《大数据时代个人信息保护研究》：
（二）个人数据权的主体
获得个人数据权主体资格的条件有三点：第一，主体的自然条件。一般法律认可的权利主体有自然人、法人、非法入团体或者协会、死去的人、胎儿等。瑞典和冰岛将死去的自然人认定为数据保护法承认的权利主体。意大利的法律规定的权利主体不仅有自然人，还有法人和非法人团体。我国香港《个人资料（隐私）条例》第486章指出，本条例不适用于法人，适用于收集、持有、处理或使用个人信息（用户信息）的任何人。韩国《公共机关个人信息保护法》第二条第二款规定，信息主体系指利用处理信息识别的、作为该信息之主体为在世的当事人。第二，个人与数据具有对应关系。作为客体的个人数据对应的数据主体，一般就是个人数据权的主体。数据与个人之间通过确认、直接识别、间接识别的方式建立了联系，此时的个人能够被法律所保护。关于个人数据的可识别性的表述各国家存在差异。日本《个人信息保护法》所称个人数据是指与生存着的个人有关的信息中因包含有姓名、出生年月以及其他内容而可以识别出特定个人的部分（包含可以较容易识别的其他信息）。第三，权利主体的地域范围和自然范围双重限制条件。比如美国《隐私权法》第一条二款规定个人指合众国的公民或合法获准永久居留的外国人。在世的自然人是个人数据权的主体，这点毫无争议，所有的国家都肯定这点。因个人数据法保护的目的是尊重个人，保证其人格发展的自律性与完整性，并赋予当事人依法行使查阅、更正或删除自己个人数据的权利，这样的权利需要在世的自然人才能完成。但是，个人数据权除了具有积极查阅、更正等权能外，还具有隐匿、保存的消极性权利。死者的个人数据是物权与人类尊严所构建的二元权利结构模型，死者的个人数据具备人性要素，并非死者的人格权残存，而是以全人类为权利主体之人性尊严，对死者个人数据处理的自律，来自人类对于人类本质及人类尊严的尊重。保存、隐匿、尊重死者遗留的个人数据也是为了维护正常的社会秩序和尊重善良民风。另外，死者的个人数据有财产权的性质，但不具有传统财产的独占性及排他性特点，如遗传基因、继承财产等数据就具有公共物品的性质。因此，保护死者数据，也就是要保障与死者有密切关系的生者权益。
有学者认为，个人数据的主体既包括自然人，也包括由自然人组成的家庭。这个观点应该源于隐私观念。说到隐私，有句比较经典的话：“风能进、雨能进，国王不能进。”从这话中可以看出，家庭属于传统的私域范畴。个人数据的某些部分属于数据主体的个人或家庭隐私，对这样的个人数据进行收集、处理等可能影响到私生活的秘密与安宁。家庭包含于隐私权中，是一种群体隐私。家庭信息也就是信息隐私的一部分。可是，个人数据并不必然代表着隐私，因此没有必要将家庭作为个人数据的主体，这样容易造成概念上的混淆。有人认为个人数据权的主体应该包括外国人，原因是个人数据的无国界传播性。“但个人数据保护法是国内法，不应该将外国人作为个人数据权主体，可以通过其他涉外条款来保护外国人的个人数据。”
1980年经合组织《关于隐私保护与个人数据跨境流动的指导方针》的解释备忘录中，持肯定法人观点的国家认为：首先，个人的数据保护的本质与企业的数据保护相似。其次，要在个人与非个人的数据之间划分出一道界限非常困难。比如：一个小公司数据可能就涉及单个所有人的个人信息。最后，有些商业企业、组织或团体可能有也可能没有法律上的人格，如果他们的数据遭到侵害，可能无法受到保护。但是笔者认为，法人不适宜作为个人数据权的主体，原因如下：第一，符合大部分国家立法惯例。之所以将法人、非法人等社会组织排除在外，因为从全球个人数据立法来看，个人数据只限于自然人个人，除了阿根廷等极少数国家。个人数据保护法也适用于法人数据保护这种情况非常少见，不具有普遍性。第二，法人及其他组织并无人格保护的问题，而只涉及商业秘密。第三，个人数据保护的权利属性是人权，其最核心目的是对“人”的人文主义关怀，主要保护的是人的精神和人格利益。法人更多涉及的是财产利益，而没有这种精神利益。第四，纳入个人数据保护行列的数据，需要在有关部门进行登记、备案，随时接受检查。法人的商业秘密可能在履行法定义务时就受到了破坏。第五，大部分法人信息与社会公共利益密切相关，应当依法强制公开，只有小部分商业秘密不能公开。这与个人数据保护的初衷相悖。第六，法人经营中的公平竞争性保障与法人是否享有数据权无关。
数据主体资格的另一个条件是特定识别性。其中，间接识别属于不确定的法律概念，间接识别的尺度很难把握。间接识别是指保有该数据的公务或非公务机关仅以此数据不能直接识别，需与其他数据对照、组合、联结方能识别个人。间接识别的重点在于能否认定个人数据是属于某个人的。倘若可以判断个人数据是哪个人的，即具有个人识别性。若不能判断个人数据是哪个人的，则不具有个人识别性、不具有数据主体的对应性。因为一般社会大众及当事人的亲属或有地缘、工作、交往关系的人，所掌握的当事人其他信息量差异甚大，致使组合、对比相关数据而得以识别、推知出特定个人的能力也不同。为了明确数据与数据主体之间的特定关系，减少间接识别在司法判决中可能出现的麻烦，笔者认为在识别性的前面加上一个限定词“容易”较为合适。
笔者认为，我国个人数据权的主体是通过数据可以直接或者间接容易识别出的，包括在世的自然人、死者，但不含法人、团体、家庭等群体，并且是我国的公民，不包括居住在我国的外国人。
（三）个人数据权客体
权利客体是权利主体之间发生权利和义务关系的中介，也是权利、义务的影响、作用及所指的对象。个人数据“满足成为权利客体的三个最低限度的条件对主体有用、可以被主体控制并且是可以与主体分离的‘自在之物’，因此个人数据是个人数据权客体”。个人数据除了满足最低限度的个人数据权客体条件外，它自身还具有一些特殊的性质，这些特性与个人数据权的法律认可之间有着紧密的联系。
……
展开
