中国个人信息保护的权利构造

许 娟

(南京审计大学 法学院， 南京 211815)

在大数据时代，个人信息的内涵、搜集范围、搜集手段、处理方式、利用空间、侵权形式等正在发生巨大变化。个人信息保护处于立法前准备阶段，需要解决权属配置和权利构造问题。面对个人信息保护的合法搜集、有序流动、合理使用、严格保护，本文从个人信息的分离权能与赋予权能的构造论视角，剖析个人信息保护的权利构造。个人信息的权属随着空间的结构性变化，被每一组具体的法律事件代入到具体的权利构造中去，在原有隐私权、人格权、基本权利的基础上释放出一组新的权能，拟制出个人信息控制权、公开权、被遗忘权、知情权、信息产权、剩余权等权属。在这些个人信息权属尚未完全定型和尚未完全概念化阶段，廓清权属权能，用混合立法形式将权利内容法律化。

一、个人信息保护权利体系的整体方法论阐释

《哈佛法律评论》1989年总103期上刊载了劳伦斯·H·却伯的《弯曲的宪法空间：法律人能够从现代物理学中学到什么？》一文，给法律人提供了量子力学的思维方式，经典力学的思维会封闭法律内部关于基本价值的对话，想在法律科学中寻求权威答案注定是误导人的。形式主义哲学建立在一种不适当的具体化之上，它将科学看作是“已证明事物”，甚至是“可证明事物”的集合。但是，关于科学的更好的解释是把科学看作是对有益的一个持续与评判性探索，科学与其说是事关证明的，不如说是事关改进的。[1]启蒙时期，自然权利论的推导逻辑经历了从不证自明性到证明性的历程。[2]信息时代，量子物理学引起自然科学家对社会科学认识方法的改变，并推及权利的思维方式也发生改变，即从不可证明到可证明性，从可证明性到可接受性，以产生适应社会形势的变革性发展。

(一)简约的概念化思维无法面对复杂的本体

时代在变迁，信息时代是一个以量子化、数位化为特征的风险社会，信息的流动性带来了巨大的不确定性，这需要社会科学回应信息时代带来的新挑战。启蒙时期以来，传统权利思维是概念化思维，以简约化的概念或理念化的类型作为逻辑论证的起点，这一特征主导了整个法学思维。西方概念化权利思维经历了从不证自明的权利概念向证明性的权利类型的发展历程，思维的逻辑起点首先是抽象权利论证，然后是逻辑实证主义的权利论证，之后是实用主义的权利论证，由此区分出作为观念的权利、作为制度的权利、规范运作中的权利等三种权利论证。由于缺乏理念论和运作论，中国个人信息法的权利谱系始终无法摆脱整套带有凯尔森特点的规范系统，其占主导性的思维表达是：“权利不应当是一套不证自明的道德与责任伦理，而应当是一套可操作的明确的概念体系，即‘建制性的规范’。”[3]

中国个人信息权简约化的规范思维之源头可以追溯至20世纪80年代的权利规范思维，它是建立在权利义务概念的规范论证逻辑基础上的，其表达方式是：“法律是用以分配、调整人们权利义务关系的规范体系，在权利义务的相互关系中，权利是更核心的概念。”[4]在中国权利本位论证一以贯之的逻辑下，个人信息权的规范法学思维尽管从20世纪70年代开始便探索异域理论体系和本土经验的结合，但仍然没有切断权利本位论的思维源头。只有少数人依旧不断以域外个人信息权利规范填补国内个人信息权利规范的空白，并取得了阶段性进展。与此同时，信息保护的法学研究者也意识到简约化权利思维的困局，即信息社会的高度复杂性同社会需要处理的信息量不断增加之间的矛盾，信息量越大、信息种类越多，社会的复杂化程度就越强。权利理论家面对个人信息权的复杂本体，或者陷入“要么这一类”，“要么是那一类”的简单化论证，或者罗列这国或那国已有制度以供未来中国立法者甄别和遴选，这种思路根源于比较法学者还没有顾上从权利文化结构和功能两个视角做内部观察，而只是从外部视角的研究成果，这便可能被锚定在烟如浩渺的制度选择之中，难以提炼出现实主义态度下整体性的路径选择。

