“大數據”背景下個人信息字段的規范分析與比較研究

顧偉 阿里巴巴通信技術（北京）有限公司法學博士

“大數據”背景下個人信息字段的規范分析與比較研究

顧偉 阿里巴巴通信技術（北京）有限公司法學博士

隨著“大數據”產業發展，在技術易變性的作用下，個人信息數據化形式愈發多樣，與法律滯后性之間的矛盾也更加凸顯。為此，本文對國內外個人信息保護相關的法律與政策進行了系統性梳理，具體分析了個人信息的判斷標準，以及新類型個人信息的字段認定。最后，在綜合比較的基礎上，概要分析了新形勢下個人信息字段的發展趨勢及其啟示。

大數據 個人信息 字段

1 引言

人類社會正在邁入普適計算的“大數據”時代。無處不在的傳感器和微處理器，使得人類社會的幾乎所有的行為，乃至一切客觀存在都有可能留下數據痕跡。通過這些痕跡不僅能夠發現人類的各種行為方式、偏好或特征，也能夠了解傳感處理設備所處環境的指標性能等。這樣的人和物的數據痕跡，一旦能夠借助互聯網絡實現打通和交互，其價值將無可估量，但風險也將無限放大。準確厘清這些“大數據”中個人信息的具體字段，無疑有助于實現產業發展與安全的平衡。

這就要求法律規則要適應“大數據”產業發展趨勢，能夠及時對新技術環境下個人信息的最新形態進行準確判斷，給予相關從業者乃至執法部門以明確的指導。那么，我國現行法律體系下的“個人信息”定性，是否符合數據產業發展要求？如若不符，需要進行怎樣的調整？

2 數據化的個人信息

與現實社會環境中的“個人信息”更加強調“信息內容”不同，“大數據”背景下的“個人信息”更強調具備“信息載體”技術特征的信息內容，討論的是具備“電子數據”形態下的個人信息。

數據化的個人信息是“個人信息”的重要表現。《個人信息保護法》（專家建議稿）的起草者周漢華教授在撰稿之初，在“計算機處理信息”與“手動處理信息”的選擇上就曾指出：“對于這個問題，我們認為應采用大多數國家或地區的通行做法，明確規定法律同時適用于計算機方式處理的信息和手動方式處理的信息”。

對此，我國立法機關也非常重視數據化的個人信息保護工作。2012年底，《全國人大常委會關于加強網絡信息保護的決定》第一條第一款規定：“國家保護能夠識別公民個人身份和涉及公民個人隱私的電子信息”。這一規定為“大數據”背景下的個人信息保護提供了初步依據，但具體判斷標準和字段仍需進一步探析。

3 個人信息定性與字段分析

實踐中，對個人信息進行準確定性和辨析字段，關鍵是把握合理的判斷標準。需要說明的是，縱觀各國、各地區的立法，基本都既保護個人數據又保護個人信息（資料），并沒有因為稱謂的不同而限縮保護對象的范圍。鑒于此，以下不對個人信息（資料）、個人數據作嚴格概念區分，尊重立法原文，混同使用。

3.1 個人信息的判斷標準

（1）識別性是基本判斷標準

當前國內對個人信息的界定，主要依據是工信部《電信和互聯網用戶個人信息保護規定》，其將“用戶個人信息”認定為“電信業務經營者和互聯網信息服務提供者在提供服務的過程中收集的用戶姓名、出生日期、身份證件號碼、住址、電話號碼、賬號和密碼等能夠單獨或者與其他信息結合識別用戶的信息以及用戶使用服務的時間、地點等信息”。

由此可以發現，我國認定個人信息的法律標準是識別性標準，一是已識別標準，即判斷信息是否直接能夠識別用戶個人身份；二是可識別標準，判斷信息是否與其他信息結合識別用戶個人身份。識別性標準雖是部門規章所規定，但發布單位工業和信息化部是電信和互聯網的主管部門，故該標準仍具有普遍意義。

