霍菲尔德权利理论经过中文语境转化后包含了八个基本法律概念，其中主张权、自由权、支配权、豁免权构成了广义上的权利概念；应为义务、禁为义务、服从义务、放任义务构成了广义上的义务概念。根据这一霍菲尔德权利理论，《中华人民共和国个人信息保护法》中个人信息权的内在结构形态应包括三种类型，分别是信息主体享有的个人信息受保护权、私权处理者享有的个人信息处理权利和公权处理者享有的个人信息处理权力。这三种类型的个人信息权中的具体权利（力）内容虽有所不同，但都可以被霍菲尔德权利理论中的八个基本法律概念所解释。
一、引言
数字时代的到来使个人信息（数据）的处理活动日益频繁，不但以数字平台企业为代表的私权主体需要通过对个人信息的处理来挖掘其中蕴含的经济价值，而且以行政机关为代表的公权主体也需要通过对个人信息的处理来为维持社会秩序与平衡公共利益提供助力。在这些个人信息处理活动中，作为信息主体的个人将会面临个人信息受到侵害的风险，因此，法学领域中许多学者提出要通过对信息主体的赋权来保护其个人信息相关权益，防止信息处理者实施的侵害。至于应当赋予信息主体何种类型的权利这一问题，则存在诸多不同的意见：有的观点认为应当设立作为人格权、财产权等民事权利的“个人信息权”或者“个人信息自决权”；有的观点则认为应当设立作为公法权利的“个人信息控制权”；还有的观点认为应从宪法维度的国家保护义务出发，设立“个人信息受保护权”。虽然这些观点的具体内容各有不同，但是背后存在一个预设的共同点，即都认为个人信息相关权利的主体应是作为信息主体的个人，也就是说，无论如何界定个人信息相关权利的法律性质，它都应是信息主体享有的相关权利。
在数字时代发展的初期，个人信息面临无序信息处理活动的严重威胁，在此背景下，各不同观点间共同点的预设是无可厚非的。然而，就法理而言，权利与义务之间存在着密不可分的关联，没有无义务的权利，也没有无权利的义务。信息主体对个人信息享有权利的同时，必然也会承担相应的义务。同样，信息处理者在承担相应义务的同时，必然也将享有相应的权利。这意味着，在个人信息的相关权利中，权利主体并不仅限于作为信息主体的个人，还应包括实施个人信息处理活动的信息处理者。例如，根据《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）第十三条第一款第二项的规定，信息处理者无须经过个人同意，就有权（利）按照依法制定的劳动规章制度和依法签订的集体合同处理实施人力资源管理所必需的个人信息。这一规定事实上赋予了信息处理者在法定条件下处理个人信息的权利，此时信息处理者也属于个人信息相关权利的主体，享有相应的权利。
由此可见，个人信息的相关权利不仅包括信息主体享有的权利，而且还应包括信息处理者享有的权利。更进一步而言，由于《个人信息保护法》中规定的信息处理者不限于企业、社会组织等私权主体，还包括了行政机关、司法机关等公权主体，因此，信息处理者既有可能享有处理个人信息的私权利，也有可能享有处理个人信息的公权力。这意味着我们应将个人信息权这一术语的法理内涵予以扩大，使其不仅包含信息主体所享有的权利，还包括信息处理者所享有的权利或权力。
基于此，本文将借助经过中文语境转化后的霍菲尔德权利理论，证成这一意义上个人信息权存在的必然性，并进而探索其内部的法理构造，以便为个人信息权理论体系的完善作出一点贡献。
二、中文语境下的霍菲尔德权利理论
韦斯利·纽科姆·霍菲尔德（Wesley Newcomb Hohfeld）是20世纪初著名的分析法学者，他所建构的权利理论已发展成为著名的权利概念体系。霍菲尔德敏锐地发现法律活动中使用的专业词汇存在词义含糊与混淆之处，特别体现在权利与义务这两个词汇上。这种词义上的含糊与混淆导致法律活动主体对同一法律术语的不同理解，从而极易引发法律争议。霍菲尔德认为解决这一问题的根本途径就在于厘清权利与义务及其相关词汇的精确含义，建构一套概念内涵精确的权利理论，并据此观察法律活动中使用的特定词汇的准确含义，进而就能够辨明相同词汇中包含的不同意义以及不同词汇中包含的相同意义，避免因词义上的混淆而导致的法律争议。