信息是流动的融合，也是流动的分离，个人信息权利不断从不证自明的抽象自然权利向可证明规范发展，这其间两大法系逐渐融合，公私法矛盾逐渐消解，宪法性权利发生着对民法、知识产权法等具体权利类型的开放与衔接。由于信息是流动的，信息在从其隐私权权能中流动出颇具经济价值的公开权权能，进入到一个更为广义的隐私保护的范畴，可以被称为数据隐私和资讯自决。信息的流动特征有助于发挥个人信息自决与个人信息控制的积极功能，新的功能确认促使我们不得不思考个人信息权的权属，从“免于侵犯”的消极权属走向“自我决定”的积极权属。在数字经济时代，个人信息应当通过确权和赋权，形成完整的个人信息权，以清晰的权属和完整的权能作为个人信息立法的前提。然而，由于权能的复合性和权属的不明确性，廓清个人信息的权属和权能存在极大的障碍。在个人信息权尚未完全被廓清的时候，个人信息权从公法尤其是宪法性权利中逐渐被分解，形成具体人格权说。具体人格权说有“宪法人格权说”[5]与“民法人格权说”[6]之分。从公法上分离出来的具体人格权主要是身份权。[7]民法具体人格权已经形成了诸如生命权、健康权、身体权、姓名权、肖像权、名誉权、隐私权等成熟且类型化的权利，这些具体人格权是不断从精神现象中分离出的物质利益，以此为理论起点来论证个人信息权的权属是具体人格权，进而形成人格权的商品化说。在权利运行的过程中，个人信息权的理想形态被不断廓清。

对权利理论家而言，一个更有前景的工作应是恢复权利概念与生活世界之间的丰富关联，可称之为“带有亚里士多德面具的权利理论”。[8]带有亚里士多德面具的权利理论以二元论(非此即彼)和修辞学(至少不完全是)为思维特征，将个人信息权简约化为“至少不完全是”的表达形式，即个人信息权是动态的本体，不可能是静态的单一权属。其一，个人信息权至少不完全是隐私权，也不应当采用隐私权保护模式。依据美国宽松的变通隐私权保护模式，隐私权面临着新权能的挑战。随着公开权这一财产性权利的兴起，隐私权的人格要素在市场经济发展的过程中扩张出财产性权利，允许数据企业经过用户授权建立债的流转关系。数据流转已经大大突破了传统隐私权的范畴，因此，以经济和技术为核心的个人信息保护模式，将成为未来个人信息保护模式的新趋势。其二，个人信息权至少不完全是人格权，不应当采取具体人格权保护模式。欧盟的人格权严格保护模式形成了立法惯性，以至于2016年4月14日，欧洲议会投票通过了商讨了四年的《一般数据保护条例》，该条例已在欧盟官方杂志公布正式文本的两年后(2018年)生效。与此同时，争夺数据资产是各国提高在世界数据市场上的竞争力的手段，发展较为成熟的数据大国背着政治的包袱，反而缺乏国家应有之能力。欧盟严格保护的强大惯性思维，使得欧盟没能在立法中体现数据的市场价值，因此也就无法在经济上与美国强力、快速增长的竞争态势相抗衡。以数据产权为中心的保护模式并不意味着数据完全抛弃人格权属，而是在过滤不安全数据条件下，锁定数据利益，以适应国家战略发展的需求。其三，个人信息权至少不是知识产权，不应当采用知识产权保护模式。由于知识产权制度的根本目的是“锁定”一个时间段的利益，形成排他性保护机制，知识产权目标不适应数据产权的可交换性和非排他性的需求。同时，知识产权只是个人信息的数字资产创造的客体之一，不能涵盖其他人身和财产利益。《民法总则》二审稿曾经有过将数据资产和网络虚拟财产作为一种新型知识产权客体的思路，但旋即受到激烈反对，“其主要理由是，数据信息涉及值得保护的民事权益很多，知识产权只是其中一个方面或方式，不仅如此，很多数据信息还无法成为知识产权的客体”。[9]个人信息权的形态中有知识产权的属性，在特定目标下，可以锁定一个固定时间段下的排他保护和特定网络空间中的排他保护，减少个人信息交易中的隐私风险，但是不能完全套用知识产权来进行个人信息权的救济或规制。

隐私权、人格权与知识产权等局部权属之间是相互渗透、相互转化、功能关联、价值互证的，仅以隐私权、人格权和知识产权中的一种权属作为涵盖个人信息权的不同形态的做法是行不通的。在现有的个人信息保护领域，在横向(私法之间)和纵向(公法之间)的个人信息权分量上，其意向性被人为地分隔为多个不同的流动节点，基于控权而建构起来的法律体系，与基于自由建构起来的法律体系之间在纵横方向上展现出“双面人脸”的属相：有时是需要许可的，有时是不需要许可的；有时是排他的，有时不是排他的；有时主体是国家，有时主体是个人；有时属性是人格，有时属性是财产。这就直接导致了规范结构的横向与纵向分量上权属的渗透性和流动性。基于此，在现有权利规范体系中没有任何一种具体的权利构造与个人信息权的权利构造完全通约。

