作者：高秦偉，中山大學法學院教授、博士生導師
內容摘要：“個人信息”概念的界定是個人信息保護立法的核心和前提。識別說以信息與主體之間是否存在某種客觀、可識別的可能性來界定個人信息。隨著科技發展與信息種類的多樣化，這種靜態的定義在實踐中受到嚴峻挑戰。如何協調法律的確定性與科技發展帶來的不確定性、如何平衡個人信息保護與信息之間的流動、如何在概念適用中根據信息存在的語境調整個人信息保護的強度，成為個人信息立法與實踐的理論起點。通過對傳統學說的反思，未來中國個人信息保護立法應以識別說和關聯說為基礎，重塑更具有包容性的個人信息概念及相應的個人信息保護機制，實現有效保護個人信息的立法目的。
關鍵詞：個人信息 可識別信息 敏感信息 識別說 關聯說 保護強度
一、問題意識
在個人信息的收集、處理、利用中如何有效地保護個人信息無疑是當前以及未來一段時間的熱點問題，中國雖無一部個人信息保護法，但是相關的法律規范仍然存在。不過，從全球個人信息保護立法的發展趨勢來看，中國現行立法無論是在立法模式、權利建構、實施執行等層面，均有較大的改進空間，需要進一步強化立法并加強實施。在這些問題之中，有關“個人信息”概念的討論構成了立法與實踐的理論起點，系最為根本的議題。究其原因在于：首先，個人信息保護法的實施，以判斷某類信息是否為個人信息為前提。只有當信息被視為個人信息時，才會受到個人信息保護法的規范與保障，信息主體方可享有法律規定的權利，信息管理者或侵權者才會承擔法律規定的義務。因此，對個人信息概念界定不同，將直接影響個人信息保護的范圍。例如，由于立法不夠清晰，有些國家的法院在解釋個人信息概念時，采取了較為寬泛的方法，將移動電話號碼后四位視為個人信息，因為其較容易與其他信息（生日、電話記錄）比對而識別出個人身份。然而，這種做法引發了學界對個人信息概念使用上的爭議。
其次，個人信息概念的界定直接反映出個人信息保護立法的價值取向，如何在個人信息保護與信息利用或數據流動之間達致適當的平衡，是各國個人信息保護立法所需解決的主要矛盾。網絡和信息技術發展依賴于大量的信息，高科技促進了市場發展和創新，甚至是民主治理的長足發展。如果無限擴張個人信息的范圍，會對信息自由流動、大數據發展等造成阻礙。例如，在實踐中，有關IP地址是否被視為個人信息，各國和地區立法便有所不同，西班牙和瑞典將其視為個人信息，德國、法國、英國、中國香港特區則并不視為個人信息，而美國聯邦及其各州的作法亦是迥然各異。這體現出各國家或地區對產業發展秉持的不同理念。
再次，由于網絡和信息技術的持續發展，個人信息概念是否有必要存在也受到質疑。一些原本被認為無法識別的信息在一定條件下可以轉變為個人信息，間接識別的信息可以轉換為直接識別的信息，技術發展對傳統概念和學說提出嚴峻挑戰。[[5]]換言之，現有立法的概念經常會在實踐中面臨著適用時無法確定個人信息保護范圍的難題，一些觀點認為只要相關保障機制、利用規則建構充分，就可以有效實現個人信息保護的目的。然而，法學理論告訴我們：“特定法律概念是引發特定法律后果的前提，而不是相反”，“法律概念的語義構成目的論證的界限，有時也會對目的論證施加論證負擔。認為法律概念在法律推理中是可被對消的中項，完全由包含它們的法律規范來決定和窮盡的觀點，是站不住腳的。”如何化解這種認知上的沖突，如何科學界定個人信息的概念，如何有效保護個人信息，這似乎面臨著技術與法律、道德和進步之間的抵牾與抉擇。因此，有必要以更為清晰的理論回應目前實踐中的難題。
二、個人信息概念的理論發展
對于個人信息概念的理論認知，要結合個人信息保護法形成的歷史背景來探討。個人信息保護立法肇端于1970年代計算機技術應用之時。彼時，計算機處理信息的方式給傳統依靠紙質媒介人工處理信息的方式帶來極大沖擊，各種機構均可以批量處理信息，并任意改變信息組成和利用方式，對個人信息及其權屬于產生了較大的影響。在此背景下，個人信息保護立法旨在通過界定個人信息概念，區分個人信息與非個人信息，進而明確法律保護的邊界。可識別性成為操作傳統二分法的核心，由此產生的識別說是界定個人信息概念最早期的理論學說。
（一）識別說
