[31]《欧盟基本权利宪章》（以下简称《宪章》）第8条规定的是个人信息受保护权，其逻辑也正是从受保护的角度，而非自我决定的角度来规定相关权利的。

[17]全国人大常委会法制工作委员会法规备案审查室：《规范性文件备案审查理论与实务》，中国民主法制出版社2020年版，第173页。可以说，合宪性审查工作正在逐步推进，一个合宪性审查时代正在来临。

我国以不溯及既往为原则，渐进式的溯及既往为例外的合宪性审查溯及力模式，在立法上可以表述为：违宪的规范性文件自合宪性审查决定公布之日起失效，但为了保护公民、法人或其他组织权益的除外，制定机关修改、废止规范性文件的溯及力处理规则参照此规定。在授益性行政行为中，当事人的信赖利益保护是非常重要的考量因素。[15]从此，美国开始探讨例外情况下不溯及既往的适用。[22]但如有必要，对可撤销行政行为也可以确定自撤销之日起丧失法律效力，而不予追溯。三、合宪性审查溯及力的模式选择 合宪性审查结果有无溯及力的判断，主要聚焦于法秩序稳定与个案正义之间的价值权衡。

这样做有几点不妥：第一，8年间行政机关查阅通讯记录作出的处罚数量庞大，如果重新审查将以增加行政管理成本为代价，甚至造成行政管理瘫痪。[25]由此可见，行政法学界对于撤销的时间效力的说法不尽一致。[52] 在上述民法学者的观念里，损害这一概念的扩容，可有效应对个人信息遭受严重侵害的风险。

专业的执法机关能够采取更加合理准确的手段和策略，可以有效平衡隐私保护与数据流通、利用之间的关系。[65]参见蔡培如、王锡锌：《论个人信息保护中的人格保护与经济激励机制》，《比较法研究》2020年第1期，第108页以下。该法同时对私人提起诉讼设定了较为严格的限制，即仅允许私人针对特定的数据泄露事故提起诉讼，并严格限定个人信息的范围。[49]参见蔡培如：《欧盟法上的个人数据受保护权研究——兼议对我国个人信息权利构建的启示》，《法学家》2021年第5期，第22页。

以监管为中心的个人信息权利束保护机制之定位，要求对个人信息保护法第50条的规定进行合理化解释。[34]第五，即便按照民事权利的逻辑由个人行使人格权请求权提起民事诉讼，在国家机关为履行法定职责而处理个人信息的情况下，个人并不能针对国家机关处理个人信息的行为提起民事诉讼。

[71]在2016年的斯波克案中，美国联邦最高法院坚持采用了实际损害标准，认为损害须是已存在的或者具有紧迫性的，而非推测或假设的。[13]前引[9]，王利明文，第39页。与之相应，信息处理者应当为便于个人行使权利而建立相应的申请受理和处理机制，同时需要遵守处理个人信息的既定义务与程序要求，以形成有利于保障个体权益的、稳定的、可预期的个人信息处理行为规范。[62]See Salome Viljoen, A Relational Theory of Data Governance,131 Yale L. J.573(2021). [63]参见前引[38]，王锡锌文，第131页以下。

考虑到信息的物理和社会特性，法律难以在信息上设定一种具有独占性、排他性的支配权。[6]这些权能本身不具有独立性，必须依附于某种独立的民事权利而发挥作用。本文不对二者的内涵作出实质区分，且仅在讨论欧盟立法时，使用个人数据的表述。[75]See Meta Platforms Ireland Limited v Bundesverband der Verbraucherzentralen und Verbraucherverbände - Verbraucherzentrale Bundesverband eV, Case C-319/20, ECLI:EU:C:2022:322, Judgment of 28 April 2022. [76]参见张辉：《美国公民诉讼之私人检察总长理论解析》，《环球法律评论》2014年第1期，第164页以下。

作为处理规则的告知义务与作为权利的知情权，二者是完全同构的。第二，如何理解个人可以依法向人民法院提起诉讼这一规定，以及个人可否在不主张侵权责任的基础上，仅针对侵害权利束的个人信息处理行为提起民事诉讼。

此类案件具有如下基本特征：第一，个人向个人信息处理者提出了行使个人信息权利束中某项权利的请求。个人信息权利束中的各项权利，与个人信息处理行为的合规要求相对应，是国家赋予个人参与个人信息保护任务的工具性、手段性权利。

