北京9月7日電 資料是新時代一種社會化程度極高的新型生產要素法律。黨的二十屆四中全會提出要加強個人資訊保護，全面實施“人工智慧+”行動，深化對資料資源的開發利用。《民法典》和《個人資訊保護法》是個人資訊保護法律體系的核心與基礎，資訊保護法和“資料二十條”是資料來源者合法權益的法源，《憲法》為個人資料確權和資料合理利用提供根本法支撐，應從《憲法》基本權利的高度規範個人資訊被遺忘權。要加強對“已公開個人資訊”的法律保護，彰顯對資料新型智慧財產權的法律保護，侵犯公民個人資訊必須承擔法律責任。未來要把個人資料財產權益納入可執行財產保護範圍，對侵害資訊科技類智慧財產權實施懲罰性賠償，對生成式人工智慧處理個人資訊實施刑法規制。由中共河北省委政法委員會主管、河北省政法職業學院、河北省法學會主辦的中國中文核心期刊、中國人文社會科學核心期刊、CSSCI擴充套件版來源期刊《河北法學》雜誌，2026年第8期首篇推出宋才發教授論文《個人資訊多重保護的法律規制研究》。《河北法學》雜誌主編馬章民。
標準參考文獻法律：宋才發.個人資訊多重保護的法律規制研究[J].河北法學,2026(8):2-19.
宋才發教授系中央民族大學法學院首任院長、二級教授，湖北省有突出貢獻專家、國務院政府特殊津貼專家、國家民委首屆有突出貢獻專家法律。廣西民族大學特聘“相思湖講席教授”、博士生導師；貴州民族大學特聘教授、民族法學學科團隊領銜人；內蒙古財經大學特聘教授。
個人資訊多重保護的法律規制研究
宋才發
資料是新時代一種社會化程度極高的新型生產要素法律。黨的二十屆四中全會，把以新發展理念引領發展，因地制宜發展新質生產力，作為“十五五”時期經濟社會發展必須遵循的一項原則；把高質量發展取得顯著成效，全要素生產率穩步提升，列為“十五五”時期經濟社會發展的首要目標。黨的二十屆四中全會提出，要深化對網路空間安全的綜合治理，加強對公民個人資訊保護，全面實施“人工智慧+”行動，構建“開放共享安全的全國一體化資料市場，深化資料資源開發利用”。為在保護“個人資訊權益”的同時，促進個人資訊合理利用，“國家網信辦”關於網際網路應用程式個人資訊收集使用規定，自2026年1月起向社會公開廣泛徵求意見。要求網際網路平臺和應用程式開發商，在向社會和第三方提供個人資訊服務之前，必須向使用者告知個人資訊收集使用規則並取得個人資訊所有者的單獨同意。
一、個人資訊保護法律規制詮釋
（一）民法典和個人資訊保護法是個人資訊保護法律體系的核心與基礎
透過規制正當個人資訊使用規則實現個人權益保護與行為自由之間的平衡法律。在推進數字經濟和網際網路平臺雙向發展的實踐中，千萬不能把“個人資料權”混同於“個人資訊權”。儘管“個人資料權”與“個人資訊權”在指稱“個人資料”上的重合度比較高，但是它們終究是兩個性質和來源完全不一樣的資料。具體地說，“個人資訊”對於資訊主體來說，它具有明確的“財產權”價值，個人資訊權就是典型的民事權利。而“個人資料”對於資料主體來說，資料主體看重的並不是資料本身所蘊含的財產價值，只是因為它與資料主體有著須臾不可分離的關係，因而“個人資料權”不是財產權，而是人格權。個人資訊兼具個體屬性與公共屬性，《憲法》的“基本權利”框架，為容納個人資訊權利提供了可能的限度，有鑑於個人資訊保護的客體與通訊權、隱私權等《憲法》既有基本權利的差異，有必要把個人資訊權利理解為“人格尊嚴”項下的“新型權利”。假如籠統地把“個人資訊權利”，歸入《憲法》第三十八條規制的“人格尊嚴權”條款，則忽略了數字時代個人資訊保護背後所折射的具體人格權益。在大資料時代，“資訊主體”與“資料主體”兩者之間的關係，為事實上的民事法律關係，沒有經過資料主體的授權抑或明確同意，資訊主體不得私自蒐集、處理、利用和傳輸其個人資料。《中華人民共和國民法典》（以下簡稱為《民法典》）第一百一十一條和第一千零三十四條，這兩個法條同時規定“自然人的個人資訊受法律保護”。在《民法典》基礎上建立起來的《中華人民共和國個人資訊保護法》（以下簡稱為《個人資訊保護法》），第二條明確規定：“自然人的個人資訊受法律保護，任何組織、個人不得侵害自然人的個人資訊權益。”從一定意義上說，《民法典》本質上是個人資訊保護的憲法性基礎，《個人資訊保護法》則是其具體實施和實際操作的行動指南，它們共同構成了個人資訊保護法律體系的核心與基礎。《個人資訊保護法》作為保護公民個人資訊權利的基本法，透過第四十四條明確了“資訊自決”的立法價值。