在数字时代，个人信息被广泛应用于多个领域，但其保护面临多重困境。第一，法律对于个人信息“可识别性”的认定依据不足，导致侵权认定存在难点。第二，数字不平等导致告知同意原则失灵。第三，维权成本高昂导致信息主体消极应对风险。因此，在此背景下分析并提出信息保护优化路径至关重要。

（一）增强法律供给与可操作性

对“可识别性”赋予动态标准。主要是从识别主体、识别程度、识别手段三个维度进行动态认定。识别主体即从处理公民个人信息的行为人的角度出发，在不采取极致手段和耗费巨大成本的前提下能够对案涉信息进行特定识别，案涉信息应认定为个人信息。识别程度即到何种程度可以认定为该信息识别到特定自然人，只有当识别程度能够达到识别出国家认证身份信息，锁定唯一、确定的公民个体时，才能够认定该信息具有可识别性。识别手段应当以行为人目前所掌握的方式、渠道为限，识别的成本也应该根据行为人收集、处理信息的目的等各方面因素进行合理限制。

准确划定敏感个人信息范围。敏感个人信息的核心是这类信息有更高风险被用于违法行为，导致侵害发生。对于侵犯公民个人信息罪中的敏感个人信息应当明确其与人身、财产权益的直接关联性，避免将范围泛化。

以“实质性参与”作为告知同意原则的完善路径。告知同意原则体现了信息主体对其个人信息所享有的支配和处理权，具体而言，“实质性”参与应体现在以下两个方面：一是在告知内容上解决信息不对称的问题。应避免过分专业化的表达，以简短明了的语言进行告知，并从“单向告知”变为“双向互动”，对于使用过程中对信息产生新的使用用途、收集目的的，应当及时更新通知，持续、动态征求信息主体同意。二是在告知方式上应强化意志自主性。平台应避免“要么完全同意、要么全部拒绝”的单一模式，可以在调研用户基础上提供分选项供用户选择，只要用户同意提供使用服务必不可少需要的信息即可进行使用，保障公民的自主决策权。

（二）完善救济渠道

发挥个人信息公益诉讼作用。个人信息保护公益诉讼可以在一定程度上破解私益救济的困境。为了完善群体救济渠道，需要进一步明确起诉条件。“众多个人”应当理解为不特定多数人，只要犯罪行为对于潜在的不特定的多数人都有侵害风险，就可认定为侵害了公共利益可以提起诉讼。另一方面，应当发挥不同公益诉讼主体的作用。检察院应起到兜底性作用，消费者协会等各组织及机关需主动履行其职能，破解私力救济难题。

建立惩罚性赔偿制度。建立个人信息惩罚性赔偿制度能够有效弥补受害人损失，鼓励受害人积极维权。从实践角度讲，应当先将惩罚性赔偿限定在敏感个人信息范畴，可以参考《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》对于个人信息的敏感程度以及侵犯数量的相关规定，对于不同敏感程度的个人信息分别设定惩罚性赔偿数额的参考标准及上下限规定，并依据所侵犯的数量、侵犯导致的结果等作为进一步详细规定的标准，更能够强调对潜在侵权行为的预防。

（三）加强多元共治

确定信息处理者主体义务。一方面，应系统性规定处理者在信息处理各个环节必须履行的义务，形成事前、事中、事后的闭环管理。另一方面，可以引入场景风险模式，针对风险较大的领域，根据公共利益影响程度、收集个人信息规模大小来设定加重义务和减轻义务，形成政府和信息处理者的多元共治模式。

强化信息主体权利。作为信息主体的公民一方面需要增强其数字理解和处理能力，在个人信息的充分利用和隐私保护之间取得平衡。另一方面，法律也应当赋予信息主体更多权利，信息主体不仅应能决定其个人信息的收集范围、处理规则、使用场景，更能在信息被不正当处理时，通过查询、更正、删除等权利直接介入，从源头上遏制个人信息被非法滥用的可能。