[57][德]乌尔里希·齐白：《全球风险社会与信息社会中的刑法：二十一世纪刑法模式的转换》，周遵友等译，中国法制出版社2012年版，第236页。该规定不应被简单理解为赋予了个人针对侵犯权利束的行为直接提起民事诉讼的权利，更不是设定了以私人执行为中心的对权利束的民事保障机制。[32] 对个人信息权利束法律性质的理解，直接影响到个人信息保护法实施中的权利保障机制问题。第2款进一步规定了受保护的具体内容，包括个人的知情、同意、查询、更正等，构成了受保护权的具体权利。当然，这并不是说个人信息上没有权利，而是说个人信息所承载的权益并不必然等于民事权益，其究竟属于何种权益，需要考虑个人信息的内容、处理场景等具体因素来确定。例如，个人可以依法向负有个人信息保护职责的部门投诉举报，如果监管部门不履行法定职责，或者个人对监管机构的处理不服，个人有权依照行政诉讼法等法律向法院提起行政诉讼。

已有民法学者关注到了个人信息自决权的适用边界，认为自决权的概念主要适用于公权力机关侵害个人信息上基本权利的情形，在民法层面的适用空间较狭窄，若将其一般化地作用于所有私主体，将会导致对个人自由的过度干涉。欧盟2018年实施的《通用数据保护条例》（以下简称GDPR），正是欧盟为了落实《宪章》第8条规定的个人信息受保护权而进行的具体立法。

第四，个人向法院提起民事诉讼，请求法院判令个人信息处理者履行义务。我国个人信息保护法第二章规定了个人信息处理规则，其具体包括处理个人信息的正当性基础（同意等），告知义务及其规则，共同处理、委托处理个人信息的规则，利用个人信息进行自动化决策的处理规则，公开被处理信息的规则，敏感个人信息处理规则等。

[39]参见杨立新：《个人信息：法益抑或民事权利——对〈民法总则〉第111条规定的个人信息之解读》，《法学论坛》2018年第1期，第39页以下。2018年生效的GDPR则对欧盟成员国具有直接适用效力，更直接地贯彻了个人信息国家保护义务的要求。

我国个人信息保护法关于狭义可携权行使条件（符合国家网信部门规定条件）的规定具有开放性，可携权条款实质上只是一个授权性、开放性条款，个人信息可携权应如何行使，取决于未来对该项权利启动和行使之具体条件的设定。[12]参见吴香香：《请求权基础视角下〈民法典〉人格权的规范体系》，《中国高校社会科学》2021年第4期，第129页。拒绝个人行使权利的请求的，应当说明理由。总之，《宪章》以个人信息受保护为核心目标，确立了个人信息受保护权这一宪法层面的基本权利。

个人信息权益并非个人信息民事权利和利益的叠加，这不仅因为法律上并不存在个人信息权之概念，还因为个人信息利益最终要落实到个人信息所承载的人格利益和其他相关利益，如财产性利益。但是，无论将个人信息权利束理解为个人信息权的权能、个人信息权益的权能，还是一般人格权请求权，在逻辑上都有值得进一步商榷的空间。

个人信息保护法第66条、第67条针对违法处理个人信息的活动，设定了一系列行政法律责任，包括责令停止违法行为、警告、没收违法所得、罚款、信用惩戒等。[40]参见前引[18]，王锡锌文，第148页。

然而，现代社会数字化生存的现实，[44]以及国家机关和私人机构对个人信息日益增长的胃口，[45]使得保护个人信息具有重要性和紧迫性。[2]但是，个人信息保护法第50条所规定的个人行使权利的请求，能否被视为民事请求权的规范基础？个人信息处理者拒绝个人行使权利的请求，是否必然导致民事法律责任的产生？概言之，个人信息权利束的保障和救济机制，应当是民事诉讼，还是行政监管和执法？要回答上述问题，逻辑上须阐明：第一，如何理解个人信息权利束中诸权利的法律性质和行权规则

质疑企业标准存在必要性的观点认为，只有国家标准才是强制性标准，也是判断食品安全的唯一标准，企业标准并无意义。官方技术标准保证了技术标准的安定性和明确性，民间技术标准保证了技术标准的效率性和灵活性，应当在两者之间建立起转化和吸收的必要通道。[23]通过实施行政程序法上的意见公募程序，来确保实现学会协会规格背书中的透明性。与1988年版《标准化法》相比，2017年版《标准化法》为了激发市场主体活力，鼓励团体、企业自主制定标准，增加规定依法成立的社会团体可以制定团体标准，企业可以根据需要自行制定企业标准。

这时对于利用业界团体、公益法人等民间力量的认证及检查检定，以实现引入竞争原理为基本。[18] 从内容上看，技术标准并非仅为依托于专家理性的专业性体现，也带有基于价值判断的行政性属性。

如果技术标准是有选择性地翻译或者只是节选其中一部分，容易造成缺漏和空白。2017年《标准化法》第27条第1款规定：国家实行团体标准、企业标准自我声明公开和监督制度……借此，企业标准的备案制度在《标准化法》上被取消。

[23]原子力規制委員会「原子力規制委員会における民間規格の活用について」（2018年6月6日）。为了应对这种变化，推进经济社会的结构改革，日本政府在1994年设置行政改革委员会，1995年在其之下设立规制缓和小委员会。