数据不仅是一种助推经济发展的生产要素，更是提升政府治理能力的关键力量。通过高效采集、整合和深度应用各类数据，可有效促进政府治理的高效性、客观性、科学性和精准性。除充分利用公共数据外，各国行政机关均开始以公益为名向企业索取数据。面对要求，数据持有企业大多也只能配合，反映出行政机关获取企业数据强制性的一面。在政策和规范层面，《中共中央国务院关于构建数据基础制度更好发挥数据要素作用的意见》（以下简称“数据二十条”）第 5 条明确规定政府部门在遵守使用限制的条件下可依法依规获取相关企业和机构的数据。江苏省也发文要求探索政府部门依法依规获取相关企业和机构数据的方式和途径，明确使用企业数据的限制要求。欧洲议会通过的《数据法案》则设专章对公共机构强制访问和使用私营企业持有的数据作了详细规定。行政机关强制获取企业数据面临公共主体、企业和个人等主体的复杂权益纠葛，不受限制的数据获取极易滋生数据市场的寒蝉效应和权利干预风险。执法跨境强制调取数据还关涉“我国整体的主权、安全和发展利益”。因此，如何对行政机关强制获取企业数据展开规制，已成为我国数字法治政府建设中面临的重要议题。

面对行政机关强制获取企业数据引发的挑战，已有学者探讨了政府大规模强制获取企业数据的征用性质及其制度框架，但并未覆盖行政机关强制获取企业数据的所有类型。此外，能否将政府大规模强制获取企业数据定性为数据征用并在行政征用框架下展开规制，也有深究的必要。企业数据之上承载着复杂的数据权利且具有基本权利属性，有鉴于此，本文拟在基本权利干预的理论视角下解析行政机关强制获取企业数据的行为层次及其性质，进而对其展开基于场景的分层规制。

一、行政机关强制获取企业数据

的规范内涵和正当性基础

学界就行政机关强制获取企业数据的概念内涵和正当性基础缺乏专门探讨，有必要从强制获取企业数据的主体、对象、客体、权限和程序等方面界定其内涵，并从公共利益和个人利益的关系维度揭示其正当性基础。

（一）行政机关强制获取企业数据的规范内涵

行政机关强制获取企业数据在实践中已十分普遍。比如，为强化对网络交易平台经营者的监管，市场监督管理部门要求网络交易平台经营者定期报送有关信息。根据税收征收管理法律、行政法规的规定，税务部门要求电子商务平台经营企业提供平台内经营者的身份信息和与纳税相关的信息。反洗钱中心要求互联网金融从业机构根据反洗钱等有关规定，报送大额交易和可疑交易报告。要注意的是，立法者在规范上使用了“信息共享”“获取查阅”“及时上传”“数据报送”“收集报告”“平台对接”“数据传输”等模糊概念，这些是否都能纳入“行政机关强制获取企业数据”的概念范畴展开法律规制，面临着识别难题。为此必须对其规范内涵进行清晰界定。欧盟在全球范围内提供了示范样本，参考欧盟《数据法案》第 14 条的规定，可对我国实定法上赋予行政机关的企业数据强制获取权进行梳理，以明确其规范内涵。

1.获取主体上，强制获取企业数据的主体宜限定为行政机关，将侦查机关或司法机关的数据获取行为排除在外。这并非要否定侦查机关和法院的企业数据强制获取权，相反，近年来公安机关和法院基于侦查犯罪和诉讼程序中调查取证的需要频繁获取电信公司等企业的相关数据，在实践和理论上均引发了大量争议。但是，行政机关强制获取企业数据在性质、目的、规制理念和路径方面均有分殊，有必要在概念上作出区分并分别展开制度设计。此种区分对于判断强制获取数据行为的合法性也有现实意义。例如，公安机关兼具行政机关和侦查机关的双重身份，而《数据安全法》第 35 条仅授权公安机关因维护国家安全和侦查犯罪的需要“获取”有关组织的数据。因此，公安机关要在行政执法程序中向企业获取数据必须有其他特别法授权，否则将面临合法性拷问。

2.行政机关强制获取企业数据的对象和客体均有限定的必要。一方面，企业而非个人是行政机关强制获取数据的直接相对方，由此将行政机关直接从数据主体获取个人信息的行为排除在外。此外，随着公共服务的民营化，市场主体替代政府提供公共服务成为常态，国有企业和服务型事业单位在其中扮演了重要角色，持有了大量涉及公共利益的数据。随着国有企业和事业单位社会化、市场化改革的深化，应将其一并纳入对象范围。另一方面，行政机关强制获取企业数据的客体仅限于数据内容，由此将获取关于数据的情况描述排除。实践中，为平衡重要数据、核心数据的权利保护和行政机关的监管需求，行政机关有时仅要求企业提供关于数据的情况描述而非数据内容。例如，《工业和信息化领域数据安全管理办法（试行）》第 12 条第 1 款规定，工业和信息化领域内的数据处理者仅需向行业监管部门提供关于数据的来源、类别、规模、载体和数据处理目的、方式、范围等情况，无需提供数据内容。数据是一个内含载体和信息的双层结构，关于数据的基本情况则只是对数据的客观描述，行政机关通过了解数据情况可以建立起对监管对象的系统性认识，为后续的行政监管奠定信息基础，但行政机关并未直接接触原始数据载体和信息内容，也不会对数据之上的财产权益和人格价值构成侵犯，故应将其排除在外。

