一、电子商务消费者的个人信息及个人信息权
二、消费者个人信息财产利益保护的困境
三、电商消费者个人信息财产利益的保护路径
结语
个人信息的地位
关于个人信息的地位，学界莫衷一是。从“个人信息保护”的属性这一角度出发，主要有法益保护和权利保护两种不同观点。
法益保护说认为，个人信息是受法律保护的利益，个人信息本身即作为法律保护的直接客体。支持此观点的学者主要从法律条文出发，认为“自然人的个人信息受法律保护”这一表述根据法律规范的文义解释应当理解为“个人信息”是一种受法律保护的客体。此外，支持法益保护说的学者还以个人信息的保护与利用之间的利益衡量为切入，认为随着网络使用规模日益庞大、数据处理在经济社会中的作用愈发重要，个人信息的公共属性将愈发凸显，因此对个人信息的态度应当由个人控制的单边保护思路转向社会控制的立场。
法益保护说虽然能够从文理上解释，但加以分析则会产生诸多问题，而这些问题则可能给实践中对自然人的个人信息给予切实保护带来一系列法律适用的困境。首先，从法律条文的内容上来看，若将个人信息视为一项利益，则民法典一千零三十七条中赋予自然人各项与个人信息有关的权利就难以与个人信息的法益本质构成逻辑上的一致。在民法对自然人合法权益的保护中，权利保护相较于法益保护属于一种更高层级的保护，这就导致了以保护法益为内容的1034条难以统领以保护权利为内容的1037条的逻辑困境。其次，从法律实践来看，若采取法益保护的模式，则自然人很难在自身利益受到损害之前采取充分、必要且积极的预防措施，而多数情况下只能以事后救济的形式获得相应的填补；在事后救济环节，也受到该利益是否具有正当性以及保护必要性等多重因素的制约。在当今个人信息快速流动的时代，这样的保护模式显然使作为个人信息所有者的自然人处于被动的地位。
根据以上讨论可以看出，两种保护路径的分歧主要在于个人信息保护的程度、范围以及信息保护与信息利用之间的价值取向和利益平衡等方面。虽然民法典并未直接采用个人信息权的表述，但在当下信息时代的大背景之下，考虑到个人信息的大量使用以及信息保护面临的严峻形势，确认个人信息权对于保护个人信息、促进个人信息的合理利用具有重要的实践意义。
消费者个人信息权的定位
电子商务消费者个人信息中的财产利益及归属
1.以“可识别性”与“关联性”为标准界定消费者个人信息
事实上，即使在电子商务领域之外，随着以“可识别性”为标准的信息范围不断扩大，许多学者也主张以“可识别性”与“关联性”将个人信息分为“直接识别”与“间接识别”两类，标准为是否能通过某一信息单独识别出特定个人。所谓“关联性”是指信息本身并不具有能识别出特定人的特殊性，但其能够增加对该特定人的描述、丰富对特定人的认知。
2.消费者个人信息的分类
现行法律保护力度不足
我国民法典将自然人的个人信息视为一项法益而非权利，因此从法律体系的构造上来看，此种模式对于个人信息的保护力度明显不足，在我国民法典中规定的如停止侵害、消除危险、排除妨害等人格权请求权在免单及电子商务经营者所具备的强大技术优势和市场地位优势时难以为消费者提供有力的保护；自然人不仅在事前难以获得与个人信息的巨大利益相匹配的自主权利，在发生侵犯个人信息的行为之后，也难以直接适用侵权法获得足够的救济。且民法典将个人信息保护的内容置于人格权编中，虽符合个人信息的基本属性，但未能对大数据时代信息财产化的趋势作出有效回应。因此，针对个人信息的财产利益保护仍有补充和完善的空间。
电子商务中个人信息权之财产利益的主体及内容规定不明
