1. 引言
在大数据背景下，个人信息的价值已然超越纯粹私领域，拓展至社会多个层面。在对其“保护”与“利用”间平衡、取舍并非易事。2021年8月20日《个人信息保护法》专项法律出台，结束了纳入私法或公法框架之争，初步确立保障系统。本法受民法理论影响较深，部分学者主张其仅为私法的特别法。然而，个人信息保护需“公私协力、合作共治”如今已成为学界共识 [1] 。因公领域规制存在不足，提升公法领域保护与监督十分重要。此外，本法与其他法律欠缺法秩序一致性 [2] 。这类缺憾不仅有赖于实践解释与立法精进，也离不开教义学分析。本文旨在梳理个人信息与个人同意的界属、处理与监督保护现状及不足，并尝试提出完善建议。
2. 我国个人信息保护体系概述
2.1. 个人信息概念界属：本法所保护的客体
一部新法出台，最首要即问“该法保护什么？”——法律所保护的客体为何。根据《个人信息保护法》第4条第1款，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。因强调可识别性，信息所呈现的特质须能清晰定位到特定个体。根据第73条第4项，经匿名化处理的信息无法识别具体自然人，通常较难出现减损自然人社会评价的遭遇。这指向了类似于“算法行政”能够改变社会运行模式的技术处理行为。尽管其可称得上的一项足以调配社会资源的“新型权力”，但并不在本文讨论之列。
本法未明文确认法律客体，仅指出立法目的系“保护个人信息权益”。以“权益”的措辞明示，或许让公众更易接纳，也与法体系相容性较优良。但此类做法容易导致“权利”与“利益”认知偏差。只要是涉及私法领域的问题，“权利”与“利益”之争便旷日持久。从德国区分保护论观之，二者的概念与属性事实上不能相提并论。权利是保护利益的工具之一，义务亦如是。新法的条款更倾向于为信息处理主体设定义务、限缩范围，并藉此保护信息主体的利益 [3] 。结合当下数据社会的发展模式与国家政策来看，自然人必然对个人信息拥有绝对支配权吗？其实难以得出肯定的结论。换言之，个人信息权益不具备绝对对世性。政府同时以处理者与监管者身份出现在该领域，占据重要地位，如何衡量双重性质的行为成为主要矛盾之一。
2.2. 个人信息的性质：超越纯粹私益或公益
为进一步破除“权利—利益”二分误解，笔者从个人信息的性质切入试论。
个人信息的私法保障主要源于两个理论。其一，美国的隐私权理论——这是一种与欧盟“直线型(自上而下)”立法实践不同的模式。具体而言，美国在个人信息保护领域，联邦立法、州立法与部门专项立法一应俱全。这在学理上被称为“条块式”，其较之于自上而下规制的“步步为营”，个人信息的流动极具空间性。换言之，美国模式更注重经济商业价值。也正因隐私权理论建立在“侵权行为法的隐私权+宪法隐私权+信息隐私部门法”框架之上，其脱离了纯粹法权格局 [4] 。其二，德国的个人信息自决权理论。始于“人口普查案”，旨在预防公权力机关越界搜罗、滥用个人信息。德国宪法法院承认个体的自决法益，但个人并不据此享有支配权 [5] 。换言之，其并不意在设定对世性的支配权与自决权。公领域治理中的比例原则，以及公、私价值博弈，在个人信息保护中有重要意义。
数据时代的主要特征是“去中心化”，中心与边缘的此消彼长致使信息的边界日渐模糊。在这种背景下，信息与科技结合必将催生陈旧理论难以覆盖的行业。个人信息的公共价值上升，强调私法治理为主的规制格局或将制造障碍 [6] 。对此，《个人信息保护法》第13条第1款第2、3、4、6项规定了处理者可自行处理的法定情形，并且也不乏个人信息兼具公法益与私法益的学理讨论，但仍欠缺实现公共利益的系统性功能。总体而言，我国现有法体系对此的公法益回应不足。但这并不意味着大幅将公法益直接纳入旧有格局，便能有所改善。公领域治理也并不等同于不特定多数人利益的合集，而在于寻求利益“公约数”或“同心圆” [7] 。
2.3. 同意制度的法律地位：个人信息处理的核心
