阮神裕｜个人信息权益的二元构造论

一、问题的提出

在私法领域中，个人信息权益的性质素有民事权利与民事利益之争。例如，一种观点认为，个人信息权益是绝对权，包含查阅复制权、可携带权、更正补充权、删除权等法律权能。另一种观点认为，个人信息权益并非绝对权，而是受到法律保护的民事利益，查阅复制权等权利均属个人信息权益的权能。相似的观点认为，个人所享有的查阅复制权等权利，实质上是人格权的停止侵害、排除妨碍和消除危险请求权之具体化，因而属于人格权请求权，其与个人信息权益之间乃是防御请求权与初始权利的关系。暂且不论个人信息权益究竟是民事权利还是民事利益，上述观点共同认为：在我国法律体系中只有一种初始性的个人信息权益，而《中华人民共和国个人信息保护法》（下文简称《个人信息保护法》）第四章规定的“个人在个人信息处理活动中的权利”可以被吸收进或者来源于这一初始性的个人信息权益。为行文方便，本文将此视角称为“个人信息权益的一元构造论”。

个人信息权益的一元构造论面临以下问题：第一，查阅复制权等权利的实现，需要依赖特定处理者的积极响应，因而属于请求权或相对权。若将个人信息权益界定为绝对权，其何以包含具有相对权属性的法律权能？第二，若将个人信息权益界定为民事利益，那么其又何以涵盖查阅复制权等效力更强的“权利”？第三，人格权请求权以人格权遭受侵害、妨碍为前提条件，但查阅复制权不以个人信息权益遭受侵犯为前提，二者存在不可忽视的差别。由此可见，目前的个人信息权益一元构造论无法说明个人信息权益的一些现象。为了使个人信息权益更好地融入民事权利体系，有必要再对个人信息权益的构造进行理论分析。

本文将从形式效力的角度分析个人信息权益。权利的形式效力（formale Wirkungen），是指一项权利（以及受到法律保护的民事利益）产生的法律效力，即给他人（一人或者数人或者任何人）施加的指向性义务。就形式效力而言，绝对权与相对权具有显著差异：一是义务人的数量不同，绝对权的义务人是不特定任何人，相对权的义务人是特定一人或数人。二是指向性义务的内容不同。绝对权蕴含的指向性义务总是具有消极的特征，即要求他人不得对物或者地位实施特定类型的干涉；相对权蕴含的指向性义务既可以是积极作为的义务，也可以是消极不作为的义务。在传统民法中，区分绝对权与相对权的意义在于救济机制不同。一方面，绝对权遭受侵害时通常适用侵权责任法的有关规定。另一方面，各国法律体系通常没有对相对权及其救济机制作出一般规定，而是将债权作为相对权的典范加以规定，当相对权受到违犯时，可以参照适用债权及其违约责任的有关规定。债权的不可侵性以及债权物权化等相对权产生对世效力的现象，虽然在一定程度上模糊了绝对权与相对权之间的界限，但是这些现象与本文主旨无关。故此，要对个人信息权益的一些法律现象进行澄清，绝对权和相对权总体上仍是理想的分析工具。

本文将从形式效力的视角提出一种“个人信息权益的二元构造论”，即在我国法律体系中存在两种初始性的个人信息权益：一种是个人信息绝对权。在个人信息被处理之前，个人对个人信息享有类似于绝对权的法律地位，该权利调整的是个人与任何不特定处理者之间的法律关系。另一种是个人信息相对权。在个人信息被处理之后，个人在个人信息处理活动中的权利均属相对权，该权利调整的是个人与特定处理者之间的法律关系。这两个法律地位均是信息自决的理念在制定法上的具体表达。它们相互独立、具有不同的法律效力，但是它们并不互相排斥，个人往往既享有个人信息绝对权，也享有个人信息相对权。澄清个人信息权益二元构造的实益在于，可以根据绝对权与相对权的差异分别建构不同的救济机制。

二、作为绝对权的个人信息权益

（一）个人信息的权益区分之争

《中华人民共和国民法典》（下文简称《民法典》）第1035条第1款第1项与《个人信息保护法》第13条第1款第1项规定，个人信息的处理应当取得个人同意。根据这一规定，在个人信息被以特定目的进行处理之前，个人就其个人信息享有同意或者拒绝处理者处理其个人信息的权限。这一法律地位给世界上任何处理者施加了一项指向性义务：处理者未经同意不得处理个人信息（除非处理者享有其他合法性基础）。因此，在个人信息被处理之前，个人就其个人信息享有的法律地位具有对世性，可以对抗任何可能实施个人信息处理活动的处理者。

在对世性上，个人在其个人信息被处理之前享有的法律地位，与所有权、生命权、身体权、健康权等典型绝对权十分相似。根据《民法典》第240条的规定，所有权人就其物可以排除他人一切干涉。根据《民法典》第1002—1004条的规定，“任何组织或者个人”不得侵害他人生命权、身体权与健康权。这些典型绝对权亦给任何他人施加了指向性义务。当然，对世性并非绝对权的专属性质，一些法律地位尽管没有被规定为“××权”，但是它们仍然具有对世性。例如，《中华人民共和国反不正当竞争法》第9条规定经营者不得以特定方式侵犯商业秘密，其中“经营者”是指不特定的经营者，而非某一特定的经营者。《民法典》第1010条规定不得对他人实施性骚扰，可能违反这一义务的，是世上任何一人，而非特定的一人或者数人。这些法律地位尽管不是绝对权，但是也给不特定第三人施加了指向性义务。在个人信息被处理之前，个人就其个人信息享有的法律地位亦是如此。

在个人信息被处理之前，个人享有的、具有对世性的法律地位，始终面临“绝对权”与“民事利益”之争。首先需要明确的是，个人信息的权益区分之争不是简单的关于我国法律体系是否规定了一项“个人信息权”的描述性问题，否则这一争论将会随着《民法典》和《个人信息保护法》的颁布而结束，毕竟没有哪一部法律使用了“个人信息权”的法律概念。个人信息权益究竟是绝对权还是民事利益，这一争论并非关于权利名称的形式争论，而是侵权法语境下的实质性争论：从侵权法保护的角度而言，个人信息权益究竟应当归入绝对权，还是应当归入民事利益之列。

