個人信息利益動態區分原則的引入、證成與實現

姜曉婧　李士林

摘 要：個人信息利益的靜態區分保護造成了人格與財產、私人與公共利益的失衡。鑒于個人信息人格利益與財產利益的一體兩面性及動態勾連性，個人信息利益動態區分保護的路徑更具有正當性和合理性。同時因與我國數據產業發展相契合，動態區分原則也不乏本土適應性。依據處理行為對用戶的影響程度，個人信息處理行為可以被劃分為信息性處理與數據性處理行為。此動態區分原則的引入能夠明確劃定私權邊界，避免片面人格利益的保障而過度犧牲其財產利益，兼顧嚴格人格利益至上與推動數據經濟發展之間的動態平衡。個人信息利益動態區分保護路徑的規則可以從三個方面得以實現，即調整知情同意規則、引入信義義務、建立第三方約束機制。

關鍵詞：個人信息利益;動態區分;信息性處理;數據性處理

作者簡介：姜曉婧，華東政法大學知識產權學院博士研究生，主要研究方向：知識產權法、競爭法（E-mail：jane_ooj@163.com，上海 200050）。李士林，南昌大學法學院副教授，法學博士，主要研究方向：知識產權法、網絡法。

基金項目：江西省社會科學十四五基金項目“江西省知識產權驅動創新的地方法制保障研究”（21FX02）

中圖分類號：D913文獻標識碼：A

文章編號：1006-1398（2022）04-0104-16

基于個人信息形成的數據是驅動數字經濟發展的重要生產要素，單純強調個人信息人身性的思路及由其主導的政策和規則偏重人格利益的保護，忽視了財產性要素，這種靜態區分保護個人信息的原則，導致利益失衡，一定程度上阻礙個人信息所形成的數據流通與利用，減緩了我國數字經濟的發展。本文提出個人信息中人身與財產要素動態區分的原則，并提出該原則所統轄的相關規則建構，期翼對我國數字經濟建設和發展有所裨益。

一 動態區分原則的引入：靜態區分原則支配下利益失衡的應對

因為個人信息不僅僅是個體人格的體現，其還蘊藏著巨大的數字價值，是數據經濟發展的重要生產要素，所以圍繞個人信息保護的議題紛爭蕓蕓，焦點集中為個人信息的保護與利用之間的矛盾和平衡，在法律規則層面表現為個人信息之上的人格與財產的邏輯關系和規范安排。從現階段學術研究與立法、司法實踐來看，個人信息保護沿著個人信息利益靜態區分保護的路徑開展，出現了對個人信息之上利益分配的不平衡，具體而言表現為對人格利益、私人利益的重視，及對財產利益、公共利益的漠視。保護利益之間失衡的現狀揭示了靜態區分方式與個人信息保護的不相適應，有必要將個人信息利益的動態區分原則引入。

（一）重人格利益輕財產利益

我國的《個人信息保護法》并沒有規定如何保護個人信息之上的人格利益與財產利益，但秉承大陸法系的傳統，制度解釋和司法實踐中側重于保護個人信息的人格利益，而忽視其財產利益。此前我國的立法文件也未對數據與信息的關系作明確界定，但通過對文本體系性地解讀，可以發現法律文本中對“數據”與“信息”這兩種指稱的側重點有所不同。法律文本中使用“個人信息”表述的，側重

于保護個人信息中的人格利益，比如，我國《刑法》第253條侵犯公民個人信息罪規定在第4章“侵犯公民人身權利、民主權利罪”部分，《民法典》總則編第111條個人信息保護條款置于民事權利章人身權部分，個人對信息的控制范圍、控制方式、其他主體對個人信息的處理規范規定在第6章“隱私權和個人信息保護”部分，服務于信息主體人格利益的保護。此外《消費者權益保護法》第14條與第29條對經營者施加了消費者個人信息保護義務，《電子商務法》《網絡安全法》也出于信息安全的考慮對個人信息處理行為作出諸多限制，其精神內核與《民法典》及《個人信息保護法》相一致，均體現了個人信息人格安全保障的強烈意旨。

反觀“數據”一詞，多出現在促進數據產業經濟發展的語境之下，主要關涉數據的財產面向。中共中央、國務院發布的《關于構建更加完善的要素市場化配置體制機制的意見》提出“加快培育數據要素市場”的部分，將數據作為與土地、勞動、資本等同的生產要素，引發了關于數據生產要素合理分配的相關討論，激發了數據財產利益的理論分析與制度構想，但畢竟剛邁出了“數據經濟”發展的一小步，難免對個人信息的財產利益討論不足。《貴州省大數據安全保障條例》在數據治理部分對個人信息的財產價值給予了關注，《深圳經濟特區數據條例》也體現出了對個人信息財產利益開發利用的重視，諸如此類探索實驗雖已開展，但仍然僅僅處于萌芽階段，局限于個別地區的淺層嘗試，且立法層級明顯較低，遠不如人格利益的討論更能引起個人的共情，激起社會普遍的關注。重視人格利益保護而輕視數據經濟價值的傾向在司法案例中也有體現，典型的如新浪微博訴脈脈案中的“三重授權原則”（北京淘友天下技術有限公司等與北京微夢創科網絡技術有限公司不正當競爭糾紛案，（2016）京73民終588號判決書。），繁復的多重授權雖凸顯了對用戶人格利益的珍視，但也給數據開發帶來較大的效率損失，在數據產業實踐中是否具有推廣適用的現實可能性有待論證。

（二）重私人利益輕公共利益

在《個人信息保護法》通過之前，與個人信息有關的立法主要是《民法典》總則編、人格權編，主要規定了對個人信息人格利益的保護，曾引發對個人信息與隱私權的關系、個人信息是否為獨立人格權等問題的熱議。（探討個人信息與隱私權關系的研究成果如，楊芳：《我國個人信息保護法適用范圍之思考———隱私權救濟困境下的個人信息保護法》，《社會科學家》2016年第10期，第113頁;房紹坤、曹相見：《論個人信息人格利益的隱私本質》，《法制與社會發展》2019年第4期，第99頁;彭誠信、楊思益：《論數據、信息與隱私的權利層次與體系建構》，《西北工業大學學報（社會科學版）》2020年第2期，第79頁;彭誠信：《數據利用的根本矛盾何以消除——基于隱私、信息與數據的法理厘清》，《探索與爭鳴》2020年第2期，第79頁;周漢華：《平行還是交叉個人信息保護與隱私權的關系》，《中外法學》2021年第5期，第1 167—1 187頁。探討個人信息新型權利的研究成果如，龔子秋：《公民“數據權”：一項新興的基本人權》，《江海學刊》2018年第6期，第158頁;葉名怡：《論個人信息權的基本范疇》，《清華法學》2018年第5期，第143—158頁;程嘯：《論<民法典>與<個人信息保護法>的關系》，《法律科學（西北政法大學學報）》2022年第3期，第19—30頁;周斯佳：《個人數據權與個人信息權關系的厘清》，《華東政法大學學報》2020年第2期，第88—97頁。）《電子商務法》《網絡安全法》也強調了在電子商務活動中對個人信息人格利益的尊重，從信息安全的維度明確了與個人信息安全相關的行為規范。由于前期侵犯個人信息犯罪以及由此引發的詐騙行為猖獗、互聯網商業巨頭用戶信息泄露丑聞頻出，因而這些用于規范互聯網商業行為的法律制度中大多有個人信息保護的一隅之地，但個人信息之上的公共利益受到模糊與弱化，其發展空間受到了限制。

