1. 引言
大数据时代飞速而来，个人信息保护问题当之无愧成为了时代的重要命题。整体观之，个人信息私法保护并非一劳永逸，一方面由于《民法典》有意的立法留白导致学理上就个人信息的法律属性定位争议不休，界定个人信息的权利基础模糊不清；另一方面私法保护实践不断面临新的挑战，个人信息设计的多元主体利益冲突难以调适，私法保护追求的私益与数据的开发利用所追求的公益之间的矛盾仍未解决。本文梳理民法权利基础不足，分析私权益保护的局限性，证成宪法权利基础的可行性，提出个人信息权作为基本权利的规范内容并分析其限制。
2. 个人信息的权利基础分析
(一) 个人信息的民法基础不足
民事权利基础理论是以个人信息为民事权利客体，从信息主体的个人信息权利为起点，遵循“信息处理者民法义务–侵权者民法责任–《民法典》规范”这一逻辑链条，构建具备私法属性的个人信息保护法律体系[1]。该理论对于个人信息保护具有重大意义，自《民法典》入法突破传统隐私保护，个人信息权成为新兴权利引发热烈探讨，但是民事权利基础理论在理论与实践层面值得反思。
首先，个人信息作为权利客体，立法层面其已经在《民法典》总则编“民事权利”章予以确认，但不可否认的是与传统的人格权和财产权客体相比，个人信息缺乏明确的特定性和独立性特质。同时，它并不属于无形物的范畴，因此难以将其直接归类为表彰民事权利的客体[2]。个人信息的特性使得其在法律上的定位更为复杂，无法简单地将其与传统的人格权和财产权客体相提并论。个人信息的流转交易和自我控制双重属性使其具有经济价值，这也是数据经济纵深发展的必然途径，而实际个人信息并未被赋予对抗不特定第三人的效力，不具有排他性和绝对性的权利对象，面对个人与信息处理者之间不平衡的非权力性对称结构，抽象的民事权利规定很难不沦为“纸面上的权利”[3]。
其次，民法逻辑构筑私法属性的个人保护法律体系，难以覆盖完整的风险源。信息处理者的民法义务指的是任何第三人包括公权力机构都负担不侵犯个人信息权的义务，而现实中公权力机构强制性、公益性收集处理公共数据的公法行为，以疫情时期“健康码”数字治理方式为例，难以将公权力机构视为民事主体要求其负担民事义务。责任方式采用民法责任也不足以支撑保护个人信息的重任，个人如何依靠个人的力量认定侵权的因果关系以及造成的损失赔偿确定如何计算等问题都阻碍着民事责任的落实与承担。
探讨个人信息的民法权利基础的局限性，并非否认个人信息权与民事权利之间的关系，2020年《关于〈中华人民共和国个人信息保护法(草案)〉的说明》中写道：“在编纂民法典中，将个人信息受法律保护作为一项重要民事权利做出规定。”该说明指出民事权利中的个人信息权并非仅限于个人对自身信息的自主决定与掌控，其更深层次的意义在于，在信息的处理流程中，个人应享有受到充分保护的权利。
(二) 个人信息的宪法权利基础可行性
《个人信息保护法》中“根据宪法，制定本法”条款为宪法权利基础提供有力证明。
经过对近年来立法实践的深入剖析，我们不难发现，“根据宪法”这一条款已从过去的形式性、标志性或宣告性意义，逐步演进为具有实质性、规范性内涵的条款。《个人信息保护法》直至三审稿中才纳入“根据宪法”条款，正是说明立法机关在反复论证与考虑之后肯定其实质性宪法依据[4]。
为强化基本权利的效力，引入德国基本权利双重性质之理论。基本权利具有主观权利和客观法的双重性质，从个人得向国家主张角度出发的主观权利核心功能是个人请求停止侵害的“防御权功能”以及“受益权功能”，与此对应国家负有“不作为义务”或“消极义务”。作为约束国家公权力规范的客观法，要求国家履行“积极义务”为社会提供制度性保障功能，同时是基本法所确立的“客观秩序价值”，构成行政权和司法权适用法律时的上位价值原则[5]。基于此，个人信息的宪法权利基础以“个人信息基本权利—国家保护义务”为逻辑框架展开，基本权利的双重性质要求国家履行国家保护义务，国家保护义务中又包含国家积极义务和国家消极义务。
