数据权力视野下个人信息保护的趋向——以个人信息保护与隐私权的分立为中心

王 苑

(清华大学 法学院， 北京 100083)

一、问题的提出

《中华人民共和国个人信息保护法》(以下简称《个人信息保护法》)已正式生效，《个人信息保护法》中所确立的个人信息权益与《中华人民共和国民法典》(以下简称《民法典》)所确立的隐私权与个人信息保护之间的关系成为了理论中的一大难题，二者究竟在内容上是交叉关系，还是并列关系，抑或包含关系[1-5]？二者关系的模糊性已经造成法官法律适用上的困难，如涉隐私与个人信息民事纠纷中，法官是否必须优先审查是否侵害了隐私权？又如侵犯个人信息权益的案件应当适用《个人信息保护法》确立的过错推定责任，还是适用《民法典》的过错责任等问题[6]也应运而生。

无论是解释上的困境，还是适法上的难题，归结到一点，就是个人信息的保护是否应当继续与隐私权相互牵连，是否可以挣脱以隐私权为代表的权利保护模式而采取一条新的进路。笔者通过对比较法的考察及对交往行为理论的借鉴，试图从根源上说明一个问题：即隐私权和个人信息保护虽然在内容上有所勾连，个人信息权益中可能包含了隐私利益，但二者的保护机理存在根本性的不同，个人信息保护模式必须采用不同于传统隐私权的保护模式，强化公权力机关的作为义务，或可为理论与实践寻找一条新的进路。

二、耦合与裂变：个人信息保护与隐私权保护的分立

国际社会个人信息保护脱胎于传统隐私权，在漫长的历史演进中经历了从耦合到分立，欧盟通过基本权利宪章已基本完成这一转变，而美国立法对此态度尚且暧昧，但理论上对分立却已基本形成共识。在中国，宪法上基本权利的保护一贯都以公私法多元保护模式呈现，《中华人民共和国刑法》(以下简称《刑法》)、《中华人民共和国网络安全法》(以下简称《网络安全法》)回避了对隐私权和个人信息保护的关系的规定，直到在《民法典》中隐私权与个人信息保护规范上的分立得到了确立，但在私密信息上还有所牵连，而《个人信息保护法》应当被视为个人信息保护的基本法，和隐私权保护区分这一立场在其中得到了深化。

(一)国际社会个人信息保护与隐私保护的合分之路

欧洲保护隐私和私人生活的传统由来已久，据学者考证，欧洲内部宪法层面对隐私权的保护可追溯至19世纪30年代[7]。而直接渊源可溯至1953年 生效的《欧洲人权公约》(ECHR)，其中第8条 明确每个人有私人和家庭生活、家和通信受尊重的权利。在该阶段，个人数据是通过隐私权进行保护的，二者之间的界限并不明晰。

隐私权的历史始于美国。自1890年Warren和Brandeis[8]在《哈佛法律评论》上发表《隐私权》(The Right To Privacy)一文以来，隐私的范围一直在扩张①。但即便是信息隐私的鼻祖Westin，在其1967年出版的《隐私与自由》(Privacy and Freedom)[9]一书中，也并未用信息隐私来表述他的隐私概念，而是始终用“Privacy”一词来涵盖新的隐私权内容②。理论上，美国个人信息保护与传统隐私权逐渐分离，是Westin和Miller分别提出了信息控制论的结果，他们认为隐私意味着“个人、群体或组织决定自身信息何时、如何以及何种程度与他人进行交流”[9]或是“有能力控制信息的流通”[10]。建立在信息控制论基础上的个人信息保护，更为关注个人信息的不当收集、使用和传播对于个人的侵害，而且其侵害不限于隐私，也可能侵害个人的权利和自由。这也就意味着其突破了传统隐私侧重保护“私密、独处”等目的，更加偏重个人自主自治的保护。

同一时间，欧洲方面的数据保护却开始逐渐脱离隐私权并获得了单独的保护地位，其标志性立法是1970年德国黑森州数据保护法，该法系世界上第一部数据保护法，有学者认为其立法工作受到了Westin和Miller信息控制论的重大影响，开始强调信息和通信技术对人格和尊严的影响[11]。在该法基础上，德国《联邦数据保护法(草案)》中明确提出信息自决权的概念，嗣后，德国联邦宪法法院通过一系列判决将其确认为宪法层面的具体人格权，其目标直接与宪法规定的人格自由发展权和尊严权挂钩，其法益保护范围远远大于隐私利益。第一部国家层面的数据保护法——《瑞典数据保护法》，也没有将数据保护与隐私联系起来，它宣称的目的是保护人的完整性。法国政府进行了一系列研究报告后，于1978年通过了《法国计算机、文件和自由法》，该法的目的是确保计算机不得损害人的身份，也不得损害人权、个人私生活或个人或公共的自由[12]。整个欧洲的数据保护的初始版本并未明确提及任何等同于隐私的概念。

20世纪80年代，数据保护在整个欧洲层面寻求更高层次的保护，通过了两份开创性的国际文件：1980年的经济合作与发展组织准则和1981年的欧洲委员会第108号公约，旨在“加强数据保护，即在自动处理与个人有关的个人信息方面对个人的法律保护”。虽然两份文件并未与隐私权和尊重私人生活的权利有严格的区分，但在第108号公约中，数据保护已经明确进行了范围限缩，并直指涉自动处理的行为。

