内容提要：数字社会中作为权利客体的个人信息具有固有的人格与天然的财产双重价值，决定了个人信息权在本质上是包含财产利益的人格权。个人信息中的人格权益由个人控制，专属个人且不能让渡，其中财产权益却因市场失灵而难以积极实现，当下可采责任方式与人格权益一体依人格权获得救济，这一双重权益统称为个人信息权；个人信息中的财产权益主要由数据生产者控制，可称为数据财产权，包括占有、使用、处分以及与个人共享收益等内容，可依违约和反不正当竞争等获得多元保护。个人信息权的人格权属性具有对数据财产权的优位性，它因此是信息处理的底线；信息处理者不但要有信息处理的合法(正当)基础，而且负有保护个人信息的义务；个人当然也不能干预数据市场的正常运行。个人信息的价值双重性、权益双重性与权益归属双重性，理顺了个人信息在性质、归属、利用、保护等法律关系上的内在逻辑，将为驱动数字经济健康发展提供丰厚的学理基础与制度保障。
关 键 词：个人信息 人格 个人信息控制权 信息财产控制权
一、个人信息作为权利客体的双重法律属性
二、个人信息权益的双重法律属性
三、个人信息权益归属的双重法律属性
四、个人信息权益归属双重性在个人与信息处理者之间的协调
五、个人信息权益归属双重性在法律救济中的体现
六、结语
数字社会①已经逐步向我们走来，而它也是我们讨论个人信息的前提。因为，可识别的个人信息，如性别、相貌(肖像)、称谓(姓名)等，自人类社会之初便存在，只不过那时保存个人信息的载体是每个自然人的大脑，流传方式则是口口相传。在传统的线下社会(前数字社会)，个人信息多通过具体人格权的方式获得保护，如姓名权、肖像权等，至多保护到隐私权的程度。而进入数字社会后，人们的生活方式与生活样态发生了质变，个人信息载体发生了重大变化，除大脑外，个人信息更多地存在于互联网平台之上。互联网络平台上的信息可以被收集、整理、加工成数据产品被人使用，从而产生了重要的财产价值。在传统的线下社会，具体人格权所保护的个人信息(如姓名、肖像、隐私等)，其内含的精神价值是法律关注的重点，这些权利往往被称作精神性人格权，②除此之外的个人信息，法律通常便不再保护，更不要说其内含的财产价值了。而在数字社会中，法律不但关注可识别的个人信息中的人格性利益，而且也不能忽视个人信息中天然内涵的财产利益，甚至可以说，恰是数字社会中个人信息的财产性价值才催生了个人信息受法律保护的必要。
也正因如此，数据与信息③才成为数字社会(尤其是数字经济)中最为重要的资源与生产要素。无论是把数据与信息比喻成石油、土壤，还是氧气，都不为过。当下数字社会中围绕个人信息的核心争议或矛盾是，如何在个人信息保护与商业利用之间寻找到一个平衡点。这对矛盾的外在表现是数据平台上的个人信息归属不清，而其更为深层的原因则是人们还未真正理解、掌握个人信息的权利属性。④而要厘清个人信息的权利属性、权利归属等问题，还要从弄清个人信息作为法律客体的属性入手。
一、个人信息作为权利客体的双重法律属性
客体是权利的外部定在，是权利设立在何种标的之上的说明。⑤个人信息权⑥建立在个人信息之上，其权利属性与具体内容自然受个人信息法律特性的限制。换句话说，了解个人信息的权益特性，首先需要考察作为权益客体的个人信息，其法律属性决定了个人信息权益的性质、特征与内容。
(一)个人信息的自然属性
个人信息首先是客观世界中的信息，须具备信息的一般特征。个人信息的自然属性决定了个人信息作为权利客体的法律属性及其上的权利属性。
1.信息是有意义的内容。个人信息的内容是识别特定的自然人，可识别性是判断某一信息是否为个人信息的重要标准。《中华人民共和国民法典》(以下简称《民法典》)明确规定了个人信息是可单独或者与其他信息结合识别特定自然人的各种信息。
2.信息具有无体性。无体性要求个人信息必须记录固定方能被控制利用。信息具有内在涵义但没有外在形态，它是经过人脑或自动化方式处理的产物，具有无体性，这也是信息区别于有体财产权客体的主要特征。无体性使个人信息作为法律上客体呈现如下特点：首先，从自然属性上看，信息不产生独占的支配性，无体性使对信息的有效管领不以直接“占有”为条件，它可以超越时间和空间界限，为不特定人重复分析使用。其次，信息较有体物具有更强的流动性，无体性使得信息可被复制，只要依附媒介，信息便可传播，便可重复、多次、永续相传。最后，信息具有非消耗性，在流转过程中，信息可以不断结合汇集、演算分析，这一过程并不减损信息的价值，信息反而会因为被使用而产生新的信息和知识，产生新的价值增值。上述特点决定了信息具有特定的价值实现方式，信息的使用价值是依据信息内容的分析和预测，诚如学者言，从数据中获取知识或智慧的价值是数据的使用价值，并等同于分析价值，即数据被分析利用后所产生的价值。⑦与有体物不同，因信息具有非独占性、强流动性以及非消耗性，法律不要求对其进行支配性控制，而是通过收集、存储、使用、加工、传输、提供等形式实现对信息的管领。只不过在其价值实现的全生命周期里，个人信息仍需具有物理上的可控性方能对其有效管领，也就是说“个人信息必须以一定的方式得以固定”，⑧这是个人信息作为权益客体所必须的形式要素，因此《民法典》《个人信息保护法》要求个人信息是以电子或者其他方式记录的各种信息。
3.信息是事实的表现，个人信息表征自然人，不具有智力创造成分。以信息为客体的法律权益不仅有个人信息权，从广义说具体人格权、知识产权的本质也是信息。所谓知识财产，“是指禁止不正当模仿所保护的信息”，⑨但并非所有信息均可成为知识产权客体，知识产权保护的是体现思想的信息。这类思想可以分为两类，“一类是对思想观念的表达，一类是在思想观念基础上作出的技术发现”。⑩因此，知识产权所保护的信息必须具有创造性，这也是智力成果得以成为财产并获得法律保护的基础。而从知识生产过程来看，信息和知识并不处于同一层级。基于数据、信息、知识、智慧的DIKW模型，信息是事实、数字和其他有意义事物的表现形式，知识则是存在人脑中的信息库，信息与知识的关系可以解释为知识产生于信息，正如信息产生于数据。(11)从这一角度看，个人信息在信息层面而非知识层面。人是符号的动物，符号原理对人有效并且普遍适用，(12)个人信息是对人的标表，通过客观的个人标识建立起与主体的稳定联系。因此与知识不同，个人信息与智力创造并无密切关联，它由自然人生成，能够客观地识别自然人并表征其个人特征，包括生物特点、活动轨迹以及人物画像等，如《民法典》所列举，个人信息包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。
(二)个人信息的人格属性
由于个人信息是可识别、标表特定自然人特征的信息，因此它与对人的个体评价和社会认同相关，具有精神属性。在此意义上，个人信息天然表征自然人的人格属性，由此可以解释，缘何传统线下社会所保护的人格权益，如姓名、肖像、隐私等多与个人信息密切相关。尽管数字社会中信息记录和处理方式发生了转变，但个人信息依然处处彰显人格要素中最基本的自由和尊严，且被置于《民法典》人格权编之中。只是，数字社会中的个人信息跟传统线下社会中的其他具体人格利益相比，有其自身特征。
1.个人信息既关乎个人传统线下社会中的自然评价，更关乎个人在数字社会中的算法评价。在数字社会中，个人信息被用于各种场景的打分、分类、资源分配等活动，构成了数字人格的评价基础。跟传统的人格评价不同，数字社会对人格认知不再以面对面的交流为主，也不再主要依赖于人类经验对评价信息的选择。打分、分类结果或者评价信息的推选，是由原始信息和算法所决定，人格评价被技术过滤。个人在自然人格之外，又形成了由个人信息所勾勒的数字人格，数字人格可能与自然人格一致，也可能不符，主要取决于算法对多维个人信息的计算和使用。(13)这些碎片化的信息拼凑出了自然人在数字社会中人格形象，构成了数字社会中的人格评价基础。
2.个人信息既关系到个人传统线下社会中的行为自由，更关系到个人在数字社会中的行为自由。个人信息处理并非数字社会中的特有现象，只不过传统线下社会中的个人信息，既不会用来对消费者做个性化分析和评价，也不会用来做定向推荐和预测。而在数字环境下，个人信息作用发生了改变，商家越来越依赖用户的网络行为轨迹和数据，进行产品、服务和媒体内容的预测分析或定向投放。他们有足够的经济动机去搜罗个人信息，用户浏览了什么、点击了什么、购买了什么都在其掌控之下，人们变得前所未有的透明，这种现象也被称作数据监视。(14)数据监视与传统线下社会生活中的信息处理并不相同，人们在线下开展日常社交时不可避免要向他人展现其标识性信息，告知姓名、展示形象是人特定化和个性化的需要，这些展示并不会影响个人的选择和行为自由，但数字社会的信息处理则是全面的、细节的、永久的，无处不在、无时不在，当人处在数据监视下时他便会进入一种新的自我意识，从他人视角去审视自己，个人的选择自由便也易于受到数据监视的干扰。(15)
