个人信息更正权的双重规则构造与定位

    摘要：个人信息更正权作为人格权请求权具有促进个人参与个人信息处理活动的积极自由精神，其规则构造包括成立规则和行使规则两个方面。个人信息更正权的成立以存在广义的错误信息与正确信息为前提，但不以过错为必要，同时需要接受基于利益衡量的例外检验。在例外检验中，应以更正成本显著高于收益作为特殊抗辩事由，而不再持续控制错误个人信息并不能阻却权利成立。在权利行使规则方面，个人需要对成立要件事实和当事人适格性进行举证，个人信息处理者应就抗辩事由承担举证责任，并遵循初步证据标准核实材料、及时回应。个人信息处理者还可能承担停止非存储行为和对异议信息加以标注的义务，而其更正义务一般仅及于个人所主张的错误信息及其直接副本。个人信息更正权作为新型权利，仍然可以纳入防御请求权与民事责任的一般范畴。
    关键词：个人信息更正权；人格权请求权；成立规则；行使规则；体系定位
    一、问题的提出
    在数字化时代，个人信息不仅是关于信息主体的零散描述，而且是创制数字身份的基础要素。基于错误个人信息形成的个人“画像”，不仅影响社会交往，甚至可能危及个人数字化的存在方式和自我认知。通常来看，个人信息处理者处于强势地位，能够操纵个人信息主体，而个人在信息处理关系中则处于弱势地位。因此，在个人信息的处理活动中，个人不能只是作为“旁观者”，而应适时参与其中，如纠正错误个人信息、补充必要信息，主动塑造和阐释自己的数字化存在方式，这也是个人信息更正权的特殊意义。个人信息更正权并非纯粹消极的防御性权利，它也蕴含了积极自由的精神，具有让权利人获得数据信息解释话语、协同共创动态数字身份、破除算法霸权的重要功能。由此，如何协调个人参与和个人信息处理者负担之间的关系成为核心议题，并引发了利益平衡及法律适用的诸多争议，具体体现为个人信息更正权的成立及行使问题。对于个人信息更正权的成立，主要涉及是否采取过错归责原则、如何理解个人信息瑕疵、有无特殊的成立抗辩事由等问题；对于个人信息更正权的行使，主要涉及如何提出异议并分配举证责任、根据何种证明标准进行核实及如何保障个人信息更正权的行使等问题。进一步看，个人信息更正权的成立问题源于个人信息更正权到底是防御请求权还是填补损害的侵权责任的困惑，而权利行使问题则揭示了个人信息更正权不同于救济性的保护请求权或民事责任，要求具备完善的积极行权制度并贯彻个人参与的积极自由价值。因此，个人信息更正权的上述问题，最后又涉及与既有民事权利和民事责任体系的衔接，即个人信息更正权的定位问题。如何在保障个人信息权益的同时，避免对个人信息处理者施加不合理的负担，合理构造个人信息更正权的成立规则和行使规则，并在既有的民事权利与民事责任框架下兼容个人信息更正权，这是本文所要研究的核心问题。基于此，本文采取自下而上、由具体到抽象的研究思路，先分析个人信息更正权的成立问题，再对个人信息更正权的行使规则进行阐释，最后总结和分析个人信息更正权与防御请求权及民事责任的关系。
    二、个人信息更正权的成立
    （一）个人信息瑕疵的认定
    个人信息更正权不同于个人信息删除权，其效力内容还包括用正确的个人信息替代错误的个人信息，其成立应当以存在错误个人信息和正确个人信息为前提。因此，作为个人信息更正权成立要件的个人信息瑕疵绝不仅仅是“错误”，而必须是与“正确”相互对照而存在的“错误”。但是，如何理解个人信息的“错误”和“正确”仍需要进一步分析。对此，相关规定在个人信息瑕疵的表述方面差异巨大。
    从《中华人民共和国民法典》（以下简称《民法典》）、《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）、《中华人民共和国网络安全法》、《个人信用信息基础数据库管理暂行办法》及《征信业管理条例》对个人信息瑕疵的表述来看，“错误”的概念是最核心且常用的。一般认为，成立个人信息更正权所要求的“错误”主要是指“个人信息内容错误”，且该内容错误还包括“信息内容不全”的情况。换言之，《民法典》所使用的“错误”概念实际上是扩张后的、广义的“错误”，其包括了《征信业管理条例》所指向的“错误”和“遗漏”，所以《民法典》视野下的个人信息更正权应包含了补充信息内容的效力内涵。与之不同，《个人信息保护法》在该问题上并没有使用“错误”的概念，而是使用了“不准确”“不完整”来加以表述。有学者指出，该表述的变化主要是为了强调更正权的适用范围包括信息不完整的情况，其效力不仅是更改错误，还有补充遗漏。但从文义来看，“错误”的概念主要是指与客观实际不符合，并不包括信息不完整的情况。
    从文义来看，《个人信息保护法》所使用的“不准确”，是指行动的结果不完全符合实际或预期，其内涵比“错误”更宽泛，除了不符合客观实际以外，还包括不符合预期。个人信息内容不完整，导致处理目的无法实现时，可以认为作为处理结果的个人信息不符合预期，从而纳入“不准确”的概念范畴。所以，“不准确”应当包括狭义的“错误”和“不完整”两种情形。《征信业管理条例》也确实将《个人信用信息基础数据库管理暂行办法》中的“不准确”细分为“错误”和“遗漏”。《个人信息保护法》将“不准确”“不完整”并列规定的做法，一方面可能是想明确《民法典》所使用的“错误”实际上是广义的，与“不准确”相当；另一方面可能是想强调相当于“不准确”的广义的“错误”包括了“不完整”这种特殊情形，从而指明行使更正权能够补充不完整信息的效力内涵。
