数字时代的权利重构：从物理边界到数据疆域

当人类活动日益从物理空间迁移至数字领域，传统法律框架赖以建立的权利边界正在经历前所未有的解构与重塑。数字技术的渗透不仅改变了社会交往与价值创造的方式，更催生了一种全新的权利客体形态——数据。数据的非竞争性、可复制性、非排他性以及极强的流动性与传统物质客体截然不同，这使得以有体物为核心构建的财产权体系、以物理侵入为模型的隐私权保护、以自然人生物特征为基础的人格权理论，均面临解释力不足的困境。与此同时，国家主权在数字空间中的投射、个人在算法决策下的自主性维系、以及全球互联网架构与国内法域之间的张力，共同构成了一幅复杂交织的权利图谱。本章旨在界定数字权利的核心范畴，系统梳理传统权利概念在数字环境下的演变轨迹与延伸路径，深入剖析数据作为新型权利客体的法律属性争议，进而提出“数据疆域”这一分析框架，以审视国家主权、个人自治与全球互联之间动态博弈的深层逻辑。这一重构过程并非简单的法律概念移植，而是涉及法哲学基础、权利客体范式转换以及治理结构创新的系统性变革。

一、传统权利概念的数字化延伸

隐私权：从物理隐私到信息隐私的范式转换

隐私权作为现代法治社会的基石性权利，其经典定义可追溯至沃伦与布兰代斯在1890年发表的《论隐私权》一文，他们将隐私界定为“独处的权利”，核心在于保护个人免受物理侵入与公开羞辱。这一概念建立在工业社会的物理空间认知之上，权利侵害通常表现为身体侵入、私人信件拆阅或名誉诽谤等有形行为。然而，数字技术的演进彻底颠覆了隐私权的保护范式。在大数据与人工智能时代，个人信息的收集往往在用户无感知状态下完成，隐私侵害不再需要物理侵入，而是通过算法对行为数据的持续分析即可实现。例如，2018年剑桥分析公司事件揭示了如何通过Facebook用户的行为数据构建心理画像，进而影响政治选举结果，这种“心理操控”式的隐私侵害在传统框架下难以被有效规制。

信息隐私权的法律保护经历了三个阶段的演进。第一阶段以1974年美国《隐私法案》为代表，确立了政府机构处理个人记录的规则，核心是个人对自身信息的访问权与更正权。第二阶段以1995年欧盟《数据保护指令》为标志，引入了“告知-同意”原则、目的限制原则与数据最小化原则，形成了以个人数据保护为核心的系统性框架。第三阶段则以2018年生效的欧盟《通用数据保护条例》（GDPR）为巅峰，创设了数据可携带权、被遗忘权、算法解释权等新型权利，并建立了域外效力与高额罚款机制。中国《个人信息保护法》于2021年实施，同样确立了知情同意、最小必要、目的限制等核心原则，并在第24条专门针对自动化决策作出规定：“个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。”

然而，现行法律框架仍面临根本性挑战。首先，“知情同意”机制在实践中严重失灵。研究表明，用户平均每年需要花费超过200小时阅读所有网站的隐私政策，且这些政策普遍存在晦涩难懂、篇幅过长的问题。平台通过“黑暗模式”（dark patterns）设计，使用户在非完全知情状态下做出同意选择。其次，隐私保护的范围正在从“个人信息”扩展到“行为信息”，后者往往不直接识别特定自然人，但通过算法关联仍可推导出敏感信息。最后，隐私权与言论自由、公共安全等价值之间的平衡日益困难，例如在公共卫生事件中，个人行踪信息的使用边界成为争议焦点。

财产权：从有体物到数据要素的客体扩张

传统财产权体系以有体物为核心，围绕所有权的占有、使用、收益、处分四项权能构建。这一体系在工业经济时代有效保障了资源分配与交易安全，但在数据成为新型生产要素的背景下显得捉襟见肘。数据的财产权属性之争已成为法学界与经济学界交叉研究的焦点议题。