进入21世纪，隐私权和个人信息保护虽然在法益上仍有交叉，但在保护依据和保护方式上，在欧洲已经明确相互分离，体现在《欧盟基本权利宪章》(Charter of Fundamental Rights of the European Union，以下简称《宪章》)第8条将数据保护作为一项基本权利，独立于第7条所保护的隐私权。至此，隐私权和个人信息保护之间在欧洲基本权利层面完成了正式的“去耦合”。但欧洲人权法院显然不受《宪章》的拘束，在一系列人权法院的判决中，依然援引《欧洲人权公约》支持将个人数据保护作为隐私权的一部分，从而又模糊了数据保护与隐私保护的边界，实现了二者关系的“再耦合”③。根据《里斯本条约》第16条第2款制定的《一般数据保护条例》(GDPR)，吸纳了《德国联邦数据保护法》所确认的信息自决权，实际上标志着欧盟数据保护框架已经从“个人数据保护服务于隐私保护”转变为明确“保护个人数据的权利”，而《宪章》第7条中的“尊重私人和家庭生活”只是保护个人数据权利的目的之一。

欧盟引领的隐私权与个人信息的分立保护模式目前已成为了国际立法主流，美国的信息隐私与隐私保护的分离不像欧洲有《宪章》作为直接依据，实际上，虽然学者们将信息隐私指代欧盟的个人数据保护，但是美国多部成文法名称均未言及信息隐私④，到目前为止，信息隐私能否作为一项宪法权利而存在，依然存在一定争议⑤。换言之，虽然理论上信息隐私和传统的隐私之间已经可以作出一定的区分，但实践中，美国就二者如何区分还有很长的路要走。

无论欧美立法中采取何种立场，但理论上隐私权与个人信息保护权本身性质有别，也不宜混为一谈。即便在欧盟，两者均被视为基本权利，但隐私权被视为自然法上的权利，属于“人天生就具有的权利”⑥，而个人信息保护权，被纳入《宪章》的保护，实际上是立法所赋予的，同样作为基本权利，前者是事实上形成的基本权利，而后者是法律上形成的[13]。前者的基本权利的范围是不固定的，而后者有明确的法定范围。对于隐私权而言，其作为一项事实上形成的基本权利，如何在具体场景中对其进行文义解释、体系解释、历史解释及目的解释，尤为关键。而作为一项法律上形成的基本权利，个人信息保护有明确的范围，其排除了将个人信息权益作为人权意义上的绝对保护。《宪章》第8条虽然在第1款中规定了“人人享有保护其个人数据的权利”，但第2款明确了义务主体的义务，第3款则要求数据保护必须有独立第三方机构控制和监管。这不仅反映了个人信息保护权与其他人权之间的显著差异，还揭示了一个重要内涵，即个人信息权益的保护以公平处理信息的义务为前提⑦。

(二)中国传统隐私权与个人信息二元保护机制的确立

《个人信息保护法》出台前，中国不存在明文的宪法隐私权，当然也没有宪法上的个人信息保护[14]。虽然宪法通过通信秘密和通信自由条款对隐私利益有所保障，但隐私权在中国实际上主要是通过民法来保护的。最早提到“隐私”的法律文件是1988年的“关于贯彻执行《民法通则》若干问题的意见(试行)”第140条，“以书面、口头等形式宣扬他人的隐私，或者捏造事实公然丑化他人人格，以及用侮辱、诽谤等方式损害他人名誉，造成一定影响的，应当认定为侵害公民名誉权的行为”[15]。对隐私的保护是通过类推适用名誉权的办法来填补法律漏洞。对侵害隐私的方式规定为“口头书面形式宣扬”，私密空间肯定无法以宣扬的形式侵害，其实就是将私密空间和私密活动排除在保护之外，可见在最早的侵害隐私利益的法律文件中，对隐私包含私密信息是不置可否的。

2001年最高院“关于确定民事侵权精神损害赔偿责任若干问题的解释”第1条第2款规定“违反社会公共利益、社会公德侵害他人隐私或者其他人格利益，受害人以侵权为由向人民法院起诉请求精神损害赔偿的，人民法院应当依法予以受理”。该条确定了隐私独立受保护的地位。隐私的范围被扩大，不再仅限于私密信息。在《民法典》中明确了隐私的范围，其中就包括私密信息。

对于隐私和个人信息的关系，宪法上并没有明确的规定，对于个人信息权益这种新兴的人格利益，最初是从刑法和行政法上对其进行了规制，刑法中对个人信息保护的保护，指向的是信息系统或者个人信息，对侵犯隐私权的纠纷，刑法不予介入，有学者据此认为，刑法对于隐私和个人信息一直都是分立保护的视角[16]。行政法上，对于隐私和个人信息的规范没有严格恪守分立的理念，如网络安全法、数据安全法、电子商务法等均将隐私和个人信息并立列举。这组概念关系上的模糊和牵连，一直延续到了《民法典》的立法中，个人信息保护在《民法典》中经历了从无到有、从粗到精的过程⑧。随着《个人信息保护法》的出台并实施，目前法律体系已经完备，但对于个人信息保护这样的跨部门法保护命题，法秩序的统一性则备受关注。

在欠缺明确的基本权利保护的情况下，《个人信息保护法》如何与刑法和民法相互协调，而个人信息权益与隐私权在中国法语境下是何关系？这都是亟须回应的话题。自2012年全国人民代表大会常务委会通过《关于加强网络信息保护的决定》以来，个人信息保护也一直与隐私权相互牵连，该决定第1条：“国家保护能够识别公民个人身份和识别公民个人隐私的电子信息。”从该条不难看出，个人隐私信息作为了个人信息的一种受到保护，但是在《个人信息保护法》中就没有再对身份信息与隐私信息两者进行明确的界分，而是统称为“自然人的个人信息受法律保护”。虽然个人信息权益作为一个权益集合，内容上包含了隐私权，但是个人信息保护法的立法机关显然不想从权利性质和权利内容去划定隐私权与个人信息权益的范围和边界，而是从保护手段上进行了有益的探索，该法明确了只要涉及个人信息处理行为的，应当优先适用个人信息保护法的规则，也就与传统隐私权所保护的对象渐行渐远了。