霍菲尔德成功地建构了这样一套权利理论，他将法律关系中不同情景下的权利或义务内容进行最大限度地化约（reduce to），提炼出八个基本的法律概念，即八个“法律的最小公分母”。这八个基本的法律概念可以用来解释不同情景中法律权利或义务的精确内涵，将法律实践中纷繁芜杂的法律权利—义务关系化约为八个基本法律概念之间的特定关系。通过霍菲尔德建构的精确的权利理论，我们能快速厘清法律活动中由于法律权利或义务相关词汇含义混淆而导致的法律争议，从而更加深入及精准地理解各类法律权利或义务概念的词义及其设定的行为规则。例如，在理论上，权利与义务是否存在必然的对应关系就存在争议，对此的经典例证是主张乞讨权与施舍义务之间并不存在必然的对应关系。这一例证乍看之下有道理，因为大家通常能认同乞丐虽然拥有向路人乞讨的权利，但是路人并不承担施舍的义务。然而，如果用霍菲尔德权利理论来分析，我们就能发现这一例证混淆了不同类型权利与义务的对应关系，其错误之处在于将作为自由权的乞讨权对应了作为应为义务的施舍义务，这样当然无法形成必然的对应关系。但是，如果将乞讨权对应于作为禁为义务的不干涉乞讨义务，那么就能发现两者之间还是存在必然对应关系的（下文很快会论及自由权、应为义务、禁为义务的含义）。
不过，如果要将霍菲尔德权利理论运用于我国法律问题的分析，尚存在以下几个问题：其一，霍菲尔德是在英美法系的判例法语境中探讨这些基本法律概念在司法推理中的不同词义。但是如何将这些法律概念运用到我国的成文法语境中，来解释《个人信息保护法》中的权利—义务关系，则是必须加以解决的问题。其二，霍菲尔德是使用英文建构自己的权利理论，他选出了英文语境中的特定词汇对这八个基本法律概念进行描述和分析，甚至为了表述精准，他还自行创造出了一个原本不存在的英文词汇no-right。这些词汇被翻译成中文之后，它们的特定含义就可能发生错位，出现词不达意的现象。能够用准确的中文词汇表述八个基本法律概念，是据此理论分析我国个人信息相关权利问题的前提。其三，由于在英美法系中不存在公法与私法的严格区分，因此霍菲尔德在建构其权利理论时，并未对公法意义上的公权力进行专门分析。虽然他的八个基本法律概念中包含了权力（power）一词，但此意义下该词只是作为权利的一种特殊形态加以讨论。而在我国个人信息相关权利的研究中，国家机关处理个人信息的公权力是一个无法回避的问题，如何能够基于霍菲尔德权利理论来阐释处理个人信息的公权力概念，是一个需要认真探讨的问题。
因此，霍菲尔德权利理论并不能直接用来解释我国成文法中的个人信息相关权利问题，必须经过中文语境的转化才能适用于本土法律问题的分析。我们可以通过表1直观地展示霍菲尔德权利理论的转化过程。
霍菲尔德提炼出的八个基本法律概念分别是权利（right）、特权（privilege）、权力（power）、豁免（immunity）以及义务（duty）、无权利（no-right）、责任（liability）、无权力（disability）。我们可以将前四个概念理解为中文语境中广义权利所包含的四种法律权利类型，后四个概念理解为中文语境中广义义务包含的四种法律义务类型，从而将霍菲尔德在英美法系语境中提炼出的八个基本法律概念转化为适合我国法律语境的法律概念。同时，根据霍菲尔德的研究，这八个基本法律概念之间能够通过两两匹配组成四组权利—义务的相关关系。这里的相关关系是指基于法律关系双方的视角，一个主体享有权利（广义）的同时，必然意味着另一个主体承担对应的义务（广义）。即，在一个特定的法律关系中，广义上的权利与广义上的义务必然同时分配给法律关系的双方当事人，存在着相互对应的关联性。以下我们就根据这四组权利—义务的相关关系，结合《个人信息保护法》的规定，讨论霍菲尔德权利理论在中文语境中的转化。
（一）
权利（right）与义务（duty）相关关系的转化
我们将这一组概念理解为第一种类型的权利与义务之间的相关关系，这也是狭义的权利与义务概念之间的相关关系。在这一组相关关系中，霍菲尔德使用了表述权利与义务最常见的英文词汇right和duty，其中对于right的精确含义，他认为应当限定在claim的意义之上。对于claim的中文翻译，目前主流的观点是译为请求（权），这或许与我国法学界（特别是民法学界）对请求权的研究密切相关。但是，就霍菲尔德的本意而言，他所称的claim，是指权利主体所享有的、要求义务主体作为或不作为并得到了法律支持的能力，义务主体根据法律的规定必须依照权利主体的要求实施相应的作为或者不作为，以确保权利主体相关权益的实现，即是“一种令相对人负担拘束的主张”。因此，相较于略显谦卑的请求（权）这一译名，依据霍菲尔德的本意将claim翻译成主张（权）或许更为准确，后者比前者更接近于霍菲尔德所称的claim中所包含的权利主体依法享有的对义务主体的强硬地位，当然，其法理内涵还是与中文法律语境中的请求（权）保持一致。例如，《个人信息保护法》第四十六条规定，个人发现其个人信息不准确时，有权要求信息处理者予以更正。根据这一规定，作为信息主体的个人所享有的就是主张权意义上的权利，即他有权利向信息处理者进行主张，要求将涉及自身的、不准确的个人信息予以更正。