个人信息的权益区分之争，在一定程度上受到德国侵权法上的“权益区分理论”的影响。德国侵权法区分了绝对权与民事利益，并且赋予二者不同的保护模式。详言之，根据《德国民法典》第823条和第826条的规定，生命、身体、健康、自由与所有权这几项典型的绝对权受到法律的全面保护；其他利益是否获得法律保护，则须根据行为人是否违反保护性法律或者故意违背善良风俗加以判断，并且在具体个案中往往需要进行利益衡量。据此，典型的绝对权与民事利益之间似乎存在一条明确的界限。只要一项民事利益可以上升为《德国民法典》第823条第1款中的“其他权利”，那么它就可以享受优越的法律保护。

受此影响，有的学者主张，我国侵权法也应当采取权益区分理论，并且只有我国民事法律明确规定的权利才是绝对权，才能享受优越的法律保护，至于其他的均属民事利益，获得较弱的法律保护。根据这一版本的权益区分理论，由于《个人信息保护法》与《民法典》均未规定“个人信息权”，因而个人信息只能作为民事利益而受侵权法保护。然而，这一形式主义方法在我国法律体系中可能无法顺利运转。一些被我国制定法规定为绝对权的法律地位，恐怕并不像《德国民法典》第823条第1款所列举的绝对权一样受到全面保护。例如，名誉权在我国法律体系中属于绝对权而非民事利益，但是从《民法典》第1025条和第998条可知，行为人为公共利益实施新闻报道、舆论监督等行为影响受害人名誉的，该行为是否构成名誉权侵害，需要于具体个案中诉诸利益衡量。名誉权尽管具有绝对权之名，但在侵权法保护上更像民事利益。因此，一项法律地位在侵权法语境中究竟是绝对权还是民事利益，不能简单地采取制定法实证主义立场进行判断。

（二）权益区分理论之反思

不管是绝对权还是民事利益，它们在侵权法语境中发挥规范性作用的方式本质上是相同的。一方面，绝对权的规范性特征表现在它的排他功能上。早在1910年，德国学者冯·图尔（v.Tuhr）就指出，绝对权将法益看作由权利主体排他支配的对象，并且禁止侵犯该支配领域的任何行为。倘若他人违反禁止侵害的命令，将要承担损害赔偿责任。换言之，对于非权利人而言，绝对权乃是禁止侵害的命令集合。这一观念延续至今，形成今天德国侵权法中绝对权的“排他功能”（dieAusschlussfunktion）。另一方面，民事利益同样具有排他功能。例如，《民法典》第1010条的规定所要保护的是个人与性有关的人格尊严，而非某项具体人格权。为了实现保护目的，该条禁止他人以言语、文字、图像、肢体行为等方式实施性骚扰。这体现了与性有关的人格尊严的排他功能。在本文中，笔者使用“指向性义务”来表达一项法律地位的排他功能。质言之，一项法律地位的规范性特征，体现为该法律地位给他人（一人或者数人或者任何人）施加指向性义务。

在侵权法语境中，之所以说一项法律地位发挥规范性作用的方式是它给他人施加了指向性义务，是因为他人违反这一指向性义务时，将会构成对该法律地位的侵害。程啸教授认为：“侵害他人民事权益这一要件意味着，无论是受害人享有的民事权益是以赋权规范模式取得的，还是行为规范模式而产生的，行为人都负有相应的不作为义务。任何民事权益被侵害都是与行为人的义务违反相联系。”根据这一观点，权益侵害要件等同于他人对指向性义务的违反。同样，朱虎教授在分析人格权的规范性特征时也指出《民法典》第991条的规范意义在于，“侵害人格权的行为是一种指向性错误，因此，不仅侵害人要承担公法责任，还要对被侵害的人格权主体承担私法责任”。其中的“指向性错误”是指他人违反指向性义务的行为或状态，指向性错误将引起私法上的侵权责任。

传统的权益区分理论认为，绝对权与民事利益之间存在一条明确的界限。绝对权具有全面的排他功能，其根本特征在于排除其他主体的任何不法干涉。相比之下，民事利益给他人施加的指向性义务较为模糊，时常需要在具体个案中进行利益衡量。然而，这种二元对立将问题简单化了。首先，德国判例发展出的一般人格权和营业权两项框架性权利，尽管被纳入《德国民法典》第823条第1款的“其他权利”之中，但是它们与典型绝对权仍有差异——一般人格权或营业权遭受侵害本身不能推定加害行为的违法性，法官总是需要一再地诉诸利益衡量，判断行为人是否需要承担侵权责任。其次，如所有权等典型绝对权原本应当享受全面保护，在实践中也出现了模糊地带。毁损或者夺走他人之物，固然构成对他人所有权之侵害，但擅自拍摄他人之物的照片，是否侵害所有权？对所有权使用功能的妨害在多大程度上构成对所有权的侵害？这些问题无法简单地根据所有权是《德国民法典》第823条第1款列举的典型绝对权而得到明确的答案。最后，随着判例与学说的发展，在一般人格权中也有一些人格权益的结构如此明确，以至于只要他人实施的行为符合相关规范的构成要件，亦可推定行为具有违法性。一些结构尚不明朗的人格权益，也将随着判例的积累而逐渐趋于明确，最终也表现出绝对权的属性。因而，拉伦茨教授认为，绝对权与民事利益之间的区分只是量上的，而非质上的。由此可见，绝对权与民事利益之间并非截然二分的，而是渐进过度的。

