个人信息多重保护的法律规制研究（一）

宋才发教授

凤凰新闻社讯

数据是新时代一种社会化程度极高的新型生产要素。党的二十届四中全会提出要加强个人信息保护，全面实施“人工智能+”行动，深化对数据资源的开发利用。《民法典》和《个人信息保护法》是个人信息保护法律体系的核心与基础，信息保护法和“数据二十条”是数据来源者合法权益的法源，《宪法》为个人数据确权和数据合理利用提供根本法支撑，应从《宪法》基本权利的高度规范个人信息被遗忘权。要加强对“已公开个人信息”的法律保护，彰显对数据新型知识产权的法律保护，侵犯公民个人信息必须承担法律责任。未来要把个人数据财产权益纳入可执行财产保护范围，对侵害信息技术类知识产权实施惩罚性赔偿，对生成式人工智能处理个人信息实施刑法规制。由中共河北省委政法委员会主管、河北省政法职业学院、河北省法学会主办的中国中文核心期刊、中国人文社会科学核心期刊、CSSCI扩展版来源期刊《河北法学》杂志，2026年第8期首篇推出宋才发教授论文《个人信息多重保护的法律规制研究》。《河北法学》杂志主编马章民。

宋才发教授系中央民族大学法学院首任院长、二级教授，湖北省有突出贡献专家、国务院政府特殊津贴专家、国家民委首届有突出贡献专家。广西民族大学特聘“相思湖讲席教授”、博士生导师；贵州民族大学特聘教授、民族法学学科团队领衔人；内蒙古财经大学特聘教授。

个人信息多重保护的法律规制研究

宋才发

数据是新时代一种社会化程度极高的新型生产要素。党的二十届四中全会，把以新发展理念引领发展，因地制宜发展新质生产力，作为“十五五”时期经济社会发展必须遵循的一项原则；把高质量发展取得显著成效，全要素生产率稳步提升，列为“十五五”时期经济社会发展的首要目标。党的二十届四中全会提出，要深化对网络空间安全的综合治理，加强对公民个人信息保护，全面实施“人工智能+”行动，构建“开放共享安全的全国一体化数据市场，深化数据资源开发利用”。为在保护“个人信息权益”的同时，促进个人信息合理利用，“国家网信办”关于互联网应用程序个人信息收集使用规定，自2026年1月起向社会公开广泛征求意见。要求互联网平台和应用程序开发商，在向社会和第三方提供个人信息服务之前，必须向用户告知个人信息收集使用规则并取得个人信息所有者的单独同意。

一、个人信息保护法律规制诠释

（一）民法典和个人信息保护法是个人信息保护法律体系的核心与基础

通过规制正当个人信息使用规则实现个人权益保护与行为自由之间的平衡。在推进数字经济和互联网平台双向发展的实践中，千万不能把“个人数据权”混同于“个人信息权”。尽管“个人数据权”与“个人信息权”在指称“个人数据”上的重合度比较高，但是它们终究是两个性质和来源完全不一样的数据。具体地说，“个人信息”对于信息主体来说，它具有明确的“财产权”价值，个人信息权就是典型的民事权利。而“个人数据”对于数据主体来说，数据主体看重的并不是数据本身所藴含的财产价值，只是因为它与数据主体有着须臾不可分离的关系，因而“个人数据权”不是财产权，而是人格权。个人信息兼具个体属性与公共属性，《宪法》的“基本权利”框架，为容纳个人信息权利提供了可能的限度，有鉴于个人信息保护的客体与通信权、隐私权等《宪法》既有基本权利的差异，有必要把个人信息权利理解为“人格尊严”项下的“新型权利”。假如笼统地把“个人信息权利”，归入《宪法》第三十八条规制的“人格尊严权”条款，则忽略了数字时代个人信息保护背后所折射的具体人格权益。在大数据时代，“信息主体”与“数据主体”两者之间的关系，为事实上的民事法律关系，没有经过数据主体的授权抑或明确同意，信息主体不得私自搜集、处理、利用和传输其个人数据。《中华人民共和国民法典》（以下简称为《民法典》）第一百一十一条和第一千零三十四条，这两个法条同时规定“自然人的个人信息受法律保护”。在《民法典》基础上建立起来的《中华人民共和国个人信息保护法》（以下简称为《个人信息保护法》），第二条明确规定：“自然人的个人信息受法律保护，任何组织、个人不得侵害自然人的个人信息权益。”从一定意义上说，《民法典》本质上是个人信息保护的宪法性基础，《个人信息保护法》则是其具体实施和实际操作的行动指南，它们共同构成了个人信息保护法律体系的核心与基础。《个人信息保护法》作为保护公民个人信息权利的基本法，通过第四十四条明确了“信息自决”的立法价值。“信息自决”是指公民个人能够对自身信息产生控制力并决定其如何使用的决断能力。但是客观现实中的“控制力”，并不能等同于“控制权”。因为通常在大多数情况下，个人信息往往处于脱离主体控制的游离状态，需要有专门法律设计的特殊规则对其实施规范和保护。个人信息相关权利在公法和私法领域里各有侧重，譬如，在私法领域里个人信息可以从“受法律保护的利益”升华为“权利”。升格为“基本权利”的个人信息，具有主观权利方面的“防御权功能”和“受益权功能”，以及客观权利方面的客观“价值秩序功能”。公民的“基本权利”可以构成私法领域的“特定法益”，即通过立法活动使公民获得私法规范对基本权利的法律保护。

