[23]1983年制定，1989年、1999年、2006年先后三次修订。
在当代社会，一国的最高法院要面临着各种复杂而又高度争议的诉讼。但托马斯的「宽深」判决意见，赋予了反同性恋的宗教人士在商品上注明「本商品不向同性恋出售」的权利。
二是某一种法学理论或学者学说可能会一时盛行，但流行的理论将来有受到质疑甚至被推翻的可能，一旦被后来新的法学理论推翻或司法实践证明其错误，意味着法官要因此承担相应的个案错判风险或司法伦理责难。如果依照托马斯法官的释宪理路进行类推，所有的宗教信仰者均有权在商品上注明：因宗教信仰原因，谢绝同性恋者购买。即菲力普斯有权拒绝制作同性结婚蛋糕，但不得拒绝出售普通的蛋糕或其他制品。金斯伯格法官在反对意见中，倾向于由菲力普斯承担举证义务，本案的原告未能证明为同婚者制作普通蛋糕影响到宗教表达自由，原告也不能证明科州行政听证会上两名委员的不当发问直接影响到科州行政处罚结果的公正性，所以支持被告方。 一、「杰作蛋糕店诉科罗拉多州民权委员会」案简要与争议焦点 美国科罗拉多州于2007年对《反歧视法》进行修订，禁止政府与商业经营者以性倾向为由歧视同性恋者。
《反歧视法》明显偏向同性恋群体的权利保护，菲力普斯可以拒绝在蛋糕上书写「同性恋将会下地狱」的订单，但却无权拒绝书写「上帝保佑同性恋」的同性结婚蛋糕订单。或者两名同性恋想要购买杰作蛋糕店展示窗内已经做好的蛋糕，菲力普斯也不得拒绝。因此，个人信息处理者违法处理个人信息侵害的是信息主体对自身信息的自决权、控制权。
原告的权利行使行为对行政机关在大规模存储个人信息后及时将其删除起到了一定的监督作用。[30]参见云南省昭通市中级人民法院行政判决书,(2019)云06行终82号。但是，在个人信息保护法的框架之下，基于风险规制的目标，有必要让作为信息主体的个人充分知情、参与，对行政机关违法处理个人信息的行为及时纠偏。代表性案例如尚某某诉如东县民政局婚姻行政登记案。
如果此类活动降低了当事人的社会评价，造成了其实体性权益的实际减损，则当事人可以提起行政复议或行政诉讼，请求审查机构确认行政机关公布个人信息的行为违法。目前，我国《个人信息保护法》在第六章专章规定了履行个人信息保护职责的部门,设置了个人的投诉、举报机制(第65条);在第七章法律责任中规定了国家机关及其工作人员不履行个人信息保护义务所应承担的法律责任(第68条)。
[30]在这类情形中，在不妨碍行政机关履行法定职责的情况下，为了规制个人信息处理风险，监督行政机关遵守个人信息处理规则，信息主体可以向处理其个人信息的行政机关主张行使查阅、更正、删除等个人信息主体权利，并在权利行使遭到拒绝时寻求行政救济，要求处理其个人信息的行政机关履行配合义务。对行政机关侵害个人信息权益的行为设计救济机制与设定法律责任，要结合个人信息处理活动的特点展开。因此，行政机关的处理活动往往具有高权性、强制性的特点。在间接救济维度，在行政机关利用个人信息作出行政行为后，信息主体可以针对该行政行为寻求救济，由法院或行政复议机关对个人信息处理行为的合法性进行判断。
[41]在此基础上，完善间接救济路径与直接救济路径之间的衔接程序，从而及时、高效地救济个人信息权益，促进行政行为合法性审查机制与个人信息主体权利救济机制之间保持审查结论一致。[45]在法院看来，原告质疑的福利决定的合法性问题(包括是否遵循个人信息处理规则、是否满足程序合法的要求)已经得到了终局性判定。也就是说，应将刑事案件中被告人及其辩护人享有的查看和质疑证据的程序性权利延伸到所有的个人信息处理活动中。由此，通过否定行政机关利用个人信息作出的这一行政行为的法律效力，可以彰显个人信息权益的程序价值，并使得信息主体的被减损的实体性权益得到恢复。
[8]基于此，弱势的个体更加需要的是预防性的法律保护框架，而不是形式化的、所有权式的对个人信息的排他性控制。《个人信息保护法》第50条规定：个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制。
在理论层面，针对如何评价行政机关处理个人信息行为的合法性这一问题，学界已经发表了一定的研究成果。对此，早在1972年，现代数据隐私法的奠基人艾伦·威斯丁(Alan F. Westin)在其与迈克尔·贝克(Michael A. Baker)合著的《自由社会的数据库》一书中便指出，依据正当程序原则，应保障公民有权查阅其个人信息被使用和存储的情况，从而作为一种控制政府权力的机制。