本文认为，由于绝对权与民事利益发挥规范性作用的方式是给他人施加指向性义务，因此，应当根据一项法律地位给他人施加的指向性义务是否明确，判断该法律地位是更加靠近绝对权，还是更加靠近民事利益。申言之，在民事利益逐渐向绝对权过渡的谱系中，随着一项法律地位给他人施加的指向性义务越发明确，该项法律地位更加靠近绝对权的一端。相反，若是一项法律地位给他人施加的指向性义务并不明确，那么其更加靠近民事利益的一端。一项法律地位的指向性义务是否明确，在一定程度上取决于制定法对指向性义务的明文规定，而不取决于制定法是否将一项法律地位命名为“××权”。当制定法对一项法律地位的指向性义务的规定足够明确时，那么法官应当首先遵循制定法的文义，即任何违反该指向性义务的行为均应视为对该法律地位的侵犯，而不用考虑这一法律地位是被规定为“××权”，还是只是民事利益。

（三）个人信息绝对权

依据以上论述，个人信息权益在侵权法语境下究竟是适用绝对权的保护模式，还是适用民事利益的保护模式，不能简单地根据制定法是否规定“个人信息权”作出判断，而是取决于制定法施加给不特定处理者的指向性义务是否明确。根据这一标准，尽管《个人信息保护法》与《民法典》没有将个人信息权益规定为“××权”，但是由于个人信息权益事实上给不特定处理者施加了如此明确的指向性义务，因此，个人在个人信息被处理之前享有的法律地位，更加靠近绝对权的一端。

第一，根据《民法典》第1035条第1款第1项和《个人信息保护法》第13条第1款第1项的规定，处理者对个人信息的处理，原则上需要取得个人（或其监护人）的同意。这些条款表明，处理者在面临个人信息时，首先受到一项相对明确的指向性义务的拘束，即未经同意，不得处理他人的个人信息。张新宝教授认为，“个人享有同意（或拒绝）处理者处理其个人信息的权利，体现出对其个人信息的支配力”。这一支配力体现了对个人自决的尊重与维护，同时也赋予了个人就其个人信息享有一种与典型绝对权十分相似的法律地位。所有权是最为典型的绝对权，所有权给世上他人施加了未经同意不得干涉的指向性义务，个人信息权益事实上也给任何潜在的处理者施加了相似的指向性义务。只不过相比于所有权，个人信息权益的特殊之处在于：其一，在所有权中，世上任何他人均受不得干涉之义务的拘束；但在个人信息权益中，只有个人信息处理者这一特定类型的主体受到不得处理之义务的拘束。其二，在所有权中，他人不得以任何方式干涉专属于所有权人之物；但在个人信息权益中，只有处理者非因个人或者家庭事务而处理个人信息时，才受到不得处理之义务的拘束。但是，这些差异不是实质性的，它们不会改变如下事实：制定法规定的个人信息权益给不特定处理者施加了一项指向性义务，即未经同意原则上不得处理他人的个人信息。正是这一普遍适用的指向性义务，使得个人信息权益具有类似于绝对权的法律地位。相比之下，美国统一法律委员会投票通过的示范法案《美国统一个人数据保护法案》（Uniform Personal Data Protection Act）第7条至第9条原则上允许处理者处理个人信息，只在少数例外情况下禁止处理活动。在这一立法方案中，个人就其个人信息被处理之前享有的法律地位，就与绝对权相去甚远。

第二，尽管《个人信息保护法》第13条第1款第2—7项规定了若干不需要取得同意的例外情形，但是，这不会影响个人信息权益更像绝对权的结论。一方面，绝对权可以与合理使用制度并行不悖。例如，《中华人民共和国著作权法》第10条规定了复制权、出租权、展览权等排他权，该法第24条允许他人在不经著作权人许可、也不向其支付报酬的情况下合理使用作品。又如《民法典》人格权编规定了姓名权、肖像权等绝对权，但是该法第999条也规定了他人可以为公共利益实施新闻报道、舆论监督等而合理使用姓名、肖像。因此，绝对权可以与合理使用制度相互配合，实现个人权益保护与信息自由流通的平衡。《个人信息保护法》第13条第1款第2—7项的规定同样如此。尽管这些条款在一定程度上豁免了处理者不得擅自处理个人信息的义务，但是这些例外情形毕竟属于少数，并且其适用场景相对明确，因而，法官在判断处理者擅自实施的处理活动是否侵害个人信息权益时，并不需要进行广泛的利益衡量。故此，这些例外情形并不会动摇个人信息权益作为绝对权的法律性质。另一方面，尽管《个人信息保护法》第13条第1款将个人同意与其他合法性基础并列规定，但是通常认为，个人同意在个人信息处理规则中具有核心地位。将个人同意作为原则而其他合法性基础作为例外的结构，已经说明了处理者原则上应当受到不得处理之义务的拘束，只有在例外情况下才能豁免。在这个意义上，《个人信息保护法》第13条第1款所规定的例外情形，不会改变个人信息权益作为绝对权的地位。

三、作为相对权的个人信息权益

（一）个人信息相对权

当个人信息被处理之后（以特定目的进行处理并且处理活动仍在持续过程中），个人享有《个人信息保护法》第四章规定的“个人在个人信息处理活动中的权利”，包括知情权、决定权、限制或者拒绝处理权、查阅复制权、可携带权、更正补充权、删除权等权利。有的学者注意到，个人享有的这些权利只能向实际处理其个人信息的处理者行使，“性质上属于请求权，而非绝对权”。的确，这些权利的形式效力不同于个人信息绝对权。一是义务人的数量不同：这些权利只能向实际处理了个人信息的处理者行使，因而义务人是特定的。二是权利内容的不同：这些权利要求处理者履行积极作为的义务，而非消极不作为的义务。本文将这些权利统称为“个人信息相对权”。

在个人信息权益一元构造论中，个人信息相对权，要么被吸收进个人信息权益中成为个人信息权益的法律权能，要么被界定为个人信息权益的救济性请求权。但是，这两种观点均有不妥之处。

