样式规定的好处是，可以根据样式规格的内容明确、快速而公正地判定是否合乎标准，简单易行，而且适合同一标准产品的大量生产。

究其根本，通过逐级选举的方式，建立最高政权机关，制定和通过宪法，意味着政权正当性的强化，即从新中国成立之初以政治协商会议、各界人民代表会议为载体的协商正当性，走向以人民代表大会和宪法为基础的选举正当性。[18]在经历有条不紊的民主建政后，地方层面的政权机关陆续建立起来，此时建立最高政权机关的条件已趋成熟。

（6）人民不是把全部权力都交给了代表，保留了罢免权、创制权和复决权等。从人民主权的逻辑出发，全国人大由自下而上的普选产生，全面承接人民的主权信托，即宪法规定的人民行使国家权力的机关是全国人民代表大会和地方各级人民代表大会，以及《全国人民代表大会组织法》（以下简称：《全国人大组织法》）规定的全国人民代表大会及其常务委员会坚持全过程民主，始终同人民保持密切联系，倾听人民的意见和建议，体现人民意志，保障人民权益。来源：《政治与法律》2022年第11期。[77]为履行上述权力，全国人大应该加强自身组织建设和制度建设，以使其能够承载政治机关、代表机关和国家权力机关的繁重任务。经由组织建设和制度建设，全国人大及其常委会的工作体系趋于严密、工作机构不断健全、工作制度逐步完备，从而为其有效履行工作机关的职责奠定基础。

在确定代表何以可能和代表谁的基础上，代表机关面临谁来代表的问题，即由谁来代表人民，或者说哪些人有资格成为人民的代表？在人民代表大会制度下，代表需要满足两个基本条件：一是政治合格，二是与人民群众有着密切联系。现行宪法扩大了全国人大常委会的职权，强化了全国人大常委会的组织。[74]参见个人信息保护法第70条。

严格来讲，更准确、完整的概念表达应是个人信息保护权利束。个人信息权利束中的各项权利，与国家建构的个人信息处理规则内容同构、功能互补，是作为公法秩序的个人信息处理规则的组成部分。对个人信息权利束之法律性质的民法解读，可归纳为个人信息权的权能说、个人信息权益的权能说、一般人格权请求权说等几种代表性观点。[73]如果监管机构不履行法定职责，或者个人对监管机构作出的处理决定不服，个人可以依法提起行政诉讼。

[43]个人信息具有交互性、社会性、公共性等特点，难以在民法所有权逻辑下成为具有排他性的、由个人支配的权利客体。这种法秩序并不是可由个人与信息处理者通过协商、合意而形成或变更的私法秩序，而是由国家建构并维护的公法秩序。

[40]《宪章》所规定的个人信息受保护权，在欧盟立法中承上启下。在对这些条文的体系解释上，一般认为，针对侵犯权利束的行为，数据主体应当先通过投诉举报等方式，请求具备专业和功能优势的监管机构进行处理。正是在上述个人信息处理规则的基础上，个人信息保护法第四章规定了个人在个人信息处理活动中的权利，即本文所讨论的个人信息保护权利束。从权利的性质看，个人信息权利束是个人信息受保护权的具体化。

[15]王利明认为，删除权本身就是一种人格权请求权的具体体现，因而信息主体行使删除权就是通过行使人格权请求权保护其权益，[16]此种请求权作为绝对权请求权的一种形态，不以损害和过错为要件。最后，在信息主体个人层面，虽然个人不得仅以个人信息权利束受侵害为由径行提起民事诉讼，但基于最大化维护公益的目标考量，在少数特定场景中赋予个人拟制的、技术性的、功能性的私人执行权，也具有一定的合理性。以行政监管为中心，并不排斥民事诉讼等私法救济途径。李晓明：《合规概念的泛化及新范畴的确立：组织合规》，《法治研究》2022年第2期，第137页以下。

[23]个人信息的本权权益包括公法上的人格尊严、通信自由和通信秘密，以及民法上的人格、财产等权益。以监管为中心，辅之以多元保障机制，由此构成主次分明、功能协同的个人信息权利束保障机制，能够更加有效地落实保护个人信息权益的法律目标。

如果主要通过民事诉讼保障个人信息权利束，将不利于对违法处理个人信息活动所侵害的客观法秩序进行修复或矫正。从法解释的角度讲，仅仅依据民法典的相关规定，尚不足以断定个人信息权益是民事权益。

