重解个人信息的本质特征：算法识别性

摘要：个人信息的可识别定性引发了个人信息权与传统人格权的区分难题，司法裁判中既存在以传统人格权保护个人信息，也存在以个人信息权裁判传统人格权纠纷的现象。可识别不宜作为个人信息的本质特征，因为其脱离了个人信息制度产生的数字社会基础，忽视了数字社会与传统社会中的识别差异，混淆了个人信息在各部门法中的不同内涵。算法识别性才是个人信息的本质特征，个人信息权的客体范围、法律属性、权利内容等均产生于算法识别性。正是根据个人信息之算法识别性，方能把传统人格权与个人信息权案件至少在民法领域中区分开来。当信息处理方式在事实层面难以查明时，仍应归入传统人格权侵权案件；当算法技术程度不同时，需根据个案衡量能否适用个人信息权。尽管文章是以个人信息权与传统人格权的区分作为例证来揭示该定性的理论价值和实践意义，但个人信息算法识别性其实关涉数字空间中可计算个人信息所有法律制度的设计。
关键词：数字社会；个人信息；个人信息权；传统人格权；算法技术；算法识别性
随着《中华人民共和国民法典》（以下简称《民法典》）、《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）等法律的颁布，个人信息权已成为我国实证法上的一项权利。尽管对个人信息权的权利属性，尤其是如何理解其财产属性尚存在分歧，但个人信息权作为一项具体人格权已基本形成共识。在我国立法规定个人信息权之前，学界的研究聚焦于论证个人信息权与传统人格权的差异，即传统人格权难以解决，需新增个人信息权才能予以解决的情形。而在我国立法规定个人信息权后，理论上的问题转变为如何解决个人信息权与传统人格权的重叠问题。因为就客观表现而言，传统非物质性人格权客体亦以个人信息的形式呈现，姓名、肖像、名誉、隐私等，概莫能外。对传统非物质性人格权的侵害，必然也会同时表现为对个人信息的违法处理。故如何解决传统人格权与个人信息权的重叠问题，成为立法确立个人信息权后面临的难题。而这一问题的解决，在根本上有赖于厘清何为个人信息。本文将从司法实践出发，展示个人信息权与传统人格权在司法实践中“相互交织”的适用关系，进而分析这一现象出现的原因，从而提出厘清二者关系的关键在于重解个人信息的本质特征，即算法识别性，最后展示算法识别性在司法裁判中的实践价值。
一、可识别定性下个人信息权与传统人格权的区分难题
自2017年《中华人民共和国民法总则》（以下简称《民法总则》）第111条规定“自然人的个人信息受法律保护”以来，我国司法裁判中既出现了以传统人格权保护个人信息的案件，也出现了以个人信息权解决传统人格权纠纷的案件。这些案件表明，如何区分二者已是摆在司法实务面前的现实难题。
（一）以传统人格权保护个人信息
在能适用传统人格权保护个人信息的场合，是否还有必要强调适用个人信息权？是否还有适用个人信息权的空间？对此，被最高人民法院列入“第一批涉互联网典型案例”的庞某信息泄露案是典型。原告庞某委托鲁某在去哪儿网平台购买东航机票一张，订票使用的是鲁某的手机号。两天后庞某收到航班取消的诈骗短信，他据此认为停航骗局是由于东方航空公司、去哪儿网公司泄露其个人购票信息所致，遂诉请两被告赔礼道歉，并赔偿其精神损失1000元。一审法院认为，两被告并非掌握原告个人信息的唯一主体，原告提供的以往与东航公司的通话记录以及购票凭证，不足以证明两被告泄露其个人信息，驳回了原告的诉讼请求。但二审法院做出了截然不同的判决：法院首先依照《民法总则》第111条的规定，认定案涉信息受法律保护；进而指出，尽管学界对个人信息保护的立法例存在争议，但是无论采用何种保护路径都不妨碍法律对个人信息的保护；法院因此依据《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》第12条，认定自然人的行程信息属于隐私信息，并认为姓名、手机号码虽具有身份识别与社会交往的功能，但当这些信息和行程信息（隐私信息）结合形成整体信息时，就属于隐私信息；在确定案涉信息属于隐私信息后，法院采用高度盖然性的证明标准，认定两被告具有泄露信息的高度可能性，且被告未能证明其履行了确保信息安全的义务，因其疏于防范导致了信息泄露的发生，具有过错，故改判两被告侵害原告隐私权。
本案二审法院的裁判逻辑典型地反映了个人信息权与隐私权（传统人格权）在法律适用上的诸多疑问。其一，本案原告以隐私权为请求权基础，法院最终也以被告构成侵害隐私权做出判决。既然如此，为何法院在裁判说理中不从隐私权的构成要件展开分析，遵循所涉信息是否属于隐私来判断隐私权侵权成立与否的推理逻辑，而是将绝大多数笔墨用于讨论个人信息的侵权问题？这一“文题不符”现象本身便表明了个人信息权与隐私权间的“交织”关系。其二，本案审判长曾指出，“如果本案发生在2021年11月1日《个人信息保护法》施行之后，则本案的判决理由就可能不一样了”。其本意似乎是，该案本应适用个人信息权裁判，奈何当时的法律对个人信息未能提供详细的保护规则，故退而求其次，采用隐私权以间接实现对个人信息的保护。但这一裁判思路令人困惑，因为从历史视角看，隐私权的产生远早于个人信息权，只有对隐私权无法适用的案件，才有适用个人信息权来提升保护受害人。正如《民法典》第
