个人信息权利的法律属性再思考：从二元到三方
肖君拥，谭伟民
（国际关系学院，北京100091）
摘 要： 明确个人信息的权利属性是加强个人信息安全保护的基本前提。要维护实现个人信息权利，仅单纯从个人权利保障出发或从促进信息数据企业发展出发都不是可取的路径。要克服个人信息权利属性“个人-企业”二元模式的局限，充分认知国家在个人信息权利构造上的决定性作用。赋予个人信息权利，实质是国家通过法律对个人信息这一资源性权益，在“个人-企业-国家”之间分配过程中，对个人人格尊严与财产的一种法益保护。要从“个人-企业-国家”三元模式中，深化个人信息权利属性的再认知，从三者价值均衡中，寻求个人信息最佳保护实践。
关键词： 个人信息；权利属性；法律；价值平衡
1 引言
对个人信息的保护，有美国模式和欧盟模式的区分。美国式的隐私权保护模式，注重社会自由，特别是企业自由，鼓励产业发展，但个人信息安全事件也屡屡发生；欧盟式的数据权保护模式，强调个人信息（数据）的自决权，对数据的自由流动和相关企业的发展也产生了阻滞，但赋予个人信息以明确的权利属性。无论隐私权还是个人数据自决权，都通过权利确定辅以行为规范来对个人信息权利进行保护。
中国步入信息时代以后，个人信息的安全与自由也受到了前所未有的关注。在当信息时代转入大数据时代的特征已经愈发明显的今天，对于涉及个人信息数据的权利保护更加显得紧迫。遗憾的是，虽然早在2005年前后我国学者就提出了对个人信息保护进行立法的建议[1,2]，但十多年过去了，个人信息保护的单行立法仍然没有出台。对于个人信息权利属性的认知尚不够到位，有关立法的相对滞后与我国作为信息数据发展大国地位极不相称。学术界为构建中国的个人信息权利保障制度付出了努力，行政法、民商法、刑法、宪法也都从各自的学科背景出发，参与到个人信息权利保障制度的讨论。特别是在私法领域，产生了有关个人信息权利属性的一般人格权说、具体人格权说、隐私权利说、财产权利说、人格权利财产权利二元说、新型民事权利说、知识产权说等各种学术观点。尽管理论繁多，其背后的价值取向都不免陷入了人格尊严保护与产业经济自由之争，这源于域外的二元平衡价值体系的窠臼之中。由于理论和价值取向的争议，始终难以确定个人信息权利的法律属性，而权利属性不明确，又引起理论和价值取向的争议，陷入死循环。
媳妇缓过点神来。但脸还蜡黄着，嘘嘘地喘着气。哥们儿朝洛蒙想媳妇在老家是个有名的假小伙子。媳妇身体壮硕，冒冒失失，天不怕地不怕。春天敢独自一人爬悬崖捋榆钱儿，夏天敢一个人驾着犟牛去山坡种荞麦（那可是顶死过人的公牛呵！），现在却被城里小小的虫子吓倒了！他下地把媳妇扶起来，替她掸掉身上的土。
2 个人信息权利属性诸观点
2.1个人信息权利隐私权说
随着隐私权利制度在中国民事法律上的确立，个人信息权利在中国有了一个具有美国模式的权利外观。在美国，隐私权超越了人格权，具有了某种财产权的属性。但是，个人信息权利与隐私并不等同。以隐私权概念实现对个人信息权利保护的实效是有限的，在美国，个人通过隐私权侵权诉讼，来维护个人信息权利的情况亦不常见。
因此，把个人信息权利简单地等同或者并入到隐私权中，虽然能够在一定程度上解决个人信息权利在人格权以外的财产权利诉求，但作为源自侵权法的一种被动防御性权利，特别是其以侵害发生为前提要件，仍然不能完美地解决个人信息权利的安全保护问题。
2.2 个人信息权利人格权说
个人信息权利人格权说具体又可细分为三类。
（2）个人信息权利一般人格权说
3.1.2 气缸套与活塞环选配合理。气缸套与活塞环在选择时，不仅要保证尺寸的匹配，同时要保证材质合理，减小气缸套与活塞环之间的磨损。所以，除了气缸套的较强耐磨性之外，还需要重视气缸套与活塞环的合理匹配，进而提高耐磨性。
该学说受德国式的信息自决权最终成为基本权利的启发，对我国《宪法》第38条所规定的人格尊严权进行解释，从而实现从个人信息权利到宪法权利的证成。然而，在我国并不存在类似德国联邦基本法法院的机构，宪法的实施在司法诉讼领域需要具体法律规则支撑，因此在实践上缺乏可操作性。在理论上，个人信息权止步于宪法性权利是远远不够的，需要明确转化为具体法律权利。
（1）个人信息权利宪法人格权说（基本权利说）
王利明教授在设计未来的民法典人格权编时，将个人信息权作为一种具体人格权。“虽然民法总则没有明确使用‘个人信息权’的概念，但在解释上也可以认为，其承认了独立的个人信息权”。[7]当然，这种说法也有质疑，因为民法总则第111条作为宣示性法条，并未明确授予个人信息以明确的权利外观。但这也是个人信息权利在民事法律领域的一个突破，《民法总则》的出台和后续民法典的编纂立法工作，恰恰体现出了这样一种趋势。
