论大数据时代个人信息法律保护方式的转变 [17]
梁 屹 [18]
目 次
一、前置问题：个人信息的权利归属
二、当前我国个人信息法律保护状况及其不足
三、比较法视角下的个人信息法律保护方式分析
四、我国个人信息法律保护方式的发展与完善
五、结语
摘要：个人信息的权利归属问题至今仍存在诸多争论，而这一问题关涉个人信息法律保护方式的确定。在我国当前的立法和司法实践中，多将个人信息的权利归属于个人，并用保护私权的理念和制度来保护个人信息。通过比较法的考察可发现，德国和美国也是在私权利模式下对个人信息进行法律保护。在大数据时代背景下，个人信息具有公共产品属性，因此宜转变过往对个人信息的私权利保护方式，在协同共享理念下，确定衡量多方利益的个人信息法律保护方式。应该重新厘定个人信息的范围，改变事前的“知情同意”保护机制；在倡导信息控制者合理使用个人信息的同时，通过个人信息的去身份化和严格规范信息控制者法律责任等方式，保障个人信息的安全使用，从而实现多元利益平衡。
关键词：个人信息保护 公共产品 隐私权 个人信息自决权
大数据时代的到来，深刻改变了人们的生活、工作和思维方式。它给人类社会发展带来了很多机遇，同时也带来了潜在风险的挑战。在大数据时代下，个人信息的法律保护越发成为社会的热点。近年来，侵害个人信息[19]的事例层出不穷，如支付宝年度账单首页出现平台自动默认勾选“我同意《芝麻服务协议》”事件、百度涉嫌监听用户电话事件和“脉脉”非法抓取使用“新浪微博”用户信息事件等，均使个人信息权利受到威胁。如何为个人信息提供法律保护？以往的法律保护方式是否能有效地保护个人信息，使其免于泄露和侵害？在保护个人信息的同时，赋予网络服务提供商和公权力部门收集、使用和处理个人信息的权利是否具有正当性？
本文所要做的首先是沿着大数据时代社会变迁的脉络，界定个人信息的权属问题，然后从比较法的角度去探究，发现传统的个人信息保护理念和方式的不足，进而提出在协同共享的有机社会中应转变社会观，重新对个人信息的属性进行界定，并探索新观念下个人信息法律保护的新路径。
一、前置问题：个人信息的权利归属
对个人信息的法律保护究竟要采取何种方式？解决这个问题需先清楚地界定个人信息的权利归属。在大数据时代，个人信息的权利归属要充分考虑其公共性[20]的特点，并对网络服务提供商的商业利益进行保护，这样才能平衡多元利益。
（一）个人信息的权属争议
学术界对个人信息的权利归属有不同的看法。德国学者施泰姆勒提出的“个人信息自决权”理论认为，个人信息的权利归属于个人，由个人决定他人在何种程度上获知自己的所思所想以及行动。[21]齐爱民教授从绝对权的角度对个人信息权进行定义，认为自然人完全支配个人信息。[22]波斯纳认为，信息主体对个人信息拥有完全的产权，并可以此与他人进行交易。[23]杨芳博士认为，对个人信息应做分类，对于不重要的个人信息，可以不用赋予个人绝对的决定权和控制权。[24]曹丽萍法官认为，除了一些与自然人用户个人紧密相关的身份信息完全归属于信息主体，其他信息主体虽然参与但无法行使所有权权能的个人信息不属于信息主体，如交通监控信息。[25]梅夏英教授则将信息划分为电子数据和以传统媒体表达的信息（如音像、纸张等），认为大数据时代电子数据具有非财产性和非客体性，其难以成为民事权利的客体，无法权利化。[26]
从学者们对个人信息权利归属的界定出发，可以为个人信息权利设置出不同的法律保护方式，而不同的方式就意味着保护理念和范围不同，因此对个人信息权利归属的界定关乎信息主体是否能得到充分的保护，以及制定的法律规范能否回应时代的变迁。
（二）个人完全所有的正当性思考
