法律与技术：数字时代的制度回应

当一位程序员在编写代码时，他可能不会意识到自己正在从事一项与法律密切相关的活动。从算法设计到数据处理，从用户协议到跨境数据传输，每一个技术决策背后都蕴含着法律维度的考量。同样，当一位法官在审理涉及人工智能生成内容的著作权纠纷时，他也不得不面对一个根本性的问题：在传统法律框架与新兴技术现实之间，应当如何划定权利的边界？这些问题构成了本书探讨的核心议题。

数字技术的迅猛发展正在深刻重塑人类社会的运行方式。从互联网的普及到移动互联网的兴起，从大数据到人工智能，从区块链到元宇宙，每一次技术跃迁都带来新的法律挑战。法律作为社会关系的调节器，必须对这些变化作出回应。然而，法律与技术的互动从来不是单向的、被动的——法律不仅在规范技术，也在被技术所改变。这种复杂的互动关系构成了理解数字时代法律演进的关键所在。

本书试图回答一个核心问题：在数字时代，权利的边界究竟在哪里？这一问题看似简单，实则涉及法律哲学、技术伦理、国际治理等多个维度的深层思考。为了系统地回答这一问题，我们需要首先从宏观层面审视法律制度面对数字技术革命时的回应机制与演进逻辑，这正是本章的核心任务。

从机械论到信息论：法律范式的历史转型

理解当代数字法律的起点，必须回溯至工业时代奠定的法律基础。19世纪中期，随着蒸汽机和电报的出现，人类社会开始进入工业化时代。与之相适应，法律制度也发展出一套与之匹配的概念框架和制度安排。这套框架的核心特征可以概括为机械论法学范式——它将社会关系理解为可分割、可界定、可精确规制的独立单元，法律的任务是确定这些单元之间的边界并提供纠纷解决机制。

在这一范式下，财产权被理解为对有形物的排他性控制，侵权责任建立在可证明的因果关系之上，人格权主要指向生命、身体、健康等物理性法益，合同法假设当事人能够清楚认知自己的权利义务。这些概念在工业时代的语境下运作良好，因为工业经济的基本逻辑就是物质生产和物理交换。一家工厂的边界是清晰的，它的排放对周围居民造成的损害是可测量的，专利保护的对象——发明的技术方案——是可以被明确描述的。

然而，信息技术的出现从根本上改变了这一图景。当数据成为新的生产资料，当算法开始做出影响人们生活的决策，当平台成为连接无数参与者的新型组织形态，机械论法学范式的基础假设开始动摇。这种动摇并非偶然，而是源于信息与物质截然不同的本质属性。

信息具有几个关键特征，使其区别于传统法律规制对象。首先是非竞争性：一条信息可以被多人同时使用而不被消耗，这与物质财富的稀缺性形成鲜明对比。其次是边际成本趋零：复制信息的成本几乎为零，这使得传统的财产权逻辑难以直接适用。再次是流动性与不可控性：一旦信息被释放，其传播就难以被有效控制，这与传统财产权的排他性相悖。最后是可重新组合性：信息可以被不断加工、混合、转化，形成新的信息产品，这使得知识产权的边界变得模糊。

这些特征共同构成了所谓的“信息悖论”——为了发挥信息的价值，需要尽可能广泛地传播；但广泛传播又会削弱信息生产者的激励，导致信息供给不足。传统法律通过确立财产权来解决类似问题（如知识产权），但财产权的介入本身又会限制信息的流通，降低其社会价值。这一悖论贯穿数字法律的整个发展历程，构成了立法者必须面对的核心难题。

从20世纪90年代互联网商业化开始，法律界逐渐意识到需要发展新的概念工具来处理数字环境中的问题。早期的回应往往是“技术特定”的——针对互联网、针对电子商务、针对搜索引擎制定专门的规则。但这种碎片化的应对方式逐渐暴露出局限性，因为它无法应对跨领域、跨平台、跨国境的复杂问题。进入21世纪第二个十年后，一个更加系统化的法律框架开始形成，这一框架以数据保护为制度核心，以平台治理为监管重点，以算法问责为新兴议题，构成了信息时代法律范式的基本面貌。