“資訊自決”是指公民個人能夠對自身資訊產生控制力並決定其如何使用的決斷能力。但是客觀現實中的“控制力”，並不能等同於“控制權”。因為通常在大多數情況下，個人資訊往往處於脫離主體控制的遊離狀態，需要有專門法律設計的特殊規則對其實施規範和保護。個人資訊相關權利在公法和私法領域裡各有側重，譬如，在私法領域裡個人資訊可以從“受法律保護的利益”昇華為“權利”。升格為“基本權利”的個人資訊，具有主觀權利方面的“防禦權功能”和“受益權功能”，以及客觀權利方面的客觀“價值秩序功能”。公民的“基本權利”可以構成私法領域的“特定法益”，即透過立法活動使公民獲得私法規範對基本權利的法律保護。
（二）資訊保護法和“資料二十條”是資料來源者合法權益的法源
我國私法領域的個人資訊法律規範尚未形成體系化的樣態法律。中共中央、國務院“資料二十條”第二部分第七款，提出要充分保護“資料來源者”的合法權益，保障資料來源者享有獲取或複製轉移由其促成產生資料的權益。在“資料二十條”提出“資料來源者權利”之前，我國法律並沒有認可所有者對附屬在其動產、不動產上的資料來源者權利，法律對資料來源者的保護只限於個別特定的情形，如當資料來源者對其資料進行創造性利用抑或大規模收集的時候，法律才對滿足相應條件的資料實施資訊保護措施。法律之所以拒絕對資料來源者賦予一般性保護權利，這是因為資料本身具有非排他性、非競爭性、非消耗性等特徵，一般多位於公共領域。如果賦予資料來源者對其資料的排他性權利，可能不利於資料的共享流通，違背新時代資料的公平合理使用原則。為避免在個人資訊法律保護體系的目標設定上出現認知偏差，我國把個人資訊法律保護體系的基本目標，界定為透過保障個體的匿名性存在而確保“私域”與“公域”之間的界分，以利於網路平臺與資料技術的推廣與應用，進而創造和生成一種新的社會秩序。為使透過保障個體的匿名性存在而確保“私域”與“公域”之間界分落地見效，未來需要在法律歸責機制的構建上，遵循如下三個基本理念：一是考慮風險分配與歸責機制的構建，把歸責機制的構建與對私域自主的維護，提升到重構合理的政治與社會秩序的高度；二是把決策者與風險製造者都納入歸責主體的範圍內，對各方主體如何分擔風險，進行整體性的思考並做出相應的制度安排；三是對個人資訊予以分類，對屬於敏感資訊的個人資訊進行賦權，作為基本權利來對待，以此對抗公權力的濫用與來自社會領域的壓制。為保護資料來源者的合法權益，當下和未來需要界定和明晰資料來源者、資料處理者、資料生產者三者之間的關係，釐清它們在資料權益體系中的法定位置。
（三）《憲法》為個人資料確權和資料合理利用提供根本法支撐
《中華人民共和國憲法》（以下簡稱為《憲法》）為個人資料確權提供根本法保障法律。個人資料包括“個人資訊資料”與“非個人資訊資料”兩個型別，資料持有者不能基於勞動賦權論證成對個人資料的所有權。但是個人資訊資料的收益權，卻可以透過經濟利益外的人格利益加以證成；非個人資訊資料的收益權，也可以結合個人經濟利益與資料流通的方式證成。資料是資訊的關鍵載體，公民個人對個人資料享有的是“個人資訊權益”。個人資訊權益屬於民事權益中的“人格權益”而非權益的集合，個人在個人資訊處理活動中的權利，則屬於個人資訊權益的基本權能。“個人資訊權益”保護的核心利益是精神利益，公民個人可以許可他人對其個人資訊資料，進行商業化利用而獲得相應的經濟利益。與此相對應的企業，對企業資料享有的是資料財產權。個人不僅可以同意資料處理者處理個人資訊，還可以授權他人抑或資料企業對其個人資料進行商業化開發利用。在“企業資料”與“公共資料”中，既有個人資料，也有非個人資料，公民個人資料是極為重要的一類資料型別。型別化是明確概念外延的方法之一，把特定的物件歸入典型型別，有助於明確概念的外延，並推進個人資料權利的體系化。個人資料作為新時代新階段的新型生產要素，已從靜態的隱私載體，逐漸演變為流動的核心生產要素與社會治理基礎資源，是數字化、網路化、智慧化的基礎，深刻地改變著生產方式、生活方式和社會治理方式。生產要素直接反映著人類社會不同發展階段的生產力水平狀況，具有變革傳統生產方式、催生新產業、新業態的功能，是驅動經濟社會發展的關鍵生產要素。隨著個人資料作為“關鍵生產要素”價值得到社會普遍認同，國家層面密集出臺相關政策，明確提出建設資料可信流通體系和可信資料空間。資料空間作為技術、法律與治理相結合的資料重用制度方案，正逐漸成為支撐資料要素流通的關鍵基礎設施。構建以“高質量資料集”為基礎的可信資料空間，是全面釋放資料要素價值、培育和發展新質生產力的必然要求。如何界定資料權屬、確立資料的所有權和合理使用權，愈來愈引起人們和社會廣泛而高度地關注。自中共中央、國務院在“資料二十條”裡提出“資料流通各環節產權制度”以來，資料確權已不再追問某個特定的所有權主體，確權政策開始直面流通資料的真實狀態及其屬性，逐步形成具有中國特色的資料產權制度體系。
