一个人从出生起,就不断地产生各种各样的个人信息。个人信息,作为能够识别自然人身份的存在,是个人与他人、与社会交往链接的纽带。在人类漫长的历史长河中,除了正常交往,个人信息一直作为国家管理所必需的信息而被收集。但彼时囿于技术的限制,对个人信息的其他处理行为并不多见,因而个人信息保护问题一直未为法律重视。随着科学技术的进步,尤其是伴随着计算机、信息技术的诞生和发展,人类开始步入“信息时代”。信息产业日益发达,互联网用户迅猛增长,基于个人信息的应用和服务越来越多。到大数据时代,由于移动终端、互联网络以及无处不在的传感器和微处理器的存在,人们无时无刻不在留下“数据足迹”,对于个人信息的处理早已成为大规模现象,人类的生活因此而改变。大数据时代的个人信息处理具有规模化、深度化、智能化和系统化等特点,也正因如此个人信息处理可能造成的损害已经远非往昔那般不足为患了。在大数据时代,个人信息处理已经成为普遍现象,经济发展、社会进步和人类福祉的增进均得裨益。有基于此,个人信息保护立法之目的亦日趋由严格保护向平衡保护与利用之关系,促进个人信息之合理利用转变。在这一过程中,个人信息范围的合理界定显得尤其重要。如若界定不合理,则或者信息主体的合法权益无法得到保障,或者个人信息保护范围过度膨胀,不利于信息资源的有效利用。现有的个人信息界定理论主要有关联说、隐私说和识别说理论。其中识别说是现有理论的主流学说。在大数据时代,个人信息的界定宜以识别能度理论替代识别理论,以识别能度标准替代识别性标准,并在此基础上对个人信息进行重新界定,将不具有识别能度的信息排除在个人信息范围之外,鼓励对其进行处理和利用,而仅将个人信息民法保护的范围限定于符合识别能度标准的信息。大数据时代的个人信息处理者不仅包括传统的政府部门等公务机关,更包括众多的非公务机关,尤其是网络服务提供者,它们已经日益成为大数据时代主要的个人信息处理者。在比较法上,大数据时代的个人信息处理行为,有广义和狭义两种概念,广义的个人信息处理包含了从个人信息被收集,到被处理和利用,再到可能的个人信息传递等一切行为,狭义的则仅指个人信息的处理行为。在文中,笔者对个人信息处理行为采取了广义的说法。在对个人信息处理的法律要件进行分析后,笔者着重对个人信息处理的正当性要件即同意基础进行了探讨,笔者认为同意基础的规定源自信息不对称理论和个人信息自决权理论,而解决信息不对称的关键是确保信息主体的知情权。在大数据时代,个人既缺乏决定自由,又缺乏决定能力,因而同意规定的理论基础并不牢固。况且,同意既缺乏真实有效性,又不符合经济考量,例外规定的大量存在也削弱了同意基础的效力,因而在大数据时代,同意难以成为个人信息处理的正当性基础,有必要对同意基础的规定进行修正。个人信息的民法保护体现了法的价值关怀、对人格尊严和人性情感需求的维护,也体现了对公共秩序的考量。当前的个人信息民法保护理论主要有隐私权说、个人信息自决权说及财产权说等学说。个人信息与隐私、物在内涵和外延上有较大不同,难以视为同一概念。而个人信息自决权尽管有其合理性,但仍然存在一定的缺陷。在大数据时代,个人信息的经济价值凸显,对人格利益进行保护的同时,不能忽视财产价值的保护。而这导致了个人信息民法保护的价值困境、权利化困境和二元权利体系困境三大困境。在对个人信息的人格性、财产性进行辨析之后,笔者认为,鉴于个人信息之内容不确定性和边界模糊性特点,宜将个人信息权界定为一种框架性权利。在个人信息的民法保护模式选择上,由于不同分类的个人信息和个人信息处理行为对民法保护的要求是不同的,因而在大数据时代,中国个人信息的民法保护宜采取分层级的保护模式,即根据个人信息和个人信息处理行为类别的不同,将其分为三大层级予以相应的民法保护规定。而在立法模式的选择上,中国的个人信息保护立法宜采取折衷的方式,即适用德国统一立法模式制定一部统一的《个人信息法》作为个人信息保护领域基本法,与此同时,兼采美国的行业自律模式,对公务机关和非公务机关的个人信息处理进行合理区分,严格控制公务机关的个人信息处理行为,而对非公务机关的个人信息处理则主要采取行业自律的规则,鼓励通过个人信息处理推动经济发展、社会进步和改善人类福祉。如此既在立法形式上不失德国统一式传统,又在立法实质上保有美国式之行业自律,既有利于个人信息之保护,又不至妨碍信息之自由流通。在大数据时代,个人信息的民法保护应当遵循最小化原则、数据与质量原则、透明原则、信息主体参与原则和分类保护原则。在具体的制度构建上,个人信息的民法保护可通过合同法与侵权法共同实现。大数据时代的个人信息交易已经十分普遍,因此,有必要通过合同法对其进行规制。个人信息交易合同不是买卖合同,其法律性质应是信息服务许可合同,故而民法可通过服务许可制度对个人信息予以保护。相比合同法保护,在个人信息的民法保护中,侵权救济是主要的保护途径。个人信息侵权责任可同时通过非损害赔偿责任和损害赔偿责任实现。通观当今世界各国的和地区的个人信息保护立法,存在着“前门宽、后门也宽”的问题。在大数据时代背景下,个人信息保护立法的合理范式应是“前门严、后门也严”,即一方面“关紧前门”对个人信息进行合理界定,限缩其范围,以避免妨碍个人信息之合理流通和利用;另一方面“关紧后门”对符合识别能度标准已界定为个人信息之信息进行较为严格的保护,减少例外适用的情形并明确其要件,以不或尽可能少地对其进行处理,这有利于平衡个人信息合理利用与保护之间的关系,既有助于自然人人身、财产利益的保护,又有益于经济的发展、社会的进步和个人福祉的实现,应当成为未来个人信息保护立法的趋势。