一、文章结构

二、文章要点

【本文旨在】重新审视个人信息的个人控制论的源流和内涵，寻找大数据时代个人信息保护的新的理论基础和法律实现方式，个人信息使用是否应当由个人控制是本文讨论的主题。

大数据时代最主要的特征是数据化生存，数据成为支撑这个时代发展的新资源。但是，个人信息的不正当使用可能侵害个人权益，危害人的尊严和自由，甚至带来人身和财产安全风险。因此，个人信息保护就成为大数据时代重要法律问题。

个人信息使用的个人控制论源自域外个人数据保护或隐私保护的理论支撑。个人信息的使用需要经信息主体“同意”，个人享有个人信息的使用决定权，包括是否允许他人使用、如何使用。

我国是世界上唯一一个在立法上明示个人信息收集、使用一律须经信息主体的同意从而将同意一般化的国家，而个人控制在世界范围内并没有上升为法律上的权利。

依据《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，公开个人信息致人损害的才构成侵权，仅未经同意的使用尚不足以认定为侵权。因此，在是否构成侵权尚不确定或没有定论的前提下，产生了行政和刑事责任先行的现象。

（一）个人控制论的含义：基本权利视角下的个人信息保护

尽管个人信息控制论有两个理论源头：其一，基于人的尊严保护的个人数据保护理论（欧洲）；其二，基于个人自由保护的隐私理论（美国）。但两者的结论是相同的：个人应当有权控制其个人信息的使用，以实现对个人自治（独立人格和自由意志）等基本权利的保护。这两个理论相互配合，共同影响了国际社会20世纪80年代隐私保护规则的形成，成为当今世界主流的个人信息保护（隐私保护）的理论支撑。

1、欧洲个人数据保护理论：基于人的尊严的个人自治

（1）欧盟层面

欧洲个人数据保护的逻辑是:个人数据是人的延伸，而人应当独立自主(自治)，因而个人数据亦应当由数据主体掌控，体现个人的意志。但是，不能将个人对个人数据的自决权或控制权，不能理解为个人对个人数据的全面的、绝对的支配权。个人数据保护权不能妨碍信息自由、公众知情权等基本权利。

欧洲是在基本权利或宪法权利上规范个人数据保护权的，通过宪法法院、欧洲人权法院来提供保护和救济。究其本质，个人数据保护权是一组宽泛的原则和详细的行为规范。

（2）国家层面

以德国为例，德国是最先确定“信息自决权”的，但也并没有成为一项成文法上独立的权利。

“信息自决权”反映的内容是德国基本法第1条第1项规定的一般人格权（人之尊严不可侵犯）。在著名的“人口普查案”中，德国宪法法院也没有明确表示：绝对不得限制个人信息自决权。

“个人人格的自由发展正是仰赖于社会交往，即使是那些与个人事务密切相关的个人信息，实际上也是社会生活的写照，不能排他地属于当事人所有。”因此，个人对其个人信息并没有绝对的支配权。

2、美国的信息隐私理论：基于自由的个人自治

美国法中的隐私权产生于公民基本权利，在纳入司法救济体系保护后形成普通法意义上的隐私权。

【两个理论、三个案例】

理论一：1890年，沃伦与布兰德斯在《论隐私权》中，首次提出了“隐私权”的概念，并将其定义为“个人独处的权利”。

理论二：1967年，艾伦·F.威斯汀在《隐私与自由》一书中，提出了“隐私权”的新定义，他认为隐私是“个人、群体或机构自主决定在何时以何种方式在多大程度上将有关自身的信息披露给他人的权利。由此形成个人信息控制论的源头，后人在此基础上提出“信息隐私权”（一种新型隐私权）。