3.获取权限上，行政机关强制获取企业数据具有法定性和高权性，这使其区别于企业自愿向行政机关提供数据的情形。一方面，行政机关从企业获取数据包括基于自愿的数据获取和基于强制的数据获取两类。基于自愿的数据获取是对企业数据的意定利用，包括数据慈善、数据采购等多种模式。但无论企业通过签订授权协议的明示方式授权行政机关访问数据，还是企业自主公开持有数据的访问和获取路径，行政机关能否获取企业数据都取决于企业是否有允许其利用数据的意思表示。基于强制的数据获取并不依数据企业的意思进行，属于对企业数据的法定利用，遵循的是依法行政的公法原理。另一方面，与基于自愿的企业数据获取相比，一旦行政机关提出强制获取企业数据的要求，企业即应负担积极配合提供的义务，无法定理由不得拒绝。例如，《突发事件应对法》第 83 条规定，县级以上人民政府及有关部门根据突发事件应对工作的需要，要求公民、法人和其他组织提供应急处置与救援信息的，除法律另有规定外，公民、法人和其他组织应当予以提供。这是其高权性和强制性的体现。

4.获取程序上，行政机关强制获取企业数据的程序应当具有严格性。欧盟《数据法案》第 17 条到第 19 条对数据获取请求的提出程序、数据获取的拒绝和争议裁决程序和数据获取后的补偿程序作了全面规定，为公共机构强制获取企业数据提供了充分的程序保障。相比之下，我国《数据安全法》第 38 条仅笼统规定国家机关收集数据应当“依照法律、行政法规规定的条件和程序进行”。《网络安全法》第54条虽然要求省级以上人民政府有关部门“应当按照规定的程序”获取信息，但也采用了空白规定的方式，并未细化规定具体的程序内容。在规章层面，虽有立法者注意到了非自动化和自动化数据获取在程序上的区别，但同样未就具体程序内容作出层次化的区分规定。我国对行政机关强制获取企业数据的程序规范，难言达到了程序控制的完整性和严格性要求，亟待立法予以更有针对性的程序控制。

基于上述分析，可对行政机关强制获取企业数据形成一个描述性界定，即行政机关依据法定权限和严格的程序，要求作为数据持有者的企业而非个人提供相关数据内容而非情况描述，企业无法定理由不得拒绝的行为。

（二）行政机关强制获取企业数据的正当性基础

在行政机关强制获取企业数据这一同时掺杂着个人、企业和国家等不同主体复合法益的情形之中，根据法益位阶原则，公共利益一般处于相对优先的位置。但是，由于公共利益的内涵与外延具有不确定性，因此只有通过立法完成对公共利益的法制化，行政机关对私主体权益的限制才具有正当性。在数据法领域，公共利益也是权利干预的正当性理由。欧盟《数据法案》第 15 条将公共机构获取数据的公共利益限定为应对公共紧急事件的特殊需要和法律明确规定的为公共利益而执行的行政任务两类。我国《个人信息保护法》第 10 条和《数据安全法》第 8 条也将“危害国家安全、公共利益”作为个人信息处理和数据处理活动的限制条件。地方数据立法也有类似规定。实定法上公共利益条款为基于保护公共利益对数据权益进行限制提供了依据。

但公共利益呈现出“虚实相间”的面貌，既可能是具体和现实的利益，也可能是抽象和未来的利益。为防止行政机关对公共利益作任意扩大性解释并以泛化的公共利益为由过度干预企业数据权益，立法上授权行政机关强制获取企业数据所指向的公共利益须以更具体化的形态呈现。这意味着单纯促进企业数据流通应首先被排除在公益范畴之外。

只有存在特定的公共利益指向，立法授权行政机关强制获取企业数据才具有正当性基础。从我国法治实践和比较法经验来看，主要有以下三种类型：第一，指向特定行政任务的公共利益。常见情形是，行政机关为履行具体法定职责而获取企业数据，由此通过完成行政任务起到促进公共利益的作用。大数据时代呈现“数据—信息—知识”的递进关系，数据成为获取信息进而形成认知（知识）的前提。行政机关作出影响企业权利义务的实体性行政决定，其本质是对各方利益状态的系统性认知，行政机关强制获取企业数据，则是为了获取充分和准确的信息，保证行政决定的准确性。第二，指向特定监管对象的公共利益。平台企业作为数据控制者，与数据主体间形成了不对等关系，监管机关与平台企业间也愈加处于信息不对称地位。立法授权行政机关强制获取平台企业的数据，有助于重建监管信息优势，矫正不对等的数据权力关系。就此而言，《电子商务法》第 28 条授权行政机关获取平台公司的数据具有正当性。第三，指向突发公共事件应对的公共利益。在任何国家，面对可能给国家稳定和公共利益带来重大风险甚至损害的突发公共事件，行政机关如何及时有效地应对都属于公益级别中的极重要公益，行政机关强制获取企业数据是维护这一极重要公益的必要举措。我国新修订的《突发事件应对法》第 83 条授权行政机关向有关主体获取应急处置与救援信息，无疑具有正当性。

综上所述，只有指向法制化、具体化的公共利益类型，行政机关强制获取企业数据才具有正当性基础。

二、传统行政法理论下行政

事实行为定性的法治风险

传统行政法理论对行政机关强制获取企业数据的性质定位及其规制存在不足和困境。任何行政决定的作出都离不开信息采集和事实认定。行政机关获取信息的渠道主要分为两类：一类是通过申报、登记、备案等公民主动向行政机关提供信息的渠道获取；另一类是通过行政调查、行政检查等行政机关主动向社会采集信息的渠道获取。就后者而言，行政调查是一种行政机关收集信息的典型活动。行政检查作为一种广泛应用的行政手段，其本质也是“行政机关通过直接观察取得信息的方法”。进入大数据时代，数据成为信息的数字化存在形式，行政机关强制获取企业数据与行政机关主动向社会获取信息的传统行政活动具有某种形式和功能上的相似性，因此将两者挂钩似乎顺理成章，而且可使其在传统行政法的理论体系下获得栖身之所。