3.数字社会中的个人信息借助算法能够计算出个人隐私。信息处理者最初采集的信息未必是个人隐私，并且依照法律要求，信息处理者也不能采集隐私信息。但在数字社会，算法的加入却增加了个人信息转化为隐私的可能性，因为在信息自动化处理过程中，多维信息结合能够清晰勾勒出个人画像。换句话说，在数字社会中，隐私无需运用传统社会中的窥探、采集等直接侵权方式，而是可通过算法对多维信息处理计算出来，如著名的塔吉特百货孕妇营销案，百货公司利用顾客的购买数据推测出该少女怀孕，并向其推荐一系列孕妇产品。(16)隐私也是人之基本权利和自由的体现，是人格尊严的重要组成内容，由此亦可知个人信息与人格利益密切关联。
(三)个人信息天然具有财产性基因
在数字社会(尤其是数字经济)中，个人信息的商业价值凸显出来，商家可运用个人信息形成的数据产品获得巨大商业利润。无疑，技术是个人信息产出经济价值的变革性因素，但它仍是外因，个人信息所天然具有的财产性基因才是其产生商业价值的内因。在数字社会中，它能够满足商业需要且有可控性和稀缺性，具有成为法律上的财产权益客体的可能性。
1.个人信息具有效用性。信息是交互性的概念，由输出者、通讯媒介、接收者构成。信息从人类存在起便一直存在，只不过起初信息只能通过口耳相传无法固定，无法产生真正的财产价值。可以说，是信息通讯媒介的迭代发展，尤其是数字社会的出现，方把个人信息中的财产价值催生出来。从口耳相传、书写文字、复制印刷、电子介质到人工智能，信息通讯载体的每一次发展都会给个人信息带来社会价值结构的改变，对于信息是否给予保护、给予何种保护，取决于对这些价值的社会评价。(17)香农的信息论指出，信息的基本价值在于消除不确定性。大数据改因果关系预测为相关性预测，通过相关性发现事物背后的规律。信息自动处理技术以及网络传播技术的发展使个人信息规模化采集、处理成为可能，大数据预测产生了对个人行为规律更深的洞察力，数据尤其是个人信息因此与土地、资本、人力一样成了核心的生产要素，成为商业分析的重要资源，为生产消费各领域所普遍青睐。
2.个人信息具有稀缺性。个人信息由个人生成，是对个人的描述和表征。在前数字社会时代的传统线下社会里，“信息一直是处于公共领域的公共素材或材料，是任何人均可以使用的资源”，(18)此时个人信息仅具有表明与个人稳定联系的识别意义，还不具有预测性的商业价值，不具有使用上的稀缺性。稀缺性是指有价值的个人信息供给小于人们的需求。人类进入数字社会后，个人信息被规模化、结构化采集，能够被网络永久记载，这为个人信息的数据化利用创造了条件。算法技术的发展，使规模化、结构化的个人信息产生了预测分析价值。但这些有预测价值的信息并非天然的、处于公共领域的信息，而是由个人信息处理者付出了相当的交易成本生产而来，这样的处理者实际是数据价值的生产者。(19)数据生产者为获得并保有个人信息，在信用建设、服务模式、质量维护以及信息安全保障等方面投入大量成本，由此才能获得用户信赖，累积规模化的个人信息。为保证信息采集、使用、持有不侵害用户权益，数据生产者又投入大量合规风控成本，以确保信息处理获得合法性，不受追责处罚。高昂的收集与处理等成本使规模化个人信息成为社会稀缺资源。我国乃至国际上频发的数据争夺案，从侧面亦可反映出规模化个人信息的稀缺性。规模化数据是由一条条个人信息组成，参与到数据处理过程中的每一条个人信息都有其独立价值，涓涓个人信息的细流方汇成数据的海洋。规模化个人信息的稀缺性实质上也意味着个体化的个人信息同样具有稀缺性。
3.个人信息具有可控性。有价值且稀缺的资源并不一定能成为法律上的客体，成为法律客体需要具有可控性。我国《民法典》《个人信息保护法》《网络安全法》等均强调了个人信息以电子或者其他方式记录这一形式要素，其制度意义在于择选出具有可控性的个人信息。口耳相传的信息需要以声音或影像为媒介，依赖于人的听觉或视觉，而人的听觉或视觉在传递信息过程中具有一系列缺陷，它受时间、空间限制，甚至人脑记忆也会影响信息传递质量，具有极大的不确定性，因此在信息的获取及流通方面，口耳相传方式极为受限，欠缺控制性的个人信息较难被有效利用并产生商业价值。而数字社会中的个人信息，由于可存储于数据平台之上，且能够被收集、加工、处理，从而具有了可控制性，可控制的信息才能产生可利用、交易的财产价值。
4.个人信息具有流通性。个人信息的可控性决定了它可以在不同的使用者之间自由流动。数字社会中的互联网是开放和共享的，网络运营者利用网络爬虫、OpenAPI接口开放等技术手段，使个人信息可以超越空间和时间因素，在不同处理者之间高效流转，从而实现了信息的最大化流动。个人信息流通是其产生交换价值的基础，有交换价值的资源才可能发挥市场作用，流通性是个人信息财产化必不可少的重要条件。
二、个人信息权益的双重法律属性
作为客体的个人信息具有人格与财产双重属性，人格性是个人信息显性特征，在个人信息上无疑能够产生人格权益，但因财产性是个人信息隐性基因，基于财产基因产生的财产权益并不必然获得法律的认可和保护，隐性财产基因的财产化需要满足一定的要求，不能与个人信息人格价值相冲突，需要具有法律上的正当性与可行性。
(一)个人信息上的权益是一种具体的人格利益
1.个人信息在数字社会中的人格属性决定其上存在的法律权益也首先表现为人格权益。个人信息在终极意义上仍然体现着个人的行为自由与尊严平等。若个人信息被不当或非法利用，极易对个人造成人格贬损，甚至是更大范围的人格权益侵害。当信息处理者利用个人信息进行算法决策时，极有可能产生不公平现象，形成算法歧视或偏见；当营销商运用数据画像进行广告投放或定向营销时，个人选择预先被算法圈定，消费者的决策自由受到营销商的支配和干扰；当个人信息被黑客窃取时，数据撞库使用户在网络社区上的所有活动及信息都可以被黑客掌握，个人丧失隐私控制。不仅如此，个人信息泄露更是对公民生命财产安全造成巨大威胁。非法获取公民个人信息，是电信网络诈骗黑色犯罪利益链条中的必经环节，(20)违法犯罪人窃取或在数据黑市上购买这些高质量信息后，实施精准电信诈骗或勒索，这些侵害给个人带来了极大的精神胁迫。为避免个人因信息滥用而遭受人格贬损，因担心数据泄漏而产生精神困扰，法律需要赋予个人一种控制个人信息的权利，以确保其人格独立和自由。在自动化数据处理情形下，人的自由发展取决于其是否有权对抗个人资料被无限制地搜集、储存、使用和传输，其依据来源于个人自主决定的价值和尊严。(21)
2.个人信息上的人格权益属性从功能上看主要是防御性权益。个人信息所负载的利益主要体现为精神利益，利益决定了权利行使的目的，把利益保护和利益实现纳入私权界定，人们可以从保护目的出发，准确界定权利。(22)①个人信息人格权益是防御性权益。数字社会中个人信息之上附着的是防止因个人信息被非法收集、泄露、买卖或利用而导致其既有人身、财产权益遭受侵害甚至人格尊严、个人自由受到损害的利益。(23)个人信息人格权益目的便是防御这种损害风险。1977年德国《联邦资料保护法》正式提出一般性的个人信息权，明确指出其立法目的是保护个人一般人格权不受个人数据操作的损害。(24)2016年欧盟GDPR直接将个人信息权界定为个人数据保护权。(25)②人格权益属性决定了个人信息权是积极的防御权。赋权风险控制通过赋予个人知情权、选择权，使其能在事前决定是否参与风险活动、是否接受信息处理可能产生的各种风险，实现个人信息的风险自治，如此才能更为有效地保护并尊重其人格利益。其逻辑为：一是通过参与实现自治，即个人是风险承受者，而这些风险又多与人的基本权利和自由相关，个人应享有信息处理参与权，应能制衡信息处理者决定，控制信息处理过程；二是通过监督塑造信任，个人授权信息处理的前提是，个人相信处理是安全的，个人监督处理活动，有助于塑造信息处理信任关系，形成信息持续供给。③人格权益属性决定了个人信息处理者须负有风险控制的义务，换句话说，义务型风险控制也是个人信息防御的必备内容。个人信息处理者能低成本控制风险，并且是信息处理受益者，因此各国的个人信息保护法律一般都规定了信息处理者的风险控制义务，要求符合公平、透明、必要、目的限制、比例、追责等原则。但义务保护具有被动性，缺少监督和制衡较难落到实处：从法律效果来说，义务履行情况，如信息安保、风险评估、审计监督等对信息处理者更具现实意义，它是信息处理获得合法性的条件；从个人角度来看，义务履行并不必然排除风险，对个体保护具有或然性。
