北京9月7日电 数据是新时代一种社会化程度极高的新型生产要素。党的二十届四中全会提出要加强个人信息保护，全面实施“人工智能+”行动，深化对数据资源的开发利用。《民法典》和《个人信息保护法》是个人信息保护法律体系的核心与基础，信息保护法和“数据二十条”是数据来源者合法权益的法源，《宪法》为个人数据确权和数据合理利用提供根本法支撑，应从《宪法》基本权利的高度规范个人信息被遗忘权。要加强对“已公开个人信息”的法律保护，彰显对数据新型知识产权的法律保护，侵犯公民个人信息必须承担法律责任。未来要把个人数据财产权益纳入可执行财产保护范围，对侵害信息技术类知识产权实施惩罚性赔偿，对生成式人工智能处理个人信息实施刑法规制。由中共河北省委政法委员会主管、河北省政法职业学院、河北省法学会主办的中国中文核心期刊、中国人文社会科学核心期刊、CSSCI扩展版来源期刊《河北法学》杂志，2026年第8期首篇推出宋才发教授论文《个人信息多重保护的法律规制研究》。《河北法学》杂志主编马章民。

标准参考文献：宋才发.个人信息多重保护的法律规制研究[J].河北法学,2026(8):2-19.

宋才发教授系中央民族大学法学院首任院长、二级教授，湖北省有突出贡献专家、国务院政府特殊津贴专家、国家民委首届有突出贡献专家。广西民族大学特聘“相思湖讲席教授”、博士生导师；贵州民族大学特聘教授、民族法学学科团队领衔人；内蒙古财经大学特聘教授。

个人信息多重保护的法律规制研究

宋才发

数据是新时代一种社会化程度极高的新型生产要素。党的二十届四中全会，把以新发展理念引领发展，因地制宜发展新质生产力，作为“十五五”时期经济社会发展必须遵循的一项原则；把高质量发展取得显著成效，全要素生产率稳步提升，列为“十五五”时期经济社会发展的首要目标。党的二十届四中全会提出，要深化对网络空间安全的综合治理，加强对公民个人信息保护，全面实施“人工智能+”行动，构建“开放共享安全的全国一体化数据市场，深化数据资源开发利用”。为在保护“个人信息权益”的同时，促进个人信息合理利用，“国家网信办”关于互联网应用程序个人信息收集使用规定，自2026年1月起向社会公开广泛征求意见。要求互联网平台和应用程序开发商，在向社会和第三方提供个人信息服务之前，必须向用户告知个人信息收集使用规则并取得个人信息所有者的单独同意。

一、个人信息保护法律规制诠释

（一）民法典和个人信息保护法是个人信息保护法律体系的核心与基础

通过规制正当个人信息使用规则实现个人权益保护与行为自由之间的平衡。在推进数字经济和互联网平台双向发展的实践中，千万不能把“个人数据权”混同于“个人信息权”。尽管“个人数据权”与“个人信息权”在指称“个人数据”上的重合度比较高，但是它们终究是两个性质和来源完全不一样的数据。具体地说，“个人信息”对于信息主体来说，它具有明确的“财产权”价值，个人信息权就是典型的民事权利。而“个人数据”对于数据主体来说，数据主体看重的并不是数据本身所藴含的财产价值，只是因为它与数据主体有着须臾不可分离的关系，因而“个人数据权”不是财产权，而是人格权。个人信息兼具个体属性与公共属性，《宪法》的“基本权利”框架，为容纳个人信息权利提供了可能的限度，有鉴于个人信息保护的客体与通信权、隐私权等《宪法》既有基本权利的差异，有必要把个人信息权利理解为“人格尊严”项下的“新型权利”。假如笼统地把“个人信息权利”，归入《宪法》第三十八条规制的“人格尊严权”条款，则忽略了数字时代个人信息保护背后所折射的具体人格权益。在大数据时代，“信息主体”与“数据主体”两者之间的关系，为事实上的民事法律关系，没有经过数据主体的授权抑或明确同意，信息主体不得私自搜集、处理、利用和传输其个人数据。《中华人民共和国民法典》（以下简称为《民法典》）第一百一十一条和第一千零三十四条，这两个法条同时规定“自然人的个人信息受法律保护”。在《民法典》基础上建立起来的《中华人民共和国个人信息保护法》（以下简称为《个人信息保护法》），第二条明确规定：“自然人的个人信息受法律保护，任何组织、个人不得侵害自然人的个人信息权益。”从一定意义上说，《民法典》本质上是个人信息保护的宪法性基础，《个人信息保护法》则是其具体实施和实际操作的行动指南，它们共同构成了个人信息保护法律体系的核心与基础。《个人信息保护法》作为保护公民个人信息权利的基本法，通过第四十四条明确了“信息自决”的立法价值。“信息自决”是指公民个人能够对自身信息产生控制力并决定其如何使用的决断能力。但是客观现实中的“控制力”，并不能等同于“控制权”。因为通常在大多数情况下，个人信息往往处于脱离主体控制的游离状态，需要有专门法律设计的特殊规则对其实施规范和保护。个人信息相关权利在公法和私法领域里各有侧重，譬如，在私法领域里个人信息可以从“受法律保护的利益”升华为“权利”。升格为“基本权利”的个人信息，具有主观权利方面的“防御权功能”和“受益权功能”，以及客观权利方面的客观“价值秩序功能”。公民的“基本权利”可以构成私法领域的“特定法益”，即通过立法活动使公民获得私法规范对基本权利的法律保护。