境外法律中個人信息的定性與我國的基本類似。典型的如歐盟1995年的《個人數據保護指令》，其將個人數據定義為“任何與一個明確自然人或可識別自然人（數據主體）身份有關的信息”。我國臺灣地區2010年新修訂的《個人資料保護法》也采用“得以直接或間接方式識別該個人之數據”的措辭。

當然，識別性標準不需要細分為“已識別”和“可識別”，語義上“可識別”就能夠包括“已識別”。例如，加拿大《個人信息保護及電子文件法》規定，個人信息是指“有關一個可識別的個人的信息”；香港特別行政區2012年修訂的《個人資料（私隱）條例》也采取“可識別該人士身份的資料”的說法。

（2）英國信息專員辦公室推薦的快速判斷標準

英國《數據保護法》的執行機關——信息專員辦公室在通用的識別性標準基礎上，專門發布鑒別個人信息的快速指南，影響頗廣。具體而言，其將判斷過程分為以下8個順序：

●順序1，能夠從數據中識別出個體，或者根據識別者已經掌握或即將掌握的數據、信息，能夠從數據中識別出個體。

●順序2，數據與可識別個體“相關”，不論是個人還是在家庭生活、商業或工作中。

●順序3，數據“明顯關于”特定個人。

●順序4，數據與特定個人“連接”，提供個人的特定信息，例如受雇于郵局的某人，他的工資屬于他個人信息。

●順序5，已使用或即將使用的數據，通知或將影響特定個人的行為或決定。

●順序6，數據將對個人產生重大影響。

●順序7，數據集中或專注于特定個人，而不是其他人，或其他物體、交易、事件。

●順序8，數據影響或潛在影響特定個人，不論是個體方面，還是家庭、商業或職業能力方面。

符合任何一順序條件的，都屬于個人信息；不符合順序1的，緊接著判斷是否符合順序2，如果符合順序2，同樣屬于個人信息，以此類推。

3.2 個人信息的傳統字段

一般而言，各國、各地區法律或政策文件在對個人信息進行定義的同時，或多或少地會列舉一些個人信息的字段。例如，前述我國工業和信息化部的規章，列舉了“用戶姓名、出生日期、身份證件號碼、住址、電話號碼、賬號和密碼”等字段；此外，最高人民法院《關于審理利用信息網絡侵害人身權益民事糾紛案件適用法律若干問題的規定》（法釋〔2014〕11號）和《最高人民法院、最高人民檢察院、公安部關于依法懲處侵害公民個人信息犯罪活動的通知》（公通字〔2013〕12號）等文件中，也對公民個人信息的字段進行了列舉，分別為“自然人基因信息、病歷資料、健康檢查資料、犯罪記錄、家庭住址、私人活動”，以及“姓名、年齡、有效證件號碼、婚姻狀況、工作單位、學歷、履歷、家庭住址、電話號碼”等。

與我國類似，美歐國家早期隱私或個人信息立法或政策文件中，也普遍列舉有姓名、證件號碼、工作履歷、生物特征信息等。例如，美國聯邦《隱私法》中就規定有姓名，以及曾用名、指紋、社會保障號、護照號、駕照號等個人其他標識。這些字段既適用現實社會，也能適用于網絡環境，屬于傳統意義上的個人信息字段。

3.3 “大數據”背景下新類型的個人信息字段

與傳統個人信息不同，隨著信息技術的飛速發展和互聯網產業發展的不斷深入，電子數據與個人的聯系愈發緊密，一方面個人信息不斷以新的數據形式呈現，可視化形式發生變化；另一方面，原本不屬于個人信息的數據字段，因其識別性特征愈發明顯等原因，有逐漸被納入個人信息字段范圍的趨勢，例如IP地址、Cookies等，但基本都要符合特定條件或限定場景中。

（1）Cookie適用以實際使用為基準的動態可識別標準

美國的立法強調，識別性仍是判斷某Cookie字段是否屬于個人信息的基本標準。例如，美國《兒童在線隱私保護法》（COPPA）界定的“個人信息”字段第7類是：“其他可跨網站持續識別用戶的標識符，例如Cookie號碼、IP地址、設備序列號或其他獨特標識符”。

