大数据时代个人信息财产权保护研究

姬蕾蕾

（上海交通大学 凯原法学院，上海 200240）

一、问题的提出：大数据时代个人信息利用之机遇与挑战

大数据时代背景下，商务智能、无线传感器、云计算、物联网等新技术不断更新，数据开放、智慧星球、普适计算等新理念令人应接不暇，数据技术的快速发展正在改变我们的生活方式和交流方式，以数据分析为典型特征的大数据时代已经到来。大数据作为数据的衍生品，数据挖掘和开发成为这个时代的主题①。当万物皆可为数据时，数据的范畴不断扩张，个人的生活轨迹与生活习惯在电子领域得到前所未有的记录。个人信息作为大数据的主要来源，其被数据控制者收集、利用已成为一种必然。在商业领域，个人信息作为数据集合的主要来源，其文字、图片、视频、网页浏览痕迹、购买习惯、出行轨迹等都可以作为一种数据被数据控制者收集、利用，进而通过大数据分析技术进行预测分析，以制定营销方案、优化服务软件。大数据时代背景下，个人信息利用有初次利用和二次利用之分。个人信息初次利用是指数据控制者为了商业目的的需要而将其掌握的个人信息作为商品转让给数据控制者，主要包括两种情形：（1）信息主体为了个人获益而主动将自身信息出卖给数据控制者；（2）数据控制者为追逐经济利益而将个人信息作为商品出售给第三方数据利用者。此时个人信息初次利用类似于人格权中姓名权、名誉权、肖像权许可他人使用之商业化利用②。根据信息管理学的一般原理，个人信息的初始收集者需要在激活该信息的基础上将它传输给其他用户加以共享，以帮助后者在作出相关决策时消除香农所称的“不确定性”，这个过程即为个人信息的“再利用”③。当前，个人信息的二次利用价值越来越重要，其财产价值凸显，成为现代信息技术开发的重要资源。

数据流通是数据价值开发的重要前提，大数据的应用使得个人信息的价值被深度挖掘，然而信息主体的权益也面临空前的威胁。经济利益的驱动使得一些不法商人对个人信息滥用更加猖獗，目前来看，个人信息保护主要面临两种威胁：首先，数据作为一种重要的资源，成为提高数据控制者竞争力的关键，而如何处理好数据利用和个人信息保护的矛盾是我们面临的重要课题；其次，大数据分析的应用使得个人信息不再仅具有私人属性，特别是完全商品化的个人信息，更多地具有了公共属性，这种公共属性弱化了信息主体的知情同意权利，对于传统保护个人信息的基本规则提出了挑战。因此，大数据时代的“数据”成为联系信息主体与数据控制者的节点，与之相适应，与“数据权利”相联系的个人信息保护也必须作出相应的调整④。个人信息的财产价值越来越重要，数据利用的矛盾如何从根本上消除成为我们亟须解决的问题⑤。在个人信息发展之初，其法律属性仅为人格利益，后来传媒技术的发展以及大数据分析的运用，导致人格权不仅仅以人格利益属性为依托，其财产价值显而易见。传统个人信息的侵权表现形式在人身权方面主要体现为侵犯隐私权、名誉权，信息骚扰，非法推送信息等方面；在财产权方面主要表现在非法获取、复制或出售个人信息⑥。而在大数据时代，随着数据挖掘技术的研发与应用，个人信息的财产属性逐渐发展为一种独立的财产属性，对个人信息进行财产赋权的呼声高涨。个人信息财产化自问世就饱受诟病，本文旨在对个人信息财产化背后的法理理念进行解读，纠正对个人信息财产化的认知偏见，参见欧盟关于个人信息保护立法的最新动向，以求证成个人信息财产赋权的正当性，以更好地平衡个人信息保护和数据利用的冲突，保障数据产业长足发展。

二、溯流徂源：个人信息财产化之历史发展与合理性

个人信息财产权并非新设理论，早在20世纪初就有学者针对互联网的兴起提出这一概念，但是当时个人信息收集与利用规模远不如现在巨大，因此遭到很多学者的反对。不同时代对个人信息商业化利用方式以及利用程度不同，个人信息财产权理论的适用机制也相异，该部分旨在对个人信息财产化理论追根溯源，分析不同背景下个人信息财产权的不同含义。