“資料二十條”裡所說的“資料產權”屬於“財產權”法律。個人資訊是受《個人資訊保護法》保護的個人權益，因之產生了“個人資訊權益保護規則”與“標識性人格權保護規則”。來源於公民個人資訊的資料，在其實現“完全匿名化”之前，它始終裹挾著資訊權利人的“人格權”。“人格權”屬於《民法典》規制的“絕對權”。依據《民法典》對“絕對權”的規範和詮釋，在個人資料發生流轉抑或被利用的整個過程中，資訊權利人始終具有對資料利用行為提出約束性主張的權利，這就使得資料利用者不可能實現對資料完全匿名化的處理。在以新發展理念引領數字經濟執行的過程中，國家資料運營中心和企業資料運營機構，對公民個人資訊資料加工利用的主要目的，是為了向社會提供更多、更好滿足消費者需求的服務和產品。只有當政府機關能夠積極彙集公共資料資源並向社會公眾開放的時候，才能實現對資料資源更廣泛、更有效地利用。資料利用者會因之進一步擴大收集個人資料的範圍和力度，這種發展趨勢也使得個人資訊權益可能出現被泛化的傾向。一旦個人資訊權益被泛化，就必然引發權利內涵的模糊化與權利保護的稀薄化。個人資料確權面對不同部門法之間的價值碰撞，不只是限於民法與經濟法之間，即使正在建設中的全國一體化資料市場，也會遭遇到各級各類政府機關的利益衝突和挑戰，這無疑對《憲法》規範體系提出了更高更新的要求，需要探尋一條從《憲法》視角出發的資料確權方案路徑。現行《憲法》第三十三條第三款規定，“國家尊重和保障人權。”第三十八條又規定，“中華人民共和國公民的人格尊嚴不受侵犯。”在個人資料上存在著的作為“人格權益”的個人資訊權益以及隱私權，是對《憲法》規制的“人格尊嚴”“人身自由”的貫徹。這即是說，無論國家資料運營中心抑或企業資料運營機構，都必須義無反顧地防止侵犯資料權利人的人權、損害人格尊嚴。然而，當公民個人的資訊資料被充分流通與利用，對促進數字經濟發展、提高人民生活水平發揮重要作用的時候，資料權利人需要遵循《憲法》第十四條第一款“國家透過提高勞動者的積極性和技術水平，推廣先進的科學技術”的規定做出主動讓步，不得阻礙資料流通充分利用的資料確權方案。
（四）從《憲法》基本權利的高度規範個人資訊被遺忘權
大資料時代數字化生存方式使個人資料權利受到前所未有的重視法律。人們在享受大資料帶來需求滿足和便利的同時，因各種資料庫透過強大的網路技術實現無間隙對接，促使資訊主體成為透明的、無隱私的資料化個體。使得“個人資訊被遺忘權”，直接同人的尊嚴與生存緊密相連，再也不能把它僅僅視為一種普通的法律權利，必須從《憲法》基本權利的高度來認識和規範“個人資訊被遺忘權”，從而加強對個人資訊權的多重法律保護。遺憾的是至今還沒有建立起《憲法》基本權利保護的立法模式，即“平衡個人資訊權利與國家公權力機關蒐集、使用個人資訊間的法權結構”的個人資訊保護立法模式。大資料時代的“個人資訊被遺忘權”，起源和發端於傳統的“遺忘權”。伴隨網際網路、大資料、搜尋便捷等網路儲存技術的快速發展，傳統“遺忘權”的有限主體範圍，已經無法保護資訊主體的個人資訊權利，事實上突破了資訊主體對個人資訊的有效掌控。基於大資料時代個人資訊權多重保護的需要，“個人資訊被遺忘權”便應運而生。2014年歐盟的“岡薩雷斯訴谷歌被遺忘權案”，是世界上首例“個人資訊被遺忘權”案件。歐盟《一般資料保護條例》第十七條，首次明確地規定了被遺忘權條款。“被遺忘權”的基本內涵是：當資料處理存在客觀地與其被收集的目的不相關、資料主體同意撤回、儲存期限已過、被不合法處理等情形，以及資料主體行使法定的“拒絕權”的情形下，資料主體有權從資訊控制者那裡刪除與其個人相關的資訊，並有從第三方處刪除與這些資訊相關的連結、複製、複製品的權利。我國把“個人資訊被遺忘權”定義為：公民依法享有對個人資訊控制與支配的權利，即可以把“已經合法公開”的個人資訊，從所處的公共空間領域裡撤離出來，使其迴歸到隱私空間裡。在我國與“被遺忘權”相近的概念是“刪除權”，《民法典》第一千零三十七條第二款規定，自然人在資訊處理者違法或者違反雙方約定的情況下，“有權請求資訊處理者及時刪除”。這條規定意味著我國設立“被遺忘權”，是一種民事權利保護的模式。實事求是地說，設立《憲法》“基本權利的保護”模式，或許更有利於體系性保護公民的被遺忘權。因為確立“被遺忘權”是一項《憲法》基本權利，既能系統釐清“被遺忘權”的權利屬性，又能全面保護公民的個人資訊權。自2021年11月1日起施行《個人資訊保護法》，第四十七條在《民法典》的基礎上，進一步規制了“個人資訊被遺忘權”（刪除權）的五種具體情形，表明“個人資訊被遺忘權”在我國已經獲得了法定權利的內涵，有依法獲得法律保護的價值與利益。