同樣的，澳大利亞信息專員辦公室在其網頁政策指引中也明確指出，分析Cookie（如訪問某個網頁的時間）并不構成隱私法中的個人信息，除非特定個人身份能夠被合理地識別出。

歐盟的指令則從反面說明，如果Cookie屬于指令例外中的兩種情形，則不屬于個人信息。根據歐盟2002年《電子隱私指令》第5.3條規定，網站必須獲得用戶知情同意后，方能在用戶設備中存儲Cookie。指令同時提供了兩個豁免規則：

●用Cookie唯一目的是進行電子通信網絡的通信傳輸。

●Cookie嚴格是由用戶顯式地請求提供服務，要求服務提供者提供必要信息社會服務。

新加坡的個人數據保護委員會在其指南中有與歐盟類似規定。其強調并不是所有Cookie都收集個人數據，2012年發布的《個人數據保護法》僅適用于使用Cookie收集、使用和披露個人數據的行為。例如，會話Cookie只收集用于網站視頻的技術數據，這種情況下不需要獲得同意；對于用戶明確要求的互聯網活動，也不需要獲得同意，因為用戶已經知其目的。例如，不通過Cookie收集、使用和披露個人信息就無法實現的活動，用戶被視為同意提供個人數據。

我國法律沒有明確Cookie是否屬于個人信息，但在“北京百度網訊科技公司與朱燁隱私權糾紛案”中，南京中級人民法院終審判決亦采納識別性標準。判決認為，“百度公司收集、利用的是未能與網絡用戶個人身份對應識別的數據信息，該數據信息的匿名化特征不符合‘個人信息’的可識別性要求”。

綜上，無論中外，Cookie字段本身并不當然屬于“個人信息”，判斷其是否屬于個人信息應當根據其是否用于識別特定個人身份。從某種程度上說，此處識別性標準已從最初狀態為基準的靜態可識別標準，發展為以實際使用為基準的動態可識別標準。

（2）IP地址同樣適用以實際使用為基準的動態可識別標準

美國聯邦標準與技術研究院發布的《保護個人身份信息的保密指南》（NISTSP800-122）中在用戶可識別信息（PII）目錄第4項中規定，“設備信息，包括可以關聯到個人或小范圍人群的IP地址、MAC地址或其他靜態計算機信息設備標識符”屬于用戶可識別信息。

德國法院在判決中明確指出不能識別到個人的IP地址不屬于個人信息。2008年，德國法院判決存儲于公司服務器中的個人IP地址不屬于德國《數據保護法》中的“個人數據”，因為德國法中個人數據是指可識別特定自然人的數據。法院認為，要識別IP背后個人的身份，還需要征詢服務提供商，這屬于“附加步驟”，而根據德國法，原則上任何人都不可以從ISP處獲知特定IP地址背后的特定個人。

加拿大隱私專員辦公室在其報告中提出，識別個人身份的6項基本要素，包括姓名、地址、電話號碼、電子郵件地址、IP地址、本地服務提供者分配的標識符。但特別強調，IP地址本身不是個人信息，但與其他信息結合則會構成個人信息。

由此可見，IP地址也不當然屬于個人信息，需要根據實際使用情況，以是否聯系或識別特定個人來判斷。

（3）匿名數據需要根據其實際識別性判斷

將個人信息在處理過程中去除識別性，剩余的信息不能識別到個人的就是一種匿名數據。如何實現這樣的匿名化處理，目前各國法律還沒有明確規定。

一般而言，個人信息“切實”匿名化后可以不適用個人信息保護規則。新加坡個人數據保護委員會在《個人數據保護法指定主題咨詢指南》中就明確指出，“匿名化就是將個人數據轉化為一種數據，這種數據無論是本身還是通過機構已經獲得的或者可能獲得的其他數據都不能識別到個人”，“匿名化之后的數據就可以不適用于個人數據保護法的規定”。