按照識別說，涉人信息可以分為個人信息和非個人信息，歐美理論一般將前者稱為個人可識別信息（Personally Identifiable Information，PII）。由此可見，“可識別性”是個人信息最為重要的特征，即個人信息與信息主體存在某一客觀確定的可能性。識別說在各國個人信息保護立法中一直占據通說地位，其認為只有當個人信息被收集、處理或者利用時，個人隱私才會受到損害。而判斷信息是否屬于個人信息，關鍵就在于該信息是否可以識別出個人的身份。識別說存在的前提條件在于假設立法者有能力從信息的分類中評估內在風險，從而確定需要規制的信息類型。識別說的目的在于平衡個人信息保護和信息流動之間的張力，在于通過法律機制回應技術的發展。基于識別說各國展開了各自不同的立法，典型如歐盟《個人數據保護指令》，但從當時的技術環境來看，其采取了較為開放的定義，強調信息可識別的可能性和合理性因素，避免個人信息保護范圍無限擴張。而有些國家和地區的立法則略顯不足，如美國馬薩諸塞州個人信息保護法采取了較為狹窄的列舉式立法（包括姓名、社會保障號碼、駕駛證號碼、金融賬號、信用卡或借記卡號碼），在識別之時就產生了保護不足的問題。因為尚有一些信息結合姓名、社會保障號碼就可以識別出個人身份。同時，該法將個人可識別信息視為靜態的，導致個人信息的保護缺乏靈活性。
識別性依據識別程度分為直接識別和間接識別：直接識別是指通過單個信息能夠直接確認某人身份，如姓名、身份證號碼、住址信息；間接識別是指單個信息固然不能直接分辨出個人，如性別、出生日期、電子郵箱等信息，但是同其它信息相結合或者通過信息比對分析，可能可以確定某人身份。OECD、亞太經濟合作組織、[[10]]歐盟及其部分成員國、亞洲一些國家的立法中均規定了這兩種信息類型。歐盟1995年《個人數據保護指令》對間接識別進行了定義，指出一個“可識別”的個人信息需要考慮諸多的因素，諸如與其身體、生理、精神、經濟、文化或者社會身份有關的特定因素。由于操作缺少具體的指南，相關的爭議不斷產生。如前述IP地址是否為個人信息，贊成者認為其可以單獨或者結全其他信息而識別出個人，反對者認為應該依賴語境來加以討論。對此，歐盟個人數據保護工作小組認為間接識別須考量信息管理者或任何其他人為識別特定個人所合理、可能使用的方式，并斟酌多種因素綜合判斷；查詢所需要花費的成本、該信息的使用目的、該信息的處理方式、信息管理者的預期利益、所涉及的個人利益、相關組織或技術上的風險，以及若將長時間儲存信息，并應預計保存期間因科技進步或其他原因而導致識別的可能性，一并納入評估。
自1970年代世界范圍內興起個人信息保護立法，識別說一直作為界定個人信息概念的理論而長期存在，且在實踐中發揮了重要的作用。然而，該理論有時囿于立法列舉的個人信息類型，而使個人信息保護不足；有時過于強調技術的作用，而忽略法律意義上的“識別”之意蘊，導致個人信息概念呈現出靜態化的特征。這兩個層面的問題，對于中國均具有借鑒意義。當前中國個人信息保護工作剛剛起步，無論是行政機關還是企業，均可能會出現僅僅考慮對立法中例示或者列舉的個人信息加以保護的情況；即使是運用間接識別方法，結合其他因素展開法律解釋之時，仍然拘泥于對信息識別與否的爭論，以至于忽略了個人信息保護事實上應該以人為中心的初衷。基于此，有必要關注其他的理論學說。
（二）關聯說
美國國家標準與技術研究院在“識別說”之外提出了“關聯說”。識別說主張從信息到個人的識別，一般是指可以明確直接辨識的信息；而關聯說則主張從信息到個人的識別，即已知既定個人而知曉或者收集關于該個人的其他信息。關聯說旨在突破傳統二分法的局限，強調個人信息界定的動態性。理解這一點，對于信息匿名化處理時若僅移除直接辨識因子而不移除信息之間的“關聯”，仍然會因關聯而推知該信息與個人的關系便有了深刻的認識和警惕，即依然能回溯到特定個人的信息，不得視為有效的匿名化處理。同時，能夠關聯到特定個人的信息并不以特殊性為前提，而是通過雙向度關聯個人和信息，豐富給定個人既有的畫像，使信息收集者知曉更多關于某個人的信息。關聯說告訴我們，那種為個人信息圈定一個固定范圍并以此等同于隱私保護的觀念過于抽象化、類型化，要把握信息運作的動態性、場景化、周期性特點，全面把控風險。界定是否構成個人信息并非立法與實施的“目的”，只是界定信息運作的“媒介手段”。在界定個人信息概念時，既保障個人隱私，又促進信息合理使用。