1034条第3款规定，“个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定”。若本案所代表的案型可通过隐私权保护个人信息，那应否在个人信息的界定中做出限制，从而实现排除适用此类案型的目标呢？否则，将导致无所不包的个人信息权概念与传统人格权的频繁重叠，这既无助于个人信息权理论体系的构建，也将造成司法裁判的困扰。其三，就适用逻辑而言，二审法院以侵害个人信息的方式证成侵害隐私权的说理也难有说服力。侵害隐私权本就是以侵害个人信息的方式呈现，但并不能认为只要侵害了个人信息就侵害了隐私权，因为侵害隐私权需要达到的损害标准往往更高，无法以侵害个人信息这一“举轻”方式来推论出侵害隐私权这一“明重”的结论。作为最高人民法院发布的典型案例，本案并未厘清个人信息权与传统人格权的关系，而是充分展示了二者之间混杂不清的司法现状。
（二）以个人信息权裁判传统人格权纠纷
随着以侵害个人信息权为由的纠纷逐渐增多，一些传统上以侵害名誉权、姓名权、隐私权等人格权为由的纠纷，逐渐出现了以侵害个人信息权做出裁判的案件。兹举两类纠纷说明如下：
第一类是小区张贴判决书案。被告因将涉原告的裁判文书张贴于小区而引发诉讼，是司法实务中的一种常见纠纷，早在个人信息权出现之前便已存在。传统上一般适用名誉权、隐私权做出裁判。比如在“澳龙物业案”中，赵某某因拖欠物业费而被澳龙物业公司起诉，法院判决后，澳龙物业公司将法院判决书张贴于小区多处，后赵某某以侵害名誉权为由对物业公司提起诉讼，法院判决被告未侵害原告名誉权。①类似的，在“国荣物业案”中，陈某某因拖欠物业费被国荣物业公司起诉，法院判决后，国荣物业公司以“通告”的方式将起诉的情况、判决书文号、生效及执行的时间、陈某某的房号、姓名、联系电话及公司告诫的内容张贴在小区入口处、通告栏、电梯入口处。原告陈某某以侵害名誉权、隐私权为由提起诉讼。法院判决被告未侵害原告名誉权，但侵害了原告隐私权。
在《民法总则》第111条规定个人信息受法律保护后，有法院开始以个人信息为由裁判小区张贴判决书案。如在“爱家物业案”中，翟某与徐某系夫妻关系，爱家物业公司起诉翟某拖欠物业费，徐某作为翟某的委托诉讼代理人参与诉讼。判决后，物业公司将判决书张贴于小区门口等位置。张贴时物业公司已将判决书中翟某和徐某字样用“3-14-4”予以替代，但并未隐去二人的出生日期、身份证号码和居住地址。徐某因此对爱家物业公司提起诉讼。一审法院延续了此类案件的传统裁判思路，以被告未侵害原告名誉权为由驳回了原告的诉讼请求。但二审法院认为，依据《民法总则》第111条的规定，自然人的个人信息受法律保护。被告张贴判决书时未隐去原告身份证号码、出生日期和地址的行为侵害了原告个人信息受法律保护的权利。据此，二审法院改判被告向原告赔礼道歉。
本案与传统的小区张贴判决书案在案情上并无二致，二审法院弃传统人格权而改采个人信息权加以裁判，无疑改变了此类案件的传统裁判思路。问题在于，这一转变是否妥当？其一，在此类案件中若被告构成侵权，传统上多以侵害隐私权为由（身份证号码等信息属于隐私信息）进行裁判；若改采侵害个人信息权，那么隐私权与个人信息权在此类案件中的关系为何？其二，若可以个人信息权来裁判，那么根据《个人信息保护法》第69条第1款应适用过错推定原则，此类案件有必要适用过错推定责任吗？其三，自《民法总则》颁布以来，关于小区张贴判决书案型，除了本案改采适用个人信息权的判决外，也有案件延续了传统裁判思路，还有案件同时对隐私权和个人信息权做出分析。这表明，个人信息权与隐私权等传统人格权间的适用关系，目前司法裁判尚未有清晰、统一的认识。
第二类是冒名担保案。银行贷款时常要求借款人提供担保，实践中冒名担保现象时有发生。多数情况下被冒名者对此并不知情，直到因贷款购房等原因查询个人征信时，才发现自己因担保的债权未依约定还款而导致征信不佳，进而被银行拒绝放贷或被收取较高的贷款利率。被冒名者因此对冒名者或相关金融机构提起诉讼，主张消除不良征信记录、恢复名誉、赔礼道歉以及损害赔偿等。传统上此类纠纷多以侵害名誉权、姓名权等做出判决。如在“阳新农商行案”中，原告刘某某购房向中国农业银行申请放贷被拒，因为其在阳新农商行有担保的贷款未还，而该贷款系石某某私拿原告身份证复印件办理。原告遂起诉石某某、阳新农商行等，主张赔礼道歉、消除影响和损害赔偿。法院以侵害名誉权为由，支持了原告的主张。在“武冈市农村信用合作联社案”中，原告肖某某对被冒名担保不知情，故以侵害姓名权为由起诉被告武冈市农村信用合作联社，主张赔偿损失等，法院最终以《中华人民共和国侵权责任法》第2条为依据，判决被告承担赔偿责任。
在个人信息被纳入我国实证法后，冒名担保案出现了以侵害个人信息为由的判决。如在“鲁山农信社案”中，原告孙某某被他人冒名担保，导致个人征信担保贷款被列为“次级”，因此难以从银行获得购房贷款。原告以侵害个人信息权为由起诉被告鲁山县农村信用合作联社，要求消除影响、赔礼道歉并赔偿损失。法院认为，“被告工作人员违规办理贷款时，冒用原告个人信息担保贷款，导致原告被纳入征信不良记录，侵犯了其个人信息，给原告造成一定的精神痛苦和物质损失”，故依据《民法总则》第111条等判决被告恢复原告的征信系统信用等级，并赔偿其精神损失和物质损失3万元。法院在裁判逻辑上的这一转变无疑又引发了如何区分个人信息权与传统人格权的疑问。如果涉个人信息的纠纷都能适用个人信息权加以裁判，那么传统人格权将在很大限度上被个人信息权所取代，这是立法者所欲追求的目标吗？如果不是，那要如何区分二者呢？
二、误将可识别作为个人信息本质特征的成因