这一基本权利反射到国家一方，意味着国家应当履行个人信息保护义务。齐爱民、张哲：《识别与再识别：个人信息的概念界定与立法选择》，《重庆大学学报（社会科学版）》2018年第2期，第127页。总之，《宪章》以个人信息受保护为核心目标，确立了个人信息受保护权这一宪法层面的基本权利。[6]参见前引[4]，申卫星文，第4页。[21]参见梅夏英：《在分享和控制之间——数据保护的私法局限和公共秩序构建》，《中外法学》2019年第4期，第852页。[69]也就是说，GDPR第79条所规定的有权获得有效的司法救济，并非确立了一套个人直接发动民事诉讼程序的机制，而只是强调个人信息保护法秩序内在地具有保护个人权益的功能，在监管执法处理的前置性程序要求下，个人依然享有在穷尽行政救济途径后提起诉讼的权利。

风险规制有赖于特定的组织形态，而法院显然不是在相关领域建构风险规制策略的专家。在现代国家，维护人民的和平、安全和公众福利属于国家目的范畴。

已有民法学者关注到了个人信息自决权的适用边界，认为自决权的概念主要适用于公权力机关侵害个人信息上基本权利的情形，在民法层面的适用空间较狭窄，若将其一般化地作用于所有私主体，将会导致对个人自由的过度干涉。[57]在个人信息合规（隐私合规）领域，个人信息处理者的合规义务，主要来源于法律规定和隐私政策的设定。

[51]刘云指出，当外部风险引发的损失具备显著性和客观性时，该风险就应当认定为个人信息损害赔偿救济中的损失，当这种普遍性可以特定化到个人时，风险就等同于损害的发生。[54]要完成控制公共风险的任务，需要国家积极履行保护义务，[55]而非仅仅通过自主支配观念和分散化的私法救济机制对个人进行武装。

[61]这意味着，在个人信息保护法律体系和相关实践中，个人并不只是消极的受保护对象，也是可积极参与个人信息保护的主体。民事诉讼救济机制对同一种权利在不同场景下的差别对待，在逻辑上难以自圆其说。德国联邦宪法法院在1983年人口普查案的判决中，基于德国基本法第1条第1款中的人性尊严，以及第2条中的一般人格权条款，创设了信息自决权的概念。从体系解释的角度看，应将个人信息保护法第50条与第69条结合起来进行解释。

这种通过民事诉讼途径请求法院对个人信息权利束中的权利提供司法保障和救济的实践，[1]在理论层面预设了个人信息权利束中的权利属于民事权益，在规则层面以个人信息保护法第50条为依据。[52] 在上述民法学者的观念里，损害这一概念的扩容，可有效应对个人信息遭受严重侵害的风险。

如果个人对监督处理的决定不服，或者认为负有保护职责的机构不履行法定职责，可以依法提起行政诉讼。[56]乌尔里希·齐白认为，合规计划规定的是一种对——首先是法定的，有时又是伦理的或其他的——预定目标的遵守程序。

第2款进一步规定了受保护的具体内容，包括个人的知情、同意、查询、更正等，构成了受保护权的具体权利。[35]参见王利明：《论〈个人信息保护法〉与〈民法典〉的适用关系》，《湖湘法学评论》2021年第1期，第26页。

个人信息保护法第69条第1款规定：处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。为落实《宪章》规定的个人信息受保护权这一基本权利，GDPR从充实个人信息受保护权的角度对数据主体进行了赋权。国家与个人角色互补，更有利于个人信息保护目标的实现。[48]我国个人信息保护法第四章规定的是个人在个人信息处理活动中的权利，在概念限定上体现了立法者的深思熟虑：这些权利并不是个人对其信息的支配和控制权，而是个人对个人信息处理者及其处理行为进行制约的工具和手段。

第三，个人对个人信息处理者回应请求权的行为不满意。谢鸿飞认为，在个人信息保护、环境生态保护等领域，有条件地承认预期侵权制度，肯定未来被侵权的风险构成法律上的损害，并基于精算规则予以赔偿，能使侵权责任法动态适应现代风险社会和复杂社会的需求。

[39]然而，欧盟法上并没有个人信息权这一概念，其个人信息保护的逻辑也不是民法逻辑，而是以国家保护和行政规制为主的逻辑。[8]王利明认为，从性质上看，删除权是基于个人信息权益而产生的权利，个人信息本身是由删除权、查阅权、复制权、携带权、更正权、补充权等一系列权能所组成的‘权能束，各项权能分别承担个人信息保护的特定功能，发挥着不同的作用。

此外，监管者还可以要求个人信息处理者在信息处理前对权利束的行使和相关请求受理机制进行妥善规定，以实现事前防范与主动防护，提升隐私政策的民主性、合理性、公平性。[71]在2016年的斯波克案中，美国联邦最高法院坚持采用了实际损害标准，认为损害须是已存在的或者具有紧迫性的，而非推测或假设的。