而对于与right相对应的duty的精确含义，霍菲尔德在其研究论文中并未作过多的解释，这与他意图建构的主要是一整套权利理论有关。不过，我们从他对right与claim的词义讨论中还是能推断出他所认为的duty的确切含义，即义务主体依法应当依照权利主体所主张的具体内容实施作为或不作为的一种强制性法律要求。虽然duty依据字面含义可翻译成义务，但是这会与后述的其他几种类型义务相混淆，因此，在中文语境中用应为义务这一术语与之相对应比较妥当，能更精确地表达出在这种法律关系中义务主体必须配合权利主体所主张的内容进行作为或不作为的法律意义。例如，同样根据《个人信息保护法》第四十六条的规定，在信息主体依法提出更正信息的主张之后，信息处理者就承担了更正信息主体个人信息的应为义务。如果没有这种应为义务的存在，那么信息主体的主张权就没有存在的意义，因此两者是相辅相成的，共同构成完整的法律关系。
此外，需要强调的是，权利主体的主张中既有可能包含要求义务主体作为的内容，也有可能包含要求义务主体不作为的内容。因此，应为义务不能仅理解成作为义务，它还应包括义务主体的不作为义务，即应为义务的完整表述应该是应当作为或不作为的义务。
由此，对于霍菲尔德提炼的第一组相关关系——right与duty，在中文语境中可以用主张权与应为义务两个术语之间的相关关系来对应。即，当权利主体依据法律规定享有主张权类型的权利时，法律关系中的相对方必然承担了应为义务类型的义务。
（二）
特权（privilege）与无权利（no-right）相关关系的转化
在这一组相关关系中，霍菲尔德所称的privilege，是指权利主体排除其他主体对自身所享有的权利进行干涉的一种强制性法律要求，他认为这一词汇的精确含义应指向自由（权）。目前国内通常将privilege翻译成特权，这种翻译虽然符合该词的字面含义，但是用自由权这一术语来与之对应会更契合其原本应有的含义。例如，《个人信息保护法》第十三条规定，为公共利益实施新闻报道的，信息处理者有权在合理范围内处理个人信息。在这一规定中，信息处理者享有的就是自由权意义上的权利，依法有权（利）自主决定实施个人信息的处理活动。信息处理者依法享有的这种自由权排除了其他主体（包括信息主体）对自身信息处理活动的干涉，意味着如果其他主体提出要求信息处理者停止处理信息活动的主张时，信息处理者依法有权不予理睬，可以继续处理个人信息。
与privilege相对的no-right这一词汇在英语中原本并不存在，是霍菲尔德为了保证其权利理论的完整性，自行创造的一个词汇。这一词汇的含义是指当权利主体享有自由权（privilege）时，法律关系中对应的义务主体就无权利（no-right）对其进行主张，无权要求权利主体实施一定的作为或不作为。我们可以发现这一含义刚好是第一组相关关系中right的相反含义，即义务主体无权利（no-right）对权利主体进行主张（claim）。霍菲尔德在讨论no-right时并未从义务的角度进行分析，这或许和英语中表达义务的常用词duty没有包含这层意义有关。
当我们在中文语境中根据霍菲尔德所指称的意义对no-right进行转译时，可以用禁为义务这一词汇来表达其精确含义。即当权利主体享有自由权（privilege）时，法律关系中对应的义务主体就承担了不能向权利主体进行主张的义务。换言之，当权利主体享有自由权时，意味着义务主体被法律禁止实施向权利主体提出主张的行为，承担一种不作为的义务（其实也就是义务主体不享有主张权）。例如，在《个人信息保护法》第十三条关于信息处理者为公共利益实施新闻报道时，有权在合理范围内处理个人信息的规定中，当作为权利主体的信息处理者依法享有处理个人信息的自由权时，其他主体（包括信息主体）都承担了对应的禁为义务，不能提出要求信息处理者停止处理个人信息的主张。通过这样的转译，我们发现霍菲尔德所称的no-right其实也是法律义务的一种特殊形态，其精确含义可以由义务一词所涵盖。
由此，对于霍菲尔德提炼的第二组相关关系——privilege与no-right，中文语境中的表述可以转译为自由权与禁为义务这一对术语之间的相关关系。即，当权利主体依据法律规定享有自由权类型的权利时，意味着法律关系中的相对方必然承担了禁为义务类型的义务。
