李炳輝

2021年11月1日起施行的《中華人民共和國個人信息保護法》（以下簡稱《個人信息保護法》）對于我國個人信息的保護意義重大?；ヂ?lián)網時代，技術革新雖為社會生活的便利提供了條件，卻也隱藏了若干前所未有的風險，其中，個人信息的泄露和濫用風險系數(shù)尤高，《個人信息保護法》的出現(xiàn)可謂正當其時。《個人信息保護法》以同意作為核心原則，從多方面加強對個人信息的保護。考諸法條原意，建構完整的“告知—同意”規(guī)則體系對于保護個人信息權益而言具有十分重要的意義，理解《個人信息保護法》，應當以同意作為重要的切入點和觀察視角。

一、個人信息保護中“同意”的角色與地位

在一般意義上，個人信息具有高度的人格化特征，個人應當享有個人信息的專屬控制權，但在信息社會中，個人信息是否專屬于個人，已經不再是毫無懸念的問題。信息固然與個人的人格相關，卻也具有相當高的社會價值和經濟價值，也因此具備了轉讓和交易的可能性。一般情況下，信息的轉讓自然應當以同意為前提。然而，若一味強調同意的必要性，在某些情況下也會阻礙社會的發(fā)展和進步。信息的自由流通是一種價值訴求，個人信息的保護同樣也是一種價值訴求，當兩者有所沖突時，如何權衡和取舍，于立法者而言是一個至關重要的問題。

（一）同意的規(guī)范基礎：《個人信息保護法》所保護的客體是什么？

同意之所以在個人信息保護中十分重要，是因為個人信息保護天然地具有個人自我控制的內涵。這種對信息的自我控制，在近些年來以“信息自決權”的面貌廣泛為人們所知。實際上，信息自決權從淵源來看關乎隱私權的發(fā)展。眾所周知，隱私權源于美國，就其原初意義而言，隱私權是一種十分消極的權利，即“個人獨自享有，其他人不得侵犯、干擾、觸及的個人生活秘密、寧靜的權利”。但時過境遷，這種免于他人影響的消極權利逐步演化為積極主動的自我控制的權利，也因此形成了美國法中的個人隱私的公開權（right of publicity）和與權利的商品化相關的討論。美國法中沒有獨立的姓名權和肖像權等人格權，這些權利均包含在隱私權范疇內。正因如此，對姓名、肖像等信息的自我控制和使用權的保障，本質上即是對隱私權的保障。但在德國法中，個人信息與隱私權并不相同。1971 年施泰姆勒接受德國內政部的委托提出聯(lián)邦個人信息保護法草案，在對草案的說明中，他提出了“信息人格自決權”以及“個人信息自決權”的概念。根據(jù)他的描述，這項權利的內容是，人們有權自由決定周遭的世界在何種程度上獲知自己的所思所想以及行動。個人信息自決權理論起初并沒有為人們所重視，直到德國“人口普查案（Volksz?hlungsentscheidung，BVerfG 65，1）”之后才成為一種流行的學術觀點。與隱私權不同，信息自決權從一開始就強調個人對于信息的控制權，也就是說，個人擁有是否公開其信息的自主權，當自己決定不予公開時，其他主體對個人信息的公開自然應當獲得個人的同意?？梢?，信息自決權天然地蘊含同意這一核心要素。

信息自決權學說傳入我國之后，一度成為我國討論個人信息保護問題時的主要理論。然而，我國憲法和相關法律對此其實未置一詞。不論是隱私權還是個人信息自決權，都不是傳統(tǒng)意義上的公民權利，而是隨著社會發(fā)展逐步顯現(xiàn)的新型權利。自1954年憲法頒布以來，我國在對待公民權利種類的拓展方面一直十分謹慎，除了在1982年憲法的修正案中加入了“私有財產”這一傳統(tǒng)上就存在而我國政治實踐長期未予肯認的權利之外，憲法并未新增其他權利。雖然有學者認為，可以從我國憲法的“國家尊重和保障人權”這一條款中推導出“未列舉的權利”，其中即包括“個人信息自決權”和隱私權，但在沒有有權機關的正式解釋作背書的背景下，任何通過“國家尊重和保障人權”條款推導出憲法沒有規(guī)定的公民權利的嘗試都是不合適的。況且，美國和德國等國能夠通過憲法訴訟和法官解釋憲法的方式擴充公民權利序列，而我國憲法訴訟制度并不存在，憲法解釋也甚少啟動，將隱私權和個人信息自決權納入憲法所保障的公民權利范疇的學術嘗試雖有可取之處，但顯然不足以成為個人信息保護的理論與規(guī)范依據(jù)。除憲法外，個人信息自決權在我國其他法律中也從未出現(xiàn)。因此，從規(guī)范層面上來說，我國并不存在個人信息自決權這種權利。