若将个人信息的权属完全归个人，其实就是将个人信息权当作绝对权，然而个人信息不具备成为绝对权的条件。
首先，个人信息作为一种数据，在计算机系统中是以二进制形式表现出来的，无法具体化为特定人所控制。若是无法特定所有权的客体，就难以保证所有权的清晰性，也不符合物权公示原则，这就会让物权人之外的其他义务人难以知悉自己尊重物权的义务边界，会造成不安定性。[27]
其次，在法律上制造个人信息的稀缺性，无异于禁锢思想，阻吓交流。[28]大数据时代的人类社会不再像过去的农耕社会一样信息闭塞，而且每个人都需要通过信息的相互传播与利用才能享受大数据时代生活的便捷，若是只注重个人信息的绝对保护而忽视利用，自然人将无法享受现代社会的福利。
最后，经过加工的个人信息，若完全归个人所有将会忽视商业组织付出的相应成本，不符合公平原则[29]，也与劳动财产权理论有所冲突。洛克在《政府论》中谈到劳动财产权理论，主要观点是自然人对其依靠自己的劳动所产生的新的所得归其个人所有[30]。哲学家诺齐克则进一步地发展了洛克的劳动财产权理论，主张“对某物的劳动改善了它，使它更有价值；任何人都有权专有一个他创造了其价值的东西”。[31]这个理论恰好证明了信息控制者对收集并加工过的个人信息拥有增值部分的所有权。
（三）信息控制者完全所有的正当性思考
信息控制者（即国家和网络服务提供商）对个人信息拥有完全支配和处理的权利与个人信息需要保护的理念相冲突。
首先，通过收集信息主体零散的个人信息，再组合起来，可以恢复信息主体的生活场景，进而可以窥探到信息主体的隐私，若此时信息完全归信息控制者所有，那么信息主体将会变成“透明人”。
其次，个人信息对信息主体来说具有财产利益，若个人信息权利完全归属于信息控制者，那将是没有理由地剥夺权利人的财产，与《宪法》保护私人财产的规定不符。
最后，信息控制者完全拥有个人信息所有权，信息主体将会花费大量的成本去追踪个人信息是否正在被他人收集、处理和利用，而信息控制者将不会支付任何成本，因为其已经对个人信息拥有完全所有权。[32]这会让每个人都陷入预防个人信息被滥用的戒备，也会增加社会交往的成本，从而导致社会交往减少，并因此导致社会财富的创造减少。
（四）有限约束下个人所有的正当性分析
对于个人信息的权利归属，应综合考量各方的利益平衡，不能将个人信息权利完全归属于某一方，而应划分个人信息的类别，将个人信息的权利分配给不同的主体，以有效地保护并利用个人信息，促进有机社会发展。
首先，从公平、正义等法价值维度考察，个人信息原则上归个人所有。否则，自然人不能自主地决定个人信息能否被他人在何种情况下收集和处理，这样将会使个人人格自由与人格尊严有受到侵害的威胁，[33]而且会使个人信息的原初利益无法律上的正当原因而被他人占有，与公平、正义等法价值相悖。
其次，从商业组织对个人信息的加工层面考量，商业组织对其加工过的部分拥有合理的使用权限。个人信息往往产生于信息主体与信息收集系统的互动之中，而且这些信息被信息控制者收集起来并进行加工利用后，所产生的价值远远大于未被聚合起来并且零散地分布在每个人身上的信息，同时，这些经过加工处理后的信息又会使个人受益。[34]个人信息经过聚合后体现出来的公共性，使它可以被商业组织所利用，以便于提供个性化的服务。同时，商业组织提供给信息主体的数据产品和软件服务也是其为收集、使用和处理个人信息支付的成本。[35]