《个人信息保护法》第4条第2款将“处理”解释为“收集、存储、使用、加工、传输、提供、公开、删除”等行为。根据第6条，处理须符合两项原则、一个制度。其一，贯彻比例原则，处理应当具有明确、合理的目的，且应与处理目的直接相关，并采取对个人权益影响最小的方式。其二，强调最小必要原则，要求收集应当限于实现处理目的的最小范围，不得过度。
最后且最关键的是“个人同意制度”(consent)。该制度要求“处理者向信息主体的充分告知”、“信息主体明确同意”。做出同意前信息主体须“充分知情”并且“自愿”，针对特定情形则要求“单独”或“书面”。该基本原则贯穿整个处理进程，目的是为实现信息的个人自决或隐私自治，汲取自前述理论。尽管隐私权理论属于普通法系，个人信息自决权理论源自大陆法系，二者却皆蕴含自由主义法价值观。人格独立受到高度重视，使该制度成为判断处理行为合法与否的核心要素 [8] 。
坚定以私法属性论证的部分学者，主张将个人同意制度更妥帖融于民法体更为重要。例如，学者于海防指出，新法确立起的个人同意制度，追求的是强调真实性的实质同意，而非形式层面者 [9] 。从私法角度看，个人同意主要属于人格权领域。在保障人格尊严的价值基础上，纳入人格利益之经济利用考量。但法定人格权秩序不宜脱离。换言之，个人同意系一种非典型意思表示，除非新法有特别规定，否则应适用民法典之意思表示、法律行为及合同规则 [9] 。
然而，数字社会各领域的持续发展离不开个人信息的流动。假使为了民法体系的完整性免遭“开口子”，固守法律行为与合同理论，对于嗣后出现的新类型同意之问，很难说有较强的指导价值。个人信息的公法益需实现，基于平台经济兴起的“私权力”亟待规制，信息主体的私权利也不能被忽视。仅示明原则框架，对落实规制标准帮助较小。
综上，个人同意制度确乎系个人信息保护法体系之核心。但数据信息行业的飞速进展，致使个人信息保护框架并不能止步于此。这表明个人同意作为唯一合法性基础的情况确切需要改善。
3. 个人信息保护现状及处理规则的不足
3.1. 立法体系现状：框架初建成，法理待厘清
本节以国内法为依据，梳理不同位阶的法律文件。
首先，从法律位阶看，2021年出台的《个人信息保护法》系最直接的渊源。此前，保障个人信息的条款散见于我国多项法律。例如，《民法典》第111条，民事权利中要求自然人的个人信息的合法性基础，且专门于第六章规制隐私权保护。《刑法》第253条也设置了四项相关罪名与刑罚。又如行政性较强的《护照法》第11条和第20条，以及《身份证法》第13条、第19条和第20条。它们强调信息处理者的保密。此外，《全国人民代表大会常务委员会关于加强网络信息保护的决定》也属于该范畴，旨在加强对社会突出矛盾的规制。该决定指出个人信息的处理原则与严禁行为，宏观指导意义较强。《网络安全法》第37条、第40至44条和第76条则详细设置了个人信息的储存、使用规则、删除权和范围。《电子商务法》在鼓励数据共享的基础上保护隐私，《消费者权益保护法》原则性地主张了经营者的保护义务。
其次，行政法规《互联网电子公告服务管理规定》出台于2000年。受限于技术发展进度，该行政法规仅具备原则性保障意义。复次，规范性文件。《信息安全技术：个人信息安全规范》富含技术性规范，参考价值较高，但位阶较次。最后，司法解释。《最高院、最高检关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》针对涉及个人信息犯罪的量刑方面进行了细化。
由此可见，我国深耕个人信息保障多年，新法的出台更将立法框架勾勒清晰。但在同位阶中，不乏条款内容出入者，譬如内涵界定、称谓的不完全一致。并且，尚不存在以何者为准的定性与法理。不同位阶者，有着行业标准的专业技术性规范更细化，但这类文件通常委于较模糊的上位法。
我国自本世纪初以来逐渐步入信息社会，向来注重专精技术发展并且鼓励数据共享。但法律具有无可避免的滞后性。这些规制层面的混乱，或将导致相关行业的中小企业无故违法，遑担成本。个人信息保护框架初建，法理不清对于司法实践而言也着实不利，亟待改善。