（二）信息保护法和“数据二十条”是数据来源者合法权益的法源

我国私法领域的个人信息法律规范尚未形成体系化的样态。中共中央、国务院“数据二十条”第二部分第七款，提出要充分保护“数据来源者”的合法权益，保障数据来源者享有获取或复制转移由其促成产生数据的权益。在“数据二十条”提出“数据来源者权利”之前，我国法律并没有认可所有者对附属在其动产、不动产上的数据来源者权利，法律对数据来源者的保护只限于个别特定的情形，如当数据来源者对其数据进行创造性利用抑或大规模收集的时候，法律才对满足相应条件的数据实施信息保护措施。法律之所以拒绝对数据来源者赋予一般性保护权利，这是因为数据本身具有非排他性、非竞争性、非消耗性等特征，一般多位于公共领域。如果赋予数据来源者对其数据的排他性权利，可能不利于数据的共享流通，违背新时代数据的公平合理使用原则。为避免在个人信息法律保护体系的目标设定上出现认知偏差，我国把个人信息法律保护体系的基本目标，界定为通过保障个体的匿名性存在而确保“私域”与“公域”之间的界分，以利于网络平台与数据技术的推广与应用，进而创造和生成一种新的社会秩序。为使通过保障个体的匿名性存在而确保“私域”与“公域”之间界分落地见效，未来需要在法律归责机制的构建上，遵循如下三个基本理念：一是考虑风险分配与归责机制的构建，把归责机制的构建与对私域自主的维护，提升到重构合理的政治与社会秩序的高度；二是把决策者与风险制造者都纳入归责主体的范围内，对各方主体如何分担风险，进行整体性的思考并做出相应的制度安排；三是对个人信息予以分类，对属于敏感信息的个人信息进行赋权，作为基本权利来对待，以此对抗公权力的滥用与来自社会领域的压制。为保护数据来源者的合法权益，当下和未来需要界定和明晰数据来源者、数据处理者、数据生产者三者之间的关系，厘清它们在数据权益体系中的法定位置。

（三）《宪法》为个人数据确权和数据合理利用提供根本法支撑

《中华人民共和国宪法》（以下简称为《宪法》）为个人数据确权提供根本法保障。个人数据包括“个人信息数据”与“非个人信息数据”两个类型，数据持有者不能基于劳动赋权论证成对个人数据的所有权。但是个人信息数据的收益权，却可以通过经济利益外的人格利益加以证成；非个人信息数据的收益权，也可以结合个人经济利益与数据流通的方式证成。数据是信息的关键载体，公民个人对个人数据享有的是“个人信息权益”。个人信息权益属于民事权益中的“人格权益”而非权益的集合，个人在个人信息处理活动中的权利，则属于个人信息权益的基本权能。“个人信息权益”保护的核心利益是精神利益，公民个人可以许可他人对其个人信息数据，进行商业化利用而获得相应的经济利益。与此相对应的企业，对企业数据享有的是数据财产权。个人不仅可以同意数据处理者处理个人信息，还可以授权他人抑或数据企业对其个人数据进行商业化开发利用。在“企业数据”与“公共数据”中，既有个人数据，也有非个人数据，公民个人数据是极为重要的一类数据类型。类型化是明确概念外延的方法之一，把特定的对象归入典型类型，有助于明确概念的外延，并推进个人数据权利的体系化。个人数据作为新时代新阶段的新型生产要素，已从静态的隐私载体，逐渐演变为流动的核心生产要素与社会治理基础资源，是数字化、网络化、智能化的基础，深刻地改变着生产方式、生活方式和社会治理方式。生产要素直接反映着人类社会不同发展阶段的生产力水平状况，具有变革传统生产方式、催生新产业、新业态的功能，是驱动经济社会发展的关键生产要素。随着个人数据作为“关键生产要素”价值得到社会普遍认同，国家层面密集出台相关政策，明确提出建设数据可信流通体系和可信数据空间。数据空间作为技术、法律与治理相结合的数据重用制度方案，正逐渐成为支撑数据要素流通的关键基础设施。构建以“高质量数据集”为基础的可信数据空间，是全面释放数据要素价值、培育和发展新质生产力的必然要求。如何界定数据权属、确立数据的所有权和合理使用权，愈来愈引起人们和社会广泛而高度地关注。自中共中央、国务院在“数据二十条”里提出“数据流通各环节产权制度”以来，数据确权已不再追问某个特定的所有权主体，确权政策开始直面流通数据的真实状态及其属性，逐步形成具有中国特色的数据产权制度体系。