（五）人權保護正規化從“代際人權”向“領域人權”的轉型
數字技術的便利、快捷和高效在公共服務領域開闢了廣闊的應用前景法律。儘管如此，但資訊資料披露的強制性與敏感性，可能引發隱私風險等意料不到情況的發生，迫切需要構建分類保護的法律規則。譬如，在個人權利維度上，敏感個人資訊資料通常具有高度的隱私性，需要透過私權保護措施防範個體權益遭受損失；在公共服務維度上，敏感個人資訊資料迅速彙集後立馬具有公共物品的屬性，可能會因之而影響到社會公共利益與公共安全。因而在公共服務領域採納個人數字化處理技術之前，立法、執法、司法機關應當展開一系列前置性風險評估，確保個人資訊數字化服務更好地實現公共福祉。《個人資訊保護法》的私權保護功能，主要是透過個體控制機制與私人訴訟制度實現並達到其目的。尤其要透過界分《個人資訊保護法》的“過錯推定原則”與《民法典》隱私權侵權的一般“過錯原則”，避免個人資訊在演算法決策的過程中遭到濫用，依法闡明個人資訊“權利束”保護之訴的必要性和可行性。與此同時，為了維護資料資源的合理開發利用和社會公共利益不受損，《資料二十條》就建立資料產權制度等基礎制度提出全面、系統的規範意見，強調在資料產權制度建立的過程中，核心問題是要“建立健全個人資訊資料確權授權機制”。《資料二十條》第六條把“個人資料授權”區分為兩類：第一類是“個人授權”，即個人授權資料處理者按照授權的範圍合法處理個人資料；第二類是“法定授權”，即對特定的個人資料依法依規授權有關單位使用。在這裡“個人資訊權益”是個人資料授權的前提和基礎，一般透過個人資料許可使用合同進行授權。數字時代人工智慧技術在推動傳統社會形態結構性變革的同時，通常也會連鎖地引發人權保護正規化的現代轉型。當資訊權利發展嬗變並進化到成熟階段，資訊資料權利便躍升為一種“新興人權”，有學者認為它有可能成為“第四代人權”。“數字人權”概念把個人資訊被保護的權利，上升到了《憲法》“基本權利”的高度。《個人資訊保護法》拓展了個人在資訊處理活動中的權利，賦予個體以知情權、決定權等一系列個人資訊權利，“為了保護個人資訊權益，規範個人資訊處理活動，促進個人資訊合理利用”，《個人資訊保護法》在第一條還說了一句歸總的話“根據憲法，制定本法”。未來要以防範數字人權侵害的領域性風險問題為導向，明確數字人權的保護範圍和保護路徑，在保護方式上發揮領域法的整合性保護作用，以期推動中國特色領域人權知識體系的構建，達到有效應對數字技術對個人資訊尤其是數字人權的全域性衝擊。儘管我國已建立起以《個人資訊保護法》為主體的個人資料保護體系，但是仍然適應不了從“代際人權”向“領域人權”轉型發展的需要。因為個人資料不只是關乎資料所有者個體的權益，更在乎群體層面衍生出來的相關利益形態；資料處理者也不再只是尋求具體個人偏好，而是在群體層面開展資料分析，所致影響也發生在群體層面，群體資料利益及其保護問題已經浮出水面。即使《個人資訊保護法》也未涉及到群體的利益問題，因為當時的情況還沒有發展到需要立法規制的程度。這種因資料關聯性衍生出的利益侵害，正在侵蝕傳統個人賦權型治理框架的正當性基礎，限於“群體資料利益”的法律定位尚未明確，相關法律對群體資料利益保護事實上存在諸多空白之處。加之群體資料利益保護的監管機制不完善不健全，群體資料利益的保護缺乏具體操作規範與標準，導致群體資料利益在遭受不法侵害時，影響了個人資訊權利人獲得及時、有效的救濟。
二、個人資訊多重保護的法律規範
（一）加強對“已公開個人資訊”的法律保護