最后，从维护公共利益的角度审视，社会风险治理是公权力部门利用个人信息的正当性所在。因为社会安全事件是由人的行为所导致的，公权力部门需要根据一些个人信息对此类风险进行预测、监控和分析，将危及社会秩序的行为提前遏制住，以免发生不可挽回的后果。[36]同时，信息自由是平衡信息主体和数据控制者之间利益时需要着重考量的因素，此价值因素的理论基础为信息契约理论。该理论认为，国家和社会之所以能维系起来，主要依靠的是它对各个领域的信息的收集和传输，社会成员作为契约的一方，有必要将个人信息中的一部分权利让渡处理，从而实现公共利益的需求。[37]
综上分析，笔者认为，在大数据时代，个人信息权利的绝对归属已经不符合现代社会经济现实的需求。在信息技术高速发展的今天，每个人在互联网上不断与他人交往，网络服务提供商为信息流通创造了便利的条件，公权力部门为维护公共利益也需要获取个人信息，因此个人信息具有公共产品的特点，也即无数人可以同时共享已经公开的个人信息，并且一个人的使用并不排斥其他人对该信息的使用。[38]对个人信息的收集、处理和利用的权利，应根据一定的标准分配给不同的主体，原则上应归属于个人，因为个人信息里具有人格利益，这天然地归属于个人。根据劳动所有权理论，经过加工的个人信息，因为其叠加了个人或网络服务提供商的劳动成果，这部分成果的所有权自然归属于它，但需对这部分个人信息中能关联到具体信息主体的部分进行去身份化处理。公权力部门有维护公共利益的职责，因此但凡涉及维护公共利益的个人信息权利归属公权力部门。这样划分个人信息权利归属，可以避免绝对的保护使个人信息的公共性和商业价值无法得到呈现。正是因为权利归属的特性，立法者在分配个人信息权属时应纳入公共性考量，只有在公共性的维度去认识个人信息的性质才能更好地保护并利用个人信息。
二、当前我国个人信息法律保护状况及其不足
我国目前沿用传统的个人信息法律保护方式，也即以保护私权利的方式保护个人信息，法律规则的设计大多是以个人信息权利为个人所有为前提的，从立法和司法层面可窥一斑而知全豹，并能进而看出当前我国个人信息法律保护方式在平衡多元利益方面的不足。
（一）我国个人信息法律保护状况
我国个人信息法律保护的现状可从以下两个方面体现：第一，在立法层面，1993年到2001年之间先后出台了三部有关个人信息保护的司法解释；《刑法修正案（七）》和《刑法修正案（九）》完善并增加了一些相关罪名。2016年颁布的《网络安全法》，不仅明确规定了网络产品服务提供者、运营者的责任，而且严厉打击出售个人信息的行为。2017年《民法总则》明确规定自然人的个人信息受法律保护。此外还有大量的行政法规、部门规章等规范性文件明确规定对个人信息的保护。第二，在司法层面，2011年上海市的“王某与某物业顾问公司因一般人格权纠纷上诉案”中，法院采用一般人格权保护个人信息权益。[39]2014年深圳市的“关某某与赵某名誉权纠纷案”[40]对姓名及亲属的犯罪记录信息用名誉权来保护。从2014年《最高人民法院公布8起利用信息网络侵害人身权益典型案例》可以看出，不同的法院对个人信息的保护采用了不同的方式。
（二）我国个人信息法律保护的不足
在现实层面检视我国个人信息法律保护的不足，能够为探索个人信息保护的新路径指明方向。
1.法律文本的不完善与效力层级过低
我国目前有关个人信息保护的法律文本还是不够完善，一方面是绝对不足，即在数量上法律供给不足，具体表现为保护个人信息的法律规范碎片化。目前主要由《网络安全法》承担保护个人信息的职责，却没有一部专门的《个人信息保护法》。两法追求的立法目的、保护的利益、体现的价值都不一样，若是让《网络安全法》承担个人信息保护，将无法协调不同主体间的利益，严重时将会导致权利冲突，还会让保护个人信息的法律规范呈现出碎片化的趋势，无法在一部法律文本中形成自洽的逻辑体系。另一方面是质上的缺失，具体表现为大多数个人信息保护规范规定得过于笼统，具体操作起来很困难，无法对个人信息提供有效的保护，尤其是在《网络安全法》中，多数效力规范位阶较低，而高位阶的效力规范不多。
