(72)前引(65)，习近平文。

二是针对一些违法行为，法律、行政法规未明确规定适用哪一法律或行政法规进行处罚，但根据该违法行为所属的违法类型，可以确定具体的行政处罚依据。法律规范的主要功能是分配权利(职权)和义务(职责)，行政法就是分配职权与职责以及相对人在公法上的权利与义务的规范。

该条是对地方政府生活废弃物分类管理权的概括性规定。(22)也有研究者认为，根据修订后的行政处罚法，对于与上位法规定的违法行为同类的违法行为，地方性法规经过充分评估认为确有必要加以规范的，也可以规定其违法并设定行政处罚(前引⑤，张晓莹文，第15页)。实践中，有的法律或行政法规只对某一违法行为的构成作出规定，而没有规定相应的法律后果，假如有其他法律或行政法规针对该违法行为规定了行政处罚，也应当认为法律、行政法规对违法行为作出了行政处罚规定。此外，全国人大常委会还应对相关立法授权进行动态调整，以使地方立法不断适应地方经济和社会发展的需要。禁止出售、购买、利用国家重点保护野生动物及其制品等。

(四)设置户外广告设施，修建人造景点和其他与文物保护无关的工程。(25)参见前引(15)，乔晓阳文，第104页。(38) 三、个人信息权利束的功能展开 个人信息权利束的工具性价值在实践中如何落实与完善？这需要我们明确工具性权利束的法律适用理念：一方面，权利束应当保障个人在信息处理过程中的参与和全环节在场，并通过程序机制促进个人与信息处理者理性交涉，这是权利束蕴含的程序正义功能的体现。

不过，这一规定并非将个人信息权利束当作民事权利进而直接链接到民事侵权诉讼。利益说的论证，如程啸：《论我国民法典中的个人信息合理使用制度》，《中外法学》2020年第4期。在管理法中，基于维护重要公益与社会基本秩序的需要，国家采取全方位介入与强力管制，个人的自主空间与权利主张则相对被忽视。⑧这些主张被引入我国并本土化之后，构建以信息主体自我控制为基础的个人信息权利体系，并在此之上形成个人信息保护秩序⑨的理解渐被民法学者所接受并提倡。

第二，私法责任对应的个案救济往往是分散化、个别化的，对单个主体的法益保障无法穿透个案而解决数据处理中内在的、系统性的问题。究其要义，其一，这一概念似乎申明，这些权利只是在个人信息处理活动中被赋予的，而不是先定的。

这些权利的配置需要根据功能适当原则展开：在数据处理的特定节点，由个人进行发言对抗乃至退出，对于制衡信息处理者具有较大作用，因而需要国家合理、均衡地配置这些权能。若是按照该司法解释的逻辑，将人脸信息处理行为类推到所有个人信息处理行为，则意味着：对个人信息处理者违反个人信息权利束所对应的处理规则的行为，个人都可以直接提起民事诉讼。进一步说，保护法的功能定位，对应着个人信息权利束独特的权利结构：在个人—信息处理者这一关系中，既有国家直接设定处理者义务进行的直接规制，亦存在国家通过对个人赋权从而制约数据处理行为的间接规制。(45)See Helen Nissenbaum,"Privacy as Contextual Integrity," Washington Law Review,vol.79,no.1,2004,p.128. (46)See Conselho da Europa,Handbook on European Data Protection Law,Luxembourg:European Union Agency for Fundamental Rights and Council of Europe,2018,pp.225-227. 进入专题： 个人信息权利束 国家保护义务 工具性权利 。

在信息技术和数字化浪潮的席卷之下，个人已不可避免地置身于各种数字化生存的场景之中。为此，需要确保国家对个人数据治理中权利义务配置的负责性、审慎性与平衡性。例如，有观点认为必须明确信息主体的个人信息控制权。第二，促进法以倡导性规定、激励性规定为主要内容，国家扮演的是经济产业或社会事务发展的引导者、推动者的角色，代表性立法如《电影产业促进法》《就业促进法》等。

数据可携带权还可能引起各企业之间利用这一权利抢夺数据，加大不正当竞争和大企业垄断的趋势，挤压后发企业的发展空间。权利束可以促进个人与信息处理者理性交涉，设定双方进行理性对话和博弈的制度性条件。

在国际文件与各国个人信息保护立法中，权利束的立法表达存在以下三种基本模式：第一，专章规定模式。而在私法责任方面，民法框架下的侵权责任，主要是在与信息处理活动相关的个人的人格权、财产权遭受侵害或面临侵害危险时才可适用，且须经由司法途径展开。