(二)相互耦合的方法

正如胡塞尔、海德格尔通过研究存在论揭开空间的三维性一样，将个人信息权能运动放在一定社会时空的动态量中去观察，看到的是个人信息权的二象性，即财产与人格的二象性。从财产的流转透视进去，在财产与人格之间交换流转的动态模型，形成双向意向性的权能运动，人格和财产同时发生了意向性的改进，从而构造二象性权利结构。

个人信息保护的立法过程可以看成是公共选择的过程，它通过确立要素——事件——环境的过程分析范式，在给定个人信息的人格要素状态下，输入事件(劳动与交易)，结合环境及外部约束条件，权利会分离出不同的被法律拟制出的权能，这个运动过程是国家赋权的过程。公共选择学派强调演进过程中制度惯性和环境、制度之间的互动关系。既然权利不可能完全获得结果意义上的最优配置，那么就要让环境和绩效加入交易全过程，从而形成过程最优的经济分析方法。几种方法相互耦合，在方法论上以流动的象思维为信息认识论，以复杂整体性为信息本体论解释，以过程最优为构造模式原理，这可以帮助我们打开尚未完全打开的个人信息权利结构。

二、个人信息的权属定位、分权与赋权

法权构造不是静态的分配和再分配的产物，也不能简单地以多种具体的信息权利组成的复合权利类型为基础进行权能构造。法权的分配和再分配包含私法对于公法的优先性，财产权在私法中的基础性地位，选举权在公法中的基础性地位，以及由此而形成的法权链条。如果没有人格要素，个人信息权就“不可能与物权、债权、人格权与知识产权相关”。[10]

(一)个人信息权属定位

权属是作为权利的要素和作为要素的权利的属性，是确定权利性质的关键。个人信息权的权属是结构一体化的整体性展现，是人格和财产的二象性。

个人信息权人格要素诉诸抽象权利论证方式，其论证逻辑是：任何个人信息保护的规范只有从最高的价值确信中获得其存在意义，存在意义的理念化在存在中得以强化并验证了最高价值确信的现实性。在私法领域的人格权规范只能反映自由，无法完全承载理念化的最高法秩序，即尊严。人格的元规范包括：其一，无论个人信息权是绝对的或相对的、可交易的或不可交易的，人格并不随着信息流动而被破坏，也无法改变人格这一应当获得尊重的、不可分割的、等值的整体性质。其二，人作为人格要素的存在，不能混同于动物、人工智能等非人格要素。以单个个体为出发点，人格是从道德本体中演化出来的客观法，个人必须通过法律行为使人格符合人格要求，人格是一种用来构造法律规范的社会关系和社会结构。

客观法采取逻辑实证主义的论证方式，把抽象人格的本体划开，以人格的规范构造切进去。就个人信息权而言，引起个人信息权属进入权能运作的是信息的流动性，问题是从哪儿开始流动，逻辑实证主义不仅可以对此给出正确答案，去定位权属的本源，而且只能由逻辑实证主义给人格一个客观法的解释。“人格不是人的尊严和基本权利，而是表征人在社会关系中立足和在法律中存在的与他人平等的法律地位”，[11]人格在社会关系中是不可转让、不可或缺、不可侵犯、彼此平等的本体，必须赋予权利以规范和法律构造基准要素的资格和能力，即权利能力。在法律构造过程中，人格以规范和价值的两种形式，参与个人信息权的分配。

现实主义论证方式从抽象权利论证开始，经历了逻辑实证主义，进入到现实主义的存在论。如果说人格是作为一种抽象权利论证的本体和构成要素，那么流动的信息社会则将现实世界不断虚拟化为一个虚空中的存在本体，那些原本在现实中很难实现的抽象权利，通过虚拟社会的权利空间表达出来，并获得了各国立法中首要保护的权利属性的地位。比抽象权利论证更进一步的逻辑是，人格在个人信息权中以一种流动的意向性关系，与周围世界发生关联，并置入意向性关系的基底中。此时，现实主义论证方式开始从抽象论证进入到逻辑论证，个人信息中的人格被现实承认，通过法律原则赋予人格以法权；同时，以人格为基底要素，其他一切权能都是由人格流动产生出来，从而形成法律规范。人格在立法模式中的明确表达当属瑞典1988年《个人数据法》的立法目的之第一条：“本法案旨在保护免受因处理个人数据而对其个人人格之整体的侵害。”其他国家尽管没有明确阐明人格的权利属性，但都是从个人自由和平等角度表达了人格的权利属性，如法国《数据处理、数据文件及个人自由法》第一条：“信息技术不应当违反人性、人权、隐私或公众自由。”西班牙《个人数据保护基本法》第一条：“本法旨在保证和保护在个人数据处理方面自然人的公众自由和基本权利，尤其是他们的个人和家庭隐私。”这类半神半人的原则性表达，是个人信息保护立法开宗明义的特征，它不仅是立法的灵魂和统帅，而且是其他规范建构的价值基础。尽管各国有不同的表达，但可以肯定的是，都是以抽象肯定人格的权属地位，进而不断向下实现具体法律构造。