（三）
权力（power）与责任（liability）相关关系的转化
在这一组相关关系中，霍菲尔德使用表述国家公权力的词汇power来表示在法律规定的特殊条件满足时，权利主体拥有的一种依据自身单方意愿影响义务主体法律地位的能力。它与第一组相关关系中主张权（right）意义上权利的关键差异在于：后者的实现必须由对应的义务主体通过作为或不作为的行为予以配合，而前者不需要义务主体行为的实施，直接依据法律的规定就能自然实现。
国内学界通常根据power所含的这种能够依据单方意愿决定对方当事人法律地位的特性而将其翻译成权力。这一表述从字面意义上看没有问题，但并未表达出霍菲尔德所指称的精确含义，而且也容易将其与中文语境中对公权力的理解相混淆。因此，我们以中文语境中的支配权一词来与之对应或许更为合适。与我国传统民法学说中的支配权概念有所不同的是，这一表述意指权利主体能够依据自身单方意愿支配义务主体的法律地位。例如，根据《个人信息保护法》第十五条的规定，基于个人同意处理个人信息的，个人有权撤回其同意。这一规定实际上是赋予了作为信息主体的个人享有撤回同意的权利，这种权利就是一种支配权（power）意义上的权利。因为这一规定意味着信息主体可以依据自身的单方意愿影响信息处理者的法律地位，只要信息主体依法单方作出撤回同意的行为，那么信息处理者随之就被置于不能继续处理个人信息的法律地位。当然，信息主体也可以不作出撤回同意的行为，这样信息处理者的法律地位就不会发生变化。可见，此时信息处理者的法律地位被信息主体的单方意愿所决定，信息主体拥有支配权（power）意义上的权利来决定是否作出撤回同意的行为。
在霍菲尔德的理论体系中，与power呈现相关关系的概念是liability，所指称的含义是当权利主体拥有power意义上的权利时，法律关系中对方当事人的法律地位就会不以其自身意志为转移地自动发生变化，其承担的就是霍菲尔德所称的liability。目前国内学界一般将liability翻译成责任，虽然符合其字面的含义，但是在中文语境中容易与法律责任这一概念相混淆。因此，从义务的视角理解liability或许更为妥帖，可以根据其精确含义将其转化为服从义务这一表述。我们仍然可以用《个人信息保护法》中的撤回同意制度予以说明：当信息处理者是基于个人同意处理个人信息时，信息主体就依法拥有了支配权（power）意义上的权利，有权（利）依法撤回同意。而当信息主体实际实施了撤回同意的行为时，信息处理者随之承担的就是liability意义上的义务，应当主动停止个人信息处理活动。即，当信息主体撤回同意时，信息处理者就随之被自动置于不能继续处理个人信息的法律地位之上，由此承担了相应的服从义务，其作为合法信息处理者的法律地位已被信息主体单方实施的撤回同意行为所改变。
由此，对于霍菲尔德提炼的第三组相关关系——power与liability，可用中文语境中的支配权与服从义务一对词汇之间的相关关系来对应。即，当权利主体依据法律规定享有支配权类型的权利时，意味着法律关系中的相对方必然承担了服从义务类型的义务。
（四）
豁免（immunity）与无权力（disability）相关关系的转化
这一组相关关系中immunity虽然可以直译为豁免，但是将其转化为权利概念体系中的豁免权将会更加便于理解。它是指在符合法律设定的条件下，权利主体所享有的、不受法律关系对方当事人单方意愿支配的一种法律能力。豁免权相对于其他三种类型的权利而言，在法律规范中出现得较少。它可以视为在上述支配权与服从义务这一组相关关系中，承担服从义务的主体依据法律的特别规定而享有的免于被支配的权利。
《个人信息保护法》中对于豁免权未作直接的规定，但是我们可以从相关的条文中依据法理推导出这种权利。例如，该法第十五条规定的信息主体的撤回同意权属于支配权性质的权利，一旦实施，信息处理者的法律地位会自动改变，不能继续处理信息主体的个人信息。不过，在该法第十三条中规定了信息处理者如果为应对突发公共卫生事件而处理个人信息，就无须取得信息主体的同意。将这两个条文综合理解可以发现，如果我们假设信息主体在同意信息处理者处理个人信息之后又撤回同意时，恰好出现了突发公共卫生事件，那么此时信息主体的撤回同意权的行使就无法影响信息处理者，信息处理者依然有权（利）继续实施处理活动以应对突发公共卫生事件。此时，信息处理者所享有的就是豁免权意义上的权利，其不受信息主体撤回同意行为的单方影响，豁免于法律地位的改变。