（二）信息保护法和“数据二十条”是数据来源者合法权益的法源

我国私法领域的个人信息法律规范尚未形成体系化的样态。中共中央、国务院“数据二十条”第二部分第七款，提出要充分保护“数据来源者”的合法权益，保障数据来源者享有获取或复制转移由其促成产生数据的权益。在“数据二十条”提出“数据来源者权利”之前，我国法律并没有认可所有者对附属在其动产、不动产上的数据来源者权利，法律对数据来源者的保护只限于个别特定的情形，如当数据来源者对其数据进行创造性利用抑或大规模收集的时候，法律才对满足相应条件的数据实施信息保护措施。法律之所以拒绝对数据来源者赋予一般性保护权利，这是因为数据本身具有非排他性、非竞争性、非消耗性等特征，一般多位于公共领域。如果赋予数据来源者对其数据的排他性权利，可能不利于数据的共享流通，违背新时代数据的公平合理使用原则。为避免在个人信息法律保护体系的目标设定上出现认知偏差，我国把个人信息法律保护体系的基本目标，界定为通过保障个体的匿名性存在而确保“私域”与“公域”之间的界分，以利于网络平台与数据技术的推广与应用，进而创造和生成一种新的社会秩序。为使通过保障个体的匿名性存在而确保“私域”与“公域”之间界分落地见效，未来需要在法律归责机制的构建上，遵循如下三个基本理念：一是考虑风险分配与归责机制的构建，把归责机制的构建与对私域自主的维护，提升到重构合理的政治与社会秩序的高度；二是把决策者与风险制造者都纳入归责主体的范围内，对各方主体如何分担风险，进行整体性的思考并做出相应的制度安排；三是对个人信息予以分类，对属于敏感信息的个人信息进行赋权，作为基本权利来对待，以此对抗公权力的滥用与来自社会领域的压制。为保护数据来源者的合法权益，当下和未来需要界定和明晰数据来源者、数据处理者、数据生产者三者之间的关系，厘清它们在数据权益体系中的法定位置。

（三）《宪法》为个人数据确权和数据合理利用提供根本法支撑

《中华人民共和国宪法》（以下简称为《宪法》）为个人数据确权提供根本法保障。个人数据包括“个人信息数据”与“非个人信息数据”两个类型，数据持有者不能基于劳动赋权论证成对个人数据的所有权。但是个人信息数据的收益权，却可以通过经济利益外的人格利益加以证成；非个人信息数据的收益权，也可以结合个人经济利益与数据流通的方式证成。数据是信息的关键载体，公民个人对个人数据享有的是“个人信息权益”。个人信息权益属于民事权益中的“人格权益”而非权益的集合，个人在个人信息处理活动中的权利，则属于个人信息权益的基本权能。“个人信息权益”保护的核心利益是精神利益，公民个人可以许可他人对其个人信息数据，进行商业化利用而获得相应的经济利益。与此相对应的企业，对企业数据享有的是数据财产权。个人不仅可以同意数据处理者处理个人信息，还可以授权他人抑或数据企业对其个人数据进行商业化开发利用。在“企业数据”与“公共数据”中，既有个人数据，也有非个人数据，公民个人数据是极为重要的一类数据类型。类型化是明确概念外延的方法之一，把特定的对象归入典型类型，有助于明确概念的外延，并推进个人数据权利的体系化。个人数据作为新时代新阶段的新型生产要素，已从静态的隐私载体，逐渐演变为流动的核心生产要素与社会治理基础资源，是数字化、网络化、智能化的基础，深刻地改变着生产方式、生活方式和社会治理方式。生产要素直接反映着人类社会不同发展阶段的生产力水平状况，具有变革传统生产方式、催生新产业、新业态的功能，是驱动经济社会发展的关键生产要素。随着个人数据作为“关键生产要素”价值得到社会普遍认同，国家层面密集出台相关政策，明确提出建设数据可信流通体系和可信数据空间。数据空间作为技术、法律与治理相结合的数据重用制度方案，正逐渐成为支撑数据要素流通的关键基础设施。构建以“高质量数据集”为基础的可信数据空间，是全面释放数据要素价值、培育和发展新质生产力的必然要求。如何界定数据权属、确立数据的所有权和合理使用权，愈来愈引起人们和社会广泛而高度地关注。自中共中央、国务院在“数据二十条”里提出“数据流通各环节产权制度”以来，数据确权已不再追问某个特定的所有权主体，确权政策开始直面流通数据的真实状态及其属性，逐步形成具有中国特色的数据产权制度体系。