人格权属法律构造的第一步是确定人格的权属地位，并以人格构造个人信息权。“人格权商品化说”将个人信息权的权属定位在人格权，我们取其人格属性，而不取其人格权的说法，因为人格权是整体权利的一类，并不能构成权利的属性；我们拒绝将其人格特征商业化，坚持认为商业化利用是对艺术家整体形象的侵蚀，容易形成“用金钱来买人格”的实践误解。以人格自治权为基础，用人格关系构造客观的法，是德国法学者最擅长的法律技术化方法。根据权能与人格的相关性向度，我们区分个人信息权的五种形态：第一种是与人格没有直接关系的权利，如法人无个人信息权；第二种是人格等值的权利，如基本权利之平等权；第三种是与人格直接相关的权利，如隐私权、人格权、自决权、控制权等；第四种是与人格间接相关并交叉关系的权利，这是从人格中直接衍生出来的关系，如公开权；第五种是与人格呈补充关系的权利，如信息产权、剩余权等。将与人格没有直接关系的形态排除出去，将其余四种依据与人格的相关性进行分类整理，形成一套精确的但同时又不僵化的科学分类。

人格与财产的二象性关系存在如下特征：第一，数位化的虚实同体。个人信息权的权利属性是数位化的人格，在资讯时代，一切都是数位化的，人类通过网络活动，取得了更大的自由，形成了电子化的人格。目前，以有体物为对象的财产权观念，必须转化为以资讯为对象，原本已经极为虚拟的人格权概念，将用来规范人类的网络行为。第二，人格的在场性。人格随着个人信息的流转也就是事件参与而发生形态改变，但是，无论安全秩序随着时代发生着怎样的变迁，人格都必须在个人信息权法律客观构造中在场。第三，人格的不因公共利益被侵犯性。基于人格的个人信息事项因为不能随财产形态的改变而改变其人格的属性，它具有个人信息权一项不可解构的权属。如美国苹果公司拒绝给FBI提供邮箱身份信息就是固守人格的表现。第四，人格的客观构造性。法律构造首先是客观的，客观的构造之间由事件来推动相关性的改变。鉴于主观构造的复杂性，本文仅从客观构造上定位人格与各种财产权之间的相关性。

人格权属法律构造的第二步即权能分离，权能分离不是彻底的，而是交叠的。分权流转运动从人格开始，财产权从人格中分离出来权能，形成与人格权的交叉关系和补充关系。第一，人格法定主义放松后的交叠共识。人格经过信息流转后进入了物质世界，在人格法定主义下进行第一步放松，放松到财产权的可交易性，形成与人格权的补充关系。在近代以来的民法人格技术上，将财产纳入人格要素是逻辑实证主义的技术化策略，是整体性思维的体现。现实生活中，人格与财产并不能完全界分，而是存在着双重变奏：人格要素的财产化与财产要素的人格化。这种交叉重叠关系，在刑法制度客观构造上类似于“法条竞合”，在自然权利理念上被称为“交叠共识”。更加形象地说，人格是财产的“容器”，而财产则是人格“容器”当中的“溶液”，其只享有依赖于人格的存在，但是绝不可能构成人格“容器”的组成部分。[12]第二，新型权能权属构造的交叠共识。学界对公开权的权属并没有形成定论，因此，无论是公开权独立说，公开权不独立说，还是隐私权和公开权选择说，都正好表明公开权的交叠共识，即人格权属，财产权能。由于法律不可以是抽象的不可操作性的多维规范，人格权属只能消隐在公开权的后台，财产走到前台成为公开权权属，一旦财产外溢，人格属性便会走上前台，矫正财产外溢导致的不公正。目前，我国公开权只存在于《民法通则》“肖像权不得公开”这一法条中，相关案例也不多见。从整体上看，民事案件中的隐私权、公开权和信息产权存在交叉相关性。隐私权与公开权呈现互斥性，信息产权与公开权呈现交叠性(见图一)。个人信息权中最没有被结构化的权能是剩余权，即契约中没有规定或者合约不完全状态下的剩余权属，包括剩余控制权和剩余索取权，这是财产权中分离出的权能。在“聚法网”上分别以个人信息控制权、隐私权、公开权、信息产权和剩余控制权为关键词检索，对应寻找这五种权利的规范性文件和案例，其中隐私权的规范性文件和案例数最多(见表一)。