“一般人格权说”是对德国法中Das allgemeine Persoenlichkeitsrecht这一概念体系的继受。作为一般人格权的个人信息自决权，仍可看成是宪法人格权在民法领域的延伸。但是，即便是在德国，一般人格权本身是法官造法的结果，缺乏基本法的规范支持。在我国，一般人格权也是学理上用以弥补《民法通则》中具体人格权规定的不足，但法律条文上仍缺乏支撑。
立雪，本名徐子飞，建筑工，江苏扬州人，诗歌爱好者。文字散见《诗刊》《延河》《读者》《星星》《青春》《绿风》等，出版个人诗集《扬州十月》《成都有雨》。
（3）个人信息权利具体人格权说
以我国某一农村为例，对农村人畜饮水安全的影响因素进行分析，该地区主要是利用雨水与泉水进行供水，主要水源来自该县的一水库，饮水问题基本得到解决，其水质受人为因素、环境因素、地理位置等影响极易出现污染，水质不能满足国家对生活饮水的安全标准规定，且因使用受污染的水导致许多村民都出现了骨质疏松、粪便呈血、牙齿变黄等症状，严重威胁着村民的身体安全。通过调查发现，该地区的农村人畜饮水安全影响因素主要体现在以下几方面。
收获现值法主要运用了财务管理中计算现值的方法，通过预测林木到达主伐期的木材量，利用木材市场价格倒算出木材价值并折现，才扣除核算日到主伐期可能产生的各项支出的现值，剩余即为该核算对象的核算价值。其计算公式为：
总的来说，个人信息权具有人格权的性质，但将其归入人格权中，则要面临与传统的人格权不具有财产属性这一旧理论范式的冲突。因此突破人格权范围，转而在财产权利的范畴内，对个人信息权利进行扩展成为一条新的路径。
2.3个人信息权利的财产权说
如果说隐私权的财产权化的主体还是自然人个人的话，那么个人信息权的财产权化的实质上代表着在促进产业发展的价值取向下，个人信息权利主体和价值体系的坐标，开始由自然人个人向企业转移，如图1所示。依财产权化的程度不同，个人信息权利被看作是纯粹的财产权利、带有人格权利的财产权利、人格财产二元权利、带有财产权利的人格权利以及纯粹的人格权利。从权利的外观看，在个人信息权财产化的理论构架中，个人信息被表述为一种新型民事权利或新型人格权。另外，还有一种理论依据人身权利与财产权利的二元性，将个人信息（个人数据）解构为隐私+著作权。在《民法总则（草案）》一审稿中，曾将数据纳入了知识产权的范围，但之后并没有被立法者采纳。
个人信息权利财产权化，无疑会加快个人信息和数据的交易和融合，促进产业的发展。但其背后隐含的价值取向和立法逻辑是令人不安的。个人信息权利被财产化的实质是成为了一种商品，意味着个人与企业在个人信息上对抗时，国家法律采取的立场是放任主义，这样过于倾向于企业一边，不利于对相对弱势的个人一方的信息权利保护。在去识别化至今尚未有统一标准的情况下，去识别化与数据的应用性处于相互矛盾的地位，可识别程度越低，数据的资源性和应用性越差。在大数据时代，随着占有数据数量上的飞跃式提高，无论数据清洗到何种程度，还原和再识别都无法避免。因此，在个人信息权利财产化的问题上，国家立法机关的态度一定要谨慎，将个人信息财产化限制在一个可控的范围之内。
产妇孕期保健是妇幼保健工作中的重点[1]。传统的孕产妇系统保健管理是指从怀孕开始到产后42 d为止对孕产妇进行系统的检查、 监护和保健指导。为提供更好的孕期保健服务，改善妊娠结局情况，烟台市妇幼保健院实施了软件孕期保健系统为孕妇提供有效的孕期系统保健，包括定期产前检查、早期孕期保健、相关健康知识教育等工作。本研究通过比较电子孕期保健前后对孕产妇妊娠结局的影响，为提高本地区孕期保健工作提供了理论基础。现报道如下。
图1 个人信息权利在人格权和财产权间的权利属性和价值取向
3 个人信息权利属性中的“个人-企业”二元模式及其局限
如上所述，无论是指向美国式的隐私权范式，还是德国式的一般人格权范式，我国关于个人信息的权利属性的各种学说，大都具有外源性特征，可以在美国或者欧洲的个人信息法律研究和实践中找到踪影。不仅如此，大西洋两岸的两种割裂的价值体系，在中国同样面临着如何取舍的难题，有学者将其总结为“法益保护与数据开发利用的二元价值平衡”。事实上，在具有中国特色的社会主义法律体系下，无论是欧洲式的个人信息权利至上，还是美国式反映产业巨头利益的模式，都是不合适的。虽然二元价值平衡并不是非此即彼的选择，但想要在一个维度内兼顾个人信息法益保护与数据开放利用产业发展，其中的平衡很难掌握。
3.1 国家对个人信息权利保护具有特殊意义
在个人信息二元价值平衡体系中，忽略了国家这一更为重要、更具有干预性的主体存在。国家可以通过行政手段或刑事手段的强制力对个人信息权利进行干预，甚至本身是个人信息最大的收集者和存储者，也是个人信息权利的最终保护者。
