从财产到隐私——对个人信息权利基础的宪法回应

卢 桐

一、 问题的提出

互联网的出现和普及改变了人们之间的交流互动方式，而大数据技术的发展则使互联网的潜能发挥到一个新的层级，由此产生的个人信息数据保护也成为全球性的问题。国际上，2007年以来的谷歌街景侵犯隐私案件、2013年斯诺登棱镜门、2017年Facebook和谷歌多起数据违规事件、2018年Facebook泄密大选门等涉密案件频发曝光；在我国，近年来电商、互联网站、互联网金融平台泄密等事件也经常发生。于是，公众开始将个人信息的保护寄希望于公权力组织对个人信息的产生、存储、转移和使用进行监管，这也是政府维护国家安全、公共安全和社会福利的应尽职责。然而，人们忽视了一点，进入大数据时代，国家在信息保护中已不再是一个中立超然的裁判者角色，其同时具备了管理者和利用者的双重身份：许多国家的政府和公共部门往往是本国最大数据资源的产出者和持有人，也是“大规模数据的原始采集者”，[注][英]维克托·迈尔-舍恩伯格、肯尼思·库克耶：《大数据时代：生活、工作与思维的大变革》，周涛译，浙江人民出版社2013年版，第149页。在中国，超过80%以上有价值的信息数据掌握在政府手中。[注]参见中国政府网http://www.gov.cn/xinwen/2016-10/09/content_5116263.htm，最后访问时间：2018年11月26日。现如今，公民的个人信息权利受到公权力机关侵犯的例子也屡见不鲜，鉴于政府机关作为公民个人信息的主要采集者且有着代表公权力的天然优势，一旦发生侵权，公民更是无从保护自己的权利。

如果你花园的围栏是些娇花弱柳，而栏外便是虎狼环伺，这时一个刀枪拱卫、威风八面的强人要征用你的花园，并承诺给你保护，你或许便会就范，这便是“基于恐惧的自由主义”：你为了自存而自由地选择了服从绝对权威。[注]参见[英]托马斯·霍布斯：《利维坦》，黎思复、黎廷弼译，商务印书馆1986年版，第128～129页。这是霍布斯的经典隐喻，上述情形也恰恰印证了这一隐喻。每个人都有不为人知的信息隐私，这些隐私好比是一个人的秘密花园，花园前竖着的“非请莫入”保护着人的尊严和自主，一旦这块领地被人破门而入，主人的身份就会遭到颠覆，但如果进入的人或物是被邀请的，即为主人自愿带入的，则不会侵犯个人的自主性。[注]参见郑戈：“在鼓励创新与保护人权之间——法律如何回应大数据技术革新的挑战”，载《探索与争鸣》2016年第7期，第81页。政府机关恰恰是被我们主动邀请进入花园的这样一个角色，他承诺给我们保护，而我们为了安全和便利也在某种程度上放弃了一定的自主和尊严。但这又带来另一个问题：如何保证政府在这一过程中不会滥用自身优势地位，肆意侵犯公民的花园隐私和尊严呢？

所以，这个秘密花园隐喻的意义在于，它提醒我们，不论是私营主体还是公共部门，他们都是大数据时代的信息控制者与处理者，政府不仅是中立的管理者，它还是利用者，所以仅依赖政府监管市场是不能彻底解决大数据时代隐私泄漏的危机的。更重要的是，赋予公民个人保护自身信息免受侵犯的权利，使其在面临公私部门侵权时，均能维护好自己的“秘密花园”。而这样一种权利的基础，我们只能从一国宪法文本中去寻找答案，局限于某一部门法领域的权利属性探讨永远无法为公民个人信息提供全面的保护，因为不管是公法对私权利的保护，还是私法对私权利的保护，都要获得宪法的依据。对此，我国宪法第13条规定了公民合法的私有财产不受侵犯；第37至40条分别规定了非经法定程序不得加以侵犯的人身自由、人格尊严、住宅自主以及通信自由。回归到个人信息保护的问题上，公民享有的个人信息权利基础在宪法上的依据究竟是财产权还是隐私(人格)权？也即，对个人信息的保护，是以隐私为价值导向，借助人格来论证隐私的重要性，其中信息自决又是人格权的进一步具体化；还是将个人信息视为公民个人财产予以保护[注]Arthur R. Miller, The Assault on Privacy, Signet,1971, p. 211. 转引自孔令杰：《个人资料隐私的法律保护》，武汉大学出版社2009年版，第76页。，使公民有权控制与其相关的信息，享受法律为财产提供的全套保护？笔者认为，对这一问题的回答，须诉诸于两种权利在宪法上的发展历史、相互间的联系与区别。而从19世纪末开始，美国宪法第四修正案下关于刑事搜查的利益保护重心恰好历经了从财产到隐私的迁移，对这一过程的分析，将有助于我们更好地理解这两种权利之间的关系。本文以此为探索起点，希望能为我国个人信息保护的宪法价值及立法方向提供有益参考。

