[22]也就是说，德国基本法是全面反思纳粹暴政的时代产物，反对纳粹极权统治是基本法所书写的宪法精神。

这部法律的实施为全国人民代表大会的选举产生、大会会议的召开、以至于最后《宪法》的通过，奠定了法律基础、也可以说是宪制基础。目前的合宪性审查制度就是在这个框架之内建立并运行的。

关键是，因为普选条件尚不具备，本条实际上是对于将来的要求——人民代表大会制是我国将予实现的政权制度。宪法这个词汇固然带来了认知上的便利，但也有可能造成认知上的桎梏。（2）与此关联的是，上列法律在其规范完备性上差异巨大，当然，美国《宪法》和英国《2005宪法改革法》可谓分处于规范完备性光谱之两极，应该是没有异议的，所以，上表对于完备性的评级需要以这条光谱中的相对位置来予以把握。（3）没有使用Constitution这个称谓也不影响各部实质性的单行宪法的实际存在和运作。因为并不强求对现代化建设蓝图作出一次性的完整规划，所以宪法修改的未完成工程就是被容许的。

中华人民共和国经历过一段短暂的临时宪法时期，其时的宪法形式是分散的、复数的文件。决定启动制定宪法工作前后，党的领导层对宪法问题原本是态度踌躇的。对信息主体而言，其个人信息被众多信息处理者收集、存储、处理和使用已经成为现实，这意味着个人信息侵害行为造成的损害通常涉及不同领域的不同信息处理者。

在事前规制环节，重点是对风险进行预防，同时为事中事后规制收集信息。对此，基于风险的方法之重要任务就是改变现有的信息安全风险分配现状，通过基于风险的规制和基于风险的合规让个人信息处理者承担相对较多的风险。(53)换言之，基于权利的方法并非另造车轮，未来的重要课题是如何将基于权利的方法和基于风险的方法进行更好融合，为个人信息保护提供更有力的支撑，维护个人在数字时代的尊严与自由。(29) (二)基于风险的方法嵌入个人信息保护的正当性 从国内外个人信息保护立法趋势来看，基于风险的方法正在重塑个人信息保护法。

(3)涉及许多人的违法行为。至于如何形成基于风险的个人信息保护合规制度体系，则可以充分借鉴风险管理的一般原理及其在其他领域的实践经验。

3.健全个人信息保护风险规制中的行为调节机制。笔者认为，个人信息处理者可以通过制定损害清单的形式对影响进行类型化：(1)有形损害，通常是有形的或者经济的，包括人身伤害、丧失行动自由、经济损失等。(3)社会损害，主要包括社会信任丧失、政府权力滥用等。①现有的个人信息保护立法及实践主要依赖基于权利的方法，即通过促进个人信息主体的赋权和能力发展，建构个人信息保护权利体系，进而实现个人信息保护。

在大数据时代，个人信息通常是以电子数据的形式存在，这意味着与之相关的损害通常也是无形的，不同于传统的人身侵害或者财产损失等有形损害。因此，从自我规制的角度看，应当强化个人信息处理者的风险管理。目前，技术检测已经被广泛运用于App个人信息保护专项治理中。例如，规制机构可以自己进行分析和实验，可以对他人提出报告、测试或者备案注册的法律要求，也可以通过向他人付费获得信息，还可以由投诉人或者举报人自愿提供信息。

再次，对于严重性低但可能性高的风险，必须通过实施安全措施来降低其可能性，重点强调恢复措施。具体到个人信息风险管理，个人信息处理者应当从以下几个方面提供组织支持：首先，应当将个人信息风险管理与组织在其他领域的风险管理方法相结合，确保个人信息风险管理可以利用组织已经投入其他领域的风险管理资源，提高个人信息风险管理的效率。

在比较法中，《欧盟基本权利宪章》第8条个人数据保护规定，每个人均有权保护有关他或者她的个人数据，由此确立了个人数据保护权在欧盟的基本权利地位。2013年，经济合作与发展组织对1980年通过的《经合组织个人数据隐私保护和跨境流动准则》进行了修订，其中很多条款均是为了实施基于风险的方法。

其次，对于严重性高但可能性低的风险，必须通过实施安全措施来避免或者减少，以降低其严重性或者可能性，重点必须放在预防措施上。这意味着信息安全风险应当成为国家治理的重要内容，治理的理念、方式和工具亦应当根据信息安全风险的特点做出相应的调整，其中一个基本问题便是信息安全风险如何进行合理分配。(一)自我规制：强化信息处理者的风险管理 在规制理论中，自我规制是指规制对象对自身施加命令和结果的规制，规制对象可以是单个企业，也可以是代表规制对象的行业协会。在大数据世界里，即使是已经匿名化或者看起来没有个人身份信息的数据集，也有重新识别的风险，这将破坏以去标识化为条件的个人信息处理同意。这使得基于权利的方法虽然能给人隐私增强的错觉，但却并未实际地为个人提供有效保护。除此之外，笔者认为，有必要借鉴欧盟《一般数据保护条例》第36条规定的事先协商制度，建立事先咨询制度，要求提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者在实施个人信息处理活动之前，应当就合规制度体系建设、影响评估等事项向个人信息保护专责机关进行事先咨询，听取规制机构的指导意见。