應該講，關聯說并非全面替代識別說，兩者關系密切，如有中國學者就將關聯說與識別說中的間接識別相等同，同時認為關聯識別時需考量個人信息概念高度依賴的語境，個人信息的概念并不是一個“預先”的精準界定，而是一個動態的判斷過程。尤其是隨著信息識別技術的進步，非個人信息也可能逐漸傾向被確定為個人信息。因此，信息的敏感度、數量、收集者、收集方式、信息接收者的狀況、信息的使用目的與后果影響、與外部信息的比對情況、科技發展水平、社會人文認知等均構成了關聯時應當考量的因素。抽象界定某些信息是否屬于個人信息并無實質意義，臺灣地區學者更指出：“所謂個人信息，包括人之內心、身體、身份、地位及其他關于個人之一切事項、判斷、評價等之所有信息在內。換言之，有關個人之信息并不僅限于與個人之人格或私生活有關者，個人之社會文化活動、為團體組織中成員之活動，及其他與個人有關聯性之信息，全部包括在內。”關聯說與間接識別的不同在于，一改后者過于強調技術的做法，關聯說不僅強調雙向度比對信息，而且還要考慮其他更為廣泛的因素，進行多方面的風險評估，并在此基礎之上，作出價值判斷和抉擇。有學者對此的總結是：“大數據時代，個人信息的使用場景紛繁復雜，超出立法所能規范與預見的能力，以用戶為中心、結果為導向進行動態界定的思路由此日益為國際上所倡導，其核心在于考察個人信息的處理行為給用戶帶來的后果及隱私影響。”
（三）廢除靜態概念說
隨著網絡和信息技術的發展，傳統個人信息保護法的適用環境發生了很大的變化。如今信息搜集很難實現對用戶一一告知，信息利用的目的難以在收集時加以確定，信息使用者多元化，規制政策需要在個人權利保護與促進創新之間達致平衡等，使得傳統的知情同意、收集限制、目的特定、利用限制、責任原則等難以找到有效的落實方案。更為重要的是，技術發展帶來的直接后果正是個人信息概念的模糊化，大量非個人信息在數據充分的前提下也可以轉換為個人信息。個人信息的屬性動態變化，導致人們逐漸意識到信息具有高度的動態性，無法脫離相應場景和語境作抽象判斷。如美國聯邦貿易委員會指出，隱私保護的范圍已遠超出嚴格定義的“個人信息”，一切有關個人或者由個人產生的信息均可能造成隱私風險，因此均需要得到相應程度的保護。有學者指出傳統二分法已無意義，個人信息不斷擴張，直到其涵蓋所有的信息。以往從來沒有將電影分級、搜索查詢等作為個人可識別的信息，然而現在的去識別化技術不斷提升，任何信息可能都會識別出個人身份，成為個人信息。立法者會不斷增加個人信息的列舉類型，但是又會出現新的問題。傳統個人信息概念容易讓規制者忽略信息處理的所有環節，而處于中間環節的信息管理者會利用去識別化技術給個人信息帶來更大的風險。基于此，其主張應當從法律制度體系中放棄和廢除個人信息這一概念。
當然，廢除靜態概念說并不止于完全廢除個人信息的概念界定，而是提出了個人信息概念界定的新思路。持此論的學者指出立法者不僅僅要從信息本身來考量風險的問題，還要從更為廣闊的視角來探究問題，如信息管理者對降低去識別化的風險作了什么的措施；更要從社會、心理、制度等層面去思考問題。與之相同的觀點是隱私權的情境脈絡完整性理論，該理論由美國學者海倫·尼森鮑姆（Helen Nissenbaum）教授提出。其主張隱私權尤其是受到新興科技影響的隱私權，不應僅是討論對于個人信息控制與存取的問題，而且也應考慮到隱私的期待不僅是因個人習慣或習俗，且基于道德與政治原則所產生的整體信任而產生。尼森鮑姆教授將之稱為“情境脈絡完整性”（contextual integrity），認為必須通過社會規則或規范，當地與整體的價值、目的等等而實現。尼森鮑姆教授提出該理論的基礎在于：傳統隱私權概念乃受限于“敏感性與非敏感性”、“公與私”、“政府與私人”等傳統二分法的界定，[[22]]但現實很難作出非此即彼的區分，因此不如去關注語境——收集者是誰？處理者是誰？利用者是誰？信息主體與收集、處理、利用信息者之間關系如何？有時也要對組織整體、社會加以觀察考量。廢除個人信息概念的問題在于，其可能導致個人信息保護法的范圍難以確定。學者建議要對每個信息的收集、披露進行成本收益分析，不過許多的成本收益很難提前獲知。對此，有學者認為必須限制此類難以展開成本收益分析的信息的收集或披露。然而此舉亦會限制信息流動和增值。同時，廢除個人信息概念，也可能導致公私機構放棄對信息采取去識別化的操作，致使信息面臨到更大的風險。
（四）新識別說
