首先，将个人信息保护法视为民法的特别法，明显会使编纂民法典这一体系化立法的意义受到直接冲击。

笔者认为，这种观点值得商榷。作者：周汉华，中国社会科学院法学研究所副所长、研究员。

要么是在特殊情境中，产生不必要的法律争议。1980年，由发达国家组成的经合组织通过《隐私保护和个人数据跨境流动指南》，确定了8项原则：（1）收集限制原则。这样一来，究竟是个人信息还是个人信息权，不但室内稿与《民法总则》规定不一致，室内稿本身前后也不一致。民法典是基本法，将由全国人大通过，而个人信息保护法属于一般法律，将由全国人大常委会通过。如果个人对自己的信息不享有权利，何来这些具体权项？在《民法典（草案）》中，个人对自己信息的控制能力远远大于隐私权仅仅限于被侵犯后的事后救济，将隐私权界定为权利而将个人信息界定为权益，法理依据显然不足。

由于不同国家法律文化的差别，个人数据保护制度产生之初，往往与传统的隐私保护制度相互交织，两个概念也相互混用，容易产生不同的认识。通过权项的类型化处理，使个人信息控制权既能发挥作用，又不至于脱离国情，影响数据的自由流动。对于这样一种关系，赋予个体以对抗性的信息权利，很难对个人信息形成有效保护，也难以对信息收集者与处理者施加应尽的义务，提供信息收集和使用的有效空间。

无论是何种权利，都将从根本上破坏国家的执法能力。[41]正如我国《民法典人格权编(草案)》所规定的：个人信息中的私密信息，同时适用隐私权保护的有关规定。更为重要的原因是，公权力机构在执法过程中和个体形成的关系，并不存在持续性的信息关系。以访问权为例，当个人行使访问权获取个人信息，此时个人很可能就获取了第三方的信息。

因为此类权利有利于个人通过访问和纠正个人信息而保护自身的人格，也有利于个人防范相关风险，同时给自己带来相关便利。当我们谈论一般性权利，例如财产权、人身权甚至隐私权，这些权利即使有争议，也大致有一个共识性的范围。

[9]参见张里安、韩旭至：大数据时代下个人信息权的私法属性，《法学论坛》2016年第3期，第119-129页。传统侵权隐私所包含的法益，仍然是个人信息权利保护的共识与起点。[3]参见丁晓东：个人信息的双重属性与行为主义规制，《法学家》2020年第1期，第64-76页。三、侵权隐私、执法隐私与信息隐私 个人信息权利保护为何只能针对信息不平等关系中的专业或商业信息收集者与处理者？回答这一问题，我们可以以侵权隐私、执法隐私与信息隐私的法律框架进行进一步分析，通过这三种法律框架的区分，我们可以更深入理解个人信息权利保护适用范围限定的原因，同时理解隐私与个人信息权利保护的整体图景。

例如就个人信息权是否成立的问题，有的学者主张个人信息可以成为一种权利。但尼森鲍姆也指出，公私领域的划分只是场景分类的一种。如果将个人信息权利保护制度适用于侵权隐私或执法隐私，那将误解个人信息权利保护的前提性问题，造成法律适用上的混淆。最后以个人信息的行政法保护为例，个人信息权利保护也区别于一般行政规制中所采取的普遍规制的立场。

但在实际执法中，这些权利的边界仍然处于待定状态，仍然需要欧盟数据保护委员会(European Data ProtectionBoard)等机构提供场景化的指引，特别是需要执法案例与司法案例来最终确定各类权利的边界。第一，不同国家和地区的法律都表明了这一点。

无论是欧洲、美国还是国际组织的个人信息权利保护制度，都排除了纯粹个人或家庭活动中的个人信息收集与处理，也排除了执法过程中的信息收集与处理。参见杨芳：我国个人信息保护法适用范围之思考——隐私权救济困境下的个人信息保护法，《社会科学家》2016年第10期，第112-115页。

对于这种一次性的侵入，法律一般根据侵入的合理性来判断是否违法。在本文看来，这一问题仍然讨论不足。[11]学者们的共识是：传统的隐私权已经不足以保护公民的合法权益，法律需要从隐私权保护转向个人信息权利或权益的保护。个人信息的收集者与处理者介于公权力与私主体之间，与个人之间形成了一种不平等的持续性法律关系，这种关系既不同于平等主体之间的民事法律关系，也不同于个人与国家公权力之间形成的关系。[47] 需要指出的是，相比起防御性的隐私权利，个人针对信息收集者与处理者的信息自决权更具争议性。《加州消费者隐私法》将受管辖的企业范围限定在年收入超过2500万美元，或者为了商业目的而接受50000条以上个人信息或者年收入的50%及以上为销售消费者个人信息所得的公司。

