內容提要：就個人信息上是否有抽象個人信息權的問題，存在分析路徑和觀點的爭論。采取民法傳統的權利分析路徑，立足解釋論自下而上地分析可以發現，我國民法典、個人信息保護法針對個人信息的內容層，實際規定了三類具體權利：決定他人是否有處理權限的利用性權利、他人沒有處理權限時的防御性權利和他人有合法權限時的權利。其中，前兩項具體權利向上統轄于個人信息保護法第44條規定的個人信息決定權，個人信息決定權就是在利益歸屬描述上采取排他策略、具有相當追及效力的非典型支配權。個人信息權利體系包括指向個人信息初次分配秩序的個人信息決定權和指向個人信息交換處理秩序的知情權、攜帶權。
一、個人信息保護中的權利分析問題
在個人信息保護的相關研究中，普遍存在這樣一個問題，即個人信息受保護的狀態是否構成一項權利？民法典人格權編第六章的標題，明確提出“隱私權”但卻沒有使用“個人信息權”的概念，而是代之以非權利化的“個人信息保護”的表述。有學者結合民法典的立法資料，認為立法沒有對個人信息保護采取權利規則模式。也有學者立足個人信息的特殊屬性，認為在個人信息保護上無法采取權利化的處理方式。問題是，如果個人信息受保護的狀態不構成權利，那么個人信息保護法中規定的個人在個人信息處理活動中所享有的各種權利，又當如何理解，這些規定難道不是明確顯示出個人信息受保護狀態的權利化嗎？
（一）權利分析的核心問題：是否存在抽象的個人信息權
有學者提出，個人信息保護法中規定的權利僅是個人信息處理活動中的具體權利，這些具體權利在根本上保護的并非絕對性的“個人信息權”，而是“個人信息本權權益”。該觀點承認存在“抽象權益統轄具體權利”的內在體系結構，但認為個人信息保護法對具體權利的規定和承認，并不等同于承認個人享有如同物權等抽象支配權一般的統轄具體權利的“個人信息權”。
認為不存在抽象個人信息權的理解，在解釋上似乎也比較契合個人信息保護法的規定。該法在第一章“總則”中，僅使用“個人信息權益”概念來抽象描述自然人個人信息受保護的總體狀態，而沒有使用“個人信息權”的表述。不過，就此也存在反對觀點。有學者認為，個人信息保護法規定的具體權利，實際上已經使個人享有了針對個人信息處理行為的有限的自主控制，這種控制雖然不是對客體的圓滿控制，但與知識產權一樣，事實上仍然構成抽象的支配權。也有學者提出，雖然沒有個人信息權的抽象權利界定，但民法典第111條“個人信息受保護”的法律規定，已使個人信息受保護的法律效果與“個人信息權”沒有差別。
可見，在個人信息保護的相關研究中，權利分析的核心問題是在個人信息保護法規定的各項具體權利之上，是否存在一項如同抽象支配權一般的“個人信息權”。如果存在，這一抽象權利向下衍生的具體權利有哪些，這些具體權利之間又是什么關系？
（二）權利分析問題的意義
前述分析問題絕不是無意義的邏輯游戲，而是涉及對個人信息保護法中個人受保護狀態的根本認識和不同理解，對具體法律糾紛的解決有明顯的實際影響。在“微信讀書案”中，北京互聯網法院特別強調，個人信息不僅涉及人格尊嚴和人格自由價值，而且涉及信息利用、流通價值，因此“個人信息是受法律保護的法益，尚未上升至權利”。這實際上是認為在具體的個人信息權利之上僅存在抽象的“個人信息權益”，而不存在“個人信息權”，其在侵權法上受保護的強度不應同于物權等支配權，而應與“利益”相當。
法院正是從這一判斷和概念分析出發，以“場景化”這樣一種更傾向于處理者一方的標準，來特別權衡、認定具體的個人信息處理行為是否具有違法性、侵權責任是否成立。可見，抽象權利存在與否的定位，影響侵權責任認定標準等一系列具體法律問題的處理。是采取更接近于支配權的處理規則，還是采取更接近于非支配權的處理規則，對于個人信息保護與個人信息利用及行為自由的價值協調來說，顯然是不同的。
因此，有關個人信息的權利分析問題，根本上是價值判斷問題，對該問題的不同回答，既體現了不同分析者對個人信息保護法中立法原意的不同理解，也體現了分析者自身所秉持的不同認識理念和價值判斷，而這種價值判斷又會系統性地影響具體法律問題的處理立場。自分析哲學誕生以來，人們就已經認識到，分析和描述是根本性的問題，因為不同分析所采用的概念語言、方法本身，就深層次地體現了分析者所持有的認識論和價值觀，拋開對分析語言、方法的解析，就無法清楚地意識到相關認識的基礎，無法展開客觀的討論。
由此，對個人信息保護中的上述權利分析問題予以深入梳理和闡明，就是要厘清立法者究竟采取了何種認識論和價值觀，是否確實采取了不存在抽象“個人信息權”、更傾斜于個人信息利用及行為自由的價值立場？對該問題的回答，可以為個人信息保護中具體法律問題的處理，提供一個較為客觀和堅實的認識基礎。
就個人信息保護中具體權利之間的相互關系、是否存在抽象權利統轄具體權利的描述問題，目前的研究存在兩種不同的路徑：一種路徑采取民法傳統的權利分析概念和方法，要么認為存在“個人信息權”這樣一種抽象權利統轄具體權利的自上而下的體系，要么認為只存在“個人信息權益”統轄具體權利的結構；另一種路徑則認為不能用傳統的民法權利分析路徑來解決前述分析問題，而應當使用“權利束”的分析概念和方法。采取該路徑的研究，有的認為存在抽象的個人信息權或權益，有的則反對這種體系化的論述，甚至認為根本不存在抽象權利或者權益統轄具體權利的結構體系。
（三）既有分析觀點的不足
無論是采取民法傳統權利分析路徑還是批判這些分析路徑的研究，實際上都不是建立在民法傳統權利分析路徑中的基本概念類型上，甚至也沒有對民法中的“權利”概念本身予以抽絲剝繭的闡釋，而更多是對民法上所有權、用益物權、絕對權、框架權等抽象權利概念的理解、應用和反思。宏觀的“定焦”視角，也使得該路徑下的既有研究常常缺少對民法典、個人信息保護法中個人具體權利的細化解釋，沒有深入闡明它們如何與抽象權益或者權利產生統轄關系。
另一方面，采取權利束分析路徑的大多數研究，其實也很少使用權利束分析方法中的八個元概念。這些研究更多停留在宏觀的分析觀念上：推崇權利束分析方法下非整全式的、可拆解的、可鍛造的分析思維，以至于忽視了權利束分析方法下，由其基本概念的特點而帶來的一些弊端。此外，完全摒棄這些元概念的權利束分析，不僅缺少微觀描述工具，也缺乏對實證法上具體權利、法律關系的細化解釋和全面分析，最終使得個人信息保護中具體的“權利束”“權利塊”與“框架權”概念一樣，成為模糊不清的“黑箱”“青囊”。