表一 规范性文件与案例数

(二)分权：个人信息权能分离运动

分权模型涉及权利组合、结构开放、分离时段、弹力回归等过程。权利组合，是几组权利发生组合，包括个人信息控制权、信息产权、剩余权等权能的转变；结构开放是权利结构开放程度受制于绩效分配的结果，美国和欧盟很难通过反盗版法等特殊权利保护模式来保护数据产品，其原因在于以知识产权为其权能分离的权属定位很难准确地概括数据产权的属性，权属定位不能产生配置绩效，无论是过程配置，还是结果配置。故而权属定位不能按照固有的权利类型，而应当采取分类型、分场景的权属定位，如个人信息的权属、平台的权属和工业数据企业的权属等；分离时段与意识形态开放程度有关，各国对于数据产权的保护程度与意识形态密切相关，意识形态紧缩的时代，数据产权保护收紧，相反则放松；所谓弹性空间，是指分权和立法是有弹性的。前期的立法留白是为后续立法提供基本法依据，保证后续立法的弹性空间。当前，大数据相关产业开始起步，业务和产业实践不断变化，针对数据的进一步立法还需要结合产业实践进行充分论证，不宜贸然进行过度立法，否则可能造成适得其反的法律后果。

分离权能在外部环境和绩效分配发生改变的时候会出现权能的回归，最终形成个人信息权的模块化和结构化现象。在中国，近年来创生权能常常被看作是一项新型权利，而在法理上能否成为一项新型权利，则需要大规模实践并导致权属性质的改变，否则仍然是在同一权利中打转，例如户外广告发布权的权属是物权，在物权功能创生后释放出户外广告展示权，这是一起典型的物权法定主义的放松，其权属未变，而权能却变了。又如，国家在保留农村土地集体所有制的前提下，通过对以承包经营权为核心的权利赋予，让农民对农地的承包权从债权逐渐转化为用益物权，在该例证中，其权属从债权到物权，权能也变了。就个人信息权而言，最为典型的权属分离与变迁存在于从隐私权到公开权的变化中，其权属从人格权变成了财产权，其权能也变了。可以说，凡是剩余的权能都可以归入剩余权，而被遗忘权到底是从隐私权还是从言论自由权中分离出来的，与各国对权能的不同理解有关。

表二 分离权能模型简表

(三)赋权：个人信息的功能性赋权

赋权是一种赋予权能权利化的创生性机制，赫伯特·哈特早在法律概念中就批驳法律命令说的分类错误。哈特指出，如果我们仅仅以命令为法律的所有形式，掩盖了资格能力、执行与行为的其他类型，就排除了赋权规范。[13]苏永钦将强制性规范划分为五类：禁止规范、赋权规范、定性规范、解释规范、组织程序规范。其中赋权规范并不设定行为义务，而是授予民众自由。赋权规范绝无违反义务之可能，也自然无受制裁之可能。[14]赋权是从现实需要出发，赋予个人信息以权能，其作为一项共同体的理性组织行为，是法社会学的功能进路。个人信息首先被现实赋予权能，然后通过技术赋权，扩大公民权利和社会权力，进而形成技术对法权的赋予。赋权是为了提高活动能力，通过“物权放松下的”债权发展的有效权能来展开制度设计的。讨论功能性赋权的意义在于，在个人信息权保护中，功能性赋权是契约自由的体现，禁止、组织程序规范是交易安全的体现，在安全中嵌入自由的运作，也即将人格要素嵌入到功能性赋权的各项权能之中。在这些立法条件尚不充分时，私法自治优先保护，公法为私法保驾护航。

三、一组事件构造个人信息权能与法律拟制

经过确定权属以及根据权属产生出来的权能运动，个人信息权的内部结构被一组创生功能的事件和一组尚待填补的权能空缺逐渐打开。

(一)一组事件引起权能运动

信息的本质是数位化的流动，权利逻辑化和理论化只能在纠缠于一起的具有双重结构的劳动与交易“相遇”的事件中去发现。

第一个引起个人信息功能创生的事件是劳动。劳动财产权论是洛克首先提出的，洛克从自然权利理论生发出劳动财产权理论，成为天赋财产权理论的经典代表。洛克的劳动财产论与其说是一种人权基础理论的赋值，不如说是通过劳动赋予人格更加丰富的权能，也即从人格到财产权能，进而构筑了财产权的人权基础理论。一个人通过劳动所创造出来的东西是属于他自己的，这种所有权是通过劳动和勤奋获得的，并通过劳动获得物的真正控制权。[15]这体现在马克思“劳动创造了人本身”的论断中，即通过劳动赋予人以存在的本体和本质，这是劳动将人与动物相互区别的关键。马克思将劳动赋予平等价值后，以工人的劳动剩余权限制资本扩张权。阿伦特认为，劳动和工作赋予人以智慧，如果劳动是为了活下去，那么工作是为了活得像个人，是人自我对象化的手段。[16]为了改进生活，劳动被进一步赋值为一种权能的实现，“如果一种生活是人类行动能力所能够实现的 , 那么就是一种可能生活”。[17]可能生活是一种改进性生活，通过劳动将个人信息的剩余权能创造出来，以一种可能生活能力面对信息社会拥挤的权能冲突。