    综上所述，作为个人信息更正权成立要件的个人信息瑕疵，即“错误”，应当理解为广义的错误，其包含了内容错误与内容不完整两种情况。个人信息瑕疵作为广义的错误，应当以存在对应的正确个人信息为前提，否则难以用正确的个人信息替代错误的个人信息，也就无法进行“更正”或者“补充”。就此而言，作为与广义的错误相对应而存在的“正确”，应当以宽泛的内涵来理解，即指既没有内容错误也没有内容遗漏，本文正是在此基础之上使用“错误”和“正确”的概念。
    个人信息更正权所指向的“错误”主要是内容错误，而“内容”在根本上涉及受众对内容层个人信息所表达意思的理解，所以对内容错误的认定需要围绕受众的理解来展开，以此判断个人信息所表达的意思是否准确、与实际是否相符、与受众的预期是否相符。从一般受众的理解来看，基于不同的表达，其内容是错误还是正确的认定标准，实际上也有所不同。对此，需要特别注意区分事实陈述型个人信息和价值判断型个人信息。
    通常，意在陈述事实的个人信息才会出现与实际情况不符的问题。例如，信息登记的年龄是17岁，但实际上是18岁。要认定这类信息是错误还是正确，也就是要判断其内容是否符合实际情况。与此不同，价值判断并不存在与实际情况是否相符的问题，因为价值判断根本就不是基于事实的真假判断，而主要是一种信念和道德情感。对于一般受众而言，价值判断只存在“认同”与否的问题。因此，意在表达价值判断的个人信息，也就不会产生与实际情况不相符的错误，恐怕只能基于受众的“认同”或者“不认同”，在“是否符合预期”的意义上进行错误或者正确的判断。但“认同”问题涉及多元价值、个人权利的保护，所以一般对于价值判断是错误还是正确的认定都较为谨慎。从侵害名誉权及虚假陈述的认定来看，如果相关价值判断的表达根本不是出于善意，而是单纯为了贬损他人人格，或者实际上自己都不相信其所宣称的价值判断，那么也就违背了受众通常对价值判断表达行为的合理预期，这种表达行为才具有违法性。然而，原则上来说，价值判断不得强制，在法律上对“正确”的价值判断加以界定，容易违反个人权利保护的基本要求。因此，对于“不符合预期”的错误价值判断，很难从正面界定什么才是与之相对应的符合受众预期的正确价值判断。
    可见，一般仅有事实判断型个人信息才可能满足个人信息瑕疵的成立要件，而价值判断型个人信息由于在法律上难以进行正面界定，所以无法满足错误个人信息必须与正确个人信息对照存在的内在要求。但是，如果相关价值判断存在明确的基于事实作出判断的客观标准，那么价值判断型个人信息就例外地存在正确信息，从而满足个人信息瑕疵的成立要件。正如欧盟法院认为，阅卷老师如果未按答案要求批改试卷或者存在计分错误、弄混试卷等情况，那么作为价值评判结果和个人信息的考试分数就存在需要更正的错误及相应的正确信息。
    （二）无过错归责原则叠加例外的利益衡量检验
    从比较法来看，个人信息更正权的成立通常不要求存在“过错”。在我国的司法实践中，有法院将个人信息更正权理解为一般侵权责任，以过错为前提。然而，也有当事人主张个人信息更正权与一般侵权责任不同，应当采取无过错的归责原则，但相关法院却并未回应。
    从个人信息更正权的相关规定和权利分类来看，一般认为个人信息更正权属于请求权。有学者进一步指出，《个人信息保护法》中的更正权是个人信息权益的消极权能，往往体现在个人信息的准确性、完整性、私密性遭受破坏时对侵害可能性的排除和防御。但是，这一判断并不完全符合个人信息更正权促进个人参与信息处理活动的积极意义。此外，绝对的无过错归责立场可能会导致个人信息处理者负担过重，也许正是基于此等考虑，在前述司法实践中法院才通常按照过错归责原则来认定个人信息更正权的成立。个人信息处理者所承担的更正义务，并不是在对立关系中填补损害，而是在合作关系中回应和协助个人，从而及时纠正错误，以持续实现准确、完整地呈现个人数字化生活方式的共同目标。何况无论是意定处理权限还是法定处理权限的授予，基于诚信原则及授权目的，都必然包含了个人信息处理者应确保个人信息准确、完整的要求。错误的信息既不符合法定处理权限所追求的利益（如公共安全），也不符合个人授权他人处理信息的合理期待。即使个人希望出现错误，这种授权行为也很难被法律所认可：要么因某种违法目的而与法律相抵触，如传播谣言；要么与约定的目的相矛盾，如在体检活动中授权填写虚假年龄。因此，当个人信息确实存在错误时，无论个人信息处理者是否有过错，都应当承认个人享有请求更正的权利，个人信息处理者负有予以配合、及时更正的义务。