数据作为财产客体的特殊性体现在多个维度。第一，数据的非竞争性：同一数据集可被多人同时使用而不减损其价值，这与传统物品的竞争性形成鲜明对比。第二，数据的非排他性：排除他人访问特定数据在技术上极为困难，且可能违背互联网的互操作原则。第三，数据价值的外生性：数据价值往往不源于数据本身，而源于后续的分析与应用，即“数据+算法”的乘数效应。第四，数据的强关联性：单一数据点价值有限，数据集的价值在于关联与聚合，这导致“部分小于整体”的悖论。

基于这些特性，关于数据权利的三种主要理论路径应运而生。财产权说主张借鉴物权法规则，赋予数据控制者排他性权利，以激励数据投资与流通。然而，这一路径面临“财产权过度垄断”的批评，可能阻碍数据共享与创新。人格权说强调数据与个人身份的不可分性，主张将数据权利作为人格权的延伸保护。这一路径在保护个人尊严方面具有优势，但难以解释企业数据资产的权属问题。新型权利说则主张超越传统权利二分法，构建适应数据特性的“数据权”或“信息权”体系，但具体制度设计仍待探索。

在实践层面，各国立法呈现分化态势。美国主要通过商业秘密法、合同法与反不正当竞争法保护数据权益，较少赋予数据绝对排他权。欧盟GDPR虽未创设数据财产权，但通过数据可携带权（第20条）赋予个人在特定条件下转移自身数据的权利，间接承认了数据的可交易性。中国《数据安全法》与《个人信息保护法》构建了分类分级的数据管理制度，同时《民法典》第127条明确将“数据”和“网络虚拟财产”纳入民事权利保护客体，为数据权利体系化预留了空间。

值得注意的是，数据财产权的实现高度依赖于技术架构。例如，区块链技术通过分布式账本与智能合约，可能为数据确权与自动化执行提供新路径；而隐私计算技术（如联邦学习、安全多方计算）则允许在数据不离开本地的情况下完成计算任务，挑战了传统“控制即所有”的逻辑。这些技术发展正在重塑数据权利实现的可能性边界。

人格权：从生物人格到数字人格的维度扩展

人格权传统上保护与自然人身体、名誉、尊严相关的精神利益，其核心特征是专属性、不可转让性与不可剥夺性。数字环境下，人格权保护面临两大挑战：一是人格要素的数字化呈现，如姓名、肖像、声音的电子化与可复制性；二是人格利益在算法决策中的延伸，如算法评分对个人社会评价的影响、个性化推荐对个人自主性的侵蚀。

数字人格权的发展集中体现在三个领域。第一，死者人格利益保护。传统民法对死者人格利益保护存在理论障碍，但数字时代死者遗留的数据（如社交媒体账户、邮件）可能持续产生价值与影响，引发继承、删除与尊严维护的争议。中国《民法典》第994条延续了《民法总则》对死者人格利益保护的规定，但具体到数字遗产，法律仍显模糊。

第二，人格权的商业化利用。传统理论认为人格权具有非财产性，但数字环境下，姓名、肖像等人格要素的商业价值急剧凸显。从“葛优诉艺龙网案”到“乔丹商标争议”，司法实践逐渐承认人格要素的财产利益，但权利归属与行使规则仍待厘清。欧盟GDPR并未将人格权商品化纳入保护范围，而是通过数据保护机制间接规制。

第三，算法人格权。算法通过对个人数据的持续分析，形成对个人的“数字画像”，进而影响信贷评分、就业机会、保险费率等实质性利益。这种基于算法的社会评价可能产生“数字歧视”或“算法暴政”，对人格尊严构成新型威胁。对此，GDPR第22条赋予个人“不受自动化决策约束的权利”，中国《个人信息保护法》第24条也有类似规定，但实践中算法的复杂性与不透明性使这些权利难以有效行使。

更深层的挑战在于，数字人格呈现出“碎片化”与“情境化”特征。个人在不同平台、不同服务中呈现的人格面向可能相互矛盾，甚至被算法主动塑造。这动摇了传统人格权所依赖的“统一人格”假设，要求我们重新思考人格权的保护对象与保护方式。

