进入数字社会后，个人信息除大脑外更多地存在于互联网平台之上，互联网络平台上的信息可以被加工成数据产品供人使用，从而产生了重要的财产价值，并催生了个人信息受法律保护的必要。个人信息权利属性的模糊不清，导致社会治理在个人信息保护与商业利用之间难以寻求平衡。对此，上海交通大学凯原法学院彭诚信教授在《论个人信息的双重法律属性》一文中论证了个人信息、个人信息权益以及个人信息权益归属的双重法律属性理顺了个人信息权益在性质、归属、利用、保护等法律关系上的内在逻辑。
一、个人信息作为权利客体的双重法律属性
（一）个人信息的自然属性
个人信息具备客观世界中信息的一般特征。其一，信息是有意义的内容，个人信息的内容是识别特定的自然人。其二，信息具有无体性，在其价值实现的生命周期里，个人信息必须记录固定方能被控制利用。其三，信息是事实的表现，个人信息表征自然人，不具有智力创造成分，与知识产权有显著不同。知识产生于信息，个人信息在信息层面而非知识层面。
（二）个人信息的人格属性
（三）个人信息天然具有财产性基因
个人信息能够满足商业需要且有可控性和稀缺性，具有成为法律上的财产权益客体的可能性。第一，个人信息具有效用性，数字时代的信息自动处理技术、网络传播技术、大数据预测等催生了个人信息的财产价值，使其成为成为核心的生产要素。第二，有预测价值的信息并非天然的、处于公共领域的信息，而由个人信息处理者付出相当交易成本生产，这需要高昂的处理成本，因此具有稀缺性。第三，数字社会中的个人信息由于可存储于数据平台之上，从而具有了可控性。第四，个人信息具有流通性，这也是其产生交换价值、发挥市场作用的基础。
二、个人信息权益的双重法律属性
作为客体的个人信息具有人格与财产双重属性，因此个人信息权益包括人格权益和财产权益，对此应当分别认定。
（一）个人信息上的权益是一种具体的人格利益
其一，个人信息在终极意义上体现了个人的行为自由与尊严平等。其二，个人信息上的人格权益是积极的防御权，赋权风险控制通过赋予个人知情权、选择权，让个人参与实现自治，也有助于塑造信任，形成信息持续供给的长期关系。人格权益属性决定了个人信息处理者须负有风险控制的义务，因其从中获利，且风险控制成本低。其三，个人信息人格权益具有独立性与独特性，无法由其他人格权提供救济。
（二）个人信息上的权益是具有财产性的人格利益
第一，个人信息在法律上可以财产化，其具有外在性，合理的利用不仅不会使个人丧失人格的独立和完整，还可以使个人享有信息财产化后的利益。第二，个人信息财产价值应该由个人与数据生产者共享。只有采集者的大量投入才能实现个人信息的规模化处理，而规模化处理与加工才能使其发挥更大的效用。第三，个人信息中的财产利益配置应当遵循市场规律，合适的产权赋予适当的主体，才能使资源得到最大化利用。
三、个人信息权益归属的双重法律属性
（一）个人信息人格权益由个人控制且专属个人
个人信息权的本质属性是人格权益，因此由个人专属且不能让渡。个人信息控制赋予个人创造个人身份特点、定义自身的能力以及个人事务的决策能力，与个人信息人格权益性质相契合：第一，个人对其信息享有自由意志的法律表达，核心是数据处理自治。第二，个人信息控制主要针对个人信息中的人格权益，其中的财产价值并不享有绝对支配的权利。第三，个人信息人格权益在法律上主要体现为“事前”、“自力”、“制衡”性的防御权。第四，个人信息控制使得个人能够参与信息处理决策。第五，个人信息控制权的人格权特性决定了其不得与个人分离，即便有合法基础，处理者也要保障个人的同意、退出、删除等权利。
（二）个人信息财产权益主要由数据生产者控制，但要与个人共享
