1.个人信息保护的范围
法律保护的范围应及于一切个人信息。在过去手工收集和处理个人信息的技术条件下，个人信息受到的威胁并不突出。随着计算机技术的发展和互联网技术的应用，这种威胁已变得十分现实和严重。因此，不少有关个人信息保护的立法仅对电脑处理的个人信息进行规范，如美国、英国、日本、我国台湾地区等。而一些国家的立法则对自动化处理与人工处理的个人信息进行同时规范，如德国、荷兰等。笔者认为，尽管电脑处理的个人信息更容易受到侵害，但不能因此而忽视人工处理和半自动系统处理的个人信息。个人信息立法应给以个人信息全面保护。
2.个人信息保护的基本原则
我国的个人信息保护法也应明确规定个人信息保护的基本原则，作为个人信息保护法的指导思想，同时也用来弥补具体规则的不足。借鉴国际立法经验，个人信息保护法总体上应体现合法兼正当的原则，具体应规定以下原则：
(1)合法原则。行政主体行为的目的、方式、程序、内容均不能违反法律的规定。
(2)直接收集原则。个人信息的收集，原则上应该直接向信息主体收集。现代信息技术使得对个人信息的收集具有隐蔽性，该原则有利于实现信息主体对其个人信息的直接支配和控制。这是个人信息决定权的要求，同时也有利于信息主体获得知悉权。
(3)目的明确原则。个人信息在收集时必须有明确的目的，禁止超出目的范围而收集、处理和利用个人信息。对于行政机关来说，必须在行使行政职权、履行行政职责所需的目的范围内收集、处理和利用个人信息。行政机关应告知信息主体信息收集的目的。
(4)公开原则。一般应对个人信息的收集、处理和利用保持公开，使信息主体了解其个人信息被收集、处理和利用的情况。当然，“公开”并非指将个人信息的内容向公众公开，而是指将个人信息的收集、处理和利用的情况向信息主体公开，否则将违背个人信息保护的目的。
(5)完整正确原则。信息处理主体应保持所持有的个人信息的完整、准确和时新，信息主体对错误、有瑕疵的个人信息有要求更正的权利。当然，信息主体的更正权仅在于维护其个人信息的正确、完整与时新，其行使更正权的程序与内容应当受到适当的限制。
(6)安全原则。行政主体应采取安全保护措施，防止个人信息泄露、灭失和不正当使用。
3.个人信息保护的监督机关
个人信息保护监督机关的设置有独立的监督机关和原行政机关自行监督两种情形。法律授权的独立监督机构固然有利于个人信息保护监督职责的履行，但设置新的机构涉及机构和人员的编制，需要必须的工作条件和经费，这显然不符合机构精简的原则，与我国行政管理体制改革的方向不符。而由原行政机关自行监督，属于行为主体自己行为自己监督，其不足亦是显而易见的。为解决这一问题，可以立足于我国现有的行政复议制度，把行政复议机关作为个人信息保护监督机关，赋予其相应的职权。行政复议本身具有监督行政的属性，行政复议机关一般是作为被申请人的行政机关的上一级机关或所属的一级政府，行政复议机关与作为被申请人的行政机关是一种领导与被领导的关系，或者是业务指导、主管的关系。因此，由信息处理主体的行政复议机关进行个人信息保护的监督，比信息处理主体的自行监督会有更好的效果。依《
行政复议法》的规定，由行政复议机关的内部机构履行复议职责。而实践中，一级政府和政府工作部门分别由其法制部门和内部的法制机构具体履行复议职责。复议机构工作人员的相对专业性和专职性也有利于其胜任个人信息保护的监督工作。结合各国个人信息保护法的规定，我国个人信息保护监督机关的职责应包括以下内容：对个人信息保护法的执行进行一般性监督；进行个人信息保护的研究和咨询；并定期提交工作报告。