二、数据作为新型权利客体的法律属性

数据的定义、特征与分类

数据在法学语境中的定义尚未统一。《中华人民共和国数据安全法》第3条将数据定义为“任何以电子或者其他方式对信息的记录”，这一定义强调数据的载体形式与信息内容，较为宽泛。从法律角度，更精确的界定应包含三个要素：一是可数字化记录，二是与特定主体或事物相关，三是具有潜在利用价值。数据的法律特征与其技术特征紧密相连：可复制性使得数据使用不具竞争性；非排他性使得数据控制难以绝对化；价值的外生性意味着数据价值依赖于后续处理；强关联性使得单一数据点意义有限，而聚合分析可能揭示敏感信息。

数据的分类对于权利配置至关重要。按来源可分为个人数据与非个人数据；按敏感程度可分为一般数据、重要数据与核心数据；按状态可分为原始数据、衍生数据与聚合数据；按控制主体可分为用户数据、平台数据与公共数据。不同类别的数据可能适用不同的权利规则，例如个人数据主要受人格权保护，而企业数据可能更侧重财产权保护。

数据所有权争议：谁拥有数据？

数据所有权问题是数字权利重构的核心争议点，主要存在三种立场。第一种是“用户所有说”，认为个人对其数据享有所有权，平台仅是托管者。这一立场面临实践困难：用户往往不知情、无法控制数据流向，且数据价值主要源于平台投入的基础设施与算法。第二种是“平台所有说”，认为平台通过投资与劳动产生数据价值，应享有所有权。这一立场忽视了个人的贡献与人格利益，且可能导致数据垄断。第三种是“共同所有说”，主张数据利益在用户、平台与第三方之间共享，但权能划分与收益分配机制难以设计。

比较法视野提供了更多元的视角。欧盟采取“个人控制为主、平台利益为辅”的路径，通过GDPR赋予个人广泛权利，但明确不创设数据财产权。美国则更强调合同自由与财产权保护，允许数据作为商业资产进行交易。中国《个人信息保护法》确立了个人对个人信息的“决定权”与“查阅、复制、更正、删除权”，但未使用“所有权”概念；同时《数据二十条》提出“数据资源持有权、数据加工使用权、数据产品经营权”三权分置，试图在公有制框架下构建数据权利体系。

数据产权框架的理论探索

面对所有权争议，学者提出了多种替代性理论框架。数据信托模式主张将数据托管于独立第三方，由受托人依据信义义务为受益人利益管理数据。这一模式可平衡个人权利与数据流通，但受托人的选择与监督机制尚不明确。数据分权模式借鉴知识产权中的“权利束”概念，将数据权利分解为访问权、使用权、收益权、处分权等，允许不同主体在不同场景下持有不同权能。数据公有制模式则主张数据作为数字时代的基础设施，应由国家或集体所有，通过公共授权实现社会共享。

在实践层面，数据产权登记与交易试点已在多地展开。例如，上海数据交易所推出数据产品登记凭证，北京国际大数据交易所建立数据资产登记平台。这些尝试试图通过确权登记明确数据来源与权属，但面临“确权悖论”：过度确权可能阻碍数据流通，而不确权又难以保障权益。因此，部分学者主张建立“弱确权、强规制”的路径，即不明确所有权归属，而是通过行为规制（如使用目的限制、安全保护义务）保障各方利益。

三、“数据疆域”概念的提出与阐释

概念界定：从地理疆域到数据疆域

“疆域”原指国家领土的范围与边界，具有空间性、排他性与主权性。将“疆域”概念迁移至数据领域，旨在捕捉数据空间中的控制范围与权力关系。数据疆域可定义为：特定主体（个人、组织或国家）在数字环境中对其数据资源进行控制、管理与主张权利的有效范围。这一定义包含三个核心要素：一是主体性，疆域归属于特定主体；二是空间性，疆域存在于数字空间而非物理空间；三是控制性，疆域体现为对数据访问、使用、收益与处分的实际能力。

与传统地理疆域相比，数据疆域具有显著差异。地理疆域具有排他性，一国领土内他国不得干涉；而数据疆域高度渗透，同一数据可同时处于多个主体的疆域之内。地理疆域边界相对清晰，可通过地理坐标精确划定；数据疆域边界则模糊多变，取决于技术架构、法律规则与用户行为。地理疆域的主权属性明确，国家拥有最高控制权；数据疆域的主权分散，个人、企业、政府均在不同层面主张权力。