事實上，《個人信息保護法》并未確認任何一種個人信息權利。《個人信息保護法》第一條即指出，最重要的立法目的在于“保護個人信息權益”，第二條進一步明確：“自然人的個人信息受法律保護，任何組織、個人不得侵害自然人的個人信息權益。”這意味著，個人信息保護法并未將個人信息視為一種權利，而是“權益”。《個人信息保護法》拒絕將個人信息視為某種法定權利，可以從兩個方面理解：一方面，鑒于權益的范圍比權利大，《個人信息保護法》除了保障與個人信息相關的法定權利之外，也保障了一些在性質上尚不構成權利，但需要受到法律保護的法益。也就是說，《個人信息保護法》既保障與個人信息相關的權利，也保障利益。另一方面，《個人信息保護法》之所以用“權益”而不用“權利”，是因為個人信息不構成權利，至多只是一種受到法律保護的利益。就《個人信息保護法》的立法宗旨來看，前一種理解比較符合實際，但從另一個側面來說，《個人信息保護法》缺少類似美國的隱私權和德國的信息自決權這樣的綜合性權利基礎，即缺少一個統(tǒng)一的權利作為其理論基礎，而是將與個人信息相關的一系列權益納入保障范圍之內。

然而，不論是發(fā)展到當代背景下的隱私權，還是信息自決權，都隱含自我控制、自我決定個人信息的固有內涵，在涉及信息交換時，同意的意義方能得以凸顯。問題是，由于支撐個人信息保護相關權益的理論基礎駁雜不純，囊括了與之相關的各種權益和相關理論，其中，自我控制、自我決定雖然構成個人信息保護權益中的部分要素，但并非全部要素，這意味著，與自我控制、自我決定相關的同意的意義也會因之降低。可以說，在信息自決權得以證成的背景下，作為“自決”核心要義的“同意”的法律地位是不言自明的，但如果將個人信息權益拆分為零散的多個組成部分，同意也就很難稱得上是個人信息保護的核心。

顯然，《個人信息保護法》的立法者并非沒有考慮到這一問題，而是有意為之，其目的在于維系個人信息的個人價值與社會價值之間的審慎平衡。

（二）同意的法律地位

個人信息對于個人而言具有十分重要的意義，也正因如此，處理個人信息時，同意的法律地位也就顯得非常突出。但從另一個方面來說，個人信息的社會經濟價值也值得重視。尤其在信息社會，信息包括個人信息的自由流動對于社會發(fā)展而言具有不可低估的意義。兩種具有相互矛盾性的價值并存，不可避免地會導致價值沖突。如何平衡這兩種價值，是立法者需要慎重考量的問題。

在自由主義視域中，個人信息與個人人格息息相關，而人格具有高度獨立性，因此，自由主義的價值觀往往要求個人對于個人信息具有獨立的控制權，這就是“同意”之所以重要的原因所在。不論是美國的隱私權理論，抑或是德國的信息自決權理論，均在一定程度上認可這一論斷。但是，相對于一般的人格權來說，個人信息因為具有公共屬性，它不僅屬于個人，于社會而言也是一種“公共物品”。如果單純將個人信息視為可以由個人單獨、完全控制的信息，個人信息的公共屬性和職能也就無從實現(xiàn)。個人信息所具備的私有性和公共性雙重屬性一方面使得同意仍具有突出的重要性，但另一方面，對同意也必須進行有效的限制。無論在理論上還是在實踐中，同意都不是個人信息處理的唯一正當性基礎。

