一家积累 800 万用户行为的 MarTech 公司被收购时，尽调却翻遍服务器也找不到“合法拥有用户数据”的法律文件，估值缩水超 60%。用户数据到底归谁？林军律师拆解数据资产的“产权迷局”。
《民法典》第一百二十七条对数据作引致性规定，不创设具体所有权；《数据安全法》《个人信息保护法》均不用“数据所有权”表述。结论：现行法下数据非具明确所有权的“物”，而是需多维度界定的特殊资产——人格权（个人信息）、反不正当竞争（商业秘密）、知识产权（版权/数据库权）、合同法（交易使用权）共同保护。
个人数据上，用户是主体、企业是处理者，企业拥有的是基于授权的“处理权”，用户可随时撤回同意（《个保法》第十五条）。非个人信息数据（有效匿名化后）企业权利空间大得多，但“匿名化”标准严格（《个保法》第七十三条：无法识别且不能复原）。
《个保法》第五十一条确立安全保障义务（分类管理、加密去标识化、权限与培训、应急预案）；第六十九条为过错推定责任——处理者不能证明无过错即担责，凸显建合规体系重要。《数据安全法》第二十七条、《网络安全法》第二十三条扩展至全生命周期。合规不是成本，而是数据资产“确权”的必要投资；《个保法》第六十六条情节严重可处 5000 万元以下或上年度营业额 5% 罚款。
《个保法》第四十五条第三款赋予个人将个人信息转移至指定处理者的权利。这意味着数据驱动型公司的资产不像厂房设备具高度排他稳定——用户行使可携带权，数据可能短期大量流失。投资协议应约定陈述与保证（隐私政策充分告知并获同意）、数据资产价值保护条款（交割后 24 个月内因可携带权致活跃用户处理量降超 20% 触发估值调整）。
共同处理者（《个保法》第二十条）对外连带责任；委托处理者（《个保法》第二十一条）须约定目的、期限、方式与保护措施并监督。SaaS 服务商若承诺特定安全水平却泄露，同时面临用户侵权索赔与客户违约索赔，双重责任可毁灭未盈利创业公司。条款应设计：安全管理制度保证、历史泄露披露、投后安全审计、重大安全事故估值调整或回购、网络安全保险要求。
告别“数据所有权”幻觉，企业权利是分层、有条件的法律利益组合；合规是数据资产基础设施；可携带权须纳入估值；泄露风险前置管理。给创业者：成立第一天重视合规、建数据资产台账；给投资人：数据尽调升级“必做题”、设合规达标机制；给法务：数据条款纳入常规模块。
林军律师是专注公司法、股东权益、股权架构与企业合规的深圳公司法律师、股权律师、企业律师，长期服务福田区、罗湖区、南山区、宝安区、龙岗区、龙华区、坪山区、盐田区、光明区、大鹏新区及广州、东莞、惠州、佛山、珠海、中山、江门、肇庆等粤港澳大湾区城市的科技与创业企业，擅长为创业者、投资人提供从股东协议起草、融资条款审查到股权争议解决的全流程法律服务。
如您正在深圳起草或审查股东协议、融资文件，或面临股权争议，欢迎联系林军律师团队，获取专业、可落地的法律方案。
《中华人民共和国民法典》第一百二十七条（数据保护引致）；《中华人民共和国个人信息保护法》第十五条、第二十条、第二十一条、第四十五条、第五十一条、第六十六条、第六十九条、第七十三条；《中华人民共和国数据安全法》第二十七条；《网络安全法》第二十三条。
如需进一步咨询或委托，广东圳品律师事务所专注家事与财富传承27年，为您一对一理清。