大数据时代,个人信息成为重要的生产要素,与此同时,数据安全风险日益凸显,特别是个人信息泄露事件时有发生,网络诈骗、网络黑灰产业屡禁不止,给公民人身和财产安全带来了严重威胁,社会上对加强个人信息保护的呼声日益强烈。在此背景之下,《民法总则》第111条规定了个人信息保护条款,为后续个人信息保护立法研究奠定了基础。但该条只是宣示性条款,其并未对个人信息进行明确界定,也未明确个人信息权,而是采用了“个人信息”这个模糊表述。对个人信息概念的界定以及明确个人信息权是保护个人信息安全的前提条件。本文从《民法总则》第111条的规定引入,第一部分对个人信息的概念、分类和个人信息权的法律属性、基本内容进行讨论分析。在个人信息的界定上重点探讨了“可识别性”标准的判断,对“可识别性”标准应进行合目的性限缩和情景化判断。个人信息权应被视为一种具体人格权,其下包括知情权、删除权、更正权、查询权等多种子权利。第二部分是对美国、欧盟、德国的域外法考察。在个人信息保护方面,美国是在隐私权框架下采用分散立法和行业自律相结合的方式,欧盟和德国是一般人格权模式下进行统一立法。在立法方式上,我国应向欧盟的统一式立法学习,制定专门的个人信息保护法,但对于个人信息权性质的界定应确定为一项具体人格权。第三部分是从网络运营者“隐私政策”披露的现状这一方面来观察我国目前个人信息保护情况。隐私政策作为保护个人信息的重要手段,目前却存在自我规制主动性不足、回应立法要求迟缓、形式化严重等问题。其中的“告知同意规则”产生的“全有全无”管理架构也在客观上造成了实际适用中的高成本及低效率,甚至与自身的基本属性相悖。针对以上问题,第四部分提出了个人信息保护的完善路径。一是要建立个人信息分类保护制度,对敏感个人信息和未成年人信息重点保护。二要实施个人信息安全报告强制披露制度。互联网企业应定期对个人信息进行安全评估,监管机构要加大对个人信息违法行为的处罚力度。三是完善隐私政策和告知同意规则。规范互联网行业隐私政策的制定、通过行政监管与行业自治相结合落实隐私政策内容的实施、对告知同意模式进行改进:如设立隐私设置选项、“一站式”撤回和关闭授权、适当拓宽择入式同意的适用范围等。