第一，在理論上，如果個人信息的處理都要尋求個人的同意，個人的權益雖得以彰顯，但個人信息的公共價值卻難以實現(xiàn)。個人信息的公共屬性表現(xiàn)在多個方面，例如，個人信息的自由流通具有十分重要的經濟意義，尤其在數(shù)字時代，個人信息甚至能夠制造新的經濟增長點，從而帶動經濟向全新的領域發(fā)展。再如，個人信息的某些構成要素，本身即是公共物品，如個人的姓名、性別、收入情況、職業(yè)、行動軌跡等，在一些情形下往往是形成科學的公共決策的重要依據(jù)，如果這些信息完全由個人控制，則決策者勢必難以對社會發(fā)展形成通盤把握。實際上，隨著時代的發(fā)展，一些與個人主義、自由主義相關的權利逐漸附加了社會義務，這一點在財產權上體現(xiàn)得尤為明顯。個人信息也同樣如此。在社會義務的影響之下，個人信息不應當由個人絕對控制，在某些特定情形下，個人信息也可以由特定主體未經個人同意而予以收集和處理。

第二，在規(guī)范上，同意也不是處理個人信息的唯一正當性基礎。雖然有不少學者認為個人信息自決是處理個人信息的基本原則，但這種濫觴于德國法學理論中的權利其實并沒有成為正式的規(guī)范。德國憲法法院雖然在“人口普查案”中確認了信息自決權的存在，但這一權利其實并沒有寫入法律條文之中，有學者表示，“信息自決權至多只是學說上關于個人信息支配的誤導性理論表述，而不是私權體系中的具體權利類型，更不是受侵權行為法保護的民事權利”。即便是憲法法院對個人信息自決權持肯定態(tài)度，也未曾將其視為不受限制的排他性權利。受德國憲法理論影響頗深的歐洲《一般數(shù)據(jù)保護條例》（GDPR）也只是將同意視為個人信息處理的最為重要的合法性基礎，但并非唯一合法性基礎。因此，有學者明確提出，同意固然重要，但處理個人信息并不一定要獲得個人的同意，在不同的情況下，個人信息的處理可以有不同的合法性依據(jù)。

第三，在實踐中，許多個人信息收集和處理行為并不以同意為前提和條件。這種不經個人同意而收集和處理個人信息的行為在公法關系中較為常見。行政機關基于公共利益之需要，可以依據(jù)法律在不經過個人同意的前提下自行處理個人信息，這種現(xiàn)象在任何一個國家都不鮮見。而在私法關系中，個人信息處理者雖然不具備行政機關的優(yōu)越地位，但仍然可以基于某些理由而收集個人信息。歐洲《一般數(shù)據(jù)保護條例》就肯定了多種在私法關系中不經個人同意而收集個人信息的行為的合法性。

我國個人信息的法律保障起步較晚，但法律對同意十分重視，甚至在某種程度上超越了德國與美國的重視程度，以至于有學者宣稱，我國是世界上唯一一個在立法上明示個人信息收集、使用一律須經信息主體的同意從而將同意一般化的國家。

（三）《個人信息保護法》對于同意的價值調和

盡管在一些學者看來，信息自決權可能是一種誤讀，但多年來，不論在學界還是在立法實務中，基于同意方能處理個人信息已經成為一種思維慣性。但是，《個人信息保護法》并未完全遵循既成做法，而是對同意的規(guī)則進行了拆分處理。按照全國人大常委會法制工作委員會副主任劉俊臣在《關于〈中華人民共和國個人信息保護法（草案）〉的說明》中所言，《個人信息保護法》確立了以“告知—同意”為核心的個人信息處理規(guī)則體系，在一般情況下都要求處理個人信息應當在保障個人知情權的前提下取得個人同意。同時，草案也規(guī)定了無須獲得同意的法定例外情形。

顯然，《個人信息保護法》一方面并未否棄已經成為信息處理基本原則的“告知—同意”規(guī)則，維系了同意在個人信息處理中的核心地位。另一方面，立法者也通過立法的形式明確列舉了“告知—同意”規(guī)則的例外，避免以法律規(guī)范的形式妨礙個人信息的正常流通及其社會價值的發(fā)揮。這種努力，貫穿《個人信息保護法》之始終。