在霍菲尔德权利理论中，与immunity相对应的是disability，直译为无能力。不过，由于霍菲尔德在分析时曾指出disability与power之间呈现相反关系，所以国内学界通常都将其翻译为无权力，意指法律关系的一方当事人无法依据自身单方意愿影响对方当事人法律地位的情形。然而在将其转化时，换成义务概念体系下的放任义务或许更为合适。我们同样可以使用前述例子加以说明：假设信息主体撤回同意时，信息处理者正在为应对突发公共卫生事件而处理个人信息，那么信息主体的撤回同意行为就不能单方影响信息处理者的法律地位，而应放任信息处理者继续处理自身信息。虽然放任义务并非disability一词的对应翻译，但是它能够准确表达出霍菲尔德在英文语境下想表达的关于当事人在法律上不能单方改变对方当事人法律地位的意思，而且也能与前三组相关关系中的义务类型相对应。为便于中文语境中读者的理解，我们可以选择使用豁免权与放任义务组成第四组相关关系。
经过以上梳理，我们将霍菲尔德权利理论中的八个基本法律概念转化为适合中文语境理解的四组相关关系：主张权与应为义务、自由权与禁为义务、支配权与服从义务、豁免权与放任义务。其中每组相关关系的前一个概念共同组成了权利的四种基本类型，后一个概念共同组成了义务的四种基本类型。即，我们将广义上的权利划分为主张权、自由权、支配权与豁免权四种类型；将广义上的义务划分为应为义务、禁为义务、服从义务与放任义务四种类型。通过这种转化，我们建构了中文语境下的霍菲尔德权利理论，以进一步探讨我国个人信息权的内在结构形态。
三、个人信息权结构形态的重塑
依据转化后的霍菲尔德权利理论，我们可以将个人信息权区分为信息主体享有的个人信息受保护权、私权处理者享有的个人信息处理权利和公权处理者享有的个人信息处理权力三种类型。它们包含的权利（力）内容有所差异，但是都可以被霍菲尔德权利理论中的八个基本法律概念所解释。
（一）
个人信息权的主体应包括信息主体和信息处理者
在目前有关个人信息相关权利的研究中，多数学者都聚焦于信息主体所拥有的个人信息相关权利，将个人理解为唯一的个人信息权利主体。然而，基于霍菲尔德权利理论视角的观察，个人信息的权利主体不仅仅包括作为信息主体的个人，而且包括信息处理者。即，信息主体（个人）和信息处理者都依法享有个人信息的相关权利。这是因为，特定法律关系中的权利主体与义务主体随着自身权利的行使或义务的履行，将会朝向各自相反的方向转化，并在另一个法律关系中形成角色互换。由此，在特定法律关系中作为权利主体的信息主体，行使权利后会在另一个法律关系中转化为义务主体。与此同时，在这一特定法律关系中作为义务主体的信息处理者，履行义务后会随之转化为权利主体。由于在转化前后的两个不同法律关系中权利与义务指向的对象都是同样的个人信息，因此信息主体和信息处理者两者都有可能是个人信息的义务主体或权利主体。
详言之，霍菲尔德指出，八个基本的法律概念之间除了可以组成四组相关关系之外，同时还可以组成四组相反关系。这两种关系的区别在于：相关关系是基于法律关系的双方视角得出的权利—义务关系状态；而相反关系是基于法律关系的单方视角得出的权利—义务关系状态。这八个基本法律概念之间的相反关系可以用表2说明。
表2是在表1的四组相关关系之间加入了四个双向箭头表示四组相反关系。这四组相反关系分别是：主张权与禁为义务、自由权与应为义务、支配权与放任义务、豁免权与服从义务。在这四组相反关系中，每组的权利与义务概念都呈现截然相反的含义，且前两组和后两组相反关系各自形成相对独立的体系。例如，在主张权与禁为义务这一组相反关系中，主张权意味着权利主体可以向义务主体提出主张，而禁为义务则意味着义务主体不能向权利主体提出主张。同样，自由权与应为义务也呈现相反关系，其中自由权意味着权利主体可以不予理睬义务主体可能提出的主张，应为义务意味着义务主体应当依据权利主体的主张而作为或者不作为。同时，主张权与应为义务、自由权与禁为义务则分别属于相关关系。
基于这种相反关系与相关关系的存在，我们可以发现，在特定法律关系中的权利主体和义务主体，随着一方的权利转变为义务时，另一方的义务就会随之转变为相应的权利。此时，原先法律关系中的权利主体就转变为另一个法律关系中的义务主体，而原先法律关系中的义务主体随之转变为新法律关系中的权利主体。