個人資料合理開放、流通利用、要素市場培育日益成為社會關注的熱點法律。只有確保海量的、高質量的個人資料合法地進入要素市場，才有條件推動個人資料從“工具屬性”轉向“關鍵生產要素屬性”。當個人資訊成為“個人已公開資訊資料”的時候，尤其是當它成為資料要素市場的重要組成部分之後，一方面為網際網路平臺進行新技術、新業態的創新發展提供了便利條件；另一方面由於處置不當也引發了諸多社會乃至法律糾紛，有的甚至嚴重地侵害了當事人的隱私權和個人資訊權益。《民法典》第一千零三十六條在“處理個人資訊免責事由”的第二項中，首次規制對“已公開個人資訊”的處置規則：即資訊處理者處置自然人“自行公開”抑或“已經合法公開”的資訊可以免責。“但是該自然人明確拒絕”的，資訊處理者處理其“已經合法公開”的資訊，依然需要獲得個人資訊所有者的明確同意才行。儘管《個人資訊保護法》第十三條的規定，確實為資訊處理者合理處置個人“自行公開”抑或“合法公開”的個人資訊提供了法律依據。即符合《個人資訊保護法》第十三條“第二項至第七項規定情形的，不需取得個人同意”。然而《個人資訊保護法》第十條已經明確規定，未經資訊權利人的明確授權，任何網路平臺機構和資料開發商，都“不得非法買賣、提供或者公開他人個人資訊”。可以說《民法典》和《個人資訊保護法》的上述規定，為公民個人資訊安全確立了基本的法律底線。人的“尊嚴”和“自主”是證成個人資訊權的內在根據，“自我呈現”則是個人資訊保護的規範目標。“自我呈現”的需要內嵌於個人的意識結構中，既是“人之為人”的本質特徵，也是確保自我人格尊嚴不被貶損的關鍵機制。在這裡“個人資訊確權”是確立個人資訊權法律地位、保護個人“自我呈現”目標的需要，它能夠紓解資訊化時代個人遭遇“自我呈現”的困境，也會影響到法官在處理個案糾紛時的立場選擇。新時代個人資訊權多重保護制度的頂層設計，應當以保護個人“自我呈現”為焦點，把法律規定的各項程式性個人資訊權利，“收斂”成一個有機整體，形成一個以“個人資訊權”為主幹的、嚴密的權利保護體系。“個人隱私”本身並非單一且純粹的價值，而是多種價值派生出來的複合體，在“保護個人隱私”與“保護個人資訊”之間並沒有根本性的利害衝突。與“個人隱私”緊密相連的“敏感個人資訊”，是個人資訊分類分級保護制度的重要部分。但是當下對“敏感個人資訊”的保護，存在範疇界定不確定、保護方式不盡合理等問題。有學者認為在立法層面，對“敏感個人資訊制度”予以重構暫無必要。建議在法律解釋與適用層面，重構敏感個人資訊的界定和保護方式，以實現法律規定與實踐的匹配。“敏感個人資訊”和“個人隱私”是構成完整個人資訊的組成部分，因而有理由把《個人資訊保護法》理解為保護“敏感個人資訊”和“個人隱私權”的法律。或許正是由於“隱私”這個獨特的重要價值存在，法律才單獨賦予“保護個人資訊”的終極理由。
（二）彰顯對資料新型智慧財產權的法律保護
資料智慧財產權賦權的實質是在資料上創設一種新型智慧財產權法律。由“數智技術”塑造和建立起來的數字空間，愈來愈成為個體獲取資訊的重要場域。隨著智慧時代的到來，“資料爬取”成為獲取使用者資料資源的一種重要的手段，它對促進企業資料正當競爭和合法利用發揮了重要的促進作用。“資料爬取”行為具有競爭中性的屬性，當下對“資料爬取”行為的治理，主要是依靠競爭法對其予以規制和制約。在少數訴諸於司法裁判的個案中，存在著同案不同判的情況和現象。建議結合《資料安全法》和《個人資訊保護法》的有關規定，統籌資料安全保護與資料競爭發展的關係，依法促進以“保護與競爭”為基調的“資料爬取”行為法治化。資料被正式列為“生產要素”五年來，市場經歷了從“原始挖掘”到“規範流通”的認知轉變過程。我國“資料智慧財產權制度”建構的重心，也相應的從“法律移植”轉向“自主調整”。“智力成果權利化”已從“實體面向”轉向“程式面向”，為前沿問題的立法調整、司法裁判以及制度更新提供了新的正規化。當法律向資料處理者配置資料財產權涉及可識別的個人資訊資料時，便形成了“資料財產權”與“個人資訊權益”並存的“共生權利”結構。應當看清楚這樣一個現實情況，現行資料智慧財產權的保護物件，事實上並未覆蓋動態的資料集合。譬如，在資料智慧財產權登記領域區塊鏈存證就沒有得到有效保護，登記審查的內容與司法效力之間，存在著比較嚴重的割裂狀態。民法學界為釐清“資料財產權”與“個人資訊權益”之間的關係，近年來提出了諸多有利於推進“新型智慧財產權”發展的創新觀點。譬如，中國人民大學張新寶教授提出“人財兩分法”，建議把個人資訊所承載的“人格權益”歸屬於資訊所有者，把“財產權利”配置給資料處理者，法律優先保護人格權益，資料財產權的行使受制於個人資訊權益。中國人民大學王利明教授提出“人格權益、在先權利、當事人約定”優先原則，強調要依此妥善處理“個人資訊權益”與“資料財產權”兩者之間的關係。