（一）个人信息完全财产化

随着互联网的发展，传统的以直接个人信息为保护对象、以人格权为基础的保护方式显得捉襟见肘。当前对间接个人信息的收集、加工、分析所生成的数据财产属性凸显，要求改革传统单边保护人格权模式，创制适应数字经济发展的法规的呼声高涨，个人信息财产化理论应运而生。

劳伦斯·莱斯格是个人信息财产化的有力支持者。莱斯格出版《代码2.0：网络空间中的法律》一书，被誉为当时“最具影响力的关于网络和法律的著作”，该书首次将信息财产化理论系统化⑦。莱斯格认为，信息财产化有助于强化信息本身的经济驱动功能，挣脱传统以保护隐私为模式的路径依赖。至于谁将拥有信息财产权，他认为赋予信息主体财产权，可改善信息主体在信息利用过程中丧失的参控力，使信息主体享有一定的议价能力，将其拥有财产利益的信息出售给数据控制者，信息主体可通过此方式来决定何时放弃自己的隐私利益以及最低阈值⑧。这也是莱斯格提倡信息财产化的目的，即信息主体对自身信息是否被收集、利用拥有谈判的权利，数据控制者如果想要收集处理该信息，必须事先与信息主体谈判。为了证成这一理论的可行性，莱斯格以Guido Calabresi 和A.Douglas Melamed在《哈佛法律评论》上发表的《财产规则、责任规则与不可让与性——一个权威的视角》论文为基线，分析相较于责任规则，对信息保护采用财产规则的优势⑨。莱斯格认为，“财产规则”可以弥补传统“责任规则”保护隐私的客观僵化状态。财产规则的优势在于：该规则规定了事前违约成本，而责任规则制度忽略了这一点。例如，买卖汽车通常适用财产规则，即汽车所有权人可以自主决定在财产交换之前是否出售以及以什么价格出售；相比之下，汽车事故会引起法院对责任规则的依赖，以评估损害发生后所有权人的财产损失⑩。因此，信息财产规则可以打破传统由法院甚至是立法机关对隐私价值评估的被动僵局，给予信息主体更多的自主权，这是因为信息财产化的关键在于赋予信息主体对自身信息的控制权，允许信息主体拒绝转让其信息。

保罗·施瓦茨也持这一观点，但与莱斯格观念不同的是，其认为信息财产化并不是积极采取措施预防隐私侵害，而是采取与财产规则通常相关的一些权利补救方式，并探讨如何使信息构成财产。施瓦茨对个人信息财产赋权提出财产规则和责任规则混合规则：首先，财产规则可以细化为默示权利的规则（default entitlements）。默示权利规则是对合同所欠缺的内容进行补充的规则，主要解决的是信息交易谈判过程中单条信息估价难的问题。在初次交易中，赋予信息主体对个人信息的原始权利，信息主体可自主决定是否对信息进行交易。在选择交易后，信息主体也将始终保持信息控制权，当交易双方无利益冲突时，则交易方法是可行的；相反，当交易后数据控制者对个人信息不当适用，就应运用默认权利规则补充合同漏洞。其次，责任规则主要针对第三方数据利用者，确立个人信息财产权可使信息主体对第三方数据利用者行使财产权的相关权利，即信息的二次利用将受到使用转移的限制：信息主体可以同意初次信息使用者对信息的利用，但有权阻止其他数据利用者进一步使用其信息，除非其他数据利用者获得信息主体的授权。

综上所述，支持个人信息财产权的学者认为，在信息处理过程中，信息主体与数据控制者之间的信息不对称会导致信息主体处于弱势地位，如对自身信息的控制力度较弱，不知自身信息如何被利用和处置，故对信息主体过于不公。因此，对于“用户”而言，赋予个人信息以财产价值有利于更好地实现对于个人信息的保护。个人信息应作为信息主体的专有财产，信息主体对自身信息具有完全支配权，法律应当强化其在信息处理过程中的参控力度，缩小信息主体与数据控制者之间的差距，以充分保护信息主体的信息权益。

