一、我国个人信息保护立法模式的选择
根据前面的论述，不论是欧盟的立法模式还是美国的立法模式，都是建立在其自身的价值观和社会基础之上的，都有其利弊。欧盟将个人信息权利视为一种不可或缺的人权，针对公共部门和非公共部门制定了统一、严格、高标准的个人信息保护法律。这种一刀切的规则模式有利于个人信息得到全面一体的保护，但也可能阻碍个人信息的正常流通，束缚企业的自由发展。美国关注自由的价值，重视企业的发展，一方面针对公共部门对个人信息的收集、处理与利用制定了个人信息保护法律，另一方面，就非公共部门而言，则极其强调自律，仅针对某些特殊需要以立法形式加以规范的领域制定特别法。这种灵活的规制模式有利于在有限保护个人信息的前提下充分促进信息的自由流通，但也可能会导致部分企业不择手段地规避个人信息保护的政策，侵害个人信息主体的权利。因此，我国在进行个人信息保护立法的时候不能盲目的跟从他国模式，必须立足我国国情，建立有中国特色、符合我国国情的个人信息保护法律体系。应当在充分考察自身实际情况的基础上，汲取已有的经验选择符合我国实际的模式。在此，笔者认为日本的立法模式比较值得借鉴。即在我国，根据我国国情，可采统一立法模式，但在非公共部门并不排斥自律模式。正如张新宝教授接受记者采访时所说“就我国而言，国家立法主导模式更符合我国的国情，但同时也要鼓励产业界建立相应的自律机制。”具体来说，包括以下几点：
首先，在整体上采取综合性的立法规制模式，制定一部《个人信息保护法》，不做区分的对公共部门和非公共部门作统一的规范。因为我国是成文法国家，现行的立法和司法解释构成了我国的法律体系，采取综合性立法规则模式不仅符合本国的法律背景，并且能够更有效的保护个人权利。另外，当前我国隐私保护的法律基础还比较薄弱，普遍缺乏尊重和保护他人权利的意识，行业自律也缺乏统一、严格的标准，各个商家尤其是网站上的有关个人信息保护的规定呈现参差不齐的状态，在这种情况下，在非公共部门采取自律的方式缺乏相应的人文和制度基础。
其次，在一些特殊领域用特别法的形式给予特殊保护。如针对网络个人信息侵犯权制定网络信息安全法，针对高校学生的个人信息保护、儿童的个人信息保护问题制定相应的保护法等。
最后，在对非公共部门统一规范的同时也鼓励非公共部门进行自律，充分发挥行业的自主能动性，最大程度的平衡个人信息保护和信息自由流通。因为各种非公共部门利用个人信息的形式和程度不同，只有单一的统一立法并不能很好达到对各行业的个人信息收集、处理、利用的规制目的。针对这种特点我们需要制定较灵活的措施，以便能应对将来出现的新情况，此时，行业自律就体现出了其重要价值。
二、我国高校学生个人信息保护体系的构建
通过前面国外高校学生个人信息保护的介绍可以看出，对高校学生个人信息的保护一般可包括两个层次，第一层次是将其作为普通公民纳入个人信息保护法的保护范畴予以保护，即学生作为公民享有宪法及个人信息保护法规中所规定的权利；第二层次是教育体系内部对学生个人信息权的保护。包括教育法的特别规定以及学校的内部规定。对于学校的内部规定，应在国家法律法规的指导下制定。此外，高校内部一般都设立侵权预防机制，以防止侵权的发生。在高校与学生之间发生个人信息纠纷的情况下，除官方解决机制外，还设立民间解决机构，即在教育系统内部设立专门的纠纷解决机构来解决此类纠纷。这种从立法，学校自身的规范、技术手段等多个角度去保护学生的个人信息的做法，值得我们借鉴。因此，关于我国高校学生个人信息保护体系的构建，应包括以下几个方面：
（一）我国高校学生个人信息法律保护体系的构建
针对我国目前对个人信息保护立法严重不足的现象，尤其是目前几千万学生缺乏信息保护，学生和学生家庭受骗案件频发的情况下、学生的个人信息资料和财产权受到严重侵犯的现实下，笔者认为应从我国高校的实际出发，借鉴国外有关个人信息保护的经验与成果，构建高校学生个人信息的法律保护体系。
1.在民法中确定个人信息权
加强个人信息保护，关键是确立个人信息保护的基本法律制度。目前我国很多学者认为对个人信息的确定和最集中的保护当然体现在制定一部完整的个人信息保护法，并且我国也已经将个人信息保护法的立法工作提到了议事日程上。但笔者认为对个人信息的保护目前还是应集中在民法中，这是因为：
