伴随互联网发展，非法删帖、发帖中伤、泄露隐私等利用信息网络侵权行为频发，个人信息保护迫在眉睫。20xx年10月9日，最高人民法院通报《关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》（以下简称《规定》），首次划定个人信息保护的范围，明确利用自媒体等转载网络信息行为的过错认定，以及如何对网络水军进行规制。《规定》已于20xx年6月23日由最高人民法院审判委员会第1621次会议通过，自20xx年10月10日起施行。
互联网行业的全面发展，促进了传统产业的升级和新兴产业的崛起，丰富了人民群众的物质文化生活，推动了我国的信息化进程，影响了社会生产方式。个人信息安全在日常工作生活中显得尤为重要。最高院首次将个人信息保护范围进行划定，并认定个人信息侵权范围，不仅有助于法院认定网络侵权案件中的定性问题，也从法律上保障了网络个人信息的权益。最高人民法院举行审理利用网络侵害人身权益司法解释发布会中公布了八起关于利用信息网络侵害人身权益的典型案例，其中某一起案例就是关于如何认定网络个人信息权益侵权范围的案例。这起案例即“徐大雯与宋祖德、刘信达侵害名誉权民事纠纷案”。
他认为自媒体进行传播应与传统媒体表达方式一样，承担相同的法律责任。同时，他认为两被告利用自媒体传播方式，利用编造的个人基本信息等内容进行传播，也是侵害了网络个人信息安全。法院判决较高的精神损失费，体现了侵权责任的理念与精神。这起典型案例从侧面反映出网络个人信息保护范围的界定，对案件事实的认定、法律法规的适用等方面都是十分必要的。因此，此次《规定》第十二条指出，“网络用户或者网络服务提供者利用网络公开自然人基因信息、病历资料、健康检查资料、犯罪记录、家庭住址、私人活动等个人隐私和其他个人信息，造成他人损害，被侵权人请求其承担侵权责任的，人民法院应予支持。”这条法条在《规定》中显得特别重要，从基本概念上认定了个人信息安全保护的范围。今后，我国司法实践中如果出现此类法律纠纷问题，法院将以此为依据，作出公正的判决。
法治国家建设离不开社会的稳定，网络个人信息安全与维护社会秩序有重要的联系。因此，引用最高法院副院长江必新的关于治理国家过程中如何认识秩序的一段话加以诠释。“秩序稳定作为治理的价值目标，是毋庸置疑的，但它只是初级价值，更非唯一价值。治理应有利于激发社会活力。实现人的自由而全面的发展，是马克思主义追求的根本价值目标。在当前利益多元化、文化多样化的条件下，国家治理既要确保公共利益和主流道德价值不受侵害，也要根据实际情况尊重差异、包容多样、考虑个别，特别是要保障宪法确认的个人自由，承认合法合理的个性化追求，让公民和社会组织充满生机活力，使社会保持动态平衡稳定状态。”他认为个性化的追求应在建立在合法的基础之上，合法合理的个性化追求才让社会充满生机活力，社会才能稳定，百姓才能安居乐业。保护网络个人信息也将促进社会稳定，为合理有序的社会秩序提供活力之源。
今天网络发展与更新的速度已不再是人类可预测的，个人信息是否能随之得到保障，我们都很难给出结论。众所周知，美国“棱镜门”事件后，世界各国政府与民众似乎对个人的信息产生了共同的认识。信息战作用或许在将来的战场中愈发重要，或许未来的世界局势格局皆因信息而起。
如今，个人隐私及个人信息等问题不再是道德问题，更多引发了法律问题。这也给我们的生活造成困扰，也严重影响社会的秩序，破坏社会的和谐。我们更要努力做好自救工作，更应利用法律，通过法律的达到维护自身权益的目的。
近些年全球已经走向了信息化的道路，在人们的生活中个人信息的收集和利用已经成为社会生活中非常普遍的行为。在大部分领域中个人信息是受到保护的，但也不排除出现个人信息泄露的情况。现阶段我国逐渐出现了一些商业机构利用个人信息进行诈骗的行为，这不仅使公民的隐私权遭到了侵犯，而且公民的财产和个人安全也受到了威胁。所以必须不断完善个人信息的法律保护机制，使个人信息泄露问题杜绝在萌芽状态。本文主要对我国网络个人信息的民法保护进行了探讨。