一方面，个人信息绝对权所蕴含的法律权能不可能包括相对权。这是因为：第一，所谓权能，是指一个单个的权利可以包含的但不具有独立地位的法律上的可能性。上文指出，绝对权的定义性特征是：义务人不特定，而内容总是要求义务人消极不作为。因而一个绝对权不应该包含要求他人积极作为的权能，否则将会违背绝对权的定义性特征。当然，“权能”并非法律概念而是学理概念，可能存在不同含义。也有学者将基于本权产生的救济性请求权界定为本权的权能。若是依此定义，将查阅复制权等权利界定为个人信息权益的权能的观点，实质上与将其界定为救济性请求权的观点无异。下文将指出这种观点同样存在不妥之处。第二，绝对权之所以不应该蕴含要求他人积极作为的权能，是因为这样的权能将给权利人以外的任何人施加一个积极作为的指向性义务。这样的绝对权将给社会交往带来极大的不确定性，人们可能随时面临一个陌生人发出的、要求自己实施某种积极作为的命令。可能会有反对意见认为，并非所有的请求权都是相对权，如物权请求权就属于绝对权。个人在处理活动中享有的权利虽然采用了“有权请求/要求”的表达形式，但是它们也许应该像物权请求权一样属于绝对权。的确，在妨害或危险发生之前，物权请求权隐而不彰，似乎可以向潜在的任何妨害者主张。但是，又有学者明确指出，包括物权请求权在内的所有请求权都是相对权。这两种观点的分歧不在于绝对权或相对权的定义，而在于物权请求权的含义，即在什么情况下“存在”一项物权请求权。如果在物权妨害或危险尚未发生之时就存在一项物权请求权，那么这种物权请求权的确具有绝对性（对世性）。如果只有在物权妨害或危险实际发生之时才存在一项物权请求权，那么这种物权请求权只能具有相对性，物权请求权的相对人只能是某一适格的妨害人。笔者认为，只有在物权妨害或危险发生之时（并在持续过程中）才存在一项物权请求权，否则物权请求权根本无法行使，也无法针对“明确的被告”提起诉讼（《中华人民共和国民事诉讼法》第122条）。在这个意义上，《个人信息保护法》第四章中“有权请求/要求”之法律规范规定的均是相对权。

另一方面，个人信息相对权也不是（至少不全是）个人信息权益在遭受侵害时所产生的救济性请求权。例如，查阅复制权和可携带权并不建立在个人信息权益遭受侵害的基础上，毋宁是初始的相对权。此外，物权请求权作为救济性请求权，其功能在于实现物权给他人施加的义务，相比之下，个人信息相对权的功能有所不同。上文指出，个人信息绝对权给处理者施加了未经同意不得处理个人信息的义务，当处理者违反这一义务时，基于个人信息绝对权的停止侵害、排除妨碍和消除危险请求权的目的是强制处理者不得继续处理个人信息（对此下文予以详述）。但是，个人信息相对权的功能不限于此，查阅复制权、可携带权、更正补充权等可以在“未经同意不得处理个人信息”之外向个人提供更多的法律保护。

由此可见，在个人信息被处理之后，《个人信息保护法》第四章所规定的个人针对处理者享有的若干权利，无法被统合进个人信息被处理之前的法律地位中。尽管涉及个人信息的主观权利都被称为个人信息权益（《个人信息保护法》第1条和第2条），但从权利的形式效力的角度考察，个人至少享有两项不可通约的个人信息权益。在个人信息被处理之前，个人信息权益具有对世性，给世上任何处理者施加了未经同意原则上不得处理的指向性义务；在处理之后，个人信息权益具有对人性，个人可以据此向实施处理行为的处理者行使若干请求权。这就是本文所称的“个人信息权益的二元构造论”，一是个人信息绝对权，二是个人信息相对权，它们共同服务于信息自决的理念，但是存在不可通约的根本区别。当然，笔者并不主张个人信息绝对权与个人信息相对权是相互排斥的。个人信息相对权的形成，并不意味着个人信息绝对权的丧失。也就是说，在特定处理者处理个人信息之后，个人对该特定处理者享有个人信息相对权。与此同时，针对那些潜在的、不特定的处理者，该个人就其个人信息仍然享有个人信息绝对权。个人信息权益不是物质世界中的“实体”，一个人在享有个人信息绝对权的同时，可能针对多个处理者分别享有数个个人信息相对权。本文的论证目的是指出初始性的个人信息相对权的存在，它们无法被吸收进个人信息绝对权中，也无法等同于个人信息绝对权的救济性请求权。作为初始性的相对权，查阅复制权、可携带权、更正补充权等权利的救济机制也有其独特之处。

（二）个人信息相对权的基础

尽管个人在处理活动中的权利属于初始性的相对权，但这些相对权主要来自于法律规定，不像合同权利那样主要是由当事人自由创设。尽管个人或处理者对双方法律关系进行意思自治的程度是有限的，但也不能完全否认个人或处理者在个人信息相对权上的自治能力。

1. 法律的事先规定

法律之所以要对个人信息相对权作出事先规定，而不是将其交由个人与处理者自主决定，主要是因为以下两个方面的原因：一是实力不对等。个人通常没有实力与处理者进行磋商，因此，法律采用了“倾斜性保护”的模式，对弱势一方赋权，对强势一方施加义务、责任与监管。二是信息不对称。个人面对的是数量众多的处理者，其无法了解数量众多的处理者的具体信息，再加上个人信息相对权的经济效益对于个人而言常常微不足道，即便有些个人享有足够的实力，他们也不会花费时间和精力与处理者进行磋商。此时，法律往往采用“强制性规定”（the regulatory mandate）的保护策略，事先规定处于信息弱势的一方享有的若干权利。基于以上两个原因，《个人信息保护法》事先拟定了定型化的、法定化的相对权，一旦个人与某一处理者建立关于个人信息处理的法律关系，那么该个人自然享有法定的个人信息相对权。

有的学者认为，个人与处理者之间的法律关系属于“信息信托关系”，处理者据此对个人承担信义义务。之所以借鉴英美法系的信托理论，是为了塑造个人与处理者之间的权利义务的内容，也即通过推定信托的法律框架规制个人与处理者之间的信任关系。这一思路似乎可作两种理解。一种较强的版本是将推定信托作为规范性理论，在制定法没有对个人与处理者之间的法律关系作出明文规定时，通过推定信托进行发展和丰富。但在《个人信息保护法》和《民法典》以及其他法律法规对个人和处理者之间的法律关系作出具体规定的情况下，也就不再需要借助于推定信托确定个人与处理者之间的法律关系。一种较弱的版本是将推定信托作为描述性工具，即用来描述个人与处理者之间的法律关系的本质。倘若果真如此，那么使用一个大陆法系较为陌生的教义框架的实益似乎不大，毕竟个人与处理者之间的法律关系的具体内容最终还是取决于制定法规定。

