“头腾大战”的三重门

“世事纷纷一局棋，输赢未定两争持”。去年以来，今日头条系产品抖音、多闪和腾讯的微信、QQ，围绕着分享网页链接、用户授权登录等问题产生的冲突屡见报端。

2019年2月28日，腾讯一纸诉状，将头条诉诸法院，3月18日，法院作出诉中禁令的裁定：要求抖音立即停止向用户推荐好友时使用源于微信平台的微信/QQ用户头像、昵称，立即停止将微信/QQ开放平台授权登录服务提供给多闪使用，同时多闪此前通过抖音获得的微信/QQ用户头像、昵称也被勒令停用。然而，这一程序上的裁定并没有平息争议，反而激起了更多的争议。

一个“正确”但“浅显”的裁决

在本案中，腾讯公司所针对的涉案行为主要基于如下事实：

（1）用户登录抖音后，在“好友”项下“你可能认识的人”、“发现好友”等项目中展示的部分用户的头像、昵称，与登录微信/QQ搜索后的微信/QQ用户头像、昵称一致。

（2）在下载安装微信/QQ软件和抖音、多闪软件后，打开多闪软件进入多闪登录界面，点击该页面下方的“抖音登录”按钮，进入对应登录页面后，点击“其他登录方式”项下的微信/QQ图标，并在输入相应账号、密码后点击登录，页面将跳转回多闪授权登录界面，再点击下方的“授权并登录”按钮后，即可登录多闪。

（3）用户下载抖音和多闪产品，打开多闪产品点击“抖音登录”，经抖音授权登录多闪后，浏览多闪产品中“你可能认识的人”列表，其中展示的部分用户的头像和昵称，与登录微信/QQ搜索后的微信/QQ用户头像和昵称一致。并且被推荐的好友里还有部分从未注册、登录过多闪产品的微信/QQ用户。

一言以蔽之，本案的焦点在于：头条在向用户推荐好友时所获得的微信/QQ用户头像、昵称的使用问题，而这些头像和昵称基本经由腾讯开放平台的应用编程接口（Open API）所调取，故此，法院所审查的重心自然落在了Open API的数据调取规则，也就是双方签署的开放平台《开发者协议》上。不难发现，复杂的科技与商业的纠葛，最终被化约为合同纠纷，这就是法院裁决的高妙之处。

让我们再来看《开发者协议》。首先，抖音和多闪是由不同的企业主体运营的独立应用，多闪并未申请接入微信/QQ开放平台，也并未与腾讯达成《开放者协议》，并非合同的一方，不享有通过Open API调取任何数据的权利。同时，根据《开发者协议》第2.7.6条，它也不能从抖音那里间接获取数据，因而，多闪应当将非法获取的头像和昵称删除。其次，对于抖音而言，其固然有权调取数据，但必须在《开发者协议》授权的范围内。《开发者协议》第2.7.2和2.7.3条明确规定，抖音不得将所合法获得的前述数据自行或提供给其用户、客户用于创建、补充或维护自身关系链，不得利用合法获得的数据（包括但不限于微信用户关系链等）实施或变相实施任何形式的推广、营销、广告行为。因此，尽管抖音获取数据并未违约，可它展示头像和昵称进行推广的数据使用方式却违反了《开发者协议》，法院裁决有理有据。

不过，成也萧何败萧何。以双方合同为基础的裁决必然忽略了头腾大战中两个更深层的问题。倘若以古代衙门中的“三重门”为喻，诉中禁令刚刚经历了“合同门”，还有“权属门”和“垄断门”两大关卡。此前，我在《“头腾大战”的新药方》中已对“垄断门”略加论述，这里将围绕着“权属门”开展。

数据权属的千禧年难题

数千年来，财产的归属一直激动着和困扰着人心。而数据——这一21世纪的新财富——的归属，则是千禧年之后的难题。为此，2018年生效的《民法总则》专设第127条加以回应。可惜因争议太大，徒留“法律对数据、网络虚拟财产的保护有规定的，依照其规定”的宣示性内容。同时，《民法总则》第111条另外规定“自然人的个人信息受法律保护”，“信息”概念的引入加剧了数据权属的复杂性。正因如此，在法院做出裁决后，多闪发布了题为《昵称、头像均由用户授权 相关权益理应归属用户》的声明，声称：用户的头像、昵称的权益理应归属于用户，不是腾讯授权我们使用用户的头像、昵称，而是用户授权我们使用他们的头像、昵称。