进一步说，如果隐私权与个人信息保护的关系无法厘定，对于中国各部门法关于隐私权和个人信息保护如何统一适用必然造成很大的困难。例如，《民法典》中，认为隐私权应当优先于个人信息适用，但《刑法》中却仅对侵犯个人信息罪有所法定，两部基本大法对法益的评价存在如此大的分歧，这对于法秩序统一是极为不利的。又如，私密信息属于《民法典》隐私权的保护范畴，而私密信息与《个人信息保护法》中的敏感信息又是何关系？处理敏感信息的时候是否应当单列私密信息一项呢？反观欧盟国家，个人信息保护基本上游离于民法体系之外。而在美国，对信息隐私的保护，私法救济只是其中极小的一部分。中国的个人信息保护，为解决体系解释上的矛盾和评价上的不统一，隐私权和个人信息保护分立也许是最为便捷和有效的途径。

此外，从《个人信息保护法》的立法定位上，《个人信息保护法》也并非《民法典》的特别法，而是一部对个人信息保护进行全面规范的兼具公法与私法属性的综合性法律[17]。虽然其中的民事条款与民法典存在特别和一般的关系，但是显然《个人信息保护法》中的隐私利益，作为信息处理法律关系中个人信息权益的核心法益之一，其保护应当优先由《个人信息保护法》的制度予以保护。

三、究竟与探源：个人信息保护应与隐私权保护区分

本质上，隐私权和个人信息保护权无论从所涉行为，还是应遵循的规则角度，都具有差异性，不可同日而语。美国学者Post[18]将传统意义上的隐私视为尊严隐私(Dignitary Privacy)，而个人信息保护称为数据隐私(Data Privacy)，因前者涉及人的尊严和自由，而后者在他看来是工具理性的产物。Post[18]还认为，隐私本质上是从公共领域保留的事务，为其划定边界的是交往行为，而个人信息保护制度针对的是信息处理行为。下文拟详述之。

(一)交往行为与信息处理行为

隐私边界其实是人类根据交往的事实和习惯所生成的[19]，因此是交往行为的结果。交往行为理论由德国哲学家哈贝马斯提出，他认为，人并不是想要彼此交往，而是必须相互交往[20]118。交往行为发生在可以相互协商的平等主体之间，主体可以就行为的边界通过协商最终达成一致，而这种协商所形成的“契约”随着社会发展、技术进步而变化。前社交网络时代，人和人的交往更多依赖于信件、电话等方式，而现在则代之以社交网络，社交网络越来越被视为类似于“街角”(美国宪法中经典的公共领域形象就是街角的发言者)的新公共空间。在公共领域，个人和他人间就个人控制的程度以及他人可以进入的程度，有一个磋商/商谈的过程。两个以上具有言语和行为能力的主体进行互动，他们使用(口头或口头之外的)手段，建立起一种人际关系[20]84。周围的熟人或亲人对个人信息的收集与使用，此类行为应属于交往行为，该种行为虽然可能侵犯个人的独处空间，但由于个人本身就生活于社群之中，此类行为被认为是正常社交的一部分，不应将打听周围熟人或亲人的个人信息的行为视为侵犯个人信息保护权的行为[21]。

个人信息保护旨在捍卫正当和审慎的信息处理行为，而不是阻止或禁止处理。信息处理行为，参照《一般数据保护条例》的定义，包括“全部或部分通过自动化手段进行的个人数据处理行为，以及通过自动化手段以外的其他方式进行的、构成或旨在构成存档系统一部分的数据处理行为”。基本上，一个 组织在数据的全生命周期中可以对数据进行的几乎所有操作，包括收集和删除销毁，以及数据之间的存储，或对信息的任何使用，都相当于处理，因此被纳入数据保护法律制度。

1. 交往行为的对称性与信息处理行为的不对称性

交往行为理论强调的是交往主体之间的对称性。交往行为，是通过商谈(互动)使现实行为协调一致、参与者之间达成共识，其前提是交往行为者能够进行相互批判[20]118。而能够相互批判，需要双方能力的平等。平等使这种交往关系成为可能，而自愿使这种交往可以持续进行[22]。撇开地位和身份的不平等，交往行为体现的是交往理性，最终还原为论证话语在不受强制的前提下达成共识这一核心经验。哈贝马斯认为，公共领域运作的基础是人们之间的平等自愿交往。交往行为中，不应当存在强制和支配[20]10。

显然，在个人信息保护制度中，信息主体与信息处理者之间存在显著的信息能力的不平等(或不对称)，相互批判是不切实际的妄想。信息处理行为中，信息主体和处理者间缺乏交流沟通的机制，处理行为是单向的，而非双向的。虽然个人参与机制及个人信息保护中某些基本原则试图平衡这种现实存在的不对称，但完全自由意义上的平等自愿的商谈依然并不存在。换言之，信息主体对信息控制者并没有交流和理解的欲望，就算交流也无法促进人际关系的发展。因此《个人信息保护法》中排除适用“自然人因个人或者家庭事务处理个人信息的”行为，以及《一般数据保护条例》中排除适用“自然人在纯粹私人之间或家庭活动过程中的涉及个人信息的行为”，显然属于哈贝马斯提出的交往行为，而非信息处理行为。

2. 交往行为的双向性与信息处理行为的单向性

交往行为重视主体间的相互关系和相互作用，这在隐私权的制度构建和立法中得以体现，“合理隐私期待”“不愿为人所知”标准，均有磋商的可能。事实上，除法定的隐私权，隐私更多还是依赖于社会规范来规范。对于事实形成的社会规范，法律最小限度去干预，由主体之间自己去划定边界。这与个人信息保护大不相同，如上所论，信息处理是单方面作出的法律行为，并无磋商之可能，因此法律必须介入其中，由法律为该行为设定边界，包括信息处理者的作为与不作为。正因如此，相较于传统隐私权，个人信息保护需要大量的成文法及标准来规范，因为信息处理者和主体间的边界须由法律来划定。基于此，对信息处理行为和交往行为应当做出明确的区分。