数据疆域的层次结构

数据疆域可按照主体与范围划分为三个相互嵌套的层次。

个人数据疆域是最基础的层次，指个人对其个人信息与行为数据的主张范围。在理想状态下，个人应能完全控制自身数据的收集、使用与分享。然而，现实中个人数据疆域高度依赖平台架构：用户协议与隐私政策实际上界定了个人数据疆域的边界，而算法黑箱与默认设置往往侵蚀个人控制权。个人数据疆域的完整性受限于“数字素养差距”与“议价能力不平等”，形成“数字弱者”与“数字强者”的分化。

企业数据疆域是中间层次，指企业对其收集、处理的数据资产的主张范围。大型互联网平台通过用户协议、技术壁垒与网络效应，形成了广阔的企业数据疆域。这一疆域不仅包括直接收集的用户数据，还可能通过API接口、数据合作、并购等方式扩张。企业数据疆域的边界争议集中体现在：数据爬取是否构成侵权、数据共享是否违反反垄断法、员工离职时数据如何分割等。企业数据疆域的形成与市场竞争态势密切相关，平台经济下的“赢者通吃”可能导致数据疆域过度集中。

国家数据疆域是最高层次，指国家对其领土内数据活动与数据资产的主权主张。这一概念与传统数据主权（data sovereignty）既有联系又有区别。数据主权强调国家对其境内数据的立法管辖权与执法控制权，而数据疆域更强调物理空间与数据空间的对应关系。国家数据疆域的具体表现包括：数据本地化存储要求、跨境数据流动限制、关键数据目录管理、以及国家数据基础设施建设。例如，中国《网络安全法》第37条要求关键信息基础设施运营者在中国境内存储个人信息和重要数据，即是对国家数据疆域的制度性宣示。

数据疆域的动态性与重叠性

数据疆域并非静态划定，而是处于持续的动态博弈中。首先，技术演进不断重塑疆域边界。例如，端到端加密技术可能削弱平台对通信数据的控制，从而压缩企业数据疆域；而物联网设备的普及则可能扩张国家数据疆域，因为更多物理空间被数字化并纳入监控范围。其次，法律规则直接划定或调整疆域。GDPR的域外效力实际上将欧盟标准延伸至全球，扩张了欧盟的数据疆域；而美国《云法案》则允许美国执法机构访问境外存储数据，主张全球数据管辖权。最后，用户行为也在微观层面重构疆域。用户使用隐私增强工具（如广告拦截器、虚拟专用网络）、选择性分享信息、甚至数据删除请求，都在不断调整个人数据疆域的实质范围。

数据疆域的重叠性是其最显著的特征。同一组数据可能同时处于个人、企业与国家的多重疆域之内，形成权利冲突的根源。例如，用户上传至社交平台的照片：个人主张访问权与删除权（个人疆域）；平台主张服务条款下的使用权（企业疆域）；政府主张基于国家安全或刑事调查的调取权（国家疆域）。当这些主张发生冲突时，需要法律提供协调规则。GDPR第23条允许成员国对数据主体权利进行必要限制，中国《个人信息保护法》第13条也规定了无需取得个人同意的情形，均体现了不同疆域间的平衡机制。

四、国家主权、个人自治与全球互联的张力分析

国家数据主权与全球数据流动的冲突

国家数据主权的行使与全球数据自由流动之间存在结构性矛盾。一方面，国家基于国家安全、公共秩序、个人保护等理由，倾向于对数据流动施加限制。数据本地化要求是最直接的措施，据联合国贸发会议统计，全球已有超过60个国家实施某种形式的数据本地化。另一方面，数字经济的本质是网络效应与规模经济，跨境数据流动是数字贸易的核心要素。服务贸易总协定（GATS）等国际规则试图促进数据自由流动，但各国监管差异导致“碎片化”格局。

