)用208998元。
（二）“頭騰大戰(zhàn)”怎么判？
在“頭騰大戰(zhàn)”中，法院同意“脈博之爭(zhēng)”中二審法院提出的“三重授權(quán)”原則，認(rèn)為該原則已經(jīng)成為開放平臺(tái)領(lǐng)域網(wǎng)絡(luò)經(jīng)營(yíng)者應(yīng)當(dāng)遵守的商業(yè)道德。同時(shí)，法院進(jìn)一步規(guī)定第三方應(yīng)用在獲得平臺(tái)授權(quán)后，在數(shù)據(jù)的獲取和使用中應(yīng)遵循“合理、正當(dāng)、必要”原則，即第三方應(yīng)用僅能將數(shù)據(jù)用于登陸目的，而不能用于授權(quán)登陸外的任何用途，因此第三方應(yīng)用既不能將用戶數(shù)據(jù)用于社交鏈的建構(gòu)，也不能將數(shù)據(jù)轉(zhuǎn)授權(quán)給第三方，轉(zhuǎn)授權(quán)的第三方更不能使用該數(shù)據(jù)。
換言之，“頭騰大戰(zhàn)”中法院在肯認(rèn)“脈博之爭(zhēng)”提出“三重授權(quán)”原則的基礎(chǔ)上，又細(xì)化了“三重授權(quán)”中“平臺(tái)授權(quán)”的具體要求，即經(jīng)平臺(tái)授權(quán)的數(shù)據(jù)要遵循“最小必要原則”，平臺(tái)授權(quán)的數(shù)據(jù)僅能用于登陸目的。基于此種思路，法院裁定抖音和多閃的行為已經(jīng)侵犯了騰訊的合法權(quán)利，因此支持騰訊提出行為保全的訴請(qǐng)，要求抖音和多閃立即停止侵權(quán)的行為。
三、“數(shù)據(jù)之爭(zhēng)”怎么看？
從“脈博之爭(zhēng)”到“頭騰大戰(zhàn)”，實(shí)際上法院在實(shí)務(wù)操作中已經(jīng)建構(gòu)出一套具體審理第三方應(yīng)用的審查基準(zhǔn)，即首先數(shù)據(jù)控制者在遵循“合理、正當(dāng)、必要”原則的基礎(chǔ)上，在獲取用戶同意后可以收集并使用用戶的信息；因數(shù)據(jù)控制者經(jīng)過多年的苦心經(jīng)營(yíng)，累積了大量的用戶數(shù)據(jù)，這類用戶數(shù)據(jù)是數(shù)據(jù)控制者的商業(yè)資源，數(shù)據(jù)控制者對(duì)其擁有合法權(quán)益，任何第三方非法獲取或使用該類數(shù)據(jù)，將會(huì)侵犯數(shù)據(jù)控制者的合法權(quán)益；第三方應(yīng)用如果想快速獲取用戶流量，可與數(shù)據(jù)控制者簽訂《開發(fā)者協(xié)議》，在經(jīng)過數(shù)據(jù)控制者授權(quán)同意后，通過應(yīng)用編程接口（OpenAPI）接入平臺(tái)，但第三方應(yīng)用對(duì)于平臺(tái)數(shù)據(jù)的使用十分有限，并且該部分?jǐn)?shù)據(jù)僅能適用于登陸目的，無法援作他用。同時(shí)，第三方應(yīng)用在經(jīng)過平臺(tái)授權(quán)后，還需要經(jīng)過用戶的另一次同意，才能最終完成數(shù)據(jù)的登陸使用。第三方應(yīng)用的審查基準(zhǔn)流程詳見下圖：
從上述內(nèi)容可以看出，實(shí)務(wù)操作中，司法機(jī)關(guān)不僅認(rèn)可數(shù)據(jù)控制者對(duì)用戶數(shù)據(jù)享有商業(yè)權(quán)利，并且賦予這種權(quán)利極大的保護(hù)。例如，“頭騰大戰(zhàn)”中法院具體要求“平臺(tái)授權(quán)”下第三方應(yīng)用對(duì)數(shù)據(jù)的使用僅限于登陸目的，實(shí)際上該規(guī)定已經(jīng)框限住第三方應(yīng)用對(duì)該部分?jǐn)?shù)據(jù)的應(yīng)用，該部分?jǐn)?shù)據(jù)自始至終都只能用于登陸目的，第三方應(yīng)用即使獲得用戶授權(quán)也不能進(jìn)行任何數(shù)據(jù)的再收集和再處理，無形之中數(shù)據(jù)已經(jīng)被開放平臺(tái)所獨(dú)占使用。
