公开个人信息处于公共领域，基于个人控制的理由对公开个人信息进行保护的正当性较弱。丁晓东教授在《公开个人信息法律保护的中国方案》一文中，梳理了我国的公开个人信息保护制度与欧盟、美国立法例构成的制度谱系，进而基于《个人信息保护法》相关规定，就公开个人信息的特殊性、个人信息权利与处理者义务的界定等问题给出了答案。就公开个人信息的特殊性而言，丁晓东教授从保护公开个人信息的几个关键界定展开：（1）“公开个人信息”通过理性个人或社会合理预期加以判断；（2）“合理的范围内”是指不会因为大规模处理公开个人信息造成不可预期的不成比例的社会风险；（3）“对个人权益有重大影响”仍应当以理性个人和社会合理预期为判断准则；同时（4）“个人明确拒绝”同时要考虑信息处理者对个人明确拒绝的识别的可能性和成本，而且并非一律免除其告知义务。就个人信息权利与处理者义务的界定而言：（1）“个人信息权利”的限缩性解释：一方面个人信息权利具有程序性和请求权的特征，另一方面公开个人信息的场景弱化了主张个人信息权利的可行性和必要性，但不可忽略的是，应当保障用户在一定场景下的个人信息携带权的主张；（2）为防止大规模微型侵权的聚集，信息处理者义务应当整体维持，但对例如公开个人信息出境时的义务进行弱化甚至豁免。
    对于公开信息中的房地产登记数据，宋姝老师在《房地产登记数据资源开发利用的法律规制》一文中认为，其蕴含的公共价值应当通过一定的制度保障加以利用，根据比例原则对其中敏感数据的利用进行判断权衡，通过对数据的分级分类，在政务活动中加以利用外，还需要可通过授权许可等机制允许第三方对一般数据进行利用，该观点认为，由此产生的数据产品/服务等享有相应产权并应承担一定义务。
    （二）匿名化信息
    个人信息的匿名化是一种保护个人信息安全流入商业化利用的技术手段，为各立法例所接受。但不同立法对个人信息的匿名化概念、标准等作出了不同界定，实践中也存在如何衔接作为技术手段的匿名化与法律要求的匿名化的难题，其原因或在于“为什么匿名化”这一理论问题的共识缺乏。对此，赵精武副教授引入数据关系理论，尝试回答数据关系理论在解释匿名化的制度目标时，如何能提供较明确的匿名化标准等问题。以数据关系理论为基础，赵精武副教授进一步认为我国匿名化制度的制度建构应以基于《个人信息保护法》第73条第4项的教义学解释展开。（赵精武副教授 《个人信息匿名化的理论基础与制度建构》）
    （三）个人信息的保护模式选择
    在我国隐私保护、个人信息规制和数据利用三分的规制背景下，理清个人信息与隐私之间的关系与区别、设计相关制度防止隐私权消解尤为必要。个人信息和隐私之间的区分关键是私密信息和敏感个人信息的界分。李姝卉认为，应当以权利人是否主动/明示同意公开作为判断标准。杨显滨教授在《我国私密信息保护模式的再造》认为，相较于以往学者对私密信息和敏感个人信息提出的区分保护模式、竞合规则保护模式、聚合规则保护模式，可以根据人格要素商业化理论提出人格利益与财产利益二分下的私密信息保护模式，并构造具体路径。
    数字时代消费者是个人信息权利人最常见的市场角色，例如美国各州隐私立法名称中大多涉及“消费者”。李玉虎副教授在《数字经济时代消费者的新兴权利》提出，数字消费者的出现对传统消费者保护法带来了一定的挑战与冲击，个人信息并不能完全涵盖消费者信息，面对大数据时代的新型消费者的出现及其新型权利的保护，即消费者评价权、信息权、数据权、删除权等，应坚持以用户为中心采取公私法融合的路径。