二、 财产权与隐私权的联系——以美国宪法第四修正案为基点

美国宪法第四修正案规定：“人民的人身、住宅、文件和财产安全不受不合理搜查扣押的权利，不得侵犯；除非基于合理根据，以宣誓或代誓宣言保证，并记载特定的搜查地点和扣押的人或物，否则不得签发搜查和扣押状。”需要注意的是，第四修正案适用于所有的政府搜查行为，而不局限于刑事搜查，只是刑事搜查被频繁使用且事关嫌疑人定罪量刑等重大利益，因而关于该修正案的判例多集中于刑事领域。根据美国联邦最高法院的判例，政府对公民的干涉行为一般需经过两次审视，方能成功越过第四修正案的保护：(1)政府行为是否构成搜查？(2)在构成的情况下，该搜查是否合理并履行正当程序(签发搜查状)？[注]向燕：“从财产到隐私——美国宪法第四修正案保护重心之变迁”，载《北大法律评论》2009年第1辑，第122页。就第一个条件，美国最高法院对“搜查”的解释，即经历了从关注财产利益到隐私利益的重大转变：过去只有存在对场所的物理侵入和对公民财产权利的侵犯，才构成宪法意义上的“搜查”；而后，随着一系列案件的推进，逐渐抛弃“搜查限于有形物”的观点，在1967年卡兹诉美国案[注]Katz v. U.S., 389 U.S. 347 (1967).中，最高法院更是彻底突破了界定搜查行为的财产方法，确立了“合理的隐私期待”标准，只要政府行为侵犯了公众所持有的对“隐私的合理期待”(reasonable expectation of privacy)，其行为即构成“搜查”，继而受第四修正案约束。上述过程的转变可以概括为以下三个阶段：

(一) 从财产权中发现隐私利益

美国财产权理论受洛克、布莱克斯通等英国法学家的影响，财产成为一个含义宽泛的概念，并能在各种政治和法律领域得到不同适用。[注]See generally Adam Mossoff, What Is Property? Putting Pieces Back Together, Arizona Law Review. Vol. 45:400 (2003).在此基础上，个人财产权也获得了前所未有的保护。[注]这与美国当时的社会背景相关，美洲大陆的开发与工业制度的建立，需要激励个人发挥自己的潜能，共同实现致富，所以洛克的个人财产理论与布莱克斯通的绝对财产权观念正好契合了社会发展的需要。洛克学说认为，“一个人采取行动保护其财产，就是采取行动保护他的生命、自由和所有物，故将‘生命、自由、所有物’三者统称为财产”。[注]See generally Adam Mossoff, What Is Property? Putting Pieces Back Together, Arizona Law Review. Vol. 45:401 (2003).Ibid. , at 401.因此，美国18世纪的一些学者及政治家就深受洛克学说的影响，将财产解释为无所不包的权利，作为“美国宪法之父”之一的詹姆斯·麦迪逊即曾言，财产有着更为宽泛和公平的含义，该含义可以囊括一个人对其赋予价值、并享有权利的任何一件东西：“一个人对其意见享有财产权”，“对自身安全和自由享有财产权”，“同样个人还对其各种权利享有财产权”。[注]James Madison, Property, Nat’l Gazette, Mar. 5, 1792, reprinted in James Madison, The Mind of the Founder (Marvin Meyer ed. , 1981).

由此看来，美国18、19世纪的“财产权”概念带有浓厚的个人主义色彩，其几乎可以囊括一切权利的客体，甚至可以统摄一些人身权利；如果将“个人信息”的权利基础放在当时讨论，甚至没有探讨的必要，其实属财产无疑。所以，我们也不难理解为什么早期美国最高法院会采用财产法中的“非法侵入”来判断第四修正案中的“政府搜查”行为了。即使是作为美国第四修正案由保护财产转向保护隐私的奠基性判例——博伊德诉美国案[注]Boyd v. U.S. , 116 U.S. 616 (1886).，也明显继承了洛克与麦迪逊的思想，该案涉及政府“强制个人提交文件作为证据”的行为是否构成第四修正案下的“搜查”，法院通过将第四修正案下对财产权的保护，进一步扩张解释为“对一个人住宅的神圣性与生活隐私的侵犯”，继而判定政府行为构成第四修正案下“对文件的不合理扣押”，这一判决看似是对财产所涵盖客体范围的进一步扩大，使得19世纪的财产权仍然可以成为捍卫个人自由的工具；但殊不知，其已经将第四修正案保护的宪法价值延及至财产利益以外，并悄悄埋下了隐私保护的种子。

(二) 隐私权的兴起

在此之后，隐私利益慢慢开始得到美国社会的关注和研究，其中最著名的成果便是沃伦和布兰代斯两位学者1890年在《哈佛法律评论》所发表的美国隐私权奠基之作——《隐私权》，如今但凡追溯隐私权的发展历史，没有人能避开这部经典作品。[注]Warren & Brandies, The Right to Privacy, Harvard Law Review, Vol. 4 (1980).两位学者的论文虽然在学界引起了高度关注，但在当时那个年代，财产权保护正处盛行，其尚不足以撼动法院的判决，部分法院坚持认为“与人格有关的利益不能得到保护，除非能够把它们归结为某种财产利益”，并以此拒绝承认隐私权。[注][美]伯纳德·施瓦茨：《美国法律史》，王军等译，法律出版社2007年版，第160～161页。事情到1928年发生了转机，因为在1916年，布兰代斯被任命为最高法院大法官，1928年的奥姆斯特德诉美国案[注]Olmstead v. U.S. , 277 U.S. 438 (1928).恰好为他提供了将隐私首次载入宪法第四修正案所保护基本利益的机会。在该案中，虽然最高法院出于惩治犯罪的考量，仍将第四修正案下的不合理搜查狭隘地界定为对人身或不动产的物理性侵入，继而认定政府对被告电话交谈获取信息证据的窃听行为，没有涉及“对被告房屋或办公室的进入”，交谈信息也不属于第四修正案保护下的财产，因而不构成“搜查”。但布兰代斯大法官却对此持不同意见，其意见亦被记载到判决书之中：宪法的缔造者是在为追求幸福创造条件，他们授予了人民‘不受干扰的权利’，该权利内容广泛，并为文明人所珍视，为了保护该权利，政府对个人隐私的每一次不正当侵害，都必须视作是对宪法第四修正案的违反，而不论政府所用的手段如何。[注]Olmslead v. U.S.，277 U.S. 478 (1928). 参见向燕：“从财产到隐私——美国宪法第四修正案保护重心之变迁”，载《北大法律评论》2009年第1辑，第123～124页。这里所提及的“不受干扰的权利”，被认为是最高法院关于隐私权的最早定义。

