个人信息私法保护主要指的是赋予信息主体以支配性、排他性的“个人信息权”的保护模式。其内涵是信息主体有权直接决定自己的个人信息是否被处理、如何被处理,对应的是原则上个人信息不得被处理的“信息禁止”原则。随着现代信息技术的发展,信息利用的格局被不断重塑,私法保护模式的困境逐渐凸显:一方面,阻碍了信息化社会的信息自由流通,另一方面,“数字权力”的出现使得依靠个人自治的私法规范无法有效发挥保护个人信息的作用。因此,有必要厘清个人信息私法保护形成的规范基础,在重新理解的基础上探究个人信息保护路径的革新。个人信息私法保护论具有多样化的理论渊源,主要包括信息控制理论、财产所有权理论以及传统隐私权理论。信息控制理论是私法保护理论最主要的理论基础,其本身具有合理性,私法化的理解是对它的误读。信息控制理论围绕基本权利层面的个人自治展开,以维护人格尊严为导向,指向的是“个人信息受保护权”而非直接以个人信息为客体的“个人信息权”;藉由公平信息实践原则发展出的具有控制效果的“权利”是为了缓和个人在强大的“数字权力”面前尊严遭受侵害的风险,是工具性权利而非实体性权利,个人信息保护的前提是信息自由而非信息禁止。财产所有权理论和传统隐私权理论作为私法保护的另外两个理论渊源,具有规范逻辑和制度功能上的缺陷性。财产权保护模式将个人信息视为可交易财产,依赖个人对信息处理过程中隐私风险的有效认知,忽视了主体间不平等性和理性人假设缺位所必然导致的意思自治架空;传统隐私权理论将隐私保护制度直接移用到个人信息保护领域,忽视了隐私与个人信息的界分问题:隐私不具有交互性,因而符合私法保护的内在逻辑;个人信息本身具有公共交互性,有必要依据与隐私的联系紧密程度,区分敏感与非敏感信息,设置不同的保护的梯度。概言之,私法保护模式存在两方面的缺陷:从规范逻辑的角度,个人信息既不足以构成个人财产,亦不等同于个人隐私,不完全属于私人领域,将其作为私权客体意味着“信息禁止”,本身就具有规范逻辑缺陷;从制度功能的角度,私法保护依赖个人自治无法有效抗衡“数字权力”。上述两方面的缺陷共同导向了个人信息从私法保护到公法保护的必然逻辑转变:首先,个人信息原则上应当视为公共物品,依据个人信息的敏感度、信息处理主体能力、使用场景等设置公法保护规范加以保护;其次,为抗衡强大的“数字权力”,有必要引入“个人信息受保护权”并将其上升到宪法高度,发挥客观法规范功能,使得国家负有保护个人信息、维护公民人格尊严的积极义务,以《个人信息保护法》为中心统筹公法保护的具体制度构建;最后,私法规范仅关注私主体的利益,无法发挥利益平衡的功能,必须藉由公法对公共利益与私人利益进行调节与平衡。