“数据二十条”里所说的“数据产权”属于“财产权”。个人信息是受《个人信息保护法》保护的个人权益，因之产生了“个人信息权益保护规则”与“标识性人格权保护规则”。来源于公民个人信息的数据，在其实现“完全匿名化”之前，它始终裹挟着信息权利人的“人格权”。“人格权”属于《民法典》规制的“绝对权”。依据《民法典》对“绝对权”的规范和诠释，在个人数据发生流转抑或被利用的整个过程中，信息权利人始终具有对数据利用行为提出约束性主张的权利，这就使得数据利用者不可能实现对数据完全匿名化的处理。在以新发展理念引领数字经济运行的过程中，国家数据运营中心和企业数据运营机构，对公民个人信息数据加工利用的主要目的，是为了向社会提供更多、更好满足消费者需求的服务和产品。只有当政府机关能够积极汇集公共数据资源并向社会公众开放的时候，才能实现对数据资源更广泛、更有效地利用。数据利用者会因之进一步扩大收集个人数据的范围和力度，这种发展趋势也使得个人信息权益可能出现被泛化的倾向。一旦个人信息权益被泛化，就必然引发权利内涵的模糊化与权利保护的稀薄化。个人数据确权面对不同部门法之间的价值碰撞，不只是限于民法与经济法之间，即使正在建设中的全国一体化数据市场，也会遭遇到各级各类政府机关的利益冲突和挑战，这无疑对《宪法》规范体系提出了更高更新的要求，需要探寻一条从《宪法》视角出发的数据确权方案路径。现行《宪法》第三十三条第三款规定，“国家尊重和保障人权。”第三十八条又规定，“中华人民共和国公民的人格尊严不受侵犯。”在个人数据上存在着的作为“人格权益”的个人信息权益以及隐私权，是对《宪法》规制的“人格尊严”“人身自由”的贯彻。这即是说，无论国家数据运营中心抑或企业数据运营机构，都必须义无反顾地防止侵犯数据权利人的人权、损害人格尊严。然而，当公民个人的信息数据被充分流通与利用，对促进数字经济发展、提高人民生活水平发挥重要作用的时候，数据权利人需要遵循《宪法》第十四条第一款“国家通过提高劳动者的积极性和技术水平，推广先进的科学技术”的规定做出主动让步，不得阻碍数据流通充分利用的数据确权方案。

（四）从《宪法》基本权利的高度规范个人信息被遗忘权

大数据时代数字化生存方式使个人数据权利受到前所未有的重视。人们在享受大数据带来需求满足和便利的同时，因各种数据库通过强大的网络技术实现无间隙对接，促使信息主体成为透明的、无隐私的数据化个体。使得“个人信息被遗忘权”，直接同人的尊严与生存紧密相连，再也不能把它仅仅视为一种普通的法律权利，必须从《宪法》基本权利的高度来认识和规范“个人信息被遗忘权”，从而加强对个人信息权的多重法律保护。遗憾的是至今还没有建立起《宪法》基本权利保护的立法模式，即“平衡个人信息权利与国家公权力机关搜集、使用个人信息间的法权结构”的个人信息保护立法模式。大数据时代的“个人信息被遗忘权”，起源和发端于传统的“遗忘权”。伴随互联网、大数据、搜索便捷等网络存储技术的快速发展，传统“遗忘权”的有限主体范围，已经无法保护信息主体的个人信息权利，事实上突破了信息主体对个人信息的有效掌控。基于大数据时代个人信息权多重保护的需要，“个人信息被遗忘权”便应运而生。2014年欧盟的“冈萨雷斯诉谷歌被遗忘权案”，是世界上首例“个人信息被遗忘权”案件。欧盟《一般数据保护条例》第十七条，首次明确地规定了被遗忘权条款。“被遗忘权”的基本内涵是：当数据处理存在客观地与其被收集的目的不相关、数据主体同意撤回、存储期限已过、被不合法处理等情形，以及数据主体行使法定的“拒绝权”的情形下，数据主体有权从信息控制者那里删除与其个人相关的信息，并有从第三方处删除与这些信息相关的链接、复制、复制品的权利。我国把“个人信息被遗忘权”定义为：公民依法享有对个人信息控制与支配的权利，即可以把“已经合法公开”的个人信息，从所处的公共空间领域里撤离出来，使其回归到隐私空间里。在我国与“被遗忘权”相近的概念是“删除权”，《民法典》第一千零三十七条第二款规定，自然人在信息处理者违法或者违反双方约定的情况下，“有权请求信息处理者及时删除”。这条规定意味着我国设立“被遗忘权”，是一种民事权利保护的模式。实事求是地说，设立《宪法》“基本权利的保护”模式，或许更有利于体系性保护公民的被遗忘权。因为确立“被遗忘权”是一项《宪法》基本权利，既能系统厘清“被遗忘权”的权利属性，又能全面保护公民的个人信息权。自2021年11月1日起施行《个人信息保护法》，第四十七条在《民法典》的基础上，进一步规制了“个人信息被遗忘权”（删除权）的五种具体情形，表明“个人信息被遗忘权”在我国已经获得了法定权利的内涵，有依法获得法律保护的价值与利益。