(二)文明规则与公平信息实践准则

1. 文明规则推动隐私权发展

交往行为赖以维继的，是文明规则，也有称其为社交礼仪。隐私制度遵循文明规则，对个人的损害并不来自抽象考虑的个人信息处理，而是来自违反普遍社会风俗习惯的交流(交往)行为[23]。文明规则由充分遵守有关的尊重和举止规则所构成，在特定情况下，个人可能没有内化相关的尊重和举止规则，因此可能会存在实际的人格损害。但法律对隐私的保护，不仅着眼于特定个人人格的实际损害，也是通过法律为合理人的行为设定边界，以实现对人格的保护。于个人而言，隐私是一种社会排斥机制，但于公众而言，遵循共同的行为准则也有利于社会聚合[24]。正因如此，隐私立法同时兼具维护社会规范和纠正“人格损害”的功能。

文明规则是社会习惯(Conventions)所塑造的[25]，社会习惯在群己关系中养成，人的交往行为无可回避群己关系。自由秩序的追求、权利义务的分配，皆须蕴含在这一关系体系中，也能在这一关系体系中更深刻、更日常地得以展现[26]。主动邀请某人越过习惯的边界“使其作为或不作为”，结果自然就不构成侵犯隐私。若因权利人自身忘记关窗，而被路人听到或者看到什么，一般都认为不宜过度苛责他人。在私密的空间内确实存在一种不愿为人所知的利益，而作为路过的人，不去打开关闭的窗户，也是遵守一种文明规则。

因此，隐私是规范性表达的(而非描述性的)⑨，是寻求维持厚重的社会惯例和风俗，将人类看作社会性建构的并依赖尊重他人的民事规范惯例。而个人信息保护则对社会意义漠不关心，关注的是对个人自治和自主。为了平衡知识/权力对人格形成和自由发展过程中的负面作用[27]，个人信息保护遵循公平信息实践准则。公认的公平信息实践准则建立在个人信息控制论的基础上，而在公共领域或社交世界中，控制个人信息是没有意义的。信息处理行为是一种工具理性/行为，个人信息保护最终是通过规制该工具行为来维护其背后的非工具性价值，其中亦包含了隐私价值，这与交往理性之间的逻辑完全不同。信息主体权利的范围是被确保个人信息的精确性和收集时特定目的的相关性需求所决定的，是描述性的而非规范性的，是否对人格造成损害，其实不是其所关注的重点。例如，处理者拒绝个人对其个人信息的查阅权，确实对个人自主有所侵害，但是否构成对人格的损害，则需视具体情况而定。正如有学者指出的，隐私旨在保护人的人格免受因违反基本尊重规范的言论所造成的损害，而个人信息保护制度则是对信息实践行为是否公平，是否有可能侵害个人的规定[18]。

2. 公平信息实践指导信息处理实践

个人信息保护开始逐渐脱离隐私权获得独立地位肇端于20世纪60—70年代，以公平信息实践的诞生作为分割点。此后，传统隐私权的保护依然遵循普通法路径，而个人信息保护则更多在公平信息实践基础上,发展出了自己的一套保护规则。日前，全球都在践行“公平信息实践”，虽然模式稍有不同。欧盟吸纳了经济合作与发展组织(OECD)隐私保护指南和第108号公约中的框架及精要，于1995年正式颁布了《保护个人享有的与个人数据处理有关的权利以及个人数据自由流动的指令》，发展到现有的欧盟范围内统一适用的《一般个人数据保护条例》，而美国则在信息隐私保护框架基础上发展了公、私不同领域的专门立法。因此，Schwartz[28]毫不讳言“公平信息实践是现代信息隐私法的基石”。

四、流变与正本：从保护权利为主到平衡权力为主的个人信息保护

从应然角度，个人信息保护与隐私权保护应做出区分，两项制度各自独立运行，互不交织，依据各自内在的逻辑独立进行判断⑩。个人信息保护是规制信息处理行为的制度，规制围绕着如何实现“公平”价值而展开。20世纪70年代，个人信息保护刚从理论上开始确立其独立地位，和传统隐私权相分离，但依然以隐私价值作为其守护的最为核心的价值之一，因其天然的“亲”隐私权属性及与隐私法益之间的勾连，初版的公平信息实践沿袭了权利保障为中心的路径而展开，通过迭加式的私法赋权以实现主体的不同利益[29]，但是随着信息处理技术的发展，权利进路的公平信息实践面临极大的质疑和挑战。

(一)唯权利进路保护的弊病与困局

1. 初版公平信息实践的诞生

根据美国学者Regan对美国隐私权政策的详细追溯，实践中推动传统隐私向信息隐私发展的标志性事件是1965年美国社会科学研究委员会(Social Science Research Council)提议建立联邦数据中心，协调所有政府掌握的个人信息[30]。为应对公众日益增长的焦虑，美国卫生、教育和福利部部长于1972年成立了自动个人数据系统咨询委员会，以评估计算机记录系统的使用并制定政策指南。由此产生了一份具有里程碑意义的报告，即《记录、计算机和公民权利：》(Records, Computers, and the Rights of Citizens，以下简称《报告》)，涉及计算机化记录保存对个人、组织和整个社会的影响[31]。