其實，偏重個人信息的私法利益而忽略公共利益的取向，與個人信息內生流通的品性不符。（Joseph.E.Stiglitz，The Contributions of the Economics of Information to Twentieth Century Economics，The Quarterly Journal of Economics，2000，（115），pp.1 441-1 478.）信息傳播行為貫穿人類社會行為的各個階段，個人信息以公共流通為原則，呈現出公共領域內的公共資源屬性，特殊情況下方能作為私人獨占的利益。在現有的法律制度中，也只有著作權、專利、商業秘密等為數不多的法律制度承認特定主體對信息的獨占，而且設置了較強的時間限制。僅因個人信息具有個人可識別性，就將其私人利益作為首位而輕視其公共屬性表達的做法缺乏理論支撐。雖然《個人信息保護法》的頒布引發了對該法性質的討論，（程嘯：《論我國民法典中個人信息權益的性質》，《政治與法律》2020年第8期，第2頁;汪慶華：《個人信息權的體系化解釋——兼論<個人信息保護法>的公法屬性》，《環球法律評論》2022年第1期，第69—83頁;龍衛球：《<個人信息保護法>的基本法定位與保護功能——基于新法體系形成及其展開的分析》，《現代法學》2021年第5期，第84—104頁。）繼而提出個人信息保護賦權模式、數據處理行為控制模式，抑或二者結合何種保護路徑更優的有關爭議，（例如鄭佳寧：《數字財產權論綱》，《東方法學》2022年第2期，第106—119頁;蔡培如：《歐盟法上的個人數據受保護權研究——兼議對我國個人信息權利構建的啟示》，《法學家》2021年第5期，第16—30+191—192頁;戴昕：《數據界權的關系進路》，《中外法學》2021年第6期，第1 561—1 580頁;靳雨露：《個人信息“控制—利用二元論”的提出及其制度優化》，《大連理工大學學報（社會科學版）》2022年第3期，第113頁。）但是囿于研究基礎的差異、保護觀念轉變的滯后等原因，個人信息保護中重視私人利益而輕視公共利益的問題依然存在，兼顧私人利益與公共利益的個人信息保護路徑之探索仍任重道遠。

究其根本，人格利益與財產利益、私人利益與公共利益失衡的內因在于個人信息利益采用了不甚妥當的靜態區分原則。受我國強調法律穩定性立法思維的影響，立法傾向于明確個人信息不同利益的特征并予以固定，作為指導司法實踐的恒定法律標準，司法實踐中法律條文的適用和解釋也相應遵循個人信息利益的靜態區分原則。然而個人信息的特征決定了其上人格利益與財產利益之間邊界模糊，且時而互相轉化，特別是在繁復的大數據處理場景之下，二者利益關系表現出更強的動態性。因此，個人信息利益的靜態區分無法適應數據產業的快速發展，靜態的定位滯后于動態的發展，大有刻舟求劍之嫌。故而，個人信息治理應當考慮個人信息利益的動態區分保護，以更加契合個人信息利益的特質，因勢利導，兼顧個人信息權益保障與開放利用之間的平衡。

二 動態區分原則的證成

靜態區分的研究思路雖力求將個人信息諸種利益之邊界廓清，關系簡化，但實則人為弱化了諸種利益之間客觀的復雜聯系，忽視了不同利益侵害表象背后的因果關聯。在這樣的困境之下，個人信息動態區分原則的引入體現出了顯著的正當性、必要性與可行性。首先，個人信息利益動態區分原則的引入因個人信息人格利益與財產利益的一體兩面性特征而具有正當性。其次，個人信息利益動態區分原則具有引入的必要性，因為個人信息之上的人格利益與財產利益不僅在理論上不應靜態區分，在實踐中也因為其二元利益的動態勾連而難以分割。最后，動態區分原則契合我國重視人格利益保護的法律傳統與促進數據資源流通的政策取向，體現了對歐盟與美國個人信息保護優勢的合理借鑒，具有本土適用性。

（一）動態區分原則的正當性：個人信息利益的一體兩面性

人格利益與財產利益、私人利益與公共利益，這兩對表面沖突的概念實質上卻是一體兩面的關系。個人信息之上靜態區分人格與財產的邏輯，其實是將兩對概念對立了起來，造成兩者割裂，陷入利益失衡的困局。對個人信息利益的動態區分順應了人格利益與財產利益一體兩面的特征，具有正當性。

當前互聯網環境下對個人信息人格利益的侵害多出于對個人信息之上財產利益的攫取與開發。為獲取用戶偏好、開發更有競爭力的產品而未經允許追蹤用戶的訪問記錄、隱私軌跡、安全密碼等個人信息的行為大量存在，成為網絡環境中侵犯信息主體人格利益的主要類型。妥善解決個人信息之上財產利益的分配并非舍本逐末，可以從側面瓦解不法處理者通過侵害人格以攫取財產利益的行為，消除個人信息人格尊嚴受侵害的問題。其實，個人信息的保護應當平衡其人格利益與財產利益，二者不可偏廢，對其中一種利益的輕視或滯后保護都將會對另一種利益的發展造成不良影響，從而減損對個人信息保護的整體效果。

“可識別性”是確認個人信息私人利益的要素，也關涉個人信息公共功能的發揮。個人信息的可識別性本就不局限于私域功能，而是同時蘊含社會屬性，構成了社會識別的基礎。（高富平：《個人信息保護：從個人控制到社會控制》，《法學研究》2018年第3期，第93頁。）個人信息的流通不僅出于情感表達的需要，更是社會構建中安全保障、共識達成的必備因素。對個體而言，由“個人可識別性”關聯的私人利益僅在社會共同認可的范圍內才有意義，即便看似完全屬于私人利益的隱私信息，也是與公共利益取得平衡之后才能穩定存在的私人利益，只有被社會群體共同認可的隱私才是隱私，是社會共同體關于哪些個人權益應當得到保護的共識，（Priscilla M.Regan，Legislating Privacy：Technology，Social Values and Public Policy，University of North Carolina Press，1995，p.212.）過度保障隱私的范圍則有可能使社會充斥過量的美化信息或者虛假信息，從而無法保障其他主體的“識別權”，造成對社會生活正常運營的干擾。（Joshua A.T.Fairfield & Christoph Engel，Privacyasa Public Good，Duke Law Journal，2015，（65），p.456.）在社會共同認可的私人利益之外，“個人可識別性”主要用于滿足社會識別的需求，為保障社會整體的安全性，個體應當提供必要數量的“可識別性”個人信息。（Thomas Hemnes，The Ownership and Exploitation of Personal Identity in the New Media Age，The John Marshall Review of Intellectual Property Law 1，2012，（12），pp.12-16.）例如，在追蹤惡性刑事案件等極端情況下，個體向社會公開的個人信息是犯罪行為得到遏制、公眾安全得到保障的基本前提，因而，罪犯對個人信息的私人利益要讓位于維護公共安全與公平正義的公共利益。總而言之，無論是為個體保留對個人信息控制的私權，還是將特定個人信息流入公共領域，都應力求接近公益與私益的平衡點。個人信息所涉私人利益與公共利益并非相互對抗的利益，為滿足私人利益而犧牲公共安全與社會群體利益的行為不可取，畢竟對群體公共安全利益的維護也為個人提供了人格尊嚴不受侵害的穩定環境，創設了自由安全的私人空間。

雖然個人信息之上兼顧個人信息人格利益與財產利益，私人利益與財產利益，但這兩對利益的一體兩面性是個人信息不容忽視的屬性。應當用整體、全面的視角看待個人信息之上的利益，拋開個人信息利益的一面，而孤立討論個人信息利益的另一面有失科學性。靜態區分個人信息利益的方式試圖抹殺個人信息利益的一體兩面性，而個人信息利益的動態區分原則能夠在變化的具體場景中針對性認定個人信息所體現出的利益屬性，是科學、全面認識個人信息利益的應有之義。

（二）動態區分原則的必要性：個人信息利益的動態勾連性

即便不考慮個人信息利益靜態區分的合理性，由于個人信息之財產利益與人格利益復雜勾連且受到環境因素的影響，兩者的關系在動態變化，也難以靜態化區分各自的范疇，具有動態區分的必要性。