2. 有限的私法自治

尽管个人信息相对权的类型、内容和行使方式等方面通常由法律事先规定，但是个人仍然享有一定的私法自治空间。这是因为，个人信息绝对权施加给不特定处理者的指向性义务，乃是未经同意在原则上不得处理个人信息。就此指向性义务而言，个人享有决定免除他人义务或者不免除他人义务的权限，也即同意处理或拒绝处理的权限。理论界对个人同意的性质存在一定的争议。一种观点认为，同意具有侵权法上的违法阻却事由与法律行为的双重属性。一种观点认为，同意是对个人信息权益的处分，或者非典型的意思表示。还有一种观点认为，个人同意不是法律行为，只是违法阻却事由。以上观点的实质争论在于，个人同意是否属于法律行为。

本文认为，依功能主义的视角，个人同意应当认定为法律行为。这是因为，法律行为的功能在于使每一个个体皆可在规定的界限内自由地形塑自己与他人之间的法律关系。既然个人享有决定免除或者不免除他人义务的权限，那么在个人免除处理者所负义务时，个人改变了个人信息绝对权蕴含的法律关系。在这个意义上，个人按照自己的意愿形塑了其与处理者之间的法律关系，因此，个人同意实现了法律行为制度追求的私法自治的理念。

当然，个人同意只是在有限的范围内实现私法自治的理念。合同乃是法律行为的典范，当事人可以自主决定是否以及与谁缔结何种形式、何种内容的合同。相比之下，个人在同意隐私政策时，无法决定其形式和内容，只能决定同意或者不同意。在个人同意之后，其与处理者之间的法律关系，取决于法律的事先规定，不像合同中的权利义务主要取决于当事人的自主决定。但是，这并不意味着个人同意不具有效果意思因而属于事实行为。法律行为的目的在于引起当事人意图的法律效果。其中“法律效果”既可以像买卖合同一样蕴含多种权利义务关系的复杂内容，也可以只是抛弃一项权利或者免除一项义务等简单内容。例如，解除权等形成权的行使行为均属法律行为。在当事人行使解除权时，其意图的法律效果可能只是结束双方主体的合同关系，至于解除之后的权利义务，该当事人可能尚未详加考虑，或者经过考虑后决定不再与对方协商而按照法律规定的法律效果进行处理。这一例子意在表明，只要当事人的表示行为引起了其意图的法律效果，不管这一法律效果多么简单，该表示行为也应认定为法律行为。同样，在个人在作出同意时，虽然无法决定个人享有哪些权利，而是根据法律规定享有若干权利，但是在个人作出同意时，依其意图免除了处理者所负的义务，因而，个人同意也应认定为法律行为。

将个人同意认定为法律行为的实益在于，在个人信息保护规则没有特别规定时，个人同意可以适用或者类推适用法律行为的规定。一方面，隐私政策的内容可以超出《个人信息保护法》第四章所规定的个人信息相对权。例如，处理者可以基于竞争方面的考虑，在隐私政策中赋予个人收益分配权或者其他权利。倘若否认隐私政策的法律行为属性，将个人同意定性为事实行为，那么处理者或者个人在隐私政策中表达的内容将无法成为处理者与个人之间的法律关系。处理者若是想要赋予个人其他权利从而谋求竞争优势，将不得不通过另行订立个别合同的方式实现，这将产生额外的成本。相反，若是肯定隐私政策的法律行为属性，那么处理者可以直接在隐私政策中赋予个人其他权利，经个人同意之后将取得这些权利。另一方面，将个人同意认定为法律行为，还可以将隐私政策纳入《民法典》第496条和第497条关于格式条款的规制之中。当处理者在隐私政策中限制或者排除法定的个人信息相对权时，可以根据《民法典》第497条第2项与第3项认定相关格式条款无效。

（三）个人信息相对权之类型

尽管《个人信息保护法》第四章连续性地规定了知情权、决定权、限制或者拒绝处理的权利、查阅复制权、可携带权、更正补充权、删除权、解释说明权，但是这些权利存在层次上的区别。例如，《个人信息保护法》第44条规定的知情权与决定权的抽象程度高于其他权利，因而，有的学者将决定权称为“贯穿性理念”，将知情权称为“核心权利”，将其他权利称为散射交叉的系列权能。本文将从形式效力的角度，对散射交叉的系列权能再作一个区分。事实上，《个人信息保护法》的制定法表达已经显示了这一区分的存在。

《个人信息保护法》第47条第1句规定“有下列情形之一的，个人信息处理者应当主动删除个人信息”，这一条款给处理者施加了一项主动删除个人信息的义务。相比之下，该法第45条、第46条和第48条的规定没有施加类似的主动义务。从形式效力的角度而言，删除权与查阅复制权、可携带权、更正补充权和解释说明权存在差别。现有学说似乎还未揭示这一差别的意义。例如有观点认为，《个人信息保护法》第47条规定的主动删除义务并非民事义务，处理者违反该义务可能产生行政责任，并不当然产生民事责任。这一观点存在商榷余地。这是因为《个人信息保护法》第47条第1款第1项至第4项所列举的应当删除的情形，均属于处理者不再享有或从不享有处理个人信息之合法性基础的情形。于此情形，处理者若是继续存储或者以其他方式处理个人信息，就将构成对个人信息绝对权的侵害或妨碍。个人信息删除权实际是基于个人信息绝对权的停止侵害、排除妨碍请求权的另一种表达方式。在停止侵害与排除妨碍请求权中，侵害人或妨碍人若是放任侵害行为或妨碍状态持续发生，其最终应当对因此造成的损害承担赔偿责任。同样，若是个人信息删除权的法定情形得到满足，而处理者不主动删除个人信息的，于此期间引发的损害也应当由处理者承担赔偿责任。在这个意义上，否认主动删除义务为民事义务，将减损个人享有的救济权利。