2014年4月，“总体国家安全观”被提出，主要目标是“构建集政治安全、国土安全、军事安全、经济安全、文化安全、社会安全、科技安全、信息安全、生态安全、资源安全、核安全等于一体的国家安全体系。”《中华人民共和国国家安全法》第2条规定：“所谓国家安全，是指国家政权、主权、统一和领土完整、人民福祉、经济社会可持续发展和国家其他重大利益相对处于没有危险和不受内外威胁的状态，以及保障持续安全状态的能力。”从中可以看出，作为信息安全重要组成部分的个人信息安全保护问题，已经从个人、企业安全，上升为国家安全的主要领域。
3.2 个人信息权利保护关系到国家安全
国家主权包含了国家信息主权。在国家信息主权层面，国家作为公民个人信息权利的最终保护者，面对的是其他国家，针对的是个人信息跨境流动的特殊情形。而一国之下的个人、企业作为个人信息权利的主体被国家主权所涵摄，个人信息权利与国家信息主权其实并不会产生剧烈冲突。针对数据跨境流动，欧盟以隐私保护为出发点，以国内数据立法和国际多边条约规定等形式予以规制。2000年美国与欧盟签订“安全港协议”，解决了美欧之间长期存在的数据跨境流动的争议。在跨境数据流动的问题上，我国坚持国家信息主权，维护国家安全，实际上也维护了公民、企业所享有的个人信息权利。
如在刑法中，就对保护个人信息设定了相应的法益。从《刑法修正案（七）》设定了侵犯公民个人信息的犯罪以来，个人信息就作为一种独特的超乎个人法益属性的法益进入了刑法学的视野，因而具有了社会性甚至国家性。事实上，面对我国日益严重的侵犯公民个人信息犯罪，刑事领域的立法予以积极应对，特别是《刑法修正案（九）》和“两高解释”的制定，表明了在刑法领域对个人信息的保护已日趋完善。相较于行政法领域和民事诉讼领域，以打击犯罪保护相关法益为代表的刑事立法活动，为维护个人信息权利提供了最高级别的保护。
从域外司法案例上看，个人信息安全已经与国家安全密不可分。2019年2月28日，美国联邦贸易委员会（以下简称FTC）因Musical.ly（现抖音国际版，抖音斥资10亿美元收购了Musical.ly）非法收集13岁以下未成年人的姓名、电子邮件地址和住址，对其课以570万美元重罚，创下美国侵犯儿童隐私案的记录。FTC主席乔·西蒙斯（Joe Simons）在声明中说，“Musical.ly的运营商很清楚许多儿童在使用这款应用，但在收集13岁以下儿童的姓名、电子邮件地址和其他个人信息前，并没有征得用户同意。这一创记录的罚款，对于所有面向儿童的在线服务和网站都应当是一个警示。” FTC表示，Musical.ly要求用户提供姓名、电子邮件地址、电话号码和档案照片，在2016年10月之前，Musical.ly还收集用户的地理位置，使用户能知道方圆50英里内的其他用户，许多抖音国际版用户，在用自己的账户发布的短视频中列出了年龄，这意味着应用“实际上知道”他们的年龄小于13岁[14]。2019年2月7日，德国反垄断监管机构（Bundeskartellamt）裁定，Facebook在收集、合并和使用用户数据方面滥用了其市场支配地位[15]。该案开启了反垄断机构通过反垄断法保护个人信息的先河，是《一般数据保护条例》（GDPR）出台后，对个人、企业和国家三大主体关于个人信息安全保护问题价值体系的一次再调整。2018年3月，Facebook被曝光有超过5000万用户信息数据被一家名为“剑桥分析”（Cambridge Analytica）的公司泄露，用于在2016年美国总统大选中针对目标受众推送广告，从而影响大选结果。2018年9月21日，英国数据保护组织（ICO）对一家加拿大数据分析公司Aggregate IQ（AIQ）开出GDPR生效后的首张“执法通知”，称ICO注意到，AIQ公司涉嫌与英国一些右翼组织（Vote Leave、BeLeave、英国退伍军人组织、DUP）进行数据分析合作，向选民定向推送政治广告，影响脱欧及大选等政治活动的情况，要求AIQ公司在该通知发出后30天内，停止处理从英国政治组织或其他方面获得的英国或欧盟公民的任何个人数据。此外，这些处理数据的获得，不可用于数据分析、政治竞选或任何其他广告目的，否则，根据英国数据保护法案（DPA）第155（1）（b）条，专员可向该人发出罚款通知书，要求支付高达2000万欧元的金额，或承诺每年全球总营业额的4%，以较高者为准。
由此可见，个人信息安全问题不仅仅是一个技术问题、一个法律（权利）问题，而是一个涉及到政治、经济、外交等多个方面的国家安全问题。除了本身即为信息安全的重要组成部分以外，个人信息安全因其自身的经济价值、科技价值、网络属性、数据属性，而体现在涉及国家安全的经济安全、科技安全、网络安全、数据安全等诸多领域，具有多重国家安全的属性。
2018年9月，《个人信息保护法》《数据安全法》被纳入《全国人大常委会立法规划》。可以看出，立法者的思路是将个人信息与数据作为两个不同的对象予以保护，个人信息只有经过去识别化，转化为一般数据，才能进入商品流通领域。但是，在技术上无法提出决定可去识别化方案的条件下，想将二者完全区分开，分别加以保护，仍然任重道远。