3.个人信息人格权益具有独立性，无法由其他人格权提供救济。我国司法实践早期采取了以传统线下社会中的隐私权为救济路径保护个人信息权益的方式，如“庞某某诉中国东方航空股份有限公司、北京趣拿信息技术有限公司隐私权纠纷案”(26)“吴某某与北京三快科技有限公司隐私权纠纷案”(27)“罗某与北京金某科技有限公司隐私权纠纷案”(28)。这也是在保护个人信息的专门规则出现之前的无奈选择。在《民法典》正式确定了个人信息权益的独立法律地位后，越来越多的案例开始采用个人信息权益作为请求权基础与裁判依据。如“黄某诉腾讯科技(深圳)有限公司等隐私权、个人信息权益网络侵权责任纠纷案”(29)“凌某某诉北京微播视界科技有限公司隐私权、个人信息权益网络侵权责任纠纷案”(30)“孙某某与北京搜狐互联网信息服务有限公司等人格权纠纷案”(31)，这些案例从价值取向、权益客体、权益内容、权益侵害后果以及权益保护方式等方面对个人信息权与相关人格权益，尤其是隐私权做了比较和区分。相信随着《个人信息保护法》的出台，法院对个人信息权益特性会采取更为全面的司法论证，不仅使个人信息权益的独立性与独特性越来越清晰，并且也为当事人寻求个人信息救济确定了恰当的请求权基础和诉讼事由。
(二)个人信息上的权益是具有财产性的人格利益
数字社会中的个人信息具有天然的财产基因，但因其本质上的人格性，决定了财产基因并不必然成为法律上的权益。个人信息权益是否具有财产性，要看其财产基因是否能够得到法律确认，即个人信息在法律上是否可以财产化以及法律主体是否应当享有该财产利益。
1.个人信息在法律上可以财产化。①个人信息具有外在性，合理财产化利用不会贬损人格。个人信息的人格价值建立在与个人的稳定联系之上，个人信息权益是标表性人格利益。个人信息是外在于个人的社会性认同，它是个人社会存在的利益形式体现。由于个人信息外在于个人，若利用合法合理，并不会因为财产化而使个人丧失人格的独立和完整。②所谓个人信息的财产化，其本质是将内含于个人信息中的财产价值通过授权他人使用而实现，不会因他人处理信息而使得人格权益丧失。个人信息与个人的联系具有稳定性，其本体是对人的表征，信息处理针对的不是个人，而是经媒介固定后的信息，未经同意或非法获取个人信息，个人丧失的是对外化信息的控制力，但仍然享有控制其信息的人格权益。③个人信息财产化更能体现个人对其信息的自由意志。“自我决定是人的主体价值的本质和核心”，(32)在不贬损个人人格、不侵害个人人格权益的前提下，个人信息财产化可以扩大个人对其信息的自由范围，使其可以享有个人信息财产化后的利益，这可以更好地维护个人权益和人格尊严。
2.个人不是个人信息财产价值的唯一主体。从个人信息财产价值生产过程看，个人仅是信息财产价值的供给者而非生产者，数据价值的产生，除有个人贡献外，还有信息处理者，主要是数据生产者的劳动与智力付出，在此意义上，个人似乎难以、甚至也不应独享信息中的财产利益。①个人为个人信息财产价值提供者。“在大数据概念下，数据皆有源，而‘源’就是数据描述的对象或者数据主题。”(33)个人为个人信息的描述对象，是信息之源，没有源头便不会产生个人信息，更不会有后续的信息采集分析和加工利用。基于信息财产价值的形成过程，个人仅提供了信息财产价值生产的原材料，但没有原料供给，个人信息财产价值便不会产生，个人理应参与信息财产价值的分配。②个人往往并非信息财产价值的生产者。个人信息中的财产价值主要源自采集者有意识的记录和搜集，而这些规模化、结构化、具有时效性的个人信息，需要采集者投入大量的资本、技术和人力才能生成。尽管个人信息天然蕴含了财产基因，但这种财产基因往往需要采集之后的规模化处理与加工，方能发挥与释放出更大的、更符合数据利用目的的、有针对性的效用与价值。③个人信息的财产价值应该由个人与数据生产者共享。个人信息的财产价值生成是由作为原材料供给者的个人与作为数据生产者的处理者共同实现的。无论从财产分配的劳动报偿理论看，即人们有权取得自身劳动所创造的财产，还是从功利主义理论看，即法律为激励个体有效利用资源而保护财产权利，(34)个人信息财产利益均不应由个人独享，因为其价值产生于数据生产者投入的智力和体力劳动，且相较于个人，数据生产者是更加高效的数据资源利用者。可以说，数据上利益结构是多重法权关系的重叠，用户和数据经营者之间、不同层次的数据经营者内部之间的权利，彼此围绕数据经济的合理关系和生态结构而布局。(35)
3.个人信息中的财产利益配置要符合产权配置规律。个人信息可以财产化是个人与数据生产者分享信息财产价值的基础。个人信息的财产化，并非说个人应完全支配其信息财产价值，而是要符合数字社会中应然的产权配置规律。从功利主义视角看，合适的产权赋予适当的主体，可使产权指向的资源得到最大化利用，社会福利水平实现最大化均衡。只是个人信息人格权益的本质属性，决定了无论如何分配，也不应侵害个人的人格利益，这是基本底线。基于此，个人信息中的人格利益必然专属个人，但财产利益配置与人格利益归属可不遵从同样的逻辑。人格利益归于个人，这是法律的底线要求，即维护人之自由和尊严的要求；财产利益归属则应遵从市场要求，受市场规律支配。法律承认个人信息的人格价值不等于其中内含的财产利益也不证自明地归个人专有。个人信息财产化不宜比照美国法上的公开权制度，赋予个人对财产利益的绝对支配力和控制力。原因是，数字社会中的个人信息财产价值生产与传统线下社会中的姓名、肖像等公开权价值生产有本质性差异。公开权将姓名、肖像财产权益赋予个人专有的逻辑是，其商业价值来自权利主体的创造劳动或知识产出。美国法上的公开权仅限于姓名或肖像等具有商业价值的主体，而对于姓名和肖像之外的身份标表性要素以及非名人的姓名和肖像，均持谨慎态度。(36)个人信息中的财产价值与公开权恰恰相反，其价值生产主要不是来自个人，而是来自数据生产者，即信息处理者。我国《民法典》第993条规定姓名、名称、肖像可以许可他人使用，未规定个人信息的许可使用制度，体现了个人信息与其他标表性人格权的不同，符合产权配置的目的和要求。
三、个人信息权益归属的双重法律属性
个人信息上的权益具有人格与财产双重属性，但不能就此得出个人信息权是人格权与财产权并存的二元权利。个人信息权的具体内涵与外延，取决于如何向个人以及数据生产者(个人信息处理者)分配个人信息上的法律权益，权益配置方案决定了个人与数据生产者对个人信息权益的具体控制方式以及双方权益行使的边界。
(一)个人信息人格权益由个人控制且专属个人
个人信息权的本质属性是人格权益，人格权的特点是利益由个人专属，且不能让渡。一般认为，关于个人信息权的权利内核大致有信息自决权与信息控制权两种学说：信息自决权说滥觞于德国的“人口普查案”，而美国多将个人信息权(信息隐私)解释为个人信息控制。但二者并非毫无关联，所谓的信息自决权在德国法的语境中包含控制个人信息的思想，而信息控制也含有信息决定的内容，它们的目标一致，都是保护人的自主独立或自治。(37)或者说，这两个概念主要是从个人信息的人格属性出发，而较少兼顾人格权益中内含的财产权益。由于信息自决权主要是一种对抗国家的宪法上理念，难以适用于具体的民事权利，而且也易引起个人信息权是绝对支配权的误解，(38)故本文使用个人信息控制权的概念。
个人信息控制与个人信息人格权益性质相契合。“个人信息控制权是人格权，源自个人信息与自然人生命、身体、健康的密切联系性，它们是生命、身体、健康的表征或符号。”(39)个人信息控制赋予个人两种能力：第一，创造个人身份特点的能力，这些身份特点用来定义自身；第二，个人事物的决策能力，尤其是与自我界定相关的事务。这两种能力事关个人对自我的认知和评价，且通过形塑他人掌握自身信息的方式以影响他人对自我的认知。个人信息控制体现了个人的自由和尊严，与个人信息人格权权益性质相契合。(40)具体表现如下：
1.个人信息控制是个人对其信息享有自由意志的法律表达。欧盟GDPR规定自然人在数据处理中获得保护是一项基本权利，自然人应能控制其个人数据。(41)个人信息控制的核心是数据处理自治，即自然人同意并全面控制数据处理。正因为数据保护法的目的是保护人的基本权利，所以个人数据控制才尤为重要。意思自治是主体控制其个人信息及信息处理的重要保障。(42)
