传统线下社会到数字社会的变迁，使得法律人的思维方式发生了转换，对个人信息进行独立的制度设计和保护成为共识。个人信息在数字社会中兼具人格与财产双重属性，存在于其上的个人信息权表现为内含财产权益的人格权益。其中人格权益专属于个人且由其独享，财产权益则可由信息处理者与个人共享。人格权益的专属性决定了信息处理者须拥有个人信息处理的合法基础并履行个人信息保护义务。而对于财产权益分配，并不必然选择私法路径，通过征收数字税、设立数字基金等方式让人们获得数字红利，或许是更契合数字社会财产分配的选择。无论是传统线下社会还是数字社会，制度设计的核心追求在于实现诚信，数字社会以个人信息为载体，使人的主观诚信有了向客观诚信转化的计量可能，并由此实现数字社会的真正价值。

个人信息自人类社会之初便已存在，其由个人衍生，标表着个体的生物及社会特征。在传统线下社会，信息的记录主要依靠人的大脑，传播方式多为口口相传，其主要社会功能是区别个体、识别个人，以及在个体特定化的基础上对个体展开社会评价。社会评价事关个人的自我认知和社会认可，蕴含着个人的精神价值。从人文关怀的角度出发，法律逐步确立了对特定种类个人信息的保护，如姓名、肖像、名誉、隐私等，这些信息与作为个人社会评价的人格属性紧密相关，体现了个人的社会评价利益。为保护这些标识性较强的个人信息，法律事先以确权的方式规定了各种具体人格权，同时以侵权责任等制度予以事后保障。传统线下社会不仅保护人格性的信息利益，也保护关涉个人或由个人衍生的独创性信息。在数字社会之前，人们习惯将自己的思想通过文字、符号等方式记录下来，这些文字、符号存在的意义是将主观思想以客观的形式表征出来，即以信息的形式呈现。但因此类信息的生成凝结了个人的独特智慧劳动，属于创造性生产，故法律通过知识产权制度予以保护。可见，传统线下社会中由个人所衍生的信息有两种类型，即人格标表性信息和独创生产性信息，针对这两种信息形成了相对完备的法律保护体系。如果没有互联网络与赛博空间的出现，传统人格权和知识产权等制度足以对关涉人格权益与知识产权的相关信息提供法律保护。个人信息之所以能够成为一种独立的民事权益，究其原因，正是源于当下的新型社会形态——数字社会的到来。

传统线下社会中的信息通过口口或文字相传，依赖人脑、纸张等载体进行固定。除姓名、肖像、隐私等个人信息，其他信息如性别、职业、行踪信息等，与人格相关性较低且受传播方式限制，传播速度缓慢、范围有限、失真度高，也无法长期储存，效用价值极低，因此无需创设专门的个人信息制度来保护。然而，数字社会中的信息，包括以传统的媒介记录、承载的内容，都可以通过数据技术实现数据化，算法技术的介入使个人信息的存储方式、传播速度、传播范围发生了质的变化。人们只要使用网络，便不可避免地在网络上留痕，这些信息在网络空间中可被无限复制，被无数储存介质记录固定，如果采取区块链等技术手段，其内容甚至不能被更改。借助算法，信息处理者可以收集、分析、控制个人信息，最终生成多样的数据产品。个人信息由此可被物理化，为创造财产价值提供了可能。与传统线下社会相比，数字社会中的个人信息属性已发生本质改变。

数据、算法与算力被认为是数字社会的三大构成元素，个人信息是数据要素中最为重要的一类，具有巨大的商业价值与社会价值。无论是将其比喻为石油或土壤，还是氧气或阳光，无非是想说明其在数字社会中的重要性，当然不同的比喻蕴含着不同的价值取向，或是偏向于数据与信息的经济效用，或是侧重于个人信息的法律保护。但不可否认的是，若没有赛博空间或数字社会的存在，个人信息仅具有对个人的描述性和标识性功能，并不具有财产价值。数字社会是讨论、研究个人信息法律保护的前提。

数字社会中的个人信息与个人信息权

数字社会作为人类的一种新型生存样态，构成了对个人信息独立保护的制度前提。要讨论其法治根基，首先需要明确数字社会中个人信息的核心特征。在此基础上，围绕数字社会中个人信息的核心争议是，如何在个人信息保护与商业利用之间寻找到平衡点。这对矛盾的外在表现是个人信息权利归属不清，而更为深层的原因则是未真正理解和掌握个人信息的权利属性。要厘清个人信息权利归属的问题，还是要回归到民法权利的制度逻辑中，从根源上厘清个人信息作为权利客体的法律属性及在其上的权利属性。