案例一：Griswold v.Connecticut案，判决中明确宣布个人享有宪法性的隐私权，这项权利是对《权利法案》进行扩大解释后创设出的自由领域或边缘地带。

案例二：Roe v.Wade案，判决中宣布隐私权，包含一个女人对是否终止其妊娠的决定权。

案例三：Whalen v.Roe案，判决中主张受宪法保护的“隐私领域”包括了两类不同的利益:第一类，作出某些重要决定的独立性；第二类，防止披露个人事务中所体现出的个人利益。

自此信息隐私权（信息隐私的宪法权利）从理论层面落实到司法实践。信息隐私权作为具有法律效力的私人权利，用来保护个人信息处理与流通领域中的个人隐私。同时，信息隐私权是当事人个人信息上相关权利被侵犯时起诉侵权主体的一项合法依据。

【隐私控制论】

在美国信息隐私的主导范式是隐私控制论，即对个人信息的控制权。隐私控制是自由自治原则的产物，该原则置个人于个人信息使用的核心位置。信息自治有两层含义：其一，个人有能力创设自己的身份（identity）并借此定义自己。其二，自治意味着对自己的事务作出决定，特别是重要的事务，同时，隐私控制论还有利于鼓励个人信息的商品化，即财产化和合同化，将个人信息转化为财产并允许人们对此进行交易、签署有约束力的转让合同。

隐私控制论被学者（尤其法经济学者）演绎成为一个宽泛的财产权，并被置于个人自治之中。但是，隐私控制论并没有成为现实。为何隐私控制论没有成为现实可以从以下两个方面阐明：其一，美国的隐私保护依赖普通法救济，这种救济本质上是以个人利益（包括自由）受到侵害为前提。从当事人角度，要证明他人未经其同意利用其信息给其造成损害是相当困难的事情；从法院角度，在判断是否侵犯隐私时需要依据法律(包括制定法和判例)和常识，在具体情形中作出具体判断，并且隐私权保护仍然受到信息自由等宪法原则制约。其二，美国联邦层面制定的有关个人信息保护的特别立法不仅没有将个人控制一般化，而且严格限制个人同意（尤其是收集使用前同意）的范围。

【个人信息控制理论】

个人信息控制理论肇始于美国，成为美国个人信息保护的理论基础。但是，在美国个人对个人信息的控制也不是一项绝对权，对于美国个人信息的自由流动也未造成实质上的影响。美国仍然是世界上个人信息保护相对宽松的国家。隐私的财产(经济)价值为个人信息控制理论提供了论证基础。

（二）个人信息的非个人控制性：个人信息的公共属性

1、个人信息的识别功能

个人信息是指可识别具体个人（仅指自然人）的信息。作为识别的手段，个人信息是个人标识自己的工具，也是他人识别特定个人的工具。标识自己是个人(数据主体)主动利用个人信息的过程，也是向社会提供个人信息的过程。识别个人是由社会主体对来源于个人的数据使用的过程。

社会中存在两类识别。第一类，识别个体的身份，用来表示“你是谁”，最直接表示一个人身份的就是姓名及与姓名直接对应的身份标识。识别一个人的身份既可以是通过姓名和身份证等唯一标识符，也可以借助一些个人属性信息识别到具体个人。第二类，个体的个性特征。例如，基于网络用户的行为记录形成的“用户画像”。

大数据技术背景下，一切能够关联到某个人的或了解某人个性特征的数据都可以归入个人信息的范畴，各种信息可以通过关联、联系、结合识别出具体的个人（间接识别），并且结合的信息越多，识别的结果就越准确、越全面。

2、个人信息的公共性

个人信息保护所面临的核心问题是：可识别个人的数据是否归属于个人或者由个人控制？社会主体是否必须经过个人的同意才能对其进行识别？  对此作者认为，个人信息本身只是一种可以识别某个人的事实或记录，并不当然地让个人拥有或控制个人信息。

个人最多可以控制的是信息不与个人产生联系或产生怎样的联系，但不能控制信息本身。网络、传感器等记录的与个人有关的活动、浏览记录，只是与特定个人产生了联系从而赋予该信息某种含义，而这不足以使该个人对该记录信息拥有排他支配权。