    从解释论来看，《民法典》第1037条和《个人信息保护法》第46条在个人信息更正权的成立及个人信息处理者的更正义务方面都没有以过错为前提。另外，从《民法典》第1037条位于人格权编的体例位置来看，个人信息更正权是一项重要的人格权请求权，而人格权请求权的成立一般不以过错和损害为必要。然而，由于人格利益的保护在我国法律中呈现出明显的差序格局，所以人格权请求权的成立并非全然不考虑相对人的过错情况。根据《民法典》的规定，生命权、健康权、身体权等与“人身安全”有关的绝对人格权，有较高的排他性，相应的人格权请求权与典型的防御请求权最接近，对其可以直接适用《民法典》第1167条而不要求有过错，属于广义的侵权责任。然而，对于隐私权、个人信息权、名誉权等不涉及“人身安全”的有名人格权，排他性相对较低，一般情况下仍可以根据特别规范所确定的成立要件（如《民法典》第1037条），按照类似于防御请求权的要求来认定人格权请求权，而当特别规范不清晰时，可以结合《民法典》第998条的规定，综合考虑过错程度、行为后果（可能的损害）等因素进行利益衡量。此外，与《民法典》第990条第2款中的“人身自由、人格尊严”相关，但却没有特别规范以明确其成立要件的人格权，是无名人格权，属于典型的框架权，排他性最低，必须依据《民法典》第998条的规定并通过个案衡量来认定人格权请求权是否成立。因此，根据《民法典》第1167条的规定，与“人身安全”有关的绝对人格权直接产生人格权请求权，其属于广义的侵权责任，但与“人身安全”无关的非物质性人格权，其人格权请求权的成立则可能还需要结合《民法典》第998条的规定进行必要的利益衡量。对于有名人格权来说利益衡量是例外情况，但对于无名人格权来说则是成立人格权请求权的基本要求。照此理解，由于个人信息更正权有《民法典》第1037条及《个人信息保护法》第46条的明确规定，属于有名人格权，所以一般来说只要存在个人信息瑕疵即可成立，并不要求具有过错和损害，这与《民法典》第1167条中作为防御请求权的侵权责任类似。但是，《民法典》第1037条第1款中“必要措施”的限制属于不明确的成立抗辩规定，应当反向适用《民法典》第998条，即可以根据第998条所揭示的利益衡量方法来例外地否定个人信息更正权的成立。因此，应当承认个人信息更正权存在特殊的成立抗辩事由，可以通过利益衡量，综合考虑过错程度、行为后果（可能的损害）等因素。
    综上所述，衍生于个人信息权的个人信息更正权作为人格权请求权，其成立并不以过错和损害为前提，但与《民法典》第1167条中有关“人身安全”的防御请求权不同，个人信息更正权存在特殊的成立抗辩事由，该抗辩事由的认定需要综合考虑过错程度、行为后果（可能的损害）等因素。基于此，“成立要件+基于利益衡量的例外检验”的模式，使个人信息更正权与无须利益衡量检验的广义侵权责任（《民法典》第1167条）具有明显区别。此外，个人信息更正权的上述特征与比较法上根据比例原则权衡认定删除、更正义务的趋势相契合，同时也反映了人格权排他性的差序格局及人格权保护的动态系统思维，体现了我国《民法典》人格权编中人格权请求权不同于侵权责任的根本特性。
    （三）以更正成本显著高于收益作为特殊抗辩事由
    如前所述，根据《民法典》第998条的规定，对于个人信息更正权的成立仍然可作一定的利益衡量，特别是考虑到《民法典》第1037条本身也有“必要措施”的限制，所以个人信息处理者对个人信息更正权的成立具有特殊的抗辩事由。从法律解释及防御请求权认定的司法实践来看，这种特殊的抗辩事由应是更正成本显著高于收益。
    《民法典》第1037条强调信息处理者采取的是“更正等必要措施”，结合《个人信息保护法》第5条中的必要原则，“必要”一词应被理解为并非有错误时信息处理者就必须更正，而是应当符合比例原则。不仅如此，《民法典》第998条作为利益衡量条款，一般认为是要求对列举因素进行动态的综合分析，结合比例原则来判断相应的民事责任是否配置妥当。最高人民法院在一些传统防御请求权的成立认定中也明确肯定了比例原则可以作为抗辩事由。根据举轻以明重的法理，对义务方具有更积极作为要求的个人信息更正权，更应当肯定该原则的适用。另外，《民法典》对“错误”的法律救济一般也都要求“错误”的“重大性”，该要求在本质上也是比例原则的体现。
    通常认为，比例原则包括三项要求：手段有助于实现正当目的、在实现目的的诸多手段中伤害最小、最终成本与收益相均衡。个人信息更正权的目的不仅是排除妨害，而且是通过呈现正确信息来促进个人信息处理目的的实现，该目的具有正当性。对于该目的的实现而言，通常除了更正权之外并没有其他替代手段，删除权或者限制权等都无法呈现正确信息，所以个人信息更正权也符合伤害最小的要求。但成立个人信息更正权、为个人信息处理者配置更正义务，其最终的成本和收益却并不一定均衡，所以比例原则的第三项要求，即狭义的比例原则是抗辩个人信息更正权成立时所要考虑的核心要求。
    如果一项制度全然不考虑实际情况与市场接受程度，则可能会由于过度干预而产生消极影响，甚至背离立法初衷。因此，当更正成本与收益不均衡时，应否定个人信息更正权的成立。考虑到《个人信息保护法》第46条并没有为个人信息更正权设置“必要措施”的限制，所以根据狭义的比例原则抗辩个人信息更正权的成立需要更为谨慎，应当将更正成本显著高于收益确立为特殊的抗辩事由。从体系解释来看，涉及个人信息删除权的《个人信息保护法》第47条第2款规定了“技术手段难以实现”，其本质上仍反映了成本显著高于收益。既然个人信息的更正权与删除权都是基于个人信息权衍生出来的人格权请求权，且个人信息更正权还存在界定正确内容和替换错误内容的额外成本，所以对个人信息更正权而言更应当承认成本显著高于收益的成立抗辩事由。
    实际上，《民法典》第998条所列举的考量因素与更正的成本和收益息息相关。例如，当错误个人信息的影响范围较大，更正的收益通常也就较为显著。不仅如此，过错程度也与更正的成本和收益有关。过错越严重，说明越偏离公认的合理期待，此时通过更正来保护合理期待所带来的收益也就越明显，而且由于合理期待的公认性，所以通常无须付出过高成本。此外，如果行为方式是简单的纸面处理，那么更正的成本也就较低，但如果是某种不可逆的方式，如区块链的电子记账方式，更正成本则明显较高。