個人信息之上的人格利益與財產利益相互勾連，其財產利益動態產生于人身利益之上，二者無法在靜態中分離。與個人信息形成鮮明對比的是著作權，著作權是一體二元化權利，既承載了精神利益，也承載了財產利益。發表權、署名權、修改權和保護作品完整權等為著作權人的精神權利，復制權、演繹權、傳播權等為著作權的經濟權利。（鄭成思：《版權法》，北京：中國人民大學出版社，2009年，第172頁。）在行使著作權的情況下，發表、署名等人身權與復制、傳播等財產權可以完全分離。而個人信息之上的財產利益卻無法與其人格利益完全分離。個人信息的人格特征是個人信息財產價值釋放的基礎，雖然數據處理者在個人信息開發利用中常對個人信息作匿名化處理，以避免準確識別特定個人，從而降低對個人的侵擾，但此舉并非完全消除個人信息的人格因素。如果完全抹殺個人信息之上的人格特征，個人信息的價值也會隨之消失，個人信息的財產利益也將無從談起。

但與此同時，個人信息財產利益的釋放又體現出了一定的獨立性，人格商品化權便是財產利益寄生于人格利益的典型代表，與個人信息存在較大差異。人格商品化權是指依法轉讓或者授權他人使用人格權中的部分權能，也涵攝了其遭受侵害以后通過財產損害賠償的方式獲得救濟，尤其指名人的姓名、肖像、聲音的商業化使用等。（王利明：《論人格權商品化》，《法律科學（西北政法大學學報）》2013年第4期，第54—61頁。）某些人格權能夠商品化的原因在于其具有可利用價值，并在商業實踐中逐步實現市場定價、流通與交易，最終成為獨立的商品。作為與姓名、肖像、名稱等類似的人格權載體，個人信息的市場經濟價值近年來日漸凸顯。有鑒于此，學界有觀點主張將人格商品化權的客體從傳統的姓名、名稱與肖像逐步擴展至個人信息。（蔡培如、王錫鋅：《論個人信息保護中的人格保護與經濟激勵機制》，《比較法研究》2020年第1期，第106—119頁;郭明龍：《論個人信息之商品化》，《法學論壇》2012年第6期，第108—114頁。）然而審視商品化的過程，個人信息與人格商品化權的客體存在內在差異。人格商品化權實質上對客體中財產利益與人格利益關聯性的緊密度提出了較高的要求，人格權商品化場景中財產利益主要取決于人格屬性本身，例如相關訴訟爭議集中在姓名、肖像等具有顯著影響力的人格因素，未經許可被擅自使用的情形，商業利益的產生與人格因素之間的關系顯而易見。只有這樣的“標表型人格權”能夠符合人格商品化權的精神內核，其他人格權并無“許可使用”規則適用之余地，（溫世揚：《中國民法上的“公開權”——<民法典>人格標識許可使用規定之解析》，《當代法學》2021年第2期，第14—23頁。）這也是我國《民法典》中有限列明角色商品化權客體范疇的內在機理遵循。

個人信息之上人格利益與財產利益的關系之緊密程度介于著作權與人格商品化權二者之間。人格權商品化中財產利益產生的主要貢獻來自人格利益，人格利益就是商業經營活動中直接交易的對象。而個人信息財產利益的形成與此不同，其并非信息主體直接讓渡自己對人格利益的控制，而只是允許數據產業者在不危害人格尊嚴的前提下對個人信息的人格特征進行整合加工。雖然個人信息之上所釋放的財產利益也基于個人信息的“可識別性”，但個人信息財產利益的釋放程度更多依賴于大數據處理的技術水平與方式策略，利用大數據技術對個人信息的深度加工利用，可能消除了大量個人信息的人格利益，從而不足以識別出特定個人。個人信息最終釋放的財產價值與原本所承載的人格利益之間橫亙著復雜專業且不斷更新迭代的大數據處理技術，財產價值的形態、用途受到處理技術的重要影響，隨處理技術的不同而動態變化。（圖圖：《大數據時代下的商業變現（一）：大數據浪潮》，清華五道口微信公眾號，（2018-04-20）[2020-05-11]，https：//mp.weixin.qq.com/s/nVyzuSCig9mbM8H0fVwDgg;圖圖：《大數據時代下的商業變現（二）：從“原材料”到“粗加工”》，未央網weiyangx微信公眾號，（2018-02-05）[2020-05-14]，https：//mp.weixin.qq.com/s/qFyRlwsEvdzyf8JMww3U6Q;圖圖：《大數據時代下的商業變現（三）：數據的“精加工”》，未央網weiyangx微信公眾號，（2018-04-25）[2020-05-14]，https：//mp.weixin.qq.com/s/4bkdH6E_ByEb8jqzmdVXPA.）著作權與人格權商品化雖然也涉及到人格利益與財產利益的二元疊加及轉換，但不同利益之間關系明確，且區分方式也已基本固定下來。而個人信息利益之間的動態勾連性明顯區別于著作權與人格權商品化場景，提高了個人信息利益區分的難度，動態區分原則可以有效緩解人身與財產之間的張力，滿足個人信息利益區分的要求。

（三）動態區分原則的適用性：契合我國數據產業的發展

時值個人信息利益保護方案探索的關鍵時期，尋找一條契合我國國情且務實有效的道路尤為重要。從法律文化與傳統層面觀察，我國比較重視對人格尊嚴的保護，與歐盟對個人信息保護的立場接近，在立法中也多有借鑒;但從數據產業的發展政策層面審視，我國與美國類似，相較歐盟而言表現出更加積極的支持態度，在推動數據開放流通的措施方面可以鏡鑒美國經驗。個人信息利益動態區分原則可以為吸收、融合歐美成功經驗提供可行性道路。

由于個人數據蘊藏著信息主體的人格尊嚴，故此，歐洲將人的基本權利保護延伸至對信息主體的個人數據保護。經過《歐洲人權公約》《個人數據自動化處理中的個人保護公約》《歐盟議會與歐盟理事會關于涉及個人數據處理的個人保護以及此類數據自由流通的第95/46/EC號指令》（DPD）等法案的變遷，個人數據保護權利的內容不斷明確與豐富。直至2000年，在DPD的基礎上，歐盟主導起草了《歐盟基本人權憲章》，個人數據保護權被明確為一項憲法意義上的基本權利。（Official Journal of the European Communities： The Charter of Fundamental Rights of the European Union （ 2000/C364/01） ，https：//www.europarl.europa.eu/charter/pdf/text_en.pdf.）1983年德國聯邦憲法法院判決的“人口普查案”，更是以判例的形式確認了公民享有基于人格尊嚴的個人信息自決權。宣告個人信息自決權是一般人格權的具體化，在歐盟個人信息保護歷史上帶來了深遠的影響。（趙宏：《信息自決權在我國的保護現狀及其立法趨勢前瞻》，《中國法律評論》2017年第1期，第154頁。）直到2016年為了適應互聯網技術與電子商務的飛速發展，歐盟頒布了被譽為最嚴格個人信息保護法案的《一般數據保護條例》（GDPR），其明確規定了信息主體的知情權、刪除權、更改權、限制處理權、拒絕自動分析約束權等，完整展現了個人信息保護權，充分體現了對個人尊嚴史無前例的重視，是偏重個人利益保護的典范。

