各个主管机构竞争专项转移支付的权力，造成专项转移支付项目越来越多、项目资金额度越来越小。

第二个阶层包括两个方面，一是作为首要自由权的一般自由权条款，二是作为首要平等权的一般平等权条款。在刑事诉讼程序、侦查程序中使用测谎仪，被认为是对于人类精神上的私人领域进行有系统的侵入。

[15] 然而，与普通法与特别法关系说不同的是，因列举自由权条款无法涵盖特定案件事实，运用一般自由权条款填补漏洞，并不能视为在一般自由权条款调整范围内的特别法优先原则的适用，作为补充自由权的一般自由权条款此时发挥的毋宁是承接漏洞的补充功能，与列举自由权条款之间是一种增补关系，两者的调整范围可以明确地划定。[42] 无限制保留基本权实际上也可归入宪法直接限制的范围，无限制保留并不表述某一权利完全的不受限制，只是在宪法规范上没有为其设置限制条款，但在宪法个案中，完全有可能受到具有同样宪法位阶的法益的限制，正如本文所举在十字路口作画一例中艺术自由所受到的限制。但是，如果依据宽构成要件理论，那么艺术自由条款则可出现第3种规范语句形式： （3）如果某一行为系从事艺术的行为，那么该行为将被允许并受到保障，除非另有具宪法位阶的原则在特定情形中优先于艺术自由原则，方可限制之。作者简介：余军，法学博士，浙江大学光华法学院教授。但这三项限制条件亦非具有确定内容的规则。

尽管这个行为可能构成对道路交通的干扰与危害，但依据基本权效用极大化原则以及宽构成要件的解释规则可认为该行为属于艺术自由的初步保障范围。[19]因此，内部理论在初步权利与确定权利的区分问题上与外部理论形成了根本的对立。[50]统一设立最高罚款上限为2000万欧元或者信息控制者上一年度全球营业额4%的罚款标准，大幅提高罚款的幅度。

由于缺乏上位法支撑，该指导性技术标准实践中的影响力非常有限，并且该标准对个人信息管理者内部治理机制的要求非常简单、原则。(6) 对于跨境个人信息传输，除设计类似于欧盟的充分性认定机制，以国家为对象采取对等措施以外，还应设计多元的补充认定机制，包括经核准的标准个人信息保护合同条款、企业自我约束规则、行为规范，以及获得合法备案的个人信息保护可信标志或认证标志等。[41] 其次，相较于《个人数据保护指令》，《一般数据保护条例》更突出强调责任原则、透明原则的地位和作用，强化信息控制者内部治理机制，调动信息控制者参与数据治理的积极性。个人信息保护法需要明确规定，信息控制者依法向第三方提供、转移、共享或者跨境传输其合法控制的个人信息的，应保证第三方能够履行同等个人信息保护法律义务，确保个人信息全流程安全，保证责任原则的全面实现。

2017年民法总则第111条规定，自然人的个人信息受法律保护。只要发生不利结果，就责任很重，甚至可以直接刑罚制裁，而信息控制者究竟应该履行哪些法律义务则缺乏规定。

这些特征使数字信息成为 (几乎) 免费、精确、实时的资源。(6) 数量未达到第三项至第五项规定标准，但是按相应比例合计达到有关数量标准的。[81]奥巴马政府2012年首次发布消费者隐私权利法案白皮书，2015年直接以法案形式提出完整的立法建议，都是希望以消费者控制为核心理念来完善制度，赋予消费者控制哪些个人信息可以被收集以及这些信息如何使用的权利。英国的首席隐私官在企业中的地位比美国、德国的同行要低好几个级别，能够得到的资源和参与高层决策的机会都少得多，无法在企业内部构建有效的分布式执行网络。

又如，信息主体权利的实现是一个过程，个人信息保护法中规定的不同权项不可能一步同时到位，执行中必然也需要有所区分，根据不同场景设计不同制度。而个人信息权利的行使不但要以法律的规定为前提，还要受到国家安全与公共利益的限制。[29]Christopher Wolf，Envisioning Privacy in the World of Big Data，in Marc Robenberg，Julia HorwitzJeramie Scott (eds.) ，Privacy in the Modern Age:The Search for Solutions，The New Press，2015，p.204. [30]对欧美个人信息保护法律制度各自缺陷的分析，参见Fred H.Cate，Privacy in the Information Age，Brookings Institution Press，1997，，p.100。不同的理论解释，内在逻辑均是强调通过激励机制调整来调动各级政府或者市场主体的积极性与创造性，走出一条中国的大国发展道路。

对于某些特殊领域个人信息的保护，如征信信息、未成年人信息、金融信息、健康信息、电子通讯等，美国还有专门联邦立法及相应的执法机制，保护力度更大。[65]有刑法学者明确指出，对于侵犯公民个人信息行为，我国刑法先于行政法、民事法亮剑。

西班牙与法国的企业很大程度上将隐私职能作为遵守确定的法律命令，哪怕自己怀疑做不到也要严格执行。并且，用户维权意识提升，认为企业不告知收集和非法买卖个人信息是突出问题。