    综上所述，在更正成本显著高于收益的认定过程中，应当根据《民法典》第998条的规定，结合行为的目的、方式、后果、影响范围、过错程度等因素综合考量。如果仅是较为轻微的错误，既未偏离公认的合理期待，也不会对个人形象造成任何负面影响，以至于更正该错误所付出的成本显著高于收益时，就不应当对该种错误予以更正。另外，即使相关错误“重大”，但如果更正该错误在技术上成本极高、客观上难以实现时，也应当认定为满足成本显著高于收益的抗辩事由，从而排除对该种错误采取更正救济。对此，可以采取限制处理等合理的替代方案，同时给予一定的补偿。
    最后，就补充更正而言，由于事实状况处于永恒的变动之中，既有的个人信息很可能会持续发生内容不完整的问题。如果对所有的不完整信息都要予以补充更正，等同于让个人信息处理者承担无尽的持续补充更正义务，这显然违背比例原则。从比较法经验来看，对不完整信息的持续补充更正义务应有特殊要求，即只有当“不完整”对于信息处理目的的实现至关重要时，这种持续的补充更正义务才可以成立。除此之外，还是应当考量负担相应补充更正义务的成本和收益，而且如果在技术上难以进行补充更正，也应当排除相应义务，否定个人信息更正权的成立。
    （四）不再持续控制错误个人信息并非抗辩事由
    一般认为，防御请求权的成立虽然不要求有过错，但须以义务主体具备可归责性为前提，对可归责性的认定则主要采取风险归责理念，即要么实施了导致妨害状态的行为，要么妨害状态恰好处在其所控制的领域之内。在以上两种情况下，相对人往往不仅享有妨害所带来的利益，而且还控制了妨害的发生和持续，让其承担排除妨害等义务也就具有正当性。个人信息更正权与传统的防御请求权均采取无过错的归责原则，但个人信息更正权对义务方有更积极的要求，故其同样需要受风险归责理念的限制，而这种限制的法律基础主要是《个人信息保护法》第73条第1项，即“个人信息处理者”的界定。因此，基于风险归责理念认定相关主体不属于“个人信息处理者”，也可以成为个人信息更正权成立的抗辩事由。
    根据风险归责理念，成立针对特定人的排除妨害请求权，并不要求妨害状态仍然处于该特定人所控制的领域，只要是其导致和引起了妨害状态，那么该特定人即使当前已经丧失了对妨害状态的控制，也应当负担排除妨害的义务。只不过此时无法主张停止侵害，而只能主张排除妨碍。最高人民法院在《民法典》第179条“排除妨碍”请求权的理解上也认为，排除妨碍的义务主体主要是实施相关行为导致妨害状态的行为人，而不要求该行为人现在仍然对妨害状态有事实上的控制力、处于其控制的领域。正因如此，在他人家门口堆放垃圾，妨害他人通行的人，即使妨害状态已经不处于其所控制的领域（发生在他人家门口），该曾经实施妨害行为的人仍应负担排除妨碍的义务。按照这一思路，个人信息更正权的成立也不应当以义务主体当前实际控制错误个人信息为前提。
    另外，《民法典》第1037条和《个人信息保护法》第46条所指向的义务主体是“个人信息处理者”，而根据《个人信息保护法》第73条第1项的规定，个人信息处理者是在个人信息处理活动中自主决定处理目的、处理方式的组织、个人，该规定并没有将个人信息处理者限定在“当前”仍然能够决定处理目的、处理方式的范围内。因此，从法律规定来看，不能认为曾经对个人信息有控制力而当前丧失控制力的主体一概不属于个人信息处理者或者不能成为个人信息更正权所指向的义务主体。
    综上所述，只要曾经的个人信息处理者引起了错误状态，或者根据风险归责理念，错误发生在其风险控制的领域，而该个人信息处理者本来能够避免错误发生却未能避免，那么即使现在丧失控制力，个人信息处理者也应当负担更正义务。例如，若由于银行的自身原因向征信服务系统报送了错误的个人信用信息，或者按照行业标准银行在报送个人信用信息时应当能够发现和纠正相关错误，那么即使银行对征信服务系统中的个人信用信息没有控制力，一般也应当负担更正义务，进而成立相应的个人信息更正权，除非根据《民法典》第998条的规定，通过综合衡量其他因素，能够证明由银行负担更正义务将导致更正成本显著高于收益。
    三、个人信息更正权的行使
    根据《个人信息保护法》第46条的规定，个人信息更正权可以直接通过当事人之间的沟通而自助实现，但个人如何有效提出异议并请求更正，如何分配举证责任，个人信息处理者应当按照何种证明标准进行核实，以及如何有效监督权利行使中的行为并保障个人信息更正权的实现？目前对这些问题还没有明确规定。权利行使规则对于切实促进个人参与个人信息处理活动具有重大意义，也是调整和分配更正成本、避免个人信息处理关系中任意一方负担过重的核心机制，所以有必要详细阐释、加以明晰。
    （一）提出行使个人信息更正权的主张
