对该类行为轨迹信息须在分类基础上进行选择性保护。依照是否投入智力、物力被加工为标准将此类信息分为原始信息和加工信息，前者指直接从数据主体收集而来的信息，其属于纯粹的匿名信息，不在法律保护范围之列，处于共享状态；后者指数据控制者和使用者对原始信息加工后的信息，该类匿名信息虽然与数据主体已然脱离关系，但经过了网络运营者大量智力劳动投入，经过了深度开发与系统整合，故网络运营者对其享有财产性权益，其他网络运营者不能擅自抓取，否则构成不正当竞争。当然，对该问题的探讨又会涉及企业数据的权属争议。

　　在数字社会视域下，个人网络行为轨迹信息（下称行为轨迹信息）是相对于传统个人信息概念的一个参照性、集合性概念，指的是网络用户在使用计算机和网络过程中被计算机硬件或软件记录下来的行为过程数据。由于技术和观念更迭，个人行为轨迹信息的外延在不断发生变化，很难进行精确界定，只能进行开放性罗列，包括但不限于浏览器搜索关键词，用户操作记录（网站登录记录、软件使用记录、点击记录），通过互联网观看、收听、阅读一切视听内容的记录，支付软件的交易记录，软件翻译记录，位置踪迹，网购足迹，智能穿戴设备收集的身体体征信息，系统错误报告信息，用户改善计划等等。与上网账号、用户名、密码、固定IP地址、姓名、出生日期、身份证号码、学号、电话号码、住址，乃至基因、声纹、人脸图像等个人信息不同，行为轨迹信息是人们在线交互过程中产生的不具有独立身份识别特征的有关个人信息，其一度不被法律所认可和保护。

　　随着信息的电子化、可存储越来越便捷，个人信息的利用尤其是二次挖掘价值日渐凸显，在身份和行为识别方面，行为轨迹信息实现了从不可识别到可识别的流变，成为个人数字画像、开展精准推送的重要依托，传统身份要素的价值愈加依附于其衍生出的行为轨迹信息，甚至与身份要素完全脱离的反映相应特征的行为标签信息，都可实现相应商业利益。可见，行为轨迹信息已经具备受法律保护之权益或权利的实质要件。

　　对此类行为轨迹信息可给予敏感个人信息强Байду номын сангаас的法律保护。数据控制者收集该类数据必须获得数据主体明示同意，即数据主体通过书面声明或主动作出肯定性动作来完成对其个人数据进行特定处理的明确授权，其中，肯定性动作包括数据主体主动作出声明（电子或纸质形式）、主动勾选、主动点击“同意”“注册”“发送”“拨打”等。同时，数据控制者要遵循合法收集、目的限制、最小够用等原则，数据主体享有查询、更正、删除、撤回同意等权利。

　　关于“不愿为他人知晓”的“私密性”，强调主观意愿，该主观意愿不完全取决于隐私诉求者的个体意志，应符合社会一般合理认知。社会一般合理认知，可能受到地域、文化传统、法律传统、习惯风俗、经济发展状况、社会普遍价值观等因素的影响。

　　敏感信息类的次强保护模式。从信息类型看，此类行为轨迹信息属于《规范》中的敏感信息，譬如个人财产信息中的交易消费记录、虚拟财产信息，以及个人的行踪轨迹、网页浏览记录、住宿信息、精准定位信息。从数据存在样态看，此类数据是一种“动态”且“混合”的行为轨迹信息，“动态”类信息指对主体的购买记录、行踪轨迹、搜索历史、翻译记录进行持续性追踪所形成的数据集；“混合”类信息指捆绑显性识别符（姓名、身份证号、住址等）的行为轨迹信息，或将多个类型的行为轨迹信息混合收集的行为轨迹信息（比如能进行交叉验证的位置信息与网上交易记录的混合）。

　　私密信息类的强保护模式。民法典第1034条第3款规定了个人信息中的私密信息适用有关隐私权的规定，第1032条第2款对“隐私”进行了界定，即“隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息”。由此可知，民法典对个人信息中的私密信息进行了分类和强调。划入隐私的个人信息，应强调其“私密性”，进而与其他层级的个人信息在收集、存储、使用、加工、传输、提供、公开等方面形成相区别的授权同意规范、技术安全规范、信息处理规范等。如有关疾病史、未公开的违法犯罪记录等，此类信息要强化其防御性保护，非特定情形不得处理。

　　将行为轨迹信息纳入法律评价框架并不意味着要笼统纳入个人信息的法律保护范围，而应平衡数据保护与数据自由之张力，参照民法典（将个人信息划分为个人信息、私密信息、匿名信息）和《信息安全技术个人信息安全规范》（将个人信息划分为一般信息、敏感信息）的规范实践，既要考虑识别所需的成本、时间及技术发展，又要考量用户为获得免费网络服务而提供个人信息的主动意愿，结合行为轨迹信息的存在形态、样本数量、与其他信息的结合程度进行倾向性归类而非做概念性认定的层级分类，采用不同程度的保护标准，以界定信息收集者、使用者的不同责任。