因此，在讨论个人信息的权利属性问题时，必须充分考虑个人、企业、国家三方，才能科学、正确地认清个人信息权利属性。这是我们研究和思考个人信息保护问题的基本出发点。
第二组图表显示了发现的问题和所需服务之间的相关关系。最后一组图表是对协和医院不同科室提供社会服务的总结。
4 明确个人信息权利属性中的“个人-企业-国家”三方定位
之所以会出现如此多的个人信息权属理论，一是因为研究者因所参照的目标国家的法律理论和制度的不同，从产生原生性的分歧去研究；二是因为研究者受所从事的各个部门法研究领域的局限，无法跨越部门的界限运用综合的视角去研究；三是因为相关权属涉及到国家、企业和个人三个权利主体，如果仅以“企业-个人”的二元低维视野来看不够清晰，因而在利益衡量和价值取向上的平衡变得非常困难。本文试图在以国家、企业和个人三者为坐标的平面上，为各个权属标定出一个区间，为相关理论和其背后的价值取向做一个简化的定位，如图2所示。
图2所示个人信息权利的理论来源发端于第三象限，其价值取向也是对个人信息权利人格尊严的保护，价值主体即公民自然人个人。对于个人信息权利在这个谱系下的落脚点来说，个人主体应该成为近端，企业和国家作为主体应该成远端，这样才能有效地保护个人信息权利。作为价值主体的企业在第四象限，其价值取向是对数据相关产业的自由发展，通过个人信息规则的简化，实现对数据的开放利用，甚至二次交易，以实现数据的流动。国家这一超级主体位于正上方，其价值取向在于对国家安全和信息主权的维护。每个国家或区域的个人信息法律价值定位并非是坐标固定的，但在价值谱系中都大致可以找到一个位置。在“个人-企业”二元价值谱系中，欧盟出于对个人人格尊严的维护在纵坐标左侧，美国出于对企业自由的追求位于纵坐标右侧。我国的价值立场应该介于两者之间。在国家对个人信息的干预程度上，无论是中国还是美国，国家作为主体的强度和力量都要高于欧盟。要对个人、企业和国家三大主体的价值和利益进行平衡，绝不意味着法律就一定要处于个人、企业和国家的绝对中间点，不能忽视保护个人信息权利的初衷。因此，从长远上看，个人信息保护立法将越来越趋于个人信息权属向第三象限倾斜和逼近，既是现实的考量，也是题中应有之意。
5 结束语
以上梳理分析境内外有关个人信息权利法律属性，提议建立“国家-企业-个人”三元价值平衡模型，不仅可以描述和解释当今世界各国个人信息权利法律制度价值体系，还可以看到国家在个人信息权利保障体系中所起的关键作用，以及对于个人和企业两方面的调节和平衡。通过深化对个人信息权利属性的价值解读，可以预期国家在培育数据产业发展的同时，将不断加强个人信息安全的综合保护。
需要补充的是，我们这里谈论的AI所指代的是运转于图灵机之上的AI程序，亦即当下提到人工智能时默认的预设，而没有完全排除其他某种形式的“人工”智能体成为艺术家的可能性。量子力学理论本身容纳了意识所具有的整一性和不确定性特征，这就给用量子力学框架解释意识和自由意志留出了理论空间。那么我们就有理由期待基于量子力学原理制造的量子计算机有朝一日成为具有自由意志的人工智能体的载体，而本文讨论涉及的AI并不涉及量子人工智能。
图2 个人信息权属在三大主体间的定位
参考文献
[1] 齐爱民. 中华人民共和国个人信息保护法示范法草案学者建议稿[J]. 河北法学，2005(6).
[2] 周汉华. 个人信息保护法专家建议稿及立法研究报告[M].北京：法律出版社, 2006.
[3] Daniel J S, Woodrow H. The FTC and the New Common Law of Privacy[J]. Columbia Law Review, 2014,114:583-676.
[4] 姚岳绒. 宪法视野中的个人信息保护[M].北京:法律出版社,2012.
[5] 谢远扬. 个人信息的私法保护[M].北京:中国法制出版社,2016.
[6] 王利明. 人格权法研究(第二版)[M].北京:中国人民大学出版社,2012.
[7] 王利明. 论人格权独立成编的理由[J].法学评论,2017 (06).
[8] 王利明、周友军. 我国《民法总则》的成功与不足[J].比较法研究,2017 (4 ).
[9] 梁慧星. 中国民法典中不能设置人格权编[J].中州学刊,2016(2).
[10] 梁慧星. 《民法总则》重要条文的理解与适用[J].四川大学学报(哲学社会科学版), 2017 (4).
[11] 胡凌.商业模式视角下的“信息数据”产权[J].上海大学学报(社会科学版),2017(06).
[12] 宋亚辉.个人信息的私法保护模式研究[J].比较法研究,2019(2).