2.界定个人信息的标准缺乏灵活性
美国学者尼森鲍姆提出的“情景脉络完整性”理论[41]指出，个人信息保护要分具体的场景给予不同程度的保护。原因在于个人信息的范围并不存在一个“预先”的精准界定，个人信息的界定是动态的，并高度依赖于所处的具体场景。[42]个人信息数据不应以它的静态存储来定义，而应由它的流转而定义[43]，也即在具体的场景中界定。例如，在同种族的人群中，种族信息并不能识别出特定个人，但是在不同种族的人群里，种族信息就成了可识别出特定人的信息，信息利用方可据此识别出特定的信息主体。在这两种不同情况下，若能依场景的不同而作出对个人信息界定的不同判断，不仅能有效保护个人信息，还不会限制信息利用方合理利用信息。
在我国2017年公布的《个人信息保护法（草案）》中，对个人信息的界定采取了定义加列举的方式，重点在“可识别信息”层面上下定义。较之过去对个人信息界定的疏漏有了很大进步，但美中不足的是，该草案并未认识到个人信息概念的不确定性、开放性和发展性。首先，“识别”看似理解简单，但实务中争议颇多：究竟是指能够和头脑中的某个“既定”的人物形象对应，还是知道其属于特定的“某一个人”？即便并不“认识”他是谁，不知晓其“身份”。[44]其次，信息技术飞速发展，简单的列举式定义，难以穷尽未来可能出现的新个人信息类别。综上，草案中的定义会使对个人信息的界定陷入“或此或彼”的僵化局面。
3.“知情同意”的事前保护流于形式
对个人数据信息的收集、分析和处理具有即时性。[45]信息技术飞速发展，“知情同意”模式的事前保护具有滞后性，而且让用户阅读一份由格式条款组成的冗长同意书，用户无法迅速作出对其有利的正确判断，要么是用户无法使用网络平台提供的服务，要么是用户迫于无奈确认同意，这将无法真正实现“同意”。这种事前保护方式使用户陷入显著的不利局面，大大削弱了用户对其个人信息的权利，同时加重了用户及机构的负担，限制了个人信息开发及创新应用，因此知情同意作为保障个人信息基础性机制已经流于形式。[46]
现在的国际法规范及国内法律规范，但凡涉及个人信息的收集、处理、利用和传输等诸多方面，均需取得信息主体之同意。支撑这一做法的理论基础是个人信息自决权和信息不对称理论。[47]对此有学者持怀疑态度，认为这两个理论基础并不具有正当性。提高个人信息的收集、处理、利用和传输的透明度就可以消除信息不对称的问题。[48]个人信息自决权行使的前提是自然人对个人信息具有决定自由和控制能力。然而在现代社会，人们意识到个人的生存与发展越来越依赖于社会，维护社会整体的利益对每个人都有利，而社会利益的维护需要个人不得“随意自决”。[49]因此个人信息的收集、处理、利用和传输需要自然人同意的理论基础正当性需要重新审视。
4.未明确规定信息控制者对个人信息进行去身份化的义务
有机社会并不排斥信息控制者对个人信息的收集、使用和处理。若信息控制者能合理地使用个人信息，这不仅给信息控制者带来巨大的经济利益，也给消费者（包括信息主体）带来免费使用、高品质服务、快速迭代创新等各种便利。[50]信息控制者有使用个人信息为社会创造更多价值的正当性，但这并不意味着使用没有前提条件。我国有关法律中明确规定个人信息不得泄露和出售，但这个规定过于笼统。若从宽泛的层面去解释，将禁止一切个人信息利用，这不符合有机社会所倡导的共享理念。这也表明我国个人信息保护立法理念没有转变，立法技术过于粗糙。应当为个人信息收集、使用和处分设置前设条件，即去身份化，这样才能平衡信息保护与信息利用。
