数据控制者概念表明，个人信息保护法的义务主体具有特殊性，不是“任何组织或者个人”这样的一般主体。美国《加州消费者隐私权法》规定的义务主体（经营者）必须具备以下条件之一，否则不属于法律规定的义务主体：（1）年营业额超过2500万美金；（2）每年为商业经营目的购买、接收、出售或者共享个人信息超过5万份；（3）年营业额中超过50%的收入来自出售消费者个人信息。同样，欧盟《一般数据保护条例》对义务主体进行了多重区分处理，以体现义务主体的特殊性，包括：（1）为学术、艺术与表达目的而处理个人信息的，可以克减或者排除适用条例的规定；（2）对于数据控制者、处理者的数据处理活动记录义务，一般不适用于雇员数少于250人的企业或者组织，除非另有法定情形要求；（3）数据控制者或者处理者有下述3种情形之一的，才应指定专门的数据保护官，即除法院以外的公权力机构处理数据，控制者或者处理者的核心业务要求经常性、大规模监控数据主体，控制者或者处理者的核心业务要求大规模处理条例第9条规定的特定种类个人数据或者第10条规定的刑事犯罪个人数据。

　　人格权在性质上属于对世权，对应的义务主体是普遍的，任何组织或者个人都是义务主体，都不得侵犯他人的人格权。由于隐私具有不愿为人知晓的特点，任何组织或个人都不得传播他人的隐私，都是义务主体，没有排除或者克减适用之说。相反，个人信息保护法的义务主体往往是特定的、分层的，是个人信息控制者，不是一般的义务主体，通常不可能是个人，在性质上类似于对人权。

　　如果按照人格权套用并泛化界定个人信息保护法的义务主体，就会出现比较荒谬的结果。这是因为，只要有社会交往，就会彼此产生个人印象，这个过程是自然发生的过程，是信息主体给交往对方留下的印象。每个人在交换过程中，随时都在获取交往对象的个人信息，或者主动或者被动。因此，一般社会交往中的个人信息与其说是“获取”，不如说是“印象”的自然生成。对于印象的产生、转达、传播，一般都属于个人生活与社会自治范畴，法律不需要介入，更谈不上所谓“同意”“依法取得”“非法收集、使用”等法律界定。一个人在大脑中形成的印象，是自己的事，不能说其形成一个对方“夸夸其谈”“猥琐”“虚伪”等负面评价，或者“英勇无畏”“真诚耿直”“美丽大方”的正面评价，以及将这种评价分享给朋友或者社会，就是在非法使用、加工、传输他人的个人信息。社会交往中的印象形成，并不是获取的过程，既与同意无关，也与法律无关。《民法典（草案）》第1035条移植了《网络安全法》第41的规定，要求收集、处理个人信息的，应当遵循合法、正当、必要原则，并明确了相应的条件。问题在于，《网络安全法》的义务主体是网络运营者（相当于个人信息保护法中的个人信息控制者），是特定义务主体，而该条的义务主体并不明确，按照通常理解应该是总则规定的一般义务主体（任何组织或者个人）。将适用于特定义务主体的要求推广到一般义务主体，结果就会非常荒谬，与生活常识不符，导致的问题是义务主体错位以及连锁的各种错位，其适用会遇到难以克服的障碍。

　　民事立法一直用传统隐私权观念来构筑个人信息保护法律制度，一是直接将个人信息作为保护客体，二是将义务主体界定为“任何组织或者个人”，存在明显的保护客体泛化与义务主体泛化双重弊端。这样一来，既使个人信息究竟是权利还是权益陷入无休止的争论之中，不可能有确定的答案，也使诸如“收集者”“控制者”等概念与传统的“任何组织或者个人”概念并列，相互关系无法理顺，并产生与常识相悖的推理结果。

（本文源自网络，如有侵权，请联系删除）