随着网络技术的飞速发展，人类获取信息的速度、便捷性都有了很大的提高，用网络技术控制、收集个人信息也是一种最方便的手段。但是个人信息不仅仅包含了个人的隐私，还包含着个人在社会中所具有的个人财富，而自从开始用网络方式收集个人信息后，个人信息被泄露的问题就频频发生，它不仅侵害到了他人的人格权而且还使他人的隐私权和财产权遭到了损害。网络信息传播速度快、传播范围广，个人信息泄露造成了很大的危险性，将会产生不可估量的后果。通过民法加强网络个人信息的保护研究亟需进行。
（一）网络环境中个人信息
（二）网络个人信息的权利
在网络环境中个人信息的权利包括对个人信息进行控制和支配，并且拥有拒绝他人对自己个人信息进行侵害的权利，在网络环境下个人信息还具有财产权和人格权。在新型民事权的保障下，可以对网络环境下的个人信息进行保护和确认。除此以外，还包括对信息的删除权、信息的维护权、信息的报酬权、信息的锁定权等等。
（一）网络个人信息泄露的途径
现阶段网络个人信息的泄露途径非常多。首先，一些商家为了谋取更多的利益，将身边的社会关系充分利用起来。往往会通过社会关系网获取身边同事、朋友或者家人的个人信息。
其次，在日常生活中每个人也会经常会遇到需要填写一些调查问卷的情况，这些调查问卷看似是自愿填写的，但实际上就是商家套取个人信息的一种手段。
最后，在日常生活中求职、看病、买房等商业活动中同样需要填写个人信息表格。而且这些个人信息表格是非常详细的，一些商家或者单位并没有注重保护这些个人信息，将他人填写的个人信息表格随意丢弃，最终因为保管的疏忽造成个人信息泄露情况发生。
（二）网络个人信息法律保护现状
故而，网络个人信息出现没有法律可依，更谈不上保护公民的个人信息。所以就我国现行法律情况看，法律条文具有一定的滞后性，随着个人信息侵害问题日益严重，我国法律不完善造成了个人信息安全不被保护的情况，在未来必须得到改善和解决。
（一）建立个人信息权
（二）通过《侵权责任法》补救
从责任划分的角度来看，在国家机关单位中也会出现损害他人个人信息的情况，比如一些国家的工作人员并没有根据法律的规定，就对公民的个人信息进行使用和收集。
亦或者在部门之间互相提取他人的个人信息，而且使用时并没有经过公民的允许。这些情况都属于是违法侵犯了他人个人信息的行为。对于我国各个领域出现侵犯他人个人信息的行为应当通过法律对其进行补救。
除次以外，还应当在我国建立一个网络个人信息保护的体系，在这个体系中应当明确侵权责任法，并且以这项法律作为网络个人信息责任体系的依据。可以将这个体系管理的板块划分成多个方面。例如网络服务商、个人信息获取者等，然后将不同的板块具体由不同的人员负责，这样在公民网络个人资料被窃取时，就可以找到管理其网络个人信息的负责人，然后按照规定对责任进行追究，这样不仅能够减少网络个人信息侵害，而且能够制约那些不法分子，使其在法律和政府部门的管理下不敢肆意妄为，同时还能消除公民财产、名誉损失所造成的危害。
在网络时代飞速发展的当今社会中，我国法律还存在着一定的滞后性，并且在我国法律中有很多不全面的部分，只有对我国民法不断进行更新，进行完善，才能使我国公民的网络个人信息受到法律的保护。在未来，希望我国在完善法律的过程中考虑到社会以及公民的利益，真正制定出能够维护社会安全的有效法律条文。
摘要：进入新世纪以来，网络科技快速发展与普及，人类开始进入互联网时代。互联网使得人们获得信息的方式更加便捷，获取信息的途径更加多样化，但同时也给个人信息的安全性带来了极大的挑战。个人信息作为重要的社会资源，对人们的生产生活具有重要的作用。在网络信息快速发展的今天，个人信息保护逐渐成为人们关系的问题。本文从民法视角出发，对网络背景下个人信息权的民法保护进行研究。
关键词：网络时代；个人信息权；民法保护
当前学术界对个人信息的定义主要从关联型、隐私型与识别型三个角度进行，综合来看，个人信息应该是能够之间或间接识别个人的各种形式的信息，比如姓名、身份证号码、出生年月、婚姻、教育、职业等。个人信息具有显著的特征，个人信息是生存着的自然人的信息，个人信息具有识别性与广泛性。