新識別說是在堅持傳統識別說的基礎上，將有關個人的信息理解為“光譜”，一端是不可識別的信息，依次為間接識別的個人信息，再次為直接識別的個人信息。[[25]]技術的發展，使得個人信息與非個人信息的區分極為困難，許多企業對非個人信息展開收集，實際也造成了個人隱私和信息的損害或者影響，因此，必須依賴語境、情景作出判斷。實踐中這三個子信息也不存在絕對的界線。
直接識別的個人信息單獨可以確定某個個人，也就是說可以確定他或她的身份。關于這一點，目前各國并無差別。關于間接識別，美國聯邦貿易委員會《在急遽變化的時代保護消費者隱私》報告中使用了“合理關聯”一詞，用以界定個人信息的概念。報告中指出企業有時會對非個人可識別信息進行再識別技術，但如果采取以下三個步驟所處理的信息將不被視為個人信息。首先企業要采取合理的措施防止這些信息被去識別化；其次，企業必須公開對這些去識別化的信息的儲存和使用情況，并不得重新識別這些信息。如果打算重新識別的話，必須依據《聯邦貿易委員會法》第五節的規定（主要針對不不公平的競爭方法的規制）。再次，如果企業要將信息提供給其他企業使用，必須以合同方式禁止這些企業重新識別這些信息。從這一方式來看，該委員會是將信息使者的意圖、阻止重新識別的義務作為規制對象，而不是以信息是否可否被識別為標準。這種作法的益處在于，一方面保護了個人信息，另一方面促進了信息流動。在風險光譜的另一端，不可識別信息一般不與個人相聯結，無法確定個人的身份。例如有關各國的人口數量統計信息。但是由于去識別化技術的發展，使得信息所有者不得不隨時評估信息安全及其風險。
在這個理論之中，許多學者建議應該考慮到信息潛在的識別風險，進而打破二分法的不足。二分法運用簡單的、非此即彼的思路來保護個人信息，但是學者的建議則是一種動態的保護方式，于整個信息運作過程中貫徹個人信息保護的相關原則和機制。對于諸如美國的《公正信息實踐原則》，適用于直接識別的信息；而對于間接識別的信息則不適宜于同等對待。告知、訪問獲取、更正的權利、信息使用限制、數據最小化、信息公開的限制等不得施加于這類信息。這些限制可能會不當地影響信息的使用和增值，而事實上這些信息未必會對個人隱私產生明顯的損害。但是，安全原則（保護未經授權的信息被獲取、使用、刪除、修改、公開）、透明度要求（公開信息使用情況）、信息品質原則（要求個人信息必須與使用目的相關聯）則是間接識別的信息必須遵守的原則。總之，間接識別的信息也可以識別出個人身份，只不過風險不夠突出而已。信息管理者并不能夠簡單地利用或者無監督地讓其他方獲取，而應采取“追蹤和審計”等方式來應對一些間接識別信息所產生的問題。
（五）小結
從以上理論梳理來觀察，技術的高速發展導致個人信息概念作為法律適用的“門檻”性作用將逐漸弱化，國際立法及實踐中越來越傾向基于場景中的動態風險而非靜態的信息類型來界定相關的權利義務。許多立法認為應更多地轉向控制信息使用環節中的動態“風險”來豁免義務，而非在是否構成個人信息的界定方面耗費過多精力。因此，傳統的識別說受到了一定程度地批評：首先，該理論將信息不合理地分為個人信息和非個人信息，但是由于技術發展以及其處于不同主體控制之下，兩種類型的信息轉換極為快速，如果處理不當，將產生規制過度或者不足的問題，給個人以及企業均產生不利的影響。其次，該理論將個人信息又分別直接識別信息和間接識別信息，且在實踐將兩種信息予以同等對待。但是由于識別的程度、隱私受到損害的風險不盡相同，處理不當之時，亦可能對個人和企業帶來不利的影響。再次，該理論僅僅基于去識別化技術來區分個人信息和非個人信息，然而再識別化技術的高速發展，致使個人信息概念的界定面臨困境。最后，該理論并沒有對行為主體加以界定，可能導致在界定個人信息的概念時會將識別的主體視為信息的管理者或者公眾等等。但是問題在于對于有些行為主體而言可能是個人信息，對于有些則未必是個人信息；信息性質因不同主體而發生變化。不過，批評雖然很多，作為改進的新學說依然基于識別說而展開討論，即使是廢除靜態概念說也并非徹底拋棄“個人信息”的概念，而是主張通過語境、風險評估的考量來識別個人。從本質來看三種新的界定個人信息概念的學說有諸多的共通之處，如對語境、風險等的關注和強調，認為個人信息概念的界定應該是基于動態場景而非靜態信息的活動，這種思路與網絡和信息技術發展相得益彰。但是，由于各種學說側重點不同，導致理論并未形成一致的意見，這勢必影響立法和實踐的效果。如關聯說意在突出識別的路徑在于經由個人到信息，廢除說主張語境考量的重要性，而新識別說強調不同信息保護強度的差異。中國立法和實踐需要整合這些理念，對個人信息概念的界定加以重塑。