由于非物质性人格权必然以“个人信息”的方式加以呈现，若仅以可识别界定个人信息，则个人信息权取代传统人格权现象的出现将“势所必然”，“可识别”正是引发二者难以区分的症结所在。误将可识别作为个人信息的本质特征，原因在于未能从历史变迁角度认识到个人信息制度产生的时空背景，故而也就无法真正把握民法领域中个人信息的本质特征究竟为何。在此意义上，我们首先应厘清误将“可识别”作为个人信息本质特征的根源，具体来说，有如下三个方面。
（一）脱离了个人信息制度产生的数字社会基础
若以可识别界定个人信息，并不能凸显其特殊性所在。个人信息自人类社会产生之初便已存在，但数千年以来，个人信息并未成为法律保护的客体。故对个人信息本质特征的把握，离不开对个人信息法律制度产生及其发展历史的考察。个人信息保护的提出始于20世纪70年代，主要源于信息技术的应用引发个人信息安全问题的全球性担忧。为强化对个人信息（隐私）的保护，世界诸多国家、地区以及国际组织出台了一系列规制自动化技术处理个人信息的相关制度。
在欧洲，德国黑森州1970年出台了世界首部个人数据保护法——《数据保护法》，随后瑞典于1973年颁布了世界首部国家层面的数据保护法——《数据法》，这些都是当时立法的典型代表。由于当时计算机技术刚刚兴起，法律规制的信息处理主体虽涵盖公私部门，但主要针对的是政府部门对个人电子档案的自动化处理行为。这些法律为后续立法提供了参考。在国际组织方面，世界经合组织(OECD)1980年公布了《隐私保护和个人数据跨境流通指南》（以下简称《隐私指南》），以规范个人数据的自动处理行为为目的，首次确立了个人信息保护的八项基本原则。2013年，世界经合组织对《隐私指南》做出重大修订，旨在应对自动化技术广泛应用对个人带来的新威胁，进一步强化了对个人信息的保护。欧洲委员会紧随其后，于1981年公布了《个人数据自动化处理中的个人保护公约》（以下简称《108公约》），作为全球首部个人数据保护的国际公约，《108公约》从名称到适用范围均体现出其规制自动化处理行为的特定性，即“适用于所有公共和私人领域的自动化个人数据文档和个人数据的自动处理行为”。随后，欧盟以《108公约》为蓝本，在1995年制定了《数据保护指令》，该指令第3条将适用范围限定在“全部或部分自动方式对个人数据的处理行为，以及通过自动方式以外的其他方式旨在形成个人数据存档系统部分内容的个人数据处理”。其中“存档系统中的个人数据”便是指“可按照特定标准访问或获取的结构化个人数据集合”，排除了个人以纯粹私人或家庭活动为目的的数据处理活动。④2016年欧盟在《数据保护指令》的基础上进行修订、补白，出台了在全球具有广泛影响力的《一般数据保护条例》（General Data Protection Regulations，缩写为GDPR，以下简称《条例》），其在适用范围上与欧盟《数据保护指令》一致。
在美国，个人信息的概念最早由阿兰·威斯汀提出，之后在“大隐私”的概念下被广泛讨论。但与沃伦、布兰代斯最初提出的物理性隐私产生的背景不同，美国个人信息保护制度立足于计算机兴起的技术背景。由于信息技术的创新与发展，传统收集、存储、利用个人信息的方式发生巨变，私人领域的隐私事务开始直接或间接地外溢到公共领域。但受美国第三方原则的限制，公共领域的隐私将不再受隐私权的保护。在此背景下，阿兰·威斯汀提出“信息控制理论”，旨在强化个人对其信息的控制，之后该理论成为美国“公平信息实践原则”的理论基础。“公平信息实践原则”最初主要针对的是美国政府采用自动化技术大规模处理个人信息而确立的，这一原则赋予了个人一系列的权利，并课以信息处理者一系列的义务和责任，后成为美国信息隐私保护立法的核心框架。比如，美国1974年的《隐私法》、1998年的《儿童在线隐私保护法》、2020年的《加州消费者隐私法》等，分别针对政府机构、教育机构、商事企业等主体的信息处理行为做出了规定。这些立法都以自动化信息处理技术为背景，以规制收集、
利用、披露、关联等信息处理行为为目的，“将个人信息保护的范围限定在由自动化技术导致的持续性不平等信息关系的主体之间”。
与比较法背景相似，我国个人信息保护制度也发端于数字社会的到来和自动化信息处理技术的应用。2012年《全国人民代表大会常务委员会关于加强网络信息保护的决定》是我国首个对个人信息保护做出详细规定的法律。该法的制定源于信息网络发展引发的信息安全担忧，尤其是为应对因新型信息技术和移动终端的发展而加剧的信息保护问题。之后，2013年修正的《中华人民共和国消费者权益保护法》、2015年的《中华人民共和国刑法修正案（九）》、2016年的《中华人民共和国网络安全法》（以下简称《网络安全法》）等，逐渐丰富了个人信息保护规则。2017年《民法总则》第五章“民事权利”项下首次规定了“自然人的个人信息受法律保护”（第111条第1句）。该条款立足现代信息社会，其确定的个人信息权是保护公民人格尊严、维护社会秩序的应有权利。2021年的《个人信息保护法》是我国对个人信息保护做出全面、系统规定的综合性法律，该法的制定仍以信息化时代为背景，旨在最大限度地保障公民的个人信息利益。可见，我国涉个人信息保护的立法动因，皆源于信息技术带来的社会变革。
综上，个人信息制度发端于信息技术的发明，个人信息制度的发展伴随自动化信息处理技术的升级，这说明数字社会才是个人信息制度产生和存在的时空基础。对个人信息本质特征的认识，不可脱离数字社会和自动化信息处理技术这一前提。换言之，个人信息的“可识别”特征，应打上“数字社会”的烙印。
（二）忽视了个人信息在社会形态中的识别差异