    个人信息更正权在行使方面的首要问题是，个人主张行使个人信息更正权是否必须按照个人信息处理者公示的方式和程序来提出异议并请求更正。由于《个人信息保护法》第47条特别规定了个人信息处理者有主动删除的义务，该义务不以个人按程序行使删除权为前提，所以前述问题在个人信息删除权中可以说已经得到解决。与此不同，《个人信息保护法》第46条并没有明确规定个人信息处理者有主动更正的义务，而是特别规定了个人要先提出异议并请求更正，然后经个人信息处理者核实后，再由其及时更正。在这样一种权利行使的框架下，要触发核实和更正义务显然必须先提出有效的异议和请求，而有效的异议和请求是否一定要遵循个人信息处理者公示的行权规则？
    根据《个人信息保护法》第17条第3项的规定，个人信息处理者应当在事前告知“个人行使本法规定权利的方式和程序”，这似乎默认了个人信息处理者可以事先单方面决定行使权利的方式和程序。但问题是，该项义务性的规定是否就等同于授权个人信息处理者决定权利行使规则，个人未按照个人信息处理者决定的方式和程序行使权利是否就不产生法律效力？有学者指出，《个人信息保护法》第17条特别规定了个人信息处理者的告知义务，是个人信息处理透明原则的体现，并不认为该条规定是要授权个人信息处理者决定权利行使的方式和程序。因此，不能基于《个人信息保护法》第17条的规定认定个人必须按照个人信息处理者事前告知的方式和程序才能触发核实和更正义务。
    提出异议并请求更正作为一种意思表示行为，可以类推适用《民法典》第137条的规定，从而判断相关意思表示是否生效。若是采取对话方式提出异议和请求，那么在个人信息处理者“知道”其内容时生效；若是采取非对话方式，到达个人信息处理者处时生效，而“到达”是指进入个人信息处理者的控制领域，处于可得而知的状态；若是采取数据电文形式，有特别指定系统接收数据电文的，那么进入该特定系统时启动核实程序，没有指定系统的，相对人知道或者应当知道该数据电文进入其系统时生效。同时，结合《个人信息保护法》第50条关于便捷受理机制的规定，个人信息处理者应当承担积极义务，促使《民法典》第137条规定的各项生效条件的达成。另外，从《民法典》第137条的规定来看，如果个人与个人信息处理者事先约定了提出异议和请求的方式及生效时间，那么就应当尊重双方的约定。但该种约定如果是通过格式条款方式订立，那么其效力还需要经过《民法典》第496条和第497条的检验。
    （二）核实对象与核实标准
    从《个人信息保护法》第46条的规定来看，个人信息处理者需要核实的对象是“其个人信息”，但该表述并不明确。从逻辑上看，个人信息处理者应核实的对象是主张更正权的主体对于相关个人信息是否享有更正权，而被主张的主体又是否属于更正权的义务人，这就存在举证责任分配的问题。按照谁主张谁举证的一般观念且结合《个人信息保护法》第46条第2款中个人提出异议、处理者核实的行文逻辑，目前的主要观点认为核实程序启动后个人应当针对个人信息更正权的成立要件及双方作为权利义务主体的适格性，向个人信息处理者提供相关材料，承担初步的证明责任。对此，需要提供的证明材料主要包括：（1）个人身份信息，在代理他人主张时还需要提供被代理人的身份信息和代理权限证明；（2）要求更正的个人信息处理状况；（3）正确的个人信息内容及更正理由。此外，对于成立抗辩的相关事由，应当由个人信息处理者承担举证责任。同时，基于《个人信息保护法》第50条要求个人信息处理者构建便捷受理机制的规定，至少可以认为部分特定的个人信息处理者事前还应公示启动行权程序所需的材料范围和范例。接下来的问题是，个人提交的相关材料对于前述事项的证明需要达到何种程度，才能够认定个人信息处理者应当履行更正义务？
    首先，关于“核实”的内涵一直存在形式审查与实质审查的争议。有学者认为，此处的“核实”应当是形式审查，只要更正权的主张者身份适格，没有“一眼可见”的错误，个人信息处理者即应予以更正、补充。这种解释显然与“核实”的文义相冲突，“核实”一词本来是指“审核是否属实”，强调对内容是否属实予以审查，而不是简单的形式审查。从《民法典》第1025条和第1026条的规定来看，“核实”的内涵也并非形式审查。由此产生的问题是，如果此处的“核实”是实质审查，那么该种实质审查的标准又应如何界定？
    由于个人信息更正权的行使并非诉讼程序，所以原则上不应采取与一般民事诉讼程序相当的高度盖然性标准，否则可能会导致个人行权的成本过高，相较于诉讼程序而丧失优势，削弱其独立意义，这不符合提供多元纠纷解决方式的整体思路。因此，个人信息更正权行使中的审查标准应当低于一般民事诉讼的高度盖然性的证明标准。另外，更正权行使中的“核实”与《民法典》第1195条规定中所涉及的核实类似，均是请求权非诉行使程序中的核实，故可以采取与之相同的核实标准，即初步证据标准。《民法典》第1195条中的初步证据标准作为实体胜诉证据要求，主要被认为是“一般可能性”标准，即在形式审查之外，基于一般判断能力进行实质审查并排除明显不能证明相关事项的证据后，相关证据仍然可以令一般理性人相信相关主张有成立的可能性。也有学者认为，初步证据标准应当不低于“可能性较大”标准，即采取更严格的理解。个人信息处理者作为审查人应当严格按照相关标准来确认个人的异议和更正请求是否成立，并及时作出回应。
    （三）个人信息处理者的义务
    1.及时回应义务