这一张力在多个层面显现。在安全与发展的平衡上，国家担忧数据外流危及国家安全，但过度限制可能削弱本国数字产业的全球竞争力。在监管合作上，各国数据保护标准不一，导致企业合规成本高昂，而充分性认定等机制难以覆盖所有贸易伙伴。在执法管辖上，云存储与跨国服务器使得数据物理位置与法律管辖分离，引发“微软诉美国案”式的管辖权争议。

解决路径包括：建立国际数据治理框架，如OECD隐私准则、亚太经合组织跨境隐私规则体系；发展隐私增强技术，实现数据可用不可见；以及探索数据自贸区等试验性安排。然而，地缘政治竞争正使数据治理政治化，技术民族主义抬头，短期内达成全球共识的前景黯淡。

个人数据自决与平台权力的失衡

数字环境下的个人自治面临双重困境。一方面，技术复杂性使用户难以真正理解数据处理的后果。隐私政策的平均阅读水平要求达到大学程度，远超普通用户能力。另一方面，平台通过架构设计与合同条款，实质上决定了数据使用的边界。“同意或离开”（take-it-or-leave-it）的商业模式使用户缺乏实质性选择，而网络效应与转换成本强化了平台的锁定效应。

这种失衡导致“隐私悖论”现象：用户声称重视隐私，却在实际中频繁让渡数据权利。行为经济学解释为“现状偏差”与“即时满足偏好”，而技术哲学则指出这是“技术物化”的结果——技术架构预先设定了特定行为模式，用户自由被隐性限制。例如，社交媒体的“点赞”功能设计鼓励持续分享，而默认公开设置则使用户暴露于更大风险。

矫正这一失衡需要多管齐下。法律上可强化“设计保护”（privacy by design）义务，要求平台将隐私保护内置于产品设计；引入“分层同意”机制，对敏感数据处理要求明示同意。技术上发展用户数据控制工具，如个人数据存储（PDS）与数据代理服务。此外，提升数字素养与培育隐私文化亦不可或缺，但需注意避免将保护责任过度转移给个体。

全球互联与治理碎片化的矛盾

互联网的全球性与法律的地域性之间存在根本张力。TCP/IP协议架构本意是去中心化与抗审查，但实际运行中，国家通过DNS控制、IP封锁、内容过滤等技术手段实现了“数字边界”的重建。这种“主权化互联网”趋势与互联网的全球互联精神背道而驰，形成“分裂网”（splinternet）的风险。

治理层面，多利益相关方模式（如ICANN、互联网名称与数字地址分配机构）曾被视为互联网治理的创新，但近年来国家主权诉求日益强势。联合国框架下的政府间谈判陷入僵局，而区域协定（如欧盟-美国隐私盾）成为替代方案，但覆盖面有限。在人工智能、物联网等新兴领域，标准制定成为新的治理战场，技术标准往往蕴含价值偏好，可能强化特定国家的数据疆域主张。

未来治理可能走向“分层治理”模式：技术层维持互联互通，规则层允许一定程度的差异化，而争议解决层需要国际合作机制。中国提出的“网络空间命运共同体”理念与欧盟的“数字主权”战略代表了两种不同路径，其博弈将深刻影响全球数据治理格局。

五、结论：走向平衡的数字权利重构

数字时代的权利重构并非对传统权利的简单否定，而是在新环境下的创造性转化。隐私权从物理侵入保护转向信息自决与算法透明；财产权从有体物中心转向数据要素化配置；人格权从生物人格保护转向数字人格完整性维护。数据作为新型权利客体，其法律属性仍待进一步厘清，但“数据疆域”分析框架为我们理解权利边界提供了有益视角。

在这一重构过程中，三大张力将持续存在并动态演变。国家数据主权需在安全与发展间寻求平衡，避免以安全为名的过度管制；个人数据自决需矫正与平台权力的失衡，通过架构设计与法律规制恢复用户自主；全球互联需应对治理碎片化挑战，在尊重主权差异的前提下维护互联网基本连通性。可能的出路在于构建“弹性边界”而非“刚性壁垒”，允许数据在不同疆域间有条件流动，同时设置最低保护标准与争议解决机制。

数字权利的重构最终指向一个更深层的问题：在算法日益渗透生活的时代，如何守护