（一）数据处理活动的“关系合同”释义
法经济学家用“关系合同”描述一切具有关于未来合意性质的合同，即交换和关系应时而变的长期合同。数据处理活动符合关系合同的特征。从学理上看，关系合同是典型的不完全合同，承认长期关系中个人意志的局限性。从效用来看，关系合同在数据处理活动中可以实现不低于完全合同的收益。各方可以将各个阶段的不同共识以不完全合同的形式固定下来，并使其在某一特定时期内无限接近于完全合同，在长期运营的过程中实现超过完全合同的效率。
（二）个人信息保护法介入数据处理活动的正当性
个人信息保护法介入数据处理活动的正当性体现在两方面。其一，个人信息保护法以极低的谈判和履行成本为交易各方提供了一套普遍接受的规则及实施机制。关系合同的长期性将放大个人意志的局限性，如数据主体多少存在的认知局限和思维惯性、数据处理者“自觉自愿”的诱导进路等。其二，个人信息保护法为数据处理活动中居于弱势地位的数据主体提供托底性保护。关系合同履行过程中，数据主体面临无法举证数据处理活动中某些隐性且不直接的损害、资金和实力不敌数据处理者等困境。因此，无论数据主体和数据处理者的初始合意多么充分，必须保留某些强制性的规则，当事人的合同自治并不能排除个人信息保护法中的部分强制性规则。在关系合同的向度内，个人信息保护法具有引导数据处理活动的可能，个人信息保护法的存在，奠定了关系合同之于完全合同的相对优势。
（三）关系合同视角下个人信息保护法的功能定位
准确理解个人信息保护法在数据处理活动中的功能定位，需引入“所有权-控制权”模型。“所有权—控制权”模型在数据处理活动中可演绎为：各方的事后绩效，取决于他们在多大程度上得到了关系合同的允诺收益。在数据处理者强、数据主体弱的基本格局下，缔约方难以碰撞出最优的合同状态。此时，个人信息保护法的衡平功能得以凸显。一方面，个人信息保护法通过赋予数据主体各类“反制手段”，激活不完全合同的“互报”机制，促进关系合同预期收益的实现，如“个人信息自决”观念下的知情权、获解释权、拒绝权、更正权、删除权等。另一方面，个人信息保护法中的各项强制性条款，从根本上弥补了关系合同缔约阶段的缺陷，如《个人信息保护法》第49条对丧失行为能力或死亡的数据主体之近亲属相关信息权益的规定。
关系合同理论框架下，个人信息保护法本质上是一个不断发展完善的开放式合同，数据处理活动的各参与方在利益驱动下对个人信息保护法的规则“生产”施加着正向或反向的影响。个人信息保护法等实体法律可以被视为数据处理合同规则的延伸，即数据处理合同的特殊形式。但无论如何，个人信息保护法的主导价值取向是完善，而非替代数据处理活动中当事人之间的自由协商。
（四）个人信息保护法正当性维持的适应性品质
立法机关颁布个人信息保护法只是使其获得了短暂的、表面上的合法性，个人信息保护法的长期和实质合法性源于其迅速迭代的适应性品质。其一，根据环境因素的差异作细微的制度性调整。从外观看，多国均通过“脱离自动化决策权”的权利设计来解决人工智能的权力宰制问题，但其所遵循的路径和规则实施绩效却多有差别。其二，规则的不断演进。有助于减少交易成本、衡平弱势方和优势方地位悬殊的保护性条款，将不断被采纳、优化直至发扬光大，如“告知—同意”框架的形成。个人信息保护规则作为法律制度必须直面游走于法律边缘的技术创新，顺应数据处理活动的变化并从中自得其所。
在强监管形势下，治理科技的兴起将给数据处理活动带来三个方向的流变。其一，从零和博弈向合作共赢转变。其二，从“中心化”向“去中心化”转变。其三，由直接关联向模糊关联转变。技术适用导致的数据处理活动流变，将给关系合同的执行带来四重挑战。
（一）致使关系合同后续修改机制失效
后续修改机制是关系合同逐步趋于完善、依次达成合意从而更有利于当事人的基本保障，争议的焦点在于关系合同的后续修改机制是否应当受到法律规则的限制。对此，我国的回应较为“暧昧”。《个人信息保护法》第14条乍一看回应了法律保护的忧虑。然而事实上，对于数据处理者的“告知”，第17条规范事项并未涉及数据处理活动的潜在风险等数据主体真正关心的内容，且数据主体往往既无时间、也无能力真正阅读、理解条款。《个人信息保护法》第14条、第17条的规定实际被架空。我国的“告知—知情—同意”框架不能保证数据主体真正知晓合同的主要内容以及合同变更的真实目的，告知和知情存在“断层”。由于数据主体通常在事实上根本不具备预判规则修改后续风险的知识储备，在事实上不可将其视为毫无瑕疵、合意充分的契约行为，必须承认初始合同和后续合同修改在正当性层面的区别。
（二）导致无法通过量化手段趋近完全合同
数据处理合同的关系合同属性源于其存在数据主体能够大致预料当前行为将给未来造成的后果，与无法通过缔结合同的方式来防止数据处理者在未来对合同条款的预期滥用之间的矛盾。借助外部收益量化机制，最优的数据处理合同是从与各种预期收益相对应的且数据主体在事前可描述的一系列收益到行动结果的映射。但是数据处理各方未来收益预期的可量化，是在数据处理活动的本质没有发生变化的前提下实现的，技术变革导致的数据处理活动的流变不同程度破坏了这一前提。
