一、个人信息的定性
个人信息，或称为个人资料、个人数据。就法律名称而言，欧盟国家多采用个人数据，日本、俄罗斯、韩国采用个人信息，我国台湾地区则是个人资料与个人数据两个概念并用。虽然各国(地区)使用的法律名称不尽相同，但这些术语之间没有本质的区别，其内涵基本是一致的。
从我国涉及立法的研究性成果中看，使用个人信息的表述形成了基本共识。周汉华教授在其主持的《个人信息保护法》(专家建议稿)的立法研究报告中就使用了个人信息的表述。并且纵观我国立法使用的实践，2009年《刑法修正案(七)》第7条中已经出现个人信息的表述，这是我国国家立法层面首次将个人信息纳入法律之中。被我国立法机关初步接受并成为一个正式的法律术语。而新出台的《消费者权益保护法》也明确使用了个人信息。可见个人信息的表述已经成为我国学界以及立法层面的共识。
关于个人信息的界定，学界大致有三种观点:个人隐私型，关联型，识别型。个人隐私的观点认为，个人信息是在生活中，个人不愿意向外界透露的信息;或者是个人及其在意的不愿让外界知道的部分信息。这种观点很显然是借鉴美国法的隐私权理论。在美国法上，隐私的范围极广，并且日益宽泛，已经被扩展为一项与生命权、财产权并列的宪法权利，与大陆法系的隐私权概念大相径庭。总的来看，在大陆法系隐私权一般仅限于个人私生活，与姓名权、肖像权、名誉权并且属于具体的一项人格权;而个人信息因其具有信息人格利益，被视为一般意义的人格权，属于基本人格的范畴，其内涵和外延都已经超出了私法领域隐私权范畴。关联型的观点认为，个人信息是指所有与个人相关联的信息包括人的身体、内心、身份、地位以及有关于个人的所有其他事实、判断、评价等信息。也就是说，个人信息不仅涵盖与个人相关的私生活或者人格相关的信息，而且包括个人的社会文化活动，社会团体活动及其他所有与个人相关联的信息。很明显，在关联型定义模式下，范围过宽，保护了部分不需要法律进行规制的信息。识别型定义则认为，个人信息是指能够直接地或者间接地识别出某个人的信息。这也被国内外立法所广泛认可。欧盟《有关个人数据自动化处理的保护协定》，将其界定为已识别或可识别的个人相关的任何信息日本《个人信息保护法》第2条规定，个人信息指或者的自然人的相关信息，根据该信息所包含的姓名、出生年月及其他内容，能够识别出该特定自然人;在周汉华教授主持的《个人信息保护法示范法草案学者建议稿》以及2013年2月实施的保护颁发了《信息安全技术、公共及商用服务信息系统个人信息保护指南》中对个人信息的概念作了类似的定义。综合以上几种类型，笔者认为:识别型定义较为合适，它不仅运用了法学概念中的概括式和列举概括并用式两种定义方法，并且能够将个人信息的内涵和外延较为清晰地表示出来。
二、个人信息保护的法理基础
(一)人的尊严理论
每个人享有人的尊严这一观念源于自然法传统，并得到所有现代法治国家的确认，是现代法秩序整体的哲学基础。保护人的尊严，意味着承认每个人都是自主、自决的独立个体，具有不可替代性。人本身即是目的，不得被要求或视为一种工具或手段;人应该自治自决，不应处于被操控的他治他决地位。信息化对个人最大威胁，正在于可能使其被物化。信息技术发展越快，个人的自主权丧失的也越快。关于他人的信息，可能成为操控他人的力量来源。当个人成为纯粹的个人信息客体，被随意监控，分析，操纵，个人的内在决策和对外形象都被控制时，个人作为人的主体性和完整性便已分崩离析，个人的独立和尊严受到直接挑战。这就是个人信息保护的基本逻辑。
(二)信息财产权理论
美国社会学家A.托夫勒在《预测与前提》一书中论述道在第三次浪潮中，我们仍然需要土地、机器这些有形财产，但主要财产已经变成了信息。随着信息技术的快速发展，激烈的商业竞争越来越演变为信息资源之间的争夺战。谁拥有巨大的信息资源，谁就能在市场竞争中占据一席之地。大量个人信息被人们用于商业用途，以个人信息为生的网络公司层出不穷，贩卖个人信息的情形更是屡见不鲜。个人信息每天都在为处理者带来巨大的经济利益，如上海市证券交易所靠出售交易者投资信息，每年就能获得上亿元的利润。社会的进步使个人信息成为可以被买卖的财产，而这部分财产利益到底归属于谁?个人信息的贩卖者和处理者是否侵害了个人的信息财产权?这都是个人信息保护立法亟需解决的问题。
(三)个人信息自决权理论