實(shí)際上，筆者認(rèn)為法院所確認(rèn)的“三重授權(quán)”原則存在一定的討論空間。法院認(rèn)為第三方應(yīng)用需要經(jīng)過“平臺(tái)授權(quán)”，但是“平臺(tái)授權(quán)”的權(quán)利來自哪里？法院認(rèn)為“平臺(tái)授權(quán)”的權(quán)利來自平臺(tái)對(duì)用戶資源的長(zhǎng)期管理和使用，也即平臺(tái)本身的長(zhǎng)期積累使其自動(dòng)獲得對(duì)用戶數(shù)據(jù)的占有權(quán)。那么，當(dāng)平臺(tái)不愿意授權(quán)給第三方應(yīng)用，但用戶認(rèn)為平臺(tái)需要授權(quán)給第三方應(yīng)用的情況下，如何處理該類問題？按照法院的觀念，是否在這種情況下，用戶已經(jīng)喪失掉自己對(duì)數(shù)據(jù)的所有權(quán)，無權(quán)要求平臺(tái)授權(quán)第三方應(yīng)用？如果真出現(xiàn)這種情況，是不是已經(jīng)和“用戶信息自決權(quán)”的理念發(fā)生了背離？
仔細(xì)研究會(huì)發(fā)現(xiàn)，即使是騰訊平臺(tái)本身，都不認(rèn)為自己擁有了主動(dòng)轉(zhuǎn)移數(shù)據(jù)的權(quán)利。微信的《隱私政策》規(guī)定微信不會(huì)主動(dòng)共享或者轉(zhuǎn)移用戶的個(gè)人信息到騰訊集團(tuán)外的第三方，除非征得用戶的明示同意；
[①]QQ的《隱私政策》同樣規(guī)定未經(jīng)用戶同意，QQ以及QQ的關(guān)聯(lián)公司不會(huì)與任何第三方分享用戶的個(gè)人信息。
[②]可見，即使是開放平臺(tái)本身，都認(rèn)為用戶數(shù)據(jù)的所有權(quán)始終歸于用戶所有。而將眼光投向國(guó)外會(huì)發(fā)現(xiàn)，針對(duì)用戶數(shù)據(jù)轉(zhuǎn)移的行為，歐盟制定的《一般數(shù)據(jù)保護(hù)條例》（General Data Protection Regulation,簡(jiǎn)稱GDPR）已規(guī)定用戶擁有可攜帶權(quán)，即權(quán)利主體有權(quán)從控制者處獲得結(jié)構(gòu)化、通用化的，機(jī)器可讀的，能共同操作的以格式形式提供的個(gè)人數(shù)據(jù)，并允許該等數(shù)據(jù)傳輸給其他控制者。
[③]換言之，歐盟針對(duì)第三方應(yīng)用所設(shè)置的審查基準(zhǔn)是“雙重授權(quán)”原則，即“用戶授權(quán)”+“用戶授權(quán)”模式。而中國(guó)為維護(hù)數(shù)據(jù)控制者的權(quán)利，在雙重授權(quán)之外，再追加“平臺(tái)授權(quán)”，構(gòu)成“三重授權(quán)”模式。
當(dāng)然，歐盟的個(gè)人信息保護(hù)法根植于歐盟對(duì)隱私權(quán)本源的追求，所以其成文法上的規(guī)定更側(cè)重于數(shù)據(jù)主體的權(quán)利保護(hù)。由于國(guó)情不同，我國(guó)對(duì)于隱私的重視程度不如歐盟，相反地，我們更側(cè)重于“奉獻(xiàn)自我，成就集體”，效率的發(fā)揮顯得尤為重要，因此實(shí)務(wù)中賦予開放平臺(tái)權(quán)利，以激發(fā)市場(chǎng)競(jìng)爭(zhēng)活力的行為便可以理解。但筆者認(rèn)為即使實(shí)務(wù)操作允許“平臺(tái)授權(quán)”，但現(xiàn)今“平臺(tái)授權(quán)”的審查基準(zhǔn)仍顯粗糙，為避免出現(xiàn)“平臺(tái)不愿授權(quán)第三方應(yīng)用”與“用戶執(zhí)意授權(quán)第三方應(yīng)用”之間的矛盾，“平臺(tái)授權(quán)”的規(guī)則應(yīng)作更精細(xì)的技術(shù)設(shè)計(jì)。
