一条数据接口，两种命运
网络交易平台上的商家，每天睁眼第一件事就是看后台数据。订单、库存、竞品价格、用户评价——这些东西在屏幕上是数字，在法律上是财产利益的载体。同样是从数据库里把内容抠出来，有人做得理直气壮，有人做进了被告席。
合法的那条路长这样：商家与平台签了数据服务协议，凭授权账号在约定字段、约定频次内调取本店铺的交易与库存数据，用于补货和售后。这是合同项下的正当履行，授权范围本身就是合法性的边界。
违法的路也不神秘。绕过登录校验和验证码，用脚本批量抓取全站商品价格与用户评价；或者员工离职时把前东家的客户名单、成交记录整包拷走。前者可能撞上《反不正当竞争法》第九条，后者就是侵犯商业秘密的典型形态。技术上的“能拿到”和法律上的“可以拿”，中间隔着一条很宽的河。
再看第二种对比。两组都不违法，可责任轻重完全不同。
低风险的情形：把公开可见的商品标题、价格信息收集起来，仅在自己团队内部做比价分析，不对外发布，不再向第三方传输，也不做成数据产品出售。这不构成违法，风险敞口很小。
高风险的情形：抓的还是公开数据，但请求频率高到把对方服务器拖垮，或者把抓来的数据整合、打包、对外售卖，甚至里面夹着手机号、收货地址这类个人信息。民事上可能被认定为不正当竞争，行政上可能被要求整改，个人信息保护层面的合规责任也会跟着来。公开可见，不等于可以任意使用，这个弯很多人转不过来。
两组对比摆在一起，全文唯一的关键区分变量就浮出来了：数据库内容提取是否突破了权利人设定的“技术措施＋合同约束”双重控制边界，以及提取后是否改变了数据的使用场景与传播范围。抓取动作本身不是原罪，突破控制、改变用途才是。
它到底归哪部法管
这个问题没有单一答案，因为它压根不是一个部门法的专属领地。
《民法典》第一百二十七条写了：“法律对数据、网络虚拟财产的保护有规定的，依照其规定。”这是一条引致条款，等于把球踢给了其他单行法，民法典自己不直接给数据定权属。理解这一点很重要，它意味着你没法从民法典里翻出一句“数据库归谁所有”的标准答案。
《反不正当竞争法》第九条第四款把商业秘密定义为“不为公众所知悉、具有商业价值并经权利人采取相应保密措施的技术信息、经营信息等商业信息”。三个要件缺一不可：秘密性、价值性、保密性。不少企业吃亏就吃在第三项上——数据堆在服务器里，权限全员开放，日志也不留，出了事再主张这是商业秘密，很难站住。最高人民法院《关于审理侵犯商业秘密民事案件适用法律若干问题的规定》（法释〔2020〕7号）自2020年9月12日起施行，其中对“不为公众所知悉”和“相应保密措施”的认定给出了具体考量要素，包括信息载体是否加锁、权限是否分级、访问日志是否留存这些技术手段是否到位。
《著作权法》第十五条管的是另一头：“汇编若干作品、作品的片段或者不构成作品的数据或者其他材料，对其内容的选择或者编排体现独创性的作品，为汇编作品。”注意，保护的是选择和编排的独创性，不是数据本身。字段顺序一模一样、只换了几个标题的数据库，很难被认定为具有独创性。
《个人信息保护法》第四条界定的个人信息是“以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息”。只要数据库里掺了可识别的自然人信息，提取行为就要额外过一遍这条线。匿名化处理过的信息不在此列，但“匿名化”的门槛比很多人想象的高得多，去个名字、把手机号中段打码，通常不算匿名化。
保护的法益因此是分层的：商业秘密路径护的是竞争秩序和权利人的投入，著作权路径护的是编排的独创性表达，个人信息路径护的是自然人的人格利益。三种法益叠在同一个数据库上，是常态。
权利义务的不对称也藏在这里。数据持有者对数据库有事实上的控制力和技术优势，能设访问门槛、能留痕、能随时改规则；相对方通常只能靠合同约定和可见的技术表现来判断边界。这种信息落差意味着，举证责任和合规成本的分配天然偏向掌握数据的一方，这也是为什么事前把规则写清楚，比事后争论谁对谁错划算太多。
公开资料能告诉你什么
说实话，想看“数据库内容提取纠纷每年有多少件”这种统一口径的统计，目前找不到。我国没有专门针对数据提取行为的司法统计分类，这类纠纷被拆散在商业秘密、不正当竞争、著作权权属、个人信息保护等不同案由里，口径不统一，数字没法直接比。
能依赖的是立法资料和权威通说。法释〔2020〕7号在2020年落地时，对保密措施的认定从原来偏重“有没有签保密协议”，向前推进了一大步，明确把技术手段纳入考量，这是司法规则层面一次实质调整，时间节点明确、文本公开可查。中国信息通信研究院自2021年起陆续发布数据要素系列白皮书，其公开文本反复提到一点：数据权属与流转规则仍处在探索阶段，企业间的数据获取更多依赖合同自治。立法层面，截至2024年，我国尚未出台统一的数据产权单行法，规则供给主要靠反不正当竞争法、个人信息保护法和司法解释的组合。
学者通说层面，关于数据财产化的讨论从2017年前后明显升温，主流意见倾向于在现有框架内分层保护，而不是直接设立一项绝对的数据所有权。这个背景决定了实务判断的基本方向：别去找“数据归谁”的终极答案，去看具体行为有没有越过控制边界。
三段动作，把风险摁住
合同谈判还没签字那会儿，就把数据条款单独做成附件。写清楚可提取的字段清单、调用频次上限、使用目的、是否允许二次传输、关系结束后多久删除。双方授权代表签字盖章，同时保留对方接收确认的邮件往来或系统回执。这一步做扎实，后面九成的争议都能在纸面上找到依据。
系统对接上线之后，所有提取行为走授权账号，按角色分配权限，禁止共用账号，禁止用技术手段绕过验证码、登录校验或频率限制。每次调取留系统日志、接口调用记录和内部审批工单，按周或按月导出归档。日志这东西平时看着没用，真出争议时它就是最硬的那块证据。
收到权利人书面异议，或者合作关系终止之日起的约定期限内，先停手。停止提取，书面回复并说明处理方案，按约定删除或封存已获取的数据拷贝，删除过程录屏或用可信时间戳固化，保留操作记录。主动停手这个动作本身，在责任认定里往往比事后解释有用得多。
数据这东西，拿的时候容易，说清楚为什么拿、拿了干什么、什么时候停，才是真功夫。
本内容仅供法律信息参考，不构成委托关系，不构成对裁判结果的任何形式承诺。