（一）数字社会中的个人信息

0和1组成的数据符号难以具有法律意义，具有法律意义的唯有其内容，即信息。个人信息的内容是可识别到个人或与个人相关联的信息，不包含个人信息的数据在数字社会中并不存在理论难题，无论是企业还是个人，均可将其作为财产权益（虚拟财产）处理。当下社会背景下，企业所面临的数据利用与个人信息保护之间的实践难题，是个人信息利用与保护（如个人信息、隐私安全等）的矛盾如何协调的问题。

无论《民法典》还是《个人信息保护法》，均对个人信息的识别规则采用两个核心词：“可识别”与“电子”，其中个人信息的“可识别”特征似乎被更多地强调，但个人信息的“电子”特征才是数字社会中个人信息“可识别”的标志。因为电子化意味着个人信息的可机读，可通过算法处理，才更为契合数字社会的本质要求。当下在法律上讨论的个人信息，在实践中数据企业所关心的个人信息，应特指电子化的个人信息，即在赛博空间可以被运算、被计算、被自动化处理的以电子化为表征形态的信息。如果要更为准确地界定数字社会中个人信息的特征，应该是“电子化的可识别（机读与算法处理）信息”，换句话说，“算法识别”才是数字社会中个人信息的本质特征。因为，仅靠“识别性”并无法将个人信息的特征与同具有信息属性的具体人格利益（姓名、肖像、名誉等）区分，毕竟所有具体的人格利益在外在社会表现上同样都具有识别性，只不过识别线下社会中具体人格利益的方式是“自然识别”，即通过照片、文字、语言等物理方式予以识别，而非借助算法。由此可知，个人信息的算法识别性决定了数字社会的个人信息是通过数据处理（算法技术）之后可识别个人的电子信息，是“个人在信息处理过程中应当获得保护的信息”。

（二）作为权利客体的个人信息

客体是权利义务的指向对象，是权利设立于何种标的（利益）之上的外部表征，或者说是权利义务的载体，如物权的客体是物，知识产权的客体是智慧产品，债权的客体是给付行为，人格权的客体是具体的人格利益等。个人信息权建立在个人信息之上，个人信息作为权利客体的法律属性决定了个人信息权益的性质、特征与内容，继而决定了个人信息之上的利益归属。

第一，个人信息作为权利客体的自然属性。个人信息的自然属性决定了个人信息作为权利客体的法律属性。个人信息是有意义的内容，能够识别到具体个人。个人信息与作为物权客体的物和作为知识产权客体的智慧产品有明显不同。与物相比，个人信息具有无体性，从自然形态看不会形成独占支配力。但无体性并非个人信息和物在自然属性上的本质区别，因为物本身也包括有体物与无体物。信息与物的本质区别在于，个人信息可以被无限复制，由多个主体在不同的场景可同时使用，而作为物权客体的物只能由权利主体单独占有与排他使用。此外，个人信息与智慧产品相比，虽然两者均具有无形性和可复制性，均包含人格价值与财产价值。但是个人信息并不具有创造性，且在物理上可以被控制，这就决定了不能用知识产权规则保护个人信息。

第二，个人信息作为权利客体的法律属性。一方面，数字社会中的个人信息必然具有人格利益属性。赛博空间中讨论的个人信息必须可以识别到个人，能够表征信息主体的存在方式及存在样态，与人密切相关。这些信息是数字社会的评价参数，以此为基础可以勾勒出个人的数字画像，个人信息因此具有人格利益属性。数字社会中个人信息的人格属性主要表现为三方面：一是个人信息既关乎个人在传统线下社会中的评价，也关乎个人在数字社会中的评价；二是个人信息既关系到个人在传统线下社会中的行为自由，也关系到个人在数字社会中的行为自由；三是数字社会中的个人信息能够通过算法被处理、加工，甚至能形成信息主体画像。