總體而言，個人信息權利分析的既有研究，不論是采取民法傳統的分析路徑還是權利束的分析路徑，大多存在與基本概念相脫離的現象。這一方面導致對相關分析方法的誤解，另一方面則使得既有描述仍然局限于較為宏觀的層面，對實證法規定的、較為微觀的個人權利及具體法律關系缺少關照和全面分析，導致相關描述可能更多體現了“前見”，而對立法者的原意即立法者所秉持的認識論和價值觀，分析、闡釋得不夠。
要進一步明晰和克服上述問題，首先需要對民法傳統權利分析框架和權利束分析路徑有一個系統性的深入闡釋，由此才能選擇恰當的權利分析框架和分析路徑，為后文展開分析奠定堅實的基礎。
二、個人信息權的分析路徑選擇
（一）民法傳統的權利分析路徑
1.民法上的權利概念：利益歸屬效能和權利關系的指向性
在民法傳統理論中，權利被認為是由主體意思決定特定事項、得到法律強制力支持、以保護主體特定利益的法律關系。這一理解承認權利同時具有意志論和利益論兩個面向。
權利的利益論強調權利具有利益歸屬效能，事前在一定的主體間關系中將確定的利益歸屬于特定主體，因此處于該關系中的主體侵害權利時，即具有違法性；而單純的利益一般不具有確定的事前歸屬效能，所以侵害利益并不一定具有違法性，而是需要在個案中特別權衡。我國侵權法雖然沒有以利益歸屬效能來劃分權利和利益，明確設置不同的違法性認定規則，但司法實踐中區分權利和利益來認定行為違法性的思維仍普遍存在，特別是在個人信息保護案件中，這種思路體現得尤為明顯，前述“微信讀書案”即為適例。
權利要發揮利益歸屬效能，自然應有關于利益歸屬的描述，指明是在哪些主體的相互關系中、將何種利益歸屬給了特定主體。該項描述既可能十分具體、清晰，采取精細的治理描述策略；也可能十分寬泛，圍繞客體大致框定所歸屬的利益范圍，采取抽象的排他描述策略；還可能采取介于兩種策略清晰度之間的方案。同時，權利的利益歸屬效能并不絕對，即使是所有權，相鄰關系、緊急避險、正當防衛、征收等，也都會使所有人負擔法定容忍義務，導致權利歸屬效能受到限制。正因如此，權利歸屬效能被認為僅產生“違法性征引”的效果，仍可基于特別的限制規定推翻違法認定，但加害人應承擔舉證責任。
上述理解對權利分析有兩點啟示：第一，權利的利益歸屬描述不能過分模糊而不知邊界，至少應當在事前給定利益歸屬的大致范圍，否則難以發揮歸屬效能；第二，權利的歸屬效能主要體現為“推定違法”的效果，所以即使侵害權利最終因存在抗辯事由而不具有違法性，也不能就此認為權利沒有歸屬效能。
權利與利益的區別還應當考慮權利概念的意志論面向，即歸屬給權利主體的利益要發生變動，原則上應當基于該主體的意思。而且，對于違背權利主體意思、妨害利益歸屬關系的行為或狀態，也只有在權利主體主張的情況下，法律保護機制才會啟動。這一特征也被表述為權利關系的指向性。正因如此，權利關系中的義務都是指向性義務：處于權利關系中的主體違反義務時，只有權利人可以要求履行該義務或者賠償，同時權利人也可以選擇寬恕。沒有權利而僅存在受保護的利益時，雖然也能導致相對人負擔義務，但該義務卻是非指向性的，沒有特定私人主體可以主張履行義務或者寬宥義務的違反。
這樣，個人有意思能力、具有民事主體資格是權利構成上的內在必備要素。由此，死者名譽、肖像等保護才被認為并不是有關權利的保護，而成為權利與利益相區分的典型事例。
2.“請求權—形成權—抗辯權”的分析框架：可“變焦”的元概念
基于權利的意志論面向，從主體間關系的角度出發，圍繞權利具體內容、效力的差別，形成了“請求權—形成權—抗辯權”的分析框架。其中，請求權是請求義務人為或者不為特定行為的權利，該權利指向的積極利益需要通過請求義務主體，在義務主體對其自身行為的支配中得到實現；形成權是指權利主體依單方意思就可以變動主體間既有法律關系的權利，相對人需要予以服從；抗辯權則是權利人依單方意思阻卻相對人的請求權主張的權利，但抗辯權也可以針對相對人的形成權，理論上認為存在形成抗辯權。
請求權概念是描述主體間權利關系的元概念，不僅可以用來描述微觀的具體主體間的關系，也可以對較為抽象的、體系性的宏觀法律關系予以描述，例如對世的或者指向特定范圍內主體“不得干涉”的抽象請求權，從而是一個可“變焦”的概念。正是在這個意義上，物權等支配權被認為是對世的請求權，請求權由此成為物權、債權等權利關系的公因式。同時，變動請求權關系的形成權和對抗請求權的抗辯權與請求權具有對應關系，所以與請求權一樣也具有“變焦”功能，也是構建主體間關系的元概念，是與請求權并列的“第二類型的權利”。
與此不同，支配權概念并非描述主體間法律關系的元概念，該概念最初就代表了一種理解和描述權利關系的抽象立場。
3.支配權：從抽象控制效果到抽象的利益歸屬描述
同樣是基于權利的意志論面向，薩維尼從“主體—客體”關系的視角出發，提出權利關系的本質是“意志所支配的領域”，其中“支配”是比較抽象的“控制”含義，而“領域”主要體現為不同類型的客體，包括特定物和他人的特定行為等。按照這一理解，構成權利的關鍵在于相關法律關系安排能否實現主體意思控制特定客體的效果。這種按照“主體—客體”的關系結構，基于主體對客體的抽象控制效果所理解的權利，就是廣義的支配權（Herschaftsrechte），也被譯為“控制權”。根據客體類型不同，廣義支配權可以劃分為控制特定物的物權（Sachenrechte）、控制他人特定行為和財產的債權（Forderungen）、控制無形財產的知識產權以及控制人身的人格權等。
廣義支配權立足主體對客體的抽象控制效果界定權利，但對于控制效果得以產生的具體內在機理以及指向客體的關系如何轉化為主體間關系，缺少細致闡釋，其權利觀念也就難免過于抽象、寬泛。特別是在請求權等描述主體間關系的元概念被發現以后，大而化之的支配權概念逐漸退出歷史舞臺，取而代之的是狹義的支配權概念。
狹義的支配權概念在堅持“主體—客體”關系的基礎上，對控制效果的實現機制予以了一定的細化描述和限制，要求權利主體在客體上直接實現控制，而不需要他人意思的積極協助。這種理解一方面使得支配權與請求權被嚴格區分開來，另一方面也導致以請求權為核心內容的債權被排除出支配權的范疇。民法典第114條第2款正是采取這種狹義的支配權理解，將物權界定為“直接支配”特定物的權利，這種理解也被稱為“直接支配”教義。
