智仁矩阵 | API接口模式下的个人信息数据交易

编者按

各位读者大家好，智仁“微矩阵榜”每周挑选一篇精品文章推送给广大读者：

本周推送：【合规律】的《API接口模式下的个人信息数据交易》

在当今数字化社会的浪潮中，数据已成为推动各行业发展的关键要素，而个人信息作为其中最为敏感且重要的组成部分，对其的采集、处理和利用正日益受到严格的法律规范和社会关注。随着互联网技术的不断演进，API接口模式逐渐成为连接不同组织间信息交流的重要模式。这一模式使得企业、开发者以及各类服务提供商能够通过标准化的方式实现数据互联互通，极大地提升了服务效率和用户体验。

在API接口模式下，个人信息数据交易的概念并不局限于简单的数据买卖行为，而是涵盖了通过API接口实现个人信息数据在合规前提下的合理流动与使用。这种流动可以体现在多个应用场景中，包括但不限于社交网络平台的数据共享、电商领域的物流配送信息交互、金融科技行业的信用评估与风险管理、健康管理平台的个性化服务提供，以及广告行业的精准投放等。

然而，伴随便利性和创新性的提升，如何在API接口模式下确保个人信息数据的安全性、隐私权得到充分尊重和有效保护，成为了企业和政策制定者共同面对的重大课题。本文旨在探讨API接口模式下个人信息数据交易的特点、典型场景及其所面临的挑战，同时剖析相应的法规约束和技术保障措施，力求勾勒出一幅清晰且全面的实践图景，引导行业健康发展，维护广大用户的合法权益。

一API接口模式下数据交易的典型场景

在API接口模式下，个人信息数据交易并非直接的数据买卖，而是指通过API接口进行数据交互的过程中涉及个人信息处理和使用的场景。

1、社交网络数据共享： 社交媒体平台对外开放API，允许第三方应用接入，以读取用户基本信息（如头像、昵称等）、社交关系、公开动态等数据。在这种情况下，用户通常需要授权第三方应用访问自己的个人信息。这是通过API接口进行个人信息数据交易的一个较为常见的例子。

2、电商平台用户数据授权： 用户在电商平台购买商品或使用服务时，电商平台通过API接口将订单信息、收货地址、联系方式等必要数据共享给物流公司进行配送。在此过程中，电商平台是在用户授权下，通过API将用户的个人信息传递给第三方服务提供者。

3、金融服务数据交换：在金融科技领域，银行或支付机构通过API与合作伙伴（如贷款平台、信用评估机构等）进行数据交互。例如，用户申请贷款时，经用户授权，金融机构可通过API接口将用户的基本信息、信用记录等数据提供给贷款平台，以便对方进行信用评估和风险管理。

4、健康管理应用数据接入： 健康管理APP或穿戴型电子设备可能通过API接口与医疗机构、保险公司等进行数据对接，获取或提供用户的健康数据。在此过程中，用户授权健康管理应用使用并传输自己的健康信息，以实现数据分析、诊断支持或保险理赔等服务。

5、广告定向投放： 在数字广告领域，广告服务商可能通过API与各大平台合作，获取用户的浏览历史、兴趣标签等匿名或去标识化的信息，以便进行精准广告投放。在这个过程中，服务平台通过API接口向广告服务商传输符合法律法规要求的用户画像数据。

二什么是数据交易中的API接口服务

在数据交易中，API（Application Programming Interface，应用程序编程接口）接口服务是一种允许不同软件系统之间交互和共享数据的技术机制。API接口服务在数据交易中起到了至关重要的中介作用，它定义了数据请求和响应的结构、规则和过程，使得数据提供方（如数据源、数据中心或数据服务平台）能够通过标准化的方式来向数据接收方（如开发者、企业、研究机构等）提供数据访问服务。