二、同意作為原則及原則的例外

《個人信息保護法》對同意著墨頗多，基本上是將取得同意作為處理個人信息的基本法則。不過，《個人信息保護法》也并未將同意視為個人信息處理的唯一合法性基礎，而是在“告知—同意”規(guī)則之外另行補充了若干處理個人信息的法定情勢?！秱€人信息保護法》中“同意”出現(xiàn)了27 次。在規(guī)則意義上，可以將同意出現(xiàn)的情形概括為三種類型。

第一種類型是原則性地將取得同意視為處理個人信息的先決條件?！秱€人信息保護法》第十三條將取得個人的同意排在第一位，意味著同意是個人信息處理最為重要的合法性依據(jù)。不過，該條同時規(guī)定，在沒有取得個人同意的前提下，個人信息在某些例外情況下也是可以收集和利用的。有學者將此類例外情形解讀為我國法律中個人信息的“合理使用”制度。雖然《個人信息保護法》沒有明確將“取得個人的同意”作為一項原則，但從取得個人同意和無須個人同意的各種情形的邏輯關系來看，取得個人的同意已實質上成為處理個人信息的基本原則。該條規(guī)定可以理解為：在一般情形下，個人信息處理者處理個人信息的基本原則是“取得個人的同意”；在法律所明文列舉的各種情形下，可以不必遵守前條原則。這種立法方式，與《政府信息公開條例》中所謂“以公開為常態(tài)、不公開為例外”的內在精神具有一致性。因此，《個人信息保護法》處理個人信息的基本原則可以解讀為“以取得個人的同意為常態(tài)，以無須取得個人的同意為例外”。

第二種類型是界定同意的內涵及情形?！秱€人信息保護法》并未詳細解釋何為同意，但對同意的條件和類型進行了界定。其一，《個人信息保護法》規(guī)定了同意的前提，即“基于個人同意處理個人信息的，該同意應當由個人在充分知情的前提下自愿、明確作出”。此條規(guī)定明確了處理個人信息的前提是公民對其同意事項的充分知情，以此拓寬了個人信息權的權利鏈條。其二，《個人信息保護法》中的同意并非泛泛而談，而是有針對性。在一般情況下，同意可以通過概括形式作出，但在一些特殊情況下，《個人信息保護法》對同意的程序作出了更為嚴格的規(guī)定，即某些同意需要“單獨”作出。例如，《個人信息保護法》第二十三條規(guī)定，如果個人信息處理者向第三方提供其所處理的個人信息，應當將第三方的詳細信息告知個人并取得個人的單獨同意，從而對個人信息處理者隨意轉讓個人信息進行了更為嚴格的規(guī)范。再如，《個人信息保護法》第二十九條規(guī)定，“處理敏感個人信息應當取得個人的單獨同意。”其三，《個人信息保護法》區(qū)分了同意的不同情形，也對個人信息進行了分類。從《個人信息保護法》的體系來看，個人信息分為一般個人信息和敏感個人信息，前者的收集和處理無須特別的法律規(guī)定，而后者則需要更為嚴格的“單獨同意”。之所以作出這樣的規(guī)定，是因為與個人相關的信息雖然統(tǒng)稱為“個人信息”，但個人信息也有輕重之分，相較于一般的姓名、性別等信息，某些信息具有特殊的重要性，這些信息的泄露或者信息處理者對這些信息的非法處理容易導致自然人人格尊嚴受到侵害，或者使其人身、財產安全暴露在危險之中。有鑒于此，需要對這些敏感個人信息進行更為嚴格的保護。

第三種類型則是關于同意的特殊規(guī)則，即不同意和同意的撤回?！秱€人信息保護法》第十六條規(guī)定，如果個人不同意個人信息處理者處理其個人信息，或者撤回已經做出的同意意思表示，個人信息處理者不得以此為理由拒絕向個人提供產品或者服務。個人信息的處理建立在個人同意的基礎之上，但如果個人信息處理者所提供的服務與個人信息不具備強關聯(lián)性，在個人不提供其信息的情況下不影響服務的提供，則個人信息處理者不能以個人不提供個人信息或撤回同意為理由而拒絕為個人提供服務。這一條款的目的顯然是防止個人信息處理者以提供服務必須取得個人信息為條件脅迫個人提供其信息。該條還提及另一個十分重要的問題，即同意的撤回與“被遺忘權”?！秱€人信息保護法》第四十七條規(guī)定，在個人撤回同意之后，個人信息處理者應當刪除個人信息，從而保障個人的相關信息不被他人檢索獲取，以實現(xiàn)個人免于社會干擾的生活寧靜和和平。