然而，直接支配教義忽視了對客體關系的構建最終還是要回到解決主體間關系的問題上，而且，在密切關聯的社會生活中，對客體的控制也無法絕對不需要他人意思的協助。正因如此，學者對直接支配教義提出批評，指出其既沒有揭示出支配權作為法律關系的本質，也與定限物權等支配權實際上需要義務人意思積極協助、權利主體無法直接控制客體的現實相矛盾，進而認為支配權的本質不是“直接支配”，而是物等客體在法律上歸屬于權利主體、不歸屬于其他主體的法律關系狀態。但這樣一種客體歸屬理解忽視了支配權在利益歸屬描述上的特殊策略，沒能清晰揭示出從客體歸屬轉化為主體間關系的內在邏輯。
從權利的利益論面向來看，支配權在根本上就是要回答，在對世的主體間關系中，到底誰有權使用客體、享有相應的收益，以完成對客體用益利益（use）歸屬的描述。該任務不是通過事前一一列舉歸屬于權利人的具體用益利益來完成，而是圍繞客體說明支配范圍的大致邊界，將邊界內各種未闡明的用益利益都“打包”歸屬于權利人，并要求所有不特定他人均不得越界，從而定分止爭，完成主體間法律關系的抽象界定。這種獨特的描述策略也被稱為“排他策略”（exclusion strategy）。
4.支配權的追及效力及其層級構架
支配權蘊含的上述利益歸屬描述，在事前為主體間具體法律關系的構建設定了目標和基準，劃定了抽象的客體歸屬秩序。該秩序在事后的實現和貫徹，則遵循了以客體為中介的追及效力邏輯，即以客體之所在界定具體法律關系的主體，并利用描述主體間法律關系的元概念，有針對性地演繹出具體的請求權關系或形成權關系：一旦其他主體有具體越界行為，支配權人就可以“追及”到客體所在之處，請求排除妨害，形成具體的請求權關系，也可以選擇不排他，允許他人利用和開發客體資源，即依單方意思特別授予或者終止他人越界實施特定行為的權限，形成具體的形成權關系。
可見，支配權本身就包含了請求權、形成權等權限（Befugnisse），以具體實現支配權所設定的客體歸屬秩序。正因如此，作為支配權權限的請求權、形成權等權利在與支配權的關系中，也被描述為衍生權利（sekündären Rechte），與支配權形成了“原生權利（primären Rechte）—衍生權利”的層級關系。
不過，支配權在采取排他策略和產生追及效力上并不絕對。比如，法定容忍義務或者禁止權利濫用原則等，都可能導致特定他人對于支配權人的請求享有相應的抗辯權，從而限制了支配權的追及效力，導致該他人可以例外阻卻違法、越界獲取特定用益利益，但該他人需就抗辯權的成立承擔舉證責任。
（二）權利束的分析路徑
“權利束”概念的提出，主要來自霍菲爾德的分析法學體系。依此分析路徑，許多傳統的權利類型都可以被描述為“權利束”，合同債權也是某種權利束。
1.放棄“主體—客體”的結構觀念和抽象描述策略
權利束理論認為不存在對客體的支配關系，在權利的分析上完全摒棄了“主體—客體”關系的邏輯。所謂對物權，實際上僅是特定主體與其他主體之間一系列具體法律關系的集合。這一立場和觀點根本上是反對采取排他策略，因為這種策略預先全無全有式地、大而化之地認為邊界內的用益利益原則上都應當歸屬于權利人，不僅缺少靈活性，而且忽視了具體主體之間在具體事項、場景下具體用益利益的歸屬判斷。
然而，這種摒棄對物權理解和排他策略的做法，必然導致財產權喪失其內在本質。也正因為如此，權利束理論認為，是否將特定權利束所對應的法律關系集合稱為“財產權”，僅是實在法的歷史性決斷，具有明顯的唯名論特征。按照權利束理論的觀點，任何法律關系都應當是具體的主體間關系。權利束所指向的具體法律關系，是由八個基本法律概念構成的關聯關系或者相反關系。這八個基本法律概念包括：權利（right）、無權利（no-right）、義務（duty）、特權（privilege/no-duty）、權力（power）、責任（liability）、豁免（immunity）、無能力（disablity）。這些元概念在內容上呈現出高精度的特點。
2.高精度的權利分析概念以及法律關系描述策略
權利束理論反對抽象的利益歸屬描述，使得霍菲爾德反對使用以抽象的“不得干涉”為內容的權利、義務概念，其所提出的“權利”（right）概念，實際指向的是內容非常具體、特定的請求（claim）事項，是對特定用益利益在具體主體之間歸屬的高精度描述。例如，X有請求Y不得吃某一特定的小蝦沙拉的權利。可見，權利束中的“權利”概念雖然與民法權利分析路徑中的“請求權”概念類似但不相同，其在內容上有更高的精度要求，使用這些概念來描述權利關系，可以實現高確定性的利益歸屬效能。
由于權利束中的義務與權利相對應，所以權利束中的義務概念也僅指以精確事項為內容的義務，而不包括“不得干涉”這種抽象義務。特權概念與義務概念相對應，兩者形成矛盾關系，精度也就相同。權力指特定主體依一方的意思就可以決定自己和他人或者他人和他人之間法律關系的資格。其中被決定的法律關系主要就是由權利、義務、特權所構成的精確法律關系，因此權力概念所指向的內容也是非常具體、特定的事項，從而與民法傳統權利分析路徑中的形成權概念相區分。責任、豁免概念與權力概念分別形成關聯關系和矛盾關系，相互對應，精度也就相當。
權利束分析路徑下，高精度的元概念模式與其摒棄對物觀念的做法，都是為了避免事前出現抽象的利益歸屬描述，而試圖通過高精度的元概念，在指向客體的權利關系上，對特定用益利益的具體歸屬清晰表述、一一列舉。這種高精度的利益歸屬描述方法也被稱為“治理策略”（governance strategy）。治理策略與排他策略構成了描述權利關系時清晰度譜系的兩端，傳統的物權等支配權傾向于排他策略，而著作權和具體的合同債權則傾向于治理策略。
3.小結
綜上，權利束分析路徑堅持對權利現象予以更精細、具體而非抽象的描述，形成了有關權利現象的獨特結構觀念和高精度的描述分析概念，提供了一種描述權利關系的“顯微鏡模式”，具有精細、清晰并為利益協調提供更多靈活處理空間的優點。但這種原子式的描述強調，未明確考慮和說明的利益歸屬關系不能由抽象目標推演生成，而必須一一具體闡明和分析，呈現出“決疑式”的思維特點，存在只見樹木、不見森林的缺陷，常常被當作掏空權利價值內核的武器，成為一種解構而非建構的理論。不僅如此，事前對法律關系背后的利益歸屬予以精細化描述，實際也存在“不勝枚舉”的巨大信息成本，而且并非一概都可以被相應收益正當化。
（三）分析路徑選擇
1.民法傳統的權利分析路徑可適應不同的策略需求
如前所述，既有研究對民法傳統權利分析路徑的批評，主要立足于對支配權的反思，但該反思將支配權理解為一種全面支配、邊界清晰的權利，這種反思并不公允。如前所述，支配權在事前只是大致明確了支配的內容和邊界，事后還可以通過抗辯權法律關系的構建，對特定用益利益的歸屬予以特別調整。