我國個人信息保護立法中對歐盟多有借鑒。從立法理念與初衷來看，中歐都高度重視人格尊嚴的不可侵犯。回顧我國個人信息保護立法的歷史，由于早期社會各界特別關注個人信息盜取、泄露等人格及派生的財產利益損害，從而在《刑法》《網絡安全法》《電子商務法》等多部法律規定中強調了對個人信息的保護，表達了社會對個人信息保護的初步需求。從具體制度來看，2021年我國頒布的《個人信息保護法》，與GDPR具有更多的相似性，在信息披露和法律責任等個別方面，我國的規定甚至比GDPR更加嚴格。歐盟數據治理的邏輯是“加強數據治理—保證數據安全—建立流動信心—促進經濟發展”，這體現了歐洲的理性主義傳統，但是對數據流通施加的嚴格限制很容易導致在全球數據經濟競爭中喪失先發優勢。雖然近幾年來，歐洲又相繼發布了《數據治理法》《數據法案》等法令規范，力圖釋放數字紅利、構建歐洲統一數據市場，但收效有限，局限在破除宏觀層面上的數據壟斷，禁止數據共享合同的濫用等，遠不能滿足個人信息資源靈活、動態調用的法令需求。（北非老韭菜：《關于歐盟數據治理的反思》，政寧計劃微信公眾號，（2021-07-15）[2020-05-11]，https：//mp.weixin.qq.com/s/8pHT1d-85gHO_NS_nukmBg.）

我國的國情及產業政策有別于歐盟，與美國數據經濟發展有趨同之處。我國大量的互聯網用戶產生了海量的數據資源，發展數據產業的客觀條件優越，前景無限。《促進大數據發展行動綱要》的印發、《深圳經濟特區數據條例》等局部地區的立法嘗試體現了我國對大數據產業發展的政策支持，貴州大數據中心、京津冀大數據綜合試驗區等的成立都反映了我國對大數據產業鏈的宏觀布局。美國是互聯網的發源地，對自由的推崇與網絡的交融推動了數據產業的發展，一定程度上使美國占據了數據經濟市場的先發優勢，創造了巨大的經濟利益，較早開始了數據利用與交易的實踐。與此相對，歐盟則出于對第二次世界大戰中人權慘劇的警惕而對互聯網產業發展較為保守，政策引導與支持力度不足，雖然意識到數據產業全球競爭的壓力而相繼頒發《數據治理法》《數據法案》等文件，但仍停留在提高公共數據利用率、制止數據共享合同濫用對中小企業的傾軋、構建歐洲統一數據市場等較為宏觀的層面。

與歐洲相較，美國并未構建獨立的人格權理論體系，其依托隱私權保護個人信息。美國的隱私權制度源于普通法的創設，經過多年的司法實踐業已形成“不受干擾的獨處”的隱私權內核。（張新寶：《隱私權的法律保護》，北京：群眾出版社，2004年，第1頁。）由于隱私權概念與個人自由理念相契合，而后者是受美國憲法保護的基本人權，因而隱私權也成為了受憲法所保護的基本權利。（王毅純：《論隱私權保護范圍的界定》，《蘇州大學學報（法學版）》2016年第2期，第89—102頁。）互聯網的發展與個人計算機的普及使越來越多的個人信息以電子記錄、網絡數據的方式呈現，隱私權在網絡環境中被解釋為信息主體披露其個人信息的權利。經過1977年的“Whalen v.Roe”案件的推動，信息隱私權正式得到了美國憲法的承認。（United States v.Knotts.460 U.S.276 （1983），https：//caselaw.findlaw.com/us-supreme-court/460/276.html.）此后美國一方面在個案中判斷個人信息處理的合憲性，另一方面開始制定保護個人信息的特別法，這些特別法分布于不同的領域中，例如用于制約信用機構的《公平信用報告法案》，適用于教育領域的《家庭教育權利和隱私權法案》，通訊場景下的《有線通訊政策法案》等。

隨著互聯網的發展，社會對個人數據的需求日益增長，對個人信息的控制已不局限于對人格隱私利益的維護，逐漸出現了適應信息時代全新商業模式的個人數據處理行為，即信息主體對個人信息的授權許可等商品化行為，這種控制溢出了隱私權的范圍，美國通過創設公開權的方式，容納了對個人信息財產屬性的處理。（J.Thomas McCarthy，The Rights of Publicity and Privacy，Thomson/West，2007，p.26.）最終美國對個人信息的控制分化為個人信息隱私權的行使與公開權的行使，個人信息隱私權基于個人自由，受到信息自由這一憲法價值理念的限制，面對與言論自由、出版自由的沖突時處于次位，公開權則屬于財產權，適用普通財產權規則，限制相對較少。此外美國還有一些行業自律組織針對特定行業的性質發布行業自律規范，如包含持卡人個人信息保護的支付卡行業數據安全標準（Payment Card Industry Data Security Standard）、關涉駕駛人“車聯網”數據獲取、存儲的《車輛技術與服務隱私原則》等。（Payment Card Industry Data Security Standard，https：//www.pcisecuritystandards.org/documents/PCI SSC - Overview.pdf;Consumer Privacy Protection Principles——Privacy Principles For Vehicle Technologies and Services，https：//www.autosinnovate.org/innovation/Automotive%20Privacy/Consumer_Privacy_Principlesfor_VehicleTechnologies_Services-03-21-19.pdf.）這樣的行業自律規范能夠立足行業實踐，提出切合實際的個人信息保護方案，具有較強的針對性，而且行業自律規范經企業的加入與適用得到驗證與調整，充分體現出較強的靈活性。為了回應數據產業發展的現實需求，我國也試圖發掘自律組織、行業協會規范等貼合產業實踐的規制方式，然而由于我國數據市場并不成熟，對個人信息數據產業發展的支持主要通過在法律層面設置數據處理規范得以實現，比如，《個人信息保護法》初步設置了采取安保措施、發生數據安全事故時的通知義務、隱私保護影響評估義務、任命保護官等行為規范義務。

我國與歐盟具有相似的統一立法傳統卻有著甚至較美國更強的數據釋放潛力與數據開發需求，因而有明確權益內涵與完善行為規范的雙重需求，完全遵循歐盟的個人信息權利嚴保護路徑無法滿足我國數據產業發展的需求，全面吸收美國隱私權與公開權并行的方式完全市場化個人信息又面臨市場不夠成熟、約束機制不夠健全的障礙。從我國目前的立法進程以及學界觀點來看，理論界與實務界一方面認可明確個人信息權益內容的積極意義，另一方面也鼓勵完善數據處理行為的制度規范，因而個人信息保護采賦權路徑還是行為規制路徑也曾成為爭議點。隨著研究的深入，關于個人信息權益類型與數據處理行為規范的探索都取得了可喜的進展，但如何統合兩者關系依舊是被忽略的難點。其實，我們應當認可明確權益內容與規范處理行為雙軌并行的個人信息治理思路，讓動態區分原則成為連接數據處理行為與個人信息之上利益的紐帶。個人信息的利益形態受到處理行為的影響，正視個人信息處理與個人信息之上利益形態的關系，突破個人信息靜態區分的源頭應當從個人信息利益的產生入手。個人信息產生之后的每一次數據處理對于個人信息的屬性均有影響，這就形成了個人信息的生命周期，是造成個人信息之上利益動態性的最為主要且可控的一環。個人信息利益的動態區分原則巧妙地實現了明確權益內容與規范處理行為之間的嫁接與融合。個人信息利益場景的不同根源于數據處理行為的不同，對不同場景個人信息利益動態區分的確立認可了數據處理行為對數據利益的影響，是行為規制路徑的具體踐行，與我國現行的立法相吻合。例如，最新頒布的《個人信息保護法》雖然對用戶個人信息之上人格利益的保障是主基調，但并未設置“個人信息權”這種絕對權利，取而代之的是將個人信息處理規則與跨境提供規則置于全文第2、3章，其后第4章才規定個人在個人信息處理中的權利，因而有學者認為《個人信息保護法》是一部促進個人信息流通利用的法，（高富平：《制定一部促進個人信息流通利用的<個人信息保護法>》，《探索與爭鳴》2020年第11期，第12—14頁。）個人信息保護的探索應該以規范個人信息處理過程為核心。（高富平：《個人信息處理：我國個人信息保護法的規范對象》，《法商研究》2021年第2期，第73—86頁;程嘯：《論我國個人信息保護法中的個人信息處理規則》，《清華法學》2021年第3期，第55—73頁。）然而行為規制卻常由于所指向的利益不夠明確而需要較長期的司法實踐方能形成較為穩定的判定模式，克服爭議較大、說服力較弱的弊端。個人信息利益的動態區分原則可以貫穿于個人信息保護行為規制的過程中，明確具體數據處理行為中受保護的利益類型，增強行為規制路徑的說服力。在復雜多變的數據場景之下個人信息處理的行為規范確定具有更大的難度，我們可以依據個人信息利益的動態區分原則初步劃分數據處理行為的類型，并以動態區分原則下對應的受保護利益作為設置行為規范的重要參考因素，能夠明確個人信息處理行為規范的設置依據，保證個人信息處理規范的設置以個人信息人格利益為底線，減小分歧，作為數據處理行為規范制定的科學依據。