不難看出，《個人信息保護法》中關于同意的規(guī)則確立了一個相對穩(wěn)固和完備的規(guī)則體系，其主要內容可以概括為如下方面：第一，確立了個人信息處理以取得個人同意為前提的基本原則，并列舉了例外情形，從而構建了個人信息處理與同意之間的制度性關聯(lián)；第二，構建了圍繞同意而展開的權利體系，包括但不限于：個人信息控制、知情權、隱私權、被遺忘權等；第三，規(guī)范了同意的適用場域和適用方式，為個人信息提供了全方位的保護。但在實踐中，由于在民事關系和公法關系中，個人信息保護遵循不同的規(guī)則，需要進一步申說。

三、同意的私法規(guī)則與公法規(guī)則

雖然《個人信息保護法》保護的客體是個人信息，而個人信息在傳統(tǒng)上通常為私法所保護，但在現(xiàn)代社會中，收集和處理個人信息的主體往往十分多元化，其中既包括私法主體，也包括公法主體。在這種背景之下，《個人信息保護法》自然既不是嚴格意義上的私法，也不是公法，而是兼具公、私法的雙重特征，貫穿其中的“同意”規(guī)則，也需要在不同的論域中加以討論。如前文所述，《個人信息保護法》構建了“告知—同意”的原則與例外，但在什么情況下適用原則，什么情況下適用例外，在公法與私法中有完全不同的條件。《個人信息保護法》第三十三條規(guī)定，“國家機關處理個人信息的活動，適用本法”，也就是說，《個人信息保護法》的大部分條款，無論公法與私法，都應當?shù)靡载瀼貙嵤?。但私法主體和公權力機關處理個人信息的方式并不相同，同意的規(guī)則自然也有所區(qū)別。

（一）同意的私法規(guī)則

民法學者一般將個人信息視為人格權的重要組成部分。我國《民法典》第一千零三十四條規(guī)定，“個人信息是以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人的各種信息，包括自然人的姓名、出生日期、身份證件號碼、生物識別信息、住址、電話號碼、電子郵箱、健康信息、行蹤信息等”?！睹穹ǖ洹穼€人信息著墨甚多，構建了一個頗為嚴密的保障體系。但是，《民法典》并未將個人信息視為一種權利?！睹穹ǖ洹返谝话僖皇粭l規(guī)定對個人信息進行保護，在該條前后，《民法典》規(guī)定了一系列重要的權利，例如第一百一十條中的生命權、身體權、健康權等，第一百一十二條中的“因婚姻家庭關系等產生的人身權利”，第一百一十三條的財產權利等，唯獨個人信息未名之曰“權利”。然而，不是權利的個人信息卻能衍生出個人信息的同意權、更正權、刪除權等多種權能，在理論上始終無法自圓其說。因此，一些學者認為應當在《民法典》中寫入“個人信息權”，并界定為民法上的一般人格權。

《民法典》為個人信息的處理同樣設置了同意原則?！睹穹ǖ洹返谝磺Я闳鍡l規(guī)定，“處理個人信息的，應當遵循合法、正當、必要原則，不得過度處理，并符合下列條件：（一）征得該自然人或者其監(jiān)護人同意，但是法律、行政法規(guī)另有規(guī)定的除外”。在私法關系中處理個人信息，以同意為原則，以無須同意為例外，在民法典中清晰可辨?！秱€人信息保護法》則在民法典的基礎上更進一步，充實了“法律、行政法規(guī)另有規(guī)定”的幾種情形，即《個人信息保護法》第十三條中的第一款二項“為訂立、履行個人作為一方當事人的合同所必需，或者按照依法制定的勞動規(guī)章制度和依法簽訂的集體合同實施人力資源管理所必需”；第三項“為履行法定職責或者法定義務所必需”；第六項“依照本法規(guī)定在合理的范圍內處理個人自行公開或者其他已經合法公開的個人信息”。不過，這三種情形都不常見，因此，在一般情況下，在私法關系中，個人信息的收集者和處理者在處理個人信息時，需要嚴格恪守“告知—同意”規(guī)則。