例如，《个人信息保护法》第十三条规定，除了特殊情况之外，信息处理者应当在取得个人同意之后才能处理个人信息。据此，信息处理者承担的是申请并取得信息主体同意处理个人信息的应为义务，与这种应为义务相对应的是信息主体享有的要求信息处理者取得自身同意后才能处理个人信息的主张权。由此，在信息处理者取得信息主体同意后处理个人信息的法律关系中，享有主张权的权利主体是信息主体，承担应为义务的义务主体是信息处理者。在此基础上，如果信息主体同意信息处理者实施关涉自身个人信息的处理活动，那么在作出同意的意思表示后，信息主体和信息处理者就进入另一个法律关系中。在这个新的法律关系中，信息处理者由之前的义务主体转变为权利主体，因为其此时享有了处理个人信息的自由权。与此同时，信息主体就由之前的权利主体转变为义务主体，需要承担不对信息处理者提出关于停止信息处理活动相关主张的禁为义务。
可见，依据霍菲尔德权利理论的推导，在有关个人信息处理活动的法律关系中，信息主体并不是唯一的权利主体，个人信息处理者同样有可能成为权利主体。事实上，承认信息处理者是个人信息的权利主体，正体现了《个人信息保护法》所秉持的“个人信息保护与利用的平衡”这一基本立场。
（二）
个人信息权的三种不同类型及其内容
根据以上分析可知，个人信息权的主体不仅包括信息主体，而且包括信息处理者，那么个人信息权是否只包含信息主体的权利和信息处理者的权利两种类型呢？答案是否定的。对此需要结合《个人信息保护法》的规定进一步分析。根据该法的规定，信息处理者可以分为两种类型：一种是作为私权主体的信息处理者；另一种是作为公权主体的国家机关。私权处理者的典型是数字平台企业，其处理个人信息的活动属于民事法律行为，因而享有的确实是个人信息处理的权利，这一点并无殊异之处。个人信息的公权处理者则有所不同，其典型是行政机关。行政机关具有相对于信息主体的优势地位，实施的个人信息处理活动具有高权性、强制性的特征，所以应属于行政法律行为的范畴。由此，公权处理者所享有的并非个人信息处理的权利，而应是权力。
可见，个人信息权的主体虽然包括信息主体和信息处理者，但是信息处理者可进一步区分为私权处理者和公权处理者。这三种主体所享有的个人信息权存在差异，也就构成了个人信息权的三种类型。
如表3所示，个人信息权中的“权”并未限定为传统意义上的权利，而是包含了国家机关实施个人信息处理活动的权力，从而对应《个人信息保护法》中规定的私权处理者和公权处理者。由此，依据个人信息权的主体不同，个人信息权可以区分为信息主体享有的个人信息受保护权、私权处理者享有的个人信息处理权利和公权处理者享有的个人信息处理权力等三种类型。这三种类型的个人信息权中包含的权利（力）内容各有不同。
第一，个人信息受保护权。个人信息受保护权是对信息主体享有的关于个人信息的一系列具体权利的统称，属于个人信息权利束的概念范畴。在目前学界对个人信息相关权利的研究中，有学者指出宪法上国家对公民人格尊严和隐私、安宁进行保护的义务在数字时代已经扩展为对个人信息权益的保护义务，这种国家保护义务对应了个人信息受保护权这一基本权利，用以对抗和缓解数据权力对个人信息造成的侵害风险。这一观点敏锐地指出了数字时代产生的通过国家公权力主动保护个人信息的客观需求。不过，仅将个人信息受保护权的概念限定在对应国家保护义务这一点上，还是限制了这一概念的理论解释力。事实上，不仅国家对于个人信息具有保护义务，各类信息处理者（无论是私权处理者还是公权处理者）在实施个人信息处理活动时都有义务保护信息主体的合法权益。因此，本文用个人信息受保护权的概念指称信息主体依据《个人信息保护法》所享有的个人信息权益，即个人在信息处理活动中享有的各种权利。它不仅对应个人信息的国家保护义务，而且也对应私权处理者与公权处理者所应当承担的个人信息保护义务，是个人信息权中的第一种类型。
《个人信息保护法》第四章中专门设定了个人信息受保护权所包含的一些具体权利类型，如知情/决定权（第四十四条）、查阅/复制权（第四十五条）、更正/补充权（第四十六条）、删除权（第四十七条）、要求解释说明权（第四十八条）等等。根据霍菲尔德权利理论，这些具体的权利类型都可以化约为主张权、自由权、支配权和豁免权等四种基础权利类型中的某一种。例如更正/补充权本质上属于主张权，即信息主体有权对个人信息处理者提出要求更正或补充不准确或不完整的个人信息的主张，信息处理者则应依法承担进行更正或补充的应为义务，以确保信息主体的主张权的实现。