个人信息是已识别或可识别的个人信息，但数字社会中对个人的“识别”与传统社会并不相同。传统社会中信息的记录“平台”是自然人的大脑，故其系通过“人脑”来识别，传播多通过纸张、竹简乃至口头，多限于少量的、难以规模化的使用。但进入数字社会后，在信息技术的应用下，信息通过计算机系统加以记录，网络中与个人关联不大、价值甚微的零碎信息都被事无巨细地记录下来，对个人的识别也是通过计算机系统来实现的，因此，运用智能算法分析和利用个人信息成为数字社会中的常态。
如果把传统社会识别个人的方式界定为一种自然识别或物理识别，那么数字社会识别个人的方式可理解为一种算法识别或技术识别。在传统线下社会，个人信息的通用功能是熟人之间根据人格标识进行相互验证的身份符号，是通过人之大脑予以辨认的物理识别方式。而在数字社会，数字化使得个人信息的载体发生重大变化，除传统的人脑、纸质外，个人信息更多地被存储于互联网中。数字化记忆代替熟人之间的“头脑记忆”“文字记录”，成为新的信息记忆方式。信息获取也从人人交换的物理方式变成了人机交互的自动化方式，个人信息由此具有了可计算性特征。此时，个人信息的可算性与数字技术的互联性相结合，将人们带入快速运转的网络之中，算法技术取代人脑，将分散在网络各处的个人信息进行归拢和分析，如将具有明显算法特征的IP地址、广告ID、人脸识别信息等进行识别、关联和分析。至此，算法技术改变了传统识别个人的方式，实现“从个人‘认出来’到技术‘看出来’的转变升级”。准确地说，数字社会中的识别是通过算法“算出来”的。
同时，数字社会中个人信息的“识别”具有更强的“关联性”。在传统社会中，由于信息记录、传播方式有限，信息之间的关联相对较弱，不同场合中获取的个人信息多仅局限于该场合被利用。而在数字社会，面对自动化技术的持续升级，信息处理者借助算法技术对个人的特定行为、兴趣爱好分析预测，使碎片化信息也可能因为自动化技术分析而勾勒出“数字画像”，以此推测出个人的需求偏好，进而制定精准的营销计划或对产品优化升级。在此意义上，“可链接性”成为个人信息的重要特点。关联信息累积越多，勾勒的“数字画像”越精确。因此，处理个人信息的主要目的与其说是识别个人身份，不如说是“识别具体个人的个性特征”。在数字环境下，以技术识别为中心带来的一连串蝴蝶效应都与传统线下社会的自然识别存在本质差异。算法的关联性大大延伸了关联信息的效用性，使个人信息与土地、石油一样成为商业争相追逐的资源，凸显出巨大的财产价值。在此背景下，所有可识别的个人信息都变得重要，个人信息普遍成为法律保护的客体。
（三）混淆了个人信息在各部门法中的不同内涵
数字社会引起了生活形态、行为规律、社会秩序的变革，并通过数据和算法得以实现。算法重塑着人与世界、人与人之间的关系，使人打破在物理意义上的时空限制，在现实空间之外可以虚拟出与之平行的世界。个人信息作为数字社会中的基本元素，在智能算法的“加持”下有了新的用途，同时也触发了诸多新的法律问题，需要联动各个部门法进行多元救济，这决定了法律对个人信息的规范应该是全方位、综合性的，即宪法、行政法、刑法、民法、国际法等部门法都尝试基于其各自的问题意识、制度关怀和规范进路等，对个人信息做出相应的调整。第一，宪法和行政法对个人信息的规范目的主要有二：一是为个人提供法律上的权利来对抗作为信息处理者的国家，防范国家利用个人信息而侵害公民的合法权益。就此而言，国家应避免过度侵入个人信息领域，应尊重私人生活及其安宁。如经历过纳粹时期的德国对此便尤为谨慎，在人口普查案中，法院面临的正是如何平衡国家对公民的信息收集和个人权益保护之间的难题。二是为个人对抗日渐强大的数据企业提供法律上的支撑。就此而言，个人享有“个人信息受保护权”，国家则负有通过制度性保障、组织与程序保障以及侵害防止义务的体系化，营造个人信息保护的制度生态，支援个人对抗个人信息处理中尊严减损的风险。④第二，刑法对个人信息的保护，主要是为了打击利用个人信息而开展的刑事犯罪，尤其是电信网络诈骗犯罪行为，从而保护个体的个人信息权益和社会公共利益。事实上，利用个人信息实施刑事犯罪早已有之，各种类型的诈骗罪（包括信用卡诈骗罪、票据诈骗罪等）、私自开拆、隐匿、毁弃邮件、电报罪等，都与个人信息相关。但在刑法领域，真正以数字社会为背景确立的关于非法利用个人信息的罪名，是以打击电信网络诈骗犯罪为目的而从传统的诈骗罪中独立出来的“侵害公民个人信息罪”。它将传统上已经被包含于诈骗罪等罪名中被评价的出售、提供公民个人信息等“预备”行为“正犯化”，从而更好地预防电信网络诈骗等犯罪行为。第三，民法对个人信息的保护，是基于传统人格权不足以保护数字时代个人信息所蕴含的人格尊严和人格自由等权益，故而将个人信息权作为一项独立于传统人格权的具体人格权予以确认和保护。具体而言，算法技术的介入改变了个人信息之于个人的意义。在数字领域，个人信息不仅呈现出巨大的经济价值，也因此招致信息安全、人格尊严的威胁等问题。据此，所有的个人信息都产生了被法律保护的必要。但传统人格权制度却无力承担这项重任，这不仅体现在其权利客体范围无法覆盖个人信息的所有利益形态，更为关键的是，其制度规则难以有效应对算法技术对信息双方带来的利益失衡问题。第四，国际法对个人数据保护的提出，则有着强烈的统一各国数据保护规则的目的，以免各国各自为政，阻碍数据跨境流通和数字经济发展的目标。如欧盟在个人数据保护问题上的积极立法，其重要动因来自建立欧洲统一市场，增强欧洲数字产业的竞争力，削弱美国在欧洲市场中的主导地位。