构建个人信息的宪法权利基础，个人信息权益提升至基本权利位阶，突破民法权利基础理论的局限，实现个人信息公权益与私权益的并架融合。个人信息的民事权利基础与宪法权利基础的关系不是非此即彼而是相辅相成，个人信息兼具公、私权益属性，只依靠个人信息的私权保护是一个极端，而依赖于个人信息的公权保护则是另一个极端。在宪法上妥善安顿个人信息基本权利，使其合理实现公私兼容规范国家作为不同法域主体的行为，发挥私法保护的价值引导作用以实现实质性“根据宪法”的秩序原则，达到宪法效力最大化的追求目标。
3. 个人信息基本权利的宪法规范
构建个人信息的宪法权利的基础是个人信息权作为基本权利在宪法中确立，如何确立个人信息基本权利成为值得思考的问题，主要包括规范依据和规范内涵两个任务。
(一) 个人信息基本权利的规范依据
宪法基本权利条款立法是对宪法基本权利条款的具体化，使得基本权利的内容、效力等得以明确而具体，并让宪法权利得以衍生为法律权利群系[6]。我国个人信息权是宪法解释未明确列举的权利，结合我国立法现实，通过宪法解释纳入宪法基本权利具备可行性。学界就宪法解释的概括性规范依据存在不同：一是从概括性权利条款第33条“人权条款”证成，概括性权利条款的本质目的就在于避免权利遗漏；[7]二是第38条规定“人格尊严”条款，尽管我国宪法规定的“人格尊严”与德国基本法“人的尊严”以及美国“个人尊严”的基本观念不尽相同，[8]但是由于公民的人格尊严受到公共法益限制，人格尊严仍然是个人信息的最终价值归依[9]。
《全国人民代表大会宪法和法律委员会关于〈中华人民共和国个人信息保护法〉(草案)审议结果的报告》中将宪法中的三个条款均作为《个人信息保护法》的规范依据，既包括学界认同的第33条和第38条概括性条款，也包括了第40条通信权的具体权利条款。这为确定基本权利的规范依据提供了新思路，首先宪法第33条和第38条概括性条款在证成中缺一不可推导至个人信息基本权利，人权条款和人格尊严诉求相互补充，控制扩张解释的裁量空间，为个人信息基本权利提供价值支撑。其次，“通信”含义进行扩大解释，将“电子信息”纳入保护范围，具体权利条款为将来个人信息基本权利的具体权利外延提供了法律依托，拓展了传统基本权利的保护路径，弥补了概括性条款开放性和不确定性的弊端，构建体系化规范诠释路径[10]。
综上，个人信息基本权利的规范依据既要通过“个人尊严”与“人权保障”推导出个人信息基本权利，也要结合具体的权利条款“通信自由和通信秘密”引导出突破传统基本权利的新兴权利，最终构成个人信息保护的宪法基础。
(二) 个人信息基本权利的规范内涵
首先界定个人信息基本权利中“个人信息”的法律含义，关乎基本权利的保障范围。
比较法上，两种不同的个人信息界定方式。一是欧盟所采用的“识别说”，其个人信息包含在个人数据之中，具体定义为那些已经识别或可被识别为自然人的所有相关信息，强调个人信息的可识别性，突显了个人信息与特定个体之间的紧密联系；二是美国为代表的“关联说”，个人信息指的是那些能够直接或间接识别、描述特定消费者或家庭的相关信息，其重点在于信息与特定主体之间的关联性。这种界定方式更侧重于信息的实用性和功能性，体现了个人信息在商业和消费领域中的重要作用。
《民法典》将识别特定自然人的身份信息作为个人信息的主要功能，同时参考关联说，将个人信息界定为“已识别或者可识别的自然人有关的各种信息。据此，可将个人信息界定为，特定自然人反映其个性特征，以电子或其他方式记录的，具有个人身份识别性，能够直接识别特定自然人有关的所有信息[11]。
其次，个人信息基本权利的概念表达。鉴于不同国家在法律传统与价值取向方面存在差异，因此个人信息权在各国的命名与表述亦不尽相同，欧盟采用“个人数据”的表述，美国采纳了“信息隐私权”这一概念，作为其法律体系中对个人信息保护的重要一环，德国则是宪法上的“信息自决权”。就我国个人信息基本权利的概念表达，具有立法事实早已说明。《个人信息法》第2条规定“自然人的个人信息受法律保护”这些法律说明我国个人信息法律保护体系的概念基础是个人信息受保护权。
4. 个人信息基本权利的限制及其冲突解决
(一) 个人信息基本权利的限制