从法律层面来看，个人信息权指的是个人信息主体对自己的个人信息享有的一系列的权利，包括对个人信息的支配、使用并排除他人侵害的权利。从主体来看，个人信息权的主体是生存着的自然人，个人信息权以个人信息为客体，个人信息权是一系列权利的集合，比如知情权、保密权、司法救济权、报酬请求权等。对个人信息权的界定，在民法体系里并没有明确的解释，本文认为，对个人信息权内容的设置应遵循意思自治原则、诚实信用原则、公平合法原则、合理必要原则、安全保护原则。
（1）准许权与知情权
准许权是指个人在自己信息被收集、使用与流通的过程中，应有权利排除或准许他人使用自己的信息。在实际情况中，由于个人利益通常附属于国家利益，因此在某些特定情况下个人利益需要向国家利益、集体利益倾斜，因此出于平衡公共利益、社会利益、个人利益与他人利益，在某些特定情况下个人利益要做出让步，这就需要对准许权做出一定的限制。
知情权是指个人信息主体有获悉本人信息被和人或组织、通过何种方式、出于何种目的被收集、处理与利用的权利。结合具体情况，知情权通常又可分为积极知情权和消极知情权。
（2）异议、更正权与封锁权
当个人信息主体对他人或组织收集、处理与利用其本人信息的过程中，有权对个人信息的不准确、不及时、不完整等情况进行更正，由此可见，知情权是异议与更正权的前提，异议与更正权的结果。异议与更正权的对象具有特别的规定，必须是以存储的个人信息，而未经存储的信息则不属于异议与更正圈定的对象。
从学术研究领域来看，封锁权也被称为“停止使用请求权”，是指对以存储的个人信息进行标记以限制继续处理或利用。封锁权的目的在于限制对特定个人信息的继续利用和处理。但在有些特定情况下，封锁权也有破例的时候，比如作为审判依据的证据使用等，这是则不需经个人信息主体的同意接口自行处理或利用。
（3）保密权与删除权
删除权的行使主体通常是个人信息的主体，删除权是在满足特定条件的情形下，个人信息主体依法享有不可恢复的删除本人信息的权利。个人信息主体行使删除权的情形通常是个人信息被非法处理，或者个人信息使用已达目的而无需仅需存储。
（4）报酬请求权与司法救济权
报酬请求权与司法救济权是相对应的两项权利，报酬请求权是个人信息主体依法享有本人信息被利用时获得应有报酬的权利，司法救济权则是个人信息主体在行使报酬请求权无效时，依法通过请求具有强制执行力的机关排除侵害或责令侵害人赔偿损害的权利。报酬请求权体现了公平原则，司法救济权体现了法治原则。个人信息主体的报酬请求权通常仅限于其个人信息被用于商业用途，用于公益或行政目的时，则限制报酬请求权行使。
（1）个人信息侵权行为民事责任归责原则
①信息使用者违法收集、使用、泄露个人信息；
②个人信息的直接营销，即我们常说的非法出售个人信息；
③以网络为平台的个人信息侵权行为，比如利用互联网盗窃他人信息，或冒用他人信息实施犯罪等。
对于个人信息的侵权行为，从民法层面对侵权主体进行民事责任归属时必须依据针对性的法律准则。结合当前网络环境下的个人信息侵权的民事行为，体现出双方信息不对称的特征，因此若适用过错责任原则，在而不易对个人信息主体进行有效的民法保护，因此本文倾向于采用过错推定责任原则，并补充过错责任原则的主观归责方式。
（2）个人信息侵权构成要件
从民法层面来看，个人信息侵权行为的构成要件一般包括四个部分：
①存在違法行为，包括作为与不作为，作为违法行为具有违法的主动性，而不作为违法行为则具有违法行为的消极性特征；
②具有损害事实，即违法行为产生了具体的后果，比如损失、损害、妨害、伤害等；
③违法行为与损害行为之间具有因果关系，且要求具有次序性、客观性、关联性与现实性；
④行为人的过错，对于个人信息侵权的民事责任，依据其归责原则，应对个人信息侵权行为的认定直接推定为行为人主观有过错。
（3）民事责任免责事由与民事责任的承担