基于各部门法在保护个人信息规范目的上的差异，决定了个人信息的适用范围也应有所不同。如刑法在认定“侵犯公民个人信息罪”时，对个人信息的理解便无须局限于数字社会中电子化的个人信息。根据《中华人民共和国刑法》第253条，构成该罪的行为包括向他人出售或者提供公民个人信息、窃取或者以其他方法非法获取公民个人信息。为了有效打击“后续”的电信网络诈骗行为，将以未经计算机自动化处理的电子文档形式提供个人信息，甚至以传统纸质形式提供的个人信息，都纳入“个人信息”范围之内，是本条规范的应有之义。相反，若在民事领域界定如此宽泛的“个人信息”范围，将导致个人信息权与传统人格权难以区分，进而引发人格权制度体系的混乱。就理论而言，公法对个人信息的界定通常要比私法宽泛，这是因为公法对个人信息的规范多体现在抽象意义上对人格自由和尊严的保护等，而无须细分诸多具体人格权间的体系关联和边界。或许是个人信息法律制度史上先公后私、先刑后民的历史“惯性”使然，我国民事领域对个人信息的理解一直与公法领域保持了一致。但鉴于各部门法规范目的的差异，不应认为各部门法探讨的“个人信息”有着完全相同的内涵，也不宜将公法上界定相对宽泛的个人信息概念当然地也适用于民事私法领域。
综上，个人信息权发端于数字社会的到来，对个人信息特征的概括应立足于数字社会。算法技术使得个人信息的识别方式发生了重大变化，数字社会中个人信息的算法识别和自动化处理，与传统社会的自然识别和人脑处理有着显著差别，这成为区分个人信息权与传统人格权的关键因素。误认为个人信息在各部门法中有着统一的内涵会成为阻碍民事领域准确界定个人信息的障碍之一。就民事领域而言，脱离数字社会这一时空背景研究与适用个人信息权，正是当前个人信息权与传统人格权难以有效区分的重要原因。唯有认识到这些要点，才能准确认识作为权利客体的个人信息，才能准确适用个人信息权。
三、个人信息的本质特征：算法识别性
数字社会中的个人信息不仅要满足“可识别”的要求，而且还应围绕算法技术加以限定，即通过算法识别出的个人信息，才是典型的个人信息权客体。据此，个人信息应同时满足识别性和算法性特征，即算法识别性才应是个人信息的本质特征。
（一）个人信息权的客体范围取决于算法识别
无论从各国立法对个人信息的定义还是个人信息保护的理论基础来看，作为权利客体意义上的个人信息都是算法限定下的可识别信息。目前，大部分国家和地区对个人信息的定义都包含对“自动化处理”和“识别”的限定。以欧盟《条例》为例，一方面，其第4条第1款规定：“个人数据指与已识别或可识别的自然人相关的数据”，其中列举的“定位数据、网络标识数据”体现了个人数据的电子化特征；该条第2款对“数据处理”（对数据的收集、记录、存储、改编、删除、销毁等自动或非自动方式进行的处理）以及第4款对“识别分析”（对个人数据采取的任何自动化处理的方式）的定义，则从行为规范层面勾勒出算法处理个人信息的场景，体现了立法通过算法从正向层面确定个人信息范围的设计架构。另一方面，《条例》第5条将识别性标准内化到算法技术中，因而规定了“假名化机制”，即采用适当的技术和措施使他人无法将数据连接到具体个人，从反向层面限定了个人数据的范围。美国立法对个人信息的定义也体现了算法性特征。以美国《消费者隐私权保护法案（草案）》为例，该法案定义个人信息为“能够直接识别或合理关联到特定个人或设备的信息”，相较于欧盟《条例》概括性的识别定义，这种“关联到设备”的具体规定体现了算法技术的可关联性，比较准确地把握了辨别个人信息的算法特质。同时，《消费者隐私权保护法案（草案）》也从反向层面将“去识别化处理”的信息从个人信息的保护范围内排除。与欧美立法相似，我国立法对个人信息的定义也带有一定的算法色彩。《民法典》《网络安全法》《个人信息保护法》都采用识别路径定义个人信息，还在定义中明确使用“电子记录”这种具有明显技术特征的术语。
个人信息保护的理论基础也体现了算法技术对个人信息范围的限定。个人信息权制度的核心理念是个人对其信息的处理具有自主决定权，无论是欧盟法中的个人信息自决权还是美国法中的个人信息控制权，均将个人对其信息的控制限定在算法技术处理的情境中。首先，个人信息自决权的确立源于德国“人口普查案”，但德国联邦宪法法院并未承认这一权利的普适性，而是对适用信息自决权的义务主体和处理场景进行了限制，即脱离了公权力机构和个人信息自动化处理行为这两个限制因素，个人信息自决权就失去了正当化基础。其次，即便是信息控制理论的提出者威斯汀，也是以计算机技术对个人隐私产生威胁为背景的，更确切地说这种信息控制主要针对的是自动化处理行为。由此可见，并非所有的个人信息皆可纳入个人信息权的客体范围，只有能被算法处理的个人信息，方能作为个人信息权的客体。
综上，在数字社会，识别性仅是个人信息的自然特征，算法性则是其技术特征。个人信息应同时符合这两个特征，才能成为个人信息权的客体，亦即算法识别性才是个人信息的本质特征。
（二）个人信息权的法律属性根植于算法识别
个人信息之所以能够成为一项独立的民事权利，源于当下的新型社会形态——数字社会的到来。以算法为代表的信息技术不仅改变了个人信息的表现形式（电子化），更是在根本上重塑了个人信息的人格本质和财产属性，使个人信息蜕变为一项自身拥有特殊属性的具体人格权。