从中可以看出，布兰代斯所撰写的隐私权并非是从财产权中引申出的权利，其甚至否认了对场所的物理侵入与侵犯隐私的相关性。在介绍隐私权的过程中，他依赖了“追求幸福”这样一个概念，这一概念最初起源于1776年的《独立宣言》，“人人生而平等，造物者赋予他们若干不可剥夺的权利：生命权、自由权和追求幸福的权利”，在布兰代斯引用之前，很少有人注意到这一概念。而布兰代斯对其的引用，恰恰使得“追求幸福”与“财产权”形成了一对互补的概念，并实质区分了人类在精神与物质上的两种不同利益。布兰代斯也旨在通过这一“追求幸福”的权利发展出一种新权利，使社会发展过程中的个人精神需求能够获得美国宪法的保护；且这种权利不仅是普通法上的权利，还是一种对抗政府的权利。

(三) 从财产权到隐私权——资讯隐私权的诞生

随着隐和权的兴起，20世纪美国公法的主旋律之一，也开始从过去的强调财产权利转变为强调人身权利。在此期间，美国从生气勃勃的鼓励个人自由和创新的工业国家，发展为管理机构庞大、政府权力日益扩张的强大福利国家。曾经一度作为个人自由保障利器的财产权日趋衰落，在国家社会化的背景下，丧失了绝对支配权的地位。与此同时，在美国司法能动主义的推动下，最高法院从1967年的卡兹案[注]Katz v. U.S. , 389 U.S. 347 (1967).中发现了隐私权这一全新的权利，并在日后将其作为了第四修正案保护的核心——该案同样涉及到政府窃听行为，窃听地点为公共电话庭，按照过去的财产分析方法，行为人对该电话庭不享有财产权，政府的窃听行为也肯定不构成“物理性侵入”。但此次最高法院却否定了传统宪法“保护物理空间”的做法，转而指出，第四修正案保护的是人民，不是地方，当政府的行为侵犯了公民正当依赖的隐私时，该行为即构成对第四修正案的违反；毫无疑问，电话庭通讯内容属于公民正当期待的隐私。至此，卡兹案确立的“隐私合理期待”标准，最终成为政府行为构成搜查的标准，标志着美国第四修正案保护重心“从财产到隐私”迁移过程的完成。

其实，从整个变迁的过程来看，隐私权的兴起一直与国家社会科技的发展息息相关，从1928年奥姆斯特德案到1967年卡兹案，恰好是美国科技迅猛发展的40年，也是政府规制手段不断创新与加强的40年。至1968年，美国已经拥有大规模的电子邮件交流、手机、无线电话、无线监控，以及一系列令人眼花缭乱的数码信息网络。所以，高科技的发展给公民权利带来的威胁，是美国最高法院决定将第四修正案保护利益扩及至隐私的重要动因。这一过程具体表现为：科技的进步推动了隐私利益的确立，相应地，隐私利益的确立也扩大了第四修正案的保护范围。最高法院在卡兹案中通过对隐私概念的运用，将第四修正案保护范围扩及到私人谈话，而后，随着新的高科技手段的出现，其也将覆盖保护更多的客体，目前引用第四修正案进行保护的客体已经涉及个人银行记录信息[注]United States v. Miller，425 U.S. 435 (1976).、性活动[注]Thorne v. City of El Segundo, 726 F.2d 459 (9th Cir.1983).、医疗信息[注]Whalen v. Roe, 429 U.S. 589 (1977)；Norman Bloodsaw v. Lawrence Berkeley Lab., 135 F.3d 1260, 1269 (9th Cir.1998).、财务信息(身份信息、社会保障号码)[注]Nelson v. National Aeronautics and Space Admin., 530 F.3d 865 (2008).、手机位置信息[注]United States v. Carpenter, No. 12-20218 (2013). United States v. Carpenter, 819 F.3d 880 (2016). Carpenter v. United States, No. 16-402 (2018).等，它们可以统称为“资讯隐私权”。美国法院关于上述资讯隐私案件的审理，一般涉及两种情形：其一是关于犯罪信息的搜集取证，政府违背个体意愿搜集、储存、利用信息的行为一旦突破个体“合理的隐私期待”，[注]哈伦法官在卡兹案的协同意见中提出了著名的“双叉标准”(现也称主客观标准)：第一，该人已经表现出对该隐私真实主观的期待；第二，客观上社会承认该种期待是合理的。See James J. Tomkovicz, Beyond Secrecy for Secrecy’s Sake: Toward and Expanded Vision of the Fourth Amendment Privacy Province, Hastings Law Journal, Vol. 36: 361 (1985).即构成第四修正案下的“搜查”，继而需要履行相应的正当程序。其二是出于公共管理目的的数据采集行为，法院一般会衡量政府收集该信息与个人拒绝政府接触该信息两者利益大小，如果政府能够证明其对该信息的利用具备国家利益，且仅在满足合法利益的狭窄范围内利用，非因“公共利益”绝不公开披露已获得的个人信息，此时政府行为不受第四修正案约束。[注]National Aeronautics and Space Admin. v. Nelson, 562 U.S. 134 (2011).虽然在纳尔逊诉美国航空航天局一案[注]Nelson v. National Aeronautics and Space Admin., 530 F.3d 865 (2008).该案背景：某实验室员工认为美国航空航天局(NASA)强制要求非敏感及低风险行业员工填写并提交“深入背景调查表”(姓名、地址、居住地、教育、工作经历、个人和专业人士的参考资料、公民身份、选择性服务登记和兵役，最后一个问题是该员工‘去年是否使用、拥有、供应或制造了非法药物’)行为违法，向法院提出初步禁令，以终止该问卷调查。中，原告诉称，即使政府承诺对其采集的个人敏感信息提供实质性保护，不向公众披露，但是其信息仍然存在“极小的可能性”(remote possibility)被泄露，例如安全保密措施失败的可能性、政府在合同中约定出于某种公共利益可以将信息披露给媒体或普通大众等。但该案最终上诉到最高法院，法院认定政府行为不受第四修正案约束，原因在于政府信息调查具备合理理由，且已经履行了“隐私法”所要求的保密手段，不会导致“个人信息被不合理侵犯”，个体也未引用任何政府以公共利益为由过度披露个人信息的例子，故其行为正当合法。[注]National Aeronautics and Space Admin. v. Nelson, 562 U.S. 134 (2011).