不过，个人信息受保护权中所包含的具体权利并不仅限于《个人信息保护法》第四章中规定的这些内容。我们还可以依据霍菲尔德权利理论中关于权利—义务相关关系的原理，从该法关于信息处理者的义务性规定中推导出对应的信息主体的具体权利。例如，根据该法第三十条的规定，信息处理者在处理敏感个人信息时，应当向个人告知处理敏感个人信息的必要性和对个人权益的影响。这一规定设定了信息处理者在特定情形下的告知义务，这种告知义务属于应为义务。由于应为义务与主张权呈现相关关系，因此，信息主体也就必然享有要求信息处理者告知这些内容的主张权。甚至，我们还可以从该法关于信息处理者的权利性规定中推导出信息主体享有的具体权利类型。例如，该法第二十七条规定，信息处理者可以在合理范围内处理个人自行公开的个人信息。这条规定强调了个人自行公开的个人信息，这意味着作为信息主体的个人享有自行公开个人信息的权利，这种权利就属于自由权。
第二，个人信息处理权利。个人信息处理权利是对私权处理者在实施个人信息处理活动中享有的一系列具体权利的统称，它同样也属于个人信息权利束的概念范畴。目前《个人信息保护法》中主要规定的还是信息处理者的义务，这些义务往往对应的是信息主体的权利，体现出信息主体的权利本位观念，也符合该法作为“保护法”的立法基色。
不过，在《个人信息保护法》中，我们还是可以发现许多属于私权处理者权利的内容，并且这些权利也同样可以化约为霍菲尔德权利理论中的四种基础权利类型。例如，该法第四条规定个人信息的处理包括收集、存储、使用、加工、传输、提供、公开、删除个人信息的活动。结合该法第十三条关于取得个人同意后信息处理者有权处理个人信息的规定，我们可以推知私权处理者在取得信息主体同意之后，就享有了个人信息的收集权、存储权、使用权、加工权、传输权、提供权、公开权、删除权等权利。这些权利包含在私权处理者享有的个人信息处理权利中，且大都属于霍菲尔德权利理论的四种基础权利类型中的自由权。
当然，私权处理者享有的个人信息处理权利包含的也不仅仅只有自由权，还有可能包含其他三种基础权利类型。例如《个人信息保护法》第二十二条规定，信息处理者因合并、分立、解散、被宣告破产等原因需要转移个人信息的，应当向个人告知接收方的名称、姓名和联系方式。虽然表面上看来这一规定似乎是在设定信息处理者的告知义务，但是从文义解释的角度而言，这一规定同时也意味着私权处理者在满足法定的条件时，有权（利）将个人信息转移给其他信息处理者。由于条文中并未要求此时私权处理者必须取得信息主体的同意，因此，一旦私权处理者依法将个人信息转移，那么接收方就成为个人信息的权利主体，享有个人信息的处理权利（如自由权）。而依据霍菲尔德权利理论，此时信息主体的法律地位会发生相应的变化，立即自动成为对应的义务主体，承担对应的义务（如禁为义务）。可见，私权处理者所实施的个人信息转移行为能够单方决定信息主体的法律地位，这一点说明私权处理者此时享有的、转移个人信息的权利就属于四种基础权利类型中的支配权。又如，根据《个人信息保护法》第十三条的规定，按照依法签订的集体合同实施人力资源管理所必需时，信息处理者有权（利）处理个人信息。这一规定意味着私权处理者（如数字平台企业）享有要求签订了集体合同的信息主体（如数字平台企业的员工）提供个人信息的权利，信息主体也有义务提供这些个人信息。私权处理者享有的这种权利就属于四种基础权利类型中的主张权。
由此可见，私权处理者享有的个人信息处理权利也是由各种不同的具体权利所组成，这些具体权利可能是成文法直接规定的，也可能需要从成文法条文的文义中推导出来，但它们都可以化约为霍菲尔德权利理论中的四种基础权利类型。
第三，个人信息处理权力。个人信息处理权力是对公权处理者在实施个人信息处理活动中享有的一系列具体权力的统称。不同于个人信息受保护权和个人信息处理权利，个人信息处理权力属于国家机关依法享有的国家公权力的一个组成部分。关于国家公权力存在许多研究视角，在本文中我们仍然选择运用霍菲尔德权利理论对其进行分析。虽然霍菲尔德并未运用这一理论对公权力进行直接研究，但是从其论述中可以看出，他事实上认为这一理论对于公权力也同样具有解释力。因此，我们可以在霍菲尔德权利理论的基础上进一步拓展，将公权力也纳入这一理论体系中，以便于对个人信息处理权力进行分析。