传统法律概念的数字化转型

法律范式的转型首先体现在对传统核心概念的重新诠释上。财产权、侵权责任、人格权——这些法律大厦的基石在数字环境中都经历了深刻的变革。

财产权的重新界定

传统财产权理论建立在“物必有体”的前提上。一块土地的边界可以通过测绘确定，一台机器的所有权可以通过占有和登记公示，一件艺术品的归属可以通过转让链条追溯。但数据呢？数据的“所有权”究竟意味着什么？

这一问题的复杂性在于，数据往往不是单一主体创造的产物。以社交媒体平台上的用户数据为例：用户生成内容时投入了时间和精力，平台提供了存储和分发的技术基础设施，算法对内容进行了加工和排序，其他用户通过互动赋予了数据额外的价值和语境。在这种情况下，任何一方都难以主张对数据的完整“所有权”。

各国法律对此采取了不同的回应策略。欧盟采取的是一种被称为“数据生产者权利”的模式。根据2019年通过的《数据库指令》修订讨论以及更晚近的《数据治理法》和《数据法案》，欧盟法律承认数据生产者（主要是企业）对某些类型数据享有有限的权利，这些权利可以对抗那些以提取或再利用数据的方式“窃取”竞争优势的行为。这种权利不是传统意义上的财产权，而是一种更接近于保护投资的法律工具。

美国法院则在著作权法和商业秘密法中寻找解决问题的资源。在甲骨文诉谷歌案中，美国最高法院最终以合理使用原则认定谷歌复制甲骨文Java API代码的行为不构成著作权侵权，这一判决被认为对软件行业的创新具有重要意义。与此同时，《保护商业秘密法》为企业数据提供了一定程度的保护，但这种保护必须满足“秘密性”和“商业价值”要件，难以覆盖那些已经公开或半公开的数据。

中国法律选择了另一种路径。《数据安全法》和《个人信息保护法》确立了对数据分类分级的保护框架，同时承认数据作为新型生产要素的地位。《物权法》（现整合入《民法典》）的起草过程中曾就数据权属问题展开激烈讨论，最终采取了回避直接规定数据所有权的务实态度，转而通过合同法、侵权法等工具综合保护数据相关权益。

这些不同的立法选择反映了一个更深层的问题：在数字时代，财产权的概念是否仍然适用？或者说，我们需要发展出新的概念工具来取代它？本书第三章将深入探讨这一问题，分析数据财产权的理论基础、比较不同法域的立法实践，并评估各种方案的优劣。

侵权责任的演变

侵权法的核心功能是填补损害和预防未来损害。在数字环境中，这两个功能都面临挑战。

在损害填补方面，数字侵权的一个显著特点是损害的无形性和扩散性。一场大规模数据泄露可能影响数百万人，但每个人的具体损失难以量化——是泄露的敏感信息本身，还是由此导致的风险上升，抑或是为预防未来损害而支出的成本？传统侵权法要求的因果关系证明在这种情况下变得极为困难，因为从数据泄露到具体损害之间的因果链条往往难以建立。

在损害预防方面，数字环境的复杂性使得过失标准的确定变得困难。一个平台应当采取何种程度的安全措施才算“合理”？这一问题没有标准答案，因为它取决于技术水平、威胁态势、成本收益分析等多种因素。更棘手的是，即使采取了合理措施，数据泄露仍可能发生；在这种情况下，是否应当免除责任？

欧盟的《通用数据保护条例》（GDPR）采取了一种独特的责任机制。它不要求数据主体证明损害的存在，而是规定数据控制者和处理者对违反数据保护义务的行为承担“行政罚款”。这种责任机制的逻辑不是填补损害，而是通过经济制裁威慑违规行为。GDPR设定的最高罚款额度可达2000万欧元或企业全球年营业额的4%，这一威慑力足以促使企业将数据保护纳入核心业务流程。

美国的侵权法传统上更多依赖私人诉讼来执行行为规范。但在数字领域，这种私人诉讼模式面临障碍：个人原告往往难以证明具体损害，法院也缺乏处理技术复杂案件的专门能力。因此，美国更倾向于通过联邦贸易委员会（FTC）的执法权力来保护消费者数据权益。FTC可以针对“不公平或欺骗性”的数据实践采取行动，但这种执法模式同样面临可预测性不足的问题。