综上我们可以看出，宪法第四修正案保护范围从财产权到隐私权再到个人资讯隐私权，个人信息逐渐成为了一项权利的客体，并纳入到第四修正案的保护范围；但美国对其保护并非绝对，其在很大程度上受到广义上的“公共利益”之限。

三、 个人信息的权利基础：财产权或隐私权

从上述美国第四修正案判例的发展来看，其基本上是将信息看作“合理隐私期待”保护的客体，而非财产权保护的客体。而且在美国，公民的信息隐私权不仅包括“免予资料不当公开之自由”(事后金钱损害赔偿)，还包括“对自己资料之收集、输入、编辑、流通、使用，有完全决定及控制之权利”(事前的禁令救济)，这也从侧面反映了，并非对某一客体具有积极控制的权利，该权利就一定是财产权。

(一) 信息财产的再次兴起——个人信息控制权理论

但是自20世纪60年代，随着个人资料记录的计算机化，市场上关于个人资料的交易开始如火如荼地展开，信息似乎一夜之间变成了一种商品，可以在个人与个人、个人与组织、组织与组织间交换，而公众在眼睁睁地看着自己的个人信息被政府或企业肆意地收集、加工、使用和散播时，不禁反问：“个人信息是关于我个人生活的，它们属于我，你们凭什么随意地处置？”这时信息收集人或加工使用人也会站出来反驳：“个人信息不是你通过劳动或智力创造的，单个的信息并无价值，只有通过我们加工、整合与分析形成资料库，方具备价值，所以信息资料库的所有权应该归我们所有。”这样一来，为规制市场交易或公共管理过程中个人信息被任意地收集与利用，“个人信息控制权理论”开始兴起，它主张公民个人对信息享有一种控制权，即有权控制与个人相关的信息，如此即能使个人信息免于被政府或企业随意的收集、使用和移转。为了进一步界定“控制”的性质和内容，当时有学者就主张以法经济学为基础，运用财产权制度与市场机制来保护个人信息隐私。[注]Ian Goldberg, Austin Hill, Adam Shostack, Trust, Ethic, and Privacy, 81 B.U.L. Rev. 407 (2001).如此一来，对个人信息的保护似乎又回到了最初18、19世纪那个“无所不包的财产权”年代——米勒(Arthur Miller)认为，最为简洁的隐私保障方式之一就是将个人信息看成一种财产，在此前提之下，个人即自然有权控制与其相关的信息，并可享受法律为其财产提供的全套保护。劳顿(Kenneth Laudon)将个人信息隐私危机归结为市场缺陷，他认为导致该缺陷的根源在于法律未将个人信息的所有权赋予个人，反使资料收集利用者对信息享有绝对的支配权，所以法律必须将个人信息的财产权赋予个人，从而由他们与资料利用者在市场上对信息进行更准确的定价。斯考兹(Paul Scholtz)也强调经济和法律体制应将信息的财产权赋予个人，提高其对信息的控制力，矫正当前个人信息市场的缺陷，为电子商务的发展扫清障碍。[注]Arthur R. Miller, The Assault on Privacy, 1971, p.211. Kenneth C. Laudon, Market and Privacy, in U.S. Department of Commerce, Privacy and Self-Regulation in the Information Age, 1997, p. 36. P. Scholtz, Transaction Costs of Online Privacy, First Monday, Vol. 6, No. 4, May 2001. 转引自孔令杰：《个人资料隐私的法律保护》，武汉大学出版社2009年版，第75～77页。