基本权利的限制思考遵循“基本权利的构成—基本权利的限制—基本权利限制的违宪阻却事由”三个层次[12]。我国《个人信息保护法》对权利的限制提出要求，如第6条个人信息处理应遵循“最小原则”，第13条确定“合法目的原则”，以此为参考，分析讨论个人信息基本权利的限制。
在探讨传统理论对基本权利侵害的认定标准时，其包含多个核心要素，需要考虑目的性、直接性、法效性。在传统理论框架下，基本权利的限制仅在国家有意为之且直接通过强制性法律行为实施时才得以成立。这种限制行为必须满足故意性、直接性和法律强制性的要求，方可视为对基本权利的实质约束，需进一步进行合宪性审查。
个人信息基本权利要求国家负担保护义务，在考察国家行为对基本权利的限制是否合理时，首要任务是以法效性要件为核心审查标准。这一标准涉及深入审查信息处理者的行为，特别是那些实际上对个人尊严和自由发展构成限制或干预的行为。在此过程中，需要全面考量行为的目的性、直接性以及强制性等因素，确保审查的全面性和准确性。进一步地，我们需要探究对基本权利的限制是否存在违宪阻却事由。这主要涉及法律保留原则和比例原则的考量。法律保留原则强调，对基本权利的限制应当仅限于立法机关的法律行为范畴内，这体现了对基本权利的高度尊重和保护。从这一角度出发，基本权利在限制主体和限制形式上被赋予了高于行政权和司法权的价值地位。而比例原则的核心在于平衡与调整，旨在合理划定国家权力与公民权利之间的界限，确保权力与权利、权利与权利之间的和谐共存。通过遵循比例原则，能够更有效地保障公民的基本权利，同时确保国家权力的合法行使。
(二) 个人信息基本权利的冲突解决
在探讨个人信息基本权利与原有基本权利之间的关系时，我们不可避免地会遇到一种权利冲突现象。这种冲突表现为：一方面，基于对个人信息的保护，国家有义务对表达自由进行一定的限制；而另一方面，基于对表达自由的保护，国家又应当避免过度干预个体的表达行为。为了有效地调和这一权利冲突，本文试图提出一条可行的解决路径，旨在寻求个人信息基本权利与表达自由基本权利之间的平衡点。
首先，借助权利位阶理论和比例原则进行权衡分析。基本权利间隐含着一定的价值位阶，权利位阶的存在为立法和司法机关在处理权利冲突时提供了基本的价值参照和初步指导，但个人信息受保护权作为宪法中未明确列举的一项基本权利，在司法实践中确定其位阶的过程难以直接套用既定的价值位阶秩序，存在着现实挑战。除了权利位阶理论外，比例原则同样可作为有效的解决路径。当国家机关面临两个相互冲突的基本权利时，若需为保护公民所享有的更为重要的个人信息受保护权而对次要权利进行限制，则必须实施“过度禁止审查”。这一审查旨在确保所采取的限制措施并未构成过分或不必要的干预，从而确保权利之间的平衡与和谐。通过综合运用权利位阶理论和比例原则，能够更加精准地把握个人信息基本权利冲突的实质，并寻求出更为合理和有效的解决方案。
其次，实践调和原则在解决基本权利冲突中发挥着重要作用，被视为解决基本权利冲突既定的规则。在调和基本权利冲突时，关键在于协调各基本权利所保护的法益，确保它们均能得到实现，注重手段的优先性。然而，在多数情境下，无论是个人信息受保护权还是与之产生冲突的其他基本权利，均不存在绝对的优先地位。这意味着，在权利冲突中，任何一项基本权利若作出让步，其保护程度都可能遭受严重削减，导致原本应有的保障变得微乎其微。因此，在个案衡量中，我们应将基本权利规范尽可能地具体化于相关立法之中。同时，对于那些在权利调和过程中需要作出妥协的基本权利，我们应给予相应的补偿措施或替代性解决方案。
5. 结语
在宪法学的研究中，一个紧迫的时代课题便是深入探寻个人信息保护的宪法根基，并致力于使个人信息保护法在学术上更加和谐地融入合宪性法秩序之中。以宪法为概念基础确立个人信息保护基本权利是对民事权利基础论的体系优化。宪法基本权利使得个人信息权基础更加深厚、覆盖更广泛、规范更明确，为民法、刑法、行政法等多部门共同规范提供宪法依托，引入国家保护义务理论全面保护，适用法律保留、比例原则等宪法原则提供规范指引，构建更加成熟的个人信息保护法律体系。