在特定情况下，即使个人信息侵权行为符合其构成要件，但若存在可免责的情况亦非绝对需要承担民事责任，这种情况通常被称为民事责任免责，而免责的事由则是法律层面考虑并设置的种种例外情形，比如社会公共利益、国家利益等综合衡量和考虑。具体来看，个人信息侵权行为的民事责任免责事由有以下几种：一是因不可抗力的客观情况；二是因受害人的故意后重大过失；三是因正当防卫、紧急避险造成他人损害而无不当或未超过必要限度的；四是行为的做出是为了增进公共利益的；五是行为的做出是个人信息主体书面同意的。
一旦个人信息侵权的民事责任认定，侵权行为人就需要担必要的法定民事责任，通常包括精神损害赔偿与财产损害赔偿。具体赔偿应视具体情况而定，确定损害赔偿的适用范围与标准，一般需注意一下几个方面：
①侵权行为人的过错程度，以及对应的赔偿标准；
②损害赔偿额度应与侵权行为恶劣程度相对应；
③当侵权行为对个人信息主体造成严重的精神伤害时，应在确定赔偿范围时加大赔偿额度。此外，从民法来看，民事责任承担的具体形式包括停止侵害并排除妨碍，消除影响应恢复名誉，赔礼道歉等。
[1]范桂红。互联网时代个人信息档案隐私权的法律保护探析[j]。档案管理，2016（3）：48-49
[2]龙波。论个人信息法律保护之利益冲突与协调[d]。吉林大学，2010
[3]张艳霞，武文娟。网络时代下个人信息法律保护问题研究[j]。职工法律天地：下，2014（10）：175
[4]任天鹏。论网络时代公民隐私权的法律保护[d]。湘潭大学，2010
[5]杨洁。大数据时代个人信息权的民法保护和司法应对[j]。企业与法，2015（5）：36-42
（一）公民个人信息的基本概念
（二）公民个人信息的法律属性
在公民个人信息的保护中，其法律属性一直颇具争议，成为法学界研究的重点。就目前来说，关于个人信息的法律属性，主要有三种观点:一是所有权学客体说，他们认为个人信息具有实际利用价值，所有者对其具有支配权，可以作为商品买卖出售，从而为信息的所有者带来经济上的收益，具备财产属性，因此被列入所有权范畴；二是以隐私权客体说，认为个人信息属于个人隐私，个人隐私包含个人信息，在这方面美国是最早将个人信息纳入隐私范畴进行立法的国家，比如《隐私权法》和《联邦电子通讯隐私权法案》中对个人信息都有详尽的保护措施；三是人格权客体说，将个人信息划分到人格权中，认为保护公民的个人信息安全就是维护公民作为人最基本的尊严，体现的是公民个人的人格利益，因此应该受宪法和其他法律的严格保护。
（一）公民个人信息安全受侵害的具体表现
当今社会，互联网的使用，让人们的生活被手机、电脑等各种电子产品包绕，在这种大环境下，人们在从事购物、交友、出行、入住宾馆等各种社会活动时，很多情况下都会将自己的个人信息告知与商家，进行登记，这就造成了个人信息泄露的可能和隐患。对于商家而言，信息就是资源，信息就是商机，那么利用信息进行违法犯罪的活动就应运而生了。一些机构疏于管理再加上一些不法分子的违法犯罪行为，致使我国公民信息泄露的情况非常严重，大量兜售车主房主信息、大学毕业生应聘人员信息、商务人士信息、患者信息、电信用户信息的现象在社会上层出不穷，一些商家将自己搜集到的客户信息进行出售，甚至形成了一个新兴的“信息倒卖”产业。商家利用这些信息进行推销，违法犯罪分子利用这些信息进行诈骗，甚至通过“人肉搜索”对当事人进行名誉侵害，通过某些编程窃取网银密码盗取用户存款等等，这些行为已经严重影响到人们正常的工作和生活，应当给予严厉的打击和制裁。
（二）现有法律对公民个人信息安全的保护
（三）刑法保护公民个人信息安全的必要性
（一）明确公民个人信息的概念和犯罪主体范围
要解决公民个人信息安全的刑事立法问题，首先要明确个人信息的基本概念和犯罪主体范围。现阶段，我国在这方面的刑事法律还不够完善，新出台的《刑法修正案(七)》中规定:“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。”虽然指出犯罪对象是公民的个人信息，但同宪法、民法、行政法一样，没有对公民的个人信息做出具体的解释，不管是公开信息还是属于个人隐私的信息，在量刑规定中没有针对不同的犯罪情节做出清晰的界定，以至于不法分子得不到相应的惩罚。同时，在条文规定中使用“等”字，也让犯罪主体模糊化。为了避免法律上的漏洞，给犯罪分子以严厉的打击，明确公民个人信息的概念以及犯罪主体的范围，是当前完善刑法的重中之重。
