信息时代,大数据、云计算等互联网技术的发展使得个人信息被赋予了更多经济价值。个人信息的保护和利用因此成为了信息时代公司经营、企业竞争的全新“游戏规则”。个人信息最重要的特征是能够识别具体的自然人,在个人信息被大量存储、收集、使用的当今时代,单独或与其他信息相结合而得以识别具体自然人的个人信息均是国际法意义上受保护的个人信息。目前,国际社会已经对个人信息进行了立法保护,现有的个人信息保护国际法律规则对个人信息保护的原则、数据主体的权利、数据控制者和数据处理者的义务、数据执法机构和监管机构的职责进行了规定,为个人信息提供了较为全面的保护。但由于不同区域间的个人信息收集、利用存在差异,目前个人信息保护的国际法律规则呈现区域化特征。其中,欧盟的《一般数据保护条例》(简称“GDPR”)和APEC跨境隐私规则体系(简称“CBPR”)规则体系较为完整,因此本文以GDPR和CBPR为例研究个人信息保护的国际法律规则。尽管现有的个人信息保护国际法律规则已经从多方面对个人信息提供了保护,但仍存在改进和完善的空间。例如,个人信息保护的基本原则不够明确,同意原则的规定较为模糊;数据主体权利的规定不够完善;信息本地化存储影响了信息的跨境流动,且在信息跨境流动过程中缺乏对个人敏感信息的特殊保护。本文归纳和总结了个人信息国际法律保护的基本原则,并对GDPR和CBPR中的个人信息保护原则进行了梳理、比较和评价。在同意原则的规定方面,可引入行业协会等组织对同意的具体标准进行量化,避免数据主体的同意沦为数据控制者的免责条款。在数据主体享有的权利方面,国际法律规则虽然进行了规定,但在具体权利的配合和衔接层面仍然可以提高。在数据控制者和数据处理者的义务方面,国际法律规则规定了实体义务和程序性义务。在个人信息保护的国际合作层面,欧美《隐私盾协议》保障了欧盟和美国间的数据流动,为个人信息保护的国际合作提供了良好的示范。此外,GDPR和CBPR在数据跨境流动的企业核准上也在积极进行融合。在当前信息本地化存储阻碍信息跨境流动的背景下,签订双边和多边个人信息保护协议不仅可以有效保障个人信息在跨境流动过程中的安全,还可以促进数字经济的发展。在个人信息跨境流动的过程中,也应对个人敏感信息进行特殊保护,建立更加完善的个人信息保护国际法律规则。