支配權在利益歸屬的描述上，只是采取了傾向于排他策略的立場，在事前明確了法律關系界定應當遵循的一般內在目標和邊界范圍，以此作為事后具體法律關系推演、構建的基礎，提供了大致預期。另一方面，又可以依照追及效力的邏輯，在客體所在之處演繹形成具體的請求、形成法律關系。既有從大處著眼的整體描述，又有從小處著手的處理路徑。
即使有時支配權傾向于排他策略的處理，成本巨大，不宜適用，也可以采取民法傳統權利分析理論下的請求權、形成權、抗辯權來細化描述具體法律關系，走向治理策略。而且“請求—形成—抗辯”概念在權利關系理解上具有“變焦”功能：既可以對具體的、非體系的微觀法律關系予以描述，也可以對較為抽象的、體系性的宏觀法律關系予以描述。因此，通過這三個概念的“變焦”使用，可以實現清晰度介于排他策略和治理策略之間的描述方案。
因此，民法傳統的權利分析路徑，可以既見樹木又見森林，還可以只見樹木或者只見森林，能夠滿足描述、構建權利關系之不同精度和不同策略的需求。
2.權利束分析路徑過于精細的問題
權利束分析路徑所奉行的針對單一具體法律關系作原子式描述、不對權利關系的內在目標和客體歸屬作整體抽象界定的治理策略，雖然高度精細化，但也必然高度碎片化，信息成本巨大，常常難以完全列舉。特別是在對權利關系予以整全式系統描述時，采取這種“決疑式”方法基本是不可能的。
權利束理論的前述特征，在本質上與抽象的成文法立法模式、思維存在沖突。實際上，個人信息立法也不是在權利束的概念體系下理解和使用權利概念的。例如，個人信息保護法第47條規定的刪除請求權，仍然是一種高度抽象的請求權，而非權利束分析路徑中主體、內容都高度精確、具體的請求概念。因此，在對個人信息權利的系統性全面描述中，采取權利束的分析路徑并不妥當。
依權利束理論一一列舉主體間法律關系而不作兜底概括描述的做法，與既有的民法責任體制也不相協調。從權利束分析理論來看，主體間的法律關系主要圍繞行為要求展開，形成了一種行為規制模式，法律責任的構成似乎必須基于具體的不法行為。但實際上，法律上的責任并非僅來源于不法行為，也可能產生于單純的、與具體行為無關的抽象不法狀態，民法上的妨害人責任（Störerhaftung）、不當得利責任等，都包含了典型的由不法狀態引起的責任。
3.應當采取自下而上的外在視角
民法傳統權利分析框架的應用可能存在兩種不同的視角。一是，預設存在特定的原生權利，然后據此向下演繹、構建為保護和實現原生權利的衍生權利，即自上而下推演的內在視角；二是，不預設存在特定的“原生權利—衍生權利”的層級結構，而是圍繞實在法的規定，總結分析具體法律關系中的權利類型，并判斷這些具體權利關系的構建和生成是否圍繞抽象利益歸屬的排他策略和追及效力邏輯衍生得出，是否向上統轄于作為原生權利的支配權，即一種自下而上的外在視角。
在既有研究中，有的采取了自上而下推演的內在視角，先預設存在個人排他控制其個人信息的目標和原生權利即支配權，再按照排他策略和追及效力的思維向下演繹出保護和實現支配權的具體衍生權利。但問題是，個人在權利分配秩序上是否享有支配權般的個人信息權，本就爭議極大，應當作為考察的對象，而非分析演繹的起點。
因此，應當采取一種自下而上的外在視角，不預設存在抽象目標和支配權統轄其他權利的層級結構，而是結合實證法的規定來觀察、總結、判斷：個人信息法律關系中存在哪些具體權利，這些具體權利是否基于抽象的傾向于排他策略的描述和追及效力而推演生成，能否向上統轄于作為原生權利的支配權。
三、個人信息保護中的底層具體權利
（一）個人信息之界定
采取民法傳統的權利分析路徑，對個人信息權利作自下而上的全面分析，首先需要對“個人信息”概念予以明晰。這首先是因為個人信息概念與個人信息權利關系的利益歸屬描述密切相關，如果不能明確個人信息是什么，就無法在事前界定個人信息權利關系所歸屬的利益范圍，從而影響權利歸屬效能的有無和權利地位的判斷。其次，個人信息概念本身存在界定問題。由于信息的多種類別、多層結構，當我們使用“個人信息”概念時，容易產生混淆。
1.信息的外在類型和內在結構
根據認識論角度下主體與信息關系的不同狀態，形成了自在信息、自為信息、再生信息三種信息類型。其中，自在信息是沒有被主體認識的客觀信息，例如人類發現和了解DNA之前，DNA就一直在傳遞著的遺傳信息。自為信息是被主體主觀認識和記憶存儲的信息，例如人類發現和了解DNA后，被認識到并被大腦記憶存儲的DNA遺傳信息。再生信息則是在自為信息基礎上，經主體推理、想象而產生的信息，例如人類認識到DNA傳遞的遺傳信息后，推理出特定遺傳信息與特定疾病之關系的信息。
從符號學的角度看，在主體認識信息的過程中，信息本身還存在三個層面的內在結構，即物理層、符號層以及內容層。其中，物理層指物質載體承載符號表達的物理結構。符號層指文字等社會或者自然符號的特定編排方式，例如紙張上記載的文字有哪些，是如何組合在一起的。內容層則指符號表達的語義和語用。這種層級結構被知識產權學者引入法學，以區分作為客體的物、數據和信息，并認為知識產權的客體在根本上是作為內容層的信息。有學者進一步研究認為，作為知識產權客體的內容層信息應當是被客觀表達出來的、具有創造性的再生信息。
2.個人信息保護法中的個人信息
個人信息保護法第4條與民法典第1034條都要求個人信息“以電子或者其他方式記錄”。這意味著，個人信息應當被客觀表達出來，存在物理層、符號層的底層結構。因此，純粹未表達出來的、在客觀世界無跡可尋、僅停留在大腦中的主觀內容，不構成個人信息。“記錄”要求還表明，個人信息與“作品”一樣，其載體應當是固化載體而非瞬時載體，可以持續存在。
個人信息保護法第4條還要求個人信息與識別出來的特定自然人“有關”，被稱為“關聯說”。民法典第1034條則要求個人信息應當“識別特定自然人”，被稱為“識別說”。兩說在個人信息的構成上都強調信息的內容層面。因為是否“識別”、是否相“關聯”，顯然與信息所表達的語義、語用相關，只有基于信息的語義和背景，才能判斷該信息是否具有識別出特定個人或者關聯到特定個人的語用。
“關聯”“識別”要求同時意味著，還未被主體了解和認識的自在信息，不構成個人信息，因為這些信息尚未與主體產生關系，不可能有含義，更不可能有“關聯”“識別”的語用效果。例如，人類掌握DNA知識之前，DNA所記錄下來的遺傳信息就不是個人信息。人類掌握DNA知識、具備解讀DNA的能力之后，DNA遺傳信息才演變為自為信息，才可以構成個人信息。