三、中國個人信息概念的立法和實踐
目前，國內關于個人信息的界定，最為全面的當屬2016年頒布的《網絡安全法》第76條規定：“個人信息，是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別自然人個人身份的各種信息，包括但不限于自然人的姓名、出生日期、身份證件號碼、個人生物識別信息、住址、電話號碼等。”同時，第42條規定：“經過處理無法識別特定個人且不能復原”的信息不屬于個人信息之列。最高人民法院、最高人民檢察院2017年頒布的《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》第1條進一步明確“公民個人信息”包括身份識別信息和活動情況信息，即“是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯系方式、住址、賬號密碼、財產狀況、行蹤軌跡等。”這個定義包括了能夠識別出特定自然人身份的信息，也包括了體現特定自然人活動情況的信息。[[30]]此種模式構成了中國立法的第一種模式，即概括加例示式。概括部分的語言中使用了“識別”的術語，正是個人信息概念界定時使用的關鍵詞，與國外“個人可識別信息”的相關提法內涵基本一致。類似的立法和司法解釋還有2013年《電信和互聯網用戶個人信息保護規定》第4條、2014年《最高人民法院關于審理利用信息網絡侵害人身權益民事糾紛案件適用法律若干問題的規定》第12條等規定，不過這些規范在例示列舉方面與前述兩個規范有一定的差異，且隨著時間的推移，新增的例示個人信息類型勢必會愈來愈多。
第二種立法模式是概括式，與第一種立法模式的差異在于并未列舉或者例示說明具體哪些信息屬于個人信息。如2012年《規范互聯網信息服務市場秩序若干規定》第11條即規定為：“未經用戶同意，互聯網信息服務提供者不得收集與用戶相關、能夠單獨或者與其他信息結合識別用戶的信息（以下簡稱‘用戶個人信息’），不得將用戶個人信息提供給他人，但是法律、行政法規另有規定的除外。”該立法技術與第一種并無多大差別。特別需要指出的是全國人民代表大會常務委員會2012年《關于加強網絡信息保護的決定》第1條的規定，所采立法技術屬于概括式，但是范圍僅限于“公民個人電子信息”。
第三種立法模式是具名式，即在立法中僅僅提及“個人信息”的術語，但并未對什么是個人信息作出任何解釋，個人信息保護的范疇也無從得知。一般情況之下，需要由行政機關、司法機關在具體的執行和適用中加以細化。比如2013年修訂的《消費者權益保護法》第29條第1款規定，僅僅提及“個人信息”概念，內涵未作具體規定。2015年國家工商行政管理總局頒行《侵害消費者權益行為處罰辦法》第11條細化了個人信息的概念和范疇。特別值得關注的是2017年《民法總則》第111條引入個人信息的概念，同樣也未定義，這種立法技術似乎表明個人信息的概念和范圍尚需要依賴其他的法律規范。類似立法包括2015年修訂的《刑法》第253條、2013年《征信業管理條例》第13條等規定。
第四種立法模式是區分式，即在界定個人信息的概念時區分了個人一般信息和個人敏感信息。《信息安全技術公共及商用服務信息系統個人信息保護指南》指出個人信息是“可為信息系統所處理、與特定自然人相關、能夠單獨或通過與其他信息結合識別該特定自然人的計算機數據。個人信息可以分為個人敏感信息和個人一般信息。”個人敏感信息是指“一旦遭到泄露或修改，會對標識的個人信息主體造成不良影響的個人信息。各行業個人敏感信息的具體內容根據接受服務的個人信息主體意愿和各自業務特點確定。例如個人敏感信息可以包括身份證號碼、手機號碼、種族、政治觀點、宗教信仰、基因、指紋等。”除個人敏感信息以外的個人信息為個人一般信息。基于此區分，該指南指出：“處理個人信息前要征得個人信息主體的同意，包括默許同意或明示同意。收集個人一般信息時，可認為個人信息主體默許同意，如果個人信息主體明確反對，要停止收集或刪除個人信息；收集個人敏感信息時，要得到個人信息主體的明示同意。”值得注意的是，在一些地方有關征信、信用立法中，雖然未使用“個人敏感信息”的術語，但是從內容及相關禁止性的規定可以看出意在保護敏感性信息。