2.个人信息控制并非对个人信息的绝对支配。个人可以自由决定其信息被何人使用或如何使用，但这并不意味着他人使用其信息必然构成对信息权益的侵犯。在德国，这样一种权利被视为是基本法人格权的具体化，并被称为信息自决权。没有绝对不受限制的个人信息自决权，它不是绝对的支配权，必须遵循基本权利的要求，受法律保留、授权明确以及比例原则的拘束。(43)欧盟GDPR将个人信息权界定为个人数据保护权，并指出该权不是绝对的权利，需要与其他基本权利相互权衡。(44)更为清晰的理解是，个人信息控制主要针对个人信息中的人格权益，在此意义上，个人信息需要他人的绝对尊重，个人通过控制权来防御他人的侵害；而对于个人信息中所内含的财产价值并不享有绝对支配的权利，在人格利益得到充分尊重的前提下，则可与信息处理者共享。
3.个人信息控制所针对的人格权益在法律上主要体现为防御权。赋予个人对其信息的控制性权能，目的是实现对个人信息在特定场合的控制与支配，进而防止个人信息被侵害。(45)此处的特定场合，应理解为主要针对人格利益而言。个人信息控制权是“事前”“自力”“制衡”性的防御权。①个人信息控制使个人得依自己意思管理信息处理风险，有权在事前了解风险的基础上自主决策、自主判断、评估风险，决定是否将自己置于风险之中。②承认个人信息控制，也即承认个人意志较信息处理者意志具有优先性；与追责不同，个人信息控制不需要请求他人配合，不需要经过司法确认，它是自力性风险管理，个人处于积极、主动地位。③在个人信息数据化利用中，信息处理者对他人信息有事实上的控制力，对作为风险承受者的个人而言，若其不能控制风险而由他人任意支配其个人信息，则是法律制度上的巨大不公。授予个人法律上的信息控制力，将有利于实现风险控制上的制衡。
4.个人信息控制使得个人能够参与信息处理决策。个人信息控制通常是由隐私的最坚强捍卫者所使用的、被认为是个人控制关于其信息流的权力。(46)个人信息控制与隐私不同，隐私是保持独处的权利，而个人信息被认为是参与性的权利。其理念是将个人置于有关个人信息使用决策的中心地位，通过个人管理信息，包括个人对信息利用的选择及与信息使用者谈判而实现信息自治。(47)
5.个人信息控制权的人格权特性决定了其不得与个人分离。人格权具有人身专属性，不得放弃和转让。在有合法基础的前提下，个人信息可由他人利用和处理，但这并不影响个人信息控制权的圆满性，也不妨害个人在信息上的人格利益。个人信息控制权不因信息的合理使用而丧失，即便有合法基础，处理者也要保障个人的同意、退出、删除、限制、更正、复制等权利。该权也不因其辗转到第三方手里而消灭，无论个人信息以何种途径转移到何人手里，个人信息控制权均有追及力，第三方处理个人信息仍要保障个人的知情权和选择权。
(二)个人信息财产权益主要由数据生产者控制，(48)但要与个人共享
个人信息财产权益应由个人与数据生产者共享，如何在两者之间分配财产权益，则要从个人信息的客体属性以及市场规则出发，使财产价值的分配既要符合产权配置的效用目标，也要符合公平正义的要求。从行权效果看，数据生产者控制个人信息财产价值，更有利于激励个人信息类数据生产，提升数据利用效率。由此决定了，数据生产者所享有的个人信息财产控制权有其特殊的内涵。
1.数据生产者在数据采集中投入成本、创造价值，无论从劳动报偿角度还是从激励产出、提升社会福利角度出发，赋予数据生产企业对个人信息财产价值的控制权，更符合个人信息财产权配置的原则和目标，否则会造成市场失灵，如公地悲剧、抑制后期投资等。作为资源的数据是被生产出来的，组成数据资源之个人信息的财产价值也是由生产而来，因此数据生产者对于信息财产价值应享有控制权。(49)
2.赋予数据生产者个人信息财产利益控制权，利于市场机制发挥财产分配作用的机能。企业间的数据流转，本应以市场为最优的财产流转机制，通过市场使数据资源流向最优利用者手中。最优利用由利用意愿、技术和能力共同决定，从这三方面看，数据生产者均是最优利用者，而非个人。当法律赋予数据生产者对个人信息财产利益控制权时，可以避免个人控制信息财产价值，避免非最优利用人控制个人信息市场流向。个人仅控制个人信息中的人格权益，却不及于财产权益，由此个人便不能生成干预数据市场流通的私人管制力，数据财产价值便可依市场规律自由流通。
3.赋予数据生产者对个人信息财产利益控制权，利于避免数据企业对个人信息的恶意争夺。在我国互联网企业个人信息争夺案中，已发生多起以个人的信息控制权为由不当争夺数据生产方数据的案件。(50)若不赋予数据生产企业个人信息财产权，放任数据争夺者以个人控制信息为名恶意争夺数据，短期看会危及数据生产企业的竞争优势和竞争资源，长期看则会抑制数据生产，最终也会损害个人及整个社会利益。
4.数据生产者对个人信息财产权益享有一定的控制权，但该控制权并不是绝对排他的独占性支配权。①人格权优位于财产权，数据生产者对信息财产权益的控制首先不能对抗个人基于信息人格权益生发出的知情、查阅、复制、更正、删除等具体权利。并且，因具有人身专属性的人格权不可转让、不可放弃，无论数据生产者如何处分由其控制的个人信息财产权益，如何与数据第三方利用者共享个人信息，均不得且不能排除个人所享有的个人信息人格权益。在个人、数据生产者与数据第三方利用者之间，虽然个人信息权益初次分配发生在个人与数据生产者之间，但当数据生产者的个人信息财产权益“分享”给其他数据利用者时，无论这种“分享”是否有正当合法理由，无论是基于意定或法定原因，个人所享有的个人信息人格权益不因财产权益归属的转移或利用形式的改变而丧失，我们可以形象的称之为个人信息人格权的“追及力”。②个人虽不是或主要不是个人信息财产价值生产者，而仅是或主要是信息资源供给者，但为了激励个人信息的持续供给，个人亦应共享个人信息财产利益。事实上，对于个人信息中的财产权益，较为便捷的权益分配形式是将其赋予个人，希望利用个人信息的处理者可依自愿交易的形式从个人处获得财产权益。但个人信息作为客体具有特殊性，它往往存在于他人平台之上；且个人信息产生、发挥财产价值同样较为特殊，若没有数据生产者的收集、处理等行为，个人信息的财产价值便无从或难以充分发挥，从而决定了个人信息的财产价值难以甚至不能由个人独享，而应与数据生产者分享。③数据本身具有社会共享性，这是与企业(数据生产者)商业秘密的区别。生产个人信息财产价值，是数据生产者得以控制个人信息财产利益的理由，但控制不等于独占，对数据生产者开放的个人信息，他人使用并不一定违法，如搜索引擎爬虫爬取数据是行业认可的惯例，是否承担责任要看结果是否侵害了法律保护的利益和秩序，而对于数据生产者不愿公开的非共享信息，可以选择商业秘密形式获取保护。④企业(数据生产者)数据上负载多重利益，与市场经济秩序和消费者权益密切相关。“企业数据不仅是产生企业自身的数据经济利益，本身在其享有、应用、交易的语境下也会因为数据化活动本身而影响特定经济和社会秩序。”(51)若赋予绝对排他的财产权，极易造成数据垄断，危害竞争秩序，侵害消费者权益。即是说，数据生产者可以控制个人信息财产权益，但不能以此方式绝对排斥他人使用、限制数据共享，企业对个人信息财产权益的控制，要受法定的数据开放、数据竞争秩序、消费者权益保护等多方面要求限制。⑤互联网作为公共、开放、共享空间的本质属性决定了数据生产者不能对互联网上的开放数据享有支配性、排他性权利。理由在于，“如果赋予互联网平台排他性的数据权利，可能会彻底扼杀互联网的公共性与开放性，从而扼杀互联网的蓬勃发展”。(52)