首先，赋予数据生产者对个人信息财产权益一定的控制权更符合个人信息财产权配置的原则和目标，利于市场机制发挥财产分配作用的机能，还有助于避免数据企业对个人信息的恶意争夺。从利用意愿、技术和能力三方面看，数据生产者均为数据资源的最优利用者。其次，数据生产者对个人信息并不具有排他的独占性支配权，人格权优位于财产权，该控制不能对抗个人基于人格权益生发的具体权利。数据生产者可用商业秘密形式保护不愿公开的非共享信息。此种安排利于维持良好的市场竞争秩序，也符合互联网公共、开放、共享空间的属性。
数据生产者的控制权有特定的权利内涵，与个人共享信息财产利益主要是指个人信息财产收益权的共享。这可以看作是完整财产权能的分解和重置，法律保护收益共享的可能性，而并非要确定保护某一种具体的信息财产受益共享方式，此共享实际上是法律上的共有关系。
此外，名人明星个人信息财产价值的创造方式、以及名人在市场地位与议价能力上的特殊性，导致名人明星等特殊主体的信息与普通个人信息具有不同的法律逻辑。
（三）个人借助消极方式实现有限的个人信息财产权益
理想是分配模式是个人与数据生产者依自由意志积极共享个人信息财产权益，但实践中往往难以实现，主要体现为知情同意面临的诸多困境。消极方式即通过责任方式保护个人对其信息的财产收益权。
四、个人信息权益归属双重性在个人与信息处理者之间的协调
人格权益与财产权益在流通性上的差异，导致个人信息保护与数据利用之间矛盾关系的关键在于，如何在利用中协调一个客体上的两种性质不同的权益。
（一）个人信息处理的合法（正当）基础
（二）信息处理者的个人信息保护义务
个人信息权是赋权型风险控制，针对个人信息风险治理，个人的信息控制权与企业的信息保护义务双管齐下才能全面保护。
第一，信息处理者相对于个人是低成本的风险控制者。第二，信息处理者是风险的制造者和信息处理的受益者，由其负担安全保护义务更符合公平原则和风险分配的效益原则。第三，信息处理者承担信息保护义务利于实现场景化的风险控制，在具体信息处理活动中，个人信息处理上的义务机制具有更加重要的地位。
五、个人信息权益归属双重性在法律救济中的体现
（一）个人的个人信息人格利益与财产利益可依人格权获得一体救济
个人信息权益一体救济与德国的一元保护有本质上的不同。在一体救济模式下，由于个人信息财产利益包含在人格权中，因此对人格权的侵害也是对财产权益的侵害，权利人无需在人格利益侵权之外另行请求财产权益救济，可一体请求财产损害赔偿，减少个人诉累，司法实践中早有实例。需要注意的是，个人信息财产利益与人格利益一体救济在归责原则和损害认定方面具有适用上的特殊性，应采用过错推定的归责原则，仅一般损害而非严重损害即可请求精神损害赔偿。
（二）数据生产者的积极信息财产控制权可依违约、反不正当竞争与侵权责任寻求多元救济
基于数据生产者的个人信息财产控制权并非绝对排他的独占性支配权，法律保护的是数据生产者对个人信息财产权益的控制，对其救济不能比照物权等绝对权，目前我国司法实践主要有违约以及反不正当竞争等救济方式。其中违约救济是基于数据生产者对个人信息财产权益的协议控制而产生的，而反不正当竞争保护则不以数据共享协议的存在为前提。此外，若数据生产者的个人信息集合可以比照“数据库”给予有限的知识产权保护，那么数据生产者便可依侵权责任获得对个人信息财产权益的救济。
六、结语
个人信息作为权利客体的双重价值决定了个人信息权益的双重性。个人信息中的人格价值旨在维护人的自由和尊严，由个人专享且不得放弃和转让，主要表征为个人享有的个人信息控制权；财产价值旨在实现个人信息作为数字社会最重要资源与生产要素的目的，由个人与数据生产者共享，主要体现为数据生产者对个人信息财产利益的控制权。个人对其信息财产权益在当下可暂由责任规则保护，并与人格利益一起形成一元救济模式。个人信息双重法律属性之界定，为驱动数字经济的健康发展提供了丰厚的学理基础与制度保障。