（五）人权保护范式从“代际人权”向“领域人权”的转型

数字技术的便利、快捷和高效在公共服务领域开辟了广阔的应用前景。尽管如此，但信息数据披露的强制性与敏感性，可能引发隐私风险等意料不到情况的发生，迫切需要构建分类保护的法律规则。譬如，在个人权利维度上，敏感个人信息数据通常具有高度的隐私性，需要通过私权保护措施防范个体权益遭受损失；在公共服务维度上，敏感个人信息数据迅速汇集后立马具有公共物品的属性，可能会因之而影响到社会公共利益与公共安全。因而在公共服务领域采纳个人数字化处理技术之前，立法、执法、司法机关应当展开一系列前置性风险评估，确保个人信息数字化服务更好地实现公共福祉。《个人信息保护法》的私权保护功能，主要是通过个体控制机制与私人诉讼制度实现并达到其目的。尤其要通过界分《个人信息保护法》的“过错推定原则”与《民法典》隐私权侵权的一般“过错原则”，避免个人信息在算法决策的过程中遭到滥用，依法阐明个人信息“权利束”保护之诉的必要性和可行性。与此同时，为了维护数据资源的合理开发利用和社会公共利益不受损，《数据二十条》就建立数据产权制度等基础制度提出全面、系统的规范意见，强调在数据产权制度建立的过程中，核心问题是要“建立健全个人信息数据确权授权机制”。《数据二十条》第六条把“个人数据授权”区分为两类：第一类是“个人授权”，即个人授权数据处理者按照授权的范围合法处理个人数据；第二类是“法定授权”，即对特定的个人数据依法依规授权有关单位使用。在这里“个人信息权益”是个人数据授权的前提和基础，一般通过个人数据许可使用合同进行授权。数字时代人工智能技术在推动传统社会形态结构性变革的同时，通常也会连锁地引发人权保护范式的现代转型。当信息权利发展嬗变并进化到成熟阶段，信息数据权利便跃升为一种“新兴人权”，有学者认为它有可能成为“第四代人权”。“数字人权”概念把个人信息被保护的权利，上升到了《宪法》“基本权利”的高度。《个人信息保护法》拓展了个人在信息处理活动中的权利，赋予个体以知情权、决定权等一系列个人信息权利，“为了保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用”，《个人信息保护法》在第一条还说了一句归总的话“根据宪法，制定本法”。未来要以防范数字人权侵害的领域性风险问题为导向，明确数字人权的保护范围和保护路径，在保护方式上发挥领域法的整合性保护作用，以期推动中国特色领域人权知识体系的构建，达到有效应对数字技术对个人信息尤其是数字人权的全域性冲击。尽管我国已建立起以《个人信息保护法》为主体的个人数据保护体系，但是仍然适应不了从“代际人权”向“领域人权”转型发展的需要。因为个人数据不只是关乎数据所有者个体的权益，更在乎群体层面衍生出来的相关利益形态；数据处理者也不再只是寻求具体个人偏好，而是在群体层面开展数据分析，所致影响也发生在群体层面，群体数据利益及其保护问题已经浮出水面。即使《个人信息保护法》也未涉及到群体的利益问题，因为当时的情况还没有发展到需要立法规制的程度。这种因数据关联性衍生出的利益侵害，正在侵蚀传统个人赋权型治理框架的正当性基础，限于“群体数据利益”的法律定位尚未明确，相关法律对群体数据利益保护事实上存在诸多空白之处。加之群体数据利益保护的监管机制不完善不健全，群体数据利益的保护缺乏具体操作规范与标准，导致群体数据利益在遭受不法侵害时，影响了个人信息权利人获得及时、有效的救济。（待续）

責任編輯 檄文