（二）根据犯罪的行为和情节细致刑罚
《刑法修正案(七)》中，第七条增设了出售、非法提供公民个人信息罪及非法获取公民信息罪，根据刑法规定，区别本罪“罪与非罪”的界限就是情节是否严重。而根据我国的立法情况来看，当前并没有任何法律条文对情节是否严重划分出明确的界定范围。因此，在裁判过程中，对于“罪与非罪”就存在争论，司法机关必须根据案情酌情评判情节的轻重，给司法机关的案件处理带来不小的难度。如果出台的法律能够将犯罪行为细致量化，司法机关审判案件的压力将会大大减小，比如立法机关可以根据公民个人信息被出售的份额，或者非法提供公民个人信息所得利益对刑事处罚的幅度进行划分，份额由小到大对应犯罪情节由轻到重，相应的刑罚也会逐渐增加，尤其是给当事人带来重大人身或财产损失时，犯罪行为更不可姑息。如此一来，犯罪主体都能够得到与之犯罪情节相对应的惩罚，不会出现钻法律漏洞的现象，实现司法的公平性。
（三）构建立法司法执法部门工作一体化机制
在保护公民个人信息安全的过程中，必须要贯彻“有法可依、有法必依、执法必严、违法必究”的基本要求。因此，首先从立法层面上讲，立法机关要深入社会调查，根据实际情况构建法律条文，尤其要充分听取群众的意见和建议，对于刑法的完善有着积极的现实意义；其次从执法层面而言，公安机关要严格按照法律规定处理对公民个人信息进行侵害的犯罪分子，绝不姑息养奸，让犯罪分子有机会逃脱法网；从司法层面来说，法院及检察院在裁定犯罪结果的过程中，要秉承公平公正的原则，给受害者一个满意的答复。同时，立法、执法、司法机构要互相监督，互相制约，才能有效打击此类犯罪。
（四）借鉴学习国外在公民个人信息保护方面的立法经验
在公民的个人信息安全保护中，不仅要完善刑法，宪法、民法、行政法都要同时完善，只有构建完备的法律体系，才能为公民的个人信息安全提供坚实的堡垒。将来随着立法的逐步完善和条件的逐步成熟，借鉴国外的先进经验无疑是明智的选择。从立法模式上，笔者比较倾向于以德国为代表的统一交叉立法模式，制定专门的法律条案，对公民的个人信息进行整体归类，同时视情节轻重给予相应的处罚措施，避免了法律零散化带来的不便。
综上所述，刑法作为保护公民个人信息安全的最后一道屏障，它的完善对于公民个人权益的保护有着极为重要的意义。对于刑法涉及到的“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员”，要切实做好法律宣传，对核心的工作人员做好监督工作。同时，有关部门也要加强对公民保护个人信息安全的宣传教育，只有提高公民个人信息安全自我保护的法律意识，才能从根本上遏制犯罪行为的产生。
随着互联网、物联网、云计算等技术的快速发展，以及智能终端、数字地球、智慧城市等信息体的普及和建设，个人通过智能手机及其他智能移动设备就能完成购物支付、资金转账、交水电费用等，极大的方便了人们的生活，同时，全球数据量出现爆炸式增长。个人在社交网站上的每天共享的内容超过50亿，并且在其他医疗卫生、金融、电商等各行业也有大量数据在不断产生。2012年全球信息总量已经达到2.7zb，而到2015年这一数值预计会达到8zb。
大数据以其数据收集整理与分析的高效性极大的推动了网络的进步和社会的发展。但目前大数据的发展仍然面临着许多问题，安全与隐私问题是人们公认的关键问题之一。单纯通过技术手段限制对用户信息的使用，实现用户隐私保护是极其困难的事。当前很多组织都认识到大数据的安全问题，并积极行动起来，如何保护好社会网络的个人信息安全是非常值得思考的一个问题。
1.1大数据的定义
1.2大数据的特点
大数据的常见特点包括：数据量大(volume)、类型多样(variety)、运算高效(velocity)、产生价值(value)。