第二个创生权能的事件是交易。洛克的财产权劳动论只是为权能的创生提供了一套自然赋值的形而上说辞，后来马克思抽象出无差别的人类劳动，只有凝结在商品中的无差别的人类劳动通过交换才能将劳动赋予权能，产生劳动剩余权。如果一项权利是可以交易的，那么这就是新的权利组合，诚如科斯所言，法律配置权利的目的是降低交易费用，优化权利组合。[18]交易费用在一组权能运动中产生摩擦力，信息交易向前流转是以信息财产利益为核心的一组权能，在美国被称为公开权，在我国被称为复制、披露、持有等权能，这一组权能因其产权的流转形成，经过表面化的解释，个人信息权被视为财产权；交易是制度的基本单位，赋予了权利组合中减少交易费用的权能，使得静态的权利变成可流转的权利。产权向后流转是为了实现个人信息权而分离出来的一组权能，产生出剩余控制权。因此，不能将个人信息权看成公共物品，而是要被赋值为可以流转的私人物品。在个人信息权中，私人交易的结果是信息的转让，却不是财产本身的转让，更不是财产权的转移。查询、更正、删除是交易常态化的权能，加密、封锁不是交易事件，而是对抗政府的权能，作为理性经济人的企业在行使个人信息权的时候，交易成本最小化是权能行使和权利配置的界限。

(二)通过法律拟制的确权

“互联网+”作为一种新业态，其中出现的权利拥挤不仅缺乏习惯法的调整，而且随着其交易形态数位化和云端共享化后，其劳动剩余权和交易财产权作为不完备契约下的剩余权能，只能处于一种法律拟制的状态。如果我们要对个人信息权的功能创生进行规范结构的学理提升的话，那么，信息加工和信息交易产生的剩余权可以“被视为”一种数据产权的衍生品，“被视为”是被赋值为一种法律权利，以“拟制”的方式进入法律条款的范畴。法律拟制不是真实的，也不是错误的，不是对于前提假设与法律后果之间的调和，而是对规范结构的揭示，[19]是“规范的学理提升”。[20]现代立法中通常采用“视为”“以……论”“依照……定罪处罚”等具有扩张性的表述方式来规定法律拟制，但仅仅通过形式判断，还不能揭示其规范内涵，法律拟制是通过发现规范内涵的可拟制性，参照援用其他类似法律进行处理，这不仅有利于规范内涵的灵活变通，而且能够根据数据流变性做出及时反应。法律的向下拟制对于数据产权这一半结构化概念最为有效。法律拟制的作用是将那些似是而非的规范形式更加包容地放在法律构造中，等待法律进一步确权。

四、个人信息混合立法模式与整体立法原则

2015年“个人信息保护法”(专家建议稿)已由委托起草草案的单位呈送国务院相关单位，但“个人信息保护法”的统一立法倡议仍然没有进入正式立法议程。从分权体系和赋权模式的视角来看，混合立法模式是现实之选，整体立法原则以统摄混合的立法。

(一)伞状分权结构与倒叙的混合立法模式

目前，根据个人信息权的不同权属定位，有几种代表性的个人信息权保护模式：第一种是强化国家与个人两头利益保护模式；第二种是以民事立法先行先试模式；第三种是基本权利统一立法模式；第四种是公法优先模式。四种保护模式根据确立的权属而各有优缺点：第一种立法模式确立的权属根据是隐私权，在英美法上，依靠法院对隐私权的利益衡量，个人信息保护就转换为司法运作中的利益识别；对于我国而言，第一种模式的长处是回避了权属之争，不足之处是陷入了司法利益裁量的解释难题。第二种立法模式确立的权属根据是人格权商品化，这种立法模式设计在我国未来“民法典”中专门对于个人信息权作出隐私权、知情权、被遗忘权、公开权、知识产权乃至环境权的规定。其长处是私法优先立法具有可行性，并且更有利于保障契约自由和个人信息权的流转，促进民事权利的完善；不足之处是由于对人格和商品权属的混同，造成在民事权利立法中的权利概念混同，带来民事立法的混乱。第三种基本权利统一立法模式，是以宪法为统领的综合立法模式，其长处是公民基本权利的概括式权利条款以避免权利的遗漏，不足之处是宪法无法以几条一般性原则来取代具体的私法制度，并且在缺乏宪法性制度的支持下，其立宪主义思路可能变异为个别意志恣意妄为的控权体。第四种公法优先立法模式，其权属基础是控制权，这也是欧盟成员国对个人信息安全的主要控制模式，该模式有利于风险社会的治理，其缺点在于人格的权属构造几乎被安全控权理念所解构，极大地违背了个人信息权属构造的原理。