另一方面，数字社会中的个人信息必然具有财产利益属性。在数字社会中，网络通信技术使得赛博空间中的个人信息天然具有流通性。网络平台采集个人信息，形成规模化、结构性大数据，并通过算法技术加工处理成数据产品，在此意义上，赛博空间的个人信息产生了经济效用并具有稀缺性。个人信息作为数据市场的生产要素，在数字社会中扮演着越来越重要的角色，成为互联网企业（如华为、腾讯、字节跳动等）的重要数字资产，由此导致企业与个人、企业与企业之间对个人信息的争夺亦愈发激烈。可以说，财产价值是个人信息的隐性基因，数字技术使这一隐性基因得以凸显外化。由此可见，个人信息作为权利客体的法律属性，主要彰显着个人在数字社会存在样态的人格利益，只不过该人格利益中天然包含财产利益的基因。

（三）个人信息权的权利属性

既然数字社会中的个人信息是天然内含财产价值的人格利益，那么以其为客体的权利应该具有何种属性？正如在物上生发出来的权利是物权，那么在个人信息上生发出来的权利便应该是个人信息权。个人信息内含财产价值的人格利益属性决定了个人信息权必然是内含财产价值的人格权利。

第一，个人信息权的权利属性表征为人格权利。数字社会中的个人信息是人作为社会存在的利益关系的体现，是一种具体的人格利益，该人格属性决定了在其上生发出来的权利必然是人格权。《民法典》将个人信息置于“人格权编”，契合个人信息的人格权益特征。不过需要指出的是，个人信息权尽管在法律性质上属于人格权益，但与传统线下社会中的人格权益仍有一定区别。在数字社会中，由于个人信息的法律属性不同于传统线下社会，导致人们对于数字社会个人信息内涵与外延的认识存在偏差，缺乏对个人信息的保护意识和判别能力。实践中的若干案件，虽然因侵害个人信息而引起，但是其侵害的客体未必是数字社会中的个人信息。原因是数字社会所保护的个人信息是同时具备“可识别”与“算法化”两种特征的信息，只有这样的信息才能彰显个人信息保护法律制度的初衷。而传统线下社会的个人信息，仅具有“可识别”的特征，“算法化”的缺失使其无法成为个人信息保护的权益客体。这种限定并非对人格权益的限制，而是由个人信息保护的数字化特征所决定的，因此，个人信息保护制度的客体应限定为信息处理者以算法技术处理的电子化个人信息。欧盟《一般数据保护条例》中也明确了个人或者家庭生活中处理的个人信息不属于该法所保护的对象。退一步说，即便是线下社会，个人信息的“可识别”也并非是获得人格权保护的充分条件。线下社会中的个人信息并不是独立的人格权益，能够给予法律保护的是经过利益衡量和判断的信息，要么负载典型人格权益，如姓名、肖像、隐私、名誉等，要么符合一般人格权保护的构成要件。“可识别”在线下人格权保护中的法律功能仅是使信息与个人关联，其意义在于，一是使其产生了“人格性”的可能，因为无法识别到个人的信息，不会与人的自由和尊严产生利害关系；二是使其产生了“权利”归属的可能，只有能区分出具体个人的信息，才能确定法律保护的权利主体。因此，面对个人信息纠纷，并不必然以个人信息保护制度为请求权基础，个人信息保护要区分具体场景，应当区分数字社会与线下社会，按线上与线下采取不同的权益救济路径。

在线下场景中，如“邓某某诉北京顺丰速运有限公司隐私权纠纷案”，法院认定邓某某之收件地址、在外兼职工作情况，与个人紧密相关且时常反映出个人的部分特征，故而具有了识别性的意义，与人格利益存在关联，属于个人信息。但同时，邓某某以上信息是其不愿为外人知晓且会对其现有工作造成影响的信息，具有一定的隐私性，邓某某以隐私权纠纷为由主张权利并无不当。在“孙某某诉中国联合网络通信有限公司上海市分公司侵害隐私权案”中，法院认为原告孙某某提供了个人的姓名、地址、电话号码、身份证号等私人信息，而被告未经原告同意，将上述信息提供给具有独立法人资格的第三方主体，被告的行为构成对原告隐私权的侵犯。虽然两案判决时《个人信息保护法》尚未出台，但从两案争议焦点可以看出，线下社会的个人信息纠纷仍是传统人格利益与义务人行为自由的边界冲突。若线下社会采用数字社会的个人信息救济模式，因《个人信息保护法》本质是权利纠偏法，信息处理者承担义务较重，会导致权利救济向个人信息保护逃逸，很可能会瓦解传统人格权保护体系。而诸如“微信读书案”“凌某某诉抖音案”则是比较典型的个人信息保护案件。“微信读书案”中被告公开原告在网络上的读书信息，“凌某某诉抖音案”中被告在软件中向原告推荐好友关系信息，均是平台借助算法自动化处理后生成的固定个人信息，此类信息依赖于“电子”载体且可机读，并能够自动化处理，与传统线下社会的信息类型完全不同。线下社会中特定信息披露的可信度远低于数字社会中的个人信息，因为网络信息是由算法计算得出，具有较强的可信度，且其传播速度快、影响范围广。因此，数字社会中的个人信息侵权与传统线下社会的人格权侵权具有明显不同，两者应该加以区分。

