孙登科江苏海洋大学文法学院校聘副教授，东南大学法学院博士后。
内容摘要
个人数据既不同于现实空间的有体物，也不同于具有创造性无形的智力成果，它是一种新型的客体，与人的身份有关，但不属于身份权范畴。传统的“物之所在地法”规则和知识产权法律适用规则并不能有效地解决个人数据保护法律冲突。同时，个人数据权是一种复合型权利，不仅包括人格权和财产权，还包括遗忘权、更正权、访问权等多种权利，物理空间单一的侵权行为地规则在互联网领域内显得单薄。由于数据具有虚拟性、瞬间性及流动的无界性等特点，而且地理空间的分散，连结点增多，传统的法律适用规则在虚拟的网络中受到了很大的挑战。因此，为回应这一挑战，应从个人数据的本质属性和隶属的法律关系两个方面去探寻个人数保护法律适用的一般规则，并结合引起法律冲突的特殊问题，适当借鉴“数据来源国法”“最强保护国法”和“保护弱势方利益”等规则。
在信息经济加速全球化的进程中，个人数据被大量使用和传播，为全球经济的发展和繁荣带来了巨大的红利。但与此同时，个人数据也存在被非法收集、非法处理和滥用情况，数据主体的合法权益受到了严峻的挑战。近年来，随着个人数据侵权引发的案件日益增多，世界各国都纷纷加强个人数据立法保护。截至目前，全球已经有多个国家和地区颁布个人数据保护法，还有40多个国家和地区正在准备筹备。由于不同的历史传统和法律文化的差异，各国在个人数据保护的方式和水平上就略显不同，导致法律冲突现象严重。如何解决这些冲突现象是现在国际社会上面临的一个重要问题。
一、个人数据保护法律适用规则对传统的挑战
“传统冲突法是一种建立在以领土为标准划分各国法律管辖范围基础上的法律体系，通过运用一种所谓的‘分配法’的方法，将发生争议的涉外民商事关系分配给某一国家的法律处理”，从而解决外国法律的域外效力与内国法律的域内效力，或内国法律的域外效力与外国法律的域内效力之间的冲突。地域因素或空间场所在法律选择和审判中起着基础性的控制作用，成为制约人类生存和活动的自然性的客观标志。然而，随着科技的发展和信息化时代的到来，互联网得到广泛的普及运用，网络把成千上万的网络用户联系在一起，整个世界形成一个巨大无边的网络疆域。在网络空间里，人们的生活方式和交往方式都发生了改变，移动支付、网络平台、电子商务等新型的事物逐渐出现，网民可以自由进入各个国家的网络空间，自由浏览和查找需求，进行网上交易和网上服务，所有的一切几乎都可以在网上瞬间完成，而不受传统地域的管辖限制。传统的地域模式很难再对这些过程和环节进行确定或场所化，冲突法中的地域要素和空间场所在网络领域中受到了极大挑战。
（一）“物之所在地法”规则在个人数据保护法律适用中的障碍
“物之所在地法”的产生最早可追溯到13、14世纪的意大利，由巴托鲁斯提出，他主张不动产应当适用不动产所在地的法律，但是动产应当适用当事人的属人法，即“动产随人”原则。然而，随着资本主义经济和国际民商事交往的进一步发展，动产所有者与动产分离的现象日趋正常化，即使是同一动产所有者，其动产也可能位于多个国家，动产所在地的国家也不愿意用属人法来处理本国的动产，于是巴托鲁斯的主张遭到很多学者反对和批判，很多国家开始抛弃“动产随人”原则，直接适用“物之所在地法”，即法律关系的标的物所在地的法律。其主要适用于物权领域，范围包括动产与不动产的识别问题，物权的客体范围、物权的内容范围、物权的取得、消灭和变更的方式和条件、以及物权的保护方法等，这一原则的确具有广泛的运用价值，但是对于一些特殊的物权则不能适用“物之所在地法”规则。例如，运输途中的货物、船舶、飞机、汽车和其他运输工具、与人身关系密切的动产、外国法人的财产清算以及外国的国家财产等。