如欲破解数据权属之谜，首先要从“数据”和“信息”的性质分野开始。根据国际标准化组织（ISO）的定义，“数据”是“信息”的一种形式化方式的体现，从而达到展示、交互或处理的目的。就此而言，信息和数据是在内容和形式两个层面上对同一个对象的描述。信息和数据该等一体两面关系，网络空间中映射为：数据是二进位的0、1编码方式形成的符号，而信息则是人对该等符号的读取和解读。数据和信息一般是统一的，但在特殊情形下，也会发生分离。例如，我的手机记录着大量朋友的姓名、电话号码、地址等个人信息，假设手机不慎掉入大海，则所有的数据因海水侵蚀而毁损灭失，但我朋友的信息却依然如故。事实上，《民法总则》将“个人信息”和“数据”分别置于不同的章节下，已充分说明分而治之的思路。简单来说，数据一般由数据的生产者所享有，其权利类似于欧盟的“数据生产者权”（ data producer’s right），个人信息的权利则归属于个人。数据权利和个人信息权利相互独立且并行不悖。

回到头腾大战，基于数据权利，腾讯可以针对包括头条在内的第三方主张权利，未经其同意，他方不得通过Open API收集、存储、抓取、获得其数据，即使是与用户相关的数据也是如此。但另一方面，基于个人信息权利，用户同样有权将其头像、昵称授权第三方使用或要求侵权人赔偿。因此，多闪当然可因用户主动的提供行为重新将头像和昵称数据化，生成新的数据权利，但其不能在未取得腾讯的同意下，直接调取或通过抖音间接取得微信/QQ平台中的数据。所以，多闪所谓“用户使用微信/QQ账号登录时，跳出弹窗取得用户授权”的说法，并没有解决其原始数据取得的瑕疵，这是因为用户基于个人信息权利的同意并不能代替数据权利人的追认，这或许是另类的“毒树之果”。

这里，或许有好奇的读者继续发问：在用户、腾讯和头条的三方关系中，用户能否要求腾讯将与个人信息相关的数据转移给头条呢？首先可以明确，这一主张违背了数据权利和个人信息权利二分的法理，我国亦无实体法基础。而在将个人数据权视为基本权利的欧盟，《一般数据保护条例》（GDPR）创设了一项新的权利——“可携带权”来回应这一问题。根据GDPR第20条第2款，在技术可行条件下，用户有权要求数据控制者向第三方直接传输数据。

不过，这一权利将受到两种限制：其一，尽管GDPR鼓励数据控制者形成更加具有兼容性的数据系统，以更有效的帮助用户实现该权利，但数据控制者并不负有积极兼容的义务；

其二，传输的数据不得对其他人的权利造成影响。因此，即便引入“可携带权”，若技术条件不满足，腾讯也无需承担转移用户数据的义务。更重要的是，用户的“微信好友关系”属于用户和好友的共同信息，不应因用户单方授权就转给好友不知悉的第三方。从更深层次观察，可携带权与其说是个人信息的保护手段，毋宁说是欧盟为了应对美国网络巨头的竞争策略。正如我国学者所警告的：可携带权存在违背反垄断法规范理念、权利范围不清、提供数据的标准模糊等问题，对我国数字经济的发展弊大于利。

大道至简，面对平台、用户、第三方间数据和个人信息的复杂纠葛，不妨做做减法，让数据与个人信息遵循各自的逻辑演化，最终各得其所。“须臾局罢棋收去，毕竟谁赢谁是输?”不论法院最后的判决如何，头腾大战任何一方都难言胜利，而如何建立公正的数据与个人信息规则、推动数字经济良性发展，才真正是腾讯和今日头条——这些中国科技巨头的时代使命。