《报告》是公共部门和私营部门的数据处理深度研究巅峰之作。《报告》认为，隐私(特指信息隐私)的保护，应被作为一种公平的实践机制，使大型私营部门机构(如保险公司、银行以及其他金融和商业机构)和国家与个人公民获得平等待遇。该报告发出警告：“计算机化的结果是，记录保存系统对人们的影响要比人们对记录体系的影响更容易。”[31]自动个人数据系统咨询委员会建议：“尽管为了利益而进行某种程度的隐私交易并没有天然的不公正，但交易的双方都应参与拟定条款。”《报告》提出了最初的公平信息实践准则框架，包括五项实体及程序原则：不得秘密设置个人数据记录存储系统；必须为个人提供查找属于其记录中的信息内容以及该信息是如何被使用的方法；必须为个人提供有效方法，防止用于特定用途的个人信息未经他或她的同意被用于其他用途——即目的特定原则；必须为个人提供更正或修改个人身份信息记录的方法；任何创建、维护、使用或传播个人身份信息的组织必须确保信息用于既定目的的可靠性，并必须采取预防措施以防信息滥用[32]。《报告》建议的公平信息实践准则成为了1974年《隐私法》的基础，该法案对联邦机构收集、使用和传输个人信息施加了重大限制。但令隐私保护主义者失望的是，立法者忽略了秘书委员会的建议，私营部门最终未被纳入其适用范围。

2. 初版公平信息实践的继受与发展

建立在个人信息控制理论基础上的“公平信息实践准则”广为传播，成为1980年经济合作与发展组织《隐私保护和个人数据跨境流通指南》(以下简称《隐私指南》)的基础。《隐私指南》中所确立的八项基本原则是对“公平信息实践准则”五项原则的继承与发展，虽然在引述“公平信息实践准则”所揭示的子原则之间会有些许差异，但核心部分并无实质差别。《隐私指南》在世界个人信息保护立法上的影响，代表着美国信息隐私理论的影响，随着各国立法对《隐私指南》的继受，美国的个人信息保护原则也通过《隐私指南》被输送到全世界。

不过，在美国向全世界输送个人信息保护原则和观念的同时，在个人信息保护落实方面却另辟蹊径。作为个人信息保护制度的强有力的推动者并没有制定统一的个人信息保护法。相反，美国在遵循“公平信息实践准则”基本原则的前提下，一直探寻最适合社会需求和产业发展的灵活的个人信息保护机制，试图在保护个人对个人信息使用的控制(个人自由)的同时，促进或至少不妨碍个人信息的自由流通使用。世界性原则的缔造者美国，在这些原则的贯彻实施方面保持着谨慎的态度。虽然一直践行对特殊分类的个人信息立法保护，但联邦层面的立法始终并未超出美国联邦贸易委员会(FTC)定义的不公平或欺诈交易实践的范畴，也不要求对消费者造成实际损害，并且遵循着非常薄弱的通知选择规则。目前，公平信息实践准则作为个人信息保护的核心原则，已为所有致力于个人信息保护的国家所采纳。甚至有学者断言，因为公平信息实践准则存在时间之久、传播范围之广，它几乎已经是信息隐私的代名词[33]。显然，公平信息实践准则是全球个人信息保护的共识，无论是欧盟、新加坡、日本，还是在摇摆和纠结中的美国，公平信息实践准则都是讨论个人信息保护问题的起点。

3. 权利保护进路所面临的困境

初版公平信息实践准则建立在“信息个人控制”理论基础上，赋予信息主体更多的参与度、建构强有力的通知—同意规则，常常被认为体现了“信息自决或个人的信息控制能力”[34]，有学者称其为“权利进路”(Right-based Approach)，或概括为“同意为中心”的个人信息保护制度。这一模式的公平信息实践准则被继承和发扬，虽然《一般数据保护条例》在继受的同时，也提供了一些新的发展思路，如被遗忘权。也探索了结合个体权利的保护机制及复杂的义务履行机制的融合的进路，但《一般数据保护条例》的原则和理念依然是初版公平信息实践准则的延续。初版公平信息实践准则目前饱受诟病，主要有三个方面的理由：首先，大数据和算法的能力已经巨大地改变了个人信息处理的性质和影响，挑战公平信息实践准则；其次，社会已经广泛认识到个人信息社会属性的重要性，特别是其对于民主的重要性，公平信息实践准则显得问题重重；最后， 大型互联网平台操纵了个人的社交生活、政治和经济生活，权力足以塑造偏好，更显得公平信息实践准则保护个人信息的陈旧和无效。

权利进路公平信息实践的基本假设是，只要信息处理本身具有合法性，对于信息主体是公平的，法律就不应规制它，而应建立机制去实践它。信息处理是善的，企业、国家甚至公民对于处理个人信息都有需要。《一般数据保护条例》鼓励的公平的信息实践是找到一条平衡各种利益的路径，而不是阻止信息处理。这一基本假设规避讨论处理本身是否正当，而仅重视讨论处理行为是否公平。然而对公平的讨论，已经远远超出对处理行为的公平性的讨论(虽然其依然重要)，更为值得提倡的是,在更广域的范围，讨论信息处理是否可以实现人类和社会福祉。

权利保护的路径，往往无法解决数据产业的复杂性导致的人和社会的外部性，平台主宰及大规模数据处理的代价才刚刚初显端倪。除了核心的因信息收集和滥用导致的损害，公司对个人信息的无限需求改变了人类支配时间的方式方法，以及如何与他人相处。科技变革对信息流通的改变及个人的影响是革命性的，毋庸置疑，计算机加强了大规模组织机构的权力，如军队、航空公司、银行、大型网络公司。它们不断侵蚀个体在信息处理行为中平等参与的基础，被困在算法中的不仅仅是外卖骑手，毋宁是参与科技变革的每一个信息主体。信息处理者与信息主体之间信息能力的鸿沟，不是通过赋予个人权利以控制信息可以填平的，信息处理者对数据的攫取和注意力的掠夺，已经超出了个人信息保护对“个人自决”或“隐私”价值的保护。越来越多的学者开始关注大型网络主体公共责任的缺失，有学者直接提出如果问题已经超出对个人信息的滥用，那么给予信息主体权利就不是有效的回应[35]；也有学者提出除了借助市场竞争机制和传统私法规范，还应当引入公法原理及其价值要求来约束平台权力。20世纪诞生的公平信息实践准则，应对信息处理手段的日新月异捉襟见肘，已不再符合大数据时代的要求，立法需要更为灵活和动态的公平信息实践版本[37]。