（二）个人信息财产化之批判

由于个人信息蕴含人格利益的法律属性，个人信息财产化理论一经提出就引起很多学者的质疑与批判。首先，从法经济学的角度而言，将个人信息财产化并不会增强信息主体对信息流转的参控力度，此时个人信息被当作一种工具，使人被物化，其尊严自然也就不复存在。个人信息保护本就源于个人对自身信息的自决权，如若将个人信息财产化，则自治也就沦为他治，长此以往，势必侵害个人人格尊严。李特曼就指出将信息财产权赋予个人更倾向于鼓励个人进行信息交易，这样反而加速了信息财产权向数据控制者的转移，而非限制转移。此外，如果对个人信息的收集与处理均需征得信息主体的同意，那么具有公共价值的包含个人信息的数据库将无法正常建立，影响个人信息流动中公共利益的实现。个人信息财产化会导致信息主体与数据控制者之间的地位差距拉大，势必削弱信息主体对自身信息的控制。其次，从法学理论的角度而言，人格权的商业化利用所指向的对象往往是名人的姓名、肖像、声音等，而财产权论者将前者与大众的个人信息等同，有偷换概念的嫌疑。个人信息属于人格权的范畴，人格权具有不可让与性、不可继承性，若将个人信息扩充至财产权的客体范畴，则与人格权的保护理念相悖，也会导致民法以人身权与财产权为基石构建的权利体系土崩瓦解。个人信息并不具有稀缺性，因为其无需通过劳动就可以大量产出，故缺乏财产的核心特征，而且，在大数据时代下单条个人信息并没有经济价值，普通人如果想要通过出卖个人信息来挣钱是根本不可能的，一条个人信息一分钱也卖不出去，除非将类似的个人信息收集整合加以利用。真正有财产价值的是数据控制者对数据集合进行加工处理后形成的数据产品，即DIKW中的新知识。所以，个人信息的保护并非一定需要依赖财产权的保护路径，以现有的人格权保护为主导路径，足以满足数据主体应有的利益诉求。再次，从实践操作的角度而言，以财产权路径对个人信息进行保护是为了保障个人对其个人信息的控制权，然而在现实中，数据企业出具的隐私保护政策冗长又晦涩难懂。一项研究表明，一个人如果要阅读他访问网站的所有隐私公告，那么一年可能要耗费244个小时，因此，很少有用户认真阅读这些隐私公告，一般都是直接点击“同意”按键进入下一个环节，这就导致知情同意原则逐渐沦为僵尸规则，个人很难实现信息自主的利益诉求。

（三）个人信息人格利益与财产利益发展殊途同归

以上两种观点虽然相异，却都是为了保护信息主体的信息权益，但过于绝对的理论容易造成非此即彼的保护倾向，最终会限制信息主体对自身信息的管控。一方面，将个人信息完全财产化会陷入两种极端的局面，要么形成信息孤岛，即信息主体为了保障自身信息安全而绝对限制他人利用其信息，从而阻碍数据的有序流通；要么导致信息利益物化，即信息主体对信息随意交易，脱离人格权保护的范畴，与人格权立法理念背道而驰。另一方面，完全否定个人信息的财产属性实质忽略了其社会属性，势必限制数据价值的开发，阻碍数据经济的发展。

首先，个人信息财产化并非否定个人信息人格利益的本质属性。人格权的商业化利用，并不代表个人信息的人格利益被改变，其不能被改变，法律也不允许其改变。个人信息财产化的目的是强化个人对其信息的控制，然而，将个人信息完全物化无疑会否定个人信息的人格利益，将个人信息的本质属性抹杀，这与个人信息保护的理念相悖。即使是提倡个人信息财产化的施瓦茨也认为，将个人信息作为某种商品，也应在市场上限制信息主体销售部分信息。在实践中，个人信息的财产价值主要是数据控制者通过数据技术收集的海量数据呈现的，单条个人信息的人格属性并未因此改变。换言之，当数据控制者收集个人信息组成数据集合时，个人信息的人格属性并未随着个人信息的获取而转移，数据集合呈现的是数据控制者需要的一种数据分析信息，并不指向特定的信息主体。此时个人信息的人格利益被暂时淹没，一旦个人信息被识别，即应纳入人格权的保护范畴。正如有学者指出，数据控制者层面收集的个人信息集合，在经过收集、脱敏后与个人信息主体的直接关联往往已经切断，完全成为外在于人的存在物；但若未经脱敏处理，则仍需适用人格权保护规则。因此，财产利益与人格利益是个人信息属性的两个方面，两者是独立而关联的。个人信息尽管是人格利益而非财产，但个人信息经商品化或公开化后产生的财产利益，可以为他人利用，包括为商业利用。