作为国家规制策略中的工具性权利，个人信息权利束的实践展开，首先需要注重程序正义下个体的知情、参与和双方的交涉促进，同时在分配正义下合理配置个人与信息处理者之间的权利义务，不断发展和提升国家的规制理性。也就是说，包括权利束规则在内的个人信息处理规则，具有类似于侵权法上的保护性规范的效果，信息处理者违反权利束规则的行为并不必然导致民事责任。另一方面，国家设定数据处理的游戏规则并巡逻监管的保护模式，对数据聚集的不可见趋势以及个人与数据处理者之间的权力不对称具有抑制和监督作用，保护力度更强。例如，在黄某诉腾讯微信读书案中，法院判决被告解除原告的好友关系、删除相应信息、赔偿损失，但无法对被告的隐私政策展开进一步的监督与调整。在个人信息处理场景中，这种权力又衍生出平台的数据权力。同时需要注意的是，将个人信息权利束定性为公法权利与通过公法机制予以保障，并不会阻隔个人通过民事途径获取相应救济的渠道。

什么是侵害权利束的行为？从行为表现看，这实际上是指信息处理者违反权利束中某项或多项权利规则所要求的行为模式而处理个人信息的行为，例如未经用户同意就私自获取信息、处理过程透明度不足、不提供注销账号与删除信息的功能等。但由于信息处理者在技术、知识、资源等方面对个人具有压倒性的不对称优势，知情权在实践中往往大打折扣，甚至形同虚设。

但在欧盟实践中，对该条文的理解与适用方式，一般是个人首先经由投诉举报等机制交由具备功能优势的监管机构裁决、执法，同时保障个人不服监管机构处理决定时，仍享有及时提起行政诉讼的最终补救权利，这符合有效的司法救济的要求。在这个意义上，试图建构一项民法上的个人信息权，并将权利束作为其具体权能的观点，其实是混淆了个人信息保护中手段与目的、工具理性与价值理性的关系。

这需要从目的—工具逻辑进行展开，具体而言需要回答两个基本问题：个人信息权利束服务于何种目的？通过何种工具机制来实现其目的？ (一)个人信息权利束的工具性 《个人信息保护法》第1条将保护个人信息权益置于首要立法目的。如果国家不对个人数据处理活动进行规制，将会出现个人信息的有效保护与有效利用的双重失范，动摇数据治理和善治的基石。

(一)个人信息权利束私权化路径的局限 在既有关于权利束性质的探讨中，具有代表性的观点认为，权利束是个人对个人信息进行控制并展开自我保护的具体手段，是民事主体享有的对其个人信息的权利。这反映了个人与数据处理者之间的关系失衡、风险加大，必须予以纠偏。再如，监管者审查信息处理者是否尽到删除义务时需要权衡考虑不删除的风险、删除的成本、其他替代措施的可行性等诸多制度因素。权利法的重心在于立法确认个体权利、明确利益分配格局后自发形成内生秩序，因此强调个体与市场的自治，对国家权力的介入较为审慎乃至排斥。

值得注意的是，《个人信息保护法》此处的概念表达和对该类权利的前缀限定，并非立法中的语词游戏，而是立法者深思熟虑后的选择。(25)保护法这一概念的提炼，来自北京大学法学院张守文教授。

其二，这一机制与信息披露机制相结合，可以迫使信息处理者不断地说理和论证，反思、检视信息处理过程与方式的妥当性与准确性，进而增强信息处理活动的理性化程度。这也正是《个人信息保护法》在权利束规定之外，亦详细设计了履行个人信息保护职责的部门法律责任等相应制度的原因所在。

⑤参见程啸：《论大数据时代的个人数据权利》，《中国社会科学》2018年第3期。(35)相比之下，根据国家保护义务逻辑，只要信息处理者违反权利束规则所对应的行为模式与法定义务，不论其是否造成信息主体实际损害，都可认定为违法。

2.交涉促进功能 在保障个体知情参与、实现程序保护与防御功能之外，程序正义还内蕴了沟通理性的要求。国家通过对权利束具体权能的保护，直接目的是要求个人信息处理者合规，而非对私权损害的救济。不论是传统的公共和私人机构还是新兴的网络平台，都通过对个人信息的采集、分析、处理、决策等方式深刻影响甚至决定个人的生活，对个人的人格尊严、安宁、隐私、财产等权益带来各种潜在风险。私权保护框架寄希望于个人积极地展开维权与诉讼，但这种机制是个体化的、事后的且低效的，无法应对大规模、持续性、累积性的个人信息处理风险。

(28)因此，个人信息保护制度良好运行的关键并不在于赋予个人多么完备、强力的控制权，而在于国家制定并维护一套公平的个人信息处理规则，支援个人与数据处理者展开谈判并对其进行监督。这种情况下的同意，如果非要用民法的意思自治来解释，未免会显得牵强。

一个典型的例证是，在司法机关对刑事案件嫌疑人进行调查的程序中，相应的法律规范是《刑事诉讼法》以及相关证据规则。内容提要：个人信息权利束指包括个人信息主体知情、决定、查询、更正、复制、删除等权能在内的一组权利集合。

这正是《个人信息保护法》采用保护法的概念指称与模式定位的核心逻辑之所在。首先，良性的信息披露将给数据处理者带来更大的合规压力，迫使处理者接受监督。