但各界對匿名化技術爭議仍較大，主要是出于對匿名技術可靠性和再識別技術的擔憂。美國白宮發布的大數據白皮書中就提到，“很難預測再識別技術如何應對看似匿名的數據”，根據馬賽克效應（Mosaic Effect），只要明確包括其愛好等傾向在內的行為圖譜，個人身份信息甚至可以從不包括其個人識別數據中得到或推斷出。

4 “大數據”時代個人信息字段的認定趨勢及啟示

縱觀近年來各國、各地區的立法、政策文件及司法判決，不難發現，與傳統個人信息保護法律中側重“個人”相比，“大數據”背景下的個人信息的認定日益側重“標識”或“識別”。正如2015年年初，英格蘭及威爾士上訴法院在Vidal-Hal訴Google案判決中所強調的，信息是否指出用戶的名字已不重要，用戶識別所涉及的是能夠“個體化”個人的數據。經比較研究，“大數據”時代個人信息字段的認定趨勢可歸納為以下3條：

（1）由于經濟社會的發展和技術的進步，機器設備的“識別性”不斷增強

“多用戶”場景已經過時，以往“多個用戶使用一臺設備”已經逐步變為“一個用戶使用多臺設備”，設備標識符與個人的聯系將會隨之不斷增強。由此，IP地址、MAC地址等設備標識符在實際使用過程中，被納入個人信息的場景將越來越多。

（2）信息的“識別性”變得相對可控，需要根據實際使用場景進行判斷

由于匿名化技術的不斷發展，個人信息的保護更加需要綜合考慮信息的全生命周期，因為個人信息既可能因完全匿名化而不再具備可識別性，成為一般信息，也可能因為數據聚合分析技術而重新具備識別性，轉為個人信息。

（3）各國為確保“大數據”的開發利用，普遍對新類型的個人信息字段認定采用更加靈活的實質性標準

現實社會中，個人信息字段一般從形式角度即可進行判斷，例如某號碼屬于某用戶身份證號碼，則將之判定為個人信息。但在“大數據”環境中，某電子數據是否屬于個人信息則變得復雜，更需從實質使用角度判斷。例如，收集手機MAC地址信息，可能會因為用戶的實名或匿名，或收集后的信息是否與手機號匹配等情況，產生截然不同的認定結果。

對于我國而言，現行法律已經不足敷用，高位階的個人信息保護法缺位，規章和規范性文件又難以執行到位，這直接影響了我國的個人信息保護工作的開展。特別是，我國缺乏個人信息保護的專門機構，這使得我國不能像其他國家、地區那樣，可以及時、有效地辨析出“大數據”新應用、新業態、新模式中的個人信息，并采取靈活保護措施。可喜的是，工業和信息化部已在牽頭制定電信和互聯網用戶個人信息保護的系列技術標準，期待這些標準出臺能夠“于事有補”。

羅德與施瓦茨公司亮相2015年汽車測試及質量監控博覽會

日前，羅德與施瓦茨公司（以下簡稱R&S）參加了2015年9月15—17日在上海光大會展中心舉辦的2015年汽車測試及質量監控博覽會，并展出了EMC測試、車聯網測試等針對車載無線信號與車載電子測試的專業解決方案。

車聯網與車載無線測試還是比較新的概念，R&S是本次展會上少有的提供此類專業測試方案的展商。R&S展示了認證級EMI測試接收機，車載信息娛樂系統測試方案，車載毫米波雷達仿真測試系統，V2X（802.11）測試方案和總線測試方案等多個產品與應用測試系統。

Normative Analysis and Comparative Study of Personal Information Field under the Background of“Big Data

Recently, with the development of technology and the Big Data industry, the personal information is reach incontent with various forms, thus leading to the conflict between practice and law.To this end, the article analyses all of domesticand international personal information protection laws, and then illustrates the judgment standards of personal information,as well as the new type of personal information field. Finally, on the basis of comprehensive comparison, the articleconcludes the development trend of personal information field in thenewsituation and its revelation.

BigData,personalin formation,field

2015-09-19）