不过，在“事实行为—法律行为”的传统二分法框架下，行政机关强制获取企业数据的行为性质很容易被视为一种行政事实行为而非法律行为。原因有二：第一，是否具有独立性是区分行政法律行为和行政事实行为的形式标准。在传统理论下，信息（数据）并不被视为一种独立的、值得受到法律特别保护的权利客体，行政机关主动向社会获取信息也不被认为是一种要被独立规制的权利干预行为，理论上通常将其看成是行政决定作出前的阶段性行为或程序性行为。此种理解下，行政机关强制获取企业数据的性质属于程序性行政事实行为；第二，“主观上是否直接产生法律效果”是区分行政法律行为和行政事实行为的实质要件。换言之，只有行政机关主观上有与行政相对人建立行政法上权利义务关系的“效果意思”，由此作出的决定方为行政法律行为。而在传统行政法理论下，作为一种获取信息（数据）的手段，行政机关获取信息（数据）的主观目的仅在于查清案件事实、督促公民守法、监测法律实施效果或者辅助行政执法，均不具有与行政相对人直接建立行政法上权利和义务关系的“意思表示”，因此只能将其界定为一种行政事实行为。

然而，行政事实行为不直接引起行政法律关系的发生、变更或消灭，原则上无须遵循法律保留原则的权限约束，不用受到严格的正当程序制约，更不必接受比例原则的细密审查。一旦将两者完全等同，行政机关可能在“事实行为”的掩护下随意获取企业数据，带来突破法治的巨大风险。具体而言，主要有以下风险。

（一）明确性授权的缺位风险

我国多数立法并未就行政机关强制获取企业数据予以明确授权。如《网络安全法》第54条规定省级以上人民政府在网络安全风险增大时，可以按照规定的权限要求有关部门、机构和人员收集和报告有关信息。上述规定是一种“概括性授权条款”，仅一般性赋予行政机关获取企业数据的权力，至于行政机关基于多大的“网络安全风险”，以及按照何种法定“权限”要求提供多大范围、何种类别的“有关信息”，立法上均不明确。

概括性授权条款是否足以为行政机关强制获取企业数据提供授权依据？按照法律保留原则，行政机关行使公权力构成对基本权利的较强干预时，必须事先取得法律明确授权，以此保护基本权利免受任意干涉。而对基本权利干预性较轻的行为进行概括性授权，可以满足法律保留的底线要求。因此，一旦将行政机关强制获取企业数据界定为事实行为，便意味着行政机关向企业获取数据很容易在概括性条款下满足授权要求，无须特别授权条款的进一步细化和具体化。但是，行政机关强制获取企业数据明显具有扩张性，不仅需要形式上的宽泛授权，还要对其程序、方式、步骤等予以细密规范，实现行政效率和权利保障的平衡。概括性授权条款虽然满足了权限法定的基本授权要求，却并不能为行政机关强制获取企业数据的规范化运行提供具体指引。而且，仅以概括性授权条款的形式即赋予其合法性，无形中降低了获取数据的门槛，可能为行政机关滥用权力打开方便之门，难以应对实践中数据获取的复杂情形和诸多风险。明确性授权依据的缺位，还容易在实践中引发行政机关强制获取数据行为的合法性危机。例如，在“特斯拉刹车失灵维权事件”中，郑州新区市场监督管理局责令特斯拉汽车销售服务（郑州）有限公司无条件提供该汽车在发生事故前半小时内的完整数据，但由于立法层面并未明确授予相关市场监管部门获取汽车数据的法定职权，导致其数据获取行为“名不正，言不顺”，最终只能在国家市场监管总局的指导下以保护消费者知情权为由，要求企业向消费者披露数据。

（二）合法性控制的逸脱风险

从相对人权益保障的立场，行政程序可分为“权利性程序”和“义务性程序”。前者通过保障相对人的程序性权利，对具有权利干预性的行政行为施加约束，实现对其实体权利的保护。后者则科以相对人某种程序性义务，目的是为行政机关作出最终的实体性决定提供便利。在传统行政法之下，行政机关向社会获取信息服务于作出最终的实体性行政决定，多体现为“义务性程序”，具有附属性、阶段性特点。附属性说明此类行为依附于最终决定，不具有独立性。阶段性说明此类行为仅是行政过程的中间阶段，不具有最终性。因此，一旦将其片面定性为行政事实行为，便意味着相对人将承担较多的程序性负担，而行政机关可借此摆脱正当程序原则，对干预性行政行为提出的程序正当性要求。

但是，尽管服务于作出最终实体性行政决定仍是行政机关获取企业数据的重要场景。例如，行政机关为了调查平台内经营者的违法行为，需要平台企业提供交易账号、商品名称和交易信息等数据，以决定是否以及如何作出处罚。又如，网约车监管机关要求网约车平台在取得《网络预约出租车经营许可证》后提供静态和动态数据，是为了强化行政许可的事中事后监管。但是，在越来越多的场景中，行政机关要求企业提供数据并不依附于某个特定的个案决定，而是致力于提升公共卫生、环境保护、社会保障、征信等特定公共利益领域的治理效能，由于其使用是为了社会总体预测和进步，因此获取企业数据本身不再附属于行政权力，而具备了独立运行的可能性。比如，城市交通主管部门并非只能基于个案调查目的获取数据，也可为了优化系统资源、打造智慧交通、缓解交通拥堵、提升交通安全向智能网联汽车企业提出访问数据的要求。鉴于行政机关强制获取企业数据的行为已经具有了某种程度的独立性和成熟性，如果仍将其机械定性为行政事实行为，势必导致逸脱正当程序控制的法治风险。