5.完整个人信息财产权益由数据生产者与个人共享，数据生产者的控制权有特定的权利内涵。①从抽象意义上看，完整的财产权包括占有、使用、处分、收益等四项权利内容，数据生产者与个人共享信息财产利益意味着该四项内容由两方主体共同享有。就目前的法律实践而言，其中占有或至少说直接占有归属于数据生产者，这归因于生产者采集个人信息并实质控制信息这一事实。至于使用，因为数据生产者是数据经济中最主要、最普遍以及最优利用者，个人信息财产价值实际由数据生产者开发、使用，个人信息财产使用权益同样归属于数据生产者。处分是个人信息市场化流通的基础，为实现赋予数据生产者财产控制权所能发挥的制度优势，在法律权益配置上，处分权益最好由数据生产者享有。当下数据生产者的个人信息财产控制权应包括占有、使用、处分、收益等内容，所谓的个人信息财产权益共享，主要指的是个人信息财产收益权的共享。②个人信息财产权益在数据生产者与个人之间的共享可以看作是完整财产权权能的分解和重置。需要说明的是：第一，权能不是某一项具体的权利，而是对权利内容的抽象，权利人基于权能实际享有各种具体权利，实际享有的具体权利是权能在法律实践中的展现，因此数据生产者与个人不是共享某项具体权利，而是实现这种具体权利的可能。进一步说，数据生产者与个人共享个人信息财产收益权能，意味着法律保护收益共享的可能性，而并非要确定保护某一种具体、特定的信息财产收益共享方式。第二，权能共享没有法律上的顺位和优先等次，数据生产者的个人信息财产控制权与个人所享有的信息财产权益不是派生关系，二者是平行、平等、同时而生的，均基于法律规定而原始取得个人信息财产权益，因此，权能分解重置视角下，数据生产者与个人对信息财产权益的共享实际是法律上的共有关系。(53)③数据生产者享有个人信息财产控制权是对个人信息财产权益的初次分配，主要发生在个人和数据生产者之间。至于数据生产者对其享有权益的二次分配，因数据生产者享有信息财产处分权，数据生产者与其他数据第三方利用者之间的个人信息财产权益如何共享，可以由合同制度调整，即数据生产者可以与数据第三方利用者签订数据共享协议，利用方违反协议规定承担违约责任。目前我国司法上已经肯定了数据共享协议效力，如“新浪微博与脉脉案”(54)，法院便认可了《开发者协议》的效力，认为被告应按协议要求通过OpenAPI接口获取约定范围内数据，并将《开发者协议》法律效果界定为授权，这是对数据生产者个人信息财产处分权的承认和保护。
6.以上对个人信息财产权益分配针对的是一般情况，即信息主体是普通的个人，而不具有特殊的地位和身份，如名人明星等。原因是，一方面，名人明星个人信息财产价值主要由自己创造，在流量经济下，名人明星的行为轨迹、生活状态甚至明星的在线动态等信息，自身便能产生巨大商业利润，这些价值是名人明星个人累积产生的，而非由个人信息处理者生产而产生的，这就决定了，同样从产权配置的报偿理论或功利主义理论出发，在个人信息财产权益分配上，名人明星信息与普通个人信息具有不同的法律逻辑，名人明星享有其个人信息财产价值控制权，可以依合同与处理者约定财产权益归属。另一方面，与普通个人相比，名人明星在市场地位与议价能力上具有较强优势，能够与处理者平等协商，在个人信息财产权益处置上，不会产生普通个人的市场失灵问题，产权配置也不同于普通的个人。因此，名人明星等特殊主体对其个人信息进行商业利用的场景具有特殊性。
(三)个人借助消极方式实现有限的个人信息财产权益
个人与数据生产者依自由意志积极共享个人信息财产权益，是理想的财产权分配模式。而残酷的生活现实却是，积极共享很难实现，请读者审视一下自身的现实情况便一目了然。只要大家使用过网络，尤其是使用过各种app服务软件时，由于网上留痕以及各种信息可能已被数据平台收集、处理，甚至已被包含在各种数据产品中被交易、流通、利用等，试问有多少网络用户得到过其个人信息中财产利益的回馈?在人们尚未设计出符合数字社会现实要求的个人信息财产权益积极共享制度前，当下以消极方式即通过责任方式保护个人对其信息的财产收益权，也就成为一种无奈的次优选择。当然，个人信息财产权益的消极实现方式也在一定程度上补充了财产权益积极实现方式的缺憾。
1.克服市场定价失灵，使个人信息权益侵害能够获得经济赔偿。财产权益的积极实现方式在保护个人信息中的失灵方面已受到广泛关注，主要体现为知情同意所面临的诸多困境。财产权益的积极实现方式保护选择(如合同)，消极实现方式保护转移(如侵权责任)。责任保护的本质是通过支付法定金额方式使财产利益的转移能够获得相应赔偿。我国《民法典》第1182条规定侵害人身权益造成财产损失的可以请求财产损害赔偿，当个人不享有信息财产利益时，非法使用个人信息便不能认定为造成财产损失，个人没有请求财产救济的请求权基础。承认个人享有信息财产利益后，责任保护的优点在于，当其人格权益损害不足以支持精神损害赔偿时，责任规则可以起到补足救济的作用。责任规则解决了合同规则下个人信息较难通过市场定价以及交易成本过高的问题，个人损失难以计算时，可以依据侵害人获益情况、当事人事后协商甚至法院酌定赔偿等方式来确定具体赔偿数额。
2.使个人信息财产权益保护可对抗任意处理者。个人信息是能够客观地识别自然人并表征个人特征的信息，这就决定了其作为财产权益客体具有特定性和可识别性。客体特定的意义在于可以明确客体及其上利益的归属，这是个人信息财产权益能够获得对世保护的条件之一。若客体不特定，则其上权益无法具体归属于某一人，因此也无法获得一般性的责任保护。不仅如此，客体(个人信息)可识别性能够使法益产生社会典型公开性。社会典型公开性使加害人能够对行为后果产生预见，避免了加害人一律承担责任的过度严苛。若权益不具这一特性，受害人所受侵害仅能视作社会风险，不能获得赔偿。(55)个人信息的可识别性使个人所享有的信息财产权益产生了可对抗其他任意第三方使用者的消极权能。即是说，个人享有其信息财产权益是权利初次分配的结果，发生在个人与数据生产者之间，但此种利益因特定且可识别具有普遍对抗性，无论处理者是数据生产者还是第三方利用者，无合法基础处理个人信息的，均造成对个人信息财产权益的侵害，均应给个人以损害赔偿。
3.与个人信息保护上的义务规范形成链接，为开展经济补偿或经济激励计划创造条件。责任是违反义务规定的法律后果，目前我国信息处理者的义务规范多以保护个人信息人格利益为出发点，当采责任方式保护个人信息财产利益时，法律得以在个人信息人格保护义务外规定法定的财产性义务，如经济补偿义务，或为信息处理者开展经济激励计划设定义务规范，为处理者向个人提供经济报偿而换取高质的个人信息供给创设行为框架。《2018加州消费者隐私法案》(以下称CCPA)，在告知—同意模式中明确规定了经济激励条款，允许信息处理者在公正、合理、自愿且非高利贷情况下给个人以经济激励，这是改变告知—同意强制准入模式的有益尝试。(56)“奥巴马政府在2011年就推出了‘绿色按钮’计划，要求必须使得顾客能够以一种可下载的、标准的容易被使用的电子形式查询自己的能源使用信息。”(57)经济补偿或经济激励既利于避免财产规则下个人信息以市场方式由个人流转到信息处理者手中所面临的种种困境，又利于克服因单条个人信息价值有限而使个人较难享受其信息红利的弊端。
4.可以降低个人信息交易成本，契合个人信息交易结构。个人信息中的财产价值交易链不同于传统的有形资产，有形资产以线性交易结构为主，交易主体明确、流向清晰；个人信息交易则是网状结构，理论上交易链条具有时空上的无限延展性。数据提供方可以多种方式，与任意第三方交易个人信息；数据采集方可以出于多种目的，处理从多个渠道采集的个人信息；个人信息处于多样、多向的流动利用中。要求网状交易的各节点都取得个人授权、签订合同，不仅成本巨大，并且对个人来说侵扰过重。
5.与个人信息财产权益分配上普通个人与特殊主体区分相对应，以责任方式实现个人信息财产权益的规则仅适用于普通个人，而在名人明星等特殊主体对其个人信息进行商业利用的场景，因特殊主体享有其个人信息财产权益控制权，则多依合同规则实现财产利益。
个人信息权益具有双重法律属性，其中的财产权益可不完全归同一主体所有，一部分属于个人，另一部分属于数据生产者。个人专有个人信息上承载的人格利益，并与数据生产者共享个人信息财产收益权，个人所享有的双重权益统称为个人信息权。其中，人格权益属性是显性的人身属性，财产权益属性是内含于人格权益中的隐性利益。人格权益由个人专属、独享，旨在防范侵害，个人享有财产权益并非为支配或控制其中的财产价值，而是享受信息红利，因此个人享有个人信息中人格权益的控制权，而不享有财产权益控制权。质言之，个人信息权的本质是内含财产权益的人格权。而个人信息上的财产权益主要由数据生产者来控制，这部分权利称之为数据财产权，以区别于个人信息权。权利双重性并非法律上的新事物，但个人信息权却与以往所谓的财产性人格权不同，因为个人信息双重权益(具体说是其中内含的财产权益)并不完全归同一主体所有，这也决定了个人信息权难以简单套用财产性人格权的既有法律规则。
四、个人信息权益归属双重性在个人与信息处理者之间的协调
