全国人大常委会在2012年12月28日出台的《关于加强网络信息保护的决定》是这个阶段的代表之作，虽然仅有十几条框架性条文，但却是我国最高立法机关对个人信息保护高度重视的突出表现。在这个《决定》中，首次明确了网络数据使用的九字原则：合法性、必要性和正当性，它们也成为日后衡量网络服务提供者数据侵权责任的基本原则。在这三个原则基础上，《决定》明确了侵害个人数据的法律责任，既包括行政责任、民事责任，也包括刑事责任。
司法界和网络实践界都对《决定》有很高的评价的原因有两个：
首先，司法机关和行政管理者可以依据《决定》确定的基本原则对个案进行判断。有人曾对《决定》规定的原则过于宽泛提出质疑，其实这并不是该法的弱点，反倒是长处所在。这是因为，该阶段中我国对大数据的利用和探索才刚刚开始，过于严格或具体的法律规定，虽然具有更强的执行力，不过，也会减少对技术发展的推动力，在我们尚未形成成熟市场的阶段，原则性的规定既会满足个案特性，促进产业发展，又会形成框架，加强法律约束，是产业发展特殊时期的最佳选择。
应对苹果公司“后门”事件，《决定》可以起到关键性作用，苹果公司虽然是外国公司，不过，按照管辖原则，仍应遵守我国法律，按照《决定》的规定，苹果公司应为“后门事件”承担窃取我国公民隐私信息的民事责任、行政责任，甚至刑事责任。
其次，互联网企业最为担心的是国家政策法规过于强调对数据的控制，担心出现类似于欧盟对隐私权那样的严格立法，那样将会阻碍我国互联网经济的发展进度。众所周知，在数据保护领域中，世界范围内一直存在两种截然不同的立法理念，一种是以欧盟为代表的强调隐私保护，限制数据使用的理念（2014年之后，欧洲开始对限制性立法进行修改），另一种就是以美国为代表，认为人格自由是隐私权的基础，从强调个人对数据的控制性，推进数据合理化使用的发展（911之后的爱国者法案等系列举措，开始将国家安全置于个人权利之上）。这两种立法的客观结果是，美国成为现代网络发展的前沿阵地，而在欧洲并未出现任何一家世界范围内知名互联网公司，这也使得欧洲在网络经济和影响力上受制于美国。所以，我国在选择数据保护之路的时候，更愿意倾向于美国式保护体系，更愿意在维护用户合法权益和保障用户控制数据自由的基础上，推进数据的合理化使用。