    《民法典》第1037条与《个人信息保护法》第46条对核实后的更正作出了“及时”要求。有学者指出，“及时”不仅是要求及时更正，而且是在权利行使的整个程序中，个人信息处理者的所有回应都应当及时。从逻辑上来看，如果行权程序中的核实等中间环节不及时，那么处于程序末端的更正就不可能及时，所以对末端的及时要求，似乎本身就隐含了对中间流程都应当及时的要求。可能正是基于该逻辑，学者才将提出异议与请求的时间点界定为及时更正时限的起算点。这样一种及时更正时限的设计，实际上是通过整个程序周期的时间限制来倒逼前端流程的及时完成，从而不用对每个环节都一一规定时限，这也在一定程度上赋予了个人信息处理者灵活控制时间的自由。
    由此，个人信息处理者及时回应的义务也就转变为严格遵循更正权行使程序的时间周期限制，在整体时限内完成审核、回复、更正等各种回应行为。我国《民法典》《个人信息保护法》并未采取欧盟《通用数据保护条例》（GDPR）的做法，即划定统一的、作为最低标准的时间周期限制，而是在一些特别规定中对此提出明确要求。例如，《征信业管理条例》明确规定了20日的期限，《App违法违规收集使用个人信息行为认定方法》则规定了15个工作日的期限。对于其他领域内个人信息更正权的行使，上述两个期限具有参考意义，可以比照相关信息处理者与App运营者的异同、具体信息处理行为与征信信息处理的异同，来界定一个恰当的时间周期限制。
    虽然《民法典》《个人信息保护法》只强调及时更正，但在核实结果为更正请求不成立时，该程序的结局显然是个人信息处理者拒绝更正。因此，及时回应实际上还包括向申请人说明拒绝的理由，对于及时说明拒绝理由的要求，在解释上应当认为同时也包含了由个人信息处理者对抗辩事由承担举证责任的意思。因此，由个人信息处理者承担举证责任或者作出拒绝更正的决定和说明也需要符合整个行权程序的时间周期要求。
    2.对错误个人信息及其直接副本的更正义务
    在核实存在错误的个人信息后，个人信息处理者就应当及时更正个人信息，但更正的对象是否仅限于个人要求更正的个人信息，还是说只要存在相同错误的个人信息且处于个人信息处理者的控制之下，个人信息处理者都要予以更正？对此，《民法典》《个人信息保护法》均未明确规定。如果承认个人信息处理者对存在相同错误的个人信息都要负担更正义务，那么个人信息处理者就得全面检索其所控制的所有个人信息，也就是在个人所主张的特定个人信息之外，核实是否还存在个人尚未发现但有相同错误的个人信息。这样一种宽泛的自我审查，对于处理大量信息的个人信息处理者而言几乎难以承担，而且会大大降低信息利用和处理的效率，所以应根据“更正成本显著高于收益”的成立抗辩事由予以对抗。
    《民法典》《个人信息保护法》将更正错误个人信息规定为一项个人的请求权，而未承认个人信息处理者有主动更正的义务，这体现了立法者不愿意让个人信息处理者一般性地负担广泛的积极审查和更正义务的立场。因此，原则上个人信息处理者仅应当更正个人请求更正的有错误的特定个人信息。除此之外，对于由错误个人信息直接复制而产生的信息副本，由于比较容易被定位和发现，也能够推知个人有请求更正的意思，为避免重复主张权利和错误信息的传播，个人信息处理者对这些信息副本也应当承担更正义务。
    3.停止非存储行为和对异议信息加以标注的义务
    在进入核实程序之后、作出核实结果之前，个人信息处理者还可能承担停止非存储行为和对异议信息加以标注的义务。首先，《个人信息保护法》第44条关于个人信息限制权的规定，实际上赋予了个人在核实过程中请求个人信息处理者停止非存储行为的权利，以避免继续处理错误个人信息给个人造成扩大性的不利影响。停止非存储行为是以个人行使个人信息限制权为前提，并不构成应当主动履行的义务。与此不同，对于个人信息更正权的行使，个人信息处理者可能要主动承担标注异议信息的义务。
    《征信业管理条例》第25条第2款规定，个人信息处理者在核实阶段应当对相关信息作出存在异议的标注，在确认不存在错误后则应当取消异议标注。该标注义务并不以个人请求标注为前提，一旦进入更正权的行使程序，个人信息处理者就要主动履行。由于征信信息会对个人的经济活动产生重大影响，基于审慎态度，要求个人信息处理者主动标注以避免潜在错误造成严重不利影响，有其合理性。但后续出台的《民法典》和《个人信息保护法》并没有将《征信业管理条例》中的主动标注义务予以一般承认，毕竟并非所有的个人信息都像征信信息一样会对个人切身利益产生重大影响。然而，对于那些与个人征信信息类似的个人信息，如决定升学、医疗、就业机会等与个人切身利益密切相关的个人信息，则应当承认个人信息处理者有主动标注的义务。
    （四）权利行使的运行监督
    在个人信息更正权的行使过程中，个人信息处理者作为核实者和更正义务的承担者，既是裁判员又是运动员，这导致个人信息更正权的行使存在比较明显的代理成本问题。如何控制代理成本，实现对权利行使程序的有效监督，进而规范义务履行、惩治徇私舞弊，可以说是个人信息更正权行使过程中需要解决的重大问题。实际上，私法中由当事人自己实施的自助行为都存在类似问题，如网络侵权中的“通知删除”程序。甚至像正当防卫等私人救济制度，也存在由当事人充当临时裁判者而产生的代理成本问题，极易产生合法性认定争议。对此，由司法机关开展事后监督最为常见，但其事后性和潜在的诉讼成本可能导致监督不足或不及时，所以常常还需要由行政机关实施事前与事中监督。