中国个人信息法四种保护模式不是以向下分权的伞状结构产生出的整体性构建，因为其不符合权属与权能流动的功能二象性原理。在高度复杂的个人信息权体系中，法律必须完全翻新，以网络架构为中心，建构人类生活的规范。翻新的方式是通过人格向下放松，采取倒叙的方式，以私法为起点向上面向公法，打通公法与私法之间的壁垒，以混合立法的形式，将散见于各部门法中的个人信息权整合起来，根据民事、行政和刑事部分逐项展开。为了说明各部门案件在个人信息权案件中占的比重，我们通过“聚法网”检索，查到涉及个人信息权的案例总计31篇，其中行政案件1件，刑事案件6件，民事案件22件，从案例数可知，现实生活中民事案件发生率最高。(见表三)

表三 个人信息保护的发案数

第一，民法典对一组权能的赋权。以民法典编纂为契机，在个人信息权的人格权属流动中，用人格权编、财产权编分别规定个人信息保护的具体权能。在人格权编中解决基本权利、隐私权等一般人格权等“人格”问题，知情权、被遗忘权等特殊人格问题；在财产权编中解决个人信息保护的财产利益，包括公开权、剩余权等。2017年《民法总则》第一百一十一条：“自然人的个人信息受法律保护。任何组织和个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。”在个人信息权半概念化、半结构化阶段，个人信息权是一组权能，是以一项独立的民事权利存在的，而《民法总则》保护的是权能的具体形态，而不是完全结构化的个人信息权。

第二，经济法、行政法、刑法的公法保护。以具体人格权为核心的最具可操作性的规范，形成一套类似“新私法运动”的动态产权保护机制。但私法优先，不意味着私法优位。在公法上仍然以倒叙方式，即行政法优先于宪法，行政权力对个人信息剩余权能的公法规制，挑战了宪法抽象规范的沉默，行政法必须遵循规范宪法和功能宪法的既定准则，履行其分权之职责，在信息规制与个人信息权之间保持着微妙的平衡。经济领域的公法保护，如经济法、金融法参与个人信息的剩余权能保护，避免个人信息法在金融领域的“断层”。从整个个人信息保护现状来看，目前刑法修正案以及实施案例走在了其他法律的前面，但这并不说明刑法占据个人信息保护的核心位置，而是相反，刑法只能是个人信息保护混合立法模式中的补充，刑法始终以风险控制员的角色成为个人信息风险管控的最后一道防线。

第三，社会法的平等分配与风险分担。社会法通过加大对侵犯个人信息权的社会责任，以平衡公私法分配不均导致的社会不公。由于个人信息税和个人信息股需要税务部门和证监会的审批运作等空间隔离，募集个人信息风险基金不失为分配风险简化易行的办法，成立个人信息泄露可能性的风险溢价评估机构，制定相关条款以保障基金的来源和动用基金的程序性条件，承担因信息风险导致的大面积信息泄露事件而导致的侵权行为。

(二)构成性多元与整体性立法原则

个人信息权是以构成性多元(人格、财产)与竞争性多元(权能流动)而形成的二象性权利，也是自成一类的权利。第一类权利是民法人格权，包括姓名权、肖像权等与人身不可分离部分的身份权；第二类权利是智慧产权(复制权、数据库权)和他物权(信息使用权)；第三类权利是公法意义上的权利，包括信息自决权、控制权、基本权利、隐私权；第四类权利是信息产权，包括财产权和剩余权。四类权能构成了权能的竞争性繁荣，竞争性繁荣是按照既有的法学规范处理冲突的解决路径，这很难在诸多相互冲突的权能之间找出有效的解决冲突的思路，尤其是环境参与了规范之间的竞争多元关系。构成性多元不是封闭的，而是形成一个复杂的解释网络，即约束与选择、控制与信息。在构成性多元的个人信息权利谱系中，确立功能性原则，以弥合混合立法的整体性矛盾。