在数据交易的具体场景下，API接口服务的工作方式如下：

1、数据提供方对外公开一套API接口文档，详细说明了如何通过HTTP、HTTPS等协议调用接口，以及接口的请求参数、返回格式、授权方式等信息。

2、数据接收方通过调用API接口，发送带有认证信息（如API密钥、Token等）的请求，请求获取、查询、更新或删除特定的数据资源。

3、数据提供方收到请求后，根据接口定义的规则验证请求的合法性，然后处理请求，从后台数据库或其他数据源检索、处理数据，并将结果以预定义的格式返回给数据接收方。

4、整个过程中，API接口服务既要确保数据交换的高效便捷，又要遵守相关的数据安全和隐私保护法规，例如确保数据传输过程加密、控制数据访问权限、记录数据操作日志等，以达到数据交易的合规性和安全性。

如果以上内容理解起来有点困惑，那么我们可以将API（应用程序编程接口）形象地比喻为一位高效率且精确无比的“传菜员”。在现实世界中，传菜员的主要任务是在厨房和餐桌之间传送菜肴，确保菜品能准确无误地送达顾客手中。与此类似，API（应用程序编程接口）则是不同软件系统或应用程序之间沟通的媒介。它接受一个系统发出的“订单”（请求），并按照预设的“菜单”（接口文档）去“厨房”（后台服务、数据库或其他数据源）获取“菜肴”（数据或功能服务），然后将这些“菜肴”精确无误地“传递”到“顾客”（另一个系统或应用程序）那里，供其使用。

这样一来，API（应用程序编程接口）就像是一位训练有素、严格遵守操作规程的传菜员，它简化了数据和功能的共享过程，实现了不同系统间的无缝集成和高效协同工作，从而极大地提高了软件开发和数据交换的效率。

三API接口模式下的个人信息数据交易的合规要点

在API接口模式下的个人信息数据交易中，确保合规性的要点主要有以下几点：

1、合法、正当、必要原则： 个人信息的收集、使用、加工、传输和提供必须基于合法、正当、必要的原则，只有在用户知情并明确同意的情况下才能进行。

2、用户授权与知情同意： 在API接口交易个人信息前，应确保用户充分知情并明确同意，授权数据提供方通过API将个人信息提供给第三方使用。此过程通常需要通过显式同意的方式，如用户界面点击确认、签署协议等方式体现。

3、数据最小化原则： 仅传输完成服务所必需的最少个人信息，并且尽可能采取去标识化或匿名化处理，降低数据泄露带来的风险。

4、安全传输与存储： 通过API接口传输的个人信息数据应采用加密等安全措施，确保数据在传输过程中的安全性和完整性。同时，接收方也要确保有适当的安全存储措施，防止数据泄露、篡改或丢失。

5、访问控制与权限管理： 通过API接口进行数据交易时，应有严格的访问控制机制，确保只有授权的第三方服务可以访问所需的个人信息数据，并实施定期权限审核和更新。

6、合同约束与责任明确：数据提供方和接收方之间应签订包含数据安全和隐私保护内容的合同，明确双方在个人信息保护方面的权利和义务，包括但不限于数据保密、安全措施、违规处理和责任承担等。

7、合规审计与透明度：定期进行合规审计和安全评估，确保API接口的数据交易行为符合法律法规要求。同时，企业应具备透明的数据处理政策和隐私政策，明确告知用户个人信息的处理方式和目的。

8、遵守法律法规：必须严格遵守当地的个人信息保护、网络安全及数据安全方面的相关法律法规，如我国的《个人信息保护法》、《网络安全法》、《数据安全法》等，以及欧盟GDPR（General Data Protection Regulation，《一般数据保护法案》）等数据保护条例。

9、数据生命周期管理：从个人信息的收集、使用到销毁或匿名化处理，应遵循完整的数据生命周期管理原则，确保在API接口交易的整个过程中，个人信息得到妥善管理和保护。

10、用户权利保障：保障用户的查阅、复制、更正、删除、撤回同意等权利，当用户行使这些权利时，API接口应具备相应的能力来支持用户诉求的实现。

四数据交易中的个人信息数据如何确权授权

针对个人信息数据，“数据二十条”明确提出，“建立健全个人信息数据确权授权机制。对承载个人信息的数据，推动数据处理者按照个人授权范围依法规采集、持有、托管和使用数据，规范对个人信息的处理活动，不得采取‘一揽子授权’、强制同意等方式过度收集个人信息，促进个人信息合理利用。探索由受托者代表个人利益，监督市场主体对个人信息数据进行采集、加工、使用的机制。对涉及国家安全的特殊个人信息数据，可依法依规授权有关单位使用。加大个人信息保护力度，推动重点行业建立完善长效保护机制，强化企业主体责任规范企业采集使用个人信息行为。创新技术手段，推动个人信息匿名化处理，保障使用个人信息数据时的信息安全和个人隐私。”

