“大数据”背景下个人信息字段的规范分析与比较研究

顾伟 阿里巴巴通信技术（北京）有限公司法学博士

“大数据”背景下个人信息字段的规范分析与比较研究

顾伟 阿里巴巴通信技术（北京）有限公司法学博士

随着“大数据”产业发展，在技术易变性的作用下，个人信息数据化形式愈发多样，与法律滞后性之间的矛盾也更加凸显。为此，本文对国内外个人信息保护相关的法律与政策进行了系统性梳理，具体分析了个人信息的判断标准，以及新类型个人信息的字段认定。最后，在综合比较的基础上，概要分析了新形势下个人信息字段的发展趋势及其启示。

大数据 个人信息 字段

1 引言

人类社会正在迈入普适计算的“大数据”时代。无处不在的传感器和微处理器，使得人类社会的几乎所有的行为，乃至一切客观存在都有可能留下数据痕迹。通过这些痕迹不仅能够发现人类的各种行为方式、偏好或特征，也能够了解传感处理设备所处环境的指标性能等。这样的人和物的数据痕迹，一旦能够借助互联网络实现打通和交互，其价值将无可估量，但风险也将无限放大。准确厘清这些“大数据”中个人信息的具体字段，无疑有助于实现产业发展与安全的平衡。

这就要求法律规则要适应“大数据”产业发展趋势，能够及时对新技术环境下个人信息的最新形态进行准确判断，给予相关从业者乃至执法部门以明确的指导。那么，我国现行法律体系下的“个人信息”定性，是否符合数据产业发展要求？如若不符，需要进行怎样的调整？

2 数据化的个人信息

与现实社会环境中的“个人信息”更加强调“信息内容”不同，“大数据”背景下的“个人信息”更强调具备“信息载体”技术特征的信息内容，讨论的是具备“电子数据”形态下的个人信息。

数据化的个人信息是“个人信息”的重要表现。《个人信息保护法》（专家建议稿）的起草者周汉华教授在撰稿之初，在“计算机处理信息”与“手动处理信息”的选择上就曾指出：“对于这个问题，我们认为应采用大多数国家或地区的通行做法，明确规定法律同时适用于计算机方式处理的信息和手动方式处理的信息”。

对此，我国立法机关也非常重视数据化的个人信息保护工作。2012年底，《全国人大常委会关于加强网络信息保护的决定》第一条第一款规定：“国家保护能够识别公民个人身份和涉及公民个人隐私的电子信息”。这一规定为“大数据”背景下的个人信息保护提供了初步依据，但具体判断标准和字段仍需进一步探析。

3 个人信息定性与字段分析

实践中，对个人信息进行准确定性和辨析字段，关键是把握合理的判断标准。需要说明的是，纵观各国、各地区的立法，基本都既保护个人数据又保护个人信息（资料），并没有因为称谓的不同而限缩保护对象的范围。鉴于此，以下不对个人信息（资料）、个人数据作严格概念区分，尊重立法原文，混同使用。

3.1 个人信息的判断标准

（1）识别性是基本判断标准

当前国内对个人信息的界定，主要依据是工信部《电信和互联网用户个人信息保护规定》，其将“用户个人信息”认定为“电信业务经营者和互联网信息服务提供者在提供服务的过程中收集的用户姓名、出生日期、身份证件号码、住址、电话号码、账号和密码等能够单独或者与其他信息结合识别用户的信息以及用户使用服务的时间、地点等信息”。

由此可以发现，我国认定个人信息的法律标准是识别性标准，一是已识别标准，即判断信息是否直接能够识别用户个人身份；二是可识别标准，判断信息是否与其他信息结合识别用户个人身份。识别性标准虽是部门规章所规定，但发布单位工业和信息化部是电信和互联网的主管部门，故该标准仍具有普遍意义。

境外法律中个人信息的定性与我国的基本类似。典型的如欧盟1995年的《个人数据保护指令》，其将个人数据定义为“任何与一个明确自然人或可识别自然人（数据主体）身份有关的信息”。我国台湾地区2010年新修订的《个人资料保护法》也采用“得以直接或间接方式识别该个人之数据”的措辞。

当然，识别性标准不需要细分为“已识别”和“可识别”，语义上“可识别”就能够包括“已识别”。例如，加拿大《个人信息保护及电子文件法》规定，个人信息是指“有关一个可识别的个人的信息”；香港特别行政区2012年修订的《个人资料（私隐）条例》也采取“可识别该人士身份的资料”的说法。