三 動態區分原則的實現

（一）動態區分原則的內涵

1.區分的視角：個人信息利益屬性靜態抽象到動態抽象的轉變

對個人信息之上人格利益與財產利益進行區分并進一步分配的思路符合傳統的權利保護路徑，但是，受制于個人信息利益的復雜牽連與動態關聯的品性，傳統靜態區分的思路在實際適用中面臨障礙：靜態區分的邏輯建構于個人信息的利益屬性，然后依據利益屬性實現權屬分配。靜態區分的行為模式以抽象所有碎片化個人信息場景中的人格利益形態為出發點，這在大數據產業不斷精細化的互聯網時代，具有極大的難度甚至無法窮盡。抽象個人信息人格利益特征并為信息來源人賦權的思路，看似以用戶為中心，將用戶對個人信息人格尊嚴享有的權利置于高位，但實際上不如直接抽象個人信息利益的生成及變化環節，將研究場域從個人信息利益的靜態視野轉移到動態的個人信息處理行為場景，將具有共性的動態處理場景劃歸一類，施加相應的行為規范，從而實現對個人信息的精確治理。

正如羅伯特·斯考伯、謝爾·伊斯雷爾所言，互聯網在未來25年間將進入新時代——場景時代。（[美]羅伯特·斯考伯、[美]謝爾·伊斯雷爾：《即將到來的場景時代大數據、移動設備、社交媒體、傳感器、定位系統如何改變商業和生活》，趙乾坤、周寶曜譯，北京：北京聯合出版公司，2014年，第11頁。）個人信息之上利益隨具體場景而呈現不同形態，對個人信息利益形態劃分的底層邏輯以對個人信息具體場景的劃分為原點。場景理論最初用于研究特定環境中角色與行為之間的連鎖關系，從而對復雜的社會現象作出解釋，現已從物理場景發展延伸到虛擬場景。以最基本的社會交流互動場景為例，個人為了更好地達成社會交流互動，披露必要的個人信息用于他人的識別、了解乃至評價等，尤其在網絡虛擬環境中，場景理論更類似一種信息傳播系統，媒介環境的變化會影響交往場景中的信息流動，通過對這種聯動反應的解讀可以分析場景中角色與行為之間的關系，進而對一些社會現象作出解讀。（李明偉：《知媒者生存 媒介環境學縱論》，北京：北京大學出版社，2010年，第140頁。）關注到媒介環境對信息流動的影響，海倫·尼森鮑姆提出了隱私場景公正理論，用以解決隱私定義不明、隱私規范失靈的問題，并構建由信息規范、信息傳播適當性、信息傳播參與者與信息傳播原則構成的框架，最終形成“信息處理在不同場景中受到不同規范約束”的核心思想。（Adam Barth， AnupamDatta， John C.Mitchell， Helen Nissenbaum.Privacy and Contextual Integrity： Framework and Applications，2006 IEEE Symposium on Security & Privacy，2016，pp.184-191.）

場景理論為個人信息保護治理提供了重要的啟發，場景理論可以從隱私保護問題進一步擴大到對個人信息利益的保護。已有研究成果展開了對個人信息處理場景的類型化探討，例如從數據用途、處理機關、流動載體等維度羅列參照標準，形成數據類型、類型機構、設備類型等多方面的場景分類指標。（路鵑：《個人信息自決權在中國社交網絡語境下的再闡釋——以情境脈絡完整性為視角》，《現代傳播（中國傳媒大學學報）》2019年第11期，第74—80頁。）有學者在此基礎上，依據不同標準把個人信息處理類型化為若干場景，并將不同場景進行組合得以更加精準地刻畫出個人信息處理場景，以備評估不當處理的風險，并采取針對性保護策略。（趙祖斌：《從靜態到動態：場景理論下的個人信息保護》，《科學與社會》2021年第4期，第98—116頁。）此外現有研究中對信息主體合理預期的關注、（丁曉東：《論個人信息法律保護的思想淵源與基本原理——基于“公平信息實踐”的分析》，《現代法學》2019年第3期，第96—110頁。）對知情同意規則“一勞永逸”保護信息主體利益效果的質疑，無疑代表了對場景之于個人信息利益影響的反思和詰問。（趙祖斌：《從靜態到動態：場景理論下的個人信息保護》，《科學與社會》2021年第4期，第98—116頁。）

嫁接場景理論探索個人信息保護的現有研究，力圖精確切割個人信息所處場景，然而，其切分視角仍然是靜態的，其邏輯在于通過多層靜態場景的組合盡可能覆蓋所有個人信息場景，經過多樣化的組合方式，呈現出個人信息場景的動態性效果。此舉相較于既有個人信息保護規則而言，確實增加了個人信息保護的靈活性與針對性。然而，筆者認為應當直接采用動態的切割視角去區分個人信息場景。在個人信息的生命周期中，數據處理主體、數據處理設備、數據收集手段等的改變，并非個人信息場景變化的直接原因，是具體的數據處理行為帶來了個人信息場景的變化。數據處理行為凝結了處理技術、處理目的、使用方式等多維因素，是多維因素整合后的呈現，直接觸發個人信息場景的改變。因而對個人信息利益的區分應當舍棄“類型化靜態場景并抽象其共性”的思路，轉而采取“以不同的數據處理行為為場景并類型化”的動態區分路徑。

2.區分的目標：明確劃定私權邊界

靜態區分標準因為滯后于個人信息處理的實踐，因而容易為了保障人格利益、私人利益而對財產利益、公共利益施加不必要的限制。采用以數據處理行為作為場景區分依據的目的在于盡可能精確地劃分人格利益與財產利益、私人利益與公共利益的邊界。為此，應當首先明確個人信息相關主體對于個人信息的核心利益需求，將個人的利益保障限制在人格權益范圍內，從而為數據產業者充分開發個人信息財產價值留出空間。

個人對于個人信息之上利益的需求主要是人格利益。互聯網時代個人信息泄露、電信詐騙的高頻發生喚醒了個人的主體意識，對此類事件的關注體現了大眾對個人信息利益的訴求：即維護人格尊嚴、保護個人隱私、確保生活安寧不被打擾，這是個人信息之上人格利益的范疇。《個人信息保護法》也積極回應了用戶訴求，既通過第6條最小必要原則、第17條告知義務、第24條自動化決策處理規則等行為規范約束了數據處理者的數據活動，又通過第4章賦予了個人對個人信息享有的知情權、決定權、查閱復制權、限制拒絕權等權利保障個人對自身信息控制的主動權。對比域外的同類規定，無論是歐盟“史上最嚴個人信息保護法案”GDPR的頒布，還是美國從變通隱私法擴展到頒布《社交媒體隱私和消費者權利法案》《加利福尼亞州消費者隱私法案》等要求網站向用戶展示收集、利用、訪問者身份，從而賦予個人對其信息更大的控制權，都體現了對個人信息主體人格利益的首要關切。總體而言，從文化傳統與現階段的立法實踐來看，用戶對個人信息之上人格利益的權屬已被法律認可，對于個人信息之上財產利益是否歸屬于用戶個人，法律規定并未明確。從重人格輕財產、重私益輕公益的矯正為出發點，我們暫時無需考慮個人對個人信息財產價值的分配。

