大数据时代，在技术、商业、权力的通力合作之下，商业巨头和权力机关利用大数据技术获得了强大的社会监控能力，对个人隐私和信息自决权造成极大的威胁。与此同时，随着数字经济的全球化推动了个人信息的跨境流动，也引发了数据资源安全可控和国家数据主权的关切。大数据时代个人信息安全面临系统性风险，但是传统个人信息的权利保护机制却存在极大的局限性，亟待超越“知情同意”模式，实现个人信息安全规制范式的转型。在理解科技发展和社会变迁内在逻辑的基础上，本书提出了三种规制路径：一是权利重塑路径，超越“知情同意”的赋权方式，进一步拓展个人信息自决权的内涵，引入财产权理论与基本权利价值；二是风险规制路径，引入个人信息处理活动的风险评估机制，加强风险管理与企业问责；三是技术规制路径，以技术设计为核心，提供个人信息全生命周期的安全保护；同时，以产业发展推动数据主权为基础，提出个人数据跨境流动的隐私和国家安全的规制路径。
大数据带来全新的社会风险挑战，推动了我国个人信息安全立法的进程，当前，我国正处于个人信息安全相关立法密集出台时期。然而，如何在立法中重新平衡个人与商业组织、权力机关之间的信息权力(权利)失衡关系，构建安全有序的个人信息流动和利用生态仍存在诸多争议。
一方面，立法赋予个人信息主体多项权利，比如2017年开始实施的《网络安全法》搭建了个人信息主体的权利框架；2017年颁布的《民法总则》为个人信息在人格权篇中找到了权利定位；2015年通过的《刑法》修正案九对侵害个人信息的犯罪行为实施惩戒。这为大数据环境下个人与数据产业者就个人数据权益的分配建立了基础。但是，大数据技术下高风险的个人数据处理行为层出不穷，如何在特定场景下准确识别风险，确定风险等级，对数据控制者施以恰当的数据安全保护责任和义务，则需要在未来的立法进程中进一步研究和明确。目前，《个人信息保护法》《数据安全法》已经列入本届全国人大的立法计划；《数据安全管理办法（征求意见稿）》《儿童个人信息网络保护规定（征求意见稿）》《个人信息出境安全评估办法（征求意见稿）》等法律草案正在立法进程之中。
另一方面，大量立法开始规范公权力获取个人信息的实体和程序制度。比如2016年实施的《反恐怖主义法》、2017年实施的《国家情报法》和《网络安全法》赋予刑事侦查机关和情报机关以强大的技术侦查权，对网络运营者施以执法协助义务和个人日志信息留存义务。参见《反恐怖主义法》第18条：“电信业务经营者、互联网服务提供者应当为公安机关、国家安全机关依法进行防范、调查恐怖活动提供技术接口和解密等技术支持和协助。”《网络安全法》第28条：“网络运营者应当为公安机关、国家安全机关依法维护国家安全和侦查犯罪活动提供技术支持和协助。”《网络安全法》第21条：“……网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，……（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；……”上述法律为国家权力干预个人生活确立了边界。从公民隐私合理期待以及对执法权的合理运用和约束的视角来看，大数据技术塑造的权力机关干预隐私权的新型手段和能力，在新的立法中需要对此加以重新评估，以调整个人和公权力部门之间的利益平衡。
本书将从个人信息安全所要实现的隐私权和个人信息自决权出发，在理解科技发展和社会变迁的基础上，重新构建个人信息自决权的内涵，探索个人信息安全风险规制和技术规制的全新路径，探讨与个人数据相关的国家安全和主权实现路径。“科技向善”的实现并不在于科技本身，而在于如何规制技术所有者的行为，这是大数据时代必须思考的重要命题。