从为组织提供战略眼光和高层目标的高级领导或者行政人员，到执行和管理项目的中层领导，再到第一线操作支持组织任务或者业务功能的信息系统的个人，均在风险管理体系中扮演着重要角色。然而，书本上的法律并不总是能够成为或者类似于行动中的法律。

②[美]加里·B.赫伯特：《权利哲学史》，黄涛、王涛译，华东师范大学出版社2020年版，第446页。第一，基于风险的方法在国际性个人信息保护规范中的体现。

2.现实基础：信息安全风险的合理分配。之所以要让个人信息处理者承担更多的信息安全风险，主要理由包括以下几点：第一，信息安全风险主要源于个人信息处理活动，信息处理者是风险的根源。

我国《个人信息保护法》第51条规定，个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取不同的措施。因此，追究义务承担者的责任便构成了基于权利的方法的核心要素之一。(37)以现有理论成果与实践经验作为参考，笔者认为，个人信息处理者可以通过下列举措来完善个人信息风险管理制度体系，强化自我规制，提升合规性。信息不对称不仅是市场失灵的重要原因，而且是规制失灵的关键诱因，因此，信息收集是所有规制体系的核心，尤其是在以风险的可能性和严重性为关注重点的风险规制中。

因此，本文主张超越传统的个人信息保护路径，并非抛弃确立个人信息权利这一基本立场，相反，超越的前提恰恰是承认基于权利的方法之合理成分。基于风险的方法承认信息主体的有限理性，将关注点从个体权利的建构转移到信息安全风险的合理分配，已经广泛嵌入新近的个人信息保护法制中。

(一)何为基于风险的方法 随着风险社会的来临，风险被作为一个普遍的组织概念加以推广，以提高治理的质量、效率和合理性，其方式远远超过了它与环境保护、食品安全、卫生健康等领域的传统关联。第二，相比个人信息主体，个人信息处理者拥有更多的资源、技术、手段来控制风险。

(17)许多领域的诸多研究发现，即使是在最理想的情况下，全面的信息披露也难以达到其目标，促进个人做出良好慎重的决策。(24) 在大数据时代，与一般侵权造成的损害相比，个人信息权的损害具有以下特征，导致损害事实的认定充满不确定性：(1)分散性。

(18) 在有关个人信息的决策过程中，个人容易受到多种因素的影响和阻碍，导致难以进行理性选择：第一，不完整的信息会影响个人信息决策，主要体现在三个方面：(1)外部性，当第三方共享有关个人的信息时，他们可能会影响该个人，而该个人并未实际参与这些第三方之间的交易。由此可知，个人信息风险管理事实上与公法中的比例原则密切相关，其主要目标是依据不同的风险等级采取适当的保护措施，并非一刀切地实现零风险。(3)风险架构和塑造了规制组织和规制程序。我国《个人信息保护法》第6章虽然对个人信息保护规制机构的职责、职权等内容进行了规定，但是仍然没有改变多头执法的现状，并且在执法方式上仍然偏重于事后规制(如行政处罚)。

笔者认为，从保护个人信息和确保合规的角度看，所有的个人信息处理者均应当建立健全个人信息保护合规制度体系，并将基于风险的方法融入其中，形成基于风险的合规。不过，责任的归结并不是发生于法律的真空之中，而是发生于特殊人际关系和复杂的情境之中。

若仅仅着力于建构基于规范的合规框架，可能并不能解决实际问题，原因在于：许多信息系统、应用程序一旦投入使用后，若仅通过事后的执法与处罚，不仅可能增加规制机构的执法成本，而且可能导致信息处理者因整改成本过高而消极应对存在的问题，这也是目前手机应用程序中个人信息保护问题屡查屡犯、屡禁不止的重要原因之一。在基于权利的个人信息保护制度中，信息主体享有个人信息权及附属的知情权、决定权、查阅权等一系列权利，这意味着信息处理者应当承担相应的系列义务。

当前的个人信息保护主要依赖基于权利的方法，假定信息主体具有完全理性，赋予信息主体一系列权利，并以告知—同意和侵权损害赔偿作为主要的保障机制。(43)张涛：《大数据时代通过设计保护数据的元规制》，载《大连理工大学学报(社会科学版)》2021年第2期，第79页。

焦点访谈：奋斗 新的伟业 非凡成就 伟大变革

身先士卒展课例，复习备课显风流——合肥市第四十二中学

春游江淮请您来| 打卡美丽柿树，赏田园美景

中医骨科大夫推荐：伤科小手法解决宝妈腰背痛

数说新时代｜大力发展老龄事业

春游江淮请您来丨春游合肥 这些网红打卡地，都美化得了！

二十大代表风采 | 裴春亮：乡亲不富誓不休

春游江淮请您来丨老仓库改造太惊艳！

牙槽骨骨量不足 医生完成“荒漠”种牙

独家！合肥弘阳广场探店密透！