    就个人信息更正权的行使程序来说，在个人认为个人信息处理者未按要求核实并导致其更正权难以实现的情况下，可以提起个人信息侵权诉讼，通过法院的事后监督来纠正不法行为或者错误认定。同时，《个人信息保护法》第60条、第61条明确了行政机关对于个人信息保护有监督管理的职责，包括“接受、处理与个人信息保护有关的投诉、举报”“调查、处理违法个人信息处理活动”。因此，个人也可以向有关行政机关投诉，由行政机关调查、处理，通过行政措施或行政法律责任来纠正和救济。《民法典》第1196条中“可以向有关部门投诉或者向人民法院提起诉讼”的规定，也从侧面支持了前述理解。与向法院提起诉讼一样，个人向行政机关投诉也是在行使个人的公法请求权，请求行政机关确认相关事实、保护个人信息更正权指向的个人利益。如果对行政机关的处理结果不满意，还可以进一步请求行政复议，这构成了投诉与举报的根本差别。
    四、个人信息更正权的定位
    至此，本文完成了对个人信息更正权的成立及行使规则的具体阐述，明晰了个人信息更正权的具体效力，以此为基础，也就能够进一步思考个人信息更正权在既有民事权利和民事责任体系中的定位，并反思和协调它们之间的关系。
    （一）个人信息更正权作为防御请求权
    如前所述，个人信息更正权是有名人格权衍生出的人格权请求权，其在成立上采取了“成立要件+基于利益衡量的例外检验”的模式，并且有一套具体的权利行使规则，以实现个人参与个人信息处理活动的积极自由精神，而这种具有积极内容的权利，在其性质上并非不能跟防御请求权理论相融洽。防御请求权是为保护原生权利下的利益归属关系而衍生出的权利，其所指向的“妨害”，无论是已经发生的还是将要发生的，本质上都是对原生权利下利益归属关系的违反。因此，个人信息更正权能否纳入防御请求权的范畴，根本上还是要准确理解和认定“妨害”，明确原生权利下的利益归属关系到底是什么。个人信息更正权作为衍生权利，派生于个人信息权这一原生权利，而抽象的个人信息权确立了个人对其个人信息上各种使用利益的原初支配秩序，以便个人得以控制自身社会形象的呈现。从这一功能定位出发，凡是不符合个人要求和预期、没有合法权限而处理个人信息的不法行为或不法状态都构成对个人信息权的“妨害”，从而可以主张防御请求权。
    这样看来，即便是促进个人参与个人信息处理活动的个人信息更正权，在根本上也还是为了排除错误个人信息这一违背授权预期及不具有合法权限的不法状态，故可以将其认定为防御请求权。在传统理论中，有学者承认人格权请求权属于防御请求权。虽然个人信息更正权在成立上存在例外的利益衡量检验，但这并不能作为否定其防御请求权定位的绝对理由，因为无论是在理论上还是司法实践中，传统的防御请求权在成立上也都存在基于利益衡量的抗辩事由。个人信息更正权作为防御请求权的主要问题实际上是如何与个人信息删除权进行界分。在个人信用信息出现错误的情况下，有的法院直接认为相关处理行为构成违法侵害，故成立个人信息删除权，个人可以直接要求删除相关错误个人信息。也有法院认为当个人信息错误时，最终成立的仍然是个人信息更正权，只是“更正”本身就包含了删除错误信息的内涵，所以仍然以更正权作为删除错误信息的基础。还有法院则似乎有意回避该问题，在裁判结果中使用了“消除”错误信息的表述，从而避免清晰界定删除的法律基础到底是删除权还是更正权。
    个人信息更正权与个人信息删除权虽然都属于排除妨害的防御请求权，但两者仍然有很大的差别。首先，所要排除的妨害不同。如前所述，个人信息更正权指向个人信息因“错误”“不准确”“不完整”等个人信息瑕疵而导致信息处理行为超出合法权限范围的妨害状态。个人信息删除权所排除的妨害则更为宽泛，包括了所有没有合法权限的信息处理行为。因此，个人信息删除权所要排除的妨害包括且大于个人信息更正权。其次，正是因为排除的妨害不同，导致两种权利排除妨害的方式也不相同。个人信息删除权排除妨害的方式为“删除”，是指通过在存储介质上物理性地去除特定的个人信息以排除妨害。个人信息更正权所指向的“更正”虽然也有“删除”的含义，即对于内容错误的个人信息也应在存储介质上予以物理性的删除，但其同时也明确存在一项特别的权限：个人信息的内容错误一旦得到纠正，对于纠正后的、内容准确的、新的个人信息，个人信息处理者仍拥有合法的处理权限。这是因为更正权所要排除的妨害仅仅是超出合法权限范围的错误个人信息，正确的个人信息仍然可以被既有的合法权限所涵盖，当然可以继续处理。
    除此之外，由于“更正”概念指向“改换”“改动”，不是什么都去掉，而是要用正确的替换不正确的，强调正确的个人信息要予以保留。因此，个人信息更正权似乎还意味着对正确的个人信息不仅可以处理，而且是应当处理，包含了必须用内容正确的个人信息去替换内容错误的个人信息、实施特定处理行为的义务内涵。从这个意义上看，个人信息更正权作为一种请求权，其所请求的事项不仅仅是删除，而且还包括了处理（删除之外的处理行为），以此来达到替换、改正的效果，这不仅构成了更正权与删除权最为根本的区别，也是个人信息更正权积极自由精神的体现。
    综上所述，由于删除权所排除的妨害包括且大于更正权所排除的妨害，所以在个人信息错误时，可能会发生删除权和更正权的竞合，个人既可以主张删除权也可以主张更正权。不过，个人信息更正权较删除权而言会使个人信息处理者负担更重的义务：一旦确认既有的个人信息存在错误，不仅要删除错误信息，而且还要用正确的个人信息替代错误的个人信息，对正确的个人信息加以处理。更正权的该种特殊功能，使其在征信服务这样一种个人信息处理目的实现对个人具有积极意义的领域十分重要。在相关司法实践中，实际上个人所要求的也是用正确的个人信用信息去替代错误的个人信用信息，这样才能真正破除由征信信息错误而带来的融资障碍，故其主张的实质上是个人信息更正权，而非个人信息删除权。