（三）批量化获取的泛化风险

行政机关强制获取企业数据，应与正当目的保持合理关联，采取对各方权益影响最小的方式，追求公私益间的利益均衡。传统上，行政机关主动向社会获取信息主要是在作出行政处罚、行政许可、行政强制等决定前附带性、个别化地要求特定对象提供与行政执法相关的信息，对行政相对人的权益影响较小。

然而，随着行政程序的自动化进程不断推进，行政监管平台直接与企业无缝对接渐成常态，行政机关无须依靠具体场景和个案，即可实时、批量获取企业数据。如我国出租汽车行政主管部门的政府监管平台和城市交通运输主管部门的运政信息系统已与网约车平台建立连接，实现信息和数据的实时共享和传输。又如，我国立法要求地方和国家的新能源汽车推广应用监测平台与新能源汽车生产企业的产品运行安全状态监测平台对接，对已销售的新能源汽车的运行状态进行监测。批量获取企业数据完全不同于个案式的信息获取。因为往往经由一次数据获取，行政机关即可获取海量数据，这其中不仅包括很多公开的和未公开的企业数据，也包括企业在提供服务过程中获取的个人信息，甚至敏感个人信息。在此背景下，如果不对行政机关获取企业数据进行精准的分类分层，而是一刀切地将其定性为行政事实行为，会使行政机关不分场景常态化地批量获取企业数据，带来数据获取的泛化风险，这显然有违最小必要侵害和利益均衡的比例性要求。 

三、基于基本权利干预

理论的分层规制路径

传统行政法理论下的性质定位及其规制之所以陷入困境，关键在于未能认识到企业数据内容的多样性和承载权利的复杂性。由此应当对强制获取数据的行为进行结构化处理，将其划分为若干层次，并根据各层次的具体场景构建起规制框架。

（一）基本权利干预理论的引入

分层规制的本质是一种基于场景的规制模式，即依据数字场景的丰富性选择多元化的治理路径。因其顺应了数字技术发展的多样性、复杂性和系统性特征，分层规制已成为当今解决数字法治问题的常见路径。然而，面对数字技术发展所引发的规范世界和生活世界的鸿沟，问题的关键并不在于要不要分层规制，而在于如何根据规制对象的特点进行合乎理性的分层，从而实现法律对规制对象的全面和有效回应。随着对企业数据权益的理论证立和规范确认，行政机关强制获取企业数据已不可避免地具有权利干预性，且在干预程度上具有差异。基本权利干预反映的是国家公权力为保护公共利益或他人基本权利而干预基本权利的基本事实。作为一个宪法学分析框架的基本权利干预理论，对于分析和搭建行政机关强制获取企业数据的类型层次、法律性质和规制框架具有重要价值。

1.从基本权利主体的角度来看，2004 年“人权条款”入宪后，法人可以借助这一条款成为基本权利主体。虽然法人有别于自然人，但除与自然人固有属性有关的具有肉体性或者精神性方面的基本权利外，法人享有广泛的基本权利。行政机关强制获取企业数据除可能关涉公民个人信息权利外，还可能与企业数据财产权有关。在法人的基本权利主体地位得到承认的前提下，基本权利干预理论可为企业数据财产权提供宪法保护，防御国家对企业经营活动的不当干预。

2.从基本权利的行政法效力来看，立法者只有在基本权利的约束下，才能实现对行政机关强制获取企业数据的建章立制。

3.与传统行政法理论下展开一刀切式的僵化认定和规制不同，借助“基本权利保护范围”和“基本权利干预程度”的分析框架，可以解析具体场景中涉及的基本权利类型，为行政机关强制获取企业数据的行为类型及性质判断提供依据，实现规制对象的层次划分。基于“基本权利干预正当化要件”的分析框架，则可以实现规制框架的层次划分。

（二）基本权利干预理论下规制对象的类型层次

企业数据之上的权利类型十分丰富，关涉作为数据持有者的企业数据权益和作为数据来源者的个人信息权益。基于不同主体的基本权利干预类型和程度，可以解析行政机关强制获取企业数据的类型和层次。

1.规制对象的类型可以分为两类，分别是面向数据持有者和面向数据来源者的基本权利干预。

（1）面向数据持有者的基本权利干预类型。对作为数据持有者的企业而言，行政机关强制获取数据，使其受到的基本权利干预主要是数据财产权利。“数据二十条”保护市场主体依法依规持有、使用、获取收益的数据权益，企业对其收集的数据享有财产权已得到宏观政策和学界的普遍承认。《宪法》第 13 条第 3 款将征收征用的客体限于公民私有财产，此种开放性规定也为容纳新型数据财产权预留了宪法空间。因此，作为数据财产权利的保护客体，企业数据与其他“合法私有财产”一样落入宪法财产权的保护范围。在承认企业作为基本权利主体的前提下，就应防范行政机关的监管措施不当干预企业的数据财产权。

行政机关强制获取企业数据是否构成对财产权的干预还与获取数据的数量密不可分。如果不满足规模性要求，少量数据不足以成为新型数据财产权的保护客体，行政机关基于个案调查的需要，少量获取企业数据也不会构成对其数据财产权的干预。因此，以数据获取量为准，可将行政机关强制获取企业数据分为两类：一类是行政机关个别、少量地获取企业数据，不构成对企业财产权利的干预；另一类是行政机关大规模、批量地获取企业数据，构成对数据财产权的干预。