“数据二十条”里所说的“数据产权”属于“财产权”。个人信息是受《个人信息保护法》保护的个人权益，因之产生了“个人信息权益保护规则”与“标识性人格权保护规则”。来源于公民个人信息的数据，在其实现“完全匿名化”之前，它始终裹挟着信息权利人的“人格权”。“人格权”属于《民法典》规制的“绝对权”。依据《民法典》对“绝对权”的规范和诠释，在个人数据发生流转抑或被利用的整个过程中，信息权利人始终具有对数据利用行为提出约束性主张的权利，这就使得数据利用者不可能实现对数据完全匿名化的处理。在以新发展理念引领数字经济运行的过程中，国家数据运营中心和企业数据运营机构，对公民个人信息数据加工利用的主要目的，是为了向社会提供更多、更好满足消费者需求的服务和产品。只有当政府机关能够积极汇集公共数据资源并向社会公众开放的时候，才能实现对数据资源更广泛、更有效地利用。数据利用者会因之进一步扩大收集个人数据的范围和力度，这种发展趋势也使得个人信息权益可能出现被泛化的倾向。一旦个人信息权益被泛化，就必然引发权利内涵的模糊化与权利保护的稀薄化。个人数据确权面对不同部门法之间的价值碰撞，不只是限于民法与经济法之间，即使正在建设中的全国一体化数据市场，也会遭遇到各级各类政府机关的利益冲突和挑战，这无疑对《宪法》规范体系提出了更高更新的要求，需要探寻一条从《宪法》视角出发的数据确权方案路径。现行《宪法》第三十三条第三款规定，“国家尊重和保障人权。”第三十八条又规定，“中华人民共和国公民的人格尊严不受侵犯。”在个人数据上存在着的作为“人格权益”的个人信息权益以及隐私权，是对《宪法》规制的“人格尊严”“人身自由”的贯彻。这即是说，无论国家数据运营中心抑或企业数据运营机构，都必须义无反顾地防止侵犯数据权利人的人权、损害人格尊严。然而，当公民个人的信息数据被充分流通与利用，对促进数字经济发展、提高人民生活水平发挥重要作用的时候，数据权利人需要遵循《宪法》第十四条第一款“国家通过提高劳动者的积极性和技术水平，推广先进的科学技术”的规定做出主动让步，不得阻碍数据流通充分利用的数据确权方案。

（四）从《宪法》基本权利的高度规范个人信息被遗忘权

大数据时代数字化生存方式使个人数据权利受到前所未有的重视。人们在享受大数据带来需求满足和便利的同时，因各种数据库通过强大的网络技术实现无间隙对接，促使信息主体成为透明的、无隐私的数据化个体。使得“个人信息被遗忘权”，直接同人的尊严与生存紧密相连，再也不能把它仅仅视为一种普通的法律权利，必须从《宪法》基本权利的高度来认识和规范“个人信息被遗忘权”，从而加强对个人信息权的多重法律保护。遗憾的是至今还没有建立起《宪法》基本权利保护的立法模式，即“平衡个人信息权利与国家公权力机关搜集、使用个人信息间的法权结构”的个人信息保护立法模式。大数据时代的“个人信息被遗忘权”，起源和发端于传统的“遗忘权”。伴随互联网、大数据、搜索便捷等网络存储技术的快速发展，传统“遗忘权”的有限主体范围，已经无法保护信息主体的个人信息权利，事实上突破了信息主体对个人信息的有效掌控。基于大数据时代个人信息权多重保护的需要，“个人信息被遗忘权”便应运而生。2014年欧盟的“冈萨雷斯诉谷歌被遗忘权案”，是世界上首例“个人信息被遗忘权”案件。欧盟《一般数据保护条例》第十七条，首次明确地规定了被遗忘权条款。“被遗忘权”的基本内涵是：当数据处理存在客观地与其被收集的目的不相关、数据主体同意撤回、存储期限已过、被不合法处理等情形，以及数据主体行使法定的“拒绝权”的情形下，数据主体有权从信息控制者那里删除与其个人相关的信息，并有从第三方处删除与这些信息相关的链接、复制、复制品的权利。我国把“个人信息被遗忘权”定义为：公民依法享有对个人信息控制与支配的权利，即可以把“已经合法公开”的个人信息，从所处的公共空间领域里撤离出来，使其回归到隐私空间里。在我国与“被遗忘权”相近的概念是“删除权”，《民法典》第一千零三十七条第二款规定，自然人在信息处理者违法或者违反双方约定的情况下，“有权请求信息处理者及时删除”。这条规定意味着我国设立“被遗忘权”，是一种民事权利保护的模式。实事求是地说，设立《宪法》“基本权利的保护”模式，或许更有利于体系性保护公民的被遗忘权。因为确立“被遗忘权”是一项《宪法》基本权利，既能系统厘清“被遗忘权”的权利属性，又能全面保护公民的个人信息权。自2021年11月1日起施行《个人信息保护法》，第四十七条在《民法典》的基础上，进一步规制了“个人信息被遗忘权”（删除权）的五种具体情形，表明“个人信息被遗忘权”在我国已经获得了法定权利的内涵，有依法获得法律保护的价值与利益。