若信息控制者对收集的信息不做去身份化处理，可能会给信息主体造成以下危险：首先，信息控制者可以将零散的信息组合，勾勒出信息主体的完整信息，了解信息主体的日常生活规律与他人的关系，这对自然人来说，无异于私生活曝光在信息控制者面前，难免引起恐慌；其次，信息控制者掌握大量的个人信息，若其信息平台遭到黑客攻击将使个人信息外泄，给不法之徒利用个人信息进行诈骗或从事其他不正当行为预留了机会。因此，在倡导信息共享的同时，不能忽视对共享的前提性条件的规定。
5.未有效平衡公权力机关对个人信息的保护和利用
近年来有关个人信息犯罪猖獗，如2016年的“山东徐玉玉案”中，被害人被骗取钱财就是因为徐玉玉个人信息被泄露，才让犯罪分子有机可乘。徐玉玉的个人信息是从山东省教育招生考试院泄露出去的，相关部门并没有主动出卖或者泄露信息，但其对收集的个人信息的保护并不严密，保管个人信息所采取的措施和所用的标准并未对外界公布，因此教育招生考试院保护个人信息是否得当值得怀疑。还有美国的棱镜门事件，让人们认识到了在强大的公权力机关下，公民几乎没有隐私可言。[51]
不可否认，在大数据时代，数据经济突飞猛进，个人信息的公共用途急剧扩展，公权力机关在进行公共管理的过程中，需要获取公民个人信息，以便更有效地为公民提供公共产品，满足公共需求。但是，若只注重利用，而不约束公权力机关使用个人信息的行为将失之偏颇。因此，仅依靠个人信息的私法保护是不够的。
综上分析，我国当前个人信息法律保护方式仍在因循守旧的情况，这导致了规范体系设计的缺失；个人信息保护范围的确定不适应个人信息高速流转的特点；信息主体的个人信息权利未得到实质的保护；信息控制者对个人信息的使用权利及界限未明确规范；对公权力机关利用个人信息的权力规制不足。显然私权利的保护方式没有全面地适应大数据时代的变革，无法满足多方主体的需求，以实现协同共享的新理念。
三、比较法视角下的个人信息法律保护方式分析
考察别国的个人信息法律保护方式，不是对其进行简单的对比研究，更为重要的是从中探寻传统的个人信息法律保护方式在回应现实需求方面有何缺失。
（一）美国模式——隐私权保护个人信息
美国对个人信息的保护是借助隐私权[52]的有关制度及规范来实现的。美国在1974年颁布的《隐私权法》中明确规定个人信息隐私权，从这以后，就以个人信息隐私权作为保护个人信息的工具，[53]但美国并没有制定一部专门的个人信息保护法，来规范非信息主体对个人信息的收集、处理和利用。在美国，个人信息权可以被视为隐私权这一集合概念中的新分支[54]，之所以会以隐私权作为保护个人信息的工具，是因为美国并没有一套完整的人格权体系，其沿袭了普通法系的传统，以司法为中心，在个案中解决具体纠纷。尽管隐私权保护方式对个人信息保护起到了很多的积极作用，但该模式在保护个人信息方面至少存在以下不足：
1.在法价值保护方面，隐私权无法保护个人信息的多维法价值。隐私权主要是用于保护个人生活的安宁，使个人免受外界侵扰自己本该宁静的生活，而个人信息出于公共管理和商业利用的需要，会向信息控制者公开一部分，以使其充分地发挥价值。若以隐私权保护个人信息，则个人信息多维的价值难以发挥，将不利于在多方主体之间平衡利益。
2.在权利行使方面，若信息控制者每一次欲收集、使用和处理个人信息，都必须经过信息主体所主张的隐私权保护，将使双方谈判成本增加，从而减少社会交往。虽说信息主体能决定是否行使隐私权，但在大数据时代，信息主体不再是私法中的完全理性人，这时其所面对的是信息不对称的情景，自己已无法成为最佳利益的判断者。