本文认为，《个人信息保护法》第47条与第45条、第46条和第48条的制定法表达的差异之实质在于，个人信息相对权成立或实际存在的时间点有所不同。申言之，删除权在个人提出请求之前依据构成要件符合性即已存在，处理者受到删除义务的实际拘束。查阅复制权、可携带权、更正补充权和解释说明权的存在，则以个人提出请求为前提条件，只有在个人提出请求之后，处理者才受到配合查阅复制等义务的实际拘束。为了行文方便，本文将前者称为“实际的请求权”，将后者若干权利称为“潜在的请求权”。

第一，删除权属于实际的请求权。《个人信息保护法》第47条第1句所规定的“有下列情形之一的，个人信息处理者应当主动删除个人信息”承载了两个不同的规范功能：其一，该句表明删除权不同于查阅复制权、可携带权、更正补充权、解释说明权，删除权不是潜在的请求权，而是一旦符合法定情形就将实际存在的请求权，处理者不需要个人提出请求就受到删除义务的拘束。尽管《个人信息保护法》第46条规定的更正补充权以“个人信息不准确或者不完整”为构成要件，但是该条不像第47条那样要求处理者主动更正或者补充，因此，更正补充权实际存在的时点，不是“个人信息不准确或者不完整”之时，而是个人提出请求之时。有的观点从权利发生理由而非权利的形式效力的角度考虑，将更正补充权和删除权纳入消极权能，即只有当个人信息完整性、准确性或私密性遭到破坏时才发生。这一观点虽然有其道理，但是没有揭示更正补充权和删除权在制定法表达上的显著差异。其二，该句所规定的主动删除义务应当属于民事义务，倘若处理者没有及时删除应予删除的个人信息，个人不仅可以请求处理者删除，还可以就迟延删除期间个人所遭受的损害要求处理者承担损害赔偿责任。只不过，个人需要对损害的存在，以及迟延删除与损害之间的因果关系承担证明责任。

第二，查阅复制权、可携带权、更正补充权和解释说明权属于潜在的请求权。易言之，立法者只是授予个人向处理者提出这些请求权的可能性。“个人行使查阅复制权”这一陈述包含了两层含义：一是个人行使了一项形成权，将潜在的请求权变成了实际的请求权，并给处理者施加了一项向个人提供个人信息的法律义务。在个人向处理者提出明确的查阅复制的请求之前，处理者并不负有向个人提供个人信息的义务。二是个人行使了一项请求权，即要求处理者履行与查阅复制权相关的指向性义务。下文将指出，明确查阅复制权等权利为潜在的请求权而不是实际的请求权，决定了个人不能向人民法院直接起诉要求行使查阅复制权等权利。

四、个人信息权益救济机制的体系建构

（一）个人信息绝对权的救济机制

在个人信息被以特定目的进行处理之前，个人就其个人信息享有的法律地位，尽管未被命名为“××权”，但实质上具有绝对权的性质。此时，个人信息权益既受到损害赔偿请求权的保护，也受到停止侵害、排除妨碍和消除危险请求权的保护。

一方面，《个人信息保护法》第69条规定，处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担侵权损害赔偿责任。就个人信息权益的侵权损害赔偿请求权之构成要件而言，与本文主旨密切相关的是“侵害个人信息权益”的具体认定。承上文所述，权益侵害的关键在于，他人行为是否违反了一项法律地位施加给他人的指向性义务。首先，个人信息绝对权施加给不特定处理者的指向性义务，乃是未经同意原则上不得处理个人信息。据此，“未经同意处理个人信息”或者“非法利用个人信息进行自动化决策”等处理行为，因其未取得个人同意而构成对个人信息权益的侵害。当然，目的限制原则要求处理活动必须受到处理目的的限制，一旦逾越处理目的就要再次取得个人同意。因此，不管处理者在收集个人信息时是否取得同意，只要处理者的处理目的是新的、尚未告知个人的，那么该处理者所从事的这一处理活动都将构成对个人信息绝对权的侵害。其次，在个人信息处理过程中，处理者还要承担个人信息安全保障义务。《个人信息保护法》第51条之所以给处理者施加个人信息安全保障义务，其法理基础并不完全来自于个人信息绝对权，还来自于个人与特定处理者之间更为紧密的关系。申言之，绝对权施加给不特定第三人的义务通常是消极的不作为义务，但在当事人进入更加紧密的关系时，法律往往要求当事人一方为他方民事权益承担安全保障义务或者更加严格的注意义务。同样，在个人信息处理活动中，处理者与个人处于长期的、紧密的相对关系中，因而，《个人信息保护法》第51条要求处理者在处理个人信息的同时，对个人信息承担安全保障义务。最后，尽管《个人信息保护法》给处理者施加了若干义务，但是并非对所有的义务的违反都将构成对个人信息绝对权的侵害。例如，《个人信息保护法》第52条要求某些处理者指定个人信息保护负责人，处理者违反该义务并不构成对个人信息权益的侵害。换言之，只有当法律施加给处理者的义务构成关于个人信息绝对权的指向性义务时，处理者的义务违反才构成对个人信息权益的侵害。

另一方面，《个人信息保护法》没有明文规定个人信息权益是否受到停止侵害、排除妨碍和消除危险请求权的保护。本文认为，在处理个人信息之前，个人对其个人信息享有的是类似于绝对权的法律地位，处理者未经同意原则上不得处理个人信息（除非符合其他合法性基础）。当处理者未经同意并且没有其他合法性基础处理个人信息时，个人享有《民法典》第995条、第179条规定的停止侵害、排除妨碍和消除危险请求权。不过，需要注意的是，由于《个人信息保护法》第四章规定个人在处理活动中享有的权利均属相对权，当处理者拒不履行这些相对权时，并不存在停止侵害、排除妨碍和消除危险等绝对权请求权的适用可能性。此时个人应当类推适用违约责任的有关规定，以此作为救济手段。