中国的《民法典》在侵权责任编中对网络侵权作出了专门规定。根据《民法典》第1194至1197条，网络用户利用网络服务实施侵权行为的，网络服务提供者如果未及时采取必要措施，对损害的扩大部分与该用户承担连带责任；但如果网络服务提供者知道或应当知道网络用户利用其网络服务侵害他人民事权益而未采取必要措施的，则与该用户承担连带责任。这一“通知-删除”规则借鉴自美国《数字千年版权法》（DMCA），但适用范围扩展到了所有类型的侵权。

这些不同的制度安排反映了各国法律传统和价值取向的差异，但都面临一个共同挑战：如何在保护受害者权益与鼓励技术创新之间取得平衡？本书第四章将从比较法的角度深入分析这一问题。

人格权的数字化延伸

人格权是法律保护自然人基本人格利益的权利类型。在传统法律体系中，人格权主要包括生命权、身体权、健康权、人身自由权、姓名权、肖像权、名誉权、荣誉权等。这些权利指向的都是与自然人物理存在直接相关的利益。

数字技术的发展极大地拓展了人格权的内涵和外延。首先是个人信息权的确立。个人信息是指与识别自然人身份相关的各种信息，既包括姓名、身份证号等直接识别信息，也包括位置数据、浏览记录、设备标识符等间接识别信息。保护个人信息的必要性在于，防止个人因信息被不当收集、使用、传播而遭受歧视、骚扰或其他损害。

欧盟GDPR将个人信息保护提升为一项基本权利，规定每个自然人都有权就其个人信息享有“数据主体权利”，包括知情权、访问权、更正权、删除权（又称“被遗忘权”）、限制处理权、数据可携带权、拒绝权等。这些权利构成了一个系统的权利束，旨在赋予个人对自身信息的实质性控制。

中国的《个人信息保护法》采取了类似的框架，但也有所创新。该法第44条明确规定，个人有权对其个人信息处理享有知情权和决定权；第45条规定了查阅复制权、更正补充权、删除权等具体权利类型。值得注意的是，该法还专门规定了死者个人信息的保护规则，承认死者生前近亲属对死者相关信息的合法利益。

其次是数字人格权的出现。在元宇宙等虚拟空间中，自然人的“数字身份”成为重要的利益载体。数字身份不仅包括外在可见的虚拟形象和用户名，还包括在这个空间中的活动记录、社交关系、虚拟财产等。当这些数字人格要素被侵害时——比如虚拟形象被复制、社交关系被切断、虚拟财产被不当剥夺——法律是否应当提供救济？

德国法学界发展出了“数字人格权”的概念。根据这一理论，数字人格是自然人在数字空间中形成的人格形象，具有独立于物理人格的价值，应当受到法律的保护。2021年施行的德国《数字治理法》对这一领域作出了具体规定。但整体而言，数字人格权仍是一个新兴的法律领域，各国法律都还在探索之中。

最后是被遗忘权的争议。被遗忘权是指个人有权要求删除与其过去行为相关的个人信息，这一权利在网上信息永久可用的背景下具有特殊的意义。欧盟GDPR第17条明确规定了这一权利，但同时也规定了一系列例外情形——如出于表达自由、公众知情权、科学研究、历史统计等目的的处理，可以不适用被遗忘权。

被遗忘权的争议在于它与言论自由、信息自由流通之间存在紧张关系。在“冈萨雷斯诉谷歌案”中，欧洲法院裁定，当搜索结果涉及个人信息时，如果该信息的披露与数据控制者处理该信息的目的不再相关，或者数据主体撤回同意或认为其利益凌驾于控制者的合法利益之上时，数据主体可以要求搜索引擎删除相关结果。这一裁决在搜索引擎提供商和人权组织之间引发了激烈争论。支持者认为它保护了个人控制自身信息的能力，反对者则担忧它可能导致审查和自我审查。