第二，个人信息权的权利属性表征为内含财产价值的人格权利。个人信息权的人格权利，与传统线下社会中的具体人格权利并无本质区别。不同之处在于，个人信息权天然内含财产价值，而传统线下社会中的人格权利则不必然含有财产价值，甚至是不能含有财产价值。此点在《民法典》第992条的规定中有所体现，即“人格权不得放弃、转让或者继承”。依照民法的基本原理，人格权与财产权是不可通约的，人格权不能转让、继承与放弃，能够转让、交易的只能是财产权。但在当前社会实践中，利用个人信息的数据企业已将个人信息中的财产价值释放出来，这在理论上带来了解释难题：社会实践不能违背基本法理，而基本法理也不能违背社会实践逻辑。这就需要在理论上证成人格权益是通过何种程序性设计在法律上实现财产外化的通约。简言之，如何设计出将个人信息人格权益中内含的财产价值转化为外在而独立之财产权益的制度，以及如何寻找到其中的理论基础，将是解决有关个人信息法律问题的关键。

个人信息内含的财产权益如何分配

（一）传统线下社会人格权益财产化的路径与不足

传统线下社会中的人格权益财产化，主要有两种理论上的解释路径：一是美国法上的“公开权”（The Right of Publicity）路径。美国法主要是从积极的视角，将当事人通过合同等方式授权他人使用其肖像等人格权益的权利称作“公开权”，且通常将该权利理解为财产权。此种路径的确契合了社会实践以及基本法律原理，因为在法律上能够交易和转让的权利只能是财产权益，而非人格权益。然而，公开权定性的难点在于，尽管其有实践合理性，但无法清晰证成人格权益是如何在法律上转化为财产权益的。具体而言，其中的具体转化程序及相关理论支撑尚未得到充分阐明，至少从民法基础理论的角度来看，两个不能通约的权利不可能实现相互转化。也正因此，现在美国法上也有学者重新开始研究、反思传统的公开权学说。

二是德国法上的人格权保护路径。德国法主要是从消极视角出发，从责任路径实现对人格权益财产价值的救济，即对未经原告允许而使用其肖像等人格权益的被告，法院不但责令其承担侵害他人人格权的侵权责任，而且对原告受到的财产价值损害，也通过责令被告承担精神损害物质赔偿的方式予以填补。这种解释路径的优势在于遵循既有的法律逻辑，不存在理论上的障碍，财产填补没有超越既有的民法理论，既有的法律理论也有其自洽性。其不足之处在于，不但没有从积极的视角承认人格权益中内含的财产价值，而且亦缺乏将人格权益内含的财产价值在法律上予以外化的制度设想。

任何一项制度的设置都是某种利益平衡的技术，该制度蕴含的核心价值影响着规则设计的方向和发展。上述两种路径虽然是对传统线下社会中人格权益财产化的尝试，但是均有局限，或是无法完成内在理论证成而有违制度逻辑，或是无法实现理论突破而陷入自我封闭与限制。既有两种路径都难以回应数字社会中个人信息权益财产化的问题，比如德国法上的人格权保护路径只能解释人格利益消极保护问题，解释力有限，无法实现人格权益内在财产价值的积极利用与共享（或转让）；美国法尽管在结果上实现了人格权益的财产化，但在理论上并没有充分证成。更为重要的是，两种路径仅针对一次性人格权益的财产化，较难适应数字社会中数据（含个人信息）经常为多个主体多次利用的现实要求。因为，个人信息在赛博空间可为多个主体共享的特性决定了个人信息内含财产权益的外化是普适且持续的，而非简单的一次交易（合同）行为或侵权行为，这就需要思考一条具有普适性且契合数字社会本质要求的个人信息内含财产权益的外化路径。