（2）面向数据来源者的基本权利干预类型。对作为数据来源者的个人而言，其基本权利是否受到干预与行政机关获取企业数据的内容有关。一方面，《民法典》1034 条与《个人信息保护法》第 2 条分别使用了“个人信息受法律保护”和“个人信息权益”的概念。当行政机关为维护公共利益强制获取的企业数据中包含个人信息时，可能构成对公民个人信息权益的侵犯。更重要的是，由于个人信息权益已超越私权定位，成为具有宪法位阶的基本权利，因此行政机关强制获取企业数据将落入作为基本权利的“个人信息权利”的保护范围。另一方面，个人信息分为一般和敏感个人信息。敏感个人信息一旦泄露或者非法使用，容易导致自然人的人格尊严受到严重侵害，或者人身、财产安全受到危害，因此《个人信息保护法》第二章对敏感个人信息处理规则作了专门规范。

以是否包含个人信息以及所涉个人信息的内容为准，行政机关强制获取企业数据的类型包括三类：一是行政机关获取的企业数据不包含个人信息，对此类数据的强制获取不会干预公民的个人信息权益；二是行政机关获取的企业数据包含能够识别到特定主体的一般个人信息，此类数据获取构成对个人信息权益的一般干扰；三是行政机关获取的企业数据涉及生物识别、特定身份、金融账户、行踪轨迹等敏感性个人信息，数据获取将对个人信息权益产生严重干预。

2.规制对象的层次化。至此，可进一步结合获取数据内容的多样性、敏感性和数据范围的规模性，在基本权利干预分类的基础上对行政机关强制获取企业数据行为进行分层，从而以层级化的方式展现基本权利干预程度的差异。具体而言，行政机关强制获取企业数据可纳入一个四阶层的基本权利干预体系：第一层是行政机关个别获取不涉及个人信息的企业数据；第二层是行政机关个别获取涉及个人信息（包括敏感个人信息）的企业数据；第三层是行政机关批量获取不涉及个人信息的企业数据；第四层是行政机关批量获取涉及个人信息（包括敏感个人信息）的企业数据（见表1）。

表1  行政机关强制获取企业数据的基本权利干预层次

四层基本权利干预体系由低到高分别对应不同的基本权利干预程度。其中，第一层一般不具有权利干预性，所受到的法治约束最小；第二层和第三层分别构成对个人信息权益和企业数据财产权利的干预，应在不同的基本权利干预框架下展开规制；第四层则同时构成对个人信息权益和企业数据财产权利的干预，基本权利的干预程度最大，受到的法治约束应当最严格。

基于上述层次划分，可进一步确定行政机关强制获取企业数据的法律性质：（1）第一层次中，尽管行政机关获取数据不构成对基本权利的干预，但信息（数据）获取有助于查清事实，在行政法上仍有其独立存在的意义。此时，如果行政机关获取数据查清事实服务于作出行政处罚、行政许可等实体性行政决定，则属于行政调查。如果行政机关并非为作出决定而获取数据，仅为了督促相对人守法或者监测行政法的实施效果，则属于行政检查。但是，不论行政调查抑或行政检查，学理上通常都将其定性为不直接产生法律效果的行政事实行为。（2）第二层次中，行政机关个别获取包含个人信息的企业数据，属于《个人信息保护法》第二章第三节专门规范的国家机关处理个人信息的行为。区别于私主体处理个人信息的活动，行政机关处理个人信息具有公共性、高权性、强制性和单方性等行政行为的典型特征，在性质上应将其定性为数字政府时代的一种新型行政行为，并纳入行政行为法的约束框架。（3）第三层次中，行政机关批量获取无涉个人信息的企业数据，严重影响企业数据的收益权能并减损其财产价值，使得企业数据财产权承受特别牺牲，因此尽管不构成对数据财产的征收、征用，但其法律性质应属于“准征收行为”。（4）第四层次中，行政机关获取企业数据叠加了对个人信息权益和企业数据财产权的干预，应同时在行政机关处理个人信息和财产权限制行为的定性下受到法治约束。

要注意的是，行政机关强制获取企业数据何以兼具多重属性？实际上，多重属性说明行政机关强制获取企业数据具有不定型性。要确定其行为类型及其性质须综合考量特定场景中获取数据的类型、规模和敏感度。这种基于场景的行为主义规制进路，既契合数据权益的复合性特征，还有助于实现数据权益保护和流通利用的双赢。况且，多重属性是基于行政机关与信息主体、行政机关与企业等不同关系维度的界定，因此也与行政机关强制获取企业数据所处的行政法律关系结构吻合。

（三）基本权利干预理论下规制框架的层次划分

立法不仅应聚焦于对基本权利进行干预，更应强化对干预行为的规制。不论何种层次的干预行为，均须符合基本权利干预的形式化和实质化要件。形式化要件要求基本权利干预须符合法律保留原则。法律保留原则要求“法无授权即禁止”，具体包含两层含义：一是必须由法律进行授权；二是法律授权必须符合公开性、明确性和可预测性等要求。实质化要件则强调基本权利干预须符合比例原则的要求，只有符合目的正当性，以及手段与目的之间满足适当、必要且利益均衡的比例性要求，公权力对基本权利的干预才具有正当性。因此，任何基本权利干预行为均应遵守由法律保留、程序正当以及比例原则构筑的三层框架。

行政机关强制获取企业数据落入个人信息权和数据财产权的基本权利保护范围，并对上述基本权利所保护的法益产生程度不一的影响，故而应基于基本权利干预的正当化要件构建其规制框架。 

四、行政机关强制获取

企业数据的规制展开

结合前文描述和揭示的行为层次和法律性质，可进一步基于法律保留原则、程序正当原则以及比例原则的三层框架对其展开精细化的分层规制。当然，在具体制度设计中，当行政机关强制获取企业数据对数据财产权构成干预时，应当在我国现行财产权保护规范之下展开规制。在企业数据强制获取对个人信息权益构成干预的情况下，还应遵循《个人信息保护法》中的基本原理和制度。