法律拟制与技术治理

法律与技术的互动关系不仅是功能性的，也是认识论层面的。法律通过一系列概念工具来理解和技术规制技术行为，这些工具本身具有人为建构的性质。这正是法律拟制性（Legal Fiction）理论的核心洞见。

法律拟制是指法律为了实现特定目的而作出的人为假定，它不完全符合事实或逻辑，但法律仍然将其作为推理和裁决的基础。最著名的法律拟制是“法人”概念——法律假定公司等组织体具有与自然人相同的法律人格，可以享有权利、承担义务、实施法律行为、提起诉讼和被诉。法人当然不是真正的“人”，但这种拟制对于现代商业社会的运作不可或缺。

类似的法律拟制在数字法律领域比比皆是。例如，当法律将某类信息定义为“个人信息”时，它实际上是在对复杂的技术现实作出简化的法律表达——这种信息之所以被“认定”为个人信息，不是因为它本身具有固定的本质属性，而是因为法律选择了这种保护策略。再如，GDPR对“数据控制者”和“数据处理者”的区分，本质上是对复杂数据处理关系的人为简化，其目的是确定不同主体的法律责任。

法律拟制的功能是双重的。一方面，它使法律能够处理那些过于复杂或变化过快以至于无法精确界定的现象。通过创造简化的法律概念，法律获得了必要的可操作性和可预测性。另一方面，法律拟制也可能产生扭曲效应——当拟制与现实之间的差距过大时，法律可能会误判形势、制定出与实际问题不相符的规则。

理解法律拟制性对于正确认识法律与技术的互动至关重要。它提醒我们，法律对技术的“定义”不是中性的描述，而是规范性的建构。当法律将数据称为“资产”时，它实际上是在选择一种特定的规制策略，这种策略可能促进数据流通和利用，但同时也可能引发新的风险和冲突。当法律将算法称为“黑箱”时，它可能掩盖了算法实际上可以并且应当被解释和问责的事实。

法律拟制性理论还帮助我们理解为什么法律总是“滞后”于技术的发展。这是因为法律首先需要理解技术，然后才能有效地规制技术。但技术发展太快，法律的理解过程总是需要时间。更重要的是，当法律最终“理解”了某项技术时，这项技术可能已经演变成了不同的形态，产生了新的问题。因此，法律规制技术的过程本质上是循环的、迭代的，而非一次性的、终极性的。

这一认识对于设计有效的法律机制具有重要启示。首先，法律框架应当具有足够的弹性，能够适应技术的持续演进。过于具体和僵硬的规则可能很快过时，而过于抽象和原则性的规则可能缺乏可操作性。欧盟GDPR采取的“原则+例外”模式在这方面提供了正反两方面的经验——其核心原则具有持久价值，但具体适用规则在实践中不断受到挑战和修正。

其次，法律应当建立回应性机制，使规制框架能够及时更新。这可能包括定期的法律审查程序、监管机构的灵活授权、实验性立法工具（如监管沙盒、试行法规）等。中国的互联网法律体系在这方面表现出一定的优势：通过频繁的立法修订和司法解释，中国能够在相对较短的时间内调整法律框架以应对新问题。

再次，法律应当培养技术素养，使法律从业者能够准确理解技术的运作原理和潜在风险。这不仅涉及具体的知识更新，更重要的是建立法律与技术之间的持续对话机制。在欧盟，这种对话通过各种咨询机构、行业工作组、公私合作项目等形式实现。在中国，监管部门通常通过征求意见稿的方式吸纳行业反馈。

全球立法模式的比较分析

面对数字技术的挑战，世界各国采取了不同的立法策略。深入比较这些策略有助于理解不同法律传统在应对新技术时的路径依赖和制度创新。

欧盟：统一立法模式

欧盟选择了最为系统化、雄心勃勃的数字立法路径。从2018年生效的《通用数据保护条例》（GDPR），到2022年通过的《数字服务法》（DSA）和《数字市场法》（DMA），再到2023年通过的《人工智能法》（AI Act），欧盟正在构建一个覆盖数据保护、平台治理、人工智能等领域的完整法律框架。