上述财产权理论看似赋予公民个人绝对权，用以对抗政府或企业信息收集、输入、编辑、流通等行为。但细想，其只是将个人对财产的控制延伸至个人对私人信息的控制而已，这与洛克早期的财产权理论(强调个人对物品、人身、生命等一切客体享有支配控制的权利)并无区别。但随着社会的发展与公民权利意识的提高，我们会发现财产权理论对于人类某些精神利益的保护已难以适用。在奥姆斯特德一案里，尽管布兰代斯也认同随着时代的发展应对财产权进行广义解释，但其并不认为财产权的范围可以扩及一切精神方面的事物，所以他通过《独立宣言》中所描述的“追求幸福”发展出一种新权利，使美国社会蓬勃发展的个人精神需要获得来自宪法的保护。这一权利正是“不受打扰的权利”(最早的隐私权)，它强调自然人的个性保护，一旦个人私生活受到侵扰、信息遭受披露或信息因不当收集使用面临较强的泄露风险，此时人们虽然没有直接的财产损失，但是这会损害到个人的尊严及具体人格(名誉、肖像等)，甚至剥夺个人的自由和自主。而这些利益是财产权所无法囊括的，且财产权的保护重心也不在此。

(二) 个人信息财产权保护困境

以上，对于那些主张个人信息权利基础为财产权的观点，在法律实践中必须面对下述困境：

1. 产权人的不确定性

首先，按照一般理解，劳动(体力或智力)是创造物和财产权的关键要素，但是个人信息的产生并不需要个人付出专门的劳动，它是个人与公私机构交往中自然产生的副产品，例如我们的身份证号、社保证号即是政府出于管理需要赋予每个人的识别符号；而我们的手机号码、邮箱、银行账号、交易记录、购物偏好等也是在同其他个体“交易”后出现的产物，其甚至是个人维持社会关系必要的因素。从这种意义上讲，个人资料并非自始即属于个人。[注]Vera Bergelson, It’s Personal But is it mine? Toward Property Rights in Personal Information, 37 U.C. Davis L. Rev. 379, 420-21 (2004).相反，部分信息还是其他主体通过科技创新、技术研发新产品后才得以产生，所以认为个人对信息享有财产上的所有权根本无从谈起。非要说具备财产权的话，那也是与其他主体共同或按份共有该信息，而这就违背了最初赋予个人信息控制权保护的目的。以2018年6月美国最高法院刚作出的卡彭特案[注]See James J. Tomkovicz, Beyond Secrecy for Secrecy’s Sake: Toward and Expanded Vision of the Fourth Amendment Privacy Province, Hastings Law Journal, Vol. 36: 361 (1985).为例，该案历经三级法院审理，主要争议在于执法机构向第三方运营商收集作为证据使用的手机位置信息是否构成第四修正案下的“搜查”，这时有两种思路：一是隐私权保护路径，即证明个人对于第三方运营商自动生成的手机位置信息享有合理的隐私期待；二是财产权保护路径，即将手机位置信息视为个人财产，如此执法机构的行为自然构成“搜查”。该案最高法院通过隐私权路径分析最终认定执法机构行为构成“搜查”，但在此之前第六巡回上诉法院的判决却认定不构成：“基站侧位置信息(CSLI)[注]手机基站侧位置信息，简写为CSLI(Cell-Site Location Information)：手机在接入移动通信网络时，会持续和通信基站进行数据交换，并在基站系统内生成带有时间标签的数据记录。所有CSLI的信息都在通信基站生成并最终上传到移动运营商的IT系统中；只要是正常接入移动通信网络的手机，就会源源不断地产生CSLI信息，并被移动运营商记录。虽然包含个人位置信息，但其并不存放于个人设备中，而是存在于移动运营商的网络和IT系统中。因此，基站侧位置信息应属于第三方(指移动运营商)生成并维护的信息，而非个人隐私，故不在宪法第四修正案的保护范围内。”该理由恰恰验证了以财产权保护个人信息的困境：手机位置信息的“所有权人”究竟是谁？

2. 信息交易的不可控性

其次，部分学者强调赋予个人信息财产权是为了加强个人对信息的控制，促进信息流通的同时，也能使公民个人在信息市场享有一定的话语权。李特曼即认为，若不期望交换某物，我们根本无需将其视为财产。[注]孔令杰：《个人资料隐私的法律保护》，武汉大学出版社2009年版，第85页。所以信息与个人脱离后便可在市场上自由交易、流动，但试想：如此一来，个人在这一过程中还能对信息施加足够的控制吗？举个例子，一个人在成为商场会员或是免费使用某app时，其实则已经与资料使用者完成了潜移默化的信息“交易”，但这一过程他们更多关注的是自身因此能够获得何种利益或是享受到何种服务，对于个人信息的价值，他们并没有一个理性的认识，更不会认为他们这一行为是在“买卖”自己的信息。这也是受汇聚效应的影响，全面收集与个人相关的信息总和比单个信息价值大得多，[注]Julie E. Cohen, Examined Lives: Information Privacy and the Subject as Object, 52 Stan. L. Rev. 1373 (2000).所以单独的个人数据信息几乎没有市场价值，相关个人也无法就单独的个人数据信息进行财产权交易，对于个人数据信息的产生和流转，其一般都会作明示或者默示同意。[注]参见吴伟光：“大数据技术下个人数据信息私权保护论批判”，载《政治与法律》2016年第7期，第128页。如此信息所有权也将被轻易地转移至其他机构，个人更加无法控制其信息后续被利用的行为。换言之，赋予个人对信息的所有权，非但不能改变其与政府或企业这种力量失衡的状态，有效地保护个人信息，反而会加速信息的财产权向其他机构转移，将不当信息的处理行为合法化。