綜上，個人信息保護法界定的個人信息，應當是具有特定語用、被客觀表達出來、可以持續存在的自為信息或者再生信息，具有物理層、符號層和內容層的三層結構。
3.個人信息權利指向信息的內容層
按照民法典和個人信息保護法對“個人信息處理”概念的界定，處理活動中的“個人信息”應當“可被存儲”“可被傳輸”。而個人信息的物理層作為一種物質載體的特定物理結構，本身就是存儲的結果、方式而非存儲的對象，并不具有可被存儲的特征。另外，這樣一種有形的物理結構可以被復制，卻難以通過電學信號予以直接無形傳輸。因此，作為權利客體或者對象的個人信息不應包括個人信息的物理層。那么，個人信息保護下的權利指向的個人信息是符號層還是內容層？
知識產權的相關理論已經表明，權利可以直接指向作為內容層的信息。但問題是，既然內容層必然以符號層為基礎，那么對內容層信息的控制，難道一定得指向內容層本身，而不能通過指向符號層來實現嗎？有研究提出，既然通過控制符號層就可以控制符號所傳遞的內容，那么將知識產權的客體界定到符號層就可以了。也有學者從激勵問題、信息悖論、數據信息公開等提高財產利用效率的視角認為，一般而言沒有必要將權利直接指向內容層。但這些觀點并不妥當。首先，建立在財產利用效率基礎上的論證，顯然不能直接應用于個人信息保護領域，畢竟個人信息還特別涉及個人人格尊嚴的實現。其次，個人信息權利指向內容層而非符號層，符合個人信息保護的目的。作為個人信息權利價值基礎的自決理念，根本上就是要使得個人可以控制自己在他人以及社會生活中的形象呈現，即具有社會交往意義的特定語用，指向的是內容層，而不是特定的符號。再次，個人信息權利指向內容層、數據權利指向符號層的分置方案，能夠較好地協調個人信息權利和數據權利的關系。一方面，一旦數據權利的行使涉及對數據承載的個人信息內容的利用，個人信息權利就優先于數據權利，可以排除或者限制數據權人在符號層上實施特定的行為。另一方面，在該種分置方案下，個人信息權人并不能直接向特定的符號層、物理層主張非排除性的自用權利，例如不能主張復制數據權人的原始數據。目前，個人信息查詢復制權的實現，也是向個人提供自然語言編制的信息表，以讓其查看、復制數據最終呈現的個人信息內容，而不是讓個人直接查看、復制原始的數據代碼。
接下來的問題是，根據個人信息保護法上的各項權利規定，是否存在抽象的以內容層個人信息為客體的支配關系？還是僅存在一個個未被支配權統轄的、以內容層個人信息為對象的請求權/形成權/抗辯權？從民法典、個人信息保護法的規定來看，個人在個人信息處理中指向內容層個人信息的具體權利主要有三類：決定他人是否有處理權限的利用性權利、他人沒有處理權限時的防御性權利，以及他人有處理權限時個人享有的權利。
（二）決定他人是否有處理權限的利用性權利
個人信息保護法、民法典要求處理個人信息前取得明確同意并在同意范圍內處理的規則，被認為是同意權的體現。
1.同意權
要求在個人信息處理前一般應取得明確同意的規則，實際上指向的是阻卻違法性的可單方撤回的同意，該同意本質上是授予相對人一項意定權限：其在明確同意的范圍內所實施的處理行為不具有違法性，進而不會產生民事責任。同意的該種效力，意味著同意者享有一種形成權，可以基于自己的單方意思改變與他人之間的法律關系，使得他人享有在特定范圍內處理其個人信息的合法權限。
因此，同意權是由個人決定特定他人有無合法處理其內容層個人信息意定權限的形成權，以實現對個人信息上特定用益利益的處置。如前所述，在民法傳統的權利分析理論下，支配權不僅向下衍生出了消極防御的權利，而且包含了授予他人權限以越界實施特定行為的形成權。
2.撤回權
同意權作為形成權的反向效力，就是權利人可以撤回相關授權，再次根據單方意思改變與相對人之間的法律關系。正因如此，最高人民法院的釋義書認為同意權本身涵蓋了撤回權。但實際上，反向撤回的效力應當受限于單方允諾不得反悔的誠信原則，所以不能認為作為形成權的撤回權直接包含于同意權之中。因此，個人信息保護法規定的撤回權有其獨立意義，明確了前述形成權行使后可以任意反悔、突破誠信原則的限制。撤回權顯然與同意權具有核心相似性，最終都是決定他人是否有意定處理權限的一種利用性的形成權，只是其效力不是單方授予意定權限，而是單方撤回意定權限。
3.拒絕權
對于多元合法基礎所承認的法定權限，個人實際上也享有類似任意撤回權的、終止法定權限的形成權，此即個人信息保護法第44條規定的拒絕權。
最高人民法院的釋義書認為，拒絕權主要是指個人信息保護法第16條“禁止強迫同意”的規定被違反時，個人根據民法典第150條享有的撤銷權。但違反意思自治保護規則導致授權行為有瑕疵、個人因而獲得的撤銷形成權，并不能認為是個人信息保護中的拒絕權，因為我國既有的民法理論和實踐從來沒有使用“拒絕權”的概念來表述撤銷權。實際上，從個人信息保護法第44條對于拒絕權的一般規定，該法第24條第3款、第27條規定的兩種具體拒絕權，以及公私法上拒絕概念的內涵來看，拒絕權就是在選擇退出的邏輯下，由個人享有的針對法定權限的、無溯及效力的終止形成權。這種內涵也與比較法上個人信息拒絕權的內涵特征相契合。
（三）他人沒有處理權限時的防御性權利
民法典與個人信息保護法不僅承認個人享有一定的、決定他人處理行為是否有合法權限的利用性權利，而且明確規定了個人在他人沒有處理權限時享有的一系列防御性權利。
1.限制權
個人信息保護法第44條規定了個人享有限制權。學者一般認為，該限制權主要體現為個人信息保護法第47條第2款，是在無法刪除信息時要求處理者停止除存儲和必要安全保護措施之外其他處理行為的請求權。此外，最高人民法院的釋義書認為，限制權還可能是指部分同意下授權范圍“有所限制”的同意行為，以及發生法律爭議時采取臨時性限制措施的權利。但部分同意從邏輯上說是同意權行使的特別情形，應當納入同意權的范圍，將之認定為獨立于同意權的限制權并不妥當。而采取臨時性限制措施的權利，從內容來看也是請求停止非存儲行為，因此與前述限制權并無根本區別。從比較法來看，GDPR第18條專門規定了限制權，GDPR式的限制權是具有形成效力和請求效力的復合型權利，但該種限制權在歐盟法域外沒有得到普遍承認和接受。