个人信息首先表征着人格价值，其中的人格权益由个人专属独享，而此处的“享”，更多的是意味着个人对其信息被侵害、被滥用的防御；个人信息中的财产权益则多由数据生产者和个人共享，且数据生产者更应享有财产利益的控制权。当下个人信息保护与数据利用之间的矛盾关系中其实包含两个层面的问题：一是个人信息中的人格利益与数据利用之间的矛盾关系，二是个人信息中的财产利益与数据利用之间的矛盾关系。单纯从理论上说，个人信息利用只能针对个人信息中的财产价值而言，但实际上，基于个人信息中人格属性与财产属性在物理上的不可区分(人格与财产属性的区分仅存在于观念之上)，即便是对个人信息财产价值的利用，其上也必然附载着个人信息的人格利益。个人信息中财产权益的利用可遵从合同、物权、侵权等法律制度逻辑，个人信息中人格权益则又需依照人格权益的法律保护逻辑，由于两者存在制度上的不可通约性，即财产权益是可以交易流通的，人格权益是不可交易流通的，关键问题便表现为一个客体(个人信息)之上两种性质不同的权益(人格权益与财产权益)在利用(其中的财产价值)中应该如何协调?答案就是，个人信息中的财产权益在数字社会中的利用仍需依照合同与财产权益的制度逻辑进行，只不过个人信息财产价值的利用永远都要受到其人格利益不受侵害的法律限制，即个人信息的人格权益保护是数据生产与利用的必要条件和底线。此点反映在有关个人信息的法律制度设计上，主要体现为个人信息处理与利用的合法性与正当性来源以及信息处理者所负的个人信息保护义务。
(一)个人信息处理的合法(正当)基础
处理个人信息要有合法(正当)基础，这几乎是各国个人信息保护法的通例。个人信息权本质上是人格权，在无正当理由的情形下，处理他人信息本应构成对个人信息权益侵害，合法(正当)基础的意义在于为信息处理提供了豁免，使后续的信息处理包括数据生产等具有了正当性。个人信息犹如数字社会中的氧气，数据生产者享有数据财产权益的前提是不能污染氧气，正当性基础是数据财产权益获得合法性的前提。(58)
在个人信息处理合法(正当)基础中，最具争议的便是知情同意的性质问题，目前有两种观点：一把知情同意理解为授权，(59)二把知情同意理解为免责事由。(60)本文持后一种观点：第一，同意授权是处分行为，处分行为是直接使某种权利发生、变更或消灭的行为，其前提条件是客体具有可处分性。个人信息权中的人格权益是主体的固有利益，具有人身专属性，不可处分，同意不能产生授权效力。第二，个人对其信息中的财产利益，在数字社会中主要由信息处理者控制，且主要依据责任规则保护，个人客观上难以享有信息财产处置权，其同意亦不会产生授权效果。赋予个人信息财产处置权也不符合产权配置的法政策要求，因为个人控制其信息财产利益通常会干扰信息的市场化流通，甚至会鼓励企业对个人信息财产价值的恶意争夺。当个人不享有信息财产控制权时，他便无法将自己不享有的权益授予个人信息处理者。第三，同意本是侵权法上免责事由，“允诺阻却违法是比较法上公认的基本原则”，(61)这是个人主义精神的体现，只是允诺不能违背强制或禁止性规定，不能违背善良风俗。知情同意不是个人信息处理的个例，医疗领域同样存在医生的说明义务和病人的同意免责，知情阻却违法以医生尽说明义务为必要，否则不发生免责效果，个人信息处理规则与此无异。第四，在比较法上，知情同意向来不发生授权效果。早在《欧洲人权公约》中就规定了对隐私的干预必须有正当理由；《个人数据自动处理中的个人保护公约》(《欧洲委员会第108号公约》)的理念是，为了保护个人基本自由和权利，尤其是保护个人隐私，处理个人信息必须满足特定条件；《个人数据保护指令》(《欧盟95指令》)确定了具体的信息处理合法基础，这些基础被GDPR继承。(62)《美国公正信息实践准则》(FIPPs)最先确定了信息控制者告知和个人同意原则，这两项准则后来成为OECD的指导性原则，并且APEC以此为基础形成了隐私保护框架。企业制定隐私政策的初衷是为了完成此两项原则所规定的告知同意义务，其真实目的更接近于希望凭此获得采集、处理、使用他人信息的免责事由，而不是为了与个人达成一致的授权协议。(63)
(二)信息处理者的个人信息保护义务
合法(正当)基础是消解个人信息中人格利益保护和财产价值利用冲突的必要条件，但有合法(正当)基础并不意味着信息处理不会侵害个人信息权益。为使处理者在享受信息财产利益的同时，能够保障个人信息的人格利益安全，信息处理者要承担一系列的信息保护义务，确保信息处理具有合法性、正当性，这也是保护个人信息主要应基于行为规则模式(具体表现为行为控制模式)的理论来源。
个人信息权是赋权型风险控制，针对个人信息风险治理，个人的信息控制权与企业的信息保护义务双管齐下，才能全面保护个人信息的人格权益。单纯赋予个人权利的立法设计，并不能完全解决数字社会个人信息权利保护的问题，从控制人的义务规范入手(行为控制模式)是个人权利保护的另一种进路。(64)若仅授予个人信息控制权，但不规定信息处理者保护义务，个人信息人格利益保护难谓周延。第一，信息处理者是低成本的风险控制者，它全面掌握个人信息处理技术信息、市场信息及风险信息，实时掌握个人信息处理动态，具备风险分析的专业技能和人才，相对于个人来讲，信息处理者占据信息优势，具备控制风险的能力和条件。第二，信息处理者是风险的制造者，个人信息用途、使用方式由信息处理者确定，个人信息处理的技术方案由信息处理者设计，个人信息的实际处理由信息处理者操控，由其负担安全保护义务更加符合公平原则。第三，信息处理者又是信息处理的受益者，由其承担义务控制风险，符合风险分配的效益原则，防止道德风险发生。第四，信息处理者承担信息保护义务利于实现场景化的风险控制。信息处理是个实践问题，在具体信息处理活动中，当事人的利益关系紧张、复杂、灵活、多样，行为的可预测性较低，个人信息处理上的义务机制具有更加重要的地位。
五、个人信息权益归属双重性在法律救济中的体现
权益性质决定权利救济方式。个人信息权是内含财产权益的人格权，这一特性决定了其救济方式亦有特殊性。具体表现在：个人所享有的信息人格权益及消极信息财产权益可以采用人格权一体救济模式获得侵权法保护；而数据生产者的积极信息财产权益，即对个人信息财产价值的控制权可采用违约、反不正当竞争、侵权等多元救济模式。
(一)个人的个人信息人格利益与财产利益可依人格权获得一体救济
个人信息的人格利益与财产利益一体救济是财产性人格权的保护模式之一。财产性人格权现有两种保护模式：一种是以美国为代表的隐私权与公开权二元并行保护模式，另一种是以德国为代表的人格权包含财产利益的一元保护模式。二者区别在于，前一模式下，标表性人格价值所彰显的财产利益是独立权利，可以与人格权分离，可以公开权的形式许可他人使用，具有可转让性；后者财产价值不具有独立性，权利人仅享有人格权，财产利益通过人身权益财产损害赔偿的方式实现。(65)个人信息人格利益与消极财产利益统一包含在个人信息人格权中，由人格权侵权实现一体救济的方式，在一定意义上也是对德国财产性人格权一元保护模式的借鉴。
需要着重强调的是，个人信息权益一体救济与德国的一元保护有本质上的不同。德国的一元保护模式与其人格权理论密切相关，“人格权中的经济价值与权利人的外表具有不可分性(untrennbar)，这也就决定了人格权中经济价值难以彻底脱离权利主体”。(66)因此，德国法上人格权财产利益是人格权的组成部分，不可与人格权分离，不具有可转让性。而个人信息权益救济若照搬此种模式，便无法解决个人信息财产价值流转问题。与德国欲说还休式的保护不同，个人信息权益一体救济肯认个人信息财产权益具有独立性和可转让性，只是目前个人依合同积极处分个人信息财产权益存在规则失灵，退而求其次选择了责任保护方式。法官在审理案件过程中不应忽视对个人信息财产价值的评价，而要充分考虑个人信息被他人利用所能带来的收益。
在一体救济模式下，由于个人信息中的财产利益包含在个人信息人格权中，违反保护义务造成个人信息权益损害，不仅侵害了个人信息人格权，而且也是对个人信息财产权益的侵害，由此便可一体请求财产损害赔偿。权利人无需在人格利益侵权之外，再依一般侵权责任另行请求财产权益救济，从而利于个人减少诉累。在我国司法实践中，早有采用一体保护规则救济个人信息人格权益与财产权益的先例。如“凌某某诉北京微播视界科技有限公司隐私权、个人信息权益网络侵权责任纠纷案”中，法院认为，虽然诉讼双方均未提供原告因个人信息权益受到侵害所遭受的财产损失或被告因此获得利益的相关证据，但被告对个人信息的采集和利用必然会为其商业运营带来利益，被告在未征得原告同意的情况下采集原告的个人信息并加以利用，应当给予一定的经济赔偿。(67)
个人信息财产利益与人格利益一体救济亦有适用上的特殊性。其一，归责原则的特殊性。由于侵害个人信息的加害方往往是在技术、经济等方面较个人占有优势地位的平台企业，因此对个人信息的侵害多数观点认为可采用过错推定的归责原则，此点亦被《个人信息保护法》第69条采纳。其二，损害认定的特殊性。由于人格权益的侵害主要表现为精神利益的损害，依照《民法典》第1183条的规定，对一般的人身权益的精神损害必须具有“严重”性才予以精神损害赔偿，显然这也不利于对个人信息的全面保护。尤其是当对个人信息精神损害赔偿内含着对个人信息财产利益的保护时，对损害的要求应该降低而非提高方能利于保护个人的相关利益。在此意义上，对侵害个人信息造成的损害，仅一般损害即可，无需“严重”。我国《个人信息保护法》第69条对个人信息侵权保护的立法设计，无论是过错推定归责原则的确立，还是对损失的宽松认定，均值得赞同。
