互联网的出现，带来了生产方式、信息传播方式以及整个社会关系的革命性变化。 [ 4 ] 现代通信技术、物联网等现代信息科技的发展推动人类社会由工业时代向信息时代转变。

在信息时代，信息作为人际沟通的桥梁，其功能发生异化。推动经济增长和实现国家治理手段现代化，是信息所承担的新时代使命。可识别的个人信息建构了人类的数字身份和数字属性，承担着连结现实世界和虚拟网络世界功能。大数据平台通过对虚拟网络世界中每条可识别个人信息的归纳分析与研判，能够清晰地还原某个自然人的兴趣爱好、饮食习惯、出行方式以及人际关系；通过分类整合等功能，甚至能够分析某一社会群体的行为样态和行为模式。在“互联网 + 行业”的情境下，自然人通过授权数据平台个人信息的收集与使用权限，获得优质专业化的购物、出行、健康医疗等服务。在现代化国家治理的语境下，数据与个人信息的利用对于提升公共管理服务水平意义非凡。譬如，我国高水平的疫情防控在一定程度上归功于大数据技术的使用，健康码、行程码、流行病学调查、医疗服务信息、公共交通信息系统等构建了我国疫情防控的一道道“防线”。

个人信息的利用，对个人与社会都是一大利好。然而，缺乏合理监管与限制的个人信息利用，将会数倍放大人类在信息时代的“焦虑感”。此种“焦虑感”是人类对隐私的“遮羞布”被反复撕扯的不安与恐慌，是人类对人格尊严被挑战而难以反抗的无力感。面对具有“私权力”属性的互联网平台企业和公共权力，信息主体的维权能力是有限的。

与此同时，我们必须看到，由于个人信息兼具个人属性与社会属性，“个人信息上不单纯有个人和企业利益，还涉及国家利益” [ 5 ] 。截至2021年9月底，我国移动电话用户总数达16.4亿，移动互联网程序在架数量达到274万款，第三方应用商店应用分发总量达到20,164亿次，各类APP蓬勃发展。由此可见，由于庞大基数的应用程序使用者，互联网平台企业违规收集和使用信息主体个人信息的行为，不单是针对单一信息主体的违法行为，已然严重侵害社会公共利益，加剧了公众对互联网平台企业的不信任，不利于数据的流通与利用。

再者，“个人信息保护事关国家的经济发展潜力和国家信息安全。一国的信息保护水平如果与国际脱节，这将成为他国对该国实行贸易壁垒的主要依据，该国的企业在‘走出去’过程中将受到歧视性对待，该国将长期处于个人信息‘流动’的逆差状态，影响一国的国际竞争力与国际地位。” [ 6 ] 根据GDPR第44条、45条，个人数据跨境流动需要满足“充分保护”的条件，充分保护是指数据接受国或国际组织、接受国的某一区域、或某一特定部门对个人数据进行符合欧盟标准的充分保护，而界定充分保护，则需要考量法治、对人权与基本自由的尊重、接受国个人信息保护国际性承诺以及具有独立执行权力且有效运作的独立监管机构等要素。由于目前我国个人信息保护体系尚未完善，难以达到欧盟的“充分保护”标准，导致我国公司不得在境内处理欧盟客户的个人信息。我国在跨境信息流动和国际服务贸易中处于劣势地位，因此加大个人信息保护力度，加速个人信息保护领域立法进程实在不行。

不难发现的是，对于个人信息领域的立法，其目的和初衷在于实现个人信息保护与利用的平衡。根据GDPR第1条，制定该条例目的一方面是保护自然人的基本权利与自由，尤其是关于个人数据的权利，另一方面则是保障个人数据的流通与发挥其利用价值。虽然我国个人信息保护法关于立法目的与宗旨的第一条中未直接阐述个人信息的流通，但是其在后续章节中明确规定了个人信息流通的相应准则。

从个人信息利用的功能视角切入，个人信息利用不仅能够造福个人的生活、提升生活质量，而且能够提高平台企业及周边产业链的经济效益，形成新的经济增长点。不可忽视的是，个人信息合理利用亦是推动国家治理数字化现代化的重要工具。一言以蔽之，个人信息利用与保护的平衡，求其实质是个人、平台和国家多方利益的周旋。构建有效且有实际执行力的个人信息保护体系，厘清个人信息保护的内在利益逻辑是至关重要的。

大数据一方面增进了个人生活便利和社会福祉，另一方面也导致了社会权力结构的变化。以国家机关、其他履行公共职能的组织、国内外大型平台等“准官僚化”机构为代表的数据权力主体大规模地集聚并利用个人信息来塑造与调整个人的行为，成为最主要的侵害风险源。 [ 7 ] 而个人信息保护的首要目标则是控制风险源制造风险、预警监控风险现实化，协调各方主体的利益关系。而笔者认为个人信息的利益架构主要涵摄以下三方主体关系：