因此，不能认为行政机关处理个人信息行为的本质是侵害信息主体信息自决权的行政行为，处分的是信息主体自主决定信息处理活动的自由。[26]此外，还值得留意的一类特殊情形在于：如果行政机关在调查过程中要求信息主体提供个人信息，但信息主体因未履行提供该个人信息的义务而被采取行政强制执行手段，此时信息主体也可以针对该行政强制执行行为主张间接救济路径的适用。可见，其立法目标在于规制个人信息处理风险，保障个人信息处理中涉及的信息主体的实体性权益，而不是保障信息主体对个人信息的自决权。此外，在风险信息提示、模范宣传、官方辟谣、官方评级等信息公布活动中，行政机关都会针对特定主体乃至不特定公众表明意见立场，引导其行为。三、如何救济：间接救济与直接救济的基本逻辑在明确了行政活动中个人信息权益的内涵后，要回答的下一个问题是如何救济。在落实核心任务的过程中，确保个人对自身信息的控制并不是价值目标，也不是核心工具。
这一请求遭被告拒绝后，原告提起履行之诉，并被法院受理。[8]See Daniel J.Solove,A Taxonomy of Privacy,University of Pennsylvania Law Review,Vol.154,No.3(Jan.,2006),pp.506-525.[9]参见王怀勇、常宇豪:《个人信息保护的理念嬗变与制度变革》,《法制与社会发展》2020年第6期,第154页。
一些信息主体认为，这一措施不具有法律依据且安全保障不足。3.行政机关利用个人信息进行自动化决策《个人信息保护法》第24条第3款规定：通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。
相较而言，既有的司法审查程序可以直接、高效、全面地审查行政行为的合法性，充分回应原告的诉求，并使得法院的救济资源得到合理利用，因此应当优先适用既有的司法审查程序。譬如，证据已经固定，此时告知并不会导致证据的损毁灭失。
参见彭真明:《失信约束中个人信息保护模式的更迭与走向》,《当代法学》2022年第4期,第74-78页。在美国，1974年《隐私权法》的制定背景是：在水门事件之后，许多公众和政治家对政府收集数据的权力感到紧张，担忧政府建立大型数据库处理公民的个人信息带来权力滥用风险。参见王贵松:《论行政诉讼的权利保护必要性》,《法制与社会发展》2018年第1期,第147页。最后，法院在判决中一并明确了投保资格认定决定的合法性。
例如，在针对个人的声誉制裁中，必然会涉及公布被制裁者的基本信息。在该案中，虽然被告依据错误的个人信息作出的行政决定已被撤销，但是该错误的个人信息被共享导致的连锁效应并未得到系统性解决。
应该看到，失信惩戒措施的作出往往需要不同行政机关之间的信息上传、共享，如果行政机关依据被违法共享的错误或超出期限的失信信息对信息主体采取失信惩戒措施，信息主体既有可能针对该失信惩戒措施提起行政复议或行政诉讼，也可能直接向参与信息共享的行政机关提出在政务信息共享系统内删除、更正相关个人失信信息的主张。对此，哥伦比亚特区联邦地区法院指出，在该案中，原告已经有充分的机会对关于其福利决定的是非曲直进行诉讼，其不仅在行政系统内部启动了许多申请程序来质疑退伍军人管理局作出的福利决定，而且在本法院和上诉法院就这些程序的公正性问题进行了诉讼并败诉。
相比之下，行政机关处理个人信息，则是因为行政机关在履行法定职责的过程中，需要利用个人信息来行使行政职权，完成行政任务。在我国的司法实践中，也出现了类似的问题。
(一)风险规制理念下的个人信息权益保障在数字技术的支持下，大数据分析、智能算法、自动化决策等治理要素得到广泛运用，产生了新技术运用的规模效应。比如，程序效率的要求会限制个人信息主体权利的行使。[5]就此，有观点认为，个人信息权益的本质是作为基本权利的信息自决权，个人有权基于其内心自由地决定自身信息何时、何地、以何种方式被收集、储存、处理以及利用。也就是说，在直接救济的情形中，不需要存在实际的权益减损情况，信息主体便可直接行使个人信息主体权利。
对此，可以考虑以下两种应对方案：第一，可将行政行为撤销之诉与个人信息主体权利之诉进行合并审理。因此可以说，间接救济侧重于对后续行政行为的结果审查，直接救济侧重于对个人信息处理过程的风险控制。
[39]See Peter Pu?kár v.Financˇnécˇné riaditelstvo Slovenskej republiky and Kriminálny úrad financˇcˇnej správy,Case C-73/16,Judgment of September 2017,para.76.[40]参见[日]盐野宏:《行政法总论》,杨建顺译,北京大学出版社2008年版,第237页。以下，笔者结合国内外的代表性案例，对两种救济路径的基本逻辑与适用情形进行扼要分析。
此时，信息主体行使查阅权和更正权更有利于从根本上消除个人信息处理风险。[29]又如，在数字政府建设中，行政相对人的错误信息一旦被行政机关录入政务协同办公系统，会在政府内部其他机关的各个子系统中被迅速共享。