我国经济体制改革最核心的内容就是实现由传统的计划经济向社会主义市场经济体制的转轨，[1]国家通过分权与市场化改革，调动地方政府与市场主体的积极性与创造性，形成推动经济发展的巨大合力。作为企业高级雇员，隐私官员既能够自上而下指挥，也能够直接与董事会沟通。这样，大数据不仅给信息控制者带来巨大经济收益，也给消费者 (包括信息主体) 带来免费使用、高品质服务、快速迭代创新等各种便利。王世伟、曹磊、罗天雨:《再论信息安全、网络安全、网络空间安全》，《中国图书馆学报》2016年第5期，第4页。[67]有学者对我国象征性刑法立法的消极影响进行了非常有见地的分析，并指出我国网络犯罪的刑罚法规缺乏法律本该具有的实质效果。这种双重价值追求，既体现在《指令》《条例》的名称中，也体现在立法结构的整体安排上，更体现在《指令》《条例》的前言、基本原则与具体规定之中。

美国虽然没有制定统一的个人信息保护法，但有着其他国家无法比拟的强大的外部执法威慑机制，能够约束信息控制者的行为。(2) 知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的。

活动很多都涉及战略性议题而不纯粹是操作层面的议题，职能远超合规要求，因而使企业内部的隐私决策能够与企业的战略决策、核心价值相互整合。[59]企业对于信息安全问题的通常理解，参见游湧:《证券公司交易系统信息安全保障体系的构建研究》，《科技创业月刊》2011年第13期，第50页。

[16]舍恩伯格更明确指出，大数据的核心就是预测。安永第19届《全球信息安全调查报告》采访了1735名首席管理人员、信息安全与IT高管或经理，他们代表了众多全球规模最大且最知名的企业。

[94]正因为如此，才有欧盟、美国对激励相容机制的共同探索。中国四十年成功的渐进改革经验对个人信息保护法的实施路径选择有很强的参考意义，需要时时借鉴。二、准确理解欧美个人信息保护法的新发展 欧盟与美国个人信息保护法律路径不同，两种模式的差异是客观的，也是明显的。信息控制者采用预测性识别技术，应采用公平的数学或统计学方法，禁止基于种族、民族、政治观点、宗教或者信仰、基因或者健康状态等差别对信息主体进行歧视。

刘艳红:《象征性立法对刑法功能的损害——二十年来中国刑事立法总评》，《政治与法律》2017年第3期，第43页。[8]因此，法律规则除了命令、禁止以外，还可以发挥引导作用，调动被管理者的守法诱因。

[45]对于加密技术在《一般数据保护条例》中法律地位不确定性的分析以及加密技术可以产生排除该条例适用效果 (促进云计算) 的论述，参见Gerald SpindlerPhilipp Schmechel，Personal Data and Encrytion in the European General Data Protection Regultion，7 J.Intell.Prop.Info.Tech.Elec.Com.L.163 (2016)。但是，随着大数据带来的个人信息安全关切日益上升，美国也一直面临越来越大的国内外压力，要求更重视消费者权利，让消费者有权控制自己的信息。

[76]另外，《欧洲人权公约》第8条规定每个人都享有私人和家庭生活受到尊重的权利，公权力不得干预，但为了国家安全、公共安全与国家的经济福利而依法进行的必要干预除外。发展是目标，安全是实现目标的保障。

其次，结构决定功能，观念明确以后，有效的组织结构就是基础。[3]俞可平:《中国治理变迁30年 (1978-2008) 》，《吉林大学社会科学学报》2008年第3期，第5页。缺乏罚款标准，将规则制定权交由各国行使，各国执行起来差别很大，普遍力度不够。都将隐私当作不断演变、面向未来和依赖语境变化的社会价值，而不仅仅是个人同意与控制。

对于命令控制式规范、基于绩效的标准和基于激励的制度三种规制方式的分析，以及从命令控制式向基于激励监管的趋势改变，参见Jon D.HansonKyle D.Logue，The Costs of Cigarettes:The Economic Case for Ex Post Incentive-Based Regulation，107 Yale L.J.1173 (1998)。但在长期努力之下，其基本理念与制度已经被其他国家普遍接纳。

[79]网络安全法只规定了合法、正当、必要三项基本原则，并在第42条第2款规定，在发生或者可能发生个人信息泄露的情况时，都要按照规定及时告知用户并向有关主管部门报告。8 9%的企业不去评估每次重大事件所带来的财务影响，而在2016年遭受过网络安全事件的企业中，有近半数 (49%) 对该网络事件造成或可能带来的经济损失并不了解。

再次，改变过去合规与业务流程设计相互分离、就合规谈合规的传统做法，从业务流程设计开始就将个人信息保护要求嵌入产品与服务之中，体现设计即隐私理念，实现个人信息保护全流程覆盖、全业务贯通的行为方式转变。对于不同的个人信息，执行机制就要进行区分，采用不同强度的保护标准，界定信息控制者不同的责任。