（三）加剧关系合同中剩余权利分配失衡
依照能否在合同中进行明确规定，交易中的权利一般分为特定权利和剩余权利。在数据处理活动中剩余权利几乎被“一刀切”地配置给了数据处理者。对此，合宜的做法是一方支付对价将另一方买断，通过设置合理价格将剩余权利配置给数据处理者。然而，数据处理活动的流变增加了剩余权利的定价困难。《个人信息保护法》第58条虽在一定程度上矫正剩余权利的失衡，但在保护特定权利方面“刚性有余”，在平衡剩余权利方面却“柔性不足”。
（四）造成传统责任机制虚置和颠覆
数据处理活动的流变打破了“数据处理者—数据主体”的二分法和“数据处理者—数据控制者—数据主体”的三分法的归责机制。这些归责机制无法准确描述网状关联的法律关系，数据处理的层层委托经常演化为“层层甩锅”，致使责任主体虚化。
以上四方面挑战共同揭示了如下应对原理：其一，政策制定者宜通过多样化、去中心化的规制手段从源头构建技术正当程序；其二，应回归关系合同的基本属性，以缔约各方互信互惠的良性关系取代过于简单的机械化规则；其三，基于权利制约和尊严保障的法治理想追求，激励相容路径下关系合同的改良，从而有助于框定数据处理活动的流变边界，补全临界状态中动态规范的暂付阙如。
（一）赋予数据主体对过程信息支配权
对过程信息的独占，是数据处理者享有更强“谈判力”的根本原因。各国常见的“处理数据为提供服务所必需”的但书规定，大幅削弱了数据主体拒绝授权的底气。数据主体能否主张对过程信息的完整或部分权益，取决于其能在多大程度上被视为个人信息。目前在司法实践中尚属争议。对此，应当承认过程信息的个人信息属性，认可数据主体对过程信息享有支配权。当数据主体拒绝授权或撤回同意时，数据处理者便不再享有对过程信息的独占权。为此，亟须动态的“告知—知情—同意”框架与之配合，在关键节点就具体事项“不厌其烦”地“详细告知”和“请求同意”，仅在个别情形设置授权请求豁免。
（二）补充善意、勤勉的数据处理原则
数据处理者的“善意”主要体现在三个方面：其一，不得将自身的短期利益置于数据主体利益之上，不可因数据处理活动范式的转变趁机监管套利，在数据处理的全流程禁止自我交易；其二，在模糊保证的用户协议之外，数据处理者应主动履行信息披露义务，确保数据主体对数据处理活动流变方式和潜在危害“真实知情”；其三，不得对数据主体的弱点或软肋进行不受控制的“战略性滥用”。
数据处理者的“勤勉”也体现在三个方面：其一，推定数据处理者对新型数据处理活动的潜在危害“应当知道”；其二，数据处理者应正确、积极履行事前安全保障义务、事中风险评估义务和事后损害消除义务；其三，在必须使用新兴、复杂、疑难技术时，数据处理者必须力所能及地理解并避免其潜在风险。
（三）平衡关系合同中的剩余权利分配
未来个人信息保护法应当更加注重对剩余权利分配的平衡，确保占有剩余权利收益的数据处理者对剩余权利之于数据主体的潜在收益给予充分补偿。相关部门应当让数据主体充分知晓数据处理活动中剩余权利所蕴含的法益。我国也应通过强制性条款禁止如下剩余权利滥用行为：一是滥用信息优势地位压榨数据主体的行为；二是“卡脖子”式的合同束缚行为；三是将专属人格权益或个人隐私进行商业化利用的行为；四是显失公平或违反伦理道德的行为。
（四）构建多层级、多维度的责任体系
应对数据处理活动的流变，基于合同相对性的责任承担应当让位于基于合同连锁性的责任分配。主导方责任、参与方责任、技术方责任和监管责任共同构成了未来适用的责任框架。我国现有法律规定已经能够基本做到数据处理活动的“全过程留痕”，使得更加精细的责任分配成为可能。技术方与主导方通常归属于同一主体，是多方安全计算、联邦学习的主要发起人，应当对隐私安全防线崩溃、参与方把关不严、算法偏见和其他潜在技术风险承担主要责任。少数情况下，技术方与主导方不属于同一主体，除例外情形，应由技术方对数据处理流程中的安全缺陷和目标偏离负责。不过，数据处理活动流变的潜在危害，各参与方均处于责任链条的最前端，数据处理者可依法向其他参与方、技术方和主导方追偿。
时至今日，对个人信息的合理使用仍然缺乏一个被普遍接受的标准，“合理”在不同的数据处理活动中有着大异其趣的解释空间。面对数据处理活动的流变，个人信息的“合理使用”取决于个人信息保护法能在多大程度上保障：其一，因数据处理范式的转变导致的关系合同变更，不能使数据主体境遇更差；其二，无论数据处理活动如何流变，数据处理者的处理行为符合善意和勤勉的基本要求；其三，在实现数据要素价值释放的同时，加强数据主体对过程信息和剩余权利的匹配和控制能力。
（本文文字编辑颜佳怡。本文未经原文作者审核。本文为中国民商法律网“原创标识”作品。凡未在“中国民商法律网”微信公众号正式发布的文章，一律不得转载。）