“在民法上，物权是一个法律范畴，系指由法律确认的主体对物的直接管领并排除他人干涉的权利”。在物权法律关系中，物权的客体通常是物，是权利人在法律规定范围内直接支配的特定物，不仅具有客观实在性、特定性、唯一性等特征，而且其最主要的特征就是物的所有人对物进行占有、使用、收益和处分的权利，并排除他人的干涉。在国际私法中，“一些观点运用‘财产权’来表达国际私法中的物权内容，并认为财产权的内容大于物权”。“在更早期的一些国际私法著作中，也有直接论述‘国际私法中的所有权’的观点”。目前，学界对数据权讨论的观点在某种程度上与以上观点具有一致性。物就是财产，这是一种简单的客观事实或客观现象的总结。物可以说是财产权最基本的表现形式，因为它的确表现为一种财产权利，而且这种财产权具有特定性，对物享有支配的权利。虽然物权的种类和内容通常具有法定性，但是并不意味着在所有的历史阶段和所有的国家中二者总是保持一致的，但是对于物权的法律冲突，无论是动产物权的法律冲突抑或不动产的法律冲突，各国在法律适用上一般都主张用“物之所在地法”规则加以解决，“‘物之所在地法’是最普遍的适用法则，也是国际私法上经常用来解决有关涉外物权法律关系的法律冲突原则”。
与物相比，个人数据也具有物权的某些特征。通过对个人数据的识别能够让商家精准识别顾客的需求，及时地调整经营方式并合理的预测未来企业发展方向，个人数据的财产价值日益凸显，并能够让自身成为交易的对象，使得数据能够作为买卖的对象，成为数据法律关系的客体。个人数据不仅能够成为数据权利支配的客体，而且还具有物权的排他性质，这种排他性主要体现在个人数据所有权的性质上。例如，针对个人数据的所有权属性，巴西个人数据保护法、奥地利联邦个人数据保护法中都对专门对个人数据的所有权做出规定。尽管个人数据主体在行使这四种权利时经常处于静态或被动状态，但是并不能否定其基于所有权基础上的支配权，数据所有权主体对个人数据同样具有占有、使用、收益和处分的四种权利。事实上，各国的个人数据保护法对此也都给予承认，例如，各国个人数据保护都相应规定个人数据的收集、加工、处理和使用必须经过数据主体的同意，尤其是对于特殊的数据，往往还要求必须经过数据主体的明确书面形式同意后才可以进行加工和处理。正因为个人数据具有财产的属性和数据所有权的排他性，使得其与物有着重要的相似性。当个人数据能够成为交易的对象或者合同法律关系对象时，数据似乎具有了完整意义上的准物性。然而，就个人数据而言，个人数据的本质是信息，其并不是一项独立的实体物，在网络空间中虚拟的状态并且必须依靠一定的载体而存在，而且载体可以无限制地被复制、传播，任何人都可以在同一时间、不同的地方收到同一个个人数据。在此种情景下，数据的适用空间具有多变性，很难去判断何处是真正的物之所在地。因此，数据本体法律适用很难按照“物之所在法”规则去适用。一方面，因为“物之所在地”的法通常是有体物，这种物具有可控性和实体性，并且能够独立存在其处所通常是固定的，确定起来相对比较容易；另一方面，这种物具有唯一性，虽然其消灭或损坏后可以用同类或同种物所代替，但是其已经发生了改变。如果个人数据按照“物之所在地法”规则去适用，不但会出现实践上的操作性困境，而且在理论上也会面临很大的障碍。