（二） 个人信息财产权益外化的制度缺陷：同意规则之评价

由于人格利益和财产利益在本质上的不可通约性，任何试图证成人格利益直接转化为财产利益的尝试，都是对法律基本原理的违背。姓名、肖像、声音等传统人格利益的财产化证成，更多的是法律假象或理论误用。人格利益与个人标识财产权应当有所区分，个人标识的财产价值与其说由姓名、肖像、声音等人格利益产生，不如说是来自外在于这些人格利益的其他因素，如基于演技、艺术与文学作品等带来的名人效应，财产价值只是附在了姓名、肖像等人格利益之上。个人信息亦是如此。个人信息虽有财产基因，但该基因是隐性的，其财产价值的产生多是基于信息处理者的劳动创造将其外化，而非籍由个人信息中的财产基因直接生成。因此，个人信息财产价值不生成于个人信息人格利益，其权属也不必然仅归于个人。但因个人信息中财产利益与人格利益无法在物理上分割，至少在外在表现上，信息处理者对个人信息财产价值的生产和利用仍需获得信息主体的同意，毕竟个人信息之上首先彰显的是其人格利益。同意也是意志自由在个人信息保护中的体现，既契合人类最根本的道德要求，也符合私法的本质属性，私法的内核便是意志自由与人格尊严，“自我决定是人主体价值的本质和核心”。

当下数字社会的同意规则虽然从表面上契合了个人的自由意志要求，但是在实践中，个人同意多是不得已而为之。并且，同意规则的设计对于数据企业而言也并非完全利好，不仅同意内容的设计颇费周章，更为重要的是，同意规则也给企业带来诸多陷阱，因为任何未经个人同意的信息利用均有可能带来违规甚至违法性后果。如何选择个人信息内在财产价值外化的法律理论，如何设计契合数字社会的个人信息利用制度以替代当下的同意规则，应该是个人信息利用与保护的研究要点。

（三）个人信息财产权益分配的新思路：利益共享之设想

既然个人信息的权益属性是内含财产价值的人格权益，那么其中的人格权益应专属于个人且由个人独享，在民法理论上便顺理成章。理论与实践上最难以解释的，以及在制度设计上最难以处理的，实际是个人信息内含的财产权益如何分配以及在制度上如何实现的问题。数字社会中个人信息的特性决定了个人信息的人格利益尽管属于个人，但个人信息在物理上却由信息处理者控制并产生财产价值。个人信息财产权益在信息主体与信息处理者之间利益分配的难点，在于通过何种模式拥有、控制、分享个人信息中内含的财产价值。个人信息内在财产价值的归属、分配等制度设计，不是某个国家的独有问题，而是所有国家皆面临的难题，甚至是整个数字社会所面临的最为棘手的实践与理论难题。

目前关于个人信息财产利益归属的学说主要有共有、信托等理论。但无论哪个理论，其目标都是力图实现数据企业与个人之间的利益平衡，即一方面要鼓励数据企业持续推动数字经济发展，另一方面又要使个人的信息财产利益不受剥夺。探讨个人信息中财产权益的归属，在终极意义上是要使个人能够共享个人信息商业利用所带来的红利，否则讨论其财产利益的归属便毫无价值。但实践却揭示出，个人直接获得信息财产利益至少在当下不符合社会生活现状。除了个人与数据企业有明确的合同安排外，要求数据企业与个人通过同意规则给个人信息定价，并不符合数字社会的运行逻辑。尽管确定使用某条个人信息的主体或某数据产品包含何种具体个人信息等，通过技术手段或可实现，但是给某一条信息定价却并非易事，因为同一条信息在不同的数据产品中所起的作用与价值并不相同，对不同信息的相互组合与结合予以定价更是困难。传统民法模式下点对点的议价模式并不适合个人信息的定价，因此数字社会中的法律思维必须转换，以找到契合数字社会本质要求的个人信息财产价值分配方式。

对于个人信息中的财产价值，未必是将利润直接给到个人才是真正的利益分配，让所有信息主体间接享受到数字经济带来的红利也是一种可供选择的分配方式。正如我国属于全民所有的土地出让金未必分配落实到每个公民，但并不能否认土地出让金给每个公民间接带来的利益。因为国家经济发展、公共设施建设已惠及每个公民，每个个体均因全民共享而实现了个体福利的提升。与此类似，通过征收数字（个人信息）税、创设数字基金等宏观调控方式来造福全民，也未必不是一种可接受的分配方式。此种利益共享模式，对个人信息内在财产价值的分配与具体制度设计或许都会带来新的启示。

