大数据技术的蓬勃发展,为数字经济的创新发展注入了新的动力。个人信息作为大数据分析的原材料,商业利用价值逐渐显现,个人信息在商业领域的应用已成为不可阻挡的趋势。大数据时代的个人信息商业利用既包含着经济创新的契机,也为个人信息不合理利用致使主体隐私权益等遭受损害提供了可能。虽然目前我国个人信息保护法律规范侧重于个人信息的保护,但大数据时代信息主体对个人信息几乎丧失控制权能,既有的法律规制框架既不能有效规制个人信息的商业利用,也无法保障个人信息的安全。所以,本文旨在完善既有的个人信息保护和利用相关法律框架,在促进个人信息商业利用的同时保障个人信息安全,助力数字经济的发展。本文从以下四个部分展开论述。首先,以大数据背景下个人信息商业利用的基础理论研究为出发点,探讨个人信息的可识别性标准,分析个人信息与个人隐私的区分,明确大数据时代个人信息商业利用的可能。个人信息与个人隐私之间既有联系又有区别,个人隐私重点强调私密性,保护隐私利益,而个人信息重点强调识别性,要规制个人信息的利用。因此,不可将个人信息纳入隐私权保护范围之内。随着大数据技术的发展,个人信息价值密度低、可再分析利用、具有公共属性等特征显现出其具有商业价值,这为个人信息的商业利用提供了可能。其次,论述大数据时代个人信息商业利用相关法律规制面临的困境及造成困境的原因。梳理我国目前个人信息商业利用法律规制的立法状况,描述知情同意模式和目的限制原则的实践情况,进而分析以可识别性界定个人信息导致的个人信息保护和利用边界模糊等困境。综合来看,传统知情同意模式在大数据时代无法有效发挥作用,目的限制原则则阻碍了个人信息的流通利用。隐藏于个人信息商业利用困境之下的,是受个人控制论的影响和对大数据时代背景的忽视的深层原因。再次,分析欧盟和美国的个人信息保护相关立法的先进成果,一方面,通过梳理欧美个人信息保护立法的相关概况,可以看出,美国注重个人信息的自由流通价值,采用了分散立法和行业自律相结合的规制模式,而欧盟则以人格权保护为基础,重点保护个人信息之上的人格尊严和自由,采用统一立法的模式。另一方面,通过梳理欧美在大数据时代背景下的个人信息立法新发展,即《通用数据保护条例》和《消费者隐私权利法案(草案)》中的新举措,特别是“风险”和“场景”理念,可以发现西方在个人信息利用方面已经开始采用针对性措施。这些立法模式和新的法律规则,对完善我国个人信息保护法律规范具有重要的借鉴价值。最后,提出进一步完善我国个人信息商业利用法律规制的建议。一是应重新思考和定位我国的个人信息商业利用法律规制框架,将规制的重心从对个人信息的收集阶段转到利用阶段,引入隐私风险评估机制作为衡量个人信息商业利用产生隐私风险程度的标准,并在动态场景中界定个人信息,而不是采取一刀切的可识别性标准。二是将信息主体的消极同意作为“同意”的主要方式,利用隐私风险评估机制以“风险限定”取代“目的限定”,重构目的限制原则。三是在个人信息保护法律规范不完善的情况下,关注国家技术标准,提供个人信息商业利用的技术路径。总之,通过多重法律手段的作用,争取实现个人信息的充分利用和个人信息安全的双重目标。