也有學者不贊成上述觀點，認為我國現有的“資料智慧財產權賦權方案”，存在著“認識不統一、設計不合理、實踐中不可行”等諸多缺陷，沒有必要在條件尚不成熟的情勢下，倉促地創設一種新的資料智慧財產權。認為當下應當認真總結我們自己實踐中的成功經驗，綜合利用現有法律保護個人資料，並適時對現有法律法規進行必要的修訂和修正。中共中央、國務院釋出的《資料二十條》，在“資料基礎制度”構建上提出了二十條重要舉措，已成為做強、做優、做大數字經濟、促進實現資料要素價值的政策先導。“資料智慧財產權”是新質生產力的催化劑，保護“新型智慧財產權”就是保護和推進科技創新。黨的二十屆四中全會強調，在“十五五”期間要推動科技創新和產業創新深度融合，加快重大科技成果高效轉化應用，尤其要“加強智慧財產權保護和運用。中共中央要求各級地方黨委，要結合本地實際情況研究構建資料智慧財產權的保護規則，切實加強黨對立法工作的全面領導；各地人民法院要加大對資料智慧財產權司法保護問題的研究，以期探索出針對資料糾紛案件的裁判規則，助推數字經濟健康有序發展。
（三）侵犯公民個人資訊必須承擔法律責任
《個人資訊保護法》第六十九條第一款規定，個人資訊處理者在處置公民個人資訊的時候，只要是侵害了資訊權利人“個人資訊權益”且造成損害的，如果侵害人不能證明自己的行為沒有過錯，就“應當承擔損害賠償等侵權責任”法律。與之相配套的還有《個人資訊保護法》第二十條第二款的規定，凡屬於個人資訊處理者“共同處理”他人個人資訊，侵害個人資訊權益且造成損害的，應當依法承擔連帶責任。這裡需要指出的是《個人資訊保護法》第二十條第二款的規定，屬於《個人資訊保護法》第七十條規定的“侵害眾多個人的權益”的群體訴訟規範。近十多年來，我國個人資訊保護法治建設取得了長足發展，《關於加強網路資訊保護的決定》《消費者權益保護法》《刑法修正案（七）》《刑法修正案（九）》《電子商務法》《電信和網際網路使用者個人資訊保護規定》等單行法律法規及部門規章，都對個人資訊保護事項作出了明確的規定。“數字司法”是司法審判工作的數字化體現，隨著數字案件審理的發展程序，法院可以依職權或依訴訟當事人申請進一步調查收集證據。涉及能夠查明案件事實的證據，調取範圍幾乎涵蓋個人資訊在內的所有資料。最高人民法院在《民法典》頒佈實施後，對“資料侵權案由”進行了及時調整，如在涉及“人格權糾紛”的案由下，增加了“個人資訊保護糾紛”，進一步明晰“隱私”和“個人資訊”的區分，目的就是為了方便法官更好地適用法律。因線下個人資訊侵權所造成的財產損害，可以根據實際損失確定具體賠償數額；對於線上因網路侵害個人資訊所造成的財產損害，則可依據2014年6月23日最高人民法院審判委員會第1621次會議透過的“司法解釋”第12條規定確定賠償範圍和損失金額。對於隱私權、名譽權、個人資訊等遭受的損害，難於用財產進行衡量和評價的，可按照2020年12月23日最高人民法院審判委員會第1823次會議透過的“司法解釋”第5條規定確定精神損害賠償數額。在個人資訊侵權糾紛案件審理中，“酌定損害賠償”已成為法院裁判的主要路徑和方式。傳統侵權法中的“損害填平原則”與新型數字權益保護需求之間均保持一定的張力，《民法典》與《個人資訊保護法》在個人資訊保護上也存在著一定的競合，法院尚未形成清晰的法律適用順位。在缺乏具體可操作“酌定規則”的前提下，加之“酌定賠償”尚無適配的程式規則，法官的裁判往往面臨著“價值排序”與“利益平衡”的雙重焦慮。伴隨著個人資訊侵權行為的規模化、隱蔽化，個人資訊侵權損害呈現出風險性、潛在性和不確定性等特徵。為保護個人資訊權益、規範資訊處理活動，當下和未來在實體法層面，需要在釐清個人資訊權屬的基礎上，把“實質性風險損害”納入法院酌定賠償的範圍；尤其要針對不同型別的個人資訊和不同侵權行為，建構分類分層的動態酌定賠償標準，使法院和審理法官在“酌定”處理時有法可依。在程式法層面，需要強化資訊主體的初步證據提出義務，在降低證明標準的同時保持必要的證明責任約束，並強化法院對“酌定賠償”的說理義務。
三、個人資訊多重保護的法治路徑
（一）把個人資料財產權益納入可執行財產保護範圍