第一，个人信息保护法是民事特别法。个人信息保护法是围绕个人信息保护而产生的领域法，其内容没有明显的部门法特征，个人信息保护法往往出现诸法合体的特点，“它实际上兼跨民事与行政两个法律领域”。从个人信息保护法调整的社会关系上看，其包括横向的民事主体之间的信息处理关系，也包括纵向的信息主体与行政机关之间发生的信息处理关系。这种调整主要是因为行政机关在个人信息的收集、利用的过程中占了较大的比重，使得个人信息保护法不得不调整行政行为，从而使个人信息保护法具有部分行政法的特征。国务院信息办委托中国社会科学院行政法学教授周汉华先生领衔起草《中华人民共和国个人信息保护法》(专家建议稿)中大部分的内容均为行政法法律规范，从中可以看出，我国目前倾向于将个人信息保护法归入行政法范畴。但个人信息保护的目的是规范有关个人信息的收集、处理行为，保护个人信息主体的人格利益，以信息主体的权利为核心，从这一方面看，个人信息保护法仍属于民法范畴，具有民事特别法性质。1994年，英国的信息保护登记官在他的“最终报告”中曾经指出：“信息保护立法，是民事权利立法”。而且在个人信息保护法领域，如果片面强调公权力的作用，而不从根本上赋予信息主体私权利，这种保护机制必然无法实现根本保护的目的。所以个人信息保护法是领域法而非传统的部门法。依传统的部门法标准，很难将其归入一个部门。但从立法宗旨的核心看，仍属于民法范畴，具有民事特别法的性质。
第二，个人信息保护法在我国目前来讲进行立法的条件还不够成熟。个人信息保护法涉及的范围不仅仅是民法领域，而且包含了非平等主体间的信息采集、处理和交流。在个人信息保护法的立法过程中，法律思想有待于转变，而更重要的是执政思想和政府职能的转变，这要随着政府行政职能改革和政府信息公开改革的推进和配套措施的出台才可能有立法的条件。传统民法典中，之所以没有规定出现个人信息保护的条款，根本原因即在于传统民法典制订之际，个人信息保护问题根本还没有引发立法者的关注，个人信息保护限于当时的历史背景还不成其为法律问题。历史发展到今天，伴随着信息技术与信息经济的迅发展，个人信息遭受侵害的现象日益严重，信息保护问题越来越为人们所关注，作为市民社会生活根本大法的民法，没有理由继续忽略个人信息保护问题。我国已经进行了多年的民法典的立法研究和讨论，并已出台了《中华人民共和国民法典草案》，立法研究相对成熟，目前草案中对个人信息的保护已有具体规定，并且按照立法进程的安排，我国民法典的通过将指日可待，因此通过民法给予个人信息保护更加可行。
因此，对个人信息的保护，一方面应当将个人信息保护从隐私权保护中独立出来，在未来民法典人格权编（章）中专门规定信息主体的权利这一具体人格权；另一方面基于个人信息跨领域及复杂性的特点，在民法典中仅应当原则性地规定信息主体权利保护的立法精神，对于个人信息保护的具体细节性规范，留给个人信息保护法这一特别法详细规定。
2．在侵权责任法中增加个人信息权侵权的法律责任
由于我国现行民法上没有对个人信息侵权行为进行明确规定，而仅仅通过对隐私权、名誉权、肖像权、姓名权等权利的保护对个人信息进行辐射保护。我国侵权责任法草案也仅针对利用网站侵害他人名誉权、隐私权等行为，规定网络服务提供者应当承担连带责任。但这种规定只是针对网络服务提供者，并未涉及其他领域的个人信息侵权行为，也未规定个人信息侵权的损害赔偿问题。“无视这些问题的侵权责任法只能是20世纪前半期的侵权法而无法适应21世纪网络时代和信息时代社会发展的客观需要！”因此，应在侵权责任法即将出台之际及时增加相关条款，防止法律未出台即已“过时”。此外，个人信息不仅攸关个人利益，还关系到社会公众的言论自由、舆论监督、知情权及国家安全和交易安全等利益，应充分考虑到个人利益、社会利益与国家利益之间的关系，合理、有效地利用个人信息。但侵权法应对“合理”的尺度应作出明确的规定，防止信息被滥用造成信息主体的损害。