其次，个人信息财产化并不意味着个人对自身信息的绝对控制。个人信息具有人身专属性，具有不可让与性，数据挖掘技术的研发与应用使个人信息的收集与利用成为一种必然。在商业实践中，用户的知情同意成为数据控制者收集数据的一种正当性依据。很多学者因此认为个人信息属于信息主体，个人有权处分其个人信息，而处分个人信息就是处分其人格利益。其实不然，人格权的处分权能与物权的处分权能存在本质不同。拉伦茨认为，权利是法律赋予主体的一种法律的力，但是法律的力不适用于各种人格权，法律并没有规定主体对人身的权力，各种人格权都是与人结合在一起的，不可转移且不可继承。人格权是一种消极的防御权，个人对其人格利益的处分是受到限制的，信息主体对其个人信息的处分体现为自己使用、自己决定是否为他人使用，以维护其人格自由发展。但这种对“使用”的控制也极其有限，个人信息的公共属性决定了，个人对自身信息的控制最多可以做到控制自己不联系他人或者如何联系他人，但并不能控制信息本身被他人如何使用。这种控制者的限度仅限于维护个人尊严的基础上，并非给予信息主体对自身信息的绝对控制，这既不可能，也是法律所不认可的，因而个人信息权的权能体现也不应该超出维护个人尊严的范畴，这是平衡个人信息保护与数据流动的关键。个人信息体现的是一种人格利益，个人对其处分的范围极其有限，其人格利益并不能任由个人进行处置和利用，因此，个人信息的人格利益并不随着个人信息被收集、利用而全部转让给数据控制者。信息主体即便允许数据控制者收集其相关个人信息，也并不意味着其让渡了所有的个人信息权利。个人信息本质属性为人格利益，而个人信息的财产利益是随着信息技术的发展扩张的结果，蕴含的是个人对其信息的自主决定权能。因此，肯定个人信息的人格属性是对人在数字社会存在样态的尊重，而个人信息的商业化利用不但是为了发挥其财产利益，更是为整个数字社会尤其是人工智能的发展奠定基础。

三、当下实践：以欧盟《一般数据保护条例》之财产权导向立法为蓝本

欧盟于2018年生效的《一般数据保护条例》（以下简称《条例》）是全球关于个人信息保护的重要立法，通过对《条例》的条文分析，我们可以发现其加强了信息主体对信息的自主控制权。通过检索并分析信息主体的信息权能，可发现《条例》确立了个人信息财产权的特征。这种方案承继了施瓦茨的个人信息财产保护路径。

（一）《条例》将财产权导向作为个人数据保护框架的基线

《条例》虽以基本人权为导向设立个人数据保护框架，然而它实际上是在个人数据中创建财产制度，即将数据设定为商品，允许数据主体在高度监管的前提下自由买卖数据。具体体现在以下三个方面：数据主体拥有明确的财产权利；数据主体转让数据后，依然对第三方数据控制者利用数据的过程享有控制权利；数据主体的数据权益基于财产权的相应救济措施予以保护。首先，在个人数据的初次利用中，赋予数据主体原始权利，施瓦茨将这一要求视为默认规则。即数据主体自主决定是否对数据进行交易，即使在选择交易后，数据主体也将始终保持在现有协议中的数据处理权，防止交易后数据控制者对个人数据的不当使用，这类似于数据许可使用制度。其次，在个人数据的二次利用中，确立个人数据财产权可以使数据主体对第三方数据控制者行使相关权利，即个人数据的二次利用将受到限制：数据主体可以同意数据控制者对个人数据的初次利用，但是有权阻止第三方数据控制者的二次利用，除非其获得数据主体的重新授权。再次，在个人数据损害层面，财产权制度具有侵权责任或者合同责任所不具有的补救功能。一般而言，个人数据主要由责任规则调整，在数据主体权益受损时，会采取损害赔偿方式予以救济；而在财产权制度中，对数据主体的救济不再仅限于此，可以适用惩罚性赔偿机制，此时，数据主体得到更充分的救济保障。

（二）《条例》以财产权为导向保护个人数据的体现

尽管《条例》以人权为基础，并未使用财产术语，但其保护方式仍然与个人信息财产权的路径相似，笔者现穿针引线，将个人数据财产权理念这根“针”引入《条例》这根“线”中，以证成欧盟以财产权为依托的数据保护立法倾向。