個人信息處理者的主要需求是獲得個人信息之上的潛在財產利益，其并無意于侵犯個人信息主體的人格利益。但由于現階段大數據產業發展處于起步期，市場交易模式、交易規范尚未成熟，存在很多灰色地帶，在個人信息處理過程中對個人信息主體人格利益的侵害情況嚴重。長遠來看，宏觀層面的數據利用才是大數據產業未來發展的趨勢。無論我國印發的《促進大數據發展行動綱要》提出的數據要素市場化配置國家戰略，還是美國聯邦數據戰略焦點從“技術”到“資源”的轉移，抑或歐盟數據市場的建立，敏捷型經濟體愿景目標的提出，無一不將釋放包括個人信息在內的數據之上的潛在財產價值作為未來經濟的增長點，毫無例外地將數據產業者、數據處理者作為這些數據戰略實現的主要主體。對于數據產業者而言，雖然個人信息之上財產利益的具體分配規則尚需進一步探索，但盡可能保證數據產業者開發個人信息財產利益的公平環境，允許數據產業者追逐、開發個人信息之上財產利益的觀點基本形成了共識。

3.區分的標準：基于數據處理行為對用戶的影響程度

個人信息的動態區分保護應當以具體的數據處理行為為觀測對象，依據該行為是否可能直接影響用戶的人格利益對數據處理行為分類。如果以處理結果是否直接作用于原個人信息主體，那么個人信息處理行為可以區分信息性處理與數據性處理。前者是分析個人信息人格特征而后吸引其注意力，在此基礎上引導用戶行為的行為，如金融領域精準風控所需的客戶信息解讀分析后的策略制定、分析個人學習數據制定針對性教育方案與學習計劃等;后者是對海量個人信息集合的處理行為，處理結果與原信息來源人不具有唯一對應性，處理結果不體現個人的人格特征，如基因改良實驗中對不同物種基因庫的類型分析、匯總海量病歷構建醫療大數據系統用于預診分流、收集個人出行數據用于城市交通管理中的路線規劃等。（謝然：《大數據社會的具體場景》，互聯網周刊微信公眾號，（2014-11-05）[2020-05-11]，https：//mp.weixin.qq.com/s/phMyTIzPoQCWJhLrHiFbuA.）

第一，就信息性處理而言，個人信息的處理結果直接作用于原個人信息主體，形成“收集個人信息—分析個人信息—通過廣告推送、偏好設置等方式反饋給原個人信息主體—繼續收集個人信息”循環往復的閉環。例如，在廣告精準推送中，電商平臺收集了用戶的個人瀏覽記錄、網頁停留時間等軌跡信息，通過分析掌握了用戶的喜好與潛在消費需求，然后在用戶關注的領域投放廣告，極大地提高了廣告效率;再如，徐玉玉被電信詐騙案等新型詐騙案中，犯罪分子掌握了個人的通訊信息內容，經過分析見縫插針般在某一環節將虛假信息投遞給受害人，達到騙取錢財的目的。

個人信息在信息性處理中的財產利益主要來自于對個人注意力的控制。互聯網環境中對個人信息自決權的討論涉及個人信息的信息性處理。信息性處理中數據處理者雖然沒有直接侵害傳統的個人信息人格利益，但是通過偏向性引導掌握了個人的注意力，獲取了廣告、流量等經濟收入。這種處理中個人信息財產利益的產生以限縮個人的選擇空間、干擾個人的自決行為為對價，剝奪了用戶對個人人格利益的實質決定權，對用戶的人格利益帶來了隱性的妨害。

第二，就數據性處理而論，主要是為了形成大數據產品，服務于宏觀決策。越來越多的個人信息經過匯總、分類、計算等互聯網加工技術變成了大數據產品，用于產品風險控制、市場趨勢預測、行業布局指導等，甚至城市規劃戰略的實施都離不開大數據產品的支持。例如新冠疫情期間，人員、車輛的流動情況、物資運輸動態等信息的實時上報與精準展示為疫情防控策略的制定與調整提供了重要支撐;在人口統計與監測中，可以基于廣域群體的手機信令數據分析用戶群體的活動規律，輔助政府部門實時統計轄區內的人口熱力分布，預測各地區活躍人口的變化趨勢，諸如此類的大數據活動都需要采集并加工處理大量個人信息，但對個人信息主體的干擾極小。（中國信息通信研究院《大數據白皮書（2020年）》，第31頁。）

大數據產品的價值實現過程與特定個人不發生直接關聯，并非以暴露個人隱私或者引導、操縱個人行為為財產利益來源。對于數據性處理而言，海量個人信息整體是開展數據處理釋放財產價值所必須的基本質料，而其中某一個信息主體的單獨識別，對于數據性處理則幾乎沒有意義。只有眾多個人信息與其他數據共同配合參與大數據處理，形成統計分析的結果用于支持科學決策，才能通過數據性處理釋放個人信息的財產價值。數據性處理活動中所體現出的財產價值不等于單一個人信息的財產價值，而是建立在無數個人信息集合之上的大數據產品的財產價值，在這一活動中，雖然是基于每一個個人信息的“可識別性”，但并非直接作用于信息來源人，而最終形成的大數據產品也并非必然影響信息來源人的決策，因而釋放個人信息財產價值并不侵害用戶的人格利益。

綜上所論，信息性處理與數據性處理過程釋放個人信息財產價值的機理不同，前者通過利用個人的注意力換取流量、植入廣告等方式獲利，后者通過在海量個人信息基礎上提煉新型大數據產品為宏觀決策提供支持的方式獲利。相應的，兩種處理方式對個人的影響也不同，信息性處理在無形中干預了個人的互聯網生活，存在侵害用戶人格自由的可能;數據性處理雖然也是先利用個人的人格特征，但最終不會用獲取的個人信息與信息主體進行交互，干擾用戶人格自由的可能性微乎其微。信息性處理與數據性處理過程中都蘊含著個人信息的財產價值，但區別是前者可能侵害個人的人格權，而后者并無此等妨礙。

（二）動態區分原則實現的制度支持

動態區分原則的構想需要具體制度的支持方能實現。以動態區分原則為指引，加以對歐美經驗的批判性改造吸收，不斷建立、完善相關規則制度，能夠適應個人信息利益的動態變化，在動態變化場景中精準施策，實現人格利益的保障，同時兼顧數據開放利用的效率。其中，由于個人信息的信息性處理中人格尊嚴受侵害的風險較高，歐盟嚴保護的理念可以采納，以充分保障人格安全;而在數據性處理場景中則應積極創造有利于數據開放共享的行為規范，有條件地借鑒美國經驗，植入信義義務、培植有效的第三方約束機制，逐步培養個人數據流通利用的土壤。

1.知情同意規則的調整

如上論述，個人信息的信息性使用與數據性使用損害個人人格利益的可能性是不同的，而我國用于保護個人信息安全的知情同意規則卻對兩種處理行為無差別適用，存在不合理性，應當予以調整。

根據我國《個人信息保護法》的規定，處理個人信息應當及時向個人披露，并獲得個人自愿、明確的同意。由此可知我國知情同意規則為數據處理者設定了兩項義務，分別是讓用戶知情、獲用戶同意。現階段對于個人信息的利用一律適用個人知情同意的規則，已經不合適宜。原因之一是隨著產業經濟的數字化進程，個人信息多元利益凸顯，個人對信息的絕對控制需要部分讓位于信息正當利益的維護和實現。（商希雪：《超越私權屬性的個人信息共享——基于<歐盟一般數據保護條例>正當利益條款的分析》，《法商研究》2020年第2期，第57—70頁。）原因之二是對于超出個人理解與控制范圍的數據性處理強制適用知情同意規則容易導致規則的架空，不但無異于個人信息人格利益的保護，反而徒增繁瑣程序，折損了個人信息數據性使用的效率，掣肘數據產業的發展。