1、个人信息数据的确权

数据权属关系的界定是解决后续流通利用环节中权利义务关系界定、数据权益主体合法权益保障、数据秩序维护等核心问题的先决条件。由于个人信息数据兼具人格属性与财产属性的双重法律属性，在对于个人信息的财产属性利用过程中不能侵犯个人信息上的人格权，因此个人信息权利应归属于个人信息主体。如《民法典》规定:“自然人的个人信息受法律保护。任何组织或者个人需要获取他人个人信息的，应依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息”“法律对数据网络虚拟财产的保护有规定的，依照其规定”。相较于《民法典》的框架性规定，我国深圳颁布的地方性法规《深圳经济特区数据条例》首次提出数据的“个人权益”与“财产权益”的概念:“自然人对个人数据享有法律、行政法规及本条例规定的人格权益”“自然人、法人和非法人组织对其合法处理数据形成的数据产品和服务享有法律、行政法规及本条例规定的财产权益”，从立法层面对个人信息数据权属做出了规定。

2、个人信息授权（仅针对一般个人信息的个人授权）

一般个人信息个人授权，应严格遵守“告知同意原则”。企业在直接从个人信息主体处取得授权以使用个人信息时，应当具备《个人信息保护法》规定的合法性基础。即符合下列情形之一的，个人信息处理者方可处理个人信息：

（一）取得个人的同意；

（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；

（三）为履行法定职责或者法定义务所必需；

（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；

（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；

（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；

（七）法律、行政法规规定的其他情形。

依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。

3、“告知同意”规则的落地

3.1告知义务

3.1.1一般告知的义务

3.1.1.1时间上：个人信息处理者应在处理个人信息前完成告知；

3.1.1.2方式上：①以显著的方式、清晰易懂的语言；②处理规则应公开，并且便于查阅和保存；

3.1.1.3内容上：①个人信息处理者的名称或姓名和联系方式；②个人信息的处理目的、处理方式、处理的个人信息种类、保持期限；③个人行使本法规定权利的方式和程序；④法律、行政法规规定应当告知的其他事项。

3.1.1.4豁免：

①法律、行政法规规定应当保密或者不需要告知；②收到紧急情况下为保护自然人的生命健康和财产安全无法及时向个人告知的，个人信息处理者应当在紧急情况消除后及时告知。

3.1.2特殊的告知义务

3.1.2.1继承转移：①合并、分立、解散、被宣告破产等原因需要转移；②告知接收方的名称或者姓名、联系方式；③变更原先处理目的与处理方式应重新同意。

3.1.2.2向第三方传输：告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类。

3.1.2.3处理敏感个人信息：告知处理敏感个人信息的必要性以及对个人权益的影响。

3.1.2.4信息出境：告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，以及个人向境外接收方行使《个人信息保护法》规定权利的方式和程序事项。

3.2同意规则

3.2.1一般同意规则：①知情、自愿、明确；②取得个人同意是处理个人信息的前提；③对个人权益有重大影响；④个人有权撤回同意。

3.2.2单独同意规则：①向第三方提供②公开③收集个人图像、身份特征信息用于公共安全之外的目的；④处理敏感个人信息；⑤向境外提供。

3.2.3处理个人信息不需要个人同意的情形：详见“个人信息授权（仅分析一般个人信息的个人授权）”章节《个人信息保护法》规定的符合下列情形之一的，个人信息处理者方可处理个人信息：（二）至（七）项。

4、一般个人信息处理者的义务

作为处理一般个人信息处理者，其需要履行的义务主要有以下几个方面：①制定内部管理制度和操作流程；②对个人信息实行分类管理；③采取相应的加密、去标识化等安全技术措施；④合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育与培训；⑤制定并组织实施个人信息安全事件应急预案；⑥法律、行政法规规定的其他措施。

