数据生成和采集方式通常包括用户输入、用户行为记录和传感器生成方式。用户输入方式由用户主动提供，如提交注册信息、提交的订单信息、输入的搜索词、对服务的评价、主动在社交网络发布生活信息等；用户行为记录一般由服务器通过日志自动记载，如通信时长、登录信息（何时登入和离开系统）、操作信息（使用资源和服务的信息）；传感器信息包括用户携带移动智能终端被收集的身体信息、情境信息等。网络的普及、智能终端的广泛使用以及数据从业者间协商性的数据共享使个人线上、线下行为无时无刻不在密集地数据追踪，形成巨量的用户数据。

1.用户数据之上同时承载个人信息利益和数据利益

然而，欲分析用户数据之上的利益状态，还需细致分析用户数据之内容和形式。从内容来看，用户数据多与个人相关，在大数据背景下，极易具有可识别性。^[16]用户数据是对个人存在状态、社会行为的全方位记录，往往也是个人信息，具有明显的识别性：一些用户数据，如身份证号码、电话号码、照片、银行账号具有直接识别性，还有一些用户数据，如职业、学校名称，甚至个人设备信息等，尽管不具备直接识别性，但在用户数据极度集中的数据存储平台中，极易与其他用户数据结合进而间接识别特定个人。从产生方式来看，数据从业者在用户数据的形成中有着不可替代的作用：一方面，数据从业者所收集的数据可能是基于其技术和产品支撑生成的数据，如邮箱、微博昵称、设备信息等；另一方面，数据从业者使个人信息得以依托于数据技术，以代码的形式快速流转于虚拟空间，具备易流转性、可复制性等数据价值孵化的形式要件。用户数据是内容和形式的统一，内容是数据价值的源泉，形式是数据价值开发的必要条件。用户数据往往是具有可识别性的个人信息；用户数据的产生机制和形式升级则又凝结了数据从业者的劳动成果和利益诉求。由此，用户数据之上同时承载了个人信息利益和数据利益。首先，个人作为用户数据的主体，对于其用户数据享有个人信息利益；其次，数据从业者对其数据平台之上的用户数据享有数据利益，可以在知情-同意框架下收集、使用和分析用户数据，进而萃取目的信息；其他数据业者即使取得信息主体的同意，只要未经其同意，不得擅自抓取其数据系统内的用户数据。

2.用户数据之上的数据利益具有附属性，无独立的积极权能

尽管用户数据具备了代码形式，但其内容确定了其同时也是个人信息，其所承载的数据利益在很大程度上受制于个人信息利益，表现出很明显的附属性，并不存在独立的积极权能。首先，数据利益的合法性以用户授权为前提。^[17]个人信息利益远远超过了隐私利益的范围，构成了个人在社会交往中自由发展人格的基础。从利益的抽象重要性角度而言，个人信息利益显然高于数据利益，因此数据利益形成和行使均不得侵犯个人信息利益，遵守知情-同意原则。其次，数据利益不具备独立的积极权能，数据从业者自行处理、使用用户数据的方式、用途、目的均源于个人信息主体的授权；数据从业者对于其已经获取的用户数据没有独立的处分权，未经个人信息主体的授权，不能擅自将用户数据提供给其他数据从业者。^[18](www.daowen.com)

3.用户数据之上的消极权能受到限制

通常情况下，未经数据从业者同意，不得窃取数据从业者之用户数据，然而数据从业者对用户数据享有的消极利益并不能对抗信息主体，信息主体依据其个人信息权可以使用数据从业控制的相应用户数据。欧盟《一般数据保护法案》（General Data Protection Regulation，GDPR）第二十条甚至赋予个人信息主体数据可移植性权利，数据控制者有义务依个人信息主体的要求将该信息主体的数据无障碍地直接转移到另一数据控制者，且以结构性的、惯常的、机器可读取的形式提供数据转移支持为必需。这一规定确立了特殊情形下个人信息权的绝对主导地位，在个人信息主体要求数据移植和流通时，数据控制者不能主张其对这部分用户数据的数据利益。

总之，数据从业者基于用户数据享有的数据利益，积极权能表现为可以依据用户授权使用、分析用户数据，开展进一步的数据实践，消极权能表现为除信息主体本人外，未经其同意，他人不得擅自抓取其合法获取的用户数据。