一方面，算法强化了个人信息的人格属性。传统社会中的个人信息，除了涉姓名、名誉、隐私等之外，多数与人格关联较弱，而未被作为人格权客体予以保护。然而，数字社会中以算法技术为媒介的个人信息则显示出特有的时代特征，即信息数字化、数字信息的可计算化、数字网络化以及数字智能化。万物数字化改变了处理个人信息的方式，自动化技术的持续整合分析成为个人信息处理的新型工具，“数字画像”和以此为基础的自动化决策成为个人信息利用的常态。基于智能算法的应用，个人信息与人格利益的关联更为密切。在该技术背景下，数字社会中侵害个人信息呈现出三个不同于传统社会的特征，即侵权主体主要为信息处理者（组织），侵权方式具有技术性、隐蔽性，以及侵害结果具有高风险性。因此，传统上具有消极、被动特点的人格权很难适应社会发展的需要，这就需要立法以一种更为积极的方式保护数字社会中的个人信息。个人信息权作为一项独立的权利形态便应运而生。
另一方面，算法催生了个人信息的财产属性。一般而言，传统社会中的个人信息很难生发出财产价值。虽然诸如肖像等信息能够带来财产价值，但这些财产价值与其说是肖像本身生发的财产利益，不如说是肖像权人通过自身努力而获得的财产利益，只不过该财产利益附着于其肖像之上。在数字社会，个人信息财产价值的外化方式则不同，在算法技术的“加持”下，个人信息天然具有财产性基因。算法技术将个人信息的收集形式固定化，使其具有可控性；将个人信息的传播形式丰富化，使其具有流通性；将个人信息的利用方式多样化，使其具有效用性；将个人信息的汇聚方式规模化，使其具有稀缺性。因此，个人信息释放的财产价值决定了其权利属性中天然内含财产利益，也决定了个人信息权的权利属性是内含财产利益的人格权利。这与传统人格权显著不同，虽然法律主要保护个人信息权中的人格利益，但其内含的财产利益也不应忽视。甚至可以说，恰是数字社会中个人信息的财产性价值才催生了个人信息受法律保护的必要，而恰是算法识别性决定了个人信息权是一项天然内含财产价值的具体人格权。
（三）个人信息权的权利内容产生于算法识别
从个人信息权的基本原理可以看出，强化个人对其信息的控制是对个人赋权的逻辑起点。在数字社会，掌握了数据，就意味着掌握了资本和财富；掌握了算法，就意味着掌握了话语权和规制权。但事实上，技术优势产生的“算法权力”实质造就了信息处理者与个人在信息能力、权力之间的鸿沟。由于技术受制于人类认知偏见、技术水平等，导致以中立为特征的算法成为公私机构推诿责任的工具。掌握算法权力的信息处理者，“既可能利用个人信息为个体提供更好的服务，也可能利用信息及技术优势而算计与支配个人”。算法权力打破了义务对算法行为的约束，而规制算法权力的根本在于恢复义务的在场状态。基于此，以规制算法权力为目的生成的算法权利，代表了算法活动中的基本价值立场，可以恢复个人对算法义务履行的预期，满足个人的正当利益需求。即通过赋予个人知情权、选择权、拒绝权等使个人进行积极的风险控制，由此实现个人自治以及信息的持续供给。这组权利都是为了约束算法处理行为生成的，不仅带有明显的技术性特征，而且权利的行使亦以算法处理个人信息为前提。
以欧盟《条例》规定的具体权利内容为例，一方面，这组权利以可识别的个人信息为客体，围绕个人信息从收集、存储、分析、利用到删除整个处理过程赋予个人相应的权利，确保个人在各处理阶段的参与力度。如在事前防范中个人享有知情权、决定权，事中监督中个人享有访问权、限制处理权、反自动化决策权等，事后救济中享有更正权、删除权，同时规定算法解释权、数据携带权等赋予个人积极参与信息处理的权利。这组权利旨在实现信息主体有能力通过自己的行为改变自己与他人、他人与他人之间规范关系的“权力”要素。另一方面，这组权利是为规制算法行为设立的，具有权利上的算法性特征。算法解释权即是算法性特征的典型表现。该权利由知情权和反自动化决策权衍生，主要为规制信息处理者利用算法对个人进行大数据杀熟、大数据歧视而设，旨在赋予个人可要求信息处理者对运算结果进行解释的权利。再如数据携带权是个人信息自我控制得以实现最为重要的权利机制，“在技术可行的情况下，个人有权将其个人信息转移给另一个信息处理者”。从其定义可看出，个人信息的整体转移依赖相应的技术标准来实现，显示了权利的算法特征。
个人信息权的行使边界以算法处理的个人信息为限。同时，作为技术架构的算法在一定意义上生成了个人信息的权利空间。在实践中，数据企业利用人脸识别技术识别出的人脸信息，Cookies技术追踪个人网络痕迹并由此形成的数字画像，个人穿戴设备收集分析的行为轨迹信息等，都是由算法生成并由算法识别的。将算法技术嵌入个人信息权中是个人信息算法识别性的内在要求，即“经设计的隐私”。其中，风险最小化的算法设计标准可以从正面确定个人信息的保护范围，“解决个人信息保护与数据权利的界分问题”，由此催生出相应的包含算法技术的权利，如拒绝权、反自动化决策权、算法解释权等。如欧盟在《条例》中，将“经设计的隐私”技术标准纳入保护规范中，并在数据处理中融入“采用数据最小化机制”，再配以问责机制和认证机制落地实施，成为技术入典的典型条款。而匿名算法技术亦可从反面排除个人行使信息权利的空间，如在“余某诉查博士二手车案”中，二手车况信息达到了匿名化规则的要求而不受“删除权”的保护。可见，个人信息的算法性决定了个人信息权的可计算性，而个人信息权的行使又以可识别为前提，并依赖算法来实现。
四、算法识别性作为个人信息本质特征的实践价值——以民事侵权为例
个人信息算法识别性特征的提出，可以说对关涉数字空间中可计算个人信息的所有法律制度的设计都会带来特定影响，此处仅以该定性能够澄清侵害个人信息权与传统人格权的理论差别为例。具体说来，个人信息算法识别性特征能够基于侵害个人信息权或传统人格权在规范目的、权利属性和权利内容上的不同而将两者区分开来，从而为两种侵权纠纷确定具体的法律适用。