3.在实现权利的自决程度方面，隐私权是一种消极的、被动的权利，不具有积极的自决利用的功能。[55]若是遭到侵害，只能通过事后的损害赔偿予以救济。在实践中，网络服务提供商正是利用隐私权消极防御的特点，制定“知情同意”条款，使其能名正言顺地对个人信息进行商业利用。对用户也即信息主体来说，在使用网络服务提供商的服务时，除了同意之外别无选择，因为如果不向网络服务提供商提供所需要收集的个人信息，就无法享受它们所提供的服务和产品。[56]
4.在保护手段方面，隐私权的保护多适用侵权责任法的有关规定，但与个人信息的收集、处理和使用方式的多样性相比，仅有侵权责任法的这些规定显然是不够的。由于个人信息还涉及公共利益和国家安全，仅仅依靠民事法律规范无法予以全面保护。
5.在维护国家安全方面，隐私保护是恐怖分子最好的帮手。互联网的匿名性、安全加密技术以及上述两者的结合，都使它成为一个密谋的工具。[57]正如旅美作家林达所说，“9·11”事件后，美国人已经习惯了到处都是安检的生活。[58]这间接表明对隐私权有所限制，将会促进大数据的反恐应用。放任或鼓励人们隐藏个人信息，不仅会妨碍合作，还可能会鼓励人们从事不负责任的社会行为。[59]
（二）德国模式——个人信息自决权
德国立法所构建的个人信息法律保护方式是以维护人格尊严和人格自由作为逻辑起点展开的，个人信息自决权[60]就是最为重要的方式。个人信息自决权作为个人保护自己信息权利的手段，开始于德国1983年的人口普查案。在该案中，收集的信息涉及公民人口、住址、工作岗位等个人信息。由于涉及个人信息过多，引起公民的恐慌，于是一百多名公民向联邦宪法法院提起了诉讼，控诉人口普查法违宪。联邦宪法法院经过审理，最后判决认为人口普查法违宪，并基于判决对一般人格权展开进一步解读，由此发展出了个人信息自决权，以此作为保护个人信息的新方式，[61]从人口普查案中可以看出，识别性信息是界定个人信息的核心，也正是因为识别性信息的存在，个人信息保护的理论基础就很容易落入人格权的窠臼。[62]个人信息自决权在保护个人信息方面存在以下不足：
1.在个人信息自决权的限制层面，限制个人信息自决权的核心领域多是基于国家安全和公共管理考虑，如著名的日记案，[63]法院在审理一起谋杀案时，因考虑到社会公共利益，裁定可以将刑事被告的日记用于刑事诉讼中作为证据使用。但没有更多案例显示德国法院在裁判时，会更多地考虑个人信息商业价值利用，从而限制个人信息自决权的行使。
2.在适用的信息范围层面，个人信息自决权理论的支持者认为没有不需要保护的信息范围，这就模糊了个人生活领域与公共领域的界限[64]，如有些公众人物的信息涉及公共利益，这时候就需要公开，若适用个人信息保护，将使得公共利益维护不当。
3.在权利属性界定层面，将个人信息自决权界定为绝对权，将极大地限制他人的行为自由，不符合私法中“法无禁止即自由的”原则。同时，德国还通过联邦宪法法院的判例，将个人信息自决权确定为宪法上的基本权。[65]如此崇高的定位，使个人信息的商业和公共管理层面的合理利用，受到极大的限制。
通过对美国和德国的个人信息法律保护方式的解读，我们不难发现，两个不同国家的法律，对同样的生活问题——甚至细节上，都采取同样的或者十分类似的解决办法。[66]两国都是从私权利的维度构建个人信息法律保护方式，然而两国的立法者并未充分认识到我们正处在大数据时代，物联网让数十亿的人通过点对点的方式接入社交网络，共同创造、主持协同共享的诸多经济机会，物联网平台使每个人都成为产消者，使每项活动变成一种合作。[67]对国家而言，个人信息也是国家发展的重要资源。因此，新经济时代应树立协同共享理念，在保护个人信息的同时充分利用它的其他价值，增加社会成员的整体福利。显然两国还是用传统社会中的私权理念构建制度，保护理念上的滞后，必然导致其跟不上时代的步伐，因此两国对个人信息的保护和利用并不充分。