五场景下的API接口个人信息数据处理的步骤和措施

1、全面详实的信息告知

在用户初次注册账号或使用涉及API接口数据交易功能的服务时，应用或服务提供商应当以醒目且易于理解的方式，向用户提供详细的隐私政策或用户协议，明确说明个人信息可能通过API接口与哪些第三方共享，明确列出涉及的具体数据类型（如姓名、联系方式、地理位置等）、数据处理目的（如优化服务体验、提供个性化推荐等）和数据流向范围（如关联公司、合作伙伴等）。

2、主动、明确的用户同意获取

在用户注册或使用服务的过程中，应用或服务提供商必须通过显眼的勾选框、点击按钮、电子签名等方式，让用户主动、明确地表达对API接口数据交易的同意，不允许默认勾选或模糊同意。对于涉及敏感个人信息的数据交易，如生物特征信息、健康状况等，应当单独提示并获取用户的特别授权。

3、精细化的权限管理

应根据不同类型的数据敏感程度和实际应用场景，对用户的授权进行细分和定制，允许用户自主选择是否同意不同类别的数据通过API接口进行交易。应为用户提供实时查看和管理已授权数据交易的便捷渠道，让用户能够随时调整授权范围和状态。

4、透明的信息更新与告知

当应用或服务提供商计划更改数据交易政策，或者新增、取消与第三方的数据共享时，应及时更新隐私政策并向用户公告，要求用户重新确认或修改其同意状态。在用户账户设置中设立专门的数据权限模块，让用户能直观地了解到自己的数据正在如何被使用和共享。

5、便捷的同意撤销机制

确保用户在任何时候都能轻松撤销对API接口数据交易的同意，撤销操作完成后，应立即停止向第三方传输相关的个人信息，并尽快通知受影响的第三方进行数据清理。

6、完备的同意记录与存档

对每一次用户同意或撤销同意的行为进行详尽记录，包括同意或撤销的时间、具体同意的内容、同意的方式等，确保记录的准确性和完整性，以便于应对可能发生的法律纠纷和监管审查。

通过这些全面细致的做法，企业能够在API接口数据交易模式下，确保个人信息数据的收集、使用和传输符合法律法规要求，充分尊重和保护用户的知情权、选择权和隐私权。

六结语

API接口模式在推动数据共享、服务创新和业务拓展的同时，对个人信息数据交易的合规性提出了严峻的挑战。确保个人信息数据在API接口模式下的安全、透明和合法交易，不仅需要遵守严格的法律法规，如《个人信息保护法》及相关规定，还需要企业践行以人为本的服务理念，通过明确告知、显式同意、精细化权限管理等一系列举措，真正实现用户对其个人信息的有效控制。

面对未来更加复杂多元的数据交易环境，企业应不断提升数据治理水平，通过技术创新和制度完善，不断优化API接口数据交易的合规流程，强化数据安全防护措施，切实保障用户隐私权益。唯有如此，才能在拥抱数字化转型浪潮的同时，赢得用户的信任，塑造可持续发展的商业生态，推动整个行业的健康发展。

参考：

1、《数据资产入表100问》 上海数据交易所 大数据流通与交易技术国家工程实验室 编 p78

2、《数据资产入表100问》 上海数据交易所 大数据流通与交易技术国家工程实验室 编 p80

作者简介

施玮玮

浙江智仁律师事务所

专职律师

专业领域：数据合规、数据交易、个人信息保护及互联网电商服务

浙江智仁律师事务所专职律师，从事律师执业十年有余，同时拥有八年以上上市企业法务负责人的从业经验，对数据交易、个人信息保护及电商企业服务有深入的研究。现主要专业服务于数据交易企业、电子商务企业以及品牌直播带货领域的法律顾问服务，熟知数据合规、个人信息保护合规、电子商务领域网络交易等各类经营模式，以及企业对外平台合作和对内运营流程的规则体系搭建，擅长数据合规全生命周期的流程体系搭建、评估、审核、审计，对电子商务（直播/切片授权/MCN机构/监管处置）的特有商业模式结合公司治理、企业合规、诉讼争议解决等方面能够提供全方位的法律服务，具备丰富的风控管理及纠纷处理的实务经验。