(二)权力制约应成为实现公平的主要手段

需要指出的是，传统法学语境下的权力制约所指向的权力，是国家机关等公权力主体。但笔者所称之权力，系数据权力、算法权力、平台权力，这种权力系加大主体之间强弱关系不平等的根源[38]。《个人信息保护法》已经出台，其中多项原则也能看出公平信息实践准则的影子，包括第5条合法正当必要处理及诚信原则、第6条目的限定及最小必要原则、第7条公开透明原则、第8条质量原则、第9条安全保障原则、第10条合法合规性等。借鉴国际立法潮流的优势在于，以权利进路的公平信息实践作为对话起点，无论是学界还是业界，多方沟通将更为流畅[39]；但其中的弊端也显而易见，该进路之下的个人信息保护，难以逃脱权利进路所带来的弊病和困局。欧美各国长期受“权利进路”的实践准则的影响，已积重难返，很难走出一条完全超越初版信息实践准则的道路，目前中国成文法出台时日较短，在适用和践行个人信息保护规则时，以下三个方面的实践原理值得关注：

1. 个人信息保护的核心问题是不平等问题而非隐私问题

实际上，初版“公平信息实践准则”的制定者明确将信息不平等问题列入了政策议程，在研究使用计算机进行个人记录而产生的问题时，认为其任务是确保在与更强大的政府机构和大公司进行互动时，个人具有一定的影响力。然而，初版“公平信息实践准则”的制定者，并未预料到半个世纪后的技术发展将这种力量的不平等放大到极致，而个人信息成为加剧这种不平等的来源[40]。一方面，信息处理者的力量来源于对信息的收集能力和独占控制力；另一方面，这种力量会通过预测信息主体，反过来可能会影响个人的行为，甚至影响人类福祉，使个体面对技术把控的系统实践，个体参与与选择的空间名存实亡。很多学者对这种权力的不平等已经有所洞见[41]，并试图寻找一个既定的制度架构来分配和实践权力。有学者提出，应当以公法和消费者法方式来规制个人信息上存在的风险问题[42]。也有学者建议可以从宪法整体框架吸取经验，将个人信息保护制度置于宪法的高度，通过程序和实体两个方面来保障,程序部分采用制衡原理，参考宪法限制政府权力的方式来限制公司的权力；而实体部分则侧重保护个人信息[43]。该模式不损害既有法律体系，通过公司法、反垄断法等制衡公司权力，通过个人信息保护法维护个人权利。部门法之间如何协调和共同治理，这是摆在该模式面前的一道难题。

2. 强调个人参与和控制的信息实践只是一种形式公平

以权利进路为主的个人信息保护，核心要旨就是通过明示同意、透明原则、通知和选择等机制，不断赋予个人控制。有些设计看似给予用户选择权，但实则不然。同意按钮颜色的设置、默认勾选还是默认不勾选，真正的控制依然掌握在公司手里。此外，制度设计者初衷是赋予用户控制个人信息的权利，但在实践中信息处理者如果一项一项地征求用户同意，很可能会影响用户体验、违背用户意愿，反而加重用户负担。为了实现实质公平，除了赋予个人更多的控制权这一路径外，近年来美国有很多学者也努力探索一些新的解决思路，如强调信息处理关系中“信任”的重要性[44]。也有学者从信托关系的角度提出了信息信托理论[45]。或者是拒绝以同意为中心，需要注重更实际的设计、产品以及有操作性的实践。甚者呼吁个人信息的保护应完全摒弃公平信息实践，转而以个人信息是否合理流通来判断隐私是否被侵犯[46]。这些理论反思与构建对于实现实质公平都有所裨益，但具体如何与现有法律结合起来的实操性还须进一步探索。在《个人信息保护法》出台前，已经有一批学者对知情同意进行了深刻反思，并试图破解知情同意困局[47]，有学者认为可以在制度框架内解释和改造知情同意框架，重建一种信任和信用场域，从而实现知情同意的制度初衷。也有学者提出了知情同意的例外情形，为合理的数据活动提供法律豁免等[48]。虽然最终知情同意原则作为了一项处理的合法性基础在《个人信息保护法》中得以确立，但法律也同样规定了除同意以外的多重豁免情形[49]。

3. 信息社会，即便对个人公平的信息处理也可能对个人或社会有弊而无利

对公平的追求，不应仅限制在信息实践上，而应当置于实现人类福祉之上。换言之，当技术侵入生活，判断该技术实践是否公平远远不够，而应当追问该技术对个人和社会是否利大于弊。如果最终法律规则只是沦为了一种空洞的技术条款，对其理解和适用不考虑任何社会变迁与应有价值，那么这种法律规则也难称公平和正义。过去的个人信息保护立法主要关注产业界的数据聚合和集合，而对于人类对操纵的敏感性，平台权力和竞争政策等问题却无计可施。应对人工智能和基因组学的进步，公平信息实践的无力也显而易见。《个人信息保护法》第26条回应了科技社会对人脸识别的关切，该技术的应用被限制在维护公共安全的场景下，不失为大数据时代的个人信息立法的创新之举。