綜合考慮，應當以個人信息保護法第47條第2款為典型情形，認為我國法上的限制權就是在處理者缺乏相應權限時，請求處理者停止實施非存儲行為的防御性權利，進而排除他人對自己個人信息的利用。
2.刪除權
雖然有觀點認為同意權涵蓋了刪除權，但實際上刪除權與作為形成權的同意權有明顯差異。民法典第1037條第2款“有權請求刪除”以及個人信息保護法第47條“主動刪除......有權請求”的表述，都體現了刪除權作為一種請求權的特征。從這些條文所列舉的刪除權的適用情形來看，主要是在處理者沒有任何處理權限的情況下，通過請求刪除來徹底制止處理者對其個人信息的處理，從而預防和排除處理者對他人個人信息的越界妨害。正因如此，最高人民法院的釋義書認為，刪除權接近于侵權責任法上不以過錯為前提、以排除妨害為目的的停止侵害請求權。
結合民法典第1037條第2款的規定來看，刪除權指向的相對人并不限于與個人有直接同意關系的個人信息處理者。凡是沒有意定或者法定處理權限而處理個人信息的處理者，都在刪除權的射程之內。基于這一觀察，可以認為刪除權更接近于民法典第236條下不以過錯為前提的排除妨害、消除危險的物權請求權。
3.更正權
與刪除權類似，個人信息保護法第46條規定的更正權也是一種與排除妨害、消除危險相關的請求權。無論是意定權限還是法定權限，都內含了應當準確、完整處理個人信息的要求。一旦個人信息處理出現了錯誤或不完整的情況，處理者的處理行為實際上就超出了相應的權限范圍，構成違法處理。就此，當然可以要求刪除，但也可以通過請求更正、補充，使得處理行為重新恢復到有權限的狀態。這種通過更正、補充來排除妨害、消除危險的請求權，相較于直接刪除而言，使得個人信息仍然可以被存儲和利用。因此，在個人信息存儲、利用對個人來說具有積極利益或者是法定義務的強制要求時，更正、補充請求權顯然較直接請求刪除的排除妨害、消除危險方式來說更為有利。
綜上，個人信息保護法第47條、第46條規定的刪除權和更正權均是防御性請求權，他們的最終功能都是通過請求處理者實施刪除或者更正補充等行為來排除妨害、消除危險，體現了支配權的排他性。
（四）他人有處理權限時個人享有的權利
合法實施處理行為后，處理者有說明、報告或向個人提供查詢、復制的義務，這類義務對應了個人的具體請求權，這些請求權并不是要解決取得同意時的信息不對稱問題，而是要解決他人基于合法權限已經實施處理行為后（即交換處理場合），處理者與個人之間的代理成本控制問題，以回應個人對他人處理自己個人信息的信任期待。
1.知情權
個人信息處理與個人人格發展存在天然的密切關聯，對個人有巨大影響，具有管理他人事務的內在特征。且這種管理高度依賴于處理者的專業能力，在“一目的一告知一同意”的授權模式下，處理者還擁有一定的自由裁量空間，因此存在明顯的代理成本。而長期以來控制代理成本的一個重要思路就是消除事后的信息不對稱。民法典第912、913、924、982、983條以及公司法第33條的規定，都體現了通過事后報告義務、查詢復制權的配置來控制代理成本的精神。個人信息保護法第18條第2款下的報告義務對應的請求權（緊急處理時的報告請求權）、第24條第3款下的說明義務對應的請求權（自動化決策時的說明請求權），就是這樣一種針對既有處理行為、控制代理成本、消除信息不對稱的知情請求權。不僅如此，第45條下的查詢復制請求權，也具有消除信息不對稱的知情請求權的核心特征。
個人信息保護法第45條規定了查詢復制和請求轉移的權利。這兩項權利的實現都依賴于處理者意思的配合，因此屬于請求權。有觀點認為，這兩項權利共同構成了可攜帶權，是可攜帶權的權能。但主流觀點認為，查詢復制權并不以將內容層個人信息轉移到其他處理者處為目的，而是要使個人充分知曉和理解他人處理行為的實際狀況。這種理解的重要例證在于，查詢復制的對象并不限于內容層個人信息，還包括與處理行為相關的其他信息。查詢復制權作為具有知情保障功能的權利，在比較法上對應的是處理者獲得處理權限后，個人對相關處理信息的訪問權。該種理解清楚地揭示了，作為具有知情功能的查詢復制權并不是為了解決取得同意階段的“平等自愿”問題，而是為了保障個人信息處理過程中個人對處理行為的充分知情，消除信息不對稱。但不可否認，查詢復制權確實也可以指向內容層個人信息本身，特別是復制請求的目的也許就是為了將特定的內容層個人信息攜帶到他處，因此查詢復制權確實可能具有攜帶的作用。
2.攜帶權
個人信息具有非競爭性，其查詢、復制、轉移原則上并不會導致原來的處理者不能再實施處理行為，而查詢、復制、轉移也為其他人利用特定內容層信息提供了可能的通道，具有非競爭性的再利用功能。但這種再利用必須考慮到，特定內容層個人信息的形成和具體表達也融入了處理者的心血、技術和資本，讓他人肆意再利用、“搭便車”，不僅可能有違公平，而且可能無法有效激勵信息的生成和利用。因此，是否允許個人查詢、復制或轉移內容層個人信息，涉及特定內容層個人信息的再利用與既有處理者利益保護的平衡。
我國個人信息保護法第45條規定，個人對處理者合法處理的個人信息，有查詢復制請求權和轉移請求權，在該價值協調問題上采取了傾向于個人與他人再利用的立場，支持了對內容層個人信息的非競爭性再利用，肯定了個人享有具有攜帶作用的權利。而這些攜帶權作為新型權利，同時還具有控制代理成本的宏觀間接效果。
當個人不再信任處理者時，代理成本的控制要求個人能夠有效退出。但如果相關服務對個人來說必不可少，而特定處理者又壟斷了該服務的提供，那么個人可能陷入“鎖定效應”，事實上無法退出。指向內容層個人信息的查詢復制請求權和轉移請求權具有攜帶和再利用的作用，可以突破服務壟斷和“鎖定效應”，讓其他處理者也可以處理特定內容層個人信息，形成替代選擇，以讓個人能夠真正解決特定處理者的代理成本問題。
綜上，個人信息保護法第18條第2款、第24條第3款、第45條所規定的報告請求權、說明請求權、查詢復制請求權和轉移請求權，都可以被統合到以控制代理成本為目標的權利之下，他們是指向具有合法處理權限的處理者的法定請求權，是他人有處理權限時個人享有的權利。
前文所述三類權利中，前兩類權利指向個人信息的初次分配秩序，第三類權利則指向個人信息的交換處理秩序。接下來需要回答的問題是，前兩類權利是否實際上源自個人對內容層個人信息享有的抽象支配權；特別是，個人信息保護法第44條規定的決定權作為一種概括性的抽象權利，是否就是對這樣一種支配權的承認和表述。
四、作為上層權利的個人信息決定權
（一）個人信息決定權既有研究評述