四、我国个人信息法律保护方式的发展与完善
转变个人信息的法律保护方式，不仅需要在法律层面进行，更为重要的是在大数据时代背景下重新认识个人信息的属性，转变立法观念，在法律规范中渗透协同共享的新理念。
（一）观念的转变：在共享形式的有机社会中重新认识个人信息
大数据技术使人类可以逐渐摆脱信息分析和处理这一繁重任务，这有可能产生比市场交易更为有效的信息处理和分析机制，也会改善甚至取代市场经济制度，诞生出新的人类社会制度即有机社会组织（也有学者称之为“合作共享社会”）。[68]在大数据时代，网络服务提供商和公权力部门对个人信息的利用诉求比任何一个时期都更加急切，个人信息的价值不再仅仅满足于私主体，在公共领域也发挥着重要作用。此时，个人信息的法律保护方式若简单照搬对私权利的保护方式，既不能满足有效预防和及时处置网络安全风险的需要，也难以承担推动电子商务发展以及经济社会转型的责任。[69]
（二）个人信息法律保护方式的完善
1.个人信息权利的法律确认和体系重构
立法机关通过制定统一而权威的法律，能使行业自律规范之类非正式规范效力较弱及内容冲突的问题得以解决，[70]从而为个人信息提供稳定的法律保障。加紧制定《个人信息保护法》有利于使个人信息保护规范从《网络安全法》中脱离出来，自成体系，以此避免执法机关运用国家标准限制个人信息商业利用。保护个人信息不受侵害不仅需要加强对信息控制者的规制，还需要赋予每一位公民个人信息权利。此次《民法总则》仅规定了自然人的个人信息受法律保护，这还有些抽象模糊，未来在制定《个人信息保护法》的时候，可以将个人信息权利细化，赋予每一位公民具体的权利，不仅可以完善个人信息保护的法律体系，而且能减少司法裁判中的自由裁量。具体来说，应赋予公民以下个人信息权：个人信息的保有权、决定权、知情权、更正权、锁定权、保护权、被遗忘权。
2.转换界定个人信息范围的路径
首先，鉴于“识别性信息”的说法可能过于笼统而无法精准地划定个人信息的范围，可加入“关联性信息”标准来进一步界定个人信息。“关联性信息”对于界定个人信息的科学之处在于其能涵盖以往一些基于“识别性信息”而无法纳入保护的信息。例如，种族信息若仅仅是单独出现，则无法识别个人，但信息利用方叠加进从其他途径收集的个人信息，则可能重塑信息主体的个人信息，从“信息”入手，但凡与信息主体有关的信息都被纳入保护范围，弥补了以往“识别性信息”理念下对个人信息保护的疏漏。
其次，扩大个人信息保护范围的同时，也要平衡对个人信息的开发利用。“信息本身没有价值，使用方能产生价值；同理，信息本身没有风险，使用才能引发风险。”[71]应在立法和行业自律层面，引入信息收集、使用和处理的风险预估机制，划分个人信息的风险程度，在风险范围内对个人信息的界定可以缩小，在风险范围外则扩大个人信息的界定。具体还有待立法者和行业自律协会进一步细化标准，只有这样才能改变过去“一刀切”的粗放式保护方式，与有机社会的共享理念相契合，在保护个人信息的同时激发可利用的个人信息的价值，做到多方共赢。
3.转变“知情同意”的事前保护方式
我们需要在共享形式的有机社会中重新认识个人信息，以往对个人信息保护的“知情同意”模式是基于信息主体是完全的理性人而设计的保护措施，并未考虑到大数据时代个人的有限理性。