    （二）个人信息更正权作为民事责任
    如前所述，个人信息更正权作为排除妨害的人格权请求权，是一种防御请求权并采取了“成立要件+基于利益衡量的例外检验”的模式，所以不能将其作为《民法典》第1167条下的广义侵权责任。但这并不妨碍将其作为民事责任，因为《民法典》第179条将停止侵害、排除妨碍、消除危险的防御请求权及具有积极行为要求的赔礼道歉、恢复原状等都一概纳入了民事责任的范畴。可是，按照一般的民事责任理论，请求权可以私下通过非诉方式自助实现，民事责任则应当特指那些通过诉讼方式、由国家强制力保障实现的法律关系，所以两者存在根本差异。根据《个人信息保护法》第46条的规定及前述对行权规则的分析，个人信息更正权确实可以径直通过私人之间的核实程序来实现，并非必须通过诉讼方式。这与网络侵权中的“通知删除”制度相似，构成一种自我救助制度。如此，似乎又不能认为个人信息更正权是民事责任。
    请求权和民事责任泾渭分明的区分观念，忽视了请求权与法律责任的内在联系。权利概念本身就要求有国家强制力的保障，与其说防御请求权不是法律责任，不如说法律责任是请求权作为权利的本质体现，是请求权与诉讼相联结的产物。公法权利理论更是一针见血地指出，通过私人之间自我救助实现的请求权是私法上的请求权，这种私法请求权作为一种“可为”，其总是受到公法上要求国家机关（司法机关、行政机关等）予以确认和保护的公法请求权，也即“能为”或者说法律责任的保障。因此，当我们说个人信息更正权是民事责任时，其实是在传达这样一种观点，即个人信息更正权除了私下直接请求实现的效力外，也可以通过请求法院、行政机关保护而得到实现，进而衍生出配套的公法请求权，具有公法上的效力。由此，将个人信息更正权作为民事责任，不仅符合《民法典》第179条的立法精神，而且该种民事责任所嫁接的公法请求权为个人信息更正权的实现提供了公法上的保障基础。如前所述，在个人信息更正权的行使过程中，个人可以请求法院或者行政机关介入自助行权的过程，从而解决权利实现的监督问题。
    虽然个人信息更正权是一种民事责任，但这并不意味着《民法典》第1037条作为个人信息更正权的特别条款，可以在侵害其他人格权时作为人格权请求权的一般基础。从条文内容来看，《民法典》第1037条本身并不属于有关侵害人格权的一般性规定，而是为了保护个人信息权，针对“个人信息有错误”这一特定情形，通过“更正”来排除妨害的特别人格权请求权。当侵害姓名权和名誉权时，产生的妨害不是处理的个人信息有瑕疵，而是造成了姓名使用的混乱或者不公正的名誉评价，此时人格权请求权的基础和构成与个人信息更正权不同。正因如此，对姓名权和名誉权提供救济，显然不以“更正个人信息”为限，而可能需要采取更广泛的“停止侵害、排除妨碍、消除危险、消除影响、恢复名誉、赔礼道歉”等措施。在司法实践中，以个人信息更正权作为名誉权、姓名权被侵害时的人格权请求权基础，是错将特殊规范当作一般规范，并不妥当，而应当根据名誉权、姓名权的特别规定来主张相应的人格权请求权。更重要的是，如前所述，关于人格权请求权的成立应当区分三种基本的人格权类型：与“人身安全”相关的绝对人格权、与“人身安全”无关的有名人格权、与“人身安全”无关的无名人格权，这三种人格权在人格权请求权的成立认定上有显著差异，将个人信息更正权的特殊规范当作其他人格权请求权的一般基础，会导致认定标准的错配，从而违反人格权类型化区分保护的立法本意。
    五、余论
    人格权请求权是我国法律中颇有特色的重要创造，也是《民法典》人格权编独立成编的主要法技术支柱，但就其特点、功能、适用等问题仍存在较多争论。对个人信息更正权的详细阐释，需要从微观视角解析特定人格权请求权在适用过程中的特征、要求和效果，自下而上地为人格权请求权制度的理解和完善提供具体经验和现实支撑。因此，本文不仅是为了解决个人信息更正权具体适用的问题，而且也希望透过这种新型人格权请求权适用问题的系统分析，展现和探索人格权请求权作为防御请求权和民事责任的独特之处，深刻揭示《民法典》的体系特征。《民法典》对人格权的区分保护立场及其第998条的利益衡量规则，使个人信息更正权应当采取“成立要件+基于利益衡量的例外检验”模式，这构成了人格权请求权与侵权责任的重要差异，也使个人信息更正权在成立上存在“更正成本显著高于收益”的特殊抗辩事由。不仅如此，在个人信息更正权行使规则的设计中，基于比例原则的成本收益均衡要求，实际也是分配举证责任、设置义务负担所要考虑的核心要素。因此，《民法典》第998条确立的利益衡量标准和思维，对衍生于非物质性人格权的人格权请求权，以及对这些人格权请求权的实现过程，都具有深远的影响。此外，从个人信息更正权行使过程中监督问题的解决来看，《民法典》第179条将人格权请求权作为民事责任，承认人格权请求权具有公法请求权的效力，这对于保障人格权请求权的实现来说也意义重大。
    作者：萧鑫，中国社会科学院法学研究所副研究员，中国社会科学院大学副教授，硕士生导师。
    来源：《现代法学》2025年第2。