（一）个人信息权与传统人格权的准确适用：算法性区分
基于个人信息的算法识别性特征，个人信息权的适用以数字社会中算法技术的运用为前提，故传统社会中的涉信息纠纷并不适用个人信息权。据此，无论是小区张贴判决书案，抑或冒名担保案，都不应适用个人信息权。就小区张贴判决书案而言，该纠纷发生在小区这一线下场景，而非线上空间；所涉信息以纸质方式呈现，而非电子方式；处理信息的主体是物业公司，而非掌握算法技术的信息处理者；信息的处理方式是人工公开法院判决书，而非通过算法对信息自动化处理。同理，对冒名担保案而言，此类纠纷也是发生在线下，受害人的姓名、身份证号等信息是被第三人（往往是自然人）冒用，纠纷的发生既无涉数字社会，亦无关算法。因此，无论是小区张贴判决书纠纷，还是冒名担保纠纷，都可以通过传统人格权予以解决，且适用传统人格权解决此类纠纷已行之多年，并无必要在个人信息权产生后改变此类纠纷的解决途径。
进一步言，以适用个人信息权解决传统线下纠纷不仅无益，而且有害，因为个人信息权的制度理念和规则设计不同于传统人格权。传统人格权的出发点是，原被告双方之间在法律上是平等关系，规则设计以意思自治和平等对待为原则。但在个人信息权中，算法技术的应用导致原被告双方在信息处理上存在事实上的不平等关系，基于此种不平等，法律对信息主体给予了倾斜性保护。个人信息权规则与传统人格权规则因此存在显著差别，适用个人信息权解决传统纠纷会导致“张冠李戴”的匹配失调，影响法院裁判的妥当性。具体而言，二者在民事侵权救济上存有如下差别：
第一，归责原则不同。《个人信息保护法》第69条第1款确立了侵害个人信息权采过错推定责任，以此来缓解个人与信息处理者在举证能力上的偏差，这与传统人格权侵权的过错责任不同。在数字环境中，由于算法的隐蔽性和专业性导致个人面临无法证明“算法如何识别、如何歧视、如何杀熟”的举证困境，为克服举证能力的失衡，适用过错推定责任成为立法者可取的选择。一方面，个人信息处理者距证据较近，且专业较强，采用过错推定有利于强化信息处理者的举证义务，另一方面可以减轻个人的举证负担，对受害人提供有效的救济。如在“微信读书案”中，原告能够提供的证据仅限于其可识别的信息——自动关注其微信好友并将其读书信息公开。但该类信息的产生和利用属于被告腾讯公司内部的技术行为，原告很难提供清晰的侵权链条证明腾讯公司的算法行为构成侵权。因此，法院适用过错推定责任，将反驳原告主张的举证责任移转至腾讯公司。若将过错推定责任适用于“小区张贴判决书案”等传统人格权纠纷案件中，难有正当性可言。
第二，违法性判断不同。《个人信息保护法》第13条规定了处理个人信息的合法性基础，除了少量例外情形，处理个人信息原则上须事先取得个人的同意，否则便可能构成违法。但传统社会的信息流动并不遵循告知同意规则，如“德国法上传统的信息秩序建立在信息自由的基础之上，亦即，原则上人们可以任意获取、处理和利用他人的信息。……隐私权诉求不过只是‘信息交流自由之海中的个别保护岛屿’罢了”。若传统社会采告知同意规则，信息流动无疑会凝固，社会将无法正常运转。但在数字社会中，信息处理借助于算法技术可以无时不在、无处不在。如果不赋予个人对其信息的自我控制权，放任信息处理者对个人信息的处理，个人将在数字社会中成为透明人，个人的人格利益和财产利益都会面临巨大的受侵风险。因此，传统人格权纠纷中的受害人有义务证明相关信息收集和传播的违法性；而在个人信息权纠纷中，则应由信息处理者来证明其信息处理行为的合法性、正当性、必要性。
第三，损害认定不同。在数字社会，个人信息因算法技术的客观记录产生“社会典型公开性”，符合侵权损害的“客观真实性”要求，但其损害后果具有潜在性和不确定性。信息处理者侵害个人信息权可能发生在任何处理环节。算法的循环分析还可能导致损害的衍生和可持续性，“以往的污点跟踪技术无法有效识别处理个人信息造成损害的潜在风险”。个人不仅难以应对这种风险，更难以就损害进行举证。据此，规制算法并“对强势主体施加义务”成为调整信息处理者与个人之间强弱关系的必要选择，这是个人信息倾斜保护的典型运作机制。在个人信息权纠纷中，判断个人信息权是否受到损害是通过合法性原则反向确定的，即处理行为是否合法或是否履行了法律义务成为连接风险与损害认定的关键。在“微信读书案”中，微信读书自动生成原告的读书时长、读书内容等信息，并进行持续的识别分析，有勾勒出其人格侧面的风险，这些损害及风险皆由算法计算并以客观形式呈现。腾讯公司未向原告充分告知并取得同意就自动为其关注读书好友并公开读书信息，显然违反了处理个人信息的合法性原则，侵害了原告的个人信息权。而在传统人格权纠纷中，损害的认定更多地依赖受害人的主观感受，需借助“社会评价降低、生活安宁受到威胁”等因素做出判断，与数字环境中的客观性和可计算性特征不同。
（二）个人信息权与传统人格权的模糊地带：个案衡量
除了纯粹发生于传统线下社会和完全有赖于算法加以处理的场景外，实践中也存在适用传统人格权抑或个人信息权的模糊地带。一方面，以数为媒的社会与以人为媒的社会之间不存在一条界线清晰的鸿沟，而是彼此交织地混杂在一起。另一方面，算法技术也有强弱之分，根据个人特征进行个性化推荐固然属于算法，依字母顺序排序和展现也未尝不是一种算法。面对现实的复杂性和多样性，对于适用中的模糊地带需个案衡量。
