每日优鲜“原地解散”，3100万用户数据何去何从？

　　7月28日下午，网传一份录音和聊天截图显示，有自称每日优鲜的员工透露，公司突然召开线上会议，“由于投资款没有及时到账，绝大多数同事的工资会暂缓发放，公司也可能会寻找其他变现途径。此外，大部分人的工作截止到7月28日，7月的社保公司承担，8月份开始需要员工自理公积金和社保。”消息一出，每日优鲜公司即陷入了“解散”风波。

　　对此，每日优鲜官方作出回应称，在实现盈利的大目标下，公司对业务及组织进行调整，次日达、智慧菜场、零售云等业务不受影响。由于业务调整，部分员工离职，公司目前正积极寻求一切可能的方案，最大限度保障员工权益。

　　但知产财经注意到，28日晚间，每日优鲜App在北京、上海多地已无法下单。虽然仍有商品展示、可加入购物车，但在结账页面出现“抱歉，本单购买的商品在当前地址下无货”。尽管尝试更换了多个地址，仍然无法完成购买。

　　“生鲜电商第一股”收到“退市”通知

　　每日优鲜成立于2014年11月，由曾在联想集团供职十余年的徐正和曾斌创立。2015年时，每日优鲜在北京望京建设起业内第一个前置仓，其创新的生鲜电商模式，曾吸引百亿级投资。

　　天眼查数据显示，每日优鲜上市之前已完成10轮融资，融资总额超过15亿美元。投资方包括青岛国信、青岛市政府引导基金、阳光创投、中金资本、老虎环球基金、腾讯投资、高盛集团等知名机构。

　　2021年6月，每日优鲜以13美元/股在美国纳斯达克上市，成为“生鲜电商第一股”。不过上市后的股价却不尽人意，根据其财务数据，2018年至2020年，其营业收入分别为35.5亿元、60亿元、61.3亿元；GMV（商品交易总额）则从2018年的47.3亿元，增长至2020年的76.2亿元；净亏损分别为22.3亿元、29.1亿元、16.5亿元。2021年前三季度的净收入减少至13.73亿元、16.38亿元、18.58亿元。随后每日优鲜还发布了2021财年的营收预期，预计亏损37.37亿元至37.67亿元。截至2021年三季度末，其持有的现金及现金等价仅为21.72亿元，远低于流动负债的32.23亿元。

　　自上市首日破发以来，每日优鲜的股价就在不断下滑。进入2022年后，其股价更是快速下泄，目前股价为0.257美元，和上市时的11美元高点缩水了98%，市值仅为6049万美元。

　　2022年6月初，由于股价连续30个交易日跌破1美元，每日优鲜收到纳斯达克的“退市”通知函，要求公司在180天内，即2022年11月29日之前重新符合最低股价要求。

　　随着市场格局的变化，生鲜电商一路走来颇为艰难，在经历多次洗牌后，能够存活下来的所剩无几。2016年，“本来便利”等10余家生鲜电商企业宣告破产倒闭，2020年“易果生鲜”也走向破产重组，总负债达到23亿元。虽然每日优鲜不愿承认“解散”，但其业务却几乎停摆......

　　大厦将倾，千万用户数据何去何从？

　　根据每日优鲜财报，2018至2020年三年间，其有效用户数分别为508万、717万、867万，同比增长率达41.14%和20.92%。另据招股书显示，截至2021年3月31日，每日优鲜累计交易用户已超3100万。

　　用户数据体量如此庞大，一旦被非法利用，后果将不堪设想。与近期遭受行政处罚的滴滴相比，用户在电商平台预留的个人信息只会更加详尽，姓名、电话、具体家庭住址等无一不被收录其中。如若每日优鲜突然宣布“解散”，这些用户数据又将何去何从？数据安全和个人隐私谁来保障？

　　南开大学法学院副院长、竞争法研究中心主任陈兵教授指出，《个人信息保护法》第22条规定，个人信息处理者因合并、分立、解散、被宣告破产等原因需要转移个人信息的，应向个人告知接收方的名称或者姓名和联系方式。接收方应当继续履行个人信息处理者的义务。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。

　　根据《每日优鲜隐私政策》，其中“三（二）转让”部分明确，“在涉及到合并、收购或破产清算时，如涉及到个人信息转让，我们会向您告知接收方的名称或者姓名和联系方式并要求新的持有您个人信息的公司、组织继续接受此隐私政策的约束，否则我们将要求该公司、组织重新向您征求授权同意”。也即是说，如果每日优鲜宣布破产，其有很大可能将自身掌握的用户数据转让给第三方，同时承担着将第三方的名称或姓名、联系方式告知用户的义务。第三方若变更处理目的、处理方式，则根据《隐私政策》应重新获得用户的授权同意。

　　“这一过程中用户数据一旦处理不当，首要将会面临隐私泄露的风险，严重威胁数据安全。互联网企业沟通并连接资源所有者和资源享用者，掌握着大量经营者与消费者的数据，一旦这些数据被恶意窃取或被平台不当利用而泄露，可能造成个人信息和重要数据泄露风险，侵犯个人权益和商业秘密。”陈兵教授表达了对破产企业数据处理的担忧。