1.数据主体对自身数据拥有明确权利且只能部分转让该权利

《条例》假设数据是一种可以交换的商品，但是数据主体对这一财产保留最终的权利。数据控制者可以获得数据主体的授权许可使用该数据，此时数据主体只是暂时转让了部分信息，其可自主决定何时终止该许可协议，并强制数据控制者停止储存、利用该数据。《条例》以财产权为基线，这种基线类似于一种特殊的知识产权，数据之于数据主体的权利犹如版权之于著作权人的精神权利，即赋予著作权人对自己作品享有专有权益，即使作品出售，也可以阻止他人对其作品的篡改。具体可通过以下条文发现：《条例》第6条规定了数据收集、处理的限制条件，其中最典型的当数知情同意规则，即数据控制者收集个人数据时必须征得数据主体的明确同意，方符合数据利用的合法性前提。即使数据主体对数据的利用已经明确同意，其仍可在数据处理过程中提出删除数据或者终止数据处理的要求。例如，数据主体可以在任何时间根据数据收集的原始理由行使退出权，即删除权；即使出现数据控制者无需数据主体授权而使用其数据的例外情形，数据主体仍可提出删除相关数据的要求，除非数据控制者证明数据利用的合法性。

2.责任规则内置于个人数据财产规则

《条例》第17条第2款规定，任何数据控制者必须“采取一切合理步骤……通知正在处理此类数据的第三方数据利用者关于数据主体要求其删除该个人数据链接的请求”。通过这一条文可以发现，数据主体可以随时收回其原始权利以及第三方数据利用者对数据所享有的权利。换言之，数据主体收回数据的权利不仅约束合同相对方，还约束与数据主体无民事法律关系的第三方数据利用者。删除权是个人数据财产权制度中最具财产性质的权利之一，因为它是联结数据财产权与责任的桥梁，将数据主体的利益嵌入数据本身当中，这正是施瓦茨提出的“责任规则内置于财产规则”理念的体现。即允许财产所有者在出现争议时以责任规则约束第三方主体，即使是与财产主体无法律关系的第三方仍有义务不得侵害其财产，而在一般的数据交易中责任规则只能约束合同双方当事人。因此，赋予数据主体对其自身数据具有法律上可强制执行的财产权，可以使某些利益被内化为个人数据利益。因此，无论数据控制者或第三方数据利用者对数据利用是否合规，当数据主体提出数据删除请求时，其均应基于“数据主体的利益内置于数据本身”这一特性而酌情删除相关数据。

3.数据权益基于财产权的相应救济措施得到保护

《条例》建立的救济措施折射了以财产权为导向的数据保护基线。当数据控制者超出数据主体授权的范围使用数据时，数据主体将基于财产权制度获得相应救济。例如，赋予数据主体删除权，实质是数据主体行使数据控制权；除此之外，数据主体可向当地数据监管机构投诉，数据监管机构根据真实情况有权对数据进行修正、删除或者销毁。另外，数据主体可以向法院请求对数据控制者处理其数据的行为采取相应措施，法院依据《条例》中的相关规定有权强制执行。

虽然欧盟宣称《条例》是以保障公民隐私权为基线而制定的，但不难发现《条例》隐含的个人信息财产权保护导向。该法禁止数据的自由市场化，却使用财产权衍生的相关权利和救济措施，在数据处理过程中动态保护数据主体的隐私。通过默许数据主体对数据享有全部权利，赋予数据主体对部分数据转让的权利；数据主体对转让的数据始终享有所有权，可约束数据控制者及第三方数据利用者；将数据救济制度纳入财产权救济框架中。可见，《条例》软化了以责任规则为中心的数据保护模式，将数据主体的利益置入数据本身的权利范围内，趋向于以确立数据财产权的方式保护个人数据。

四、未来展望：欧盟个人信息财产权路径对我国个人信息保护的启示

当前，我国立法对于个人信息的保护并不健全，采取何种方式能够实现信息主体的利益诉求尚处于探索阶段，而《民法典》似乎未对个人信息的财产利益给予足够的重视。通过上述分析可知晓，立法对个人信息财产权的确认是时代发展的需要，该权利独立存在并在实践中具有可操作性，有助于强化信息主体对自身信息的控制。因此，为回应个人信息财产权的保护问题，我们应该积极制定“个人信息保护法”，认可并构建相关规则，确保个人信息财产权的实现。

