二、公民个人“信息权利束”的法律规制

　　  （一）信息保护法是规制个人信息权利的基本法

　　在世界百年未有之大变局的时代，怎样有效实现对个人信息处理的知情权、自主决定权，已成为世界范围内个人信息保护最具认同的权利，且大多已转化为实证法上的权利。由于个人信息处理存在着不可预测性、不可预见性和难于防范的风险，易于导致规制失灵、秩序失调，以致出现失控、失序甚至危及公民权利、社会福祉、公共秩序的严重态势，集中地体现和暴露出社会某些领域、某些方面“治理赤字”。尽管人们从人权、宪法权利以及公私法域等多角度提出自身对于权利的诉求，但实证法只能框定在某些具有最大共识的权利诉求上面。我国是历史悠久、底藴深厚的成文法国家，法律规范是公民行使个人权利的基本依据。信息数据权利涉及公民基本权利，理应给予绝对权利的法律保护效力。我国现行的《民法典》与《个人信息保护法》，就是个人行使相应请求权的基本法律。个人信息权利人在理解和适用决定权、知情权和可携带权等公民个人信息权利的时候，可以同时适用这两部法律的相关规定。由于“信息”只是数据的表征形式，唯有“数据”才是信息的真实载体。因而这里所论及的“决定权”“知情权”，实际上只是个人信息权利人权利体系的基础，而查阅权、复制权、异议权、删除权和可携带权等具体权利，体现出来的才是散射交叉的系列权能，法律指向的是信息权利人个人“信息权利束”的实际内容，它是法律规制个人信息主体权利体系的核心。与此同时，个人信息处理者在理解和运作查阅权、复制权、异议权和删除权等信息权利的时候，同样可以同时适用这两部法律的相关规定。可以说我国个人信息权益保护立法，在本质上就是“以大规模、高度组织化的个人信息处理者为规制原型”的。对信息处理者所承担法定义务的规定，可以说《个人信息保护法》比《民法典》更为全面、细致和具体。凡属于《民法典》没有规定的具体适用的情形，个人信息权利人可以依据《个人信息保护法》的规定，请求个人信息处理者履行相应义务。《民法典》并没有专门规定个人信息处理者的民事责任，《个人信息保护法》则在第六十九条规定了个人信息处理者的“过错推定责任”。信息处理者的法定义务和应尽责任，贯穿个人信息权益保护的全过程。在未来的实践中对民事责任的法律适用，应当优先适用《个人信息保护法》的规定。如果信息权利人能够证明自己因之而受到精神损害的，还可请求相应的精神损害赔偿。

　　（二）“告知同意”是体现个人人格自由的法律规制

　　个人“信息权利束”中的数据权利，包含法律规定的“人格权”，以体现《民法典》对信息权利人自由与尊严的法律保护。“告知同意”是民事法律制度确立的个人信息保护的核心规则，也是体现和维护信息权利人信息权利的重要规则，更是明晰和确认信息权利人与信息处理者之间权利义务关系的“合同规则”。《民法典》第一千零三十五条规定，处理个人信息需要“征得该自然人或者其监护人同意”；第一千零三十六条还规定，“合理处理该自然人自行公开的或者其他已经合法公开的信息”，不承担民事责任。需要指出的是，《民法典》在这里只是把信息已被“合法公开”，视为未经信息权利人同意而处理信息的“免责事由”，并没有把它作为处理个人信息“正当化”的合法基础。相应的《个人信息保护法》第十三条规定，个人信息处理者处理个人信息必须“取得个人的同意”。即是说在《个人信息保护法》里，“取得个人的同意”是对个人信息处理者的一项硬性规定。这两部法律的两条规定，被法学界视为“对告知同意规则地位的确立”。同时还需要指出的是这里“同意”的本质含义，是指在信息权利人“知晓”“知情”的前提下，对自己个人信息享有的决定权。民事权利意义上的“同意”和“约定”既有区别、又有联系，有时分立、有时合并。“同意”作为侵权法上的“免责事由”，必须是个人信息权利人合法、真实的意愿，不得违反法律的强制性、禁止性规定，也不得违反《民法典》规定的公序良俗原则。但是《民法典》和《个人信息保护法》没有对“告知同意规则”予以明确设定；规范的内容也没有考虑为信息权利人保留博弈的机会。实事求是地说，“告知同意规则”关于“理性人”的设定有悖于现实情况。从另一方面考察分析，由于信息主体单方面享有决定、变更等项权利，信息主体一旦单方面行使变更权（单方面变更权原本是针对信息主体利益受损而设定的事后救济权），势必违背信息处理者的预期并致使其利益受损。这些现实问题的客观存在，不仅有违民法公平公正原则，而且与“告知同意规则”在个人信息保护中的重要地位不相称。鉴于“告知同意规则”在实践中存在诸多现实问题，建议未来法律修改在保持现有“告知同意规则”的制度框架下引入激励机制，即“在对信息处理者激励的层面上，赋予告知同意规则以排除管理性强制性规定的功能，并限制信息主体单方变更权的行使范围。”我国个人信息保护的激励机制来源于两个方面：一方面是来源于国家对信息处理者的激励，即通过国家对信息处理者施以激励措施，促使信息处理者以自我调节的方式实现自律，这种“软法之治”可以减少个人信息侵权的可能性。另一方面是来源于信息处理者对信息主体的经济激励，即通过信息处理者给予丧失博弈机会的信息主体经济补偿或经济激励，激发信息主体畅通信息交流渠道和激发信息交易积极性，实现信息权利人与信息处理者之间的利益平衡。从理论分析和实践效应上讲，引入激励机制既有利于实现个人信息保护与个人信息流通的有效平衡，有利于信息处理者高质量地履行告知义务，也有利于提升信息权利人提供高质量的“同意”。