（二）信息保护法和“数据二十条”是数据来源者合法权益的法源

　　我国私法领域的个人信息法律规范尚未形成体系化的样态。中共中央、国务院“数据二十条”第二部分第七款，提出要充分保护“数据来源者”的合法权益，保障数据来源者享有获取或复制转移由其促成产生数据的权益。在“数据二十条”提出“数据来源者权利”之前，我国法律并没有认可所有者对附属在其动产、不动产上的数据来源者权利，法律对数据来源者的保护只限于个别特定的情形，如当数据来源者对其数据进行创造性利用抑或大规模收集的时候，法律才对满足相应条件的数据实施信息保护措施。法律之所以拒绝对数据来源者赋予一般性保护权利，这是因为数据本身具有非排他性、非竞争性、非消耗性等特征，一般多位于公共领域。如果赋予数据来源者对其数据的排他性权利，可能不利于数据的共享流通，违背新时代数据的公平合理使用原则。为避免在个人信息法律保护体系的目标设定上出现认知偏差，我国把个人信息法律保护体系的基本目标，界定为通过保障个体的匿名性存在而确保“私域”与“公域”之间的界分，以利于网络平台与数据技术的推广与应用，进而创造和生成一种新的社会秩序。为使通过保障个体的匿名性存在而确保“私域”与“公域”之间界分落地见效，未来需要在法律归责机制的构建上，遵循如下三个基本理念：一是考虑风险分配与归责机制的构建，把归责机制的构建与对私域自主的维护，提升到重构合理的政治与社会秩序的高度；二是把决策者与风险制造者都纳入归责主体的范围内，对各方主体如何分担风险，进行整体性的思考并做出相应的制度安排；三是对个人信息予以分类，对属于敏感信息的个人信息进行赋权，作为基本权利来对待，以此对抗公权力的滥用与来自社会领域的压制。为保护数据来源者的合法权益，当下和未来需要界定和明晰数据来源者、数据处理者、数据生产者三者之间的关系，厘清它们在数据权益体系中的法定位置。

　　（三）《宪法》为个人数据确权和数据合理利用提供根本法支撑

　　《中华人民共和国宪法》（以下简称为《宪法》）为个人数据确权提供根本法保障。个人数据包括“个人信息数据”与“非个人信息数据”两个类型，数据持有者不能基于劳动赋权论证成对个人数据的所有权。但是个人信息数据的收益权，却可以通过经济利益外的人格利益加以证成；非个人信息数据的收益权，也可以结合个人经济利益与数据流通的方式证成。数据是信息的关键载体，公民个人对个人数据享有的是“个人信息权益”。个人信息权益属于民事权益中的“人格权益”而非权益的集合，个人在个人信息处理活动中的权利，则属于个人信息权益的基本权能。“个人信息权益”保护的核心利益是精神利益，公民个人可以许可他人对其个人信息数据，进行商业化利用而获得相应的经济利益。与此相对应的企业，对企业数据享有的是数据财产权。个人不仅可以同意数据处理者处理个人信息，还可以授权他人抑或数据企业对其个人数据进行商业化开发利用。在“企业数据”与“公共数据”中，既有个人数据，也有非个人数据，公民个人数据是极为重要的一类数据类型。类型化是明确概念外延的方法之一，把特定的对象归入典型类型，有助于明确概念的外延，并推进个人数据权利的体系化。个人数据作为新时代新阶段的新型生产要素，已从静态的隐私载体，逐渐演变为流动的核心生产要素与社会治理基础资源，是数字化、网络化、智能化的基础，深刻地改变着生产方式、生活方式和社会治理方式。生产要素直接反映着人类社会不同发展阶段的生产力水平状况，具有变革传统生产方式、催生新产业、新业态的功能，是驱动经济社会发展的关键生产要素。随着个人数据作为“关键生产要素”价值得到社会普遍认同，国家层面密集出台相关政策，明确提出建设数据可信流通体系和可信数据空间。数据空间作为技术、法律与治理相结合的数据重用制度方案，正逐渐成为支撑数据要素流通的关键基础设施。构建以“高质量数据集”为基础的可信数据空间，是全面释放数据要素价值、培育和发展新质生产力的必然要求。如何界定数据权属、确立数据的所有权和合理使用权，愈来愈引起人们和社会广泛而高度地关注。自中共中央、国务院在“数据二十条”里提出“数据流通各环节产权制度”以来，数据确权已不再追问某个特定的所有权主体，确权政策开始直面流通数据的真实状态及其属性，逐步形成具有中国特色的数据产权制度体系。

　　“数据二十条”里所说的“数据产权”属于“财产权”。个人信息是受《个人信息保护法》保护的个人权益，因之产生了“个人信息权益保护规则”与“标识性人格权保护规则”。来源于公民个人信息的数据，在其实现“完全匿名化”之前，它始终裹挟着信息权利人的“人格权”。“人格权”属于《民法典》规制的“绝对权”。依据《民法典》对“绝对权”的规范和诠释，在个人数据发生流转抑或被利用的整个过程中，信息权利人始终具有对数据利用行为提出约束性主张的权利，这就使得数据利用者不可能实现对数据完全匿名化的处理。在以新发展理念引领数字经济运行的过程中，国家数据运营中心和企业数据运营机构，对公民个人信息数据加工利用的主要目的，是为了向社会提供更多、更好满足消费者需求的服务和产品。只有当政府机关能够积极汇集公共数据资源并向社会公众开放的时候，才能实现对数据资源更广泛、更有效地利用。数据利用者会因之进一步扩大收集个人数据的范围和力度，这种发展趋势也使得个人信息权益可能出现被泛化的倾向。一旦个人信息权益被泛化，就必然引发权利内涵的模糊化与权利保护的稀薄化。个人数据确权面对不同部门法之间的价值碰撞，不只是限于民法与经济法之间，即使正在建设中的全国一体化数据市场，也会遭遇到各级各类政府机关的利益冲突和挑战，这无疑对《宪法》规范体系提出了更高更新的要求，需要探寻一条从《宪法》视角出发的数据确权方案路径。现行《宪法》第三十三条第三款规定，“国家尊重和保障人权。”第三十八条又规定，“中华人民共和国公民的人格尊严不受侵犯。”在个人数据上存在着的作为“人格权益”的个人信息权益以及隐私权，是对《宪法》规制的“人格尊严”“人身自由”的贯彻。这即是说，无论国家数据运营中心抑或企业数据运营机构，都必须义无反顾地防止侵犯数据权利人的人权、损害人格尊严。然而，当公民个人的信息数据被充分流通与利用，对促进数字经济发展、提高人民生活水平发挥重要作用的时候，数据权利人需要遵循《宪法》第十四条第一款“国家通过提高劳动者的积极性和技术水平，推广先进的科学技术”的规定做出主动让步，不得阻碍数据流通充分利用的数据确权方案。