（2）英国信息专员办公室推荐的快速判断标准

英国《数据保护法》的执行机关——信息专员办公室在通用的识别性标准基础上，专门发布鉴别个人信息的快速指南，影响颇广。具体而言，其将判断过程分为以下8个顺序：

●顺序1，能够从数据中识别出个体，或者根据识别者已经掌握或即将掌握的数据、信息，能够从数据中识别出个体。

●顺序2，数据与可识别个体“相关”，不论是个人还是在家庭生活、商业或工作中。

●顺序3，数据“明显关于”特定个人。

●顺序4，数据与特定个人“连接”，提供个人的特定信息，例如受雇于邮局的某人，他的工资属于他个人信息。

●顺序5，已使用或即将使用的数据，通知或将影响特定个人的行为或决定。

●顺序6，数据将对个人产生重大影响。

●顺序7，数据集中或专注于特定个人，而不是其他人，或其他物体、交易、事件。

●顺序8，数据影响或潜在影响特定个人，不论是个体方面，还是家庭、商业或职业能力方面。

符合任何一顺序条件的，都属于个人信息；不符合顺序1的，紧接着判断是否符合顺序2，如果符合顺序2，同样属于个人信息，以此类推。

3.2 个人信息的传统字段

一般而言，各国、各地区法律或政策文件在对个人信息进行定义的同时，或多或少地会列举一些个人信息的字段。例如，前述我国工业和信息化部的规章，列举了“用户姓名、出生日期、身份证件号码、住址、电话号码、账号和密码”等字段；此外，最高人民法院《关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》（法释〔2014〕11号）和《最高人民法院、最高人民检察院、公安部关于依法惩处侵害公民个人信息犯罪活动的通知》（公通字〔2013〕12号）等文件中，也对公民个人信息的字段进行了列举，分别为“自然人基因信息、病历资料、健康检查资料、犯罪记录、家庭住址、私人活动”，以及“姓名、年龄、有效证件号码、婚姻状况、工作单位、学历、履历、家庭住址、电话号码”等。

与我国类似，美欧国家早期隐私或个人信息立法或政策文件中，也普遍列举有姓名、证件号码、工作履历、生物特征信息等。例如，美国联邦《隐私法》中就规定有姓名，以及曾用名、指纹、社会保障号、护照号、驾照号等个人其他标识。这些字段既适用现实社会，也能适用于网络环境，属于传统意义上的个人信息字段。

3.3 “大数据”背景下新类型的个人信息字段

与传统个人信息不同，随着信息技术的飞速发展和互联网产业发展的不断深入，电子数据与个人的联系愈发紧密，一方面个人信息不断以新的数据形式呈现，可视化形式发生变化；另一方面，原本不属于个人信息的数据字段，因其识别性特征愈发明显等原因，有逐渐被纳入个人信息字段范围的趋势，例如IP地址、Cookies等，但基本都要符合特定条件或限定场景中。

（1）Cookie适用以实际使用为基准的动态可识别标准

美国的立法强调，识别性仍是判断某Cookie字段是否属于个人信息的基本标准。例如，美国《儿童在线隐私保护法》（COPPA）界定的“个人信息”字段第7类是：“其他可跨网站持续识别用户的标识符，例如Cookie号码、IP地址、设备序列号或其他独特标识符”。

同样的，澳大利亚信息专员办公室在其网页政策指引中也明确指出，分析Cookie（如访问某个网页的时间）并不构成隐私法中的个人信息，除非特定个人身份能够被合理地识别出。

欧盟的指令则从反面说明，如果Cookie属于指令例外中的两种情形，则不属于个人信息。根据欧盟2002年《电子隐私指令》第5.3条规定，网站必须获得用户知情同意后，方能在用户设备中存储Cookie。指令同时提供了两个豁免规则：

●用Cookie唯一目的是进行电子通信网络的通信传输。

●Cookie严格是由用户显式地请求提供服务，要求服务提供者提供必要信息社会服务。

新加坡的个人数据保护委员会在其指南中有与欧盟类似规定。其强调并不是所有Cookie都收集个人数据，2012年发布的《个人数据保护法》仅适用于使用Cookie收集、使用和披露个人数据的行为。例如，会话Cookie只收集用于网站视频的技术数据，这种情况下不需要获得同意；对于用户明确要求的互联网活动，也不需要获得同意，因为用户已经知其目的。例如，不通过Cookie收集、使用和披露个人信息就无法实现的活动，用户被视为同意提供个人数据。

我国法律没有明确Cookie是否属于个人信息，但在“北京百度网讯科技公司与朱烨隐私权纠纷案”中，南京中级人民法院终审判决亦采纳识别性标准。判决认为，“百度公司收集、利用的是未能与网络用户个人身份对应识别的数据信息，该数据信息的匿名化特征不符合‘个人信息’的可识别性要求”。

综上，无论中外，Cookie字段本身并不当然属于“个人信息”，判断其是否属于个人信息应当根据其是否用于识别特定个人身份。从某种程度上说，此处识别性标准已从最初状态为基准的静态可识别标准，发展为以实际使用为基准的动态可识别标准。

（2）IP地址同样适用以实际使用为基准的动态可识别标准

美国联邦标准与技术研究院发布的《保护个人身份信息的保密指南》（NISTSP800-122）中在用户可识别信息（PII）目录第4项中规定，“设备信息，包括可以关联到个人或小范围人群的IP地址、MAC地址或其他静态计算机信息设备标识符”属于用户可识别信息。

德国法院在判决中明确指出不能识别到个人的IP地址不属于个人信息。2008年，德国法院判决存储于公司服务器中的个人IP地址不属于德国《数据保护法》中的“个人数据”，因为德国法中个人数据是指可识别特定自然人的数据。法院认为，要识别IP背后个人的身份，还需要征询服务提供商，这属于“附加步骤”，而根据德国法，原则上任何人都不可以从ISP处获知特定IP地址背后的特定个人。

