大数据的发展给人类社会带来了无数的福祉,但其亦给数据保护带来了前所未有的挑战,未经授权收集和处理个人数据、二次或多次处理个人数据、泄露个人数据等问题无时不刻不在发生。“棱镜门”事件的曝光,更是使得社会对个人数据的关注提升到了国家安全的高度。为了回应欧洲公民对个人数据保护的新的担忧和期待,欧盟在2016年颁布了《一般数据保护条例》,对个人数据收集和处理的合法性来源提出了更严苛的要求。“通知-同意”规则即数据控制者在收集、处理个人数据和涉及个人数据的跨境传输时,应将详尽的信息告知数据主体并取得数据主体自愿作出的真实的同意。该规则作为个人数据收集、处理和跨境传输的合法性的最主要来源,欧盟在此次立法中对其作出了近乎严苛的规定,而美国对其却采取了另一种截然不同的立法模式。近年来,我国业界和学术界对于个人数据保护立法的关注日益增长,“通知-同意”规则作为个人数据保护中最重要的规则之一,有必要对其进行系统的研究。“通知-同意”规则作为个人数据保护体系中最重要的规则之一,其理论基础主要为个人数据自决权理论、知情权理论及隐私合理期待理论。我国当前对于该规则的立法较为宽泛且零散,尚未形成统一的确定的规则体系,在实践中亦存在较大问题。域外立法中,欧盟和美国是该规则最具代表性的两个立法体系,欧盟采取了严苛的事前预防机制,美国采取了宽松的事后损害赔偿机制,但其在大数据的时代均存在适用上的困境,从经济学角度考量,发现美国的立法模式更符合社会利益最大化。由于国情不同、立法价值追求有异,欧盟和美国的立法模式均不宜我们照搬,我国应充分考量互联网及大数据产业对我国经济的发展的重要价值,也可参酌欧美模式中的合理成分,探索“通知-同意”规则的中国方案。