（五）人权保护范式从“代际人权”向“领域人权”的转型

数字技术的便利、快捷和高效在公共服务领域开辟了广阔的应用前景。尽管如此，但信息数据披露的强制性与敏感性，可能引发隐私风险等意料不到情况的发生，迫切需要构建分类保护的法律规则。譬如，在个人权利维度上，敏感个人信息数据通常具有高度的隐私性，需要通过私权保护措施防范个体权益遭受损失；在公共服务维度上，敏感个人信息数据迅速汇集后立马具有公共物品的属性，可能会因之而影响到社会公共利益与公共安全。因而在公共服务领域采纳个人数字化处理技术之前，立法、执法、司法机关应当展开一系列前置性风险评估，确保个人信息数字化服务更好地实现公共福祉。《个人信息保护法》的私权保护功能，主要是通过个体控制机制与私人诉讼制度实现并达到其目的。尤其要通过界分《个人信息保护法》的“过错推定原则”与《民法典》隐私权侵权的一般“过错原则”，避免个人信息在算法决策的过程中遭到滥用，依法阐明个人信息“权利束”保护之诉的必要性和可行性。与此同时，为了维护数据资源的合理开发利用和社会公共利益不受损，《数据二十条》就建立数据产权制度等基础制度提出全面、系统的规范意见，强调在数据产权制度建立的过程中，核心问题是要“建立健全个人信息数据确权授权机制”。《数据二十条》第六条把“个人数据授权”区分为两类：第一类是“个人授权”，即个人授权数据处理者按照授权的范围合法处理个人数据；第二类是“法定授权”，即对特定的个人数据依法依规授权有关单位使用。在这里“个人信息权益”是个人数据授权的前提和基础，一般通过个人数据许可使用合同进行授权。数字时代人工智能技术在推动传统社会形态结构性变革的同时，通常也会连锁地引发人权保护范式的现代转型。当信息权利发展嬗变并进化到成熟阶段，信息数据权利便跃升为一种“新兴人权”，有学者认为它有可能成为“第四代人权”。“数字人权”概念把个人信息被保护的权利，上升到了《宪法》“基本权利”的高度。《个人信息保护法》拓展了个人在信息处理活动中的权利，赋予个体以知情权、决定权等一系列个人信息权利，“为了保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用”，《个人信息保护法》在第一条还说了一句归总的话“根据宪法，制定本法”。未来要以防范数字人权侵害的领域性风险问题为导向，明确数字人权的保护范围和保护路径，在保护方式上发挥领域法的整合性保护作用，以期推动中国特色领域人权知识体系的构建，达到有效应对数字技术对个人信息尤其是数字人权的全域性冲击。尽管我国已建立起以《个人信息保护法》为主体的个人数据保护体系，但是仍然适应不了从“代际人权”向“领域人权”转型发展的需要。因为个人数据不只是关乎数据所有者个体的权益，更在乎群体层面衍生出来的相关利益形态；数据处理者也不再只是寻求具体个人偏好，而是在群体层面开展数据分析，所致影响也发生在群体层面，群体数据利益及其保护问题已经浮出水面。即使《个人信息保护法》也未涉及到群体的利益问题，因为当时的情况还没有发展到需要立法规制的程度。这种因数据关联性衍生出的利益侵害，正在侵蚀传统个人赋权型治理框架的正当性基础，限于“群体数据利益”的法律定位尚未明确，相关法律对群体数据利益保护事实上存在诸多空白之处。加之群体数据利益保护的监管机制不完善不健全，群体数据利益的保护缺乏具体操作规范与标准，导致群体数据利益在遭受不法侵害时，影响了个人信息权利人获得及时、有效的救济。