其一，个人与平台企业的关系。各大应用程序、智能出行、智慧医疗、物联网、电子商务等“互联网 + 行业”为社会公众带来便捷服务的同时，用户个人信息保护问题日益严峻。互联网数据平台的运作，需要大数据和算法的支撑，个人信息的收集和使用是不可避免的，譬如使用打车软件时，势必需要定位服务开启授权APP获取位置信息。而在缺乏有效法律监管的运营环境下，由于商业利益的驱动，要求企业自律经营作用是有限的。近年来，各大数据平台过度收集、使用公民个人信息的现象层出，例如朱某诉BD案中，原告朱某曾使用BD公司浏览器搜索“减肥”等关键词，BD公司使用cookie技术留存原告搜索的关键词后，向原告精准推送“减肥”相关广告信息。原告以被告侵犯其隐私权为由，向一审法院请求被告停止侵权，承担精神损害赔偿、取证公证费用等。 [ 8 ] 个人信息的聚沙成塔导向了“数据垄断”下信息处理者与个体之间高度不对称的权力结构，这使得信息处理机构对个体造成的压迫感愈发强烈，增加了个人的无力感。

其二，个人与公权力的关系。公民个人信息是高效社会管理系统的运作工具，“互联网 + 政务”模式下的个人信息早已溢出私人法益的范畴，具备公共性权利属性。现代化数字治理手段，贴合政府公共管理与服务职能调整方向，契合提升国家治理水平和治理能力的改革要求。各大政务平台的上线，在提升行政效率的同时，推动行政服务真正实现便民与利民的目标。数字化侦查手段的应用，对快速准确侦破犯罪、保障社会稳定安全做出巨大贡献。公权力作为个人信息利益架构中至关重要的一环，负有个人信息国家保护义务。一方面作为数据控制者和使用者，公权力应履行尊重私人生活、避免干预个人安宁的消极义务，合法合规收集和使用公民个人信息，处理和使用公民个人信息应当以公共利益为目的作为先决条件；另一方面公权力应通过积极保护，支援个人对抗个人信息处理中尊严减损的风险。个人信息国家保护义务是宪法国家保护义务的具体样态之一，公权力履行国家保护义务具体形式包括构建完善的个人信息法律规范体系、强化对平台企业的监管职能以及建立个人信息保护多元救济机制等。

其三，公权力与平台企业的关系。首先，公权力在职责范围内负责个人信息保护与监管工作，监督平台企业规范化、合法化运行。根据我国《个人信息保护法》第六十条规定，国家网信部门负责统筹协调个人信息保护工作和相关监督管理工作，国务院相关部门以及县级以上地方人民政府有关部门在职责范围内负责个人信息保护和监督管理工作，通过行政手段监督各大平台企业合法合规收集、使用公民个人信息；其次，数据跨境流动涉及国家安全，公权力对于平台企业的跨境数据流动负有监督管理职责。

总而言之，大数据时代个人信息保护面临的多方利益冲突、各主体实力相差悬殊以及发散性侵权的复杂形势。 [ 9 ] 而在此形势下，构建全面化、体系化、有效化的个人信息保护机制，首要的便是厘清三方主体之间的利益平衡逻辑。

“‘两头强化’是指建立‘个人敏感隐私信息’的概念，在个人敏感隐私信息与个人一般信息区分的基础之上，通过强化个人敏感隐私信息的保护和强化个人一般信息的利用，调和个人信息保护与利用的需求冲突，实现利益平衡。” [ 11 ] 比较视野下，根据欧盟《GDPR》第9条，敏感个人信息被称为特殊类型个人信息。《GDPR》在第九条第一款中规定了特殊类型个人信息的种类以及不可处理的基本原则。而在第二款中规定了第一款不可处理的例外情形：数据主体已经明显公开、取得数据主体授权、提起、行使或辩护法律性主张必要时等特殊情形。

我国民法典中亦存在对敏感个人信息的界定。根据我国民法典第一千零三十四条，我国采取个人信息保护与隐私权分离的保护思路，个人信息分为个人一般信息以及个人隐私信息，个人隐私信息的保护适用隐私权的相关规定，但是《民法典》并没有建构具体的敏感个人信息保护规则。

而在2021年11月生效的《个人信息保护法》中，第二章第二节明确规定了敏感个人信息的处理规则。我国个人信息保护法规定只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息，与此同时处理敏感个人信息需要个人的单独同意。对敏感个人信息的保护很大程度上不是采取特殊的法律责任的方式，而主要是在个人信息处理环节规定特殊的个人信息处理方式。在敏感个人信息处理过程中，对信息处理者的要求越严格，越有利于保护敏感个人信息。 [ 12 ]

“‘三方平衡’是指个人对个人信息保护的利益(核心是人格自由和人格尊严利益)、信息业者对个人信息利用的利益(核心是通过经营活动获取经济利益)和国家管理社会的公共利益之间的平衡。平衡是一种张力状态，各利益主体的核心利益得到保护和实现，并让渡非核心利益作为他方实现其核心利益的条件和基础。” [ 13 ] 个人、政府、企业三方利益的交融与主体权益让步是个人信息保护的底层逻辑。对于平台企业而言，通过个人信息授权和国家保障信息行业良好规范运行，有利于实现其商业价值的实现。相应的，平台企业在使用个人信息的同时，应当尊重个人信息权益和隐私权，遵守国家对于相关从业者的管理规定；国家一方面负有规范使用个人信息的义务，其对于个人信息的使用仅限于以公共利益为目的，另一方面国家负有保护个人信息权益免受平台企业侵犯的积极义务，包括但不限于构建完善的个人信息法律规范体系、搭建全方位的个人信息救济机制。与此同时，良性的信息产业生态，对提升国家综合实力、国际竞争力具有重要意义。