第一，不可接受性原则。个人信息权包含的人格要素(人格)，是指人必须保有基本人权标准——人的尊严标准，由此进一步提炼出个人信息权的不可接受性原则。个人信息权是一种不可转让、不可剥夺、不可放弃的身分人权，人的尊严的古典意义是指人要像人一样生活，不能沦为低于人——抽象的人的水准。人格的本质是人格等值，人格不得流通，如果背离了人格的本质去构造法律行为，任何具有形式合法性的行为就会成为无效法律行为。

第二，宪法人格填补个人信息权规范剩余原则。个人信息权的剩余权能是不确定性的，不确定性的范畴只能运用宪法来解决功能性冲突，即宪法的制定就是通过未完全理论化的协议得以成为可能，许多宪法都包含未完全具体化的标准，而且避免做出多种规范，至少当它在描述基本权利时如此。各国在理解宪法规范的时候存在很大分歧，这种文化多元性带来的情感差异是规范本身难以弥合的，功能主义的宪法目标之一在于填补规范剩余。

第三，个人信息权优先获取原则与事后补偿原则。根据权利获取的原则，能够兼顾公平与效率的原则是优先性与补偿原则，优先性原则是效率原则的体现，补偿原则是公平分配的结果。个人信息权优先性原则是数据库建立的企业对个人信息享有优先代理人的信息使用权，这种优先权是大概率事件，是初始权利的分配法则。为了保证分配的公平，对于优先获得的企业要对于尚未获得企业予以事后补偿。

第四，个人信息权不可转让原则和付费获取原则。产权是不可以让渡的，但是可以交易的，其交换的是经济内容，而不是出卖人格。由于产权的性质是不可变的，所以交换的只是权能，交换是交易的另一个对偶。根据天赋与后赋的差异，分为人身权和财产权，天赋的是与人身相关的部分，后赋的是与财产相关的部分。个人信息人身权是天赋的，遵循不可转让原则；而个人信息财产权是后赋的，遵循个人信息付费获取原则。个人信息权所有者通过付费拥有剩余索取权，拥有了剩余索取权，就能界定权利的边界和权利冲突。奥利弗·哈特将产权理论与企业剩余控制权联系起来。由于个人信息导致的产权安排只能实现次优的选择，也就是说其不可能保证个人信息权享有者实现自我效益的最大化，其剩余索取权就建立在付费的基础之上，这就是产权的成本。哈特试图构建一个形式化的企业产权理论，即将静态的契约理论拓展到动态的契约理论，存在可分割的剩余索取权，个人信息权可以分割成多个可分解的权利。在每一个产权分解的节点，可以通过付费，获得剩余索取权。

五、结论

个人信息权是承载着人格与财产二象性功能的权利构造体。从权利的内容看，应当通过民法典赋予一组个人信息权能，将其不断权利化，并以公法的渗透性保护，以社会法的平等分配，分担个人信息流动中出现的风险。在权能扩张上，遵守私法扩张权能，公法限缩权能的原则，既要以契约方式嵌入公法规制，又要防止因为私法扩张权能导致的权能泛化。为了防止权能运动随着信息无限流转，采取权能法定主义方式，赋予个人信息控制权、知情权、被遗忘权、剩余分配权、剩余索取权和剩余控制权等权能。其权能流动呈现从人格向财产利益的结构转移。在这一转移的过程中，呈现为巨大的混沌状态的不确定信息挑战着法学规范这一确定性的学术体系。在没有完全明确信息生活真实场景的立法前准备时期，私法优先立法模式可以为统一立法保护奠定基础，提供经验。

从权能分离与赋权的角度探讨个人信息权的权利构造，不仅仅有助于探讨个人信息的权属、权能、权利组合、权能分离、结构开放、弹性回归等基本理论问题，更为重要的是，能在此基础上形成个人信息法权体系。混合立法模式符合个人信息权的半概念化、半结构化的理论发现，符合个人信息权能的分权和赋权的实践需要，符合中国个人信息保护的理论研究、实践发展和时代需要。我们既要有清楚的理论体系，也要有灵活的现实运作，既要厘清概念，又不能拘泥于僵化的概念，这就要求根据人民的需要，从中国现有的个人信息权的案例和规章出发，培养立法的灵活性和信用，增强个人信息保护的现实可操作性。中国的立法组织者应当以现实主义的姿态去发现这些权利组合和权能运动，构造相对协调的系统化、整体化的个人信息权利保护体系。应不失时机地审查和更新以安全秩序为主导的国家主义立法模式，将适用人格的人格权法与适用财产流转的财产权法相互衔接，以私法为起点，以经济法、行政法、刑法为保护，以社会法为保障的整体性法律构造。要构建出一套既让个人信息流动起来，又要防止个人信息流动的巨大风险的个人信息保护法律体系。