二、个人信息多重保护的法律规范

（一）加强对“已公开个人信息”的法律保护

个人数据合理开放、流通利用、要素市场培育日益成为社会关注的热点。只有确保海量的、高质量的个人数据合法地进入要素市场，才有条件推动个人数据从“工具属性”转向“关键生产要素属性”。当个人信息成为“个人已公开信息数据”的时候，尤其是当它成为数据要素市场的重要组成部分之后，一方面为互联网平台进行新技术、新业态的创新发展提供了便利条件；另一方面由于处置不当也引发了诸多社会乃至法律纠纷，有的甚至严重地侵害了当事人的隐私权和个人信息权益。《民法典》第一千零三十六条在“处理个人信息免责事由”的第二项中，首次规制对“已公开个人信息”的处置规则：即信息处理者处置自然人“自行公开”抑或“已经合法公开”的信息可以免责。“但是该自然人明确拒绝”的，信息处理者处理其“已经合法公开”的信息，依然需要获得个人信息所有者的明确同意才行。尽管《个人信息保护法》第十三条的规定，确实为信息处理者合理处置个人“自行公开”抑或“合法公开”的个人信息提供了法律依据。即符合《个人信息保护法》第十三条“第二项至第七项规定情形的，不需取得个人同意”。然而《个人信息保护法》第十条已经明确规定，未经信息权利人的明确授权，任何网络平台机构和数据开发商，都“不得非法买卖、提供或者公开他人个人信息”。可以说《民法典》和《个人信息保护法》的上述规定，为公民个人信息安全确立了基本的法律底线。人的“尊严”和“自主”是证成个人信息权的内在根据，“自我呈现”则是个人信息保护的规范目标。“自我呈现”的需要内嵌于个人的意识结构中，既是“人之为人”的本质特征，也是确保自我人格尊严不被贬损的关键机制。在这里“个人信息确权”是确立个人信息权法律地位、保护个人“自我呈现”目标的需要，它能够纾解信息化时代个人遭遇“自我呈现”的困境，也会影响到法官在处理个案纠纷时的立场选择。新时代个人信息权多重保护制度的顶层设计，应当以保护个人“自我呈现”为焦点，把法律规定的各项程序性个人信息权利，“收敛”成一个有机整体，形成一个以“个人信息权”为主干的、严密的权利保护体系。“个人隐私”本身并非单一且纯粹的价值，而是多种价值派生出来的复合体，在“保护个人隐私”与“保护个人信息”之间并没有根本性的利害冲突。与“个人隐私”紧密相连的“敏感个人信息”，是个人信息分类分级保护制度的重要部分。但是当下对“敏感个人信息”的保护，存在范畴界定不确定、保护方式不尽合理等问题。有学者认为在立法层面，对“敏感个人信息制度”予以重构暂无必要。建议在法律解释与适用层面，重构敏感个人信息的界定和保护方式，以实现法律规定与实践的匹配。“敏感个人信息”和“个人隐私”是构成完整个人信息的组成部分，因而有理由把《个人信息保护法》理解为保护“敏感个人信息”和“个人隐私权”的法律。或许正是由于“隐私”这个独特的重要价值存在，法律才单独赋予“保护个人信息”的终极理由。

（二）彰显对数据新型知识产权的法律保护

数据知识产权赋权的实质是在数据上创设一种新型知识产权。由“数智技术”塑造和建立起来的数字空间，愈来愈成为个体获取信息的重要场域。随着智能时代的到来，“数据爬取”成为获取用户数据资源的一种重要的手段，它对促进企业数据正当竞争和合法利用发挥了重要的促进作用。“数据爬取”行为具有竞争中性的属性，当下对“数据爬取”行为的治理，主要是依靠竞争法对其予以规制和制约。在少数诉诸于司法裁判的个案中，存在着同案不同判的情况和现象。建议结合《数据安全法》和《个人信息保护法》的有关规定，统筹数据安全保护与数据竞争发展的关系，依法促进以“保护与竞争”为基调的“数据爬取”行为法治化。数据被正式列为“生产要素”五年来，市场经历了从“原始挖掘”到“规范流通”的认知转变过程。我国“数据知识产权制度”建构的重心，也相应的从“法律移植”转向“自主调整”。“智力成果权利化”已从“实体面向”转向“程序面向”，为前沿问题的立法调整、司法裁判以及制度更新提供了新的范式。当法律向数据处理者配置数据财产权涉及可识别的个人信息数据时，便形成了“数据财产权”与“个人信息权益”并存的“共生权利”结构。应当看清楚这样一个现实情况，现行数据知识产权的保护对象，事实上并未覆盖动态的数据集合。譬如，在数据知识产权登记领域区块链存证就没有得到有效保护，登记审查的内容与司法效力之间，存在着比较严重的割裂状态。民法学界为厘清“数据财产权”与“个人信息权益”之间的关系，近年来提出了诸多有利于推进“新型知识产权”发展的创新观点。譬如，中国人民大学张新宝教授提出“人财两分法”，建议把个人信息所承载的“人格权益”归属于信息所有者，把“财产权利”配置给数据处理者，法律优先保护人格权益，数据财产权的行使受制于个人信息权益。中国人民大学王利明教授提出“人格权益、在先权利、当事人约定”优先原则，强调要依此妥善处理“个人信息权益”与“数据财产权”两者之间的关系。也有学者不赞成上述观点，认为我国现有的“数据知识产权赋权方案”，存在着“认识不统一、设计不合理、实践中不可行”等诸多缺陷，没有必要在条件尚不成熟的情势下，仓促地创设一种新的数据知识产权。认为当下应当认真总结我们自己实践中的成功经验，综合利用现有法律保护个人数据，并适时对现有法律法规进行必要的修订和修正。中共中央、国务院发布的《数据二十条》，在“数据基础制度”构建上提出了二十条重要举措，已成为做强、做优、做大数字经济、促进实现数据要素价值的政策先导。“数据知识产权”是新质生产力的催化剂，保护“新型知识产权”就是保护和推进科技创新。党的二十届四中全会强调，在“十五五”期间要推动科技创新和产业创新深度融合，加快重大科技成果高效转化应用，尤其要“加强知识产权保护和运用。中共中央要求各级地方党委，要结合本地实际情况研究构建数据知识产权的保护规则，切实加强党对立法工作的全面领导；各地人民法院要加大对数据知识产权司法保护问题的研究，以期探索出针对数据纠纷案件的裁判规则，助推数字经济健康有序发展。