在我国现行法律对电子商务经营者或信息处理者的个人信息保护义务多停留在宣示义务的层面，并未对电子商务经营者在保护消费者信息的过程中应当承担何种类型的义务进行具体规定，且一旦发生侵犯个人信息的行为，法律责任如何承担的问题，现行法律的规定也并不全面。特别电子商务法以及消费者权益保护法侧重于通过行政手段处罚违法电子商务经营者，如电子商务法第18条第一款规定禁止电子商务经营者实行“算法价格歧视”，违反该规定将面临该法第77条规定的行政处罚，但对于如何救济受害消费者却并无明确规定。此种模式的确能有力惩治涉事企业或个人，维护市场运行稳定，但对于个人信息受侵害的消费者而言，此种规定明显不足。
司法实践存在诸多困难
最后，在消费者损失如何证明的问题上，当电子商务经营者在交易中侵犯消费者的个人信息权时，往往采用各种技术手段进行过度收集或利用，这种隐藏在技术手段之下的侵权行为难以被普通消费者察觉，因此侵权行为常常在消费者无意识的情况下进行。即使其侵权行为被消费者发现，由于个人信息具有一定的公共性，消费者很难证明自己遭受的实际损失。而无论是违约责任还是侵权责任，赔偿损失均以实际损失为限，如消费者不能证明自己遭受实际损失，则难以通过诉讼等方式获得财产上的救济。
单纯财产权保护模式的弊端
从个人信息财产利益的本质来看，对其使用财产权保护模式应是应有之义，但个人信息具有复合性质，若将其人格属性和财产属性分割看待而完全忽视其人格属性，则此种纯粹的财产权保护会造成一系列严重后果。
首先，根据财产权的保护宗旨，权利人应当对其财产享有完全的支配，并在处分、使用等环节完全遵从意思自治原则。从这一原则出发，个人信息将难以避免地陷入完全商业化、市场化的境地，届时信息买卖成为自由，各种不公平的现象将披上“意思自治”的外衣大行其道、逃避监管和制裁。如不同个体因职业、财产、社会地位等不同，经过市场化评估其个人信息的价值也会产生差异，而这种价值差异化现象显然与个人信息的人格属性存在难以调和的矛盾，是对其人格性质的彻底颠覆。虽然个人信息既有人格价值又有财产价值，但对于任何一项具体的个人信息而言，这二重属性并不能割裂开来。因此，采取绝对的财产权保护会极大冲击个人信息中的人格权部分，这不仅不符合个人信息权复合属性的保护宗旨，也与社会一般观念对个人信息保护的期望不符，更不利于促进数字产业的发展。
综上所述，在现行法律框架下，难以就个人信息的财产利益实现有力的保护。因此本文认为，应当考虑在电子商务信息保护领域贯彻消费者保护的理念，使消费者的信息权利能够得到全面保护和充分救济。首先，在电子商务个人信息领域采用消费者保护模式能保证消费者与电子商务经营者地位的实质公平。消费者权益保护的一大特点在于充分考虑消费者在交易活动中的弱势地位，因此针对消费者这一特征在多个方面对其实施倾斜保护，而给经营者规定了更多的义务并课以更重的责任。相比于传统民法中坚持当事人地位平等、以自己意思为主导的思想，此种倾斜保护的理念更加适应消费活动的现实情况。而在电子商务中，由于消费者与经营者通过信息网络进行交易，双方订立的合同也多为经营者预先拟定的格式条款（如隐私权政策等），相较于传统的消费活动，消费者失去了与经营者充分磋商的现实条件；在个人信息处理过程中，经营者掌握大量的资源和技术，消费者一方则难以通过有效途径达到与电子商务经营者平等的地位，双方交易地位的差距愈发悬殊。因此在电子商务活动中，将个人信息置于消费者保护框架下，是能够充分保护消费者权益、保证交易活动实质公平的可行路径。
明确电子商务消费者的界定
鉴于我国消费者权益保护法和电子商务法中并无消费者的明确概念，因此有必要对这一权利主体进行分析。
1.电子商务消费者应当是购买、使用商品或接受服务的自然人