（四）个人信息财产权益分配的制度设计

个人信息中的财产权益尽管可由信息处理者和个人共享，但在物理上个人信息的财产利益和人格利益实际上不可分离。因此，个人信息财产权益中都包含着人格权益，由此决定了数据利用不能突破保护个人信息之人格利益的底线。在具体的制度设计上，应注意以下两点：

第一，信息处理者要拥有处理个人信息的合法、正当基础。个人信息权本质上是人格权，尽管其中天然蕴含着财产价值，但没有正当理由的信息处理，在法律上构成对他人个人信息权益的侵害。合法、正当基础为信息处理提供了法律责任上的豁免权，使后续的信息处理包括数据生产等具有了正当性。合法、正当基础在个人信息保护中的制度体现主要是知情同意规则。

首先，知情同意并不必然是民法上的概念。个人信息所遭受的威胁主要来自于大规模的信息处理，个人信息权的赋权价值主要体现为对个人尊严以及群体和整个社会尊严的维护。尊严的集体价值属性，要求对个人信息的保护要在共同体视角下展开，个人信息权的宪法内涵也解释了为何我国《个人信息保护法》规定“根据宪法，制定本法”。只不过目前我国《宪法》对数据、个人信息没有明确规定，个人信息保护制度的规范基础可以通过对《宪法》第38条“人格尊严”条款进行解释而获得，在宪法框架下，知情同意表现为信息自决，即每个主体自我决定个人信息的基本权利。确定宪法上知情同意的意义在于，其对作为部门法的民法和个人信息保护法能够起到构建客观秩序的作用，知情同意规则因此得以突破既有的制度框架，创设符合个人信息保护特征的规范模式。

其次，即便在民法中，目前学界对知情同意性质也争议较大，对此仍应将其放在具体的民事法律关系中来理解，其性质不应是授权而主要是违法阻却条件。（1）授权是一种处分行为，能够直接导致权利产生、变更、消灭，故客体必须具有可处分性。但个人信息权所具有的人格权益与个人的人格尊严、人格自由紧密相关，不具有可处分性，故知情同意并不能产生授权的法律效果。（2）数字社会中的个人信息财产权益主要是由信息处理者控制，个人并不享有个人信息财产权益的实际控制权，只在发生个人信息侵权时，才能通过侵权责任规则获得相应的个人信息财产权益救济。所以即便个人同意，也不会产生授权的法律效果。况且，如果个人享有信息财产权益的控制权，那么其对于个人信息的市场流通就享有较大的话语权，容易阻碍信息的市场流通，不利于数字经济的健康发展。（3）“同意阻却违法”并非个人信息保护领域的特例，在其他领域早有此规则。例如，在医疗领域，如果医生已经尽到充分的说明义务，并且病人表示同意，则医生可以免责。只不过在实践中，同意规则多少有些形式主义的意味，并没有起到应有的效果。这就要求我们进一步探索真正能让信息处理者拥有正当、合法基础，且对个人起到保护作用的制度设计。（4）同意虽使信息处理者获得了限制个人信息人格权益并保有个人信息财产权益的双重正当性，但仅是阻却违法的必要条件，并非充分条件。信息处理者获得同意后，不能滥用权利，也不能任意将个人置于危险之中，否则仍然需要承担法律责任。因此，同意不是传统侵权法上的免责事由，仅是违法阻却条件。

第二，信息处理者负有个人信息保护义务。个人信息处理的合法基础只是个人信息保护的第一道屏障，并不能保证个人信息权益不会遭受侵害。个人信息保护主要有两种法律路径，即以个人为中心的赋权保护路径以及以信息处理者为中心的行为规制（义务施加）路径。在数字社会中，合理保护个人信息的方式应该是兼采赋权保护路径和行为规制路径，既明确个人拥有的信息权利，也课以信息处理者保护个人信息的义务，即围绕个人信息利用行为建立权利义务关系，与信息主体的权利配置规则形成链接，否则将难以使个人信息保护获得实效。首先，信息处理者是个人信息的实际控制者，全面掌握个人信息的安全状态，能够对个人信息风险进行充分、合理的评估，所以信息处理者更加具备个人信息侵害风险的控制能力，以及在个人信息侵害发生时的有效应对能力。其次，信息处理者将个人信息储存于网络平台之中，并基于获取经济利益的目的利用、共享个人信息，其利用行为在一定程度上增加了个人信息遭受侵害的风险，故有义务确保个人信息安全。最后，信息处理者是个人信息处理行为的实际受益者，其在获取个人信息财产权益的同时，应承担起防止个人信息人格权益受到侵害的义务，并应积极履行该义务，降低个人信息遭受侵害的风险。