為更好地保護個人信息，《個人信息保護法》對同意設置了若干條件，包括但不限于：同意的前提是充分知情；同意可以撤回，個人信息處理者應當提供便捷的撤回同意的方式；個人信息處理者不得以個人不同意處理其個人信息或者撤回同意為由，拒絕提供產品或者服務；在某些特殊情況下，應當重新取得個人的同意；撤回同意前提下的刪除權；以及多種情形下的單獨同意。顯然，在私法領域，《個人信息保護法》更偏向于保障個人信息持有者的權益這一價值。盡管信息的自由流通具有重要的價值，《個人信息保護法》也從未試圖阻斷信息的流通渠道，但在保護個人信息和促進信息的自由流通這兩種價值之間，《個人信息保護法》將“保護”作為立法的第一目的。作為實現(xiàn)保護目的的重要手段，“告知—同意”規(guī)則的法律地位不言而喻。

（二）同意的公法規(guī)則

同意的價值和地位在公法領域與私法領域完全不同。在私法關系中，于個人信息的處理而言，同意是一個至關重要，雖然并非隨時存在，但在大部分情況下都不可或缺的要素。而在公法關系中，公權力機關在收集個人信息時，更多的是基于公共利益的需要，而非基于個人的授權和同意，因此，公法關系中的同意規(guī)則主要體現(xiàn)為“無須同意”的例外。

《個人信息保護法》第三十三條規(guī)定，“國家機關處理個人信息的活動，適用本法；本節(jié)有特別規(guī)定的，適用本節(jié)規(guī)定”。對該條作字面解釋，可以認為，前文所述在私法關系適用的關于同意的規(guī)則，在公法關系中同樣有效。例如，關于敏感個人信息的單獨同意的規(guī)則，關于撤回同意前提下的刪除權，在公權力機關處理個人信息時，都應得到嚴格遵守。然而事實上，公權力機關在大部分情況下都不是依循“告知—同意”規(guī)則來處理個人信息，而是根據(jù)《個人信息保護法》第十三條所規(guī)定的例外情形，無須獲得個人的同意。其中，最為重要的為第三項“為履行法定職責或者法定義務所必需”和第四項“為應對突發(fā)公共衛(wèi)生事件，或者緊急情況下為保護自然人的生命健康和財產安全所必需”。

公權力機關處理個人信息時往往無須獲得個人的同意。如前文所述，個人信息除了對個人有價值之外，也具有高度的社會價值，在現(xiàn)代社會更附帶一定的社會義務。在私法關系中，個人信息的處理者和個人處于平等的法律地位，個人信息處理者在大多數(shù)情況下無法基于公共利益的需要未經個人的同意而處理個人信息。而作為公共利益的代表者，公權力機關可以基于法定職責和特殊情況下對于公共利益的自我判斷，在未經個人同意的前提下收集和處理個人信息。但這樣一來，《個人信息保護法》第三十三條的規(guī)定就會落空。事實上，由于《個人信息保護法》所構建的“告知—同意”規(guī)則在多數(shù)情況下適用于平等法律主體之間，而在公法關系中，公權力機關和個人之間的地位并不平等，因此，“告知—同意”規(guī)則在公法關系中的適用空間相當有限。例如，公權力機關基于公共利益的需要收集個人信息時，個人往往既不能進行有效同意或不同意，也不能撤回同意和要求公權力機關刪除個人信息。易言之，《個人信息保護法》的大多數(shù)條款在公法關系中并不適用。為了彌補這一缺陷，《個人信息保護法》為國家機關處理個人信息加上了特殊規(guī)定，包括：國家機關應當在法定職責范圍內處理個人信息；國家處理個人信息，原則上應當履行告知義務；國家機關處理的個人信息應當在中華人民共和國境內存儲。

