随着大数据时代的来临,个人数据保护成为新的社会议题。个人数据与一般人格利益息息相关,应以一般人格权为基础对其进行保护。个人数据采集是个人数据流通的初始阶段,是个人数据保护的重要环节。个人数据采集是指对个人数据的获取行为,其基本要素包括目的要素及行为要素。目前,我国对个人数据采集制度的构建主要体现在原则及规则两方面。个人数据采集制度的基本原则主要包括合法正当、目的特定、必要及数据质量原则,目的特定及必要原则在新业态中产生了过分限制采集行为的适用困境,存在调整的必要性。个人数据采集的规则的制定与实践主要体现在立法以及行业自律两方面:在法律上,我国初步建立了以告知同意规则为核心合法依据的数据采集制度;在行业自律上,相关互联网企业均制定了包含告知同意规则的隐私保护政策。但由于相关立法较为分散且仅停留在原则性规定层面,导致实践中出现了同意规则亟待细化、同意规则效力不足、同意的撤回权以及必要豁免情形缺失等问题。对于个人数据的保护,欧盟选择统一立法模式,而美国采用分散立法与行业自律模式。二者对于告知同意规则的适用程度也存在差异:欧盟对告知同意规则进行严格适用,并对一般数据及特殊数据进行区分保护;美国则弱化同意规则的适用,引入隐私合理期待理论,配合以场景理念和风险评估机制。对我国的个人数据采集制度进行完善,首先,应坚持数据保护与流通共进的立法理念,选择国家统一立法与自律保护协调发展的立法模式。其次,需确立个人数据采集保护基本原则,借鉴美国场景风险理念,将目的特定原则调整为目的风险控制原则,将必要原则调整调整为风险最小原则。最后,完善告知同意规则,对公私权主体进行分别规制,对个人数据进行分类保护;制定同意有效的基本要件;完善同意的例外情形;保障用户的同意撤回权;设定数据采集主体的风险评估义务等,使告知同意规则在我国现有的法律环境下灵活、有效适用。