从上文的论述中，我们清楚的知道，个人信息起步于隐私，但却不止是隐私。那么，个人信息保护是否形成了一种新的权利类型呢?个人信息的自决权理论成为学界较为认可的理论基础。
信息自决权的概念首先由德国提出来的。在1983年一个典型案例中，德国联邦宪法法院对个人信息与个人自由之间的关系进行了论述。法院认为，如果没有约束个人信息处理的规则，一个民主社会将无法运行。在当今的信息化时代的背景下，保护个人免受其个人信息被无限地收集、储存、使用和披露是保护个人一般人格权的基本要求。个人原则上有能力决定其个人信息的披露或使用。而只有基于公共利益的考量，个人信息自决权才能被限制，并且这种公共利益是压倒性的。近期出台的《消费者权益保护法》就在该理论的基础上作出如下规定:经营者收集、使用消费者个人信息，应当遵循合法、正当必要的原则，明示收集、使用信息的目的、方式范围，并经消费者同意。
笔者认为信息自决权的核心内容有三:一是法律保留，是指行政机关不得自己决定限制人民的基本权利，须保留给立法许可:二是隐私保护:三是个人信息的收集应受到严格的、具体的、明确的目的限制。
三、个人信息保护的现状
个人信息的法律保护是当今世界各国保护个人信息的主要方式，迄今我国尚无专门的个人信息保护法。现阶段，我国法律法规层面上直接地以个人信息的名义来保护，即在与个人信息有关的法律法规中直接设置个人信息保护的条款的为数不多:涉及个人信息的法律实际上仅9部，包括《刑法》、《社会保险法》、《统计法》、《护照法》、《居民身份证法》、《刑事诉讼法》、《消费者权益保护法》、《旅游法》、《出境入境管理法》其中刑法中涉及个人信息的内容为2009年第七刑法修正案才规定，而《消费者权益保护法》中有关个人信息的条款也是近期修订后才予以规定。而涉及个人信息的行政法规仅为5部，其中《征信业管理条例》也是2013年3月15日才予以施行，而《征信业管理条例》也仅仅针对的信用信息。
纵观直接以个人信息名义来保护的法律法规，基本可以得出如下结论:一是我国以个人信息名义来保护的法律法规数量明显不足，并没有一部统一的个人信息保护立法，而仅仅在个别规范中有所规定，十分分散，并且效力层级十分低下:二是我国以个人信息名义来保护的法律法规的力度明显不够。对个人信息的内涵与外延未作任何界定于说明，存在于不同法律中的个人信息概念不尽相同:三是我国以个人信息名义来保护的立法起步明显太晚。
在如此分散的立法状况之下，有关个人信息的界定、保护范围、执法主体、个人信息主体和个人信息采集管理主体的权利义务、法律责任及救济等都处于不够明确或不够完善的境地，而这显然不利于对个人信息主体合法权益的保护。
四、《个人信息保护法》面临的方向性选择
迟迟不能完成的中国个人信息保护立法，当前面临方向性的选择:该如何看待个人信息保护问题，个人信息保护法立法应进行怎样的价值选择?
当前立法讨论中出现的避重就轻，甚至自相矛盾的情况，与个人信息保护立法的压力不够，动力不足有直接关系。由于对个人信息滥用的危害认识不全面，不充分，同时个人信息处理者担心受到约束，普遍对个人信息保护立法采取消极态度。不仅商业机构如此，甚至连政府机构的立场也不例外。
一方面，在网上披露他人姓名、地址的人肉搜索不断地被要求入罪:另一方面，各种各样要求留下姓名、地址的实名制层出不穷:一方面，普通公民在政府档案中的材料越来越丰富，另一方面，政府掌握的资料在公民要求信息公开时被称作为国家机密。一方面，快递单贩卖引起了广泛的信息危机:另一方面，以个人信息为生存基础的网络公司拔地而起。
个人信息保护立法可以是只对民怨最大的问题简单回应，也可以在深刻而全面地理解个人信息滥用的各种表现和危害的基础上全面布局，统筹安排:可以被当做一个加强保护个人权利和自由的契机:也可以被庸俗化、工具化，作为达到其他目的的手段。可以在其权力面前畏首畏尾，束手束脚，对技术进步与经济发展却傲慢轻视:也可以对个人信息保护的个人意义和经济意义给予同等的充分认识。可以简化为垃圾短信防治法、人肉搜索禁止法:也可以将目标定位为构建信息社会的基本秩序。可以既有助于解决中国现实问题，又与国际个人信息保护立法的大趋势合拍:也可以特立独行，对己经出现的负面影响听之任之。到底保护哪些个人数据?为什么保护?怎样保护?刑法、民法、个人信息保护法中的规定是否需要相呼应?在这些基本问题上的不同回答，决定了个人信息保护法不同的方向选择。而要作出明确的选择，有必要从头审视个人信息保护法的一些基本理论问题。