公權力機關處理個人信息繞開個人同意的可能性，為個人信息保障增加了諸多變數(shù)，使得個人信息在公法領域表現(xiàn)得更為脆弱。然而，《個人信息保護法》這種“一體調整”的立法模式并不能有效限制公權力，也并不足以有效保護公民的個人信息。具體表現(xiàn)在：

一方面，《個人信息保護法》的立法模式不利于控制公權力機關的權力。雖然對公權力機關收集和處理個人信息有所規(guī)定，但本質上，該法仍然是民法的延伸。民法學者對個人信息展開了長期的討論，但不論是把個人信息看作隱私權的發(fā)展抑或信息自決權的客體，都與財產權和人格權等民事權利脫不了關系。《個人信息保護法》從總體上繼受了個人信息的此種定位，大部分條款針對的都是平等法律主體之間的私法關系，對個人信息在公法中的處理規(guī)則其實并未十分強調。理論上，與個人信息相關的權利究竟是民事權利，還是憲法層面的基本權利，都是值得考量的。不少學者認為，與個人信息相關的某些權利，例如“個人信息受保護權”“信息自決權”應當被視為憲法權利。憲法權利與民事權利具有顯著區(qū)別。憲法權利具有更高的權利位階，也應具備更高、更完善的保護機制。民事權利見于平等法律主體之間，而憲法權利所針對的主要對象是國家。在我國，憲法權利對應了國家的兩種不同義務，即“尊重”和“保障”。如果將個人信息視為一種憲法權利，則國家在個人信息方面所應承擔的義務也包括兩種：尊重是一種消極義務，它意味著國家不干涉公民對于自己個人信息的控制；保障則是一種積極義務，它意味著國家有必要創(chuàng)造條件對公民個人信息進行嚴格保護。一些學者并不承認個人信息可以作為單獨的具有科學內涵外延的憲法權利，但不可否認的是，在處理個人信息時，與私法關系中的信息處理者相比，個人信息被公權力機關不當收集和使用的可能性更高。即使不把個人信息視為憲法權利，在公法關系中，也有必要對其進行更全面的保護。當然，由于個人信息社會價值的彰顯也有賴于公權力機關主動對其進行收集和處理，公權力機關不經個人同意的信息處理行為自有其正當性所在。因此，在公法關系中，更需要審慎平衡圍繞個人信息展開的各種價值。但不論如何，個人信息的保障不能主要局限于私法之中，毋寧說，公法關系中對于個人信息的保護，才是真正意義上的“當務之急”。

另一方面，《個人信息保護法》對公權力機關的控制機制有所不足。公權力機關侵害個人信息的主要可能性，是依循法定的“無須同意”的例外情形而實現(xiàn)的。為阻止這種可能性，《個人信息保護法》設置了若干防御機制，其中最為重要的規(guī)則可概括為三個方面：第一，公權力機關處理個人信息，應當依循法定程序進行；第二，不得超出履行法定職責所必需的范圍和限度；第三，應當履行告知義務。除此之外，總則第六條可以解讀為，公權力機關在處理個人信息時應當遵循比例原則。但是，這些措施仍然存在某些缺陷，難以對公權力機關形成有效制約：

一是《個人信息保護法》雖然明確規(guī)定公權力機關在履行法定職責的背景下可以繞開個人的同意而自行處理信息，但對履行法定職責缺少必要的規(guī)制手段。所謂法定職責中的“法定”，原則上應當理解為憲法、法律和各類法規(guī)。然而，由于公權力機關繞開同意程序的行為往往具有“緊急性”，如“應對突發(fā)公共衛(wèi)生事件，或者緊急情況下”，公權力機關處理個人信息的行為就可以同時繞開“法定”這一限制性條件。也就是說，在緊急情況下，公權力機關收集個人信息的行為既不必考慮個人的同意，也不必考慮法定的職責和程序。《個人信息保護法》并未明確何為“緊急情況”。“緊急情況”不同于“緊急狀態(tài)”。緊急狀態(tài)是一個具有清晰內涵和外延的法定概念，其宣告需要經過復雜的法律程序，在現(xiàn)實生活中極難出現(xiàn)。緊急情況則不然，它既沒有特定的內涵與外延，也沒有明確的程序限制，因此是一個十分典型的“不確定法律概念”，其解釋權基本由處理個人信息的公權力機關所掌握。在這種情況下，公權力機關處理個人信息的行為很難為法律所限制。