四、第三方應(yīng)用如何做好數(shù)據(jù)合規(guī)？
眾所周知，隨著云計(jì)算、物聯(lián)網(wǎng)、人工智能等高新技術(shù)的快速發(fā)展，數(shù)據(jù)已經(jīng)成為互聯(lián)網(wǎng)公司的核心資產(chǎn)，大多數(shù)互聯(lián)網(wǎng)公司都已將數(shù)據(jù)保護(hù)上升至公司戰(zhàn)略的高度。因此，即使開放平臺(tái)開放了應(yīng)用編程接口（OpenAPI），但它們并不會(huì)放棄對(duì)數(shù)據(jù)的保護(hù)，相反地，它們會(huì)設(shè)置各種限制第三方應(yīng)用獲取數(shù)據(jù)的要求；而另一方面，第三方應(yīng)用要想存活，就需要用戶數(shù)據(jù)的喂養(yǎng)，獲得用戶數(shù)據(jù)是它們的天然屬性。“脈搏之爭(zhēng)”和“頭騰大戰(zhàn)”便是開放平臺(tái)與第三方應(yīng)用之間矛盾無法調(diào)和的產(chǎn)物，并且該糾紛只是開端，第三方應(yīng)用如不做好數(shù)據(jù)的合規(guī)審查，糾紛還會(huì)繼續(xù)出現(xiàn)。那么，第三方應(yīng)用該如何做好數(shù)據(jù)的合規(guī)審查呢？筆者認(rèn)為可從以下幾個(gè)方面入手：
第一，由于“三重授權(quán)”原則已經(jīng)獲得實(shí)務(wù)上的認(rèn)可，因此對(duì)于平臺(tái)授權(quán)第三方應(yīng)用的數(shù)據(jù)，該類數(shù)據(jù)僅可作為登陸目的使用，不能用于其他目的。第三方應(yīng)用應(yīng)運(yùn)用技術(shù)手段，嚴(yán)格區(qū)分平臺(tái)授權(quán)下獲取的數(shù)據(jù)和自身獲取的用戶數(shù)據(jù)，建立隔離機(jī)制和定期審查機(jī)制，并對(duì)自身獲取用戶數(shù)據(jù)進(jìn)行安全備份，以便當(dāng)自身獲取的數(shù)據(jù)與平臺(tái)授權(quán)的數(shù)據(jù)發(fā)生競(jìng)合時(shí)，有抗辯的依據(jù)。
第二，當(dāng)?shù)谌綉?yīng)用完成初期的用戶積累后，如果OpenAPI開發(fā)合作模式不能再促進(jìn)第三方應(yīng)用有效地導(dǎo)流，由于“平臺(tái)授權(quán)”因素的干擾，第三方應(yīng)用往后不僅很難完成有效導(dǎo)流，更可能因?yàn)椤堕_發(fā)者協(xié)議》的規(guī)定掣肘了自身獲取用戶數(shù)據(jù)的能力。當(dāng)出現(xiàn)這種情況時(shí)，筆者認(rèn)為第三方應(yīng)用應(yīng)果斷放棄OpenAPI開發(fā)合作模式，而選擇運(yùn)用別的模式引流。
第三，如果第三方應(yīng)用同時(shí)也是開放平臺(tái)，那么第三方應(yīng)用在草擬《開發(fā)者協(xié)議》中要做好自身數(shù)據(jù)的保護(hù)措施，可規(guī)定數(shù)據(jù)收集方在收集用戶任何數(shù)據(jù)時(shí)，必須事先獲得用戶的明確同意，且僅應(yīng)當(dāng)收集為應(yīng)用程序運(yùn)行及功能實(shí)現(xiàn)目的而必要的用戶數(shù)據(jù)，同時(shí)應(yīng)當(dāng)告知用戶相關(guān)數(shù)據(jù)收集的目的、范圍及使用方式等，保障用戶知情權(quán)。
[③] 京東法律研究院.歐盟數(shù)據(jù)憲章:《一般數(shù)據(jù)保護(hù)條例》GDPR評(píng)述及實(shí)務(wù)指引[M].北京：法律出版社，2018.63.