[2]还有的学者则主张一种个人信息被保护权或个人信息相关权益被保护权，认为个人信息是一种保护相关权益的工具。这一点最为明显的是针对谷歌、百度等搜索引擎和网站的纠正权和被遗忘权。

即使在不同的场景中，这些权利的范围也大致确定。(B)为商业目的，每年单独或合并购买、接收、出售或共享50000条或更多消费者、家庭或设备的个人信息。

无论是双边市场中所强调的平台的媒介功能，[56]还是长尾理论所强调的平台的去中心化功能，[57]都依赖于平台对于市场经济主体的相关信息进行合理收集和利用。(f)处理对于控制者或第三方所追求的正当利益是必要的，这不包括需要通过个人数据保护以实现数据主体的优先性利益或基本权利与自由，特别是儿童的优先性利益或基本权利与自由。

[17]其次，《一般数据保护条例》还将有关主管部门为预防、调查、侦查、起诉刑事犯罪、执行刑事处罚、防范及预防公共安全威胁而进行的个人数据处理排除在外，[18]此类个人数据或个人信息的收集与处理也受法律规制，但其规制方式与《一般数据保护条例》以及通行的个人信息权利保护制度有很大区别。[36]对于传统侵权法保护现代社会个人信息的有限性，See Diane L. Zimmerman,Requiem for a Heavyweight: A Farewell to Warren and Brandeiss Privacy Tort，Cornell Law Review，Vol.68,1983，p.362; James Q. Whitman,The Two Western Cultures of Privacy: Dignity Versus Liberty，Yale Law J our-nal，Vol.113,2004, p.1151; Daniel J. Solove, The Digital Person: Technology and Privacy in the Information, New York: New York University Press,2006, pp.47一55. [37]当然这并不是说侵权法框架就无法对个人信息进行保护，传统侵权法经过改造，例如降低立案标准、倒置举证责任、降低证明标准、提高赔偿责任、设立公益诉讼，都可能使侵权法发挥更大作用。本文从个人信息权利保护的适用前提切入，指出全球通行的个人信息权利保护制度只能适用于具有持续性信息不平等的关系，个人信息权利只能针对商业性或专业性收集个人信息的主体。[64]例如，脸部识别信息在线下场景的信息收集中，可能是非敏感信息甚至是公开信息，但在线上场景，此类信息就可能成为敏感信息。

[30]在这个意义上，可以说个人信息权利保护中的相关权利既非传统民法权利，也非传统宪法权利。高富平：个人信息使用的合法性基础——数据上利益分析视角，《比较法研究》2019年第2期，第72-85页。

[59]对于公众的知情权而言，这种删除权的任意行使会造成信息的真空，甚至造成信息的失真。就这一点而言，个人信息权利保护法的行政法框架其实非常具有弹性。

2020年，全国人大常委会将制定《个人信息保护法》，可以预见在不久的将来，就会有专门的《个人信息保护法》出台。就此而言，个人信息权利中的反对用户画像与自动化处理权等权利，如果上升为一种适用于所有场景的绝对性权利，未必有利于市场机制的正常运转。

个人信息的保密关系法保护具有同样的特点，也强调在具体场景与信息关系中确定个人信息权利的边界，而非事先确定个人信息的权利边界，然后再将其应用在具体场景中。全球通行的个人信息权利保护的制度框架起源于公平信息实践(fair information practices)原则，这一原则给个体赋予了一系列信息权利，给信息收集者与处理者施加了一系列义务。因为法治的基本原则恰巧要求普遍性的规则之治，[71]要求脱离人为关系来设计规则。此外，很多场景下的个人信息收集与流通其实具有公共功能，允许个人对于个人信息行使纠正权、删除权等功能，会极大地妨碍个人信息的合理流通与公众的知情权。

未经他人同意公开私人事实(disclosure of private facts)。例如《一般数据保护条例》已经对知情权和选择权规定了同意之外其他合法处理个人信息的机制。

但无论是个人信息权利保护中的知情权、选择权、纠正权、删除权，还是被遗忘权和携带权，都属于特定信息关系中的新型权利。但信息控制权只能针对信息收集者与处理者，而且此类权利面临更多争议。

众所周知，沃伦(Smauel Warren)与布兰代斯(Louis Brandeis)于1890年发表了《隐私权》，提出了隐私权的概念。就此类关系的法律性质而言，此类关系更类似于劳动法与消费者保护法等社会法的关系。