（一）借鉴欧盟立法构建我国个人信息财产权制度的正当性

1.欧盟个人信息财产权路径与我国裁判路径具有协调性

从丰富个人的信息权能到加重数据控制者的义务，再到完善对个人的救济方式，欧盟秉持财产保护路径的核心：一是强化个人对自身信息的控制，增强其与数据控制者之间的谈判能力，更为重要的是将控制力度扩大至第三方数据利用者，改善了个人在签订隐私服务协议中“一次同意”等于全部授权的不平等局面；二是未将个人信息视为一种绝对的财产，而是为其提供强度适中的财产权保护方式，力求在信息保护与信息流通中实现一种平衡。《条例》在自由处分个人信息层面与传统财产权理论并不一致，如上所述，由于个人信息的人格本质，个人信息财产权的转让受到一定限制，该法案并未赋予个人对其个人信息绝对转让的自由以及数据控制者对收集的个人信息绝对享有的自由，个人信息的利用是以保障信息安全为前提的。近年数据纠纷频发，我国法院的裁判路径与欧盟财产权立法路径相契合，部分法院的判决甚至与欧盟立法存在相似解释路径。例如，在2016年新浪微博诉脉脉案中，法院在判决中呈现了两个观点：其一，个人信息的获取和使用均需征得用户同意；其二，第三方数据利用者获取个人信息时应坚持“用户授权+平台授权+用户授权”的三重授权原则，否则将违反诚实信用原则和商业道德。而在百度与朱某隐私权纠纷案中，二审法院撤销一审判决，认为用cookie技术收集的网上浏览痕迹虽然反映了用户的部分隐私，但并不具有识别性，因此并未侵害个人权益，故驳回原告的诉讼请求。由此可知，我国法院在以财产权路径保护个人信息的同时，对信息之上的财产权亦持谨慎态度，将其财产强度控制在合理范围内，以达到个人信息保护与利用的平衡状态。

2.个人信息财产权的构建具有可操作性

早在大数据时代到来之前，我国法律已承认人格权的商业化利用。人格权中包含个人精神利益与经济利益，最新出台的《民法典》人格权编更是充分保护人格权主体的财产利益。人格权的商业化利用是对客体人格要素进行利用，并非意味着权利主体对人格本质的放弃或改变。照此逻辑推理，个人信息属于人格权范畴，在数据科技高速发展的今天，其本身所蕴含的财产利益已在学界达成一种共识，故个人信息财产权的认可具有学理上的正当性。我们应该认识到，对个人信息保护的目的并非赋予个人对其信息的绝对控制权，也不是在于保护信息本身，而是为了产业伦理和竞争秩序，禁止他人对个人信息滥用，即只要他人以合法方式收集处理个人信息，就不会引发侵害个人信息的责任。人格权商业化利用表明我国已有人格权财产化的先例，这意味着在我国法中构建个人信息财产权制度具有正当性和可操作性。之所以需要在个人信息之上另设财产权，是因为传统人格权商业化利用的客体与个人信息权的客体不同，前者的客体是姓名、名称、肖像等，后者的客体包含识别个人的一切信息，且两者的利用方式与主体范围也有所区别。即便两者存在差异，但其共通性在于均肯定了人格权主体的财产权益，均以实现人格保护与经济发展的有效平衡为规范要义。

（二）个人信息财产权制度的具体构建

对于个人信息的属性与欧盟财产保护路径的分析提示我们应该谨慎思考对个人信息财产权保护的制度设计。一方面，法律应参与到个人信息全生命周期当中，即从个人信息收集、存储、处理到利用的动态过程均应保障个人对其信息的知情与控制，由事前预防与事后救济一起构筑对个人信息的协同保护。另一方面，立法不应赋予个人对自身信息享有绝对处分的财产权保护，应将该权益的效力限制在一定范围内。

1.收集阶段：知情同意规则与类型化适用

由于互联网科技的高速发展，个人信息的收集与利用成为时代发展的必然结果，在这一背景下，传统以知情同意规则为核心的个人信息保护规范受到巨大冲击，不少学者对知情同意规则提出质疑。对于个人信息的利用，作为保障个人对其信息控制的第一道阀门，取得个人同意是重要前提。设计出既能符合互联网社会要求，又能体现尊重信息主体人格与保护财产利益的现代而科学的同意方式，是解决数据利用根本矛盾的关键。面对时代的挑战，我们不是脱离知情同意框架的束缚，而是更新同意规则的法律构造，通过精细、类型化的保护规则设计，更好地平衡个人信息保护与利用的利益博弈。正如有学者指出，个人信息外延广泛，采用概括保护模式在技术上缺乏可操作性，而类型化保护设计可避免高额的保护成本，并促进信息技术的创新。具体规则可设计如下：