信息控制者应引入风险评估机制，对个人信息处理行为进行评估，在可控风险标准下的不用经过用户同意，但需要给用户予以提示；在可控风险标准以上的就需要用户同意。[72]若未尽到告知义务则个人信息处理行为人应承担损害赔偿责任。在引入风险评估的同时赋予自然人删除权，允许其在合理情形下提出删除相关个人信息的请求，这与前述个人信息权利的法律确认相契合。
4.信息控制者对个人信息使用的去身份化
在有机社会中，不可避免地会出现为社会创造更多价值的信息控制者，为了协调信息控制者对信息的使用给人类社会带来的便捷与保护个人信息，有必要对个人信息中能识别出具体个人的信息加以处理或加密。一方面，直接营销等针对特定信息主体利用个人信息时，对信息业者的个人信息利用行为，应当施加更多的限制〔55〕；另一方面，当信息业者并非追求针对特定信息主体“一对一”利用个人信息时，应当在其收集、存储、处理和利用个人信息的过程中进行去身份化处理。[73]需要注意的是，去身份化的内涵包括无法再识别，若是经过去身份化后再经由专家通过识别技术复原删去的个人信息，那对个人信息的加密或删去识别信息的处理无异于竹篮打水。例如，2006年美国《纽约时报》的两位记者对进行过去身份化处理的个人信息进行搜索记录综合分析后，识别出了进行过去身份化的数据库中代号为“4417749”的用户信息。[74]因此，在立法层面，应对个人信息去身份化的标准进行详细的界定，防止再识别技术对个人信息的潜在侵犯。
5.平衡公权力机关利用信息需求和个人信息保护
对公权力机关收集、控制和使用个人信息的行为，应当在立法和执法层面加以严格规范，防止侵害和泄露公民个人信息，最终给公民造成不可挽回的局面。例如，在法律文本中严格限定公权力机关使用个人信息的前设条件，并且要建立信息保护系统，为收集而来的个人信息提供严密的保护。当然，强调限制公权力机关收集、控制和使用个人信息的同时，还要注重保障国家的合理使用。例如，我国将推行的税务号码制度，对纳税人信息的收集，目的是保障国家财政收入稳定，避免不守法的纳税人偷税漏税，不至于国家提供公共物品时资金匮乏。在制定法律时，既要对公权力机关收集、控制和使用个人信息的行为加以严格规制，又要在一定范围内保障公权力机关正常收集和使用个人信息。若只注重某一方面，将失之偏颇。
个人信息法律保护方式的确定，应从信息主体、网络服务提供商和公权力部门三方的综合利益出发，并契合大数据时代个人信息高速流转的特点，完善现行的法律规范体系，转变过去的私权利保护方式，根据个人信息的公共产品属性，构造衡量多方利益的个人信息法律保护方式。
五、结语
时代总是在变迁，我们现在并不是处在一个与世隔绝的空间，而是生活在一个开放多元的公共生活空间，与他人共享同一个公共领域。[75]若我们对个人信息的法律保护思维还停留在大数据时代之前，法律就无法回应时代的变迁，也将无法给予信息主体充分的保护。大数据时代的个人信息被收集、处理和利用已经成为不可逆转的趋势，成为每个人的生活常态[76]，我们正处在共享形式的有机社会中，因此应该转变观念，重新认识个人信息，对个人信息的权利归属重新界定，这是完善大数据时代个人信息法律保护的理论起点。利益博弈中零和游戏的结局是“你死我活”，而立法上的利益衡量要达到的目的是“多赢”和“共和”。[77]在大数据时代，个人信息处理行为的规则应是防止滥用，而非严格保护。[78]只有认识到这一点，才能完善个人信息法律保护方式。重新厘定个人信息的内涵，重构个人信息权利体系，引入个人信息使用风险评估机制，明确信息控制者对个人信息的去身份化义务，强化公权力机关对个人信息的保护与利用等，都是为了推动有机社会发展进步，构造出衡量多方利益的个人信息法律保护方式。