作者：高秦伟，中山大学法学院教授、博士生导师
内容摘要：
“个人信息”概念的界定是个人信息保护立法的核心和前提。识别说以信息与主体之间是否存在某种客观、可识别的可能性来界定个人信息。随着科技发展与信息种类的多样化，这种静态的定义在实践中受到严峻挑战。如何协调法律的确定性与科技发展带来的不确定性、如何平衡个人信息保护与信息之间的流动、如何在概念适用中根据信息存在的语境调整个人信息保护的强度，成为个人信息立法与实践的理论起点。通过对传统学说的反思，未来中国个人信息保护立法应以识别说和关联说为基础，重塑更具有包容性的个人信息概念及相应的个人信息保护机制，实现有效保护个人信息的立法目的。
关键词：
一、问题意识
其次，个人信息概念的界定直接反映出个人信息保护立法的价值取向，如何在个人信息保护与信息利用或数据流动之间达致适当的平衡，是各国个人信息保护立法所需解决的主要矛盾。网络和信息技术发展依赖于大量的信息，高科技促进了市场发展和创新，甚至是民主治理的长足发展。如果无限扩张个人信息的范围，会对信息自由流动、大数据发展等造成阻碍。例如，在实践中，有关IP地址是否被视为个人信息，各国和地区立法便有所不同，西班牙和瑞典将其视为个人信息，德国、法国、英国、中国香港特区则并不视为个人信息，而美国联邦及其各州的作法亦是迥然各异。这体现出各国家或地区对产业发展秉持的不同理念。
二、个人信息概念的理论发展
对于个人信息概念的理论认知，要结合个人信息保护法形成的历史背景来探讨。个人信息保护立法肇端于1970年代计算机技术应用之时。彼时，计算机处理信息的方式给传统依靠纸质媒介人工处理信息的方式带来极大冲击，各种机构均可以批量处理信息，并任意改变信息组成和利用方式，对个人信息及其权属于产生了较大的影响。在此背景下，个人信息保护立法旨在通过界定个人信息概念，区分个人信息与非个人信息，进而明确法律保护的边界。可识别性成为操作传统二分法的核心，由此产生的识别说是界定个人信息概念最早期的理论学说。
（一）识别说
（二）关联说
美国国家标准与技术研究院在“识别说”之外提出了“关联说”。识别说主张从信息到个人的识别，一般是指可以明确直接辨识的信息；而关联说则主张从信息到个人的识别，即已知既定个人而知晓或者收集关于该个人的其他信息。关联说旨在突破传统二分法的局限，强调个人信息界定的动态性。理解这一点，对于信息匿名化处理时若仅移除直接辨识因子而不移除信息之间的“关联”，仍然会因关联而推知该信息与个人的关系便有了深刻的认识和警惕，即依然能回溯到特定个人的信息，不得视为有效的匿名化处理。同时，能够关联到特定个人的信息并不以特殊性为前提，而是通过双向度关联个人和信息，丰富给定个人既有的画像，使信息收集者知晓更多关于某个人的信息。关联说告诉我们，那种为个人信息圈定一个固定范围并以此等同于隐私保护的观念过于抽象化、类型化，要把握信息运作的动态性、场景化、周期性特点，全面把控风险。界定是否构成个人信息并非立法与实施的“目的”，只是界定信息运作的“媒介手段”。在界定个人信息概念时，既保障个人隐私，又促进信息合理使用。
（三）废除静态概念说
（四）新识别说
新识别说是在坚持传统识别说的基础上，将有关个人的信息理解为“光谱”，一端是不可识别的信息，依次为间接识别的个人信息，再次为直接识别的个人信息。[[25]]技术的发展，使得个人信息与非个人信息的区分极为困难，许多企业对非个人信息展开收集，实际也造成了个人隐私和信息的损害或者影响，因此，必须依赖语境、情景作出判断。实践中这三个子信息也不存在绝对的界线。