在规范设计上，对个人信息作类型化区分，构建一个宽严相济的梯形保护体系。目前，在理论、司法与立法中，将个人信息划分为个人敏感信息与个人一般信息已达成共识，然而这种“敏感”与“非敏感”术语并不构成严格规范意义上的法律术语，且这种类型化方式属于一种主观分类标准，容易强化信息霸权。因此，笔者认为，应该以个人信息与人格关系的客观信息分类为基准来确定信息主体的具体权能。即以平等利益、识别利益、自由利益为标准对个人信息进行类型化划分，即个人信息包括个人隐私信息、个人识别信息和个人活动信息。在此基础上，根据不同类别的个人信息，依据其包含人格要素的不同程度确立差异化知情同意规则。具体做法包括：首先，个人隐私信息主要包括性生活及性取向信息、健康信息、基因信息、生物特征信息、金融信息、政治意见信息、宗教信仰信息等，其中性生活及性取向信息、健康信息具有高私密性、低公共性特征，属于绝对隐私信息，对其利用极易对个人造成精神或身体损害，属于隐私权的范围，“故应采取最为严格的保护路径”，杜绝对该类信息的商业化利用，即使数据控制者征得个人同意也应视为无效。而对于基因信息、生物特征信息、金融信息、政治意见信息、宗教信仰信息等一般隐私信息，相较绝对隐私信息的敏感性稍弱，可由个人自主决定，需征得信息主体的明确同意才可使用，即opt-in 机制，并且不能以识别特定个人为目的。此外，还应该确立数据控制者的侵权责任规则，保障信息主体的人格自由。其次，个人识别信息主要包括姓名、身份证件号码、通信信息等，该类信息是自然人交往之所需，且这类信息的利用对个人隐私的影响较小，可采用较为软化的态度，减少数据控制者收集信息不必要的程序和成本，促进数据流通，故应该允许默示同意规则的存在，即opt-out机制。再次，个人活动信息主要包括地理位置信息、网络活动轨迹信息等，这类信息一般并不会直接识别到具体个人，具有低敏感性、高公共性的特征，一般情形下对其收集无需获得信息主体的同意。但由于个人信息的外延并不确定，在不同场景中其内涵会发生变化，故对该类信息应该考虑在具体场景中确定采用何种同意标准。而无论采用何种同意标准，均应确定禁止识别规则，以防个人被反向识别。

在具体操作上，保障个人对其信息控制的关键在于达到“知情”的实质效果，以改善知情同意规则在实践中沦为僵尸条款的尴尬局面。因此，针对个人的专业知识不足以及耐心有限，为充分落实个人知情的实体权利，合规有效的网络服务协议应该具备以下条件：其一，协议内容应该简单、易懂、明确、具体。总体来说，内容应该就个人信息收集的目的、范围、处理方式、拒绝提供信息的后果进行告知，并尽量采取通俗易懂以及醒目的方式加以说明。其二，应保证所告知的信息可随时访问，告知的方式同样应该简单易懂，从而使信息主体知晓哪些信息被收集和处理。有学者以列举负面清单的方式确保数据控制者履行有效的告知义务，立法应禁止数据控制者以默认勾选或者超链接的方式降低信息主体的注意力，保证告知的有效性。其三，在网络服务协议中的初次同意并不等于后续整体同意，前者的同意仅一次有效，后续如若再需获取其他信息，则要求数据控制者就特定的业务功能单独获取信息主体的授权同意。

2.处理阶段：匿名化规则与选择退出规则

个人信息被收集之后处于处理阶段，在该阶段其极易受到侵害，故立法应从强化信息主体的权利和加重数据控制者的义务双重层面保证个人对自身信息的实质管控。首先，就数据控制者而言，应该遵守匿名化规则。这一规则在《网络安全法》第四十二条第一款已有具体规定。匿名化规则是解决信息保护与应用矛盾的一个有效方式，该规则的目的是降低身份识别风险。虽有学者认为这一技术已经失色，并不能避免个人身份反向识别的情形发生；但就目前技术而言，个人信息匿名化规则不失为平衡数据流通和保护个人信息的一种重要方式，技术上尚不能对匿名化作出绝对的保障，但去标识化的手段已经比较完善，将其作为数据处理的最低要求也较为合理。在具体操作层面主要是对个人信息的标识符进行删除或更改，使其不能再识别具体主体。其中，对直接个人信息，一般会删除其直接标识符号或进行系统性化名，达到识别不出具体个人的效果；对间接个人信息，由于其通常传达某种可能对后续分析很重要的信息，去除范围的大小直接决定数据利用的价值，因此，在处理间接个人信息时通常采取更改符号或进行扰乱等方式。其次，就信息主体而言，应确立选择退出规则。对个人信息在收集阶段采用分层同意的灵活宽松规则，并不意味着对于责任的放松。对于个人信息在处理的过程中可能面临的危害，信息主体有权根据信息使用的目的、方式，在合理的情形下，撤销对数据控制者以及第三方数据利用者的授权，这种合理情形是指信息主体发现自身信息正处于可能被侵害的高风险状态。一旦信息主体要求数据控制者停止对其信息的处理，数据控制者应立即停止。从这个角度看，个人对其信息的让渡仅仅是暂时地许可他人使用，这正是“一次同意一次有效”在处理阶段的体现，以减少一次性授权可能带来的负面影响。