3. 信息隐私保护的理论挑战

最后，大数据信息时代的到来，使得“透明人”的恐慌不再为空穴来风，各国对于赋予公民信息自决(自我决定)权能，从而加强个人信息保护业已达成共识，这也是财产权(控制权)理论兴起的原因。然笔者想强调的是，积极的信息控制权能并非财产权特有之内容，自从沃伦和布兰代斯以“不受打扰的权利”为基础呼吁保护个人隐私后，从人格权的角度考察隐私权的理论已经得到不断发展，该理论旨在保护个人人格的完整性，不仅从消极保护的角度界定个人生活的哪些方面属于隐私范畴，其还涉及我们应对哪些信息行使控制权。早在1891年的博茨福德案中，美国最高法院就指出，除非存在明确的法律规定，任何人均有权控制自我，免受他人限制和干涉。[注]Union Pacific Railway Co. v. Botsford, 141 U.S. 250 (1891).在沃伦诉罗伊案中，法院也将隐私界定为个人独立地作出某些重大决定的权利。[注]Whalen v. Roe, 429 U.S. 589 (1977).此外，信息控制业已被视为一种信息权益，构成隐私权的一个重要组成部分，学者杰瑞康(Jerry Kang)将隐私归纳为三个方面：(1)物理空间：个人免受侵扰的地域独处范围；(2)选择：个人对免受干扰作出决定的能力；(3)个人信息流动：个人对资料处理(收集、披露和使用)的控制。[注]Jerry Kang, Information Privacy in Cyberspace Transactions, 50 Stan. L. Rev. 1193, 1202-03 (1998).转引自孔令杰：《个人资料隐私的法律保护》，武汉大学出版社2009年版，第72页。澳大利亚法律改革委员会1983年报告所确定的待保护隐私权益也包括个人对他人持有与自己相关的资料控制权益(信息隐私)及个人通讯不受监控和干扰的自由权益(通信和监控隐私)。[注]Canada, Department of Communications and Department of Justice, Privacy and Computers, 1972, pp. 13-14.所以，信息存在之价值在于它的可识别性，对“个人信息”进行控制是为了防止信息主体以外的个人或组织随意使用信息识别到特定个体，继而可能使信息主体名誉、财产、独处空间等受到侵犯；而非基于个人对该信息享有财产上的所有权。故个人信息控制学说一样可以视为是隐私权理论的一部分，这主要取决于我们如何定义隐私，是将它局限于信息的秘密性，还是与自由、自治、自决等价值相联系看待。

四、 个人信息隐私权保护再审视

信息数据作为一块灰色地带，国家、企业和公民个人都有一定理论基础成为其权利人，但是，如何分这块蛋糕，究竟将重心偏向政府、企业还是个人，还是将其作为一个整体，以构建权利大厦的方式让国家、企业和个人共有这个权利，是各国面临的难题。所以如果从宪法层面，将个人信息的权利基础定义为具有人格利益的隐私权，同样会面临一些挑战，因为宪法不仅保护公民权利，还维护其他利益。所以，如何在个人信息隐私与数据交易、科技创新、公共管理间取得平衡，是我们选择个人信息隐私权保护路径后必然面临的问题，我们也必须对此作出回应。

(一) 个人信息与组织数据之界分——对数据交易之回应

就大数据的组成来看，我们可以对其做一个简单的划分，分为个人信息、企业数据和政府数据，后两者统称为组织数据。根据我国2018年5月1日刚发布的《信息安全技术个人信息安全规范》的规定(以下简称《规范》)[注]《信息安全技术个人信息安全规范》，全国信息安全标准化技术委员会2017年12月29日正式发布，于2018年5月1日实施。为我国目前规定最为全面的个人信息规范，属于推荐性国家标准，尚未具有法律效力。，个人信息指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。从中我们可以总结出个人信息的两大特征：(1)可识别性，能据此识别出特定个人或反映其活动情况，《规范》第3.13条规定：个人信息经匿名化[注]《信息安全技术个人信息安全规范》3.13条:“匿名化”指通过对个人信息的技术处理，使得个人信息主体无法被识别，且处理后的信息不能被复原的过程。处理后所得的信息不属于个人信息；(2)个人信息的主体特指自然人，不包括法人或其他组织。而组织数据，指数据的集合，公私机构(这里尤指商业组织)收集大规模个人用户信息后进行再加工形成的信息数据库。此时的数据库已然不同于单个的个体信息，它是组织投入大量资金和辛勤研发、整理后的“劳动成果”，在互联网商业模式下，一些私主体均将数据库资源作为其核心竞争力，一定程度上促进了数据交易市场的发展。所以赋予个人信息财产权在一定程度上，是为了回应当下数据交易之现象：互联网时代，数据作为重要的战略性资源，其自由流动具有基础性意义，而组织数据又是建立在众多个人信息之上，所以不赋予个人信息以财产价值，似乎难以适应当下时代的发展，这也成了信息隐私权保护最难以自洽之处。