把個人資料財產權益納入可執行財產保護範圍，是適應數字經濟發展趨勢需要的必然要求，但是需要在法律框架內明確其具體邊界與執行方式法律。譬如，2022年6月公開向全國徵求修改意見的《中華人民共和國民事強制執行法（草案）》，第一百條就把“網路虛擬財產”納入可執行財產範圍。“數字資產”的概念比“網路虛擬財產”更為寬泛，涵蓋範圍包括但不限於虛擬貨幣、遊戲賬號、資料產品等。隨著資料經濟的快速發展，個人資料經匿名化、脫敏處理後形成的“衍生資料產品”，因其具備獨立的商業價值和可交易性，事實上已具備財產屬性，因而理論上應當將其納入可執行財產的範疇。新時代新階段的數字經濟，既是創新經濟、更是法治經濟，建設“數字中國”是構築國家競爭新優勢的有力支撐。既然國家已經為個人資訊資料立法，那麼，“資料權利保護期限”就必然成為一個繞不開的話題。儘管《民法典》規定的“民事權利”，從一般意義上說，它是不受時效限制的。但是如果設定過長的法定期限，對於資料的有效流通與價值的更大釋放來說，也是有違“民事權利”初衷和基本原則的。因為它可能會導致原本具有公定力的“法定期限”，由於得不到市場的正反饋而喪失法的安定性。然而就“資料權利保護期限”而言，它並不是一個規範的法律術語，說到底只是一個追求的“功能主義”，而非理論上的“邏輯自洽”問題。隨著數字法律規則體系愈來愈健全和完善，數字化轉型是所有單位組織的必然趨勢，各行各業的市場主體既是數字治理的參與方，更是數字合規治理的主體。數字“全週期管理”“全週期合規”的要求，是一切單位組織合規治理的必然選擇，保護個人資訊、維護個人資料安全，是一切單位組織的法律義務。為了保護資料權利人的追溯效力，用“使用頻次”替代原來的“時間週期”是值得嘗試的一種選擇。在使用頻次上設定法律意義上的保護週期，更符合新時代資料使用特性和資料流通的需求。用時間單位來衡量事物的未來價值，本身就是一件既不科學也不合理的事情。資訊資料的資源價值和財產屬性已被全社會所共識，從資料財產屬性、市場可流通性、維護當事人權益和促進資料治理方面審視，資料財產權益能否被執行？事實上關乎當事人勝訴權利實現和司法公信力的維護。黨的二十屆三中全會提出要“加快建立資料產權歸屬認定、市場交易、權益分配、利益保護制度”，提升資料安全治理監管能力，證明資料權益是一種新型、內容具有複合型的民事權益，包含著“人格權益”和“財產權益”等。依據資料“權利束”理論和“資料二十條”中的“資料三權分置原則”，公民個人資料財產權益可以資料“合法持有”作為執行責任財產認定和權益歸屬的判斷基準，其所具有的資料基礎性權能和功能，使其具備執行查控、價值評估、處置交付等程式的適格性。個人資料財產權益執行具有法律規範上的正當性和必要性，未來應當突破傳統規則的束縛，將其納入可執行財產的保護範圍。
（二）對侵害資訊科技類智慧財產權實施懲罰性賠償
懲罰性賠償制度在資訊科技類智慧財產權領域得到有效落實法律。《民法典》規定的損害賠償，最主要的功能就是經濟“補償”，一般遵循“完全賠償”和“恢復原狀”的補償原則，透過這種足額補償的途徑和方式，使受害人處於假如損害事件沒有發生時其本應處的狀態。對於侵權行為同時還造成他人精神損害的，如果只是屬於輕微的精神損害，就訴至法院要求賠償精神損害，可能會導致法院的案件量劇增，耗費大量司法資源，故法律把精神損害賠償責任的適用限定於嚴重精神損害，這樣有利於節約司法資源防止訴訟爆炸。《民法典》第一百七十九條在“承擔民事責任”的方式中，首次規定了“懲罰性賠償”制度。《民法典》第一千一百八十五條明確規定，“故意侵害他人智慧財產權，情節嚴重的，被侵權人有權請求相應的懲罰性賠償”。我國在資訊等新型技術類智慧財產權制度實施初期，由於“故意侵害他人智慧財產權”行為證明難、損害賠償計算難、法律適用細則較模糊等原因，適用懲罰性賠償的案件數量不多，賠償請求的支援比率在智慧財產權領域差異較大，多數案件適用懲罰性賠償的倍數也比較低。即使在當下，懲罰性賠償制度的威懾和預防功能仍然比較脆弱，需要隨著資訊科技類智慧財產權制度的普遍實施，不斷加強和完善懲罰性賠償制度、加大懲罰性賠償的力度。懲罰性賠償對作為其存在基礎的補償性賠償具有依附性，法律有關懲罰性賠償適用條件的規定，只是對構成應受處罰的嚴重侵權行為所需加重條件的規定，懲罰性賠償訴求需要附隨補償性賠償訴求一起提出。當下需要防患於未然的是，實施嚴格地懲罰性賠償制度，也可能導致對被侵權人的“過度補償”，甚至可能因侵權人承擔過重的賠償責任而陷入破產境地，這種心理狀態是造成適用懲罰性賠償制度猶豫不決的主要原因。到目前為止，懲罰性賠償是資訊科技類智慧財產權領域，懲罰性強度、威懾性力度最大的民事責任手段之一，要實現懲罰性賠償制度的最佳效能，還需要透過進一步恰當的司法政策引導才行。