个人信息多重保护的法律规制研究（三）
宋才发教授
凤凰新闻社讯
（续三）三、个人信息多重保护的法治路径
（一）把个人数据财产权益纳入可执行财产保护范围
把个人数据财产权益纳入可执行财产保护范围，是适应数字经济发展趋势需要的必然要求，但是需要在法律框架内明确其具体边界与执行方式。譬如，2022年6月公开向全国征求修改意见的《中华人民共和国民事强制执行法（草案）》，第一百条就把“网络虚拟财产”纳入可执行财产范围。“数字资产”的概念比“网络虚拟财产”更为宽泛，涵盖范围包括但不限于虚拟货币、游戏账号、数据产品等。随着数据经济的快速发展，个人数据经匿名化、脱敏处理后形成的“衍生数据产品”，因其具备独立的商业价值和可交易性，事实上已具备财产属性，因而理论上应当将其纳入可执行财产的范畴。新时代新阶段的数字经济，既是创新经济、更是法治经济，建设“数字中国”是构筑国家竞争新优势的有力支撑。既然国家已经为个人信息数据立法，那么，“数据权利保护期限”就必然成为一个绕不开的话题。尽管《民法典》规定的“民事权利”，从一般意义上说，它是不受时效限制的。但是如果设置过长的法定期限，对于数据的有效流通与价值的更大释放来说，也是有违“民事权利”初衷和基本原则的。因为它可能会导致原本具有公定力的“法定期限”，由于得不到市场的正反馈而丧失法的安定性。然而就“数据权利保护期限”而言，它并不是一个规范的法律术语，说到底只是一个追求的“功能主义”，而非理论上的“逻辑自洽”问题。随着数字法律规则体系愈来愈健全和完善，数字化转型是所有单位组织的必然趋势，各行各业的市场主体既是数字治理的参与方，更是数字合规治理的主体。数字“全周期管理”“全周期合规”的要求，是一切单位组织合规治理的必然选择，保护个人信息、维护个人数据安全，是一切单位组织的法律义务。为了保护数据权利人的追溯效力，用“使用频次”替代原来的“时间周期”是值得尝试的一种选择。在使用频次上设置法律意义上的保护周期，更符合新时代数据使用特性和数据流通的需求。用时间单位来衡量事物的未来价值，本身就是一件既不科学也不合理的事情。信息数据的资源价值和财产属性已被全社会所共识，从数据财产属性、市场可流通性、维护当事人权益和促进数据治理方面审视，数据财产权益能否被执行？事实上关乎当事人胜诉权利实现和司法公信力的维护。党的二十届三中全会提出要“加快建立数据产权归属认定、市场交易、权益分配、利益保护制度”，提升数据安全治理监管能力，证明数据权益是一种新型、内容具有复合型的民事权益，包含着“人格权益”和“财产权益”等。依据数据“权利束”理论和“数据二十条”中的“数据三权分置原则”，公民个人数据财产权益可以数据“合法持有”作为执行责任财产认定和权益归属的判断基准，其所具有的数据基础性权能和功能，使其具备执行查控、价值评估、处置交付等程序的适格性。个人数据财产权益执行具有法律规范上的正当性和必要性，未来应当突破传统规则的束缚，将其纳入可执行财产的保护范围。
（二）对侵害信息技术类知识产权实施惩罚性赔偿
惩罚性赔偿制度在信息技术类知识产权领域得到有效落实。《民法典》规定的损害赔偿，最主要的功能就是经济“补偿”，一般遵循“完全赔偿”和“恢复原状”的补偿原则，通过这种足额补偿的途径和方式，使受害人处于假如损害事件没有发生时其本应处的状态。对于侵权行为同时还造成他人精神损害的，如果只是属于轻微的精神损害，就诉至法院要求赔偿精神损害，可能会导致法院的案件量剧增，耗费大量司法资源，故法律把精神损害赔偿责任的适用限定于严重精神损害，这样有利于节约司法资源防止诉讼爆炸。《民法典》第一百七十九条在“承担民事责任”的方式中，首次规定了“惩罚性赔偿”制度。《民法典》第一千一百八十五条明确规定，“故意侵害他人知识产权，情节严重的，被侵权人有权请求相应的惩罚性赔偿”。我国在信息等新型技术类知识产权制度实施初期，由于“故意侵害他人知识产权”行为证明难、损害赔偿计算难、法律适用细则较模糊等原因，适用惩罚性赔偿的案件数量不多，赔偿请求的支持比率在知识产权领域差异较大，多数案件适用惩罚性赔偿的倍数也比较低。即使在当下，惩罚性赔偿制度的威慑和预防功能仍然比较脆弱，需要随着信息技术类知识产权制度的普遍实施，不断加强和完善惩罚性赔偿制度、加大惩罚性赔偿的力度。惩罚性赔偿对作为其存在基础的补偿性赔偿具有依附性，法律有关惩罚性赔偿适用条件的规定，只是对构成应受处罚的严重侵权行为所需加重条件的规定，惩罚性赔偿诉求需要附随补偿性赔偿诉求一起提出。当下需要防患于未然的是，实施严格地惩罚性赔偿制度，也可能导致对被侵权人的“过度补偿”，甚至可能因侵权人承担过重的赔偿责任而陷入破产境地，这种心理状态是造成适用惩罚性赔偿制度犹豫不决的主要原因。