个人信息与个人数据是一体两面的关系，它们都是个人信息权益的客体。个人信息权益不仅具有防御侵害的作用，可以排除他人非法处理个人数据；还具有法益分配的功能，确保个人可在数字经济中对其个人数据的商业化利用方式予以组织建构并据此实现经济利益。

个人数据是指以电子或者其他方式记录的与已识别或者可识别的自然人有关的任何信息。个人数据与非个人数据的划分是最重要的数据分类方法之一。在数字社会中，个人数据的处理具有普遍性，无论是国家机关履行法定职责还是企业的生产经营活动，抑或是公共机构提供公共服务，都需要进行个人数据的收集、存储、加工、使用、提供等各种处理活动。个人数据上承载了个人信息，而自然人针对个人信息的处理享有个人信息权益，该权益受到民法典、个人信息保护法等法律的保护。因此，个人信息与个人数据一体两面，都是个人信息权益的客体。关于自然人能否享有其个人数据上的经济利益以及如何保护、实现此种经济利益等问题存在较大的争议，值得深入研究。

个人数据上经济利益应当归属于个人。笔者认为，个人应当享有其个人数据上的经济利益的权益。首先，自然人对其个人数据享有个人信息权益，而该权益所具有的法益分配功能决定了个人能够享有个人数据上的经济利益。在我国，个人对个人信息的处理享有的知情权与决定权是个人信息权益的核心权能，而个人对其个人信息处理享有的查阅权、复制权、可携带权、补充权、更正权、删除权、解释说明权等都是个人针对个人信息处理者享有的请求权，是为了实现个人信息权益中的知情权与决定权而配置的功能性权能。这就使得个人信息权益同时具有了防御侵害与法益分配的功能。法益分配功能意味着个人有权自己或许可他人对其个人数据进行任何不违反法律、行政法规的强制性规定及公序良俗的商业化利用。

其次，个人数据经济价值的高低不能用来决定个人数据上的经济价值的归属。单个自然人的个人信息在很多情况下确实价值不大，但不能因此就否定自然人对其个人信息进行各种商业化利用的可能性。随着经济社会尤其是网络信息科技的发展，单个自然人的个人数据也越来越有价值，自然人有多样的方式对其个人数据进行商业化利用。例如，数据处理者与个人签订个人数据许可使用合同，向个人支付相应的金钱作为对价。此外，实践中还有大量的隐性个人数据商业化利用的场合，即个人因为提供个人数据而获得了免费享受网络服务的对价，也就实现了其个人数据上的经济利益。

再次，自然人享有个人数据的经济利益与企业数据产权制度不存在冲突。企业对于其合法处理的个人数据享有财产权利的正当性基础之一在于其处理个人数据的行为是合法的。故此，只有承认自然人针对个人数据享有个人信息权益并可以通过行使该权益而实现个人数据上的经济利益，才可能同时依据劳动赋权、权利人同意这两个私法上权益分配的正义标准，认可企业对其处理的个人数据也享有财产权。企业的数据财产权不应建立在剥夺自然人对个人数据的经济利益之基础上。个人的同意或许可不会如同个人出售有体物那样导致权利转让的法律效果，作为人格权益的个人信息权益，是不得放弃、转让或者继承的。个人可以撤回同意或者解除个人数据许可使用合同，个人信息权益始终对企业数据财产权具有制约作用。由于个人信息权益属于人格权益，效力位阶高于企业的数据财产权。故此，企业在行使数据财产权时，不仅要符合个人同意的内容、遵守其与个人之间订立的个人数据许可使用合同，还要服从于个人信息权益对数据产权的各种法定限制，包括个人可以随时撤回同意，可以在符合规定的时候请求企业将其个人数据转移至个人所指定的个人信息处理者等。

个人信息权益保护个人数据上的经济利益。我国现行法并未规定自然人对个人数据的所有权或其他财产权，理论上也无需设立这样的权利。民法典、个人信息保护法所确立的个人信息权益完全能够保护并实现个人数据上自然人的经济利益。