从物权法律适用的范围来看，与人身权密切关系的物通常被“物之所在地法”适用规则所排出，即使把个人数据作为无形财产的“准物权”来看待，“物之所在地法”仍然不能够适用，因为个人数据本质体现为个人信息，是与个人的身份紧密相连的，或者说人格权构成其重要的内容，如果适用的话，势必会造成理论上的困境。实际上，每一种学说的背后都有一种或几种理论作为支撑，尽管“主权说”“法律关系本座说”和“利益需要说”并不能完全为“物之所在地”规则提供完美证成，不能充分揭示物之所在地法的客观依据，但是其却揭示出一定历史时期认识的必要性，具有一定的合理性。“物之所在地法”这一适用规则是由物的本身属性和所属的法律关系性质决定，是最直接的原因，也是最根本的原因。与物权法律适用的理论基础相比，个人数据法律关系的适用理论相对不足，需要从进一步去探索个人数据的权属和法律关系才能找到适合自身的适用规则。
（二）知识产权适用规则在个人数据保护法律适用中的困境
知识产权又被称为“无形财产权”或“智慧财产权”，是指“个人或集体对其从事科学、技术、文学艺术等智力活动创造的智力成果依法所享有的权利。物权在通常意义上仅指就有体财产设定的权利，而无体财产特别是就智力成果设定的财产权，则成为‘准物权’”。知识产权作为一种特殊的财产权，与有形财产权不同，具有独占性、时间性和地域性等特点，其包括工业产权和著作权两大类，具体包括著作权、专利、商标等。“知识产权是一种新型的民事权利，是一种有别于有体财产所有权的无形财产权，权利客体的非物质性是知识产权区别于有体财产所有权的本质特征”。目前，学界还有部分学者对知识产权的认识仍然停留在传统的认识基础之上，在概念上界定为“无形财产权”或“智慧财产权”，在网络发达的今天，似乎知识产权与无形财产权并不能天然画等号，必定像比特币、游戏币等一大批为代表的虚拟财产也成为无形财产的重要构成部分，科技技术的进步为无形财产内容的认识起到推动作用。其实，知识产权和无形财产权只是一种种属关系而已，知识产权属于无形财产，而无形财产并不局限于知识产权，这一点无可否认。从个人数据的法律性质来看，个人数据不仅具有人身性质，还具有财产性，网络空间的虚拟性决定个人数据的无形性，个人数据虽然具有知识产权的无形财产性质，但是个人数据又不同于知识产权。目前，尽管知识产权界的部分学者对数据知识产权的研究表现出极大的兴趣和热情，但是个人数据仍然不具有知识产权的特征，因为知识产权有很强的地域性和创新性，创新性构成了知识产权的重要标志，而个人数据是一个人的生理特征、社会特征或者活动等信息的客观记载，并不具有创新的内容，不符合知识产权要求的创新性。另外，虽然个人数据经过第三方加工和处理后能够形成知识产权，但是其本身已经脱离了个人数据保护的范畴，这种加工处理是建立在海量数据的聚合基础之上，必须以数据主体的同意为前提，并经过脱敏而形成，构成知识产权的重要标志是其处理方式或编排方式，而非数据本身。从权利本身关系看，如若赋予个人数据以知识产权，就可能会导致个人数据权和知识产权之间的相互冲突，必然导致最终将在二者之间进行法律上的抉择。
目前，各国针对无形财产法律适用的立法相对不足，而对于知识产权的法律适用规则相对来说较多，因此，从知识产权作为无形财产的法律适用方法去探寻个人数据保护法律适用一般规则只能是一种方法的尝试，而不代表必然的确定性。在国际私法中，“知识产权的法律适用问题实质就是利用冲突规范援引准据法来调整涉外知识产权关系，也就是讨论用什么样的法律来保护一国界限的知识产权”。从知识产权法律适用的体系来看，知识产权的法律适用体系主要由知识产权的本体问题法律适用、合同关系法律适用、侵权关系法律适用和法律责任及时效等。而有关知识产权的主体资格、客体内容，权利范围、效力以及归属等知识产权本体问题一般适用权利授予国的法律，即赋予知识产权权利国家的法律。例如，专利和商标一般采取注册地原则，而著作权则适用最初发表地法。这种法律适用规则具有确定性和预见性，为知识产权的国际保护提供了最基本的遵循。“但是由于发达国家和发展家知识产权的保护力度不同，在国际知识产权中权利和义务如若按照权利授予国的标准去适用，势必会给发展家带来很大的压力，也没有做到实质的公平”。