加拿大隐私专员办公室在其报告中提出，识别个人身份的6项基本要素，包括姓名、地址、电话号码、电子邮件地址、IP地址、本地服务提供者分配的标识符。但特别强调，IP地址本身不是个人信息，但与其他信息结合则会构成个人信息。

由此可见，IP地址也不当然属于个人信息，需要根据实际使用情况，以是否联系或识别特定个人来判断。

（3）匿名数据需要根据其实际识别性判断

将个人信息在处理过程中去除识别性，剩余的信息不能识别到个人的就是一种匿名数据。如何实现这样的匿名化处理，目前各国法律还没有明确规定。

一般而言，个人信息“切实”匿名化后可以不适用个人信息保护规则。新加坡个人数据保护委员会在《个人数据保护法指定主题咨询指南》中就明确指出，“匿名化就是将个人数据转化为一种数据，这种数据无论是本身还是通过机构已经获得的或者可能获得的其他数据都不能识别到个人”，“匿名化之后的数据就可以不适用于个人数据保护法的规定”。

但各界对匿名化技术争议仍较大，主要是出于对匿名技术可靠性和再识别技术的担忧。美国白宫发布的大数据白皮书中就提到，“很难预测再识别技术如何应对看似匿名的数据”，根据马赛克效应（Mosaic Effect），只要明确包括其爱好等倾向在内的行为图谱，个人身份信息甚至可以从不包括其个人识别数据中得到或推断出。

4 “大数据”时代个人信息字段的认定趋势及启示

纵观近年来各国、各地区的立法、政策文件及司法判决，不难发现，与传统个人信息保护法律中侧重“个人”相比，“大数据”背景下的个人信息的认定日益侧重“标识”或“识别”。正如2015年年初，英格兰及威尔士上诉法院在Vidal-Hal诉Google案判决中所强调的，信息是否指出用户的名字已不重要，用户识别所涉及的是能够“个体化”个人的数据。经比较研究，“大数据”时代个人信息字段的认定趋势可归纳为以下3条：

（1）由于经济社会的发展和技术的进步，机器设备的“识别性”不断增强

“多用户”场景已经过时，以往“多个用户使用一台设备”已经逐步变为“一个用户使用多台设备”，设备标识符与个人的联系将会随之不断增强。由此，IP地址、MAC地址等设备标识符在实际使用过程中，被纳入个人信息的场景将越来越多。

（2）信息的“识别性”变得相对可控，需要根据实际使用场景进行判断

由于匿名化技术的不断发展，个人信息的保护更加需要综合考虑信息的全生命周期，因为个人信息既可能因完全匿名化而不再具备可识别性，成为一般信息，也可能因为数据聚合分析技术而重新具备识别性，转为个人信息。

（3）各国为确保“大数据”的开发利用，普遍对新类型的个人信息字段认定采用更加灵活的实质性标准

现实社会中，个人信息字段一般从形式角度即可进行判断，例如某号码属于某用户身份证号码，则将之判定为个人信息。但在“大数据”环境中，某电子数据是否属于个人信息则变得复杂，更需从实质使用角度判断。例如，收集手机MAC地址信息，可能会因为用户的实名或匿名，或收集后的信息是否与手机号匹配等情况，产生截然不同的认定结果。

对于我国而言，现行法律已经不足敷用，高位阶的个人信息保护法缺位，规章和规范性文件又难以执行到位，这直接影响了我国的个人信息保护工作的开展。特别是，我国缺乏个人信息保护的专门机构，这使得我国不能像其他国家、地区那样，可以及时、有效地辨析出“大数据”新应用、新业态、新模式中的个人信息，并采取灵活保护措施。可喜的是，工业和信息化部已在牵头制定电信和互联网用户个人信息保护的系列技术标准，期待这些标准出台能够“于事有补”。

罗德与施瓦茨公司亮相2015年汽车测试及质量监控博览会

日前，罗德与施瓦茨公司（以下简称R&S）参加了2015年9月15—17日在上海光大会展中心举办的2015年汽车测试及质量监控博览会，并展出了EMC测试、车联网测试等针对车载无线信号与车载电子测试的专业解决方案。

车联网与车载无线测试还是比较新的概念，R&S是本次展会上少有的提供此类专业测试方案的展商。R&S展示了认证级EMI测试接收机，车载信息娱乐系统测试方案，车载毫米波雷达仿真测试系统，V2X（802.11）测试方案和总线测试方案等多个产品与应用测试系统。

Normative Analysis and Comparative Study of Personal Information Field under the Background of“Big Data

Recently, with the development of technology and the Big Data industry, the personal information is reach incontent with various forms, thus leading to the conflict between practice and law.To this end, the article analyses all of domesticand international personal information protection laws, and then illustrates the judgment standards of personal information,as well as the new type of personal information field. Finally, on the basis of comprehensive comparison, the articleconcludes the development trend of personal information field in thenewsituation and its revelation.

BigData,personalin formation,field

2015-09-19）