结语：数字社会诚信价值的实现何以可能

无论是生存于自然界的线下社会还是存在于赛博空间的数字社会，生活于其中且起着主导甚至主宰作用的还是自然人类。尽管在传统线下社会中早有去人类中心主义的呼声，但这种呼声并未占据主流。自然人类的一个主要缺陷便是诚信缺失，这也是产生各种社会制度，包括法律制度的重要促因。诸如频频出现的一房二卖或多卖、P2P爆雷、信托、保理、融资租赁金融欺诈等现象，都是诚信缺失的现实社会表现。正因为诚信难得，我国才将其作为社会主义核心价值观之一；正因为诚信宝贵，民商事领域才将诚实信用规定为基本原则。倘若当事人之间的意思表示皆为真实，那么民商法中就不会有因通谋虚伪、恶意串通等现象而导致的无效合同，也不会存在因欺诈、胁迫、显失公平等导致的可撤销合同，甚至信托等法律制度也不会产生；如果人必定践行合同约定，也不必规定民事担保、违约责任，亦无须建立复杂的票据与金融制度，甚至不需要对婚姻、继承、收养等制度做如此复杂的规定。

诚信是人类社会的底线要求，又是难以实现的理想追求。如果说传统线下社会的诸多制度尤其是民商事法律制度，主要目标之一是保障诚信、防范欺诈，但诚信价值仍然难以企及的话，那么数字社会的到来则为诚信的实现提供了物质基础（数据与信息）与技术保障（算法），即数字社会中人的诚信至少有了计量可能，从而有利于实现主观诚信向客观诚信的转化，这也是个人信息制度设计的初衷。人们在数字社会中的任何行为包括法律活动都会留下痕迹，每一次履约或违约以及每一个侵权行为等都会被记录，作为一个人的个人信息被机器读取，并通过算法处理计算出该人的诚信指数。一个人的诚信指数不仅可以用于银行贷款等传统征信领域，更可以应用到整个民商事活动中，甚至是其日常生活交往中。举例说明，如果一个人的信用记录极低，有约必违，那么当他向银行借贷时，要么银行会拒绝向其贷款，要么会让其贷款申请在设定充分担保（不但包括本金、利息，而且包括实现担保的成本）的前提下才能获批。又如在美国，各州均依据“梅根法”设立了性侵犯罪者个人信息公开网站，公司可通过该网站提供的个人信息服务，调查其拟雇佣员工的相关信息。再如打车平台依据顾客反馈形成的司机评价，某网络平台上消费者对特定电商、宾馆、旅游景点的评价等，通过这些信息既可判断个人的诚信程度，也可判断企业的诚信指数、服务质量等。正是在此意义上，我们才说数据、个人信息与算法的结合构成了数字社会中市场诚信、交往诚信的基础，在更大程度与更大范围上实现了诚信价值。

可见，数字社会中的人，其诚信不再仅仅表现为主观价值，而是可以作为一种可计量的客观价值予以呈现，个人信息成为了诚信的重要载体。诚信指数的高低，标志着一个人客观价值的高低，诚信构成了对数字社会中人之评价的核心要素。一个人无论在线下社会是否诚信，一旦进入数字社会，他就要努力成为诚信之人，否则就无人跟他进行交易，或者其交易成本会极其巨大。由此，作为传统线下社会理想追求的核心价值——诚信，便有可能在数字社会中逐渐成为现实。数字社会以个人信息为基本要素，以算法等为技术支撑，此两大特征确定了个人诚信的可计算性（诚信指数），从而在更大程度上克服了线下社会个人信用较难判定的实践难题。正是在此意义上，我们才说数据（含个人信息）具有双重价值，它不仅是数字经济中的物质性生产要素。更为重要的是，它还体现了社会伦理价值。从个人的角度看，个人信息彰显人的人格尊严和自由；从社会整体的角度看，个人信息是个人主观诚信的客观化呈现，利于实现人之诚信的可计量化。在数字社会中，个人信息计算至少使人们看到了实现人类诚信价值的一缕曙光，这或许是数字社会的真正价值所在。

原文刊载于《探索与争鸣》2022年第5期