法律不能赋予某个主体对信息的专有权的原因是：信息（数据）之上承载着人类文化传承和社会运行发展的公共元素。

3、个人信息保护的社会决定性

保护个人信赖或交易安全的角度看，社会不应当赋予个人控制自己的个人信息的绝对权，或者说法律不应当作出非经本人同意就不能获取其个人信息的规定。

只要某人参加社会活动，其必然进入到具体社会关系之中，那么法律就应当保护公众的  “识别权”，以确保社会交往的安全。如若放任或鼓励某人在进行社会交往时隐藏身份或个人信息，无疑会妨碍合作甚至鼓励人们从事不负责任的社会行为。

除了姓名、照片、体征、生物信息等个人信息外，大多数个人信息是人们社会活动和行为的结果。这些个人信息一旦被记录下来，将成为社会成员可以获取和利用的数据资源。

以上的信息资源是否要经个人同意才能为社会成员使用？一个社会是否承认我们每个人都需要客观、公正、准确地识别社会中的个体？对此作者认为：个人的确希望更多的  “隐私”，有时甚至会刻意隐藏、掩饰或美化自己，但从社会公众的角度，也应当保护社会公众  （尤其是与之打交道的人）的“识别权”。

（三）个人信息保护模式的转型:  社会控制论的提出

【个人本位的不足（弊端）】

第一，个人信息控制论极易导致个人信息的私权化。个人信息的工具属性决定了它不能成为私人控制的客体，它只能处于公共领域为人所使用。个人信息（权）被作为一种具体的人格权也是以此为基础的。实际上，欧美法律并没有将个人对个人信息的控制上升为一种绝对的私权，但基本权利意义上的“控制”极易被私法化为一种私人权利，演绎成个人信息支配权。

第二，个人信息控制论导致了个人决定个人信息的使用。人既然是一种社会存在，个人信息的使用就应该由社会决定。个人信息控制论的结果是导致个人信息的使用由个人决定，从而使个人意志阻碍个人信息的使用。

第三，个人信息控制论的社会基础不复存在。个人信息控制论建立在互联网尚未普及的时代，该理论解决的主要问题是：个人提供给政府、企业的个人信息可能被用于其他目的，而这种滥用可能危害个人尊严或自由。因而需要给予个人知情、访问、更正甚至删除等权利。但是，信息通信技术的急速发展已经改变了个人信息控制论所依存的社会基础，个人控制不再具有现实性，并且个人力量已经不能维护个人尊严和自由。

【社会控制论之下个人信息保护将产生的转变】

第一，个人信息的使用由社会习惯或法律确定，而不是由个人意志决定。个人信息的社会控制旨在否定个人对于个人信息的绝对的、普遍的控制，特别是否定将个人控制上升为私人控制权。具体而言，在个人信息的收集和使用环节，应当建立“以一般允许为原则，以个人控制（同意决定）为例外”的个人信息使用规则；对于个人信息中的敏感信息仍然需要个人同意，使信息主体可以控制个人敏感信息的收集和使用。

第二，保护个人信息的责任主体由以个人为主转向以社会为主。当下个人同意越来越不能有效地控制个人信息的走向，同意只是流于形式和成为数据控制者处理数据的合规手段。

第三，法律规范的重心应从收集行为转向使用行为。除非个人信息一经使用即会给个人带来人身或财产上危害，否则应当将规范重点放置于如何安全使用，减少使用给个人带来不必要的风险。

【预测：美国率先实现】

美国对信息隐私主要采取司法救济的模式，由法院最终确定哪些行为构成侵犯隐私权，所以美国的信息隐私保护始终保持规则的灵活性，因此代表社会控制的隐私理论研究成果能够随时被法院审判所吸收。可以预见，个人信息的社会控制论将首先在美国成为现实。