（三）侵犯公民个人信息必须承担法律责任

《个人信息保护法》第六十九条第一款规定，个人信息处理者在处置公民个人信息的时候，只要是侵害了信息权利人“个人信息权益”且造成损害的，如果侵害人不能证明自己的行为没有过错，就“应当承担损害赔偿等侵权责任”。与之相配套的还有《个人信息保护法》第二十条第二款的规定，凡属于个人信息处理者“共同处理”他人个人信息，侵害个人信息权益且造成损害的，应当依法承担连带责任。这里需要指出的是《个人信息保护法》第二十条第二款的规定，属于《个人信息保护法》第七十条规定的“侵害众多个人的权益”的群体诉讼规范。近十多年来，我国个人信息保护法治建设取得了长足发展，《关于加强网络信息保护的决定》《消费者权益保护法》《刑法修正案（七）》《刑法修正案（九）》《电子商务法》《电信和互联网用户个人信息保护规定》等单行法律法规及部门规章，都对个人信息保护事项作出了明确的规定。“数字司法”是司法审判工作的数字化体现，随着数字案件审理的发展进程，法院可以依职权或依诉讼当事人申请进一步调查收集证据。涉及能够查明案件事实的证据，调取范围几乎涵盖个人信息在内的所有数据。最高人民法院在《民法典》颁布实施后，对“数据侵权案由”进行了及时调整，如在涉及“人格权纠纷”的案由下，增加了“个人信息保护纠纷”，进一步明晰“隐私”和“个人信息”的区分，目的就是为了方便法官更好地适用法律。因线下个人信息侵权所造成的财产损害，可以根据实际损失确定具体赔偿数额；对于线上因网络侵害个人信息所造成的财产损害，则可依据2014年6月23日最高人民法院审判委员会第1621次会议通过的“司法解释”第12条规定确定赔偿范围和损失金额。对于隐私权、名誉权、个人信息等遭受的损害，难于用财产进行衡量和评价的，可按照2020年12月23日最高人民法院审判委员会第1823次会议通过的“司法解释”第5条规定确定精神损害赔偿数额。在个人信息侵权纠纷案件审理中，“酌定损害赔偿”已成为法院裁判的主要路径和方式。传统侵权法中的“损害填平原则”与新型数字权益保护需求之间均保持一定的张力，《民法典》与《个人信息保护法》在个人信息保护上也存在着一定的竞合，法院尚未形成清晰的法律适用顺位。在缺乏具体可操作“酌定规则”的前提下，加之“酌定赔偿”尚无适配的程序规则，法官的裁判往往面临着“价值排序”与“利益平衡”的双重焦虑。伴随着个人信息侵权行为的规模化、隐蔽化，个人信息侵权损害呈现出风险性、潜在性和不确定性等特征。为保护个人信息权益、规范信息处理活动，当下和未来在实体法层面，需要在厘清个人信息权属的基础上，把“实质性风险损害”纳入法院酌定赔偿的范围；尤其要针对不同类型的个人信息和不同侵权行为，建构分类分层的动态酌定赔偿标准，使法院和审理法官在“酌定”处理时有法可依。在程序法层面，需要强化信息主体的初步证据提出义务，在降低证明标准的同时保持必要的证明责任约束，并强化法院对“酌定赔偿”的说理义务。