1.2.1数据量大(volume)
大数据时代，各种传感器、移动设备、智能终端和网络社会等无时无刻不在产生数据，数量级别已经突破tb，发展至pb乃至zb，统计数据量呈千倍级别上升。据估计，2012年全球产生的数据量将达到2.7zb，2015年将超过8zb。
1.2.2类型多样(variety)
目前大数据不仅仅是数据量的急剧增长，而且还包含数据类型的多样化发展。以往数据大都以二维结构呈现，目前随着互联网、多媒体等技术的快速发展和普及，视频、音频、图片、邮件、html、rfid、gps和传感器等产生的非结构化数据，每年都以60%速度增长。预计，非结构化数据将占数据总量的80%以上。
1.2.3运算高效(velocity)
基于云计算的hadoop大数据框架，利用集群的威力高速运算和存储，实现了一个分布式运行系统，以流的形式提供高传输率来访问数据，适应了大数据的应用程序。而且，数据挖掘、语义引擎、可视化分析等技术的发展，可从海量的数据中深度解析，提取出所需的信息，是大数据时代对数据管理提出的基本要求。
1.2.4产生价值(value)
价值是大数据的终极目的。特别是激烈竞争的商业领域，数据正成为企业的新型资本，企业都在追求数据最大价值化，在数据量高速增长的情况下，通过挖掘数据有用信息，从中获得有价值的信息，对于企业至关重要。同时，大数据价值也存在密度低的特点，需要对海量的数据进行分析才能得到真正有用的信息，最终形成用户价值。
社会网络的不断发展将每个人都曝光在这种没有个人隐私的环境下，大数据时代下的个人信息被各种网络团体进行恶意泄露和传播。个人信息处于非常危险的环境中，比如各种网络论坛里对个人进行“人肉”，个人的各种信息都被迫公开，给当事人带来了非常坏的影响。当前大数据时代下的社会网络发展迅速，极大的丰富了人们的文化生活，通过互联网能够有效及时的获取各样各种的信息，并且能够做到远距离的及时交流。通过网络能够获得一些自信和满足感，但是大数据时代的个人信息安全性非常的低，个人信息极易被不法分子获取用到不正当的途径上去。
2.1大数据中的个人隐私泄露
2.2个人信息控制权弱化
跟传统环境作比较用户个人信息控制权弱化程度太高。互联网社会的飞速发展，信息在这个世界的传播速度超越先前的任何一个时代，互联网社会的公民对于个人信息的控制程度达到了最低的限度，个人隐私非常容易被暴露到网络社会当中。特别是大数据时代的发展，数据的处理能力得到了质的飞跃，公民个人的所有信息被整理成数据的形式存在于互联网当中，数据公司通过对个人数据的合理分析能够迅速的定位到个人，个人对于信息的控制权遭到了极大的削弱。
3.1数据匿名保护
3.2加强数据的监管
海量数据的汇集加大了隐私信息暴露的可能性，对大数据的无序使用也增加了信息泄露的风险。在监管层面，明确重点领域数据库范围，制定完善的数据库管理和安全操作制度，加大对重点领数据库的日常监管。在企业层面，加强企业内部管理，制定设备尤其是移动设备的安全使用规程，规范大数据的使用流程和使用权限。
3.3建立和完善法律法规
3.4安全体系建设
3.5提高个人安全意识
鉴于上述问题，国际各方开始尝试设计新的制度作为补充，以实现个人信息保护与信息跨境流动之间的平衡。这些制度的共同特点在于借助公司自己的隐私规则实现跨境信息保护，以公司自律为基础，辅以行政或司法手段保障其实施效果。与法律这种自上而下普遍适用及强制约束的规则不同，公司隐私规则制度采取的是自下而上的进路，具有更多的自愿性与自主性，可以更好地在保障信息主体权利的同时照顾到不同商业机构自身的需求和特点。目前国际上采用公司隐私规则制度主要包括安全港框架(safeharborframework)、欧盟约束性公司规则(bcr，bindingcorporaterules)和apec跨境隐私规则(cbpr，cross-borderprivacyrules)。
（一）公司隐私规则的适用范围