这一立法模式的核心特征可以概括为原则驱动的统一规制。GDPR确立了数据保护的基本原则——合法性、正当性、透明性，目的限制，数据最小化，准确性和存储限制，完整性和保密性，以及问责制——这些原则适用于所有类型的数据处理活动。同时，GDPR设定了具体的义务和权利，并配备了强大的执法机制——独立的数据保护机构、有约束力的通用条款、标准合同条款等。这种“原则+规则”的结构既保证了法律框架的灵活性，又确保了各成员国法律的一致性。

DSA和DMA则代表了欧盟对平台经济监管的新思路。DSA对所有数字服务提供商施加透明度、报告和救济机制方面的基本义务，同时对超大型在线平台（VLOP）和超大型在线搜索引擎（VLOSE）施加额外义务，包括风险管理、系统性风险评估、独立审计、危机情况下的响应等。DMA则针对“守门人”平台——即在内部市场中具有稳固和持久地位、连接大量用户和企业的平台——设定了专门的义务，涵盖数据访问和共享、自我优待禁止、多归属互操作性等方面。

《人工智能法》采取了基于风险的分类监管方法。它将AI系统分为不可接受风险、高风险、有限风险和最小风险四个等级，对每个等级施加不同的合规要求。高风险AI系统——包括用于招聘、信贷评估、教育评估、执法等领域的AI——需要满足严格的技术和治理要求，包括风险评估系统、透明度义务、人工监督机制、数据治理要求等。禁止的AI实践包括使用潜意识技术操纵人的行为、利用人的弱点进行剥削、对自然人进行社会评分等。

欧盟模式的优点在于其全面性和系统性。通过统一的框架，它能够为跨国企业提供清晰一致的法律环境，降低合规成本。同时，强有力的数据保护权利和平台义务设定提升了个人权益保护水平。然而，这一模式也面临批评：过于复杂的合规要求可能阻碍创新，罚款机制可能对中小企业造成不成比例的负担，过于严格的规制可能使欧洲企业在全球竞争中处于不利地位。

美国：分散式行业监管模式

与欧盟不同，美国采取了更为分散和灵活的数字法律框架。这一框架建立在行业自律、联邦和州分权、普通法判例等多种机制之上。

在数据保护领域，美国至今没有通过类似GDPR的联邦综合立法。联邦层面的立法尝试——如《消费者在线隐私权法》《数据保护法》等草案——都未能获得通过。这反映了美国政治体系中隐私保护的敏感性，以及联邦与州之间、隐私与安全之间、经济利益与个人权利之间的复杂平衡。

取而代之的是一种混合模式。联邦层面存在针对特定行业或特定数据类型的数据保护法律，如《健康保险便携性和责任法》（HIPAA）保护医疗信息，《格拉姆-利奇-布利利法》（GLBA）保护金融信息，《儿童在线隐私保护法》（COPPA）保护13岁以下儿童的信息。同时，FTC根据其法定授权对“不公平或欺骗性”的数据实践采取执法行动，但这种执法的范围和标准并不明确。

州层面则出现了“拼布”式的立法趋势。加利福尼亚州走在了最前面，2020年通过的《加州隐私权法》（CPRA）对2018年的《加州消费者隐私法》（CCPA）进行了重大修订，建立了类似于GDPR的权利框架和数据保护机构。弗吉尼亚州、科罗拉多州、康涅狄格州、犹他州等也通过了类似的法律。虽然这些州法律在细节上有所差异，但基本框架相似，形成了一定程度上的协调。

在平台监管方面，美国同样采取了较为宽松的立场。1996年的《通信规范法》第230条为在线平台提供了宽泛的责任保护，使其不必为用户发布的内容承担责任，也不必因采取内容审核行动而被起诉。这一条款被认为是美国互联网行业蓬勃发展的重要制度支撑，但也因其在处理仇恨言论、虚假信息、在线骚扰等问题上的局限性而受到越来越多的批评。

近年来，美国国会对平台监管的兴趣明显上升。2023年提出的《数字平台与竞争法案》《平台竞争与机会法案》等草案旨在限制大型平台的某些行为，但这些法案能否通过仍不确定。与此同时，法院在涉及平台的案件中也在逐步调整法律标准。