3.2. 个人同意的症结：规制条款欠缺可操作性
从前文可知，个人同意系个人信息保护法的基石。然而，科技进步与经济发展致使传统权益边界与新兴权益发生交融。仍将个人同意视作唯一正当基础，显然不合时宜。《个人信息保护法》区分了三种具体情形。一般性原则即“告知+同意”，例外情形分为“告知 + 无须同意”和“无须告知 + 无须同意” [10] 。前者体现于本法第13条第2款无须取得个人同意的规定。后者则源于第18条关于法律、行政法规要求应当保密的规定。并且，二者皆以本法第35条规定兜底。
尽管立法已明确设定同意规则，但实践或将产生诸多疑问。例如，有效同意包含“知情”与在此之上的“自愿”两层面内涵 [11] 。信息主体的充分知情，很大程度上建立在信息处理者的告知义务之上。对此，第13条与第35条以“履行法定职责”为限，为处理者的告知义务划边缘。但此类法定职责究竟应溯及其原本广义职责，抑或仅限关涉个人信息处理的职责？并无定论。因此，无法清晰判断处理者是否符合“以履行法定职责所必需要”，欠缺实际可操性。
若从“知情”层面的欠缺出发，最显著的特征即是信息主体与处理者“权力”不对称。例如，绝大多数信息主体在社会生活中都会遇到阅读隐私政策的情形。然而，这类政策通常由具备专业技术以及心理学知识的大型机构制定。该类文件专业性极强，排版细密，鲜少有人能仔细查阅和精准理解。当信息主体晦涩冗长的事物，即便穷尽理性也是无法与前者抗衡的。这即是普遍存在于最大多数公众的知情困境。即便信息主体可能觉察出其中漏洞，并且可能具备诉诸法律途径的资本，数字社会中的“平台”信息处理者为追逐利益而制定信息利用规则、程序和纠纷解决机制，都难以被撼动。由此可见，这类平台与企业已然形成具有公权力特征的“私权力”。
个人同意制度对信息主体的预判显然是基于“理性经济人”假设，主体的表达即体现其个人意志与选择自由。然而，从“自愿性”存疑的角度讲，前述平台与企业的“私权力”变相强迫主体同意的情形跃然眼前，更不必说行使公权力的处理者。例如，平台通常仅提供“同意”和“无法使用服务”两种选项，前者“顺利通关”、后者“慢走不送”。信息主体为了使用平台的某项服务，无论其真实意愿为何，显然只能选择“同意”。同意的真实效果大打折扣。
3.3. 概念模糊与比例原则指导难
正如前述对新法采用“权益”措辞的质疑，该专项法律的条款中实际上还存在其他概念界属不清。首先，本法第13条与第35条用“履行法定职责”对掌握公权力的信息处理者划界，目的是将其告知义务的履行纳入可控范围。但统称的“法定职责”究竟是众多职责中仅与个人信息处理紧密关联的部分，还是法律规定的一切职责？这种含糊的范围界定，留给公权力机关较大的处理空间、监督空白。信息社会所提防的并非政府不作为，而更多关注公领域隐形入侵私领域。其次，第13条与第18条所称“紧急情况”描述的是何种具体情形？它并非是像“紧急状态”那般严格的法律概念，而是内涵不确切的。这种情况下的通常解决方案是在实践中探索。而处在信息处理第一线的多为公权力机关，以及掌握“私权力”的社会组织。这类主体对于解释“紧急情况”，有着充分的专业知识、经验与可信力。此外，“紧急情况”尚无明确法定程序。程序正义的价值之一是为了保障实质正义，法定程序对于实践探索的兜底划界非常重要。在前述背景下，“无须同意”的钥匙极可能打开信息滥用的闸门。
新法的优势之一体现在将学理上用于评估行政行为的比例原则，明确纳入保护框架之中。但缺憾也由此而生：仅声明原则，但在合目的性、适当性和最小损害规则的细致操作层面并未更进一步。法律要求信息处理者的处理行为“明确且合理的目的”具体指什么？“与目的最直接相关”是否有明确声明要求？“对个人权益影响最小的方式”是否存在衡量标准？如若缺乏细化的标准，对于公权力机关的监督作用便难以有效施展。
3.4. 行政机关双重属性，多部门协调难