　　他进一步指出，数据是数字经济的关键生产要素，如若处理不当将会严重危害竞争秩序。互联网企业往往凭借海量数据资源与技术创新优势形成自成一体的生态系统，当其掌握的流量和数据达到一定量级，可以通过流量和数据变现进一步融资，汇集大量资本以扩大平台规模，提高商品或服务的质量和技术水平，以此获取更多流量、数据及资本，形成正向反馈效应，使平台经济领域成为“资本无序扩张”的重灾区。其掌握的数据资源也为其实施数据支撑型的垄断协议行为、数据主导型滥用市场支配地位行为以及数据驱动型经营者集中行为提供了条件。

　　与此同时，随着我国不断加强数据安全保障领域的立法与战略规划，违法企业和相关人员也将面临从严处罚。包括《数据安全法》《个人信息保护法》《刑法》等均对企业或相关负责人可能承担的法律责任进行了规定。

　　依据《个人信息保护法》，违法处理个人信息或未履行规定的个人信息保护义务，会被责令改正，给予警告，并没收违法所得。对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照。

　　而《数据安全法》也进一步规定，违反国家核心数据管理制度，危害国家主权、安全和发展利益的，由有关主管部门处二百万元以上一千万元以下罚款，并根据情况责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照；构成犯罪的，依法追究刑事责任。

　　“目前对于在数据处理过程中出现信息泄露等问题，企业或相关负责人应当承担的法律责任主要以刑事责任与行政责任为主。这也反映了我国目前‘以高水平安全保障高质量发展’的基本原则，体现出对数据安全的重视。而有关主体在数据泄露中所应承担的民事责任的规定也体现了经济法‘实质正义’的基本理念：企业相对于个人，拥有技术、资源上的优势，因此在归责时应适用过错推定原则，避免发生原告举证困难而无力追责的情形；同时还引入了公益诉讼制度，为当事人提供了追责的合理渠道。”陈兵教授解释道。

　　前车之鉴，应为互联网企业敲响警钟

　　当前，数字经济特别是平台经济领域的各项整改工作正在进行，相关法律法规陆续出台并施行，企业在数据及相关领域的合规要求会步入整体性、系统性及全面性阶段，其合规要求和成本将在短时间内有所增加。因此，互联网企业在对用户数据进行收集、应用与处理时，应当树立牢固的安全意识与底线意识，坚持“以高水平安全保障高质量发展”，规范开展数据处理活动，保障数据安全，促进数据开发利用。

　　陈兵教授强调，具体而言，在处理构成个人信息的用户数据时，应当遵守《个人信息保护法》等法律法规的相关规定，依据“告知+同意”这一基本原则处理个人信息，遵循合法、正当、必要和诚信原则，具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式，限于实现处理目的的最小范围，不得过度收集个人信息。公开个人信息处理规则，明示处理的目的、方式和范围。在处理敏感个人信息时，应取得个人的单独同意，同时向个人告知处理敏感个人信息的必要性以及对个人权益的影响。只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，方可处理敏感个人信息。

　　在数据安全方面，应充分遵循《数据安全法》中的相关规定，履行数据安全管理制度建立、数据安全教育培训、数据风险监测、数据风险评估等方面的义务，重要数据处理者则应当应当明确数据安全负责人和管理机构，落实数据安全保护责任，同时对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。

　　“像滴滴、每日优鲜等赴美上市企业，如果在美国面临衍生诉讼，或者遭到美国证券交易委员会（SEC）的进一步调查，企业在做信息披露时如何把握标准和尺度？是否会将未经中国审查的数据传输到国外？我觉得这会是一个更大的潜在风险。”北京己任律师事务所高级顾问律师薛颖对赴美上市企业可能存在的数据安全隐患提出了担忧。

　　对此，陈兵教授建议，赴美上市的公司在处理涉及数据出境的问题时，应当严格遵守相应的法律法规，在保障数据安全的基础上促进数据流通。尤其是关键信息基础设施运营者、重要数据处理者与数据处理量较大的公司，应当依据相关规定，充分履行相应的安全评估、风险评估义务。同时，赴境外上市的企业在数据采集、使用及管理方面，还应充分了解注册地、上市国家和地区有关数据管理方面的规定，做好双向合规。

　　而一旦公司面临破产或解散时，最好的用户数据处理的方式是依据场景化原则，针对不同类型的用户数据采取不同的处理方式。对于构成个人信息的用户数据，应当充分尊重用户对个人信息的知情权与决定权，依据《个人信息保护法》与《隐私政策》中的相关规定进行处理。较为合适的方式是在《隐私政策》中进行相关规定：譬如，出售用户的个人信息需要通知用户，并保证接收方变更处理目的与处理方式应当重新获得用户同意；出售个人敏感信息，应当取得用户的单独同意。采取这种处理方式充分尊重了用户对个人信息享有的权利，同时符合了《个人信息保护法》中的相关规定。

　　倘若用户数据不构成个人信息，或个人信息已经经过匿名化处理，考虑到这部分数据具有的商业价值以及公司在收集这部分数据时所付出的努力，公司对这部分数据应当享有权益，可以将其出售给第三方或留作自用。

　　“当前全球经济形势面临新变化和新挑战，会出现一批平台企业退出或转业的情况，如何有效预防和精准规制在企业退市或转业过程中的数据清理、提存、剥离、转场使用（即与当初收集时的使用场景发生变化）等是亟待回应和妥当解决的问题。”陈兵教授如是说。