（一）对行政机关强制获取企业数据适用层次化的法律保留

我国《宪法》针对不同基本权利干预行为，建构了一个层次化的法律保留体系，行政机关强制获取企业数据的法律性质不同，关涉的基本权利也存在差异，故应对其区分适用差异化的法律保留方案，缓解明确性授权规范缺位引发的合法性风险。

1.保留范围的分层判断。从法律保留的调整范围来看，侵害保留占据法律保留的内核。这意味着：首先，第一层次的数据获取行为属于程序性行为，本身不具有权利干预性，因此无须受到法律保留的严格限制。其次，第二层次中，个人信息权作为基本权利源于对人权条款笼罩下的通信权和人格尊严条款的解释。《宪法》第 40 条规定对通信权的干预应“依照法律规定”，因此行政机关获取包含个人通信信息的数据属于法律保留范围。此外，《宪法》第 38 条人格尊严条款虽然并未附带法律保留的规定，但《宪法》第 50 条对基本权利干预作了概括性法律保留，因此其他个人信息权利干预行为同样属于法律保留范围。最后，《宪法》第13条第3款明确规定国家对财产权的干预应当“依照法律规定”，由此第三层次的数据获取行为属于法律保留范围也无疑义。第四层次中数据获取行为的权利干预程度最高，要得到法律授权是当然之理。

2.保留强度的分层适用。从法律保留的调整强度看，则应区分不同数据获取的权利干预程度，对其作出不同强度的法律保留或规范保留要求。其一，基于行政调查或行政检查进行的数据获取固然无须法律保留。但上述行为的实施会给相对人施加程序性义务，“义务性程序的增加必将增加实体权利实现的难度和成本”。因此，即便此类数据获取不必纳入法律保留，无需以狭义法律或授权性行政法规作为依据，但根据“行政自我拘束”的法理，有必要遵循规范保留，至少将执行性法规或规章作为规范依据，将其他行政规范性文件排除在外，防止行政机关借由“红头文件”恣意增加公民的程序负担。其二，对于关涉个人信息权的数据强制获取，应根据不同个人信息类型适用不同强度的法律保留。有学者主张行政机关处理个人信息存在适用宪法保留的空间。也就是说，作为基本权利的个人信息权只有通过宪法进行干预，排除法律干预个人信息权的制度空间。此种理解借鉴自德国的宪法保留学说，但其忽略了我国《宪法》第 51 条已概括性授权法律限制基本权利的事实。如果回归我国宪法的语境，行政机关强制获取包含个人信息的企业数据，应遵循法律保留而非宪法保留。当然，敏感个人信息更重保护，一般个人信息更强调利用。对于敏感个人信息的强制获取，应采取绝对法律保留，须获得狭义法律授权；对于一般个人信息的强制获取，可采取相对法律保留，授权性行政法规作为依据已足够。这种区分符合我国立法实践，如《个人信息保护法》第34条即规定国家机关“依照法律、行政法规”处理个人信息。其三，对于关涉企业数据财产权的强制获取，根据《立法法》第 11 条第 1 款第 7 项和第 12 条，应适用相对法律保留，即原则上由狭义法律进行授权，但在全国人大及其常委会明确授权国务院作出规定的情况下，行政法规也可作为授权依据。

（二）对行政机关强制获取企业数据构建差异化的程序规则

行政机关强制获取企业数据的程序建构要遵守正当程序原则，以公正的程序设计保障各方主体的程序权利。不过，不同类型数据获取行为的性质不同，对程序权利的保障要求也有差异，无法构筑起统一的程序规则。有必要按照不同类型数据获取行为的特点，对正当程序原则予以调试，满足程序控制的完整性和严格性要求。

1.对于不涉及基本权利干预的数据获取，应当遵循行政调查或者行政检查的程序规则。首先，在获取数据前，行政机关可就获取数据的目的、范围、预定日期，提前告知被获取企业并说明获取的理由和背景。根据企业的要求，行政机关可就获取日期和方式进行必要的调整，增加获取行为的可接受性。如提前告知会阻碍行政机关获取客观、真实情况，行政机关也可在未进行事前告知的情况下获取数据。其次，无论是否事先告知，行政执法人员在正式获取数据时，都应当向企业表明身份、出示书面文书且告知其权利和义务。否则，企业有权拒绝获取。再次，基于错误、不准确数据作出的决定很大程度可能也是错误和不准确的，行政机关应当遵循全面收集证据原则，不得故意遗漏关键数据，以求得事实认定的全面、客观和真实。最后，行政机关应给予企业就获取数据的事实、理由和依据进行解释和申辩的机会，保证企业能够参与、监督和制约数据获取的全过程，这也是正当程序“最低限度公正”的要求。

2.对于涉及个人信息的数据获取，应遵循行政机关处理个人信息的程序规则。《个人信息保护法》未就行政机关处理个人信息的程序作出规范，但我们可从法律对个人信息处理活动的一般要求中提炼其程序规则。之所以要提炼，源于公私领域内个人信息处理的目的、权利干预程度和信息主体的拒绝能力等均存在差异，无法适用统一的程序规则。正因为如此，日本针对行政机关的个人信息处理制定了《行政机关持有的个人信息保护法》和《独立行政法人持有的个人信息保护法》等特别法。我国也有学者主张针对公共部门和非公共部门的个人信息处理分别制定程序规则。