(二)数据生产者的积极信息财产控制权可依违约、反不正当竞争与侵权责任寻求多元救济
基于数据生产者的个人信息财产控制权并非绝对排他的独占性支配权，法律保护的是数据生产者对个人信息财产权益的控制，对其救济不能比照物权等绝对权，目前我国司法实践主要有违约以及反不正当竞争等救济方式。
1.违约救济是基于数据生产者对个人信息财产权益的协议控制产生，若数据第三方利用者未按协议要求使用或处理个人信息，则承担违约责任。我国实践中的协议控制主要运用于OpenAPI数据开发共享模式，数据第三方利用者与数据生产者签署《开发者协议》，协议规定数据获取、使用过程中双方的权利义务关系。此模式下，数据第三方利用者使用数据生产者数据的正当性源于数据生产者授权，授权以《开发者协议》为基础，违反规定要承担相应责任。(68)但违约救济有局限性，当数据第三方利用者以OpenAPI模式超权限、超目的范围或未按规定获取、使用数据时可以适用，但当其未与数据生产者签署《开发者协议》，或者协议约定不全面，抑或数据使用方未从OpenAPI开放接口获取数据，而是以爬虫或模拟用户等形式抓取数据时，《开发者协议》便不能用来调整当事人之间的权利义务，违约责任无适用余地。
2.数据生产者个人信息财产控制权的反不正当竞争保护，不以数据共享协议存在为前提。我国司法多将企业的个人信息财产控制权看作企业的竞争性权益，认为数据资源为数据生产者投入大量人力、物力，经长期经营累积而成，能给数据生产企业带来商业利益与竞争优势，是企业的核心竞争力所在，是企业具有竞争意义的财产权益。(69)不正当竞争是事后的消极保护方式，救济范围较广，即可以适用于存在数据共享协议的情形，如“新浪微博与脉脉案”“腾讯与抖音多闪案”，也可以适用利用外挂软件、网络爬虫等技术手段非法抓取数据的情形，如“微信群控案”“谷米诉元光案”(70)。因数据本身具有共享性，其上负载多元利益诉求，并且互联网本身是开放空间，只有数据使用行为并不能判定数据第三方利用者承担法律责任，其行为必须扰乱市场竞争秩序，损害经营者合法权益或消费者合法权益时，方能构成不正当竞争。
3.不排除将来以侵权责任救济数据生产者个人信息财产控制权的情形，若数据生产者的个人信息集合可以比照“数据库”给予有限的知识产权保护，那么数据生产者便可依侵权责任获得对个人信息财产权益的救济。
六、结语
个人信息作为权利客体兼具人格与财产双重价值，由此决定了个人信息上的权益同样具有双重性。个人信息中的人格价值旨在维护人的自由和尊严，主要体现为具体人格利益与精神利益，为人格权，由个人专享，不得放弃和转让；其中的财产价值旨在实现个人信息作为数字社会最重要资源与生产要素的目的，由个人与数据生产者共享，或者主要由数据生产者支配以契合数字社会的本性要求，充分发挥个人信息的财产价值，实现个人、企业以及社会整体的利益最大化。信息人格权主要表征为个人享有的个人信息控制权，是为纠偏信息利用决策力向处理者转移而赋予个人的参与性决定权，目的是保护个人免因信息处理遭受权益侵害；信息上的财产权主要体现为数据生产者对个人信息财产利益的控制权(数据财产权)，意在激励数据价值生产及合理调配数据资源流动。
个人对其信息财产权益在当下可暂由责任规则保护，并与人格利益一起内含于个人信息人格权，形成一元救济模式。个人信息权益(人格与财产)归属的双重性，主要是个人信息财产利益归属不同主体的制度设计，则需要更为精细地协调个人信息人格保护与财产利用，尤其是其中财产利益的分配关系。人格利益优位于财产利益的特性及人格利益所内含尊严与自由之永恒保护的特性，为协调个人信息人格保护与财产利用的矛盾关系提供了可行方案，即个人信息处理要以保护个人信息为正当性和合法性条件，且无论个人信息通过何种方式流转到何人手中，均不排除个人信息人格利益的优先保护。个人信息双重法律属性之界定，化解了个人信息保护与数据市场化利用的矛盾，捋顺了个人信息权利属性、归属、利用、保护等法律关系与内在逻辑，从而为驱动数字经济的健康发展提供了丰厚的学理基础与制度保障。
注释：
①有关在互联网组成的赛博空间活动形式的称谓可谓林林总总，如数字社会、互联网络社会、智能社会等等，本文统一采用数字社会的称谓。
②依王泽鉴先生的划分，人格法益大体可以分为人身的人格权与精神的人格权，人身人格权包括身体、健康、自由及贞操等，精神人格权包括姓名、肖像、名誉、信用、隐私及信息自主权。参见王泽鉴：《人格权法》，北京大学出版社2013年版，第99页。
③有关数据、个人信息与隐私的概念区别，现在并无定论。本文采用较为狭隘且固定的概念内涵，即个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息(《民法典》第1034条)；数据是通过去标识化、匿名化等技术手段不能识别特定自然人的信息以及其他与自然人无关的信息等，隐私则是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息(《民法典》第1032条)。有关数据、个人信息与隐私三个概念的相互区别与联系，参见彭诚信、向秦：《“信息”与“数据”的私法界定》，载《河南社会科学》2019年第11期；彭诚信：《数据利用的根本矛盾何以消除——基于隐私、信息与数据的法理厘清》，载《探索与争鸣》2020年第2期；彭诚信、杨思益：《论数据、信息与隐私的权利层次与体系建构》，载《西北工业大学学报(社会科学版)》2020年第2期。
④目前，我国关于个人信息权益属性总体上有三种观点：一是财产权观点，认为个人信息是有价值的商品，强调给予个人信息财产权保护；二是人格权观点，认为个人信息是人格尊严和自由的体现，主张保护个人信息的人格利益；三是人格兼财产权观点，该说认为个人信息既是人格要素，也是财产要素，因此个人信息权既是人格权也是财产权。参见叶名怡：《论个人信息权的基本范畴》，载《清华法学》2018年第5期，第145-146页。
⑤参见方新军：《权利客体的概念及层次》，载《法学研究》2010年第2期，第40页。
⑥个人信息是权利还是利益仍然存在争议，有称为个人信息权的，有称为个人信息权益的。我国《民法典》直接称作个人信息，从而回避了个人信息是权利抑或利益的争论。本文统一称作个人信息权。
⑦参见高富平：《数据流通理论：数据资源权利配置的基础》，载《中外法学》2019年第6期，第1408页。
⑧齐爱民：《论个人信息的法律属性与构成要素》，载《情报理论与实践》2009年第10期，第28页。
⑨[日]中山信弘：《多媒体与著作权》，张玉瑞译，专利文献出版社1997年版，第1页。
⑩李明德：《美国计算机软件保护法研究》，载郑成思主编：《知识产权文丛》(第12卷)，中国方正出版社2005年版，第342页。
(11)See Chaim Zins,Conceptual Approaches for Defining Data,Information,and Knowledge,4 Journal of the American Society for Information Science and Technology 485(2007).
(12)参见[德]恩斯特·卡西尔：《人论：人类文化哲学导引》，甘阳译，上海译文出版社2013年版，第45页、第60页。
(13)如中国被遗忘权第一案“任甲玉与百度公司案”。该案原告主张百度搜索引擎链接其曾经的工作信息，给其带来负面影响，降低其人格评价并造成经济损失。参见北京市第一中级人民法院(2015)一中民终字第09558号民事判决书。
(14)如Cookie隐私第一案“朱烨诉百度案”。原告朱烨诉百度公司未经其知情和选择，利用网络技术记录和跟踪其所搜索的关键词，将其兴趣爱好、生活学习工作特点等显露在相关网站上，并利用记录的关键词，对其浏览的网页进行广告投放，侵害了其隐私权，使其感到恐惧，精神高度紧张，影响了正常的工作和生活。参见江苏省南京市中级人民法院(2014)宁民终字第5028号民事判决书。
(15)See Jerry Kang,Information Privacy in Cyberspace Transactions,50 Stanford Law Review 1193,1260(1998).
