数据是一种用于形成社会关系网络的资源性存在，具有工具要素与治理对象的双重属性与定位。在现行法律规范和政策体系内，数据利用的合法性来源是一个前置性的关键问题。数据来源的合法性贯穿数据采集、持有、使用、加工、交易、流转等所有行为。在现行法律规范体系内，直接规定“数据来源”的内容甚少，更多情况下是将其置于数据收集、获取与使用等行为的规定之中，以确定数据来源的合法性界限。网络安全法、数据安全法、个人信息保护法、《生成式人工智能服务管理暂行办法》中均有相应规定，且主要在个人信息、数据的收集之中界定数据来源的合法性。在政策层面，数据二十条中规定了“数据来源”和“数据来源者”。在生产经营实践中，企业获取数据有多种途径，对于不同类型的数据存在不同的法律要求。一是企业自身历史积累的数据，数据的具体类型和质量取决于企业自身情况；二是通过合同安排购买各类免费或付费的第三方数据库与数据集；三是经授权（付费或免费）调用应用程序编程接口（API）获取数据；四是在公开渠道通过自动化程序或其他方式收集的数据。这些数据来源中，前三种情形具有合法来源基础并无异议，而第四种情形中的自动化程序收集方式虽然属于企业数字化实践中的常用方式，但会受到较为严格的法律限制。

　　数据产品是对原始数据进行加工后形成的“加工品”，是数据在不同视角之下的具体表现形态之一，其核心法律特征为：非标准化、作为智力成果的独创性要求标准低、权利结构的整体性与不可分性。数据产品由依法依规对原始数据开展采集、分析等加工行为并投入资本与技术的处理主体享有所有权。若当事人另有约定，则从其约定。侵害数据产品权益的行为与救济方式，在现有侵权法框架下可系统适用。侵害数据产品权益的行为主要包括非法获取行为和非法使用行为，其责任承担方式可适用民法典等法律规定。对于数据产品权益的侵害，仍应遵循损害填补原则。对于损失的计算，大致可遵循以下思路：首先，以权利人的实际损失为计算依据；其次，以侵权人的违法所得作为计算依据；再次，在损失与获益均难以精确量化时，可由法院酌定赔偿数额。