但是我们有没有考虑过，数据市场所强调的交易客体究竟是单个个人信息，还是经加工的个人信息数据库呢？或许学术界对个人信息财产权的争议和产业界所主张的个人信息财产权根本不是同一概念，前者指的是基于单个个体的信息，而后者则更多指向加工过的组织(企业或政府)数据库。[注]参见王心阳：“论个人信息权的法律属性及立法保护思考”，载《科技与法律》2016年第6期，第1130页。且实际具有巨大财产价值的恰恰是加工之后的大数据，个人简单的信息充其量可以作为原始资源，其财产价值“微不足道”(名人信息除外)。而各国在保护人权与鼓励创新之间，一般也会为后者留有一定余地，为保持企业持续研发与创造的动力，对于此类数据库通常会给予数据控制者类似财产权的保护，欧盟1996年3月发布的《关于数据库法律保护指令96/9/EC》[注]参见张广荣：“海外法学研究信息——《欧洲议会与欧盟理事会1996年3月11日关于数据库法律保护的96/9/EC指令》”，载《法律文献信息与研究》1998年第2期，第15页。，即开创了给组织数据库以类似于著作权的保护标准；即使对于一些缺乏原创、不能称作“作品”的数据库，各国企业一般也都可以采用《反不正当竞争法》保护。但回归到个人层面，公民个人基于财产权要求保护个人信息则极少得到法院支持，大部分还是基于名誉权、隐私权等受到侵害提起诉讼。所以，在区分个人信息与组织数据的概念后我们会发现，个人信息隐私权保护与组织数据财产权保护并不冲突；相反，一股脑地赋予个人信息财产权保护并不符合效率原则，只有形成大数据后才有可挖掘的价值和不断衍生出新型商业服务模式的可能。故笔者认为，自然人作为个人信息的主体，其保护的重心仍应回归到人格利益上；而组织数据主体，即数据的控制者，才更应关注其数据库形成后的财产权。

(二) 个人信息与企业数据——隐私保护与鼓励创新

如上所述，笔者赞成赋予企业对其数据库成果享有相应的财产权益，这也是我国宪法鼓励创新的应有之义。从宪法的角度来看，我国宪法在鼓励创新方面的立场比较接近于美国，美国宪法第1条第8款规定：“为促进科学和实用技艺的进步，在一定期限内给予作家和发明家以著作权和专利权的保障。”类似地，我国宪法序言也提出“四个现代化”的总体目标，第一章总纲第20条表明了国家发展科学、奖励科学研究成果和技术发明创造的态度。可以说，从宪法条文来看，我国对大数据技术发展是持鼓励态度的，如此赋予企业数据财产权则成为激励技术再创新的必要动力和手段。但是，因为企业数据库的基础仍是由单独的个人信息所构成，所以在其行使“财产权”的同时，不得不受到个人信息隐私保护的严格限制，例如欧盟GDPR就规定了个人信息主体享有的一系列权利：信息获取权、修改权、删除权、限制处理权、被遗忘权、可携带权、拒接权、免受自动化决策权等。[注]参见京东法律研究院：《欧盟数据宪章——<一般数据保护条例>GDPR评述及实务指引》，法律出版社2018年版，第25～29页。对于欧盟个人信息保护的严格立法模式，我们不一定要完全效仿，最重要的还是结合国情，在鼓励创新与保护权利间找到平衡。

根据目前已达成的共识：经不可复原地匿名化处理后所得的信息不属于个人信息，也即当个人信息经过技术处理，将个人姓名、重要信息、敏感信息等均进行脱敏，总体上已无法识别出个人，且日后不可恢复识别，此时，笔者认为企业对于该数据享有完全的财产权，不受个人隐私权益的任何限制。相反，如果企业数据库所囊括的个人信息未进行脱敏处理(具有可识别性)，或是暂时脱敏(日后可恢复识别)，那么在该数据上同时存在两类主体的权利：企业的财产权与个人的隐私人格权，任一主体的权利行使都不得干扰其他主体的权利。如果企业未经个人同意，擅自收集、处理、交易未经脱敏的个人信息，则被侵害的个人可以以侵犯隐私权为请求权基础，要求数据控制者承担损害赔偿责任。

(三) 个人信息与政府数据——“第三人理论”的突破

相较于个人与企业，个人与政府之间的关系更为复杂，个人信息隐私在面对公权力部门的收集、利用与分析行为时，也更显无能为力——为了维护国家安全、实现社会管理，包括打击犯罪，国家机关能够对公民个人信息进行必要的收集、储存和分析。据学者考证，近几年来至少有26个国家的法律修正案放宽了公权力机关从事检查、监视以及使用个人信息等行为的限制条件。[注]James B. Rule，Graham Greenleaf. Global Privacy Protection，Edward Elgar Publishing，2010，p.99.参见王利明：“论个人信息权的法律保护——以个人信息权与隐私权的界分为中心”，载《现代法学》2013年第4期，第67页。

以美国宪法第四修正案为例，其通常被认为是美国抵御政府侵犯性监控行为的第一道防线，但多数评论家认为，第四修正案并不能约束政府数据采集行为。在U.S. v.Miller案[注]United States v.Miller,425 u.s. 435(1966).、史密斯诉马里兰州案[注]Smith v. Maryland, 442 U.S. 735 (1979).等判例中，美国最高法院逐渐确立了第三人理论，根据该理论，个人对自愿披露给第三人的信息不享有隐私的合理期待，因而不再享有第四修正案的令状要求与合理根据的程序保障。[注]参见向燕：“搜查与隐私权保护”，中国政法大学2009年博士学位论文，第74页。由此，个人只要向第三人(保险公司、银行、旅行社、电信运营商、商业机构等)披露了相关个人信息，不论披露是否自愿、披露范围大小、披露目的为何，个人对该信息就不再享有第四修正案下隐私的权利。换言之，政府出于国家安全与惩治犯罪之目的，有权与通讯服务商、银行等商业机构“合作”，依据非常低的程序标准采集普通公民(不特定嫌疑人)的个人信息，而不受约束。这在大数据尚未普及的年代或许可以接受(个人权利一定程度上让位于公共利益)，但由于人工智能等高科技的飞速发展，基于大数据分析已经可以支持政府进行以前无法想象的广泛监控和自动识别。据统计，全美目前有3.96亿个手机号码，但只有3.26亿居民，[注]Carpenter v. United States, No. 16-402 (2018).言下之意，基于手机的监控能力已经可以覆盖全体美国人民。如果第三人理论继续无限制适用，那个人信息隐私权保护在立法与司法层面将变得非常狭义与苍白，这不仅与自由、自治等价值相矛盾，更与第四修正案反对政府任意干涉公民私生活的立法目的相违背。