我國《個人信息保護法》已經注意到不同個人信息處理場景對個人信息人格利益影響的差異性，例如第24條對個人信息處理者提出“通過自動化決策方式向個人進行信息推送、商業營銷，應當同時提供不針對其個人特征的選項，或者向個人提供便捷的拒絕方式”的要求，針對利用個人信息進行自動化決策的特殊場景，給予個人信息額外的保護。該條規定不失為對個人信息處理行為規范細化規定的有益探索，對個人信息知情同意規則的調整帶來了啟發。筆者認為應當對信息性處理行為嚴格適用知情同意規則，對影響個人信息人格利益風險較小的數據性處理行為僅適用知情原則。

信息性處理的結果直接作用于個人，會對個人的互聯網行為產生潛在影響，存在較大的干擾個人信息人格自由的風險，個人有權了解個人信息處理行為的相關內容并決定是否允許他人開展數據處理行為。此外以信息性處理行為為核心的商業模式發展基本成熟，個人信息的信息性處理行為易于描述，后果易于預測，互聯網用戶對此建立了基本的認知，有自主作出同意的實質能力。基于以上兩點原因，應當對信息性處理嚴格適用知情同意規則，全面保障用戶的人格利益。

而對于不會直接影響用戶人格利益的數據性處理行為，我們應當嚴格落實知情同意中的知情，弱化對同意的要求。如此設定規則的原因在于：第一，數據性處理行為不會將個人信息處理結果直接作用于個人，對人格利益的妨害概率較低;第二，基于數據性處理結果的宏觀性，處理過程的繁復性，以及處理結果與處理行為之間因果關系的復雜性等因素，個人難以對數據性處理行為給個人造成的影響作出與數據處理者同等程度的評價，在此情形下用戶的同意有可能失于理性;第三，數據性處理行為對人格利益的侵害更為隱蔽，查處難度更大，這決定了數據性處理中對人格利益的保護應多賴于公權力的運用，個人知情可以輔助公權力的行使。申言之，數據性處理適用同意規則并不能顯著提升個人信息人格利益保護水平，卻徒犧牲了大數據處理的效率，缺乏合理性。

2.信義義務的引入

個人信息利益的動態區分依據不同的處理方式及不同的處理結果分為信息性處理與數據性處理，對數據性處理而言，由于理論上對信息主體產生的人身侵害風險極低，因而賦予了數據處理者較高的自由度。對數據性處理適用知情同意規則的簡化對數據處理者的約束減少，信息主體人格尊嚴的安危完全依賴于數據處理者的規范處理行為，鑒于數據處理者與信息主體處于實力懸殊的不平等地位，我們有必要引入信義義務理論。（吳偉光：《平臺組織內網絡企業對個人信息保護的信義義務》，《中國法學》2021年第6期，第45—60頁。）

在法律規范尚未明確細化的數據治理初期，信息義務固然具有一定的模糊性，但與數據倫理與秩序正在構建的發展階段相契合，具有指引價值，能夠引導法律實踐不斷豐富、填充其內涵。同時信義義務的理念作為一種法律文化越早根植，對于以后規則的實現與法律規范的遵守愈加有利。傳統信義義務的范圍具有一定的開放性，能夠適應時代與環境的變化而發展，具有強大生命力。在數字時代數據企業收集了大量個人信息，數據企業和個人之間存在信義關系，需要通過信義法指導并制定完善的政策對此進行規制。（Daniel J.Solve，The Digital Person： Technology and Privacy in the Information Age，New York University Press，2006，pp.102-105.）許多網絡服務商以及收集、分析、使用、買賣和分配個人信息的云計算公司應視作顧客和用戶的信息受托人。（Jack M.Balkin，Information Fiduciaries and the First Amendment，UC Davis Law Review，2016，（49），p.1 185.）不同于知情同意中需要逐條表示同意才能要求處理者履行對應義務的方式，信義義務作為一種概括性義務，包括忠實義務、勤勉義務或者注意義務，前者要求數據處理者在為了追逐商業利益的時候不能背叛信息主體做損害信息主體的處理行為，后者要求數據處理者積極履行職責，謹慎對待信息主體的個人信息，正確、坦率地面對數據處理的風險，主動防范信息主體的信息安全風險。（張麗、張浩倫：《網絡空間個人數據保護新論——以確立網絡服務提供者“信義義務”為視角》，《金融創新法律評論》2018年第1期，第132—139頁。）自2016年耶魯大學教授Jack M.Balkin首次提出將信托方式用于個人信息收集中的關系調整以來，域外已經逐步展開了對信義義務的理論研究與司法實踐。（ Jack M.Balkin，Information Fiduciaries and the First Amendment，UC Davis Law Review，2016，（49），pp.1 183-1 221.）例如人行道實驗室探索智慧城市建設中的“公民數字信托”，斯坦福數據民間社會實驗室設立了數據信托框架項目。（https：//www.sidewalktoronto.ca/documents，https：//pacscenter.stanford.edu/research/digital-civil-society-lab/a-framework-for-data-trusts.）我國《個人信息保護法》第5條、《數據安全法》第8條、《網絡安全法》第9條以及《互聯網信息服務算法推薦管理規定》第4條也對信息義務作了初步規定，但由于信義義務理念與我國法律制度的嫁接等問題尚存爭議，因而關于個人信息信義義務的探討也較為有限。筆者認為在個人信息保護呼聲高漲但數據處理相關規范尚未齊備的發展階段，特別是對于個人信息的數據性處理，培植信義義務的意義必要且深遠。信義義務雖然道德性較強而規范性較為模糊，但卻可以成為個人信息數據性處理主體義務進一步明確的前期模型。特別是針對數據性處理行為，為了保證數據性處理的靈活度與自由度免除了嚴格知情同意原則對其的審視，因而應當設立更強的信義義務，覆蓋數據性處理的全過程，以平衡數據性處理中數據處理者由于對風險的單方面了解以及強大處理能力而享有的絕對優勢地位，從而為個人信息安全提供保障。

3.第三方約束機制的建立

互聯網時代的個人信息治理無法離開多元主體的協同共治，搭載先進計算機技術的數據處理技術已經超出了大部分個體的理解、監測與約束范圍。知情同意規則適用情景的限縮，增加了數據性處理的便利性，降低了對信息來源人實質監管個人信息安全風險的期待，有鑒于此，對個人信息安全特別是數據處理行為中的個人信息安全，應當施加更多的第三方約束。雖然信義義務的引入能夠一定程度上彌補知情同意規則中對個人信息來源人保護的缺漏，但仍有不足，需要多層次的第三方約束機制配套。（黃細江：《人工智能技術下的個人信息保護：邁向合作的多元治理》，《中國科技論壇》2022年第3期，第140—147頁。）依據約束規范的效力層次基準，對數據處理者的第三方約束可以分為憲法層面的約束、行政法層面的約束與行業自律層面的約束。