承认个人享有基于个人信息的停止侵害、排除妨碍和消除危险请求权，其实益在于弥补删除权的救济功能之不足。尽管《个人信息保护法》第47条规定了个人对处理者享有的删除权，但是这一规定还不足以保护个人信息权益的圆满状态。例如，该条款仅规定了个人对处理者请求删除的权利，没有规定个人对受托人的删除权。然而在实践中，当处理者将个人信息交由受托人处理时，受托人往往也会存储个人信息。尽管《个人信息保护法》第59条规定受托人协助处理者履行本法规定的义务，但是这一协助义务只涉及处理者和受托人的内部关系，无法从中得出个人也对受托人享有请求删除的权利。停止侵害和排除妨碍请求权可以弥补这一缺陷。这是因为，停止侵害针对受人的意志支配的持续性侵害行为，排除妨碍针对与人的意志无关的妨碍状态。据此，不管受托人是否知悉其受托处理的个人信息没有经过同意，个人均可对受托人主张停止侵害或排除妨碍请求权，从而实现删除个人信息的救济效果。

（二）个人信息相对权的救济机制

由于《个人信息保护法》第69条规定了处理个人信息侵害个人信息权益造成损害的侵权责任，因此，个人信息权益一元构造论者往往将个人信息权益等同于绝对权（或者受法律保护的利益），从侵权责任的角度考察个人信息权益的救济机制。有的观点进一步认为，当个人向处理者请求查阅复制，而处理者无正当理由拒不履行的，将构成侵权行为，个人可以主张排除妨碍请求权等人格权请求权。这在一定程度上违背了传统民法的表达习惯。侵权法的首要保护对象是物权、人格权、知识产权等绝对权。债权等相对权虽然也在一定程度上受到侵权法的保护，但是债权的侵权法保护之争，是针对第三人侵害债权而言的，至于债务人“侵害”债权的，通常适用违约责任的有关规定，不作为侵权问题加以讨论。当个人信息相对权遭到“侵害”时，个人可以寻求的救济机制，不能简单地等同于绝对权请求权、侵权损害赔偿请求权，否则不仅不契合传统民法的表达习惯，而且容易在理论上忽视相对权救济机制的一些重要特征。在这个意义上，《个人信息保护法》第69条只规定了“侵害个人信息权益”的“侵权责任”，失之过窄。

按照传统的民法理论，对相对权的法律保护，通常只涉及请求权，至于形成权与抗辩权虽然也属于相对权，但是它们被侵害是“完全不可能”的。在请求权中，债权为典型的请求权，因而，请求权的基本框架系以债权为模型建立的。当请求权的实现受到阻碍时，如果该请求权不具有不容忽视的特殊性，可以参照适用债权的一般规定。同样，本文只在请求权的意义上讨论个人信息相对权，因而，当处理者拒不履行个人信息相对权所蕴含的指向性义务时，个人可以寻求的救济机制在体系上更加靠近违约责任，而非侵权责任。尤其是在个人信息相对权的内容、行使和救济存在模糊之处，应当类推适用合同法而非侵权法的相关规则。当然，可能有论者会说这是形式主义与教条主义，《个人信息保护法》作为特别法，可以不遵照传统民法的表达习惯，将处理者“侵害”个人信息相对权产生的民事责任称为“侵权责任”。即便如此，在认定个人信息相对权的“侵权责任”时，也应当注意到相对权的指向性义务通常是积极作为的义务，不像绝对权的指向性义务通常是消极不作为的义务，这将给个人信息相对权救济机制的构成要件和法律效果带来不容忽视的差异。

1. 构成要件

第一，个人行使了个人信息相对权。如上所述，《个人信息保护法》第45条和第46条规定的查阅复制权、可携带权、更正补充权，属于“潜在的请求权”。只有当个人实际提出请求之后，潜在的请求权才会现实化，并给处理者施加一项实际的法律义务。明确这一点有助于解决实践中的如下争议：个人是否可以直接向人民法院提起诉讼行使查阅复制权等个人信息相对权？有的法院认为，个人之所以需要先向处理者提出请求，在处理者拒绝后才能到人民法院起诉，这是因为设置个人向法院提起请求权救济的前置程序，可以节约司法资源。本文认为，节约司法资源只是附属性的益处，并非要求个人先向处理者提出请求的根本性理由。之所以要求个人先向处理者提出请求，是因为查阅复制权、更正补充权以及解释说明权均属于“潜在的请求权”。如果个人不提出这些请求，处理者根本无从知晓自己应当向谁履行何种义务。有的观点进一步认为，删除权也需要个人先向处理者提出请求，被拒绝后才能向法院起诉。这一观点存在商榷余地。依据《个人信息保护法》第47条的规定，在满足法律规定的情形时，处理者应当主动删除个人信息，可见个人不必先向处理者提出删除请求，处理者就负有实际的删除义务。因此，个人既可以向处理者主张行使删除权，也可以直接向人民法院起诉行使删除权。

第二，处理者拒不履行或者不完全履行或者迟延履行相关义务。根据《个人信息保护法》第50条第2款的规定，处理者拒绝个人行使权利的请求的，个人可以依法向人民法院提起诉讼。理论上通常也认为，个人信息相对权遭受侵犯是指处理者无正当理由拒不履行相关义务。就绝对权而言，由于义务人承担的是消极不作为的义务，因此，他人是否违反绝对权的指向性义务，通常只存在“是”与“否”的问题。但在相对权中，由于义务人承担的往往是积极给付的义务，因此存在义务人“不完全履行”或者“迟延履行”的问题。易言之，个人信息相对权遭受侵犯并不限于处理者拒不履行相关义务，还包括处理者不完全履行或者迟延履行相关义务。具体而言，一方面，《个人信息保护法》第45条第2款、第46条第2款规定处理者应当“及时”提供查询复制、更正补充，倘若处理者迟延履行的，就将构成对个人信息相对权的侵犯。另一方面，《个人信息保护法》针对处理者如何履行个人信息相对权未作详细规定，只是在第50条规定“个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制”。由于个人在个人信息处理活动中享有的权利属于相对权，在性质上更接近于债权，调整的是特定主体之间的法律关系，而不是像所有权等绝对权那样，调整的是权利人与不特定义务人之间的法律关系，因此，处理者履行个人信息相对权相关的指向性义务时，应当类推适用《民法典》第509条第1款所规定的“全面履行的义务”以及该条第2款规定的“诚信原则”的要求。当处理者不完全履行相关义务时，个人也可以要求处理者继续履行、采取补救措施以及赔偿损失。例如，个人向处理者请求查阅复制个人信息，但处理者只提供了部分个人信息，这一不完全履行的行为同样构成对个人信息相对权的侵犯。