2018年6月，卡彭特诉美国政府一案[注]Carpenter v. United States, No. 16-402 (2018).便开始挑战这一理论。该案里，美国联邦调查局(FBI)与移动运营商合作，获得了原告两个手机号码所有的语音通话记录及该手机号127天内的12898条基站侧位置信息，平均每天超过100条基站侧位置信息。通过这些位置信息，FBI证明了在多个抢劫案发生前后，手机在案发现场附近出现，因此原告Carpenter被指控六项抢劫罪和五项携带武器罪成立，并最终被判监禁100年。案件审理过程中，Carpenter即反诉基站侧位置包含了使用者的物理位置信息，理应视为个人隐私的一部分，而政府并未合法取得位置信息的搜查令(按照美国宪法第四修正案的要求，政府机构必须取得搜查令后才能搜查并获取个人隐私信息)，故其行为违反了宪法第四修正案的要求。最高法院最终以5:4的投票结果支持了原告的诉求：公民的物理位置信息和移动信息毫无疑问属于个人隐私，在一般公众的认知中，自己的位置信息通常处于自己的掌控范围内，其并不了解手机基站侧位置信息的存在，故个人位置不属于通常意义上个人与第三方共享的信息(不适用第三人理论)。允许政府不受限制地访问该信息，相当于获取了一个近乎完美的监控工具，以此回溯和跟踪个人行动轨迹，掌握众多美国公民的生活隐私。

卡彭特案在一定程度上扩大了个人隐私信息的范围，把系统自动生成并存放在第三方的位置信息也纳入了宪法第四修正案的保护范畴，这对个人隐私保护来说是一大进步，但其并未从根本上推翻第三人理论的适用。该案认定手机位置信息是系统自动生成的，不属于“用户与第三方共享的信息”，继而判定不能适用第三人理论。然对于那些非自动生成、由第三方控制和拥有的商业记录仍适用第三人理论，哪怕其中包含敏感的个人信息，也不在宪法第四修正案的适用范围内，并明确列举这样的商业记录包含银行记录、电话记录和信用卡账单等。所以卡彭特案并未推翻第三人理论，其只是否定了第三人理论在手机位置信息上的适用，也即第四修正案下的政府“搜查”客体目前尚无法推及至互联网领域所有的个人信息隐私。但从整体来看，美国最高法院对个人信息隐私权保护的水平还是在不断提高的，卡彭特案更是在制约政府权力获取个人隐私信息的边界上钉下了第一个桩，尽管这个桩还很孤立。

结 语

当今世界，个人信息保护已越来越成为各国重要的公法学课题，不管是公法对私权利的保护，还是私法对私权利的保护，都要获得宪法的依据。本文从美国宪法第四修正案出发，分析了其保护重心从财产权到隐私权的变迁，并最终诞生了个人资讯隐私权。虽然20世纪60年代个人信息财产权保护(控制理论)一度兴起，但正如索罗伍教授所言，“某些权利容不得我们随意扬弃，因为它们不只是私人财产，它们对整个社会结构至关重要”。[注]Daniel J. Solove, Privacy and Power: Computer Databases and Metaphors for Information Privacy, 53 Stan. L. Rev. 1392 (2001).个人信息正是如此，对其的保护牵涉到公民个人同公私机构之间的权力关系，需要在个人权益、企业创新、公共管理间进行复杂的考量，而财产权理论(个人无法准确估量个人信息的价值)在这一过程中存在诸多不确定性与不可操作性，以此来解决当前的信息保护问题是远远不够的。相反，个人信息存在之价值恰在于它的可识别性，对“个人信息”进行控制也是为了防止信息主体以外的个人或组织随意使用信息识别到特定个体，继而可能使信息主体名誉、独处空间等人格利益受到侵犯。所以本文经过分析，最终将个人信息认定为隐私权保护的客体，并将其与组织数据作了区分，对隐私权保护过程中面临的一些挑战进行了回应。虽然隐私权在我国宪法上没有明文规定，但是《宪法》第38条、39条、40条分别规定了公民的人格尊严、住宅、通信自由、通信秘密不受侵犯，这些条文一般被认为是隐私权是在我国宪法上的依据(宪法间接保护隐私权的模式[注]参见沈屮、许文洁：《隐私权论兼析人格权》，上海人民出版社2010年版，第105页。)。

对于大数据时代下个人信息的保护问题，或许国家希望学者做的，不是讨论其权利属性，而是为国家立法提供足够多的方案，以供其选择自己心仪的方式。但笔者认为，对于目前个人信息的权利以及未来可能诞生的数据权利而言，唯有弄清楚其权利属性，即设计这个制度的目的与基础，方能真正发挥大数据的价值，在国家、企业、个人三者利益间取得平衡。