    （四）个人信息保护的具体制度
    由于“赋权-维权”制度设计在个人信息领域存在形式主义困境，国内不少学者将视角转向“委托-受信”制度，该制度主要可以划分为第三人担任数据受托人的数据信任模式和数据控制者承担信义义务的模式两种。冯果教授、鄢浩宇在《数据受托人信义义务的理论阐释与制度进路》一文中指出，相较于数据信任模式存在的问题， 数据主体与数据控制者的关系可以较好地契合信义模式的构成条件。故而观点认为应当适用包含忠实义务和注意义务的法定信义关系，对于违反信义义务的行为采取利益归入责任，该种信义关系有利于数据主体主张诉讼。同时，在《我国个人数据利用的互惠性信任机理》一文中许天熙认为，目前“告知-同意”制度对个人信息的规制存在困境，同时产权配置也无法起到相应的权益清晰的作用，故而应当建立“互惠性个人数据利用观念”来适用数据信托制度，同时设置一定的公平分配收益义务，在有着高度隐私性的例如医疗领域个人信息等应当引入第三方监管者。另外，李学军教授在《数字人身同一认定的技术力量与规制》一文中认为，可以从“告知-同意”制度转向“告知-选择”制度，用户有权拒绝信息处理同时，为其提供同等替代服务。

    国内虽有学者根据经济学的科斯定理主张产权配置有利于数据抓取的合法性等问题的判定，但郭传凯副教授在《数据抓取的合法性边界探究》一文中认为，产权配置不利于数据自由流通，应当以法益衡平原则为指导，robots协议等只有符合一定要求时才可起到对数据抓取的阻却作用。对于不涉及个人信息的数据，应当以比例原则为数据抓取合法性的判断依据；对于涉及个人信息的数据，应当根据数据的可识别性高低再次分类讨论：有直接识别符或重新识别风险很高的个人信息，应当遵循三重授权原则，当然对于用户主张数据可携带权时进行的数据抓取，无需遵循三重授权原则；对于无直接识别符号且重新识别风险不高的个人信息无需获取用户同意授权；包含敏感个人信息的数据在上述例外情况下才可以进行爬取；而公开个人信息不应当阻止其抓取行为。在《我国个人数据利用的互惠性信任机理》一文中许天熙认为，开放平台对于个人信息应当坚持“三重授权原则”来进行数据分享。对于与此相关的数据泄漏问题，周瑞珏在《数据泄漏风险治理中网络安全保险的介入路径》中认为，对部分网络安全事件选择引入网络安全保险的治理措施，并明确其定位与具体实施方式，缩短相关行业冗长的行业探索时间。
    （二）数据交易

    高郦梅在《数据交易违约可得利益的类型化研究》一文中指出，数据交易应当区分数据许可合同和数据服务合同，在考虑各种综合因素的基础上，应当根据其统一性或定制化等特征区别，从而对可得利益进行类型化分析。张艳副研究员在《企业数据交易模式的构建》一文中认为，企业交易的对象主要是数据使用权，其来源是企业对数据的有限控制力而不是权利归属，此时交易形成数据许可合同，该种许可应当在格式合同审查的同时保障双方的自由约定，同时规定特定情况下的强制数据许可。最后通过第三方的技术服务来保障“原始数据不出域、数据可用不可见”从而实现交易互信。
    （三）数据人身同一性认定

     “人身同一认定”是“依据某些与人身密不可分的特征来判断人身是否同一的活动”，最终目的是识别人的身份。李学军教授在《数字人身同一认定的技术力量与规制》一文中指出，相较于传统的人身同一性认定，数字人身同一性在以下几个方面具有差异：（一）认识“主体”为人和机器的结合；（二）依据为数据；（三）主要方法是算法比较法。数据人身同一认定异化会对公民个人信息和隐私具有造成威胁的风险，应当以生物识别数据为中心，坚持识别功能和隐私保护“两头强化”原则和法与科技共同参与的“法技协同”原则。针对“授权不全面，限权不充分”的问题，应当完善收集、使用生物识别信息的相关规定，公安机关应限制人脸识别的适用对象并采纳人脸识别监视名单等制度，最后应当注重安全储存和及时删除相关数据。


（本文文字编辑李敏华。本文为中国民商法律网“原创标识”作品。凡未在“中国民商法律网”微信公众号正式发布的文章，一律不得转载。）