有觀點認為，決定權不是抽象支配權，而是針對處理行為給個人人格或財產帶來加害危險的事先防御機制。但這種判斷似乎與該研究認為決定權就是“對個人信息如何收集、存儲、使用、加工、傳輸、提供、公開、刪除的自主決定權”的內涵界定相矛盾，因為這樣界定的決定權顯然不是一種單純防御性的權利，而是明顯具有利用性權利的特征。
有學者強調，個人信息保護法第44條的決定權不等于個人對其個人信息的排他支配。其理由是，決定權僅是個人在個人信息處理活動中的權利，不能脫離個人信息處理活動來認識決定權，更不能簡單地將決定權理解為個人對其個人信息享有“絕對的、排他的支配權”。但在決定權內容的界定上，該研究又特別肯定決定權就是“個人自由決定其個人信息被何人所處理，以何種目的、何種方式、在何種范圍內被處理，除非法律、行政法規另有規定”，顯然又認為決定權就是個人信息上的、效力范圍十分寬泛、可以追及到內容層個人信息任何所在之處的抽象權利。
也有學者認為，決定權是在法律上承認了“個體能夠決定其他主體對自身信息的使用，即產生一種對自身信息的控制”，且該種控制“并非是一種請求權意義上的控制，而更多的是一種信息自決理念的體現”。這一研究正確地指出了決定權的價值內涵，也提出決定權并非一項具體請求權，而是理念型的、抽象的有關控制的權利，但似乎又有意避免將這種抽象控制的權利理解為民法上傳統的抽象支配權，認為決定權僅是對信息自決理念的強調，似有意將決定權的“權利”定位加以弱化。這一弱化理解似與第44條之“決定權”的明確文義相沖突。而且如前所述，民法上的權利指向的就是法律強制力保障下、個人意思可以決定相關事項、具有利益歸屬效能的法律關系。如果將權利弱化為理念宣示，也會削減權利的實踐意義，沖擊權利概念的內涵。
也有觀點認為，決定權就是支配權。例如，最高人民法院的釋義書認為，個人信息保護法第44條的決定權是“個人對其個人信息所享有的支配性利益的本質體現”，正因如此，才不能將決定權理解為“選擇權”。這種觀點基本上就是將決定權理解為抽象的支配權。不過，該觀點并未詳細解釋為什么對決定權采取這樣一種理解，既缺乏對支配權構成要素的分析，也沒有說明決定權的具體內容，以及其與指向初次分配秩序的利用性權利和防御性權利的關系。
要判斷個人信息決定權是否構成支配權，關鍵要明晰決定權在利益歸屬的描述上是否采取了排他策略，以及與前述利用性權利和防御性權利之間是否基于追及的邏輯衍生形成了層級關系，從而具有追及效力。
（二）個人信息決定權的優先、排他內涵
個人信息保護法第44條規定，“個人對其個人信息的處理享有......決定權，有權限制或者拒絕他人對其個人信息進行處理”。這一規定即是個人信息決定權的立法表達。其中，“決定權”指明了該權利的名稱與核心內涵，而“限制和拒絕”則點出了該權利的效力外延。
從字義來看，“決定”作為動詞主要指對如何行動作出主張，或者成為另一事物的先決條件、發揮主導作用。結合這兩層意思來看，決定作為人之行為時，通常應是強調該行為表達的意思、主張對于某一事項的實施起主導作用。主導意味著：存在多個意思主張的情況下，某一意思優先，可以排除其他意思。因此，“決定”概念含有優先和排他的意蘊。
從民法典第35、81、106、188、261、278、1006、1012、1013條等對“決定”概念的使用來看，“決定”也基本上是為了表達在可能存在多個意思的情況下，應當以特定主體或者機構、集體的意思為準，根據其單方意思直接決定相關事項這種不受干涉的優先、排他的法律地位。個人信息保護法第44條規定的“有權限制或者拒絕他人對其個人信息進行處理”，也進一步強化了決定權的排他內涵。因此，個人信息保護法第44條所指的“決定權”，可以認為就是指依單方意思決定有關事項、排除他人意思的權利。由于沒有明確可以依單方意思決定的事項范圍，以及可以被排除意思的他人范圍和方式，這種權利既可能是具體或者抽象的形成權，也可能是能夠衍生出形成權與請求權的抽象支配權。區分兩者的關鍵，在于是否采取了排他策略的抽象描述，是否存在圍繞客體之所在向下衍生出具體形成權和請求權的層級架構，從而具有追及效力。
（三）個人信息決定權采取了傾向于排他策略的描述
“決定權”之優先和排他的內涵，并不等同于采取了排他策略。判斷是否采取了排他策略，關鍵在于分析是否以客體為中介來大致描述“邊界”，然后將邊界內即客體上的用益利益都“打包”歸屬于決定權主體。
從個人信息保護法第44條的內容來看，個人信息決定權指向的是“個人信息處理”，而非“個人信息”，因此該權利似乎僅將“個人信息處理”的用益利益而非個人信息上的用益利益“打包”歸屬于個人，也就沒有采取支配權那種以客體為中心的排他策略。但問題是，如何理解“個人信息處理”指向的用益利益？
從個人信息保護法第4條的規定來看，個人信息處理是指“個人信息的收集、存儲、使用、加工、傳輸、提供、公開、刪除等”，這一界定具有利益歸屬的意義，明確了個人信息上的哪些用益利益需要“打包”歸屬于享有決定權的個人。而這些描述性概念顯然非常抽象、寬泛，與專利法第11條傾向于排他策略的描述相當，而不像著作權法第10條的描述那么具體、明確。更何況，“個人信息處理”概念在界定時還特別加上“等”字，為個人信息上新型用益利益的剩余歸屬提供了基礎。
由此來看，“個人信息處理”概念所描述的利益歸屬，仍然以個人信息為核心，是對個人信息“邊界”內也即個人信息上的用益利益予以抽象“分類打包”，以便指示在個人信息的生命全周期內，可能有哪些用益利益歸屬于個人。這與民法典第240條對所有權“占有、使用、收益、處分”的抽象描述一樣。因此，個人信息決定權在利益歸屬上仍然采取了傾向于排他策略的描述。
但即便采取了傾向于排他策略的描述，若該個人信息決定權并不能追及客體所在、向下衍生出具體的請求權關系和形成權關系，無法形成具體的權利保護和實現秩序，那么排他策略下的抽象描述就根本沒有被貫徹落實，個人信息決定權也就難以成為名副其實的支配權。
（四）個人信息決定權具有追及效力
1.可以追及客體所在衍生出請求權和形成權
從個人信息保護法第44條對決定權“有權限制或者拒絕他人對個人信息進行處理”的表述來看，決定權至少可以衍生出限制權和拒絕權這兩種權利。如前所述，限制權就是權利保護秩序下的防御請求權，而拒絕權正是權利實現秩序下的利用形成權。而且按照一般理解，個人信息決定權作為一種抽象權利，其向下衍生出的權利并不限于限制權和拒絕權。與限制權和拒絕權性質相當、在其他條文中已經被明確規定的具體利用性權利和防御性權利，也應當統轄于個人信息決定權。這樣，個人信息決定權就應當向下衍生出指向權利保護和實現秩序的具體請求權和形成權，前者包括刪除權、更正權、限制權，后者包括同意權、撤回權、拒絕權。