笔者认为，伴随信息技术的发展，人类进入到以数据化、网络化和智能化为特征的大数据时代。这个时代最主要的特征是数据化生存，科学研究、商业活动、社会治理等无不依赖数据，数据成为支撑这个时代发展的新资源。 [ 14 ] “两头强化、三方平衡”的个人信息治理逻辑，正确揭示敏感个人信息保护的重要性、一般个人信息与敏感个人信息区别保护的必要性，深刻分析个人信息保护立法牵涉的多方主体利益交融。但是此平衡逻辑并未察觉大型互联网平台企业的“私权力”属性。

由于个人数据的使用大大超出了个人的预期与偏好，个人和数据控制机构之间存在严重的信息不对称，产生了严重的信任危机。这种危机会影响数据的真实产生和自由流动，从而阻碍创新和大数据潜力的发挥。“基于场景”的数据应用应当是恢复信任的重要措施。

笔者认为基于场景的个人信息保护其主要原因是在“互联网 + 行业”的模式中、在不同的场景下，平台企业提供基本服务所需个人信息类型不同，涉及的个人信息种类不同，个人信息隐私程度亦是差异的。譬如说，打车服务，打车平台需要信息主体授权个人联系方式、实名信息以及实时更新的位置信息，方可满足基本的服务要求，其所需的个人信息隐私性较高，且需要实时更新与收集。在“互联网 + 健康医疗”的场景中，消费者获取优质医疗健康服务的同时，需要授权平台企业收集和使用本人既往病史、身高、体重、年龄、性别、遗传病、健康状况等个人信息，可以说“互联网 + 健康医疗”模式所需个人信息隐私性更高。

于此同时，笔者认为建立基于场景的保护体系，能够推动最小必要原则实质化运作。最小必要原则是国内外法律实践中被普遍接受的个人信息处理原则，其源自传统的比例原则。以“最小”对“必要原则”的内涵进行限定，意味着该原则必定包含“负面影响最小”“最小侵害”等内容。 [ 17 ] GDPR中规定个人数据的处理应当是为了实现数据处理目的而适当的、相关的和必要的，也就是数据最小化原则。我国个人信息保护法中第六条规定处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。由于不同场景，所需求的个人信息类型及其隐私性不同，因此不同场景下所需实现处理目的修小范围必然是存在差异的，故而基于场景的保护体系方可对症下药，实际解决问题。

《经合组织指南》确立了八条个人数据保护基本原则，其中责任担当原则要求数据控制者应该落实采集限制性原则、数据质量原则、目的说明原则、安全性等其他七项原则。平台企业作为数据控制者之一，由于与信息主体的非对称权力结构、“私权力”属性等特征，推动其成为个人信息保护利益平衡逻辑的关键点。

虽然我国刚出台的《个人信息保护法》第五章中规定了个人信息处理者的义务，但是笔者认为要真正发挥平台弥补在互联网领域政府规制能力缺陷的功能需要更为完善的义务设定。有学者基于控制者义务理论与经济合理性提出“守门人”个人信息保护特别义务，认为国家应通过立法明确设定“守门人”负有发现并阻止违法行为的义务。同时也有学者认为网络企业应当对个人信息保护承担信义义务。信义义务的来源是网络用户因信赖平台组织而产生的信赖利益；而网络用户的规范治理能力推动其能够承担这一义务，满足可行性的要求；与此同时，网络企业的信义义务是对个人信息保护法的填充，能够互相搭配推动虚拟世界的有效治理； [ 18 ] 笔者赞成这种观点。首先，政府和舆论能够网络企业对信义义务的履行；其次，信义义务主要包括两方面：一是忠实义务，防止义务主体背叛；二是勤勉义务或者注意义务，督促义务主体积极履行职责。平台组织内网络企业与网络用户之间围绕着个人信息的关系问题与这种信义关系非常符合，对网络企业的忠实义务和勤勉义务的要求，既为网络企业划定防止堕落的消极义务，又对其提出了不断向善的积极义务。

我国民法典1037条规定个人信息的查阅权、复制权、异议更正权与删除权，而在2021年11月通过的个人信息保护法中，对上述权力进行清晰的规定，同时增加数据携带权。所谓的数据携带权是指个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径。这个概念欧盟《一般数据保护条例》草案中首次提及的。对于个人信息保护中，信息主体个人权利的细化界定与增设权利，深刻反映加强个人对数据的控制能力以限制信息处理者不当收集和适用个人信息行为的发生，符合以人为本的个人信息保护理念和三方平衡同时重点限制平台权力的利益平衡逻辑，也是未来个人信息保护领域的一大立法理念。