第二，权利主体有消费，即购买、使用商品或接受服务的行为。值得注意的是，使用他人购买的商品的自然人也是消费者，可见，其不以与经营者有交易关系为必要。
2.电子商务消费者不以“为生活消费需要”为要件
考虑到电子商务交易的特点，有必要对电商活动中的“消费者”的概念作出一定的扩张。在消费者权益保护法中，“消费者”应当基于生活消费需要，而出于生产或经营目的实施消费行为的主体不能认定为消费者。但是在电子商务交易中，存在非因生活需要而直接参与交易的自然人，如其权益在一般的消费活动中遭受侵害，由于其并非基于生活需要，可以认定其与经营者的地位基本平等，故而单独通过合同法即可得到救济无须倾斜保护；然而从个人信息保护角度观察，其在面对具备强大处理能力的电商经营者时同样处于弱势，其在交易活动中提供或暴露的个人信息都可能面临安全或利益的风险，在与这一点与基于生活消费需要的消费者并无不同。为平衡当事人利益，应当对此类消费者的个人信息权进行保护。因此不应当将主体局限于“为生活消费需要”的自然人，而应当将在电子商务交易中为各种目的而消费的自然人都纳入消费者个人信息权保护的范围。
细化电子商务经营者的义务
电子商务法和消费者权益保护法中均规定了处理信息的电子商务经营者应当负有对消费者个人信息予以保护的义务。从法律条文可以看出，上述两部法律都将电商交易中的信息保护义务主体限定为电商经营者。在电子商务交易的全部过程中，消费者与多方主体之间都存在法律关系。但其他主体的义务接续自电子商务经营者，且义务内容大同小异并多被经营者义务所包含，故而此处仅对经营者的信息保护义务进行讨论。
个人信息权的财产属性主要体现在支持个人对其信息享有一定程度的支配和控制，而个人信息权的各项权能中最核心的自主决定权正是个人信息权财产属性的高度体现，因为决定权是指消费者对个人信息处理的决定和控制，体现了对消费者自由意志的尊重。可以说，个人信息决定权是意思自治原则在信息保护领域的体现。消费者只有享有自主决定权，才能真正增强其对个人信息处理过程的控制。由信息决定权出发，在个人信息的收集过程中，个人信息权应当具备知情、同意的权能；在信息使用阶段，个人信息权应当具备更正和删除的权能。此外，由于消费者个人信息在电子商务领域具有重要的商业价值，其在信息交换和处理活动中常常被视为一种特殊的商品，并由此产生了使用价值和交换价值，不同的电子商务平台经营者之间通过数据交换和数据共享，同时对消费者进行精准推送和个性化服务并从中获利，此时被交换的消费者信息以商品的形式在不同平台之间流通。因此，作为此种特殊商品保有者的消费者应当具有允许他人使用且有偿使用的权利，这同样是消费者对自己的个人信息进行自主决定的体现。
因此从权利义务相对应的角度观察，个人信息保护义务应当包括以下内容：
1.告知义务
出于对消费者知情权的保护，电子商务经营者应当在处理信息前以清晰明确的方式告知消费者有关情况，以使消费者充分知晓并能自主决定和选择；当处理信息的范围或目的等要素变更时，应当就变更事项告知并再次取得同意；义务主体还应当告知消费者查阅、复制有关情况的方式以及联系经营者等义务主体更正、删除信息的渠道。告知义务的适当履行与否，应综合告知的方式、社会普遍观念和行业习惯等多个要素判定。
2.合理使用消费者信息的义务
合理使用的基础是合法使用，在使用消费者信息时首先应当遵守法律、行政法规的规定，不得将消费者信息用于非法用途；其次，在与消费者的权利义务关系中，该义务不仅包括在消费者“知情——同意”范围内的合理使用的义务，还包括消费者许可使用后在许可使用合同的范围内合理使用的义务。民法典第1038条第一款明确了处理者的不作为义务，为电子商务经营者充分适当履行义务划定了范围。