目前個人信息治理的主要法律依據是《個人信息保護法》，其中知情同意規則為重要的核心條款之一。在對知情同意規則進行調整之后，從《個人信息保護法》的層面來看數據性處理面臨法律約束不足的問題，因此，有必要考慮從憲法層面確立個人信息受保護的基本權利，設定與此相應的國家保護義務，作為信義義務及后續逐步明確的數據處理者責任的根本依托。從法理上來說，在數字時代，個人信息國家保護義務也不應僅僅局限于尊重私人生活、避免干預個人安寧的消極義務，還應通過積極保護，支援個人對抗個人信息處理中尊嚴減損的風險。（王錫鋅：《個人信息國家保護義務及展開》，《中國法學》2021年第1期，第145—166頁。）由于我國《憲法》并未對個人信息保護作出明確的規則表達，我們只能基于基本權利條款的規范要求，由全國人大或人大常委會從《憲法》第 33 條第3款以及38條解釋出個人信息受保護權的規范，（《憲法》第33條第3款：國家尊重和保障人權;《憲法》第38條：公民的人格尊嚴不受侵犯。禁止用任何方法對公民進行侮辱、誹謗和誣告陷害。）確立憲法上的個人信息國家保護義務，對國家權力進行妥當的指引與評價，并可以結合歐盟的經驗，將個人信息國家保護義務分為消極義務與積極義務兩種類型。消極義務指向的是個人信息權的防御功能，即國家所負有的不得侵犯個人生活自由邊界與生活安寧的禁止作為義務;積極義務則是指在個人面對強大的有組織的信息處理機構時，面對難以控制的風險國家應當履行的積極保護、提供有效制度供給以幫助個人對抗大規模個人信息處理中人格尊嚴減損的風險，此種從消極“守夜人”到采取積極規制手段保護弱勢的價值轉換，有助于對公私法治理個人信息起到根本性引導功用。

在行政法層面，我們應進一步具化和執行個人信息保護公法義務，對數據性處理主體限定資格，施行資格審批制度，以行政強制性行為規范為個人信息自治劃定安全區域，強化個人信息的保護。行政法層面的這些公法義務能夠對數據性處理起到有效的監督與制約作用，因為信息主體與數據處理者在數據性處理中的信息差距，因而要求數據處理者履行公法義務能夠未雨綢繆，震懾不法的數據處理行為，為事后數據處理者承擔主體責任創造條件。首先，我們應當施行行業準入許可，對于有意愿從事個人數據收集、存儲、處理、流轉的互聯網企業，應當審核包括企業組織形式、計算機保密技術、泄露風險預案等多方面條件和資質，經審核符合準入條件的，應當頒發準許從業的資格證，并將其資質及時公開，尤其是對主要從事數據性處理的互聯網公司應當設立較高的許可標準。設定數據處理者的行業準入許可能夠在開展數據處理活動之前確保數據處理者具有與即將開展的數據活動相匹配的數據安全保障能力，供數據來源人監督和其他市場主體之間互相監督，為后續安全監管提供前提與基礎，同時也有利于所采集信息的精確性，提高數據質量。其次，我們應該為數據處理者配套設立行政登記的義務，要求數據處理者在統一的平臺履行登記、備案等行政手續后才可進行數據處理、交易等后續行為，這樣的要求既可以保證行政機構和數據來源人及時、清楚地追蹤個人數據的流向，又可以為信息主體侵權損害賠償訴訟提供證據，實現了對數據處理者資質的高頻核查，所留下的記錄也對數據處理這違法違規處理行為起到了震懾作用。最后，為了配合對數據處理活動的監管，我們可以考慮設立統一的網絡運轉平臺，統一的數據運轉平臺便于適用統一的數據安全評估技術與標準，利于監管，此外還有助于打破互聯網企業之間的信息壁壘，統一數據操作平臺最大程度實現了不同互聯網企業之間數據交易硬件的兼容，降低了數據流動成本，有利于破除數據孤島的現狀。

在行業自律層面，我國利用市場力量制約不當數據處理行為的薄弱點在于缺乏強有力的行業自律規則。一直以來，美國在自由主義思潮的引領下產生了諸如BBBonline隱私認證、P3P計劃等與行業自律組織，達成了諸如《在線隱私政策指南》《網絡廣告倡議原則》等關涉隱私安全的自律規則，此外還產生了不少針對特別行業內部適用的自律規范，形成了縱橫交織的自律規范體系。（轉引自趙海樂：《數字貿易談判背景下的個人信息保護行業自律規范構建研究》，《國際經貿探索》2021年第12期，第101—112頁。）這些規則經由企業的加盟適用與第三方認證、監督機構的監管而發揮實效，特別是美國聯邦貿易委員會及其他行政、司法機關的介入，更是彌補了第三方監督信息不透明、財政資助等引發的信任不足，收到了政府與行業共治的良好效果。（吳元元：《連坐、法團主義與法律治道變革——以行業協會為中心的觀察》，《法律科學（西北政法大學學報）》2020年第3期，第3—20頁。）鑒于行業自律的積極意義，我國也嘗試發布了行業自律規則，但因為其狹隘的行業自律規則定位，阻礙的行政監管銜接，所以社會效果不甚明顯。在內容上，行業自律規范應立足特定行業，追求更強的針對性、適應性與靈活性，起到有效避免政府立法滯后性的目的;在效力上，我國應當通過學術研究與司法實踐逐步統一對自律規范文件的效力認定，明確其約束力，從而增加消費者的安全感，提高消費者對互聯網數據產業者的整體信任;（梅夏英：《在分享和控制之間 數據保護的私法局限和公共秩序構建》，《中外法學》2019年第4期，第845—870頁。）在制度銜接上，我國應該加強行業自律規范的實施與公權力機構的接軌，由公權力機關提供監督與救濟，提高自律規范落地的概率與適用的公信力，促進自律規范切實發揮監管作用。

結 語

個人信息保護在不同歷史時期有著不同的內涵，互聯網時代的個人信息保護不僅要滿足個人對于人格尊嚴的期待，同時要契合數據產業發展的時代要求。現階段個人信息人格利益與財產利益靜態區分的路徑導致了人格利益與財產利益、私人利益與公共利益的失衡。其實，個人信息利益之間并不能各自割裂，個人信息私人利益的范圍劃定實際上也是公共決策的結果，個人信息治理應追求個人信息之上多種利益之間的平衡。基于個人信息人格利益與財產利益的動態關聯，動態區分的路徑能夠避免利益區分滯后于數據處理場景的改變。

個人信息利益的動態區分建立在處理結果是否直接作用于個人的基準上，遵從動態區分原則，我們可以將個人信息處理行為區分為信息性處理與數據性處理。于是，個人信息人格利益與財產利益的區分問題，就轉變為對數據處理行為的區分，避免了僵化的靜態區分之下為了人格利益保護而犧牲產業利益。個人信息利益動態區分保護的思路既劃定了人格尊嚴保障的紅線，又開放了數據處理的自由空間，符合我國加強數據產業發展的趨勢。在個人信息利益動態區分的原則指引下，可以調整知情同意規則的適用條件、引入信義義務以及加強對數據處理者的第三方約束，從而既可以提高數據性處理的效率，又能通過強有力的多方監管將其限制在合法合理的范圍之內。

雖然個人信息利益動態區分保護的設想或許較為粗糙，但這一原則蘊含了對個人信息利益動態性的關注、對個人信息權益保護與行為規制兩種路徑兼采的嘗試，也寄托了對個人信息有序利用、良性開發的期待。筆者希望能為個人信息綜合治理提供一得之見，以此拋磚引玉，共同探索個人信息治理的中國方案。

Introduction， Formation and Realization of the Principle of Dynamic Differentiation of Personal Information Interests

JIANG Xiao-jing， LI Shi-lin

Abstract： The static protection of personal information interests leads to the imbalance between personality and property， private and public interests. In view of the two sides and dynamic connection between personality interests and property interests of personal information， the path of dynamic differentiation protecting personal information interests is more legitimate and reasonable. At the same time， because it is in line with the development of Chinas data industry， the principle of dynamic differentiation also has local adaptability. According to the influence of processing behavior on users， the personal information processing behavior can be divided into information processing behavior and data processing behavior. The introduction of the dynamic differentiation principle can clearly delineate the boundary of private rights， avoid excessive sacrifice of property interests due to the protection of partial personality interests， and give attention to the dynamic balance between strict personality interests and promoting the development of data economy. The rules of dynamic protection path of personal information interests can be realized from three aspects， namely， adjusting the rules of informed consent， introducing fiduciary duty and establishing a third-party restraint mechanism.

Keywords： personal information interests; dynamic differentiation; information processing; data processing

【責任編輯：龔桂明 陳西玲】