個人信息決定權可以向下衍生出請求權和形成權，還不足以證成存在追及效力，必須分析這種請求權和形成權關系的構建是否遵循了追及客體所在之處的邏輯。關鍵要判斷，對于個人信息所在之處的任何他人，決定權人是否原則上都可以向他們主張決定權衍生的請求權和形成權。
首先，決定權下具體權利指向的義務主體被描述為“個人信息處理者”，根據個人信息保護法第73條第1項的規定，個人信息處理者是在個人信息處理活動中自主決定處理目的、處理方式的組織、個人。其中，如前所述，“個人信息處理”概念是對個人信息上用益利益的“打包”描述，因此圍繞該概念所界定的個人信息處理者，就指向在個人信息所在之處實際享有個人信息上各種用益利益的人。可見，“個人信息處理者”這一對義務主體的寬泛描述，采取了追及客體所在之處的追及效力邏輯。
其次，個人信息保護法第69條明確規定，處理個人信息造成個人信息權益損害的，處理者要承擔較為嚴格的“過錯推定”責任。這等于承認個人信息決定權具有“社會典型公開性”，可以追及客體所在之處，對任何損害個人信息利益歸屬關系的處理者主張過錯和主觀違法。在保護與自由的協調上，并沒有采取侵害債權等非支配權的嚴格過錯要求、限制侵權責任成立的做法。
2.個人信息決定權的追及效力受到一定限制
個人信息決定權的追及效力也受到一定的限制，個人信息所在之處的他人可能享有較多的抗辯權。首先，在個人信息處理多元合法基礎的框架下，即使與個人意思相違背，他人也并非不能合法處理個人信息，在其有法定權限的情況下，決定權主體的意思原則上并不優先，不能向他們主張防御請求權和任意撤回權。
其次，根據個人信息保護法第73條處理者“自主決定”的要求，決定權指向的義務人并不包括那些非自主處理的主體。例如，因他人委托而實施處理行為的受托人，不屬于個人信息處理者的范疇，一般不是決定權指向的義務人。因此，個人不能追及到這類主體行使防御請求權。
再次，一般認為，支配權追及效力的典型體現是破產程序中的取回。就破產取回而言，個人信息保護法第22條明確規定，個人信息處理者因被宣告破產等原因，需要轉移個人信息給其他自主處理者的，僅需向個人告知相關信息，其他自主處理者繼續履行相應義務即可。只有在變更處理目的、方式的情況下，才需要重新取得個人同意。可見，個人信息決定權人原則上不可以在處理者破產時自動“取回”其個人信息，追及效力受到額外限制。
3.個人信息決定權仍然具有相當的追及效力
即便如此，個人信息決定權還是具有相當的追及效力。首先，多元合法基礎的框架僅僅表明，追及效力產生的推定違法效果可以基于其他合法基礎的滿足而被推翻。但在處理者未經同意處理個人信息時，仍應推定其違法，其需要通過證明和援引其他合法基礎來阻卻違法。因此，不能基于多元合法基礎的框架就否定追及效力的存在，這與不能因為所有權人負擔法定容忍義務，就認為所有權不具有追及效力的道理一樣。
委托處理下的受托人雖然不屬于個人信息處理者，但仍然受到個人信息決定權追及效力的限制。首先，受托人處理個人信息時，要承擔證明受托地位以阻卻違法的舉證責任，否則仍然可以直接對其主張防御性請求權。其次，按照《信息安全技術個人信息安全規范》（GB/T 35273—2020）第9.1條第c款第3項的規定，決定權人向委托人主張權利時，受托人仍然要承擔協助義務。另外，在個人行使撤回權、拒絕權，終止委托人既有的合法處理權限或者委托人處理個人信息存在錯誤、違反義務要求的情況時，受托人繼續處理超出了既有的委托權限和目的，并很可能脫離了委托人的控制，此時個人也可以直接向受托人主張防御性請求權。
對于破產取回來說，不需要額外請求同意，僅僅意味著決定權人不能以未額外取得同意為由徑直主張刪除或限制，但決定權人仍然可以向接收個人信息的主體主張撤回權或者拒絕權，在終止意定或者法定權限后，再向其主張刪除權、限制權；在個人信息存在錯誤時，當然也可以徑直主張更正權。另外，全國人大法工委也強調，不需要額外請求同意應當以接收方與原處理者業務類似、能力相當為前提，否則個人仍然可以主張“取回”。因此，決定權衍生出來的權利仍然可以追及到破產后接收個人信息的處理者處。
綜上，個人信息決定權的追及效力雖然受到限制，但該權利仍然具有相當的追及效力，同時在利益歸屬上也采取了傾向于排他策略的描述，與所有權等典型支配權具有核心相似性，特別是在承認知識產權屬于非典型支配權的情況下，也應當肯定個人信息決定權構成非典型的支配權。之所以“非典型”，是因為個人信息決定權在客體以及追及效力的限制方面，與典型支配權有一定差別。
（五）小結
個人信息決定權作為非典型支配權的結論具有四個方面的意義。首先，法院不能再以個人信息上不存在支配權為由，對侵權行為違法性的認定任意采取“場景化”的權衡方法。他人未經同意處理個人信息的行為，通常應當推定具有違法性，除非處理者證明其處理行為具有其他明確規定的合法基礎或者符合其他法定的抗辯事由，享有相應的抗辯權。其次，個人信息決定權作為支配權的界定，以及“個人信息保護”位于民法典人格權編的安排，為人格權規則（例如第995條）在個人信息決定權中的適用提供了依據，也為部分知識產權、物權規則的類推適用提供了可能的空間。再次，個人信息決定權非典型支配權的界定，實證性地揭示了民法傳統的權利分析概念、思維以及描述策略在權利的實際立法構建上仍然有相當重要的范式影響，也為其他權利分析問題的解決提供了借鑒。最后，個人信息決定權作為一種非典型支配權，展現了極具特點的支配權構建方案，為深入理解利益歸屬的排他描述策略提供了生動實例，為支配權理論的更新和發展提供了新的研究樣本。
結 論
個人信息決定權作為非典型支配權，實質上發揮著抽象的“個人信息權”的作用，其向下統轄、衍生出作為形成權的同意權、撤回權、拒絕權，以及作為請求權的刪除權、更正權、限制權，確立了個人對內容層個人信息的原初支配秩序，形成了個人信息權的獨特體系。在他人有處理權限的交換處理場合，個人也享有指向內容層個人信息的知情權和攜帶權。原初支配秩序和交換處理秩序中的兩大權利系統，構成了個人信息權利的基本脈絡。
作者：蕭鑫，中國社會科學院法學研究所助理研究員。
來源：《法學研究》2023年第6期。