我国台湾的《电脑处理个人资料保护法》将个人信息保护明确与人格权保护相联系并适用损害赔偿的方式，该法第一条就明确指出了其立法目的之一在于保护人格权，进而在第四章“损害赔偿及其他救济”中又引入了侵权行为法上的损害赔偿规则。这些规定是侵权行为法在个人信息保护立法中的新发展的反映，世界各国的个人信息保护立法在民事领域的保护也多采这一模式，这种做法对我国未来立法也有重要的借鉴意义。
3．制定个人信息保护法
建立我国的个人信息保护法律体系不仅需要有未来的民法典的基本原则和基本规定作指导，而且还需要专项立法以及相关的配套制度的建设。《中华人民共和国个人信息保护法》专家建议稿的出台让人们看到了希望，同时随着个人信息保护立法的即将出台，一些相关领域的个人信息保护问题也需随之出台配套措施予以规制，包括网络空间的个人信息保护问题和个人数据收集、传输、利用方面的个人信息保护问题等等。总之，有关个人信息保护的法律与人民切身利益密切相关，应充分听取人民的意见，权衡各方利益，制定符合民意、符合中国国情的信息保护法。因此个人信息保护法律体系的形成还需要一个过程。
另外，为了确保个人信息权民法保护的实施，应当从行政法的角度明确个人信息保护的组织制度，设立个人信息保护的专门机关。从现行立法来看，各国都有个人信息保护机关，美国有“资料保全局”，英国有“资料保护登记处”，德国也有“联邦资料保护监察使”、“资料保护监察人”等类似设置，因此我国立法应当也考虑设置此类机关，以对信息主体的个人信息提供统一保护。
4．修改教育相关立法，加强学生个人信息权利保护.
随着我国对个人信息保护问题的重视，我国相关的教育法规也应适应社会的发展，增加相关的条款对学生个人信息提供保护。建议全国人大修改《高等教育法》，增加个人信息保护条款。对《高等教育法》的修改及相关规章的制定应包括以下几个方面：确定大学生在高校的权利主体地位，依法享有包括大学生隐私权在内的所有信息权利；确定高校学生个人信息权的内容；确立高校学生个人信息受侵犯时的权利救济机构，等等。教育部制定专门的规章，如《电脑处理学生个人信息资料保护规定》等来建立高校自身的法律保护体系，以保障高校学生个人信息的安全及维护学生的合法权益，促进高校稳定和谐发展。
此外，应补充关于保护高等教育活动中的受教育者、教育者、高等学校及其他高等教育机构等合法权益以及规范与保障教育行政机关及其工作人员依法履行教育管理职责的内容，为该法奠定正义价值的基础。在“高等学校的学生”部分，一方面应拓宽学生的基本权利范围，例如，补充学生民主参与管理、自我管理等方面的权利；另一方面，应对高校学生的消极权利的实现作出规定，防止其相对义务人不履行相应义务而使学生的权利无法得到落实。《普通高校学生管理规定》也有需要完善的地方。比如：第五条规定，学生对学校、教职员工侵犯人身权、财产权等合法权益，有权提出申诉或者依法提起诉讼。人身权和财产权只是学生合法权利中的一部分权利，这里明确提出学校教职员工侵犯学生人身权、财产权的救济途径，还应对侵犯学生人格权，如学生个人信息的救济途径做出明确规定。
（二）高校学生个人信息保护救济途径的构建
开拓畅通各种救济渠道，从多个角度堵塞学生权利受损的漏洞，这样才能充分保护学生的合法权利。在前面我们已经介绍了一些国家对学生权利救济的方式，如在法国，教育纠纷的处理，一般是遵循先系统内、后系统外的程序。在德国，“异议审查制度”是作为一种“诉讼前程序”而存在。当事人只有在异议审查阶段得不到权利救济时方可使用行政诉讼救济。在日本，教育纠纷一般是按先民间、后行政、再司法的程序办理。在美国的法律中，一般遵循穷尽行政救济的原则，也就是先行政、后司法的原则。上述国家和地区的做法很有借鉴意义，既考虑到了司法救济的重要价值，也考虑到了高校教育纠纷的特殊性，由高校及教育行政部门先行解决，学生不服，然后再寻求司法救济。由于高校和教育行政部门对教育规律和教育纠纷较为熟悉，由他们先行解决，有利于纠纷的解决，有利于真正实现对高校学生权利的保护。综合这些国家的经验，笔者认为我国高校学生个人信息保护救济体系应从以下几个方面构建：
1.完善校内申诉制度
校内申诉制度是学校管理中一项专门的权利救济制度，是高校学生权利校内救济的重要途径之一。它在宪法赋予公民享有申诉权利的基础上，将学生的申诉权利在学校管理中具体化、规范化。目前，我国学校内部申诉制度还处于摸索、试验阶段。