(16)参见吴军：《智能时代——大数据与智能革命重新定义未来》，中信出版集团2016年版，第152-155页。
(17)参见[美]罗纳德·K.L.柯林斯、[美]大卫·M.斯科弗：《机器人的话语权》，王黎黎、王琳琳译，上海人民出版社2019年版，第30页、第31页。
(18)高富平：《个人信息保护：从个人控制到社会控制》，载《法学研究》2018年第3期，第94页。
(19)《个人信息保护法》第73条规定，个人信息处理者是指在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。《民法典》同样使用了信息处理者的概念，该法虽未对处理者进行界定，但规定个人信息处理包括个人信息的收集、存储、使用、加工、传输、提供和公开等，可以判断信息处理者是进行如上信息处理活动的组织和个人。《民法典》从具体信息处理行为角度对处理者进行了侧面解释，当我们从处理者与个人信息财产价值关系上观察时，处理者实际可以分为两种类型：一种是规模化个人信息财产价值的生产者，可以称为数据生产者；另一种是未生产但利用个人信息财产价值的处理者，可以称为数据的第三方利用者。因价值关系更能体现权利义务分配上的不同，本文依具体情况对信息处理者、数据生产者与数据第三方利用者做了区分使用。
(20)参见高铭暄：《论中国大陆(内地)电信网络诈骗的司法应对》，载《警学研究》2019年第2期，第7页。
(21)参见同前注②，王泽鉴书，第200页。
(22)参见[德]迪特尔·施瓦布：《民法导论》，郑冲译，法律出版社2006年版，第134页。
(23)参见程啸：《民法典编纂视野下的个人信息保护》，载《中国法学》2019年第4期，第37页。
(24)参见张里安、韩旭至：《大数据时代下个人信息权的私法属性》，载《法学论坛》2016年第3期，第122页。
(25)See General Data Protection Regulation(EU)2016/679,Whereas(1),(4).
(26)详见北京市第一中级人民法院(2017)京01民终字第509号民事判决书。
(27)详见贵州省毕节市中级人民法院(2020)黔05民终字第3113号民事判决书。
(28)详见江苏省苏州市中级人民法院(2020)苏05民终字第6904号民事判决书。
(29)详见北京互联网法院(2019)京0491民初字第16142号民事判决书。
(30)详见北京互联网法院(2019)京0491民初字第6694号民事判决书。
(31)详见北京互联网法院(2019)京0491民初字第10989号民事判决书。
(32)孟勤国、牛彬彬：《论物质性人格权的性质与立法原则》，载《法学家》2020年第5期，第11页。
(33)高富平：《数据生产理论——数据资源权利配置的基础理论》，载《交大法学》2019年第4期，第16页。
(34)参见[美]约翰·G.斯普兰克林：《美国财产法精解》(第二版)，钟书峰译，北京大学出版社2009年版，第14页、第18页。
(35)参见龙卫球：《数据新型财产权构建及其体系研究》，载《政法论坛》2017年第4期，第73页、第76页。
(36)参见[美]阿丽塔·L.艾伦、[美]理查德·C.托克音顿：《美国隐私法：学说、判例与立法》，冯建妹、石宏等译，中国民主法制出版社2019年版，第307-316页。
(37)参见王利明：《论个人信息权的法律保护——以个人信息权与隐私权的界分为中心》，载《现代法学》2013年第4期，第63-64页；刘艳红：《民法编纂背景下侵犯公民个人信息罪的保护法益：信息自决权——以刑民一体化及〈民法总则〉第111条为视角》，载《浙江工商大学学报》2019年第6期，第24-30页。
(38)参见杨芳：《个人信息自决权理论及其检讨——兼论个人信息保护法之保护客体》，载《比较法研究》2015年第6期，第25-29页。
(39)刘士国：《信息控制权法理与我国个人信息保护立法》，载《政法论丛》2021年第3期，第83页。
(40)See Edward J.Janger & Paul M.Schwartz,The Gramm-Leach-Bliley Act,Information Privacy,and the Limits of Default Rules,86 Minnesota Law Review 1219,1247-1248(2002).
(41)See General Data Protection Regulation(EU)2016/679,Whereas(1),(7).
(42)See Article 29 Data Protection Working Party,Guidelines on Consent under Regulation 2016/679,European Commission,https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_en.pdf.
(43)参见同前注②，王泽鉴书，第200页。
(44)See General Data Protection Regulation(EU)2016/679,Whereas(1),(4).
(45)参见同前注(23)，程啸文，第39页。
(46)参见同前注(36)，阿丽塔·L.艾伦、理查德·C.托克音顿书，第169页。
(47)See Paul M.Schwartz,Privacy and Participation:Personal Information and Public Sector Regulation in the United States,80 Iowa Law Review 553,555(1995).
(48)由上文可知，个人信息人格权具有人身专属性，不可放弃，无论个人信息由何人处理，均要尊重个人所享有的个人信息人格权，即是说，尊重个人信息人格权益是对所有处理者提出的义务要求，在人格权意义上，无须对作为个人相对人的信息处理者做出区分。个人信息财产权益的初次分配则与之不同，其主要发生在供给信息资源的个人和生产信息价值的数据生产者间，并不是所有处理者均参与个人信息财产权益的初次分配。因此，在谈及个人信息人格权益时，本文用信息处理者这一概念表示与个人相对的主体，涉及个人信息财产利益时，使用数据生产者这一概念。
(49)参见同前注(33)，高富平文，第16页、第18页。
(50)详见杭州铁路运输法院(2017)浙8601民初字第4034号民事判决书、浙江省杭州市中级人民法院(2018)浙01民终字第7312号民事判决书、杭州铁路运输法院(2019)浙8601民初字第1987号民事判决书。
(51)龙卫球：《再论企业数据保护的财产权化路径》，载《东方法学》2018年第3期，第58页。
(52)丁晓东：《论企业数据权益的法律保护——基于数据法律性质的分析》，载《法律科学》2020年第2期，第93页。
(53)就目前实践看，个人信息财产权益共享的法律实践及可行模式仍在摸索和试验过程中，数据生产者与个人共享财产权益究竟选取何种理论模型，取决于实践的选择。由于在国际上数据信托作为一种可行的数据治理方式正受到热烈讨论，本文仅在自身的法律逻辑框架内探讨个人信息财产权益共享模式，并不否认通过数据信托分配个人信息财产权益的可能。关于数据信托，参见翟志勇：《论数据信托：一种数据治理的新方案》，载《东方法学》2021年第4期。
(54)详见北京市海淀区人民法院(2015)海民(知)初字第12602号民事判决书、北京市高级人民法院(2016)京73民终字第588号民事判决书。
(55)参见于飞：《侵权法中权利与利益的区分方法》，载《法学研究》2011年第4期，第110-111页。
(56)See California Consumer Privacy Act of 2018(Senate Bill No.1121),Section 6.1798.125(b),(1)A business may offer financial incentives...(4)A business shall not use financial incentive practices that are unjust,unreasonable,coercive,or usurious in nature.
(57)同前注(35)，龙卫球文，第72页。
(58)参见同前注③，彭诚信：《数据利用的根本矛盾何以消除——基于隐私、信息与数据的法理厘清》，第85页。
(59)“新浪微博与脉脉案”确立了著名的三重授权原则，该案将同意等同于授权，此观点被后案裁判广泛援引，详见同前注(54)。
(60)参见高富平：《同意≠授权——个人信息处理的核心问题辨析》，载《探索与争鸣》2021年第4期，第87-94页。
(61)同前注②，王泽鉴书，第280页。
(62)See Article 29 Data Protection Working Party,Opinion 06/2014 on the Notion of Legitimate Interests of the Data Controller under Article 7 of Directive 95/46/EC,European Commission(Aug.20,2021),http://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp217_en.pdf.
(63)See OECD(2006),Making Privacy Notices Simple:An OECD Report and Recommendations,OECD iLibarary(Aug.25,2021),https://www.oecd-ilibrary.org/science-and-technology/making-privacy-notices-simple_231428216052.
(64)参见冯果、薛亦飒：《从“权利规范模式”走向“行为控制模式”的数据信托——数据主体权利保护机制构建的另一种思路》，载《法学评论》2020年第3期，第72-73页。
(65)参见同前注②，王泽鉴书，第297-297页；沈建峰：《一般人格权财产性内容的承认、论证及其限度——基于对德国理论和实践的考察》，载《比较法研究》2013年第2期，第48-60页。
(66)王叶刚：《人格权中经济价值“可让与性”之反思——以人格尊严的保护为视角》，载《广东社会科学》2014年第2期，第242页。
(67)“凌某某诉北京微播视界案”，详见同前注(30)。
(68)“新浪微博与脉脉案”，详见同前注(54)；“腾讯与抖音多闪案”，详见天津市滨海新区人民法院(2019)津0116民初字第2091号民事判决书。
(69)“新浪微博与超级星饭团案”，详见北京知识产权法院(2017)京0108民初字第24512号民事判决书；“微信群控案”，详见杭州铁路运输法院(2019)浙8601民初字第1987号民事判决书。
(70)“谷米诉元光案”，详见广东省深圳市中级人民法院(2017)粤03民初字第822号民事判决书。