2. 法律效果

当处理者拒不履行或者不完全履行或者迟延履行个人信息相对权相关的义务时，依据《个人信息保护法》第50条第2款的规定，个人可以“向人民法院提起诉讼”。但是，该条款只是在程序法上规定个人向人民法院提起诉讼的诉权，没有规定实体法上的请求权类型及其基础规范。本文认为，依据类推适用合同法相关规则之路径，当处理者拒不履行或者不完全履行或者迟延履行个人信息相对权的指向性义务时，个人可以主张的请求权类型包括《民法典》第577条所规定的继续履行、采取补救措施或者赔偿损失请求权。

第一，当处理者拒不履行或者不完全履行或者迟延履行相关义务时，个人可以请求处理者继续履行相关义务。毫无疑问的是，当个人在处理活动中的权利无法实现时，个人可以通过法院强制实现权利。易言之，个人拥有权利，就是对他人所负义务拥有广泛的控制权。在他人违背义务或者即将违背义务之际，个人可以决定不予执行或者强制执行相关义务。不过问题在于，个人通过法院强制执行相关义务从而实现个人信息相对权的机制，在制定法上应当表现为何种法律制度？有的学者认为，《个人信息保护法》第50条第2款中的“向人民法院提起诉讼”，应当同时满足“侵害个人信息权益”和“造成损害”的要件。这一观点实质上将个人的救济手段限缩为赔偿损失，否定了个人强制实现个人信息相对权的权限，恐怕有所不妥。有的观点认为，当个人的查阅复制权遭到无理由拒绝后，个人可以主张排除妨碍请求权。笔者认为这一观点恐怕不符合我国民法传统。按照传统的民法教义，排除妨碍请求权被界定为绝对权请求权，只能适用于绝对权遭到妨碍的案件中，而查阅复制权属于请求权，没有适用绝对权请求权的可能性。本文认为，鉴于查阅复制权等个人在处理活动中享有的权利均属相对权，当相对权的实现受到阻碍时，更应当类推适用《民法典》第577条和第580条第1款规定的继续履行请求权，而非《民法典》第236条和第995条所规定的排除妨害（停止侵害、排除妨碍）和消除危险请求权。

第二，当处理者拒不履行或者不完全履行或者迟延履行相关义务时，适用《民法典》第580条第1款规定的继续履行还意味着，在债务人法律上或者事实上不能履行债务，或者债务的标的不适于强制执行或者履行费用过高等情形中，债务人无需履行原给付义务，但是债务人应当采取补救措施。个人信息相对权亦是如此。事实上，《个人信息保护法》第47条第2款的规定恰恰体现了债务履行不能的法律思想。根据该条规定，当法律、法规规定的保存期限未届满时，处理者在“法律上不能”删除个人信息，否则其将违反公法规定；当删除个人信息从技术上难以实现时，处理者在“事实上不能”删除个人信息。在这种情况下，个人不得请求删除个人信息，但是可以请求处理者停止处理。从合同法视角而言，停止处理恰恰是《民法典》第577条中的“采取补救措施”。

第三，当处理者履行义务或者采取补救措施后，个人还有其他损失的，依据《民法典》第583条的规定，处理者还应当赔偿损失。其中，损失包括财产损失和精神损害。尽管处理者拒不履行或者不完全履行或者迟延履行相关义务，侵犯的是个人信息相对权，但是个人仍然可以要求精神损害赔偿。这是因为，依据《民法典》第996条的规定，违约行为损害对方人格权并造成严重精神损害的，受损害方可以在选择违约之诉时主张精神损害赔偿。这一条款肯定了相对权的义务人违反义务并且损害人格权益时，也需要承担精神损害的赔偿责任。故此，当处理者拒不履行或者不完全履行或者迟延履行个人信息相对权的相关义务，造成个人遭受严重精神损害的，个人还可以主张精神损害赔偿。例如在一则域外案例中，原告向其原来委托的律师（作为被告的处理者）提出查阅复制相关案卷材料，但是作为被告的处理者拖延了九个月才提供信息，致使原告无法及时解决相关纠纷，遭受精神上的不安与痛苦。对此，作为被告的处理者须因迟延履行原告提出的配合查阅复制的义务而承担精神损害赔偿责任。

结  语

本文的研究表明，即便是在民法领域中，个人信息权益也不是一元的，而是二元的。在个人信息被处理之前，法律需要调整的是个人与不特定处理者之间的法律关系，此时个人对其个人信息享有的是对世权，其法律地位与所有权、知识产权以及人格权等绝对权更为相似。在个人信息被处理之后，法律需要调整的则是个人与特定处理者之间的法律关系，因此，个人信息权益属于相对权。对于我国法律体系中是否存在个人信息权以及它的法律效力为何这些问题的回答，最终取决于，就个人信息这一事物而言，我国法律体系就哪些法律关系作了规定。由于《个人信息保护法》既规定了个人与不特定处理者之间的关系，同时又规定了个人与特定处理者之间的关系，因此，个人信息权益是二元的。在更加广泛的视野下，《个人信息保护法》还对个人与国家之间关于个人信息保护的法律关系作了规定，此时，个人享有的个人信息权益指向的是国家，一方面表现为指向国家的主观防御权，另一方面表现为要求国家承担排除第三人侵害的保护义务。可以说，在我国整体的法律体系中，个人信息权益是多元的。故此，任何一种尝试将个人信息权益化约为单一构造的观点，都将不可避免地遗失个人信息权益的某些重要特征。

《法制与社会发展》2023年第4期目录摘要

点击二维码关注法制与社会发展微信公众平台