一言以蔽之，权利进路的公平信息实践忽视了权力不平等加剧的现实，缺乏对实质公平的关注，并且无法解决技术本身的不公平问题。因此，符合大数据时代的个人信息保护制度，应当将原来以保护权利为主的进路转变为以权力制约为主的进路。权力制约相较权利保障更为有效，对此已有相当数量的学者展开了阐述，甚至有学者论证面对强大的信息处理者，个人形式上的同意、决定置于制度设计与法益保护的中心，不仅无法有效保护信息隐私，反而可能增加权益受侵害的可能性[50]。因此，应从对“隐私”价值的关注回归到“法力”本身。概言之，权力制约进路实则有三方面的理论意涵：

1. 以权力约束权力，对信息处理者施加强制义务

孟德斯鸠曾说，从事物的性质来说，要防止滥用权力，就必须以权力约束权力[51]。权力制约是指享有制约权的国家机关通过对管理性问题进行法律评价的方式，控制、约束、组织其他国家机关行使权力的活动，其目的在于维护权力运行的良性机制，保障人民权益的不受侵害[52]。

对拥有巨量数据和复杂算法的平台而言，虽然其在法律地位上并非国家机关，但鉴于其在信息处理关系中的“强力”地位，鉴于也并非任一国家机关都有监狱、武器等暴力机器，所谓的“强力”，实则就是有能力决定或影响个人权益的得丧变更，从这一角度，平台权力和国家机关权力并无太大差别。因此，国家在承认和纠正这种不平等和脆弱性方面有不可取代的作用，也必须承担对信息处理者的滥用权力的监管义务。权力约束权力的手段主要包括了法律之力、行政之力和司法之力三个方面，只有这三者合力，才能起到权力约束权力的最佳效果。

首先，通过法律之力对信息处理者课以强制义务。例如，明确要求处理者贯彻不同场景中通过设计保护个人信息的原则，提升透明原则和可责性原则的地位，减少对知情同意原则的过度依赖等。科技向善应成为信息处理者明定的法律义务，在大规模应用新的技术时，必须进行伦理和安全评估。例如，在不断收集个人信息“喂养”自动驾驶系统时，法律可以要求信息处理者除了获得个人同意之外，还必须对算法进行伦理评估，在自动驾驶中遇到类似“电车难题”时，算法作何选择，以及披露该选择的依据等。在金融场景中，大额转账进行人脸验真的必要性，法律也应给出明确的价值导向，而非仅仅任由银行借同意规则来规避必要性讨论。目前中国《个人信息保护法》在这一方面走在了世界立法的前列，对个人信息处理者的合规管理和保障个人信息安全等义务予以强化，以及赋予了大型网络平台特别的“守门人”义务。其次，通过行政监管对信息处理者的行为予以纠偏。事前事中的行政执法与事后的司法救济应当予以配合，充分发挥各自在权力制约中的优势。在行政执法监管方面，目前，行政执法机关已经进行了有益的探索，如中共中央网络安全和信息化委员会办公室、工业和信息化部、公安部、市场监管总局联合APP治理专项行动的展开，无疑是权力制约进路的有力手段。最后，通过司法程序实现权力失衡后的矫正。在《个人信息保护法》生效之前，司法机关已经在个人信息侵权保护上小心翼翼进行个案探索，《个人信息保护法》第69条 对侵害个人信息权益的侵权责任作出规定，完善了归责原则和损害赔偿的计算方法。

从根本上，“权力约束权力”是一种家父作风，与东亚儒家文化圈的一贯法治传统相契合。大部分民众信任并依赖政府，当个人对信息处理者不足以建立信任时，有国家权力介入，对信息处理者的权力进行制衡，个人使用网络信息产品将更为放心。如果收集处理信息的主体是公权力机关，比起西方国家民众持更多的怀疑和担忧，儒家文化圈的民众大多是拥抱和信任的态度，这种法治底色的差异对个人信息保护的影响，从新冠肺炎疫情控制中各国民众的态度可窥一斑。同时个人也更有理由相信，当信息处理者侵害了个体权益时，信息处理者将受到国家权力的惩戒，儒家文化圈的这种特质更能适应从权利保护回归权力制约的转变。

2. 以权利对抗权力，对信息处理活动保持高度警惕

权力制约的另一个维度，是通过权利来对抗权力。权力和权利不同，权力是一种必须履行的职责，而权利则体现为一种可能性的状态[53]。在信息处理法律关系中，信息主体对抗信息处理的方式种类多样，《个人信息保护法》中赋予个人在个人信息处理活动中的八项权利来对抗不正当或不合理的信息处理活动。但是，这种权利的制约力往往通过审判机关来得以实现，需要权利人的主动行使。换言之，如果权利人主动放弃该项权利，对此不能苛责。因此，以权利对抗权力多少有“隔靴搔痒”之嫌。

但采取极端化路径否定信息主体私力救济的可能性显然也是不恰当的，平台主体、算法主体虽然拥有了“强力”，但从法律地位上并不能被拟制为“国家机关”，况且即便是国家机关的权力，尚有公民权利对其予以制约。数据权力、算法权力，其本质是科技赋能组织体所导致的力量失衡，一方面，权利存在的当然意义是鼓励信息主体积极主动行权，通过行权来维护自身权益[54]；但另一方面，权利之中蕴含的丰富权能也有利于督促信息处理者在法律框架内的自律，继而形成权力制约功能的自我实现。权利对抗权力是权力约束权力机制的有效补充。

3. 以诚信引导权力，形成良性的信息处理法律关系

除了通过权力强制约束权力、以权利对抗权力外，还需要通过诚信引导信息处理者的荣誉感和责任感。追求经济效益最大化是数据权力、算法权力的内生性问题，也是权力膨胀和权利滥用的原因。在权力制约的进路中，以诚信引导权力的作用意味着信息处理者必须将对信息主体的忠诚义务置于效益的核心位置，必须谨慎处理用户数据，对信息实践的风险诚实，保护个人信息[55]。其核心可以概括为信息处理者以伦理上的高标准和高要求进行的自律自治。对这种自我管理和自我合规，应当予以鼓励，并通过一定的方式予以激励。也唯有如此，信息主体和信息处理者才能进入一个信赖的场域，一方面，自然人通过知情同意原则建构起对信息处理活动的初步信赖；另一方面，信息处理者在遵守前述“信赖”内容的基础上完成信息的自由流动[56]。

