云计算是一种基于互联网的计算技术,常被运营商用于对用户个人信息的数据加工和管理。云计算被广泛应用于我们所接触的各类网络服务行业,极大提高了运营商对个人信息的管理效率。它的基本功能可以概括为海量信息分布式存储、高效信息并行处理和直接信息数据分享。在个人信息商业化的过程中,需要经过云计算对个人信息的加工处理,才能完成对不同用户提供的数量庞大的非确定性个人信息数据的存储、集合和梳理,分析出更具有商业价值的个人商业信息。在个人信息商业化的过程中,运营商利用云计算实现了对个人信息价值深层次的发掘,加速了个人信息商业化进程。云计算给个人信息保护带来了新的问题。第一,云计算的应用加剧了运营商对用户知情权的侵犯,格式条款下的信息不对称使用户在使用运营商提供的服务时并不知晓自己在进行个人信息的授权,运营商在用户不知情的情况下获取了对用户个人信息的有效控制。第二,用户的不知情又扩大了被动授权的个人信息范围,造成过度授权的问题,造成了提供服务义务与获取信息权利的不对称。第三,运营商使用个人信息时存在超出约定范围或必要限度的滥用问题。第四,在存储个人信息、二次利用个人商业信息的过程中,运营商内控缺陷会导致个人信息泄露、损毁、污染等风险。新的法律风险决定传统的隐私权保护理念不能对个人信息进行周延保护。对比个人信息权和隐私权可发现,两者在客体范围、保护重点和价值属性上都有所不同。隐私权的客体是具有隐秘性的个人信息,而个人信息权的客体是具有可识别性的个人信息,两者范围或有重叠但并不完全相同。隐私权和个人信息权客体范围的不同也决定了法律的保护重点不同。隐私权更为关注个人隐藏在隐秘性信息背后的尊严,即主要保护个人隐秘信息的精神价值,因此其更倾向于规制他人或企业对隐私的获取和公开。个人信息权在对个人信息进行保护时更关注的是可识别个人信息在一定程度上公开后的控制与后续利用,保护重点在于规制对个人信息的获取和利用。伴随着个人信息商业化趋势,个人信息权与隐私权价值属性的不同也逐渐显露,个人信息权具有隐私权缺少的财产属性。根据是否经过云计算的加工,个人信息可分为个人原始信息和个人商业信息。个人原始信息到个人商业信息的转变,是运营商为了二次利用挖掘个人信息价值,实现个人信息商业化的过程。运营商在提供服务时首先要获取个人原始信息,并进行服务所需的处理,这是个人信息商业化过程的第一步。个人原始信息分为直接个人信息和间接个人信息,两者都具有一定的商业价值,但后者的商业价值容易受到忽视,也需要进一步的挖掘。个人信息商业化的第二步是通过云计算进一步处理个人原始信息,得出潜在客户群分布、用户喜好等个人商业信息,并应用于日后决策和营销或其他目的。在衡量对个人信息的法律保护时,首先要明确个人商业信息究竟具有怎样的属性,才能进一步判断采取何种保护措施。个人商业信息是运营商二次利用的对象,其人格属性和财产属性决定了个人与运营商的利益冲突。其次要解决的是个人信息权和运营商使用权的利益冲突问题。运营商付出了资金、技术和人力成本,应当在保护个人信息权的基础上允许运营商对个人商业信息的合理使用,在个人商业信息的流转价值和安全价值之间保持平衡。最后,在公共利益和个人利益之间,应根据具体公共利益事项判断,在公共利益大于个人利益的前提下可以对个人信息进行一定程度的公开和利用。从我国现有法律规范来看,《民法通则》到《民法总则》逐步明确了个人信息权,《刑法修正案(七)》和《刑法修正案(九)》的两次修改明确了侵犯个人信息罪,从刑法的角度提供了对个人信息的保护。近年出台的《网络安全法》和《电子商务法(草案)》是针对个人信息保护的专门法,详细列出了运营商在收集管理个人原始信息、转移个人商业信息过程中应尽的义务。但就整个法律系统来看,我国现阶段个人信息保护性立法仍存在不系统、不全面等问题,域外法制根据信息技术的发展逐步加强对运营商约束的立法经验值得我们参考。欧盟采用了信息控制模式,重视凝结在个人信息背后的人格尊严,赋予了用户对个人信息的控制权。美国采用了实用主义模式,重视市场自我控制自我约束的作用,鼓励企业自行规范对个人信息的获取和使用行为。此外,在一些涉及高度敏感信息的领域,美国通过颁布联邦法案明确了在保护用户个人信息安全上运营商应采取的具体保护措施。日本采取了综合立法模式,在保护人格尊严的基础上充分利用个人信息价值,通过几次修改确定了限制使用、透明性等基本原则。立足于我国现有立法和国内个人信息保护现状,有必要汲取国外先进经验,全面规范运营商收集个人原始信息、二次利用个人商业信息的行为。从事先防范的角度而言,首先应当在规范运营商资质,要求运营商具备一定的技术条件,并提供符合法律规定的服务协议;其次,应当明确运营商的提示义务,要求其采取强制阅读等技术手段使用户个人注意服务协议,并明示个人信息获取范围、使用方向等具体内容;最后,应保证运营商在获取个人信息时遵循必要性和合理性的限制,以防止用户过度授权。从事中约束的角度而言,应当确立个人信息使用限制,要求运营商在利用过程中遵守用户个人最大利益原则,并完善内部控制,尽到注意义务。即一方面加强个人信息保护的系统安全网建设,另一方面在转让个人信息时确保采取去身份化技术处理措施,并针对信息还原技术的发展相应提高处理技术。从事后救济角度而言,应当采取过错责任机制,结合行业标准综合考量运营商行为是否符合法律规定,根据其所造成的损害大小判断侵权责任,要求运营商对受侵害的个人进行相应程度的损害赔偿。