[13] 曲新久.论侵犯公民个人信息犯罪的超个人法益属性[J].人民检察,2015(11).
[14] Video Social Networking App Musically Agrees to Settle FTC Allegations That it Violated Children’s Privacy Law[EB/OL]. https://www.ftc.gov/news-events/pressreleases/2019/02/video-social-networking-app-musicallyagrees-settle-ftc.
[15] Background information on the Bundeskartellamt’s Facebook proceeding[EB/OL].https://www.bundeskartellamt.de/SharedDocs/Publikation/EN/Pr essemitteilungen/2019/07_02_2019_Facebook_FAQs.html?nn=3600108.
Rethinking the legal attributes of personal information rights: from duality to tripartite
Xiao Junyong, Tan Weimin
(University of International Relations, Beijing 100091)
Abstract: To clarify the right attributes of personal information is the basic premise of strengthening the protection of personal information security. In order to safeguard and realize the right of personal information, it is not an advisable way to start from the protection of personal rights alone or from the promotion of the development of information and data enterprises. We should overcome the limitation of the dual model of "individual-enterprise" which is the attribute of personal information rights, and fully recognize the decisive role of the state in the construction of personal information rights. The essence of granting personal information rights is a legal protection of personal dignity and property in the process of distributing the resource rights and interests of personal information among individuals, enterprises and countries through law. We should deepen the re-recognition of the attributes of personal information rights from the "individual-enterprise-state" ternary model, and seek the best practice of personal information protection from the balance of the three values.
Key words: personal information; rights attribute; law; value balance
中图分类号： D90
文献标识码： A
作者简介：
肖君拥（1974- ），男，汉族，湖南邵阳人，中国社会科学院，博士，国际关系学院, 教授；主要研究方向和关注领域：国家安全法、人权法。
谭伟民（1984- ），男，汉族，辽宁鞍山人，国际关系学院, 硕士，助理研究员；主要研究方向和关注领域：国家安全法、信息网络法。