一是劳动赋权理论无法证成个人数据所有权。个人数据能否被认为是个人劳动的产物，值得商榷。例如民法典第一千零三十四条第二款列举的个人数据中，除了行踪信息外，都与个人的行为活动没什么关系。即便行踪信息作为个人日常活动而附带产生的个人数据，也与创造价值意义上的劳动关系不大。至于那些法律上未能逐一列举出来的个人数据，如个人的爱好、习惯、兴趣、职业等，均属于自然人的日常行为在数字空间中生成的行为数据而已，并非洛克所言的“使任何东西脱离了自然存在状态”意义上的劳动。不仅如此，现代社会中的很多个人数据也是个人与网络公司等数据处理者共同产生的。如果依据劳动赋权理论来确权，那么在初始权利的配置阶段就应当是个人与个人数据处理者对个人数据共同享有财产权。如果说所有权是立法者初始配置给个人，而用益权来源于个人数据所有权，那么个人与企业之间又是基于什么法律关系产生了这种设立用益权的行为呢？以劳动赋权理论论证个人数据所有权的观点无法回答这些问题。

二是个人信息权益足以保护自然人的经济利益。从民法通则到民法典，我国都是通过法律所明确规定的一个个具体的人格权，分别对自然人就其姓名、肖像等人格要素享有的精神利益与经济利益予以一体化保护。个人信息权益属于一种新型的人格权益，当然要适用相关规定，而自然人针对个人信息（个人数据）的精神利益与经济利益也都受到个人信息权益的一体化保护，个人信息保护法第六十九条第二款也非常清楚地表明了这一点。一元保护模式下，个人信息权益足以保护自然人针对个人数据享有的经济利益，没有必要另设自然人的个人数据所有权或其他财产权。

个人实现个人数据经济利益的两种方式。民法上“同意”的涵义非常广泛，几乎涵盖了所有行使权利的方式。按照同意使得被同意者取得的法律地位从强到弱，可将之分为三个层次：其一，法律效力最强的同意可以导致“权利发生转让”，即因个人之同意而使被同意者取得了权利；其二，法律效力较弱的同意会产生“构成性权利让与”的效果，即因同意而在客体上为他人创设权利，如授予独占许可或成立债务性许可合同；其三，法律效力最弱的就是个人作出的可任意撤回的单方同意。由于个人信息权益不能转让、放弃或继承，故此，民法典、个人信息保护法规定了上述第二和第三层次上的同意。个人信息处理者在处理个人信息前必须告知并取得的个人同意，是效力最弱的同意。同时，民法典第九百九十三条规定的许可，属于法律效力更强的同意，产生债务合同，使被许可使用人取得使用个人数据的权利。

一方面，个人的同意与许可产生不同的法律效果。个人同意虽然排除了个人数据处理行为的非法性，却并没有在个人和处理者之间建立具有持续约束力的债权债务关系。个人有权撤回其同意。这种撤回可以随时作出并且无需任何理由，处理者也不能对于个人撤回同意的权利作任何限制。在个人许可的情形下，个人与处理者通过协商建立了明确的债权债务关系（个人数据许可使用合同），故此，个人不再享有个人信息保护法第十五条第一款规定的任意撤回权，个人要解除该合同需适用民法典的相关规定。

另一方面，个人同意与个人许可适用于不同的场景。就个人同意而言，个人对自己个人数据自主地决定授与他人处理，不仅可以获得免费的数字服务作为对价，还可以根据自身需要而选择个人数据处理目的与处理方式，从而相应地节约成本、提高效率。相比于个人同意，个人许可意味着个人与个人数据处理者有机会进行一对一的谈判磋商，继而订立个人数据许可使用合同。考虑到个人与数据处理者能力与地位的不平等，应当建构相应机制来确保个人可以真正实现个人数据的许可。例如，个人将其数据交给代理公司管理，由这些公司代理个人与数据处理者进行协商订立个人数据许可使用合同。目前，已经出现了一些专注于个人数据管理的互联网企业。《中共中央、国务院关于构建数据基础制度更好发挥数据要素作用的意见》提出要“探索由受托者代表个人利益，监督市场主体对个人信息数据进行采集、加工、使用的机制”，所谓受托者就是指这些专业机构，它们受个人委托来管理其个人数据，代表个人与数据处理者签订个人数据许可使用合同，既帮助个人实现其个人数据上的经济利益，也有效地监督处理者对个人数据进行合法合规的处理。

（程啸系清华大学法学院副院长、教授、博士生导师）

编辑：李华山