3.利用阶段：有限转让规则与删除规则

个人信息的利用包括内部利用与外部利用，其中外部利用会涉及信息主体与第三方数据利用者之间的权利义务关系，此时如何保障信息主体约束第三方数据利用者尤为重要。首先，应确立有限转让规则。以财产权路径保护个人信息的模式，关键是对信息主体让渡个人信息权利的范围进行限制，以此防止第三方主体未经授权的后续利用损害信息主体的合法权益。毕竟，拥有权利的个人对于负有义务的人是小型统治者。当数据控制者获得信息主体的初次授权后，在约定的范围内，未经信息主体许可，数据控制者不得擅自转让或与第三方数据利用者共享信息主体的个人信息。另外，即使第三方数据利用者取得了信息主体的再次授权，其在与数据控制者进行数据共享之前，双方应该进行事前隐私风险评估，避免个人信息安全事故的发生。其次，在信息利用阶段删除规则是必选规则，这一规则在个人信息财产权制度中最具代表性，它赋予信息主体对其信息享有“可强制执行的财产权”，保证信息主体以所有权人身份要求数据控制者以及第三方数据利用者删除其信息。我国《信息安全技术 个人信息安全规范》中规定了数据控制者的删除义务，即当利用个人信息达成目的后应及时删除相关个人信息。

五、结论

从资源本位的角度来看，个人信息是重要的社会资源。在民法规范视野下，现实中的权利是由社会可供资源与人们需求之间的比值来确定的。个人信息本身涉及多元主体利益，如何为其配置适当权利以理性回应现实问题并平衡多方利益，值得深思。在大数据时代背景下，个人信息的财产利益凸显，确立个人信息财产权的呼声高涨，该权利是个人信息人格利益内化的结果，具有独立性。有学者认为，将具有人格利益的个人信息赋予财产权是对人权的亵渎，实质上，通过财产权衍生的相关权利和救济措施恰好能够弥补以隐私权导向保护个人信息的不足，两者的保护模式殊途同归，均以切实保护个人信息为目标。正如有学者认为，掣肘个人信息利用的深层矛盾在于如何保障信息主体在最低程度上不受损害，在中级程度上得到数据控制者所得利益的分配与分享，在终极意义上感受到对自由与尊严的尊重。笔者通过分析《条例》条文发现，它在整体上丰富了个人信息权利，强化了个人对其信息的控制，隐含以财产权为核心的保护框架，此立法路径可谓先进，值得借鉴。故笔者主张以财产导向进行个人信息保护的制度设计，然而这一构想是否完善，仍需在实践中加以检验。只有秉持开发与审慎并重的态度，个人信息财产权体系的构筑才能破解个人信息保护的困境，达到各方利益的动态平衡与整体和谐。

注释：

②洪海林：《个人信息的民法保护研究》，法律出版社2010年版，第65—67页。

③崔聪聪等：《个人信息保护法研究》，北京邮电大学出版社2015年版，第109页。

④王秀哲：《信息社会个人隐私权的公法保护研究》，中国民主法制出版社2017年版，第27—29页。

⑥张毅菁：《数据开放环境下个人数据权保护的研究》，《情报杂志》2016年第6期。

⑦[美]劳伦斯·莱斯格：《代码2.0：网络空间中的法律》，李旭、沈伟伟译，清华大学出版社2018年版，第11页。

⑨⑩Paul M.Schwartz，Beyond Lessig’s Code for Internet Privacy: Cyberspace Filters， Privacy Control，and Fare Information Practices，Wisconsin Law Review，Vol.8，2000，p.743，750.