對侵害智慧財產權行為實施懲罰性賠償制度的目的，在於保護和鼓勵資訊科技類知識創新，透過鼓勵企業進行風險投資，從而輻射下游企業與其他相關企業形成產業鏈，創造新的和更有價值的智慧成果。未來要進一步明晰侵害公民個人資訊罪的立法方向，著力從“調整定罪標準”和“細化敏感個人資訊型別”兩個方面狠下功夫。應當以健全資訊科技類智慧財產權多部門法協同保護為目標，適時調整各部門法的保護邊界和力度，進而實現法律手段與其他規制手段的協同治理。人工智慧技術類智慧財產權活動的跨國性，決定了人工智慧的治理必須實施全球性治理才行。鑑於當下人工智慧國際法多以缺乏約束力的“軟法”為主, 大力發展我國人工智慧法的域外效力，是實現人工智慧國際治理較為有效的做法。我國已具備實現人工智慧法域外效力的國家能力, 有關人工智慧法域外效力的制度設計，可考慮採取“人工智慧監管法”和“人工智慧民事責任法”二分的治理模式。前者設計適用屬地管轄原則、效果管轄原則、保護性管轄原則三個層次的單邊主義域外效力規則,後者無需專門的域外效力規則,由法律適用選法規則調整即可。涉外人工智慧侵權行為的特殊性，給現代涉外侵權衝突規範帶來了前所未有的挑戰。我國現行涉外侵權衝突規範憑藉技術中立性與體系包容性，在一段時期內仍能為涉外人工智慧侵權提供法律適用基礎，短期內並無單獨制定涉外人工智慧侵權衝突規範的必要性和緊迫性。儘管人工智慧侵權尚未突破傳統侵權法律的理論框架，但隨著人工智慧技術的不斷發展和跨國應用的不斷深入，人工智慧的自主性、不可解釋性等技術特徵，事實上對既有的侵權責任體系構成提出了充實和修正的緊迫性。
（三）對生成式人工智慧處理個人資訊實施刑法規制
對生成式人工智慧大規模處理個人資訊引發的新型侵害風險有待刑法的有效規制法律。人工智慧是利用計算機系統以模擬和延伸人類智慧的技術科學，它包含機器識別、自動程式、智慧機器人等。伴隨各類人工智慧服務在不同社會領域內的廣泛應用，高度智慧化、自動化、自主化的生成式人工智慧及其關聯技術，正在引發全新的結構化刑事風險，並具象為種類繁雜的涉人工智慧犯罪。譬如，正在引起人們高度關注的“深度偽造”，作為人工智慧處理個人資訊的具體場景，已造成較為嚴重的社會風險和後果，如果喪失警覺還可能對社會秩序和國家安全造成衝擊與損害。當下和未來有必要借鑑美國和歐盟的某些經驗做法，採取專門立法以及藉助現有的“資料—資訊”規制路徑，用以嚴密防控“深度偽造”造成的社會危害。從一定意義上講，“深度偽造”的本質是身份盜竊行為，有必要在刑法規範中引入“身份盜竊罪”，這樣既能彌補“合法獲取+不法利用”個人資訊的刑法評價不足乃至空白，又能順帶規制傳統的身份盜竊行為，增強身份盜竊入罪化的擴散性立法效應。生成式人工智慧的特質在認定個人資訊犯罪的時候，實際上面臨著諸多難於逾越的困境和難於解決的棘手難題的困擾，迫使立法者不得不從刑法上尋求破解之策和出路。我國基於“刑法先行”的特點，“先行行為”是刑法理論中將其不作為“犯罪作為義務”的一種規定，使得“刑法個人資訊犯罪”罪名的設立，事實上先於生成式人工智慧的產生，形成了個人資訊有限賦權的規制模式。當下和未來對於個人資訊的刑法規制，應當依據生成式人工智慧的特質轉型為場景治理模式，相應地確立危險的現實化、資訊的型別化的歸責路徑與認定基準。資料是數字經濟的驅動力，鑑於個人資料進入公知領域後所具有的公共屬性，無論是資料集合抑或是資料產品，事實上都存在著“超法規違法阻卻事由”。我國學者當下對非個人資料的刑法保護研究，主要集中於“爬取資料”的刑法規制問題，忽視了資料本身的特點以及數字經濟發展的相關政策考量，需要確定一條適合於中國數字經濟發展現狀的資料刑法保護路徑。基於資料產權的有限排他性與生產要素的獨特性特徵，同時為了避免實踐中刑法處罰的罪刑失衡，傳統“財產犯罪”罪名已無法適用於保護非公開非個人資料。在前置法還沒有對資料產權進行明確規制的前提下，選擇創設“智慧財產權新罪名”的路徑並非是最優解，較為理性的選擇是繼續沿襲“資料犯罪”的罪名路徑，並及時把對資料產權的例外與限制，轉換為非個人資料刑法保護的“超法規違法阻卻事由”。這裡的“超法規違法阻卻事由”，是指在某些特定的領域和情況下，其行為儘管違反了法律法規的規定，但可以擱置不予追責的行為事由。這種“行為事由”通常具有特殊性和臨時性，是法律在特定條件下的一種特殊的制度安排。“超法規違法阻卻事由”並不改變行為的違法性質，所改變的只是法律對其進行了特殊處理而已。