3.信息安全保障义务
根据民法典第1038条第二款的规定，义务主体应以必要技术措施防止消费者个人信息权被侵犯，如采取物理隔离、防火墙、有效的监测防范机制等。
4.给付报酬的义务
确认过错推定的归责原则
根据过错推定的归责原则，在发生纠纷时应当由个人信息处理者证明其在处理活动中不存在过错。应当注意的是，在举证过程中消费者应当就处理者过错承担初步的举证责任，包括就消费者自身的个人信息权受到的侵害、处理者在交易活动中存在不当行为以及因果关系等要素进行举证，并应当达到可以推定处理者有过错的程度；随后应当由电子商务经营者承担证明“自己行为没有过错”的责任，如第三人过错、符合社会公共利益等，以反驳消费者之主张，否则应承担相应不利后果。
引入惩罚性赔偿制度
作为消费者权益保护的一项重要制度，有别于一般损害赔偿以填平损失为原则的模式，它突破了消费者遭受的实际损失对确定侵权责任的限制，而由经营者承担高于受害人实际损失的赔偿责任。作为消费者权益保护的一项重要制度，惩罚性赔偿在经营、消费活动中具有重要功能。首先，惩罚性赔偿能够充分救济消费者权利，当消费者遭受了实际损失却又难以证明时，适用惩罚性赔偿能够最大限度地填补消费者的损害。其次，惩罚性赔偿又称“报复性赔偿”，其制度目的在于通过较高甚至远超受害人实际损失的赔偿数额来惩治、制裁恶意的不法行为，这也是惩罚性赔偿的主要功能。
最后，惩罚性赔偿还能够通过其责任的严厉性对社会中的其他主体产生威慑作用，从而遏制其他类似行为的发生，维护市场秩序以及经济生活的稳定。
鉴于惩罚性赔偿具有以上功能，其在个人信息领域也有巨大的实用价值。惩罚性赔偿的主要制度价值在于其“报复性”和“制裁性”，而不在于实际填补受害人的损失，在这一点上惩罚性赔偿与精神损害赔偿具有相似性，因其都在证明具体损失、确定赔偿数额这一点上存在困难。所以在不涉及财产利益的案件中，受害人的惩罚性赔偿请求不应得到支持。在电子商务个人信息保护这一领域引入惩罚性赔偿制度，将改变一般的补偿性赔偿这一责任模式在大数据时代的固有缺陷，为保护消费者个人信息权提供财产化角度的支持。
现行消费者权益保护法中规定的惩罚性赔偿制度在个人信息保护领域仍然有相当的适用空间。在消费者权益保护法中，惩罚性赔偿适用于经营者存在商品欺诈、服务欺诈或提供缺陷产品、服务致消费者死亡或健康严重损害的情形，除产品致害的惩罚性赔偿之外，无论是商品欺诈还是服务欺诈行为，均是经营者在消费环节中违反其与消费者的消费合同约定，属于违约行为。因此，当电商消费者与平台经营者（或其他与消费者订立类似条款的经营者）之间发生纠纷时，消费者当然可以主张基于违约行为的惩罚性赔偿责任。然而电子商务交易包含多种交易模式，消费者可能与多种类型的电子商务经营者存在交易关系，但并非所有交易行为都伴有服务协议，因此惩罚性赔偿的适用范围应当扩大至个人信息侵权领域，即当经营者违法处理侵犯消费者个人信息权、且没有追究违约责任的合同基础时，消费者同样能够主张惩罚性赔偿。
惩罚性赔偿本质在于对经营者不法行为的惩戒和制裁，而填补受害者损失则居于惩罚性赔偿制度宗旨的次要地位，甚至可以看作是一种独立于补偿性赔偿责任的、可单独适用的责任制度。因此对经营者课以惩罚性赔偿，不必以消费者实际发生损失为要件，这也能有效规避消费者难以举证其实际损失的有无及大小的困境。换言之，即使消费者并未因其个人信息遭经营者侵犯而造成损失，出于惩罚经营者违法处理信息的目的，也应当使其承担一定的赔偿责任。