安全港框架和bcr都是欧盟数据保护指令下的制度，前者是解决从欧盟向美国企业转移个人信息的问题，其参加者是作为信息接收者的美国企业；后者则针对位于欧盟的公司向位于非欧盟的关联机构转移个人信息，其参加者是跨国公司。由于美国在个人信息保护上的立场与欧盟存在较大差异，缺乏统一的个人信息保护立法，难以通过欧盟委员会的充分性审查。
（二）公司隐私规则的审查认证
只有建立起一定的审查制度，才能确保企业自愿采用的公司隐私规则对个人信息的保护程度能够达到一定的标准。在安全港框架下，美国商务部负责审查申请加入公司的提交的隐私保护政策是否包含其制定的安全港隐私原则。受到欧盟委员会的敦促，美国商务部近年来加强了审查工作，2013年有12%的公司未获批准进入安全港名单，较2010年增加了一倍。打算采用bcr的跨国公司也需要事先向个人信息输出国的数据保护机关提交申请。有鉴于这些公司往往在多个欧盟国家设有机构，29条工作组专门设计出一套协调程序，以减轻申请的负担。公司只需向某一成员国的数据保护机关，即领导协调机关(leadingcoordinatorauthority)，提交一份申请即可。该领导协调机关将会把申请转交给其他公司机构所在的成员国的数据保护机关，由其根据本国的法律决定是否批准申请。
（三）公司隐私规则的监督
通过公司自身的个人信息隐私规则保障跨境信息的安全需要有配套的监督以及救济机制。应有制度来确保这些公司能够履行承诺，有效自律，而对于未能充分自律的机构也必须有一定的惩罚机制。因违规而遭受损害的信息主体应享有充分有效的救济。在安全港框架下，美国联邦贸易委员会有权对违反隐私原则的公司处以罚款，甚至以商业欺诈为由对其提起诉讼。如果在联邦贸易委员会采取一系列措施以后，违反行为仍得不到纠正，违反的机构将丧失“安全港”成员的资格。另一方面，欧盟各国的数据保护机关在特定的情况下也可以针对个案中止个人信息向美国转移，例如美国政府部门已经认定美国公司违反了安全港原则，或有证据表明美国公司很可能违反了安全港原则，或有关信息的转移很可能给信息主体造成巨大风险等。
（一）有利于企业的经营发展
对于位于法律严格限制个人信息向境外转移的国家/地区的企业而言，公司隐私规则无疑在很大程度上为其提供了方便，避免了通过逐一征得客户同意或对每一次转移都采用合同方式带来的复杂及高成本。企业可以根据有关法律和制度的要求，结合自身的情况，灵活制定隐私规则，从而令其个人信息跨境转移活动合法化。通过加入隐私规则体系，公司甚至可以将个人信息转移至尚未就此进行立法的国家和地区。跨国公司还可以在整个集团内部采用统一的隐私规则，降低跨国经营的行政管理成本。对于企业而言，与取得iso、sa8000等认证一样，加入公司隐私规则体系也可以被视为获得隐私认证，表明该企业对个人信息的保护较为重视，并达到了一定标准，从而消除客户的疑虑，提升企业美誉度。
（二）为信息主体提供较为便利的救济
（三）适用范围依然有限
尽管公司隐私规则对企业和信息主体提供了一定的便利，但其适用范围依然有限，目前只能作为通过其他方式合法化个人信息跨境转移的补充。安全港框架和bcr体系属于欧盟个人数据保护制度的组成部分，促进了欧盟向其他国家/地区的个人信息流动。但前者仅适用于信息接受者是美国联邦贸易委员会和交通运输部辖下企业的情况，而后者则只解决跨国公司内部的个人信息跨境转移问题。apec成员众多，其cbpr影响力似乎应较大，但事实并非如此。
诚然，公司隐私规则制度作为正在兴起的制度，在实践中尚未真正实现低成本高效率地平衡个人信息保护与信息跨境流动。但国际各方已经开始做出努力推动其影响力，并解决现实中存在的具体问题。加拿大正准备提起加入bbpr体系的申请，新西兰和澳大利亚也在考虑加入。欧盟和apec亦都认识到其公司隐私规则制度间缺乏互通性带来的问题。欧盟29条工作组于2014年2月发布文件，对bcr和cbpr的27项具体内容进行了详细比较。尽管两种制度间的互认尚未实现，但该文件无疑给需要进行双重认证的公司提供了可行的指引，在一定程度上减轻了申请负担。