直接识别的个人信息单独可以确定某个个人，也就是说可以确定他或她的身份。关于这一点，目前各国并无差别。关于间接识别，美国联邦贸易委员会《在急遽变化的时代保护消费者隐私》报告中使用了“合理关联”一词，用以界定个人信息的概念。报告中指出企业有时会对非个人可识别信息进行再识别技术，但如果采取以下三个步骤所处理的信息将不被视为个人信息。首先企业要采取合理的措施防止这些信息被去识别化；其次，企业必须公开对这些去识别化的信息的储存和使用情况，并不得重新识别这些信息。如果打算重新识别的话，必须依据《联邦贸易委员会法》第五节的规定（主要针对不不公平的竞争方法的规制）。再次，如果企业要将信息提供给其他企业使用，必须以合同方式禁止这些企业重新识别这些信息。从这一方式来看，该委员会是将信息使者的意图、阻止重新识别的义务作为规制对象，而不是以信息是否可否被识别为标准。这种作法的益处在于，一方面保护了个人信息，另一方面促进了信息流动。在风险光谱的另一端，不可识别信息一般不与个人相联结，无法确定个人的身份。例如有关各国的人口数量统计信息。但是由于去识别化技术的发展，使得信息所有者不得不随时评估信息安全及其风险。
（五）小结
三、中国个人信息概念的立法和实践
第一，现行立法技术导致“个人信息”概念过于模糊，导致概念的统一性、适用的一致性层面明显存在不足。
第二，现行立法对“个人信息”概念的界定时使用的分类，影响了概念逻辑的自洽性和法的安定性。
第三，支撑现行立法的理论讨论不够充分，导致个人信息概念的界定在保护强度的合比例性、保障的有效性层面有所欠缺。
第四，技术发展导致“个人信息”概念的界定和适用无限扩张，致使个人信息保护和信息流动之间不再具有均衡性的特征。
四、个人信息概念的重塑及立法建议
诸多涉及个人信息泄露、滥用的事件及其不良影响，使得中国迫切需要制定一部统一的个人信息保护法。当然这部法律的立法目的要在个人权利保障、信息增值和自由流动之间实现利益平衡。立法之时，界定个人信息的概念成为首要任务，其既影响到立法目的的全面实现，又影响到个人信息保护的具体机制的顺利运行。实践中，个人信息概念的清晰界定亦有助于各方主体合理展开信息的收集、处理和利用工作，有利于法律解释方法的合理适用，更有利于建立多元的利益协调和规制机制。基于上述立法、实践以及理论的梳理和分析，未来中国立法时应重塑个人信息的概念。
（一）理论学说的重塑
（二）界定个人信息概念的立法原则
按照废除静态概念说的理论，学者认为大数据背景下，所有的信息都可能是个人可识别的信息。但问题在于，无限扩张个人可识别信息的概念可能导致个人信息保护因为成本过高而不具有可操作性。为此，在立法原则上：一方面，应该对于目前一些中国立法中试图为个人信息划定基于类型的固定范围的思路予以反思和扬弃；另一方面则应意识到如果不对个人信息类型化、例示化的话，可能会对行政机关执法和法院的法律适用的确定性产生影响，更有可能因为立法不予界定个人信息而导致信息收集环节出现失控的局面。为此，未来中国的个人信息保护立法仍然要对个人信息的概念加以规定。在界定之时，应贯彻法律概念界定的一般原理，使“个人信息”这一概念既具规范价值又兼叙事价值，既有确定性又有开放性的特征。在界定时要考量个人信息的权利保障和数据流动两大价值之间的平衡；要与当下所处的时代经济、政治、社会、文化以及法学研究等叙事背景相契合。既要有确定的识别标准，又要具有一定的开放性，可使法律方法有适用的空间。
（三）与个人信息概念相适的制度构建
如今，因为网络和信息技术的快速发展，导致个人信息成为一个动态的概念，不再仅仅与网络服务提供者居于直接、单一的联系，而是会经过多方流转、比对、再识别、再利用等方式实现价值重造，实现了与数据中间商、数据后续利用者等主体之间的多重主体的关联。无所不在的信息收集，对个人形成密集追踪；个人信息的海量累积、分析、比对将可能构建出清晰无比的人格图像，挖掘出个人不愿为他人知晓的敏感信息。关联说虽然在理论上可以应对这些新的发展，但是可以预料到的是实践中对于某类信息是否属于个人信息的争议仍然持续存在。换言之，除包含一定的内容之外，信息本身还应当被视为是一个过程，不仅涉及信息从信息主体到信息管理者的传递过程，而且包括了信息处理和利用的过程。因此有必要考虑个人信息全程的界定以及保护问题，而这些机制运行中所考虑的因素均可以构成关联说所考虑的因素，也有益于将传统的事后救济转向事前预防层面，更有利于发挥信息管理者的自我规制作用。