首先，告知程序是涉个人信息数据获取的程序起点，但根据获取方式的不同应进行差异化处理。对于个人信息的个别获取，行政机关应依据《个人信息保护法》第 35 条和第 17 条的规定恪守告知义务，保障信息主体的知情权，使其知晓个人信息处理的目的、范围、方式以及个人行使权利的方式和程序等具体内容。在美国，政府强制获取商业数据要遵循公平信息实践原则，其要求政府应在不影响调查的情况下向个人通报使用商业数据的类型和具体方式。对于个人信息的批量获取，要从获取的海量数据中提取出个别主体的信息处理情况并向信息主体准确告知也很难实现。如果不能适当放松行政机关的告知义务，还可能妨碍其履行法定职责。此种情形下，应根据《个人信息保护法》第35条放松其程序义务，要求行政机关事先公开其获取个人信息的一般政策和采取的安全保护措施等就足以满足信息主体的知情权。其次，同意程序是涉个人信息数据获取的重要程序环节，但在适用范围上应进行限缩。“同意”对应个人对数据获取进行参与、制约和监督的程序权利，发挥着以权利制约权力的功能。但是，同意程序不能普遍适用于涉个人信息的数据获取活动，具有适用场景的限定性。规范上看，我国《个人信息保护法》第24条第3款仅对自动化决策形式的个人信息处理作了特别规定，即在行政机关以自动化方式处理个人信息的情形中，个人有权要求行政机关作出说明并有权拒绝。换言之，仅在行政机关以自动化方式获取企业数据的情形中，信息主体享有“不同意”的权利。最后，信息的查询、更正和删除权也是个人制约行政机关的重要程序权利。《个人信息保护法》第四章规定了个人在个人信息处理中的程序权利，从这些程序权利中可以提炼出适用于涉及个人信息数据获取的程序规则。例如，个人对行政机关强制获取的涉及本人的个人信息，有权查询；如果认为获取的信息有误，有权要求更正；在获取目的已实现、无法实现或实现目的已不再必要时，可要求行政机关删除信息。

3.对于涉及财产权的数据获取，应参照征收程序构建其程序规则。关键性的程序环节包括：其一，数据获取的公共利益证明和审查程序。数据获取要以公共利益为指向，行政机关批量获取数据对财产权的威胁最大，有必要嵌入独立的公共利益证明和审查程序。行政机关对数据获取以及获取后再利用所服务的公共利益最清楚，应由其承担公共利益的证明责任，申明获取数据的目的和用途。行政机关证明的公共利益是否成立，应交由中立性和专业性的机构进行判断。例如，欧盟《数据法案》第 17 条就要求公共机构证明其要求企业提供数据的申请符合公共利益，同时各成员国应指定主管机构处理企业申诉。2023 年 3 月，中共中央、国务院印发《党和国家机构改革方案》，组建国家数据局，负责统筹数据资源整合共享和开发利用，在我国由其承担中立裁决职能较为适当。其二，数据获取前的协议购买程序。数据获取以强制性为特征，但为了保障企业的数据财产权，行政机关在强制获取前应当听取数据财产权人的意见，增加获取程序的“协商性”。此外，行政机关还应先行通过与企业平等协商的方式获取数据，只有在协商不成时才能强制获取。其三，数据获取后的补偿程序。批量获取数据不仅可能导致企业声誉受到负面评价，增加企业运营成本，还会损害数据财产权的核心收益权能。为了减轻企业负担，促进强制获取数据的慎重性，行政机关应当对提供数据的企业给予适当补偿。这也是遵守《宪法》第 13 条“有征收必有补偿”的“唇齿条款”的具体体现。

（三）对行政机关强制获取企业数据适用宽严有别的比例原则

目的明确是比例原则适用的前提，根据不同类型数据获取行为的目的明确程度，应对其提出宽严有别的合比例性要求，避免不分场景批量获取企业数据的泛化风险。

1.对于不涉及基本权利干预的数据获取，鉴于其服务的法定职责是明确的，因此应遵循比例原则的严格限制。基于行政调查的数据获取往往与其他行为处于同一程序之中，与其他行为发生竞合。此时，行政机关只能本着保障作出行政决定所需的事实和证据而获取数据，且其获取的数据不能超过查清个案事实所需的范围和限度。基于行政检查的数据获取致力于查明公民守法和法律实施的情况，具有目的正当性。但为了防止过度干扰企业生产、生活秩序，行政机关单次获取数据应当尽量选择对企业造成的程序负担较小的方式，还应当尽量减少获取频次，避免重复检查。

2.对于涉及个人信息的数据获取，则应区分不同获取方式对比例原则进行调试。对于个人信息的个别获取，其个案式特征决定了其直面的权利主体是确定的，应当严格遵守《个人信息保护法》第 13 条和第 34 条的规定。详言之，数据获取应以“履行法定职责”作为正当基础，同时“不得超出履行法定职责所必需的范围和限度”。“履行法定职责”要求在法律层面应尽可能对行政机关获取个人信息的目的作出规定。即便法定目的缺失或模糊不清，行政机关也有义务在行政程序中对其获取数据的特定目的予以界定和说明。此时获取数据的“目的”已不再是“法定目的”，而是已缓和为行政机关的“行动目的”。“不得超出履行法定职责所必需的范围和限度”要求数据获取是履行法定职责或者实现特定目的的必要条件。因此，如果还有其他实现法定职责或特定目的的数据获取手段，在没有充分理由时，不应将替代性的数据获取方式排除。《政务信息资源共享管理暂行办法》第 12 条第 3 款明确“禁止重复收集”，要求国家机关对于可以通过政府信息化平台进行传输从而得以获取的个人信息尽可能“一次收集，多次使用”。因此，在通过行政机关间的数据传输或共享即可获取相关个人信息的情况下，行政机关不得重复向企业获取个人信息。