通常而言，公权力与私权利之间的主要差别之一在于公权力是权利与义务的复合体，公权力的行使既是权力主体享有的权利，也是其应当承担的义务，因此有学者认为应称之为职权。例如，行政执法机关在发现违法行为之后，有权（力）对违法者实施行政处罚，同时也有义务对违法者实施行政处罚。因为这是行政执法机关的职责所在，如果放任违法行为不管，就属于行政不作为的违法。因而，行政执法机关享有的这一公权力，既有权利属性，也有义务属性，是权利与义务的复合体。
将这一点与霍菲尔德权利理论结合之后，公权力中包含的权利部分同样存在主张权、自由权、支配权和豁免权等四种基础权利类型，而公权力中包含的义务部分则主要指应为义务，即公权主体必须依据法律的授权履行自身的法定职责，否则就属于不作为的违法行为。换言之，从霍菲尔德权利理论的视角观察，公权力可以视为主张权、自由权、支配权与豁免权等四种基础权利类型与应为义务的复合体。我们据此可以分析公权处理者享有的个人信息处理权力中包含的具体权力。《个人信息保护法》中的许多条文都明确授予国家机关等公权处理者实施个人信息处理活动的公权力，对于这种公权力可以从权利与义务两个层面进行探讨。
从义务层面看，它意味着公权处理者在符合法定的情形时必须实施个人信息处理活动，承担应为义务。例如在重大突发公共疫情期间，为了防止疫情的扩散，防疫卫生行政机关需要及时掌握涉疫人员的活动轨迹，此时就必须对涉疫人员的个人信息（如交通行程信息）进行收集、分析。此类处理活动就属于防疫卫生行政机关必须履行的应为义务，是其法定职责所在。
从权利层面看，四种基础权利类型都会存在：其一，公权力中包含的主张权。根据《个人信息保护法》第十三条第一款第四项规定，为应对突发公共卫生事件，公权处理者有权（力）处理个人信息。处理个人信息的前提是获取这些个人信息，因此这种公权力中理应包括公权处理者要求相关当事人提供个人信息的主张权。其二，公权力中包含的自由权。根据《个人信息保护法》第十三条第一款第六项规定，公权处理者有权（力）在合理范围内处理个人自行公开的个人信息。这种公权力中所包含的权利类型就是自由权，因为它排除了其他主体的干涉，此时信息主体也应当承担不干涉公权处理者的禁为义务。其三，公权力中包含的支配权。根据《个人信息保护法》第二十三条规定，公权处理者在法定条件下只要告知信息主体之后，就有权（力）单方面决定转移个人信息，信息主体的法律地位也随之发生变化，成为个人信息接收方处理信息活动的义务主体。此时，公权处理者享有的此类转移个人信息的公权力中包含的权利就是支配权。其四，公权力中包含的豁免权。根据《个人信息保护法》第二十七条规定，信息主体享有拒绝信息处理者处理自身自行公开的个人信息的权利。这种权利应属于信息主体的支配权，因为信息主体的单方意志就能影响个人信息处理者，使后者不能处理前者公开的个人信息。不过，从法理而言，如果公权处理者此时是出于维护重大公共利益（如防止疫情扩散）的目的来处理信息主体自行公开的个人信息，那么即使信息主体明确表示拒绝，公权处理者也有权（力）予以处理，此时公权处理者的权力中包含的权利就是豁免权。
可见，基于霍菲尔德权利理论，公权处理者享有的个人信息处理权力实际上是应为义务与主张权、自由权、支配权、豁免权等四种基础权利类型的混合体。《个人信息保护法》中规定的公权处理者享有的各类个人信息处理权力，都可以化约为某种特定基础权利类型与应为义务之间的复合体。
由此，我们可以更加清晰地理解个人信息权的内在结构形态，它应区分为个人信息受保护权、个人信息处理权利和个人信息处理权力，分别由信息主体、私权处理者和公权处理者所享有。并且，这三种类型的个人信息权中包含的权利（力）内容都可以被霍菲尔德权利理论所解释，化约为八个基本法律概念或它们的复合体。
四、结语
综上所述，霍菲尔德权利理论是“在既有法律规定下的‘一个人的权利对另一个人的义务’这种两人关系模式的设定下”，对权利概念进行的深入剖析，在中文语境中可以转化为四种权利类型与四种义务类型之间的对应关系，即构成广义权利的主张权、自由权、支配权、豁免权以及构成广义义务的应为义务、禁为义务、服从义务、放任义务。这八个基本的权利或义务概念构成了有助于分析中文语境中法律问题的本土化霍菲尔德权利理论。这一权利理论同样可以用来理解《个人信息保护法》中建构的个人信息权体系。据此，我国个人信息权的概念中应包括信息主体享有的个人信息受保护权、私权处理者享有的个人信息处理权利和公权处理者享有的个人信息处理权力三种形态，它们各自包含的权利（力）内容存在诸多差异，但都可以被霍菲尔德权利理论中的八个基本权利或义务概念所解释。
原文链接
“个人信息权”只包括信息主体的权利吗？——个人信息权的法理重构