到目前为止，惩罚性赔偿是信息技术类知识产权领域，惩罚性强度、威慑性力度最大的民事责任手段之一，要实现惩罚性赔偿制度的最佳效能，还需要通过进一步恰当的司法政策引导才行。对侵害知识产权行为实施惩罚性赔偿制度的目的，在于保护和鼓励信息技术类知识创新，通过鼓励企业进行风险投资，从而辐射下游企业与其他相关企业形成产业链，创造新的和更有价值的智能成果。未来要进一步明晰侵害公民个人信息罪的立法方向，着力从“调整定罪标准”和“细化敏感个人信息类型”两个方面狠下功夫。应当以健全信息技术类知识产权多部门法协同保护为目标，适时调整各部门法的保护边界和力度，进而实现法律手段与其他规制手段的协同治理。人工智能技术类知识产权活动的跨国性，决定了人工智能的治理必须实施全球性治理才行。鉴于当下人工智能国际法多以缺乏约束力的“软法”为主, 大力发展我国人工智能法的域外效力，是实现人工智能国际治理较为有效的做法。我国已具备实现人工智能法域外效力的国家能力, 有关人工智能法域外效力的制度设计，可考虑采取“人工智能监管法”和“人工智能民事责任法”二分的治理模式。前者设计适用属地管辖原则、效果管辖原则、保护性管辖原则三个层次的单边主义域外效力规则,后者无需专门的域外效力规则,由法律适用选法规则调整即可。涉外人工智能侵权行为的特殊性，给现代涉外侵权冲突规范带来了前所未有的挑战。我国现行涉外侵权冲突规范凭借技术中立性与体系包容性，在一段时期内仍能为涉外人工智能侵权提供法律适用基础，短期内并无单独制定涉外人工智能侵权冲突规范的必要性和紧迫性。尽管人工智能侵权尚未突破传统侵权法律的理论框架，但随着人工智能技术的不断发展和跨国应用的不断深入，人工智能的自主性、不可解释性等技术特征，事实上对既有的侵权责任体系构成提出了充实和修正的紧迫性。
（三）对生成式人工智能处理个人信息实施刑法规制
对生成式人工智能大规模处理个人信息引发的新型侵害风险有待刑法的有效规制。人工智能是利用计算机系统以模拟和延伸人类智能的技术科学，它包含机器识别、自动程序、智能机器人等。伴随各类人工智能服务在不同社会领域内的广泛应用，高度智能化、自动化、自主化的生成式人工智能及其关联技术，正在引发全新的结构化刑事风险，并具象为种类繁杂的涉人工智能犯罪。譬如，正在引起人们高度关注的“深度伪造”，作为人工智能处理个人信息的具体场景，已造成较为严重的社会风险和后果，如果丧失警觉还可能对社会秩序和国家安全造成冲击与损害。当下和未来有必要借鉴美国和欧盟的某些经验做法，采取专门立法以及借助现有的“数据—信息”规制路径，用以严密防控“深度伪造”造成的社会危害。从一定意义上讲，“深度伪造”的本质是身份盗窃行为，有必要在刑法规范中引入“身份盗窃罪”，这样既能弥补“合法获取+不法利用”个人信息的刑法评价不足乃至空白，又能顺带规制传统的身份盗窃行为，增强身份盗窃入罪化的扩散性立法效应。生成式人工智能的特质在认定个人信息犯罪的时候，实际上面临着诸多难于逾越的困境和难于解决的棘手难题的困扰，迫使立法者不得不从刑法上寻求破解之策和出路。我国基于“刑法先行”的特点，“先行行为”是刑法理论中将其不作为“犯罪作为义务”的一种规定，使得“刑法个人信息犯罪”罪名的设立，事实上先于生成式人工智能的产生，形成了个人信息有限赋权的规制模式。当下和未来对于个人信息的刑法规制，应当依据生成式人工智能的特质转型为场景治理模式，相应地确立危险的现实化、信息的类型化的归责路径与认定基准。数据是数字经济的驱动力，鉴于个人数据进入公知领域后所具有的公共属性，无论是数据集合抑或是数据产品，事实上都存在着“超法规违法阻却事由”。我国学者当下对非个人数据的刑法保护研究，主要集中于“爬取数据”的刑法规制问题，忽视了数据本身的特点以及数字经济发展的相关政策考量，需要确定一条适合于中国数字经济发展现状的数据刑法保护路径。基于数据产权的有限排他性与生产要素的独特性特征，同时为了避免实践中刑法处罚的罪刑失衡，传统“财产犯罪”罪名已无法适用于保护非公开非个人数据。在前置法还没有对数据产权进行明确规制的前提下，选择创设“知识产权新罪名”的路径并非是最优解，较为理性的选择是继续沿袭“数据犯罪”的罪名路径，并及时把对数据产权的例外与限制，转换为非个人数据刑法保护的“超法规违法阻却事由”。这里的“超法规违法阻却事由”，是指在某些特定的领域和情况下，其行为尽管违反了法律法规的规定，但可以搁置不予追责的行为事由。这种“行为事由”通常具有特殊性和临时性，是法律在特定条件下的一种特殊的制度安排。“超法规违法阻却事由”并不改变行为的违法性质，所改变的只是法律对其进行了特殊处理而已。
责任编辑 檄文