二是雖然比例原則在憲法和行政法學理論中一再被提及，但在司法實踐中，作為一項衡量行政行為合理性的原則，比例原則很難成為司法機關監(jiān)督行政機關的有效工具?！秱€人信息保護法》重復了比例原則的基本內容，合目的性、適當性和必要性在第六條中表述得十分清楚。問題在于，何為“明確、合理的目的”，什么是“與處理目的直接相關”，如何“采取對個人權益影響最小的方式”，均缺乏必要的法律標準。行政機關在處理個人信息時，也未必對此有明確的判斷，而司法機關要么刻意回避對行政機關的行為作出不符合比例原則的判斷，要么判決行政機關“濫用職權”或“明顯不當”，但在說理上含糊不清。為避免這種情況，在規(guī)范層面，應當將大而空泛的比例原則細化為若干更具可操作性的標準。例如，行政機關不經個人同意處理個人信息時，應當在處理之前公示其信息處理行為的目的，以及其處理行為和目的之間的關聯(lián)性，并對此承擔舉證責任；行政機關應當保證所收集的個人敏感信息不被泄露，導致第三方可以從這些信息中推測個人的身份；行政機關應當說明其處理個人信息的行為會對個人產生何種影響，并承擔相應的法律責任；等等。關于此類細節(jié)問題，不少域外法律有所涉及，可資參考。

三是與私法關系中的企業(yè)等主體一樣，行政機關在處理個人信息時，是參與者的身份，但判斷行政機關的處理行為是否必要的權力通常也由行政機關自行行使，司法機關對此只能進行十分有限的制約。這種做法在我國行政法領域其實是一種普遍現(xiàn)象，但在個人信息保護領域，公權力機關處理個人信息的行為若不能得到有效控制，其后果可能十分嚴重。域外立法中多有設置數(shù)據(jù)保護機構和數(shù)據(jù)保護專員的做法，例如歐盟《一般數(shù)據(jù)保護條例》既設置了個人信息保護監(jiān)管機構（supervisory authority），也規(guī)定了數(shù)據(jù)保護專員（data protection officer），對個人信息進行全方位保護。而《個人信息保護法》未曾設置，這不能不說是一種遺憾。

四、結論

為最大限度保護公民個人信息，《個人信息保護法》確立了以“告知—同意”為核心的個人信息處理規(guī)則體系。不過，“同意”并非合法處理個人信息的唯一基礎?！秱€人信息保護法》將“取得個人之同意”作為原則進行強調，但也列舉了無須經過同意即可處理個人信息的例外情形。立法者在個人信息應當?shù)玫奖Ｗo和個人信息應當?shù)靡粤魍ㄟ@兩種價值之間進行了審慎的權衡，從而形成了圍繞同意而展開的一系列關涉?zhèn)€人信息的權利。

基于這種價值平衡策略，立法同時在私法和公法兩個領域保障個人信息權益。在私法領域，強調同意的原則性，避免信息處理者未經同意處理個人信息從而損及個人利益；在公法領域，則強調個人信息的公共屬性，更傾向于建構“無須同意”的個人信息處理規(guī)則。法律對個人信息的私法保護相對全面，但對于公權力機關收集和處理個人信息的規(guī)制則有所不足。這一方面是因為個人信息保護的基礎理論仍有所欠缺，圍繞個人信息而展開的一系列權利究竟應當如何定性仍存在較多爭議，導致《個人信息保護法》的重點在于規(guī)制私法主體的行為；另一方面，則是因為“一體調整”的立法模式難以在規(guī)制公權力方面進行足夠有深度和細節(jié)化的延伸。

《個人信息保護法》出臺之后，一些信息處理者違法處理個人信息的行為得以遏止，但公權力機關濫用職權收集、公布和使用個人信息的現(xiàn)象仍時有發(fā)生。立法不應止步于對“同意”的高度肯定，更應當對“同意”的例外進行行之有效的約束?！秱€人信息保護法》原則分明，架構齊備，所欠缺的是切實可行的制度細節(jié)，這或許有賴于相關立法和法律解釋的共同推動。