三、个人信息多重保护的法治路径

（一）把个人数据财产权益纳入可执行财产保护范围

把个人数据财产权益纳入可执行财产保护范围，是适应数字经济发展趋势需要的必然要求，但是需要在法律框架内明确其具体边界与执行方式。譬如，2022年6月公开向全国征求修改意见的《中华人民共和国民事强制执行法（草案）》，第一百条就把“网络虚拟财产”纳入可执行财产范围。“数字资产”的概念比“网络虚拟财产”更为宽泛，涵盖范围包括但不限于虚拟货币、游戏账号、数据产品等。‌随着数据经济的快速发展，个人数据经匿名化、脱敏处理后形成的“‌衍生数据产品‌”，因其具备独立的商业价值和可交易性，事实上已具备财产属性，因而理论上应当将其纳入可执行财产的范畴。新时代新阶段的数字经济，既是创新经济、更是法治经济，建设“数字中国”是构筑国家竞争新优势的有力支撑。既然国家已经为个人信息数据立法，那么，“数据权利保护期限”就必然成为一个绕不开的话题。尽管《民法典》规定的“民事权利”，从一般意义上说，它是不受时效限制的。但是如果设置过长的法定期限，对于数据的有效流通与价值的更大释放来说，也是有违“民事权利”初衷和基本原则的。因为它可能会导致原本具有公定力的“法定期限”，由于得不到市场的正反馈而丧失法的安定性。然而就“数据权利保护期限”而言，它并不是一个规范的法律术语，说到底只是一个追求的“功能主义”，而非理论上的“逻辑自洽”问题。随着数字法律规则体系愈来愈健全和完善，数字化转型是所有单位组织的必然趋势，各行各业的市场主体既是数字治理的参与方，更是数字合规治理的主体。数字“全周期管理”“全周期合规”的要求，是一切单位组织合规治理的必然选择，保护个人信息、维护个人数据安全，是一切单位组织的法律义务。为了保护数据权利人的追溯效力，用“使用频次”替代原来的“时间周期”是值得尝试的一种选择。在使用频次上设置法律意义上的保护周期，更符合新时代数据使用特性和数据流通的需求。用时间单位来衡量事物的未来价值，本身就是一件既不科学也不合理的事情。信息数据的资源价值和财产属性已被全社会所共识，从数据财产属性、市场可流通性、维护当事人权益和促进数据治理方面审视，数据财产权益能否被执行？事实上关乎当事人胜诉权利实现和司法公信力的维护。党的二十届三中全会提出要“加快建立数据产权归属认定、市场交易、权益分配、利益保护制度”，提升数据安全治理监管能力，证明数据权益是一种新型、内容具有复合型的民事权益，包含着“人格权益”和“财产权益”等。依据数据“权利束”理论和“数据二十条”中的“数据三权分置原则”，公民个人数据财产权益可以数据“合法持有”作为执行责任财产认定和权益归属的判断基准，其所具有的数据基础性权能和功能，使其具备执行查控、价值评估、处置交付等程序的适格性。个人数据财产权益执行具有法律规范上的正当性和必要性，未来应当突破传统规则的束缚，将其纳入可执行财产的保护范围。

（二）对侵害信息技术类知识产权实施惩罚性赔偿

惩罚性赔偿制度在信息技术类知识产权领域得到有效落实。《民法典》规定的损害赔偿，最主要的功能就是经济“补偿”，一般遵循“完全赔偿”和“恢复原状”的补偿原则，通过这种足额补偿的途径和方式，使受害人处于假如损害事件没有发生时其本应处的状态。对于侵权行为同时还造成他人精神损害的，如果只是属于轻微的精神损害，就诉至法院要求赔偿精神损害，可能会导致法院的案件量剧增，耗费大量司法资源，故法律把精神损害赔偿责任的适用限定于严重精神损害，这样有利于节约司法资源防止诉讼爆炸。《民法典》第一百七十九条在“承担民事责任”的方式中，首次规定了“惩罚性赔偿”制度。《民法典》第一千一百八十五条明确规定，“故意侵害他人知识产权，情节严重的，被侵权人有权请求相应的惩罚性赔偿”。我国在信息等新型技术类知识产权制度实施初期，由于“故意侵害他人知识产权”行为证明难、损害赔偿计算难、法律适用细则较模糊等原因，适用惩罚性赔偿的案件数量不多，赔偿请求的支持比率在知识产权领域差异较大，多数案件适用惩罚性赔偿的倍数也比较低。即使在当下，惩罚性赔偿制度的威慑和预防功能仍然比较脆弱，需要随着信息技术类知识产权制度的普遍实施，不断加强和完善惩罚性赔偿制度、加大惩罚性赔偿的力度。惩罚性赔偿对作为其存在基础的补偿性赔偿具有依附性，法律有关惩罚性赔偿适用条件的规定，只是对构成应受处罚的严重侵权行为所需加重条件的规定，惩罚性赔偿诉求需要附随补偿性赔偿诉求一起提出。当下需要防患于未然的是，实施严格地惩罚性赔偿制度，也可能导致对被侵权人的“过度补偿”，甚至可能因侵权人承担过重的赔偿责任而陷入破产境地，这种心理状态是造成适用惩罚性赔偿制度犹豫不决的主要原因。到目前为止，惩罚性赔偿是信息技术类知识产权领域，惩罚性强度、威慑性力度最大的民事责任手段之一，要实现惩罚性赔偿制度的最佳效能，还需要通过进一步恰当的司法政策引导才行。对侵害知识产权行为实施惩罚性赔偿制度的目的，在于保护和鼓励信息技术类知识创新，通过鼓励企业进行风险投资，从而辐射下游企业与其他相关企业形成产业链，创造新的和更有价值的智能成果。未来要进一步明晰侵害公民个人信息罪的立法方向，着力从“调整定罪标准”和“细化敏感个人信息类型”两个方面狠下功夫。应当以健全信息技术类知识产权多部门法协同保护为目标，适时调整各部门法的保护边界和力度，进而实现法律手段与其他规制手段的协同治理。人工智能技术类知识产权活动的跨国性，决定了人工智能的治理必须实施全球性治理才行。鉴于当下人工智能国际法多以缺乏约束力的“软法”为主, 大力发展我国人工智能法的域外效力，是实现人工智能国际治理较为有效的做法。我国已具备实现人工智能法域外效力的国家能力, 有关人工智能法域外效力的制度设计，可考虑采取“人工智能监管法”和“人工智能民事责任法”二分的治理模式。前者设计适用属地管辖原则、效果管辖原则、保护性管辖原则三个层次的单边主义域外效力规则,后者无需专门的域外效力规则,由法律适用选法规则调整即可。涉外人工智能侵权行为的特殊性，给现代涉外侵权冲突规范带来了前所未有的挑战。我国现行涉外侵权冲突规范凭借技术中立性与体系包容性，在一段时期内仍能为涉外人工智能侵权提供法律适用基础，短期内并无单独制定涉外人工智能侵权冲突规范的必要性和紧迫性。尽管人工智能侵权尚未突破传统侵权法律的理论框架，但随着人工智能技术的不断发展和跨国应用的不断深入，人工智能的自主性、不可解释性等技术特征，事实上对既有的侵权责任体系构成提出了充实和修正的紧迫性。