《个人信息保护法》确立的保护框架，并未采纳独立监管主体的经验，而是延续了业务部门分头管理机制。并且，这使得国家网信办的主导、统筹地位得到进一步强化 [10] 。对此，蒋红珍教授评述其积极的一面，在于监管主体深入不同行业精准化监管的能力得以强化。然而，监管主体的多元化，也意味着权责边界模糊，职责推诿难以避免。从具体条款切入，可参见《个人信息保护法》第66条关涉行政法律责任的设置。该条款确立了两项处罚要件，并且是为选言命题的逻辑关系。其一，违反本法规定进行处理行为者；其二，未履行本法之保护义务者。该条款的立法方式，是将处理之权利义务全权纳入行政处罚体系 [10] 。事实上，第66条的内容并不匮乏，但存在适用空间的缺失。它属于不完全法条，即遇具体情形时须援引其他法律的条款。可以大胆推断，这种负面影响也势必会波及被规制者，譬如企业与平台不得不承担高昂的合规成本。
此外，“平台”等主体也可以处理个人信息。行政机关兼具处理与规制能力，但专业性有待提升。司法机关对此的制约十分有限，行政机关“既参赛又任裁判”不妥。是否能够设置专职专业的监管者？
综上，个人信息保护体系的构建，不仅应将散落规范的法理厘清，也要从专业知识结合司法实践推进法律标准的细化。从框架初建到可行性优化，将信息处理的公权力与“私权力”逐阶规制。
4. 个人信息保护与处理完善的思考
4.1. 突破纯粹私法思维禁锢
长久以来，从民法总则到民法典的进步，对个人信息保护法体系起奠基作用。但不应忽略的是，《个人信息保护法》直至“三审稿”时，才添上了“根据宪法，制定本法”的说法。无论从法理层面抑或时代特质方面看，都绝非偶然。根据张翔教授的观点，自2018年“宪法和法律委员会”正式设立，该委员会对法律草案的合宪性审查普遍得以强化。这表明立法机关在三审稿中的做法，并非仅从私法角度理解个人信息的保护 [3] 。虽然立法并非万能，但从法教义学角度看，这可作为反驳“民法之特别法”的理据。学者吴文芳声称，个人信息保护体系应更贴合于社会法、领域法定位 [7] 。学者周汉华则更进一步地提出了“个人信息保护之基本法”的主张 [12] 。
在更广阔的认知领域中为个人信息保护框架寻求理论基础，对于在隐私保护与信息流通间平衡倍有裨益。应对数据时代的法律问题，应超越固有私法思维，使新法妥帖融贯于合宪性秩序。由于《个人信息保护法》未在美、德相关理论间抉择，纳入基本权利位阶或为一条进路。对一切法领域产生辐射效力，公、私双重属性进一步论证也在教义学层面更易展开。
4.2. 监管者亦受监督，提升实际可操作性
第一，个人信息保护领域的监管职能主体繁多，时常权责交叉、执法冲突。本法的宗旨之一的厘清各具体职能部门的监管责任，但其实并不易达成。对此，蒋红珍教授指出，传统监管体系中的行政责罚，通常明晰至特定履职部门，而不是针对整体机关的。但新法的第68条明示规定的是，不履行保护义务的“直接负责的主管人员”和“其他直接责任人员”属于处分对象。那么兼具信息处理者与监管主体双重身份的行政机关及其部门，是否也属于该范畴？换言之，新法的保护框架虽已经提出“将监管者纳入监管”的理念，却并未明确针对特定部门或整体机关。尽管这种做法避免了新法迈步过大的唐突，却有回避矛盾之嫌。如果同时将机关与部门两层面都纳入监管，后续则应与其他单行法律保持概念上协调。监管的规范化，需要根据行业特征差异化对待，这种理念基础在社会动向变幻莫测的数据社会十分重要。由于具体规则与法律适用间无法避免的落差，后续实施细则等文件须尽快出台。
第二，新法未区分个人信息的商业性与执法性处理。前述监管实质上是“决策型监管”。具言之，新法授权相关部门以制定抽象规则和标准，组织和实施监管机制 [11] 。这体现了政府职能转型，从既往的事后个案聚焦，发展为事前抽象定则。学者蒋红珍声称，将“立法形成功能”授予行政机关，即是对决策型规制进路的认可。该领域存在大量“灰色监管”。因而精准监管与细化规制，系重中之重。以新法框架为契机，汇集经验并细致梳理，出台司法解释与实施细则。这对于政府多重职能的平衡，以及依托数据创新之中小企业的发展保驾护航。
4.3. 补充信义义务，多领域合法性基础