以上的立法模式僅僅是為了研究方便而采取的分類。毫無疑問，這些立法模式受到了國內學者對于個人信息保護法研究的影響，更受到域外立法技術的影響。從立法技術來看，域外關于個人信息概念的界定可以分為三種模式：概括型、列舉型和混合型。概括型是使用概括的方法描述個人信息的定義方式，與中國第二種立法模式類似，混合型與第一種立法模式類似，目前單獨使用列舉的方向來描述個人信息的定義方式已極為鮮見。在定義時，以歐盟為代表的個人信息保護立法主要基于已識別（an identified natural person）或可識別（an identifiable natural person）的術語來界定個人信息的概念和范圍。“所謂已識別就是判斷信息是否直接能夠識別用戶個人身份；可識別是判斷信息是否與其他信息結合識別用戶個人身份。”一些國家和地區立法則使用了“直接識別和間接識別”的術語。中國使用了“能夠單獨或者與其他信息結合識別”的術語，在內涵上與直接識別和間接識別并無二致。相較而言，美國并無統一的個人信息保護立法，而是在諸如金融、公共健康等部門領域展開立法，同時由聯邦貿易委員會（英文全稱，FTC）所要求的企業自愿性隱私政策也發揮了重要的作用。從美國分散的立法來看，雖然法律明確性與特定性不如歐盟及其成員國，但是可以看出“個人可識別信息”仍然是界定個人信息概念的關鍵。借鑒和移植是立法的開始，如何有效回應中國實踐才是科學立法的關鍵。結合以上幾種立法模式以及中國個人信息保護的實踐，未來中國個人信息保護立法需要考量和解決以下幾項重點問題：
第一，現行立法技術導致“個人信息”概念過于模糊，導致概念的統一性、適用的一致性層面明顯存在不足。
目前中國沒有統一的個人信息保護法，各領域的立法中對于個人信息概念的理解不同，導致個人信息保護的范圍、落實的程度也不同。《網絡安全法》主要針對自然人個人身份來界定個人信息的概念，然而《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》明顯突破了這一框架，將行為活動（行蹤軌跡）、財產狀況等納入到個人信息范圍之內。這種情況在前述第一種模式中有所體現，多種法律規范之間就列舉內容存在著一定的差異。之所以會出現如此的情況，與法律位階不同而導致的規范詳細程度差異有關，也與行業特殊需求不同有關。更為重要的是，中國相關立法雖然在技術層面借鑒了國外的“識別”術語，但是既沒有充分地回應中國實踐的需求，更沒有提供法律解釋上的方法，導致實踐中引發了許多的爭議，這為有效保護個人信息帶來了不必要的障礙。雖然立法從以往通過保護人格和隱私轉向直接針對個人信息提供保護，但是依然沒有厘清中國語境下隱私與個人信息概念之間關系。從前述立法對個人信息概念的界定來看，概念的不統一性還體現在：有些概念針對個人身份，而有些概念則會考慮財產、行為等信息。這也使得適用者不僅會產生疑問：個人信息究意是與個人身份相關，還是與個人行為相關，抑或是與行為結果相關？進一步分析，可以發現各種法律規范在界定個人信息概念之時，并沒有充分考量是否可以在民法、刑法、行政法規范上達致法律概念的統一性要求，這為適用的銜接也帶來問題。這些可能是未來中國進行統一的個人信息保護立法時必須注意的問題。同時，前述有三種模式中提及“識別”一詞，但究竟如何合理地識別？相關的理論論據是什么？究竟是能夠和頭腦中的某個“既定”的人物形象對應，還是知道其屬于特定的“某一個人”，即使并不“認識”他是誰、不知曉其“身份”？特別是間接識別時，需要考量什么樣的因素？實踐中爭議不少，如網絡識別號和密碼、電子郵箱和密碼、手機定位信息究竟是否為個人信息，觀點差異較大。概念的不一致性，導致在解釋和適用之時也出現了較多的不一致性，結果會影響到相關規范的整體實施效果。
第二，現行立法對“個人信息”概念的界定時使用的分類，影響了概念邏輯的自洽性和法的安定性。