对于个人信息的批量获取，比例原则所要求的目的限定原则和最小必要原则均面临适用困境：一方面，目的限定原则要求个人信息处理须具备特定目的，且后续利用不得违背此目的。但是，由于个人信息使用目的的多样性、数据之间的关联性和可分析挖掘性，行政机关批量获取个人信息的目的往往很难在获取之初即可预期，后续利用也很难限定于初始目的。另一方面，如果强行要求遵守最小必要原则，受限的数据收集会阻碍个人信息利用，导致行政机关错失监管时机。后续反复补充获取还会徒增监管成本和企业负担。随着行政机关批量获取个人信息在规模上的增加，个人信息权利的侵犯风险也会提高。基于合理控制个人信息权利侵犯风险的角度，应以“风险限定”取代“目的限定”，以“风险最小化”取代“信息最小化”作为行政机关批量获取个人信息应遵循的准则。为了将风险控制在合理范围内，应引入个人信息风险分级和风险评估制度，对数据获取引发的风险进行评估，并要求行政机关根据风险等级采取相应的管理措施，以降低信息处理风险，保障个体信息权益。此轮机构改革形成了中国数据领域的二元管理机制，国家数据局聚焦数据利用，网信办主管数据安全。因此可由网信办负责个人信息风险等级的划定和风险评估的具体实施，保证等级划分和评估结果的客观性。

3.涉及企业数据财产权的批量获取直接关涉行政权和财产权的平衡，也应在比例原则之下划定其权力边界。首先，参照征收法的基本原理，行政机关只能基于公共利益，不能以盈利为目的批量获取企业数据。公共利益的模糊性和抽象性应通过法制化的方式缓解，即立法授权行政机关批量获取企业数据时，一并对公共利益的内涵和外延作出明确规定。《国有土地上房屋征收与补偿条例》第 8 条较为清晰地划定了国有土地上房屋征收的公益范围。尽管数据获取和房屋征收差异巨大，但两者追求的公益具有相似性，可参考上述规定对批量获取企业数据的目的进行限制。此外，不仅立法上应框定公共利益的范围，行政机关在行政程序中向企业明确告知获取数据的具体目的也是其不能免除的程序性义务。其次，在符合公共利益的前提下，批量获取数据不能成为唯一和首要的选择。根据必要性原则，只有在用尽数据共享、数据购买等其他非强制或者弱强制手段均无法及时有效批量获取数据的情形下，行政机关批量强制获取数据才具有“目的—手段”上的必要性。欧盟《数据法案》第 15 条即明确规定，只有在无法通过其他方式获取数据的情况下，公共机构向企业强制获取数据才具有正当性与合法性。此外，即便确定要批量获取企业数据，行政机关也应尽量选择干预程度较小的获取方式。相较于自动获取数据的实时性和隐匿性，非自动化获取更符合必要性原则的要求。因此，行政机关应慎重选择数据平台对接、开放数据接口等方式。最后，批量获取企业数据会减损数据的财产价值，对企业创新产生负激励，秉持均衡性原则，行政机关提供的适当补偿不应限于企业提供数据所付出的技术成本和组织成本，还应将合理利润囊括在内，尽量抵消数据创新负激励所带来的财产权益减损效果。合理利润的计算应具有一定客观性。借鉴欧盟《数据法案》第20条的规定，作为数据持有者的企业请求行政机关提供补偿时，应当一并提供有关成本和合理利润的计算依据。当然，如果通过增加补偿也无法抵消数据创新负激励所带来的负面后果，同时数据创新负激励的负面后果明显超过行政机关所追求的公共利益，那么批量获取企业数据本身即丧失正当性。

论及至此，仍需回应的一个问题是，当不同类型的数据获取行为发生竞合时，如何化解分层规制框架面临的困境？例如，当行政机关为作出某个行政决定而获取个人信息时，该行为既属于独立的个人信息处理行为，也构成某个行政决定的调查程序。此时作为行政调查和作为行政机关处理个人信息行为的数据获取之间发生行为竞合。又如，当行政机关批量获取包含个人信息的企业数据时，作为行政机关处理个人信息的行为与作为企业数据财产权限制行为的数据获取之间也会发生竞合。在此情形下，究竟应采“吸收规制”还是“并列规制”的立场？本文认为，不同性质的数据获取涉及不同权利和义务，也受到不同法律规范调整，追求的价值目标亦不相同。因此，即便发生竞合，也不应以一种行为吸收另一种行为，而应同时受到不同法律规范的调整。换言之，对于同时涉及个人信息处理和事实调查的数据获取行为，既应遵循行政调查的法律规范，也应受到《个人信息保护法》调整。由此既能保证行政决定事实清楚、证据充分，也能维护信息主体的个人信息权益。对于同时涉及个人信息权和数据财产权的数据获取，也应一并遵循《个人信息保护法》和财产权保护规范的约束。如此，既能在行政机关和信息主体的法律关系中保障后者的个人信息权益，也能在行政机关与企业的法律关系中维护企业的数据财产权。

五、结语

面对行政机关强制获取企业数据引发的巨大挑战，传统行政法理论下的行政事实行为定性陷入了片面定性的规制窠臼。企业数据之上实际承载着个人信息权、数据财产权等多重数据基本权利。行政法是宪法的实施法，在传统行政法理论难以有效回应的情况下，就应当进一步上溯至宪法上的理论资源探寻解决之道。正是基于此，本文在基本权利干预理论的视角下，根据行政机关强制获取企业数据可能侵犯的数据基本权利内容细分了其行为层次，继而在辨析其行为性质的基础上提出了分层治理的规制路径，以期对强制获取企业数据的行为构建基本的制度架构。当然，本文的研究只是一次初步尝试，具体制度和规范体系的建构仍有待立法推动。