本文认为将同意制度视作唯一合法性基础，滞后于科技发展与数据共享的时代特质。学者向秦认为，个人同意的内涵包含多重层面，但可总结为“信任的合理期待”；处理行为则可视作“信息分享”。因此，这与私法主张的“意思表示”存异。在“信息分享”的共同认知下，个人同意更契合程序性机制的定位。鼓励数据共享与合理利用的信息社会，必然注重利益衡量。在这种前提下，可以相信创设绝对的阻却违法效力，并非新法的本意 [11] 。
对此，从义务填充来削弱侵害的信义义务，是一条可选的进路。从公法精神看，人的尊严包含信任与被信任因素。首先，个人同意制度的表层含义似乎是专注于信息主体所掌握的内容的。但它与侵权法中的“受害人同意”有差别，也不完全等同于合同法中的“意思表示”。因此，个人同意的设置意图，更可能实际针对的是信息处理行为。毋宁说，与其从个人同意制度作为保护框架基石浅层分析，不如直接深入处理行为的规制。然而，被多次提及的数据社会特质，导致个人同意在法律上产生的效力势必渐弱。
如何在信息主体弱势的趋势下增强保障？信义义务强化对处理者的问责，可看作对其之额外保护。但从另一角度讲，虽限制处理，却增加了信息流通的可能性。在同意与自愿缺一不可的条件下，信息流通是困难的。当处理主体达到“可信任标准”，信息主体可对让渡信息进行风险自判。不再全权仰赖同意制度，可持续地激励处理者积极地追求前述标准。
个人信息保护框架的逐渐完善，不仅诉诸一般性规范，也应明晰特定履职部门的法定职责。此外，信义义务的补充与同意制度相互限制、平衡，共同构建合法性基础。
4.4. 域外经验：独立监管主体
前文提及过欧盟个人数据保护立法实践系“自上而下的直线型”，这与我国法文化体系有着相似之处。欧盟《通用数据保护条例》(General Data Protection Regulation，简称GDPR)对于“私权力”处理主体(多为企业)，制定了相应要求。根据《通用数据保护条例》第38(3)条，只要在欧盟地区雇员大于250人，须设置一位独立行事的“数据保护官”(Data Protection Officer，简称DPO)，并且系“强制任命” [13] 。《数据保护官指南》要求，DPO不仅应对数据保护法有专业资质，还需了解企业及其部门的组织文化。从具体职责而言，DPO旨在负责企业数据合规——这也可看作属于信义义务侧向的补充。然而，DPO与企业之间存在利益关系，采取这种合规增强模式的同时，政府也不能忽视对DPO本身的监督。
其次，欧盟各国的数据保护机构(Data Protection Authority)负责监督具体合规执行情况。此外，德国《联邦数据保护法》在公权力机关内部设置“联邦数据保护与信息自由专员”。其职责系审查存在侵害风险的数据处理行为。根据《联邦数据保护法》第21条，当侵害确存，数据主体可向专员申诉 [14] 。
在大数据飞速发展的国情下，上述欧盟经验对于我国电子政务的发展有借鉴意义。既能处理又负监管责任的政府，可以设置专职个人信息安全负责人员。可见，这类独立监管机构的救济意义较大。为健全保障体系可以考虑引入专业的专职机构。一定程度上地着眼于事前配套治理，并创制行之有效、针对性强的问责与救济。
5. 结语
在“私权力”紧跟公权力崛起的时代，个人信息的公法益愈发受到重视。为了在尊重个人信息自决与推进信息产业升级两项价值间平衡，立法兼顾了公、私领域的权益保障规制。《个人信息保护法》的出台，初步建构了个人信息保护框架。并且，确立了以“知情–同意–自愿”为内核的信息处理规则。然而，公法益的实现更诉诸于“无须同意”情形。在这方面，立法对于公权力机关之处理行为规制有所不足。因此，将同意作为唯一合法性基础进行讨论，显然滞后于时代发展。信息处理者信义义务的学理补充，是一条可选的进路。此外，欧盟国家普遍设立的独立监管主体，亦即数据保护官和数据保护机构，也是值得我国借鉴的域外经验。最后，新法的配套实施细则以及司法解释皆需尽管出台。并通过细化规制，应对立法体系与司法实践间的落差，以建立可持续发展的互信个人信息保障体系。这对于我国政府行政职能转变，以及中小企业数据利用皆有裨益。