從“個人信息”概念出發，一般可以分為個人信息和非個人信息，而個人信息又進而可分為直接識別信息和間接識別信息。應該講如此分類在邏輯上具有一定的自洽性。然而，第四種模式則又從個人信息中區分出個人敏感信息，原因在于其與個人具有絕對密切關系，必須受到重點保護。從其內容來看，與“個人信息”有重疊之處，容易使人產生疑問。當然，在立法中規定敏感性信息的做法在國外是存在的，但問題在于這種信息與前述的直接識別信息、間接識別信息是何種關系？如何處理其與個人信息的關系呢？進一步，敏感信息的內容如何確定也是問題。從各國的情況來看，各國對于特殊敏感性信息范圍的認定大致可分為七大類，分別為種族或血緣、政治意向、宗教或哲學信仰、性生活、工會會員身份、犯罪記錄、健康信息。但是關于敏感信息是否存在以及是否需要獨立列舉的問題，立法界一直就有兩種不同的觀點：一是直接定義敏感性個人信息，并將其與收集限制原則連結，認為應禁止收集特別敏感的個人信息。二是將信息視為中性，即信息本質上都不具有敏感性，只有在信息處于特定的語境或使用時，方具備隱私或敏感性，方可定義為敏感性個人信息。第一種觀點較為直觀，無須判斷信息使用情形，只要該信息顯示或記載的信息，符合所列種類，即加以限制，此見解影響多國的立法，可謂通說。此類立法模式以列舉方式規定敏感性個人信息，認為基于某些信息的特性，一旦公開后，可能對個人隱私產生極大傷害，包括引起恣意歧視。一般情況下，信息處理會對人產生傷害，并非基于該信息的內容，而是使用方式。但是某些特殊類型信息，其本質很可能傷害個人的權利與權益。
歐盟、英國、德國、澳大利亞、臺灣地區采取第一種方法定義敏感信息。此模式優點在于使信息控制人或信息主體得以迅速自信息內容具體判斷，何者須禁止收集、處理或利用，須遵循不同的信息保護原則，有益于個人信息保護的落實。缺點在于信息內容與形式會隨著社會、歷史與文化有所變動，且無須考量信息主體的意見。結果可能產生過度保護的現象，也有可能保護不足。對此困境，各國或者修改法律，增加敏感性個人信息的種類，并就特殊事項如醫療信息制定特別法；或者授權行政機關制定相關細則。這里要討論的仍然與個人信息概念界定系同樣的問題，例示會因社會發展而受到限制，不斷修法又會產生法安定性不足的質疑。第二種觀點是對個人敏感性信息立法的否定，一些國家和地區如部分歐盟成員國、澳大利亞、新西蘭、香港特區等均未加以規定。中國也有反對的意見，認為加以規定會導致個人信息保護法與中國憲法和根本政治制度的沖突，可通過單行立法的方式加以解決。
第三，支撐現行立法的理論討論不夠充分，導致個人信息概念的界定在保護強度的合比例性、保障的有效性層面有所欠缺。
從現行立法來看，個人直接識別信息和間接識別信息保護強度基本相同，即有些需要重點保護的信息與不需要點保護的信息同樣對待，這在一定程度上會導致個人信息保護范圍層面呈現出不合比例的情形。這也是中國只有在出現極端個人信息侵害案件后才會受到執法者高度關注的主要原因，因為執法資源有限，所有個人信息全面且同等保護既不現實也不可能。在國外，將利用已識別和可識別的方法確定的個人信息并同等對待的立法實踐也受到了學者的批評。對于前者，已識別的個人信息可以確定某個特定的人，面臨最高的風險，因此個人信息保護的公正信息原則與實踐應該完全適用于這些信息。與之相對的“非可識別”的信息無法確定特定的個人，即使后來技術發展有可能識別也是風險較低的信息，因此個人信息保護法并不適用于此類信息。而對于后者，可識別時需要考慮語境、信息的類型、信息收集的難易程度等因素，遠比已識別的方法要復雜，因此不得統一對待。因為保護強度不合比例，各方主體無從把握個人信息保護的范圍、強度，立法實效性也是大打折扣。這個問題隨著中國網絡和信息技術產業的高速發展而日益突出，因此未來立法必須予以回應。
第四，技術發展導致“個人信息”概念的界定和適用無限擴張，致使個人信息保護和信息流動之間不再具有均衡性的特征。
由于信息分析技術的發展，再識別技術不斷提升，實踐中就可能會存在無限擴大個人信息范疇的可能性，如Cookie、IP地址被納入個人信息的場景越來越多。當然，相反的情況也可能出現，由于個人信息保護的范圍增大，而政府資源有限、企業則因過分限制信息流動減少投入，個人信息與隱私保護亦將成為一紙空文。如有學者認為前述《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》擴大了個人信息的范疇，“尤其是它把反映自然人活動情況的各種信息也納入個人信息范疇，混淆‘個人信息’和‘個人有關的信息’，不當地擴大了個人的范圍。”該學者進一步分析認為身份的可識別性是個人信息概念的核心，而“反映自然人活動情況的各種信息”屬于“與人有關的信息”，并不強調可識別性，而是強調“關聯性”。重要的是，隨著網絡和信息技術的發展，如大數據背景下，界定個人信息僅僅具有理論意義，現實意義已所剩無幾。所以未來關注點應該是個人信息利用的環節，而不是收集和加工的開始環節。這種觀點與前述廢除靜態概念說有類似的之處，均主張隱私法要放棄對個人可識別信息的依賴，而應該尋找一種全新的、規制信息隱私的方式。但是，問題在于當一部立法沒有了規制對象時，之后的規范框架結構又有何意義呢？