在数据法律关系中，个人数据作为数据法律关系的客体并不能按照知识产权的“权利授予国”的法律标准，因为个人数据作为一种客体的存在，数据主体享有的权利并不需要经过特别程序进行确认，而是与数据主体人身权利与生俱来的基本权利，因此，数据知识产权的客体适用规则受到一定限制，这种依靠权利授予国的规则只能适用于极少数国家。例如，奥地利联邦个人数据保护法第2章第13条中规定对一些特殊数据的传输和委托必须经过许可，第46条第3款规定：“为科学研究或者统计目的，数据保护委员会可以对数据使用者颁发许可”，获得许可证书是使用数据的前提条件，否则为违法使用，在这种法律关系中，权利的授予国的适用规则将能够发挥一定的作用。针对无形财产的法律适用，国际上存在相关的法律规定，例如，年奥地利联邦国际私法法规第6章关于无形财产的规定，第34条规定：“无形财产（包括知识产权）的创立、内容和消灭，依使用行为或侵权行为发生地国家的法律”。这一规定主要从侵犯财产权的角度进行规定，实质上是从侵权法律关系角度对无形财产的法律进行规定，虽然个人数据的无形财产性质表现并不明显，但是却为我们从具体法律关系探寻无形财产的法律适用规则提供了借鉴作用。
（三）人格侵权法律适用规则在个人数据保护中的局限性
有关人格权的法律适用规则各国都有相应的规定，例如我国涉外民事关系法律适用法第46条就有关网络侵犯隐私权、名誉权、姓名权等人格权的法律适用进行明确规定，也经常作为提起诉讼和进行法律审理的依据。但是这一条适用规则是否能完全适用个人数据的保护？需要从源头对个人数据性质和权属进行探析。
由于不同的立法传统和使用，各国在个人数据保护的文本冠名上并不一致。欧洲的一些国家通常习惯在文本上使用“个人数据”命名，美国、加拿大、澳大利亚等国家以及APEC等组织冠名以“个人隐私”称谓，而、日本等亚洲国家则冠名以“个人信息”。其他国家或组织也也要使用“个人资料”命名。但无论是以信息、隐私、数据或个人资料等称谓命名，在网络语境下，其内容和含义有共同的本质属性，能直接识别或者间接识别个人的相关信息，涵盖个人的心理、生理、家庭和社会生活各个方面的事项，不仅与数据主体的人身权益有重要的联系，而且与数据主体的财产权益也有重要的联系，是数据主体的基本权利和自由的重要体现。一方面，个人数据保护的法益具有多样性，包含人格、隐私、财产等综合性的权益。个人数据保护的人格权主要体现在数据的内容与主体的人格权有密切的关系。一些数据通常记载个人的身体健康状况、私密生活、宗教信仰等情况，构成个人隐私的重要内容，一旦泄露可能会对个人的人格权构成侵害，也可能会损害当事人的名誉，因而，应当受到法律严格保护。个人数据的财产权主要体现在两个方面：一是指因个人数据涉及的隐私被泄露时对当事人的名誉、荣誉产生不良影响，导致个人的信用降低，从而造成财产上的损失；二是指个人数据本身具有价值。就单个主体的数据价值来说，其价值本身依赖于数据的内容，并从原始个人数据内容中获取价值，当然这种获得是直观的，并通过一定的形式表现出来。例如，通过手机扫码、