五、结语

个人信息保护从隐私权保护中分立出来是技术发展的必然。隐私权是信息能力平等的主体间的交往行为。个人信息保护为信息处理者对个人信息的处理行为。前者是一种双向的、你来我往的交往；而后者则是一方施加给另一方的冷冰冰的处理。隐私权赖以维系的文明规则在信息处理者面前被漠视，毫无生存空间，在此前提下，公平信息实践准则应运而生。

无论是权利保护模式，还是权力制约模式，实则殊途同归，都是为了在个人信息的保护和利用间取得一种精细的平衡。笔者无意全盘否定个人控制，只是想强调平衡手段侧重点的转换。但正如笔者所讨论的，公平信息实践以维护个人控制权为核心的权利保护路径，很大程度上依然沿循着保护隐私权的旧路，在实践过程遭遇越来越多的诟病。大数据之父维克托·迈尔·舍恩伯格在其《大数据时代》中毫不讳言：“大数据的价值不再单纯来源于它的基本用途，而更多源于它的二次利用，这就颠覆了当下隐私保护法以个人为中心的思想。”[57]既然权利保护为核心的进路无法促进实质公平，只是一种形式主义的产物，何不回归权力制约，更多依赖于立法、行政、司法等公权之力，来推动个人信息保护的实质性发展。当然，权力制约本身并非最终目的，而是一种手段。私法和公法也不是相互隔离、独立的微观世界，在法律上存在多样的依赖关系。《个人信息保护法》有许多可圈可点之处，如对人脸识别的规定、对自动化决策的要求等，但是从本质上，个人信息保护法中信息处理对同意规则的依赖，依然沿用的是权利保护的基本思路，而对于同意以外的合法性基础，也过多依赖利益衡量等需要进行价值判断的方法，缺少规则的确定性。

在数据权力视野下，从权利保障到权力制约的现实转向，是国际社会探索个人信息保护几十年实践经验总结而成的理论成果，并非纯粹的纸上谈兵，而实现这一理论转向，欧美各国举步维艰，当然是因为权利进路的公平信息实践已经成为现行法的基础，深入人心。但从更深层次探究，其实是西方法律文化本身极度推崇自由和自治所致。而中国的《个人信息保护法》已经出台，在未来的执法过程中应当认识到东西方法治精神的不同，扬长避短，更多仰赖权力对数据权力进行制衡，才能从实质意义上实现信息实践中的公平。

注释：

① 美国法上的隐私主要包括两种，信息隐私和自决隐私(Decisional Privacy)。前者是关于个人信息如何被收集、使用及披露的，后者则关涉个人对其身体和家庭做决定的自由。

② Westin认为隐私权能够实现以下四种功能：①实现个人自治(Personal Autonomy)，控制自己何时公开个人信息；②实现情感释放(Emotional release)，保持自己的个性，保有社会或制度规范所允许的个体差异；③实现自我评价(Self-evaluation)，自我反省，树立正确的自我认知；④实现有限且受保护的通信(Limited and Protected Communication)，不受到外界监听或拦截。

③ 欧洲人权法院认为“使用和公布存储在秘密记录册中的与个人私生活有关的信息属于第8条第1款的范围”。

④ 美国实在法中，从未采用个人数据保护或信息隐私作为新的隐私概念，如1974年《隐私法》(Privacy Act)、《儿童网络隐私法案》(COPPA)、《驾驶员隐私保护法》(DPPA)、《隐私法》(Privacy Act)、《家庭教育和隐私法》(FERPA)，甚至是2018年《加州消费者隐私法案》也依然采用隐私概念。

⑤ Whalen v. Roe, 429 U.S. 589 (1977)。主流观点认为，联邦最高法院该案中对信息隐私同属于宪法隐私权做出了肯定。虽然大部分的联邦巡回法庭都确认存在宪法上的信息隐私权，但联邦第六巡回法庭仅在一个非常狭义的角度理解宪法上的信息隐私权。“如果没有联邦最高法院的明确指示，我们将不会在超出Whalen案的场景时，更广泛地承认违反个人信息的披露是侵犯一般宪法权利。”参见：J.P. v. DeSanti, 653 F.2d 1080,1090 (6th Cir. 1981),1089。

⑥ 1848年7月，德国议会代表Friedrich Martiny在演说中呼吁，隐私权是生而享有的自然权利，该权利只能遭损害，无法被拓展。

⑦ 对于《宪章》第8条的性质存在争议，因为第8条非常吊诡地以3个 小条款的形式确立了个人信息受法律保护，而非像其他基本权利条款一样规定为一项绝对的基本权利。

⑧ 尤其是山东徐玉玉案引发了公众对个人信息泄露导致个人受伤害的关切。参见杨立新：《个人信息：法益抑或民事权利——对〈民法总则〉第111条规定的“个人信息”之解读》，《法学论坛》，2018年第33卷第1期，第34—45页。

⑨ 规范性与描述性的区别在于，描述性法律理论试图解释法律是什么、为什么以及法律的重要性。规范性法律理论则关注法律应当是什么。换言之，描述性法律理论是关于事实的理论，而规范性法律理论则是关于价值的理论。参见刘星：《描述性的法律概念和解释性的法律概念》，《中外法学》，1992年第4期，第17—23页。

⑩ 对于隐私权保护逻辑套用个人信息保护所产生的问题，参见周汉华：《平行还是交叉：个人信息保护与隐私权的关系》，《中外法学》， 2021年第33卷第5期，第1167—1187页。