第一，信息处理事实不明时的个案衡量。在“庞某信息泄露案”中，原告航班等信息如何泄露难以查明。由于两被告是个人信息的实际控制者，从被告处泄露原告信息有着较高可能性，但该泄露既可能是因传统方式（如被告工作人员口头告知他人）而泄露，也可能是因计算机系统被侵而泄露。鉴于对信息的处理是被告的内部行为，原告难以举证证明其信息如何被泄露，故此时认定何种案件事实，或者说适用何种权利判决更多取决于法律的价值判断。若选择适用个人信息权，主要是出于更好地保护受害人的角度，体现了优先保护受害人利益的价值理念；若选择适用传统人格权，则是选择了优先保护行为自由，避免社会交往因宽泛的个人信息权保护而动辄得咎。基于侵权法原理，优先保障行为自由是侵权法的逻辑起点，即“损害原则上应停留于其发生之处”。因此，除非有足够充分且正当的理由，否则应坚持行为自由。所谓“足够充分且正当的理由”，最主要的便是行为人的“过错”。具体到个人信息纠纷，在信息泄露途径和方式不明时，不宜认定企业存在“过错”。否则，若仅以信息泄露的事实便径直认定企业构成“过错”，便在事实上令企业承担了无过错责任，因为企业基本上无从证明自己不存在过错。在司法裁判和学理充分证成此类场合应适用个人信息权之前，基于侵权法的基本理念，适用传统人格权解决此类纠纷应是较为稳妥的解决方案。基于此，“庞某信息泄露案”便不应适用个人信息权来判决。该案两审法院都是基于传统人格权侵权做出的判决，表明适用传统人格权完全能够解决此类纠纷。只不过二审法院在说理中过于强调对个人信息的保护，导致在论证过程中舍本逐末，偏离了传统隐私权的适用逻辑。
第二，算法技术程度不同时的个案衡量。数字社会是适用个人信息权的前提，但并非所有发生于数字空间中的涉个人信息纠纷都可适用个人信息权。若个人信息只是单纯地被发布于数字空间，未必需要适用个人信息权，如在网络上发布侮辱诽谤他人内容的纠纷，一般应适用传统人格权。我国人肉搜索第一案“王菲案”中，被告在网站上公布了原告的姓名、工作单位、婚外情等信息。法院认为，“在社会生活中，公民为了交往的需要，常常主动将姓名、工作单位、家庭住址等个人信息告知他人，这些个人信息有时也会被他人通过一定途径知晓和利用。这些个人信息的披露、使用等行为是否构成侵犯隐私权，应当视行为人对这些信息的取得方式、披露方式、披露范围、披露目的及披露后果等因素综合认定”。此类纠纷中，被告并未采用算法技术对原告信息进行自动化分析，适用隐私权等传统人格权便可有效解决，无须适用个人信息权。
此外，若案涉算法只是依字母、发布时间排序等简单的处理技术时，也可能无须适用个人信息权。以“线上发布判决书案”为例，“贝尔塔案”与“汇法正信案”是典型。两案的案情相似：被告都是提供信息查询等服务的公司，它们将源自中国裁判文书网的法院裁判文书上传到自己网站，供客户查询。被告网站的裁判文书中包括了原告与第三人间的诉讼文书，文书中涉及原告姓名、纠纷过程等信息。原告以侵害个人信息权、名誉权、隐私权等为由提起诉讼，“贝尔塔案”法院判决被告侵害了原告的个人信息权，“汇法正信案”（以侵害隐私权为由）法院则驳回了原告的诉讼请求。此类案件中，能否适用个人信息权与被告所采取的技术密切相关。若企业爬取了中国裁判文书网上公开的判决文书并收录于自己网站，而没有做出更多的技术处理，或只是做了案件名、案号、审级等分类编排上的处理，此时便不应适用个人信息权。若企业通过技术手段提取了判决书、企业工商注册信息、行政处罚文书、失信被执行人名单中的当事人信息，并将这些信息相关联，如在查看企业工商注册信息时能看到该企业股东的判决书或行政处罚文书，对被纳入失信被执行人名单的股东做出重点标注，并在数据分析基础上提供企业或个人信用等级、交易风险预警等“增值”服务，此时适用个人信息权的可能性便明显加大。因为
企业实施了对个人信息的自动化处理行为，导致个人信息具有“可链接性”。据此，“贝尔塔案”中被告提供的是企业征信、企业信用评估、信用管理咨询、企业管理咨询等服务，用户可以通过其网站查询企业工商登记、涉讼裁判文书等，即被告将企业（包括股东）信息与裁判文书等做了关联，使用户在查看企业信息时能同时看到和链接到与之相关的裁判文书，可适用个人信息权。相反，“汇法正信案”中被告是法律资讯信息网站，其仅提供法律法规、司法案例、合同文本、律所律师、司法院校等信息，对司法案例的编排采取的是案由、文书类型、审理机构等常见的编排方式，故该案无须适用个人信息权。因此，涉个人信息纠纷能否适用个人信息权不应一概而论，而是要视企业所采取的技术、所运用的数据处理方式以及所提供的产品和服务等而定，其中核心的判断标准在于，企业是否运用了算法等自动化信息处理技术。
五、结语
数字社会是个人信息权产生的生态环境，也是讨论、研究个人信息法律保护的前提。算法技术的运用导致个人信息之于个人的意义发生了巨变，个人信息权发端于算法处理的特定领域，其权利客体、法律属性和权利内容等都体现出数字社会特有的算法性。算法识别性由此成为个人信息的本质特征。尽管本文是以个人信息权与传统人格权的区分作为例证来揭示该定性的理论价值和实践意义，但是个人信息算法识别的定性其实关涉数字空间中可计算个人信息的所有法律制度的设计。最为重要的就是数据的处理、数据权属确定及数据利益的分配问题，所有这些都跟个人信息的算法识别性本质密切相关。因为，从根源上说，正是基于个人信息的算法识别性，才改变了个人信息的人格意义，更催生了个人信息中内含的财产价值。这也使得传统人格权制度已无法有效解决个人信息利用带来的新问题，从而为个人信息权被法律确认为一项独立于传统人格权的新型人格权奠定了理论根基，而有关数字社会中一切有关数据、个人信息的讨论都由此开始。