（三）对生成式人工智能处理个人信息实施刑法规制

对生成式人工智能大规模处理个人信息引发的新型侵害风险有待刑法的有效规制。人工智能是利用计算机系统以模拟和延伸人类智能的技术科学，它包含机器识别、自动程序、智能机器人等。伴随各类人工智能服务在不同社会领域内的广泛应用，高度智能化、自动化、自主化的生成式人工智能及其关联技术，正在引发全新的结构化刑事风险，并具象为种类繁杂的涉人工智能犯罪。譬如，正在引起人们高度关注的“深度伪造”，作为人工智能处理个人信息的具体场景，已造成较为严重的社会风险和后果，如果丧失警觉还可能对社会秩序和国家安全造成冲击与损害。当下和未来有必要借鉴美国和欧盟的某些经验做法，采取专门立法以及借助现有的“数据—信息”规制路径，用以严密防控“深度伪造”造成的社会危害。从一定意义上讲，“深度伪造”的本质是身份盗窃行为，有必要在刑法规范中引入“身份盗窃罪”，这样既能弥补“合法获取+不法利用”个人信息的刑法评价不足乃至空白，又能顺带规制传统的身份盗窃行为，增强身份盗窃入罪化的扩散性立法效应。生成式人工智能的特质在认定个人信息犯罪的时候，实际上面临着诸多难于逾越的困境和难于解决的棘手难题的困扰，迫使立法者不得不从刑法上寻求破解之策和出路。我国基于“刑法先行”的特点，“先行行为”是刑法理论中将其不作为“犯罪作为义务”的一种规定，使得“刑法个人信息犯罪”罪名的设立，事实上先于生成式人工智能的产生，形成了个人信息有限赋权的规制模式。当下和未来对于个人信息的刑法规制，应当依据生成式人工智能的特质转型为场景治理模式，相应地确立危险的现实化、信息的类型化的归责路径与认定基准。数据是数字经济的驱动力，鉴于个人数据进入公知领域后所具有的公共属性，无论是数据集合抑或是数据产品，事实上都存在着“超法规违法阻却事由”。我国学者当下对非个人数据的刑法保护研究，主要集中于“爬取数据”的刑法规制问题，忽视了数据本身的特点以及数字经济发展的相关政策考量，需要确定一条适合于中国数字经济发展现状的数据刑法保护路径。基于数据产权的有限排他性与生产要素的独特性特征，同时为了避免实践中刑法处罚的罪刑失衡，传统“财产犯罪”罪名已无法适用于保护非公开非个人数据。在前置法还没有对数据产权进行明确规制的前提下，选择创设“知识产权新罪名”的路径并非是最优解，较为理性的选择是继续沿袭“数据犯罪”的罪名路径，并及时把对数据产权的例外与限制，转换为非个人数据刑法保护的“超法规违法阻却事由”。这里的“超法规违法阻却事由”，是指在某些特定的领域和情况下，其行为尽管违反了法律法规的规定，但可以搁置不予追责的行为事由。这种“行为事由”通常具有特殊性和临时性，是法律在特定条件下的一种特殊的制度安排。“超法规违法阻却事由”并不改变行为的违法性质，所改变的只是法律对其进行了特殊处理而已。