四、個人信息概念的重塑及立法建議
諸多涉及個人信息泄露、濫用的事件及其不良影響，使得中國迫切需要制定一部統一的個人信息保護法。當然這部法律的立法目的要在個人權利保障、信息增值和自由流動之間實現利益平衡。立法之時，界定個人信息的概念成為首要任務，其既影響到立法目的的全面實現，又影響到個人信息保護的具體機制的順利運行。實踐中，個人信息概念的清晰界定亦有助于各方主體合理展開信息的收集、處理和利用工作，有利于法律解釋方法的合理適用，更有利于建立多元的利益協調和規制機制。基于上述立法、實踐以及理論的梳理和分析，未來中國立法時應重塑個人信息的概念。
（一）理論學說的重塑
中國目前有關個人信息概念界定的立法中，如前述第一、二種立法模式，堅持了以識別說為主要的理論基礎。考慮到中國行政、司法實踐現狀，未來應該首先繼承這一立法思路。對于直接識別的問題，可以例示方式列舉個人信息的范疇，從而體現法律概念的明確性要求。例如姓名、身份證號碼、手機號碼等，在收集可以直接識別個人的信息時，必須經過信息主體的同意，而在信息處理、利用等環節必須予以移除，其后則再依托信息利用的后續環節，進行基于風險評估的動態控制和保護。其次，對于間接識別的問題，應借鑒關聯說的某些內容對傳統識別說加以修正和重塑，要考量一個或多個與其身體、生理、精神、經濟、文化或社會身份有關的特殊因素，動態評估信息所處的語境，進而界定個人信息的概念。歐盟將這些因素歸結為三類，即應該從信息的內容、目的或者結果因素加以考慮。內容因素是指信息是“關于”某個特定人的信息，即使是條形碼，但如果是與個人相關就構成個人信息，無論公開、隱秘與否，只要其能夠識別出某個特定人的身份內容。目的因素是指信息加以使用能夠了解特定個人的行為或者影響個人的地位、行為。例如電話記錄，使用后可以確定電話使用者的信息。結果因素信息是指影響到特定個人的權利或利益的信息，如GPS信息，能夠了解到司機的駕駛速度和路徑。相關的國際組織則將認為有七項因素可能會影響到個人對使用其信息的態度和敏感性，均構成了關聯說主要的考量因素。總之，應基于識別說和關聯說的結合，借鑒相關立法經驗，展開立法工作。
當然，適用關聯說之時應注意：第一，雖然關聯說主張抽象界定某些信息是否屬于個人信息并無實質意義，但這并不意味著關聯說放棄了傳統個人信息的概念，而是在堅持識別說基礎之上，探討個人信息的可識別性。第二，關聯說的主要方法和路徑是從個人到信息，即知道某特定個人而收集“關于”該人進一步的信息。這些信息有些涉及到個人身份的信息，有些則涉及個人行為的信息，有些則可能是與行為的結果相關的信息。不同語境有關不同的結果，導致相關的裁量權較大，這是特別需要注意的問題。以歐盟和美國在適用關聯說呈現出的差異就足以說明問題，那么中國即使在立法明確的前提下，依然存在一個實踐中的價值取舍問題。對于關聯或者間接識別所產生的問題，學說重塑之時應考慮信息管理者主觀上有無獲取足以識別個人信息的其他信息、信息管理者本身技術上或經濟上能否通過其他信息的對照、組合、聯結而識別個人的要件。之所以如此理解，仍然在于強調其他信息（特別是信息碎片）的識別性，進而展開法律層面的規范。而這類信息是否具有識別性的考量，須以信息管理者的立場作為出發，判斷其是否會帶來識別個人信息的可能性。因此建議立法時要對“間接識別”作出進一步明確，指出以間接方式識別個人的信息是僅以該信息不能識別，須與其他信息對照、組合、聯結等，方能識別該特定個人的信息。同時，也應對行為人無法取得此類其他信息，或有查詢困難，或行為人在間接方式下成本過高予以排除適用。如此才能平衡立法原意、社會需求和現實生活的不同取向。
（二）界定個人信息概念的立法原則
按照廢除靜態概念說的理論，學者認為大數據背景下，所有的信息都可能是個人可識別的信息。但問題在于，無限擴張個人可識別信息的概念可能導致個人信息保護因為成本過高而不具有可操作性。為此，在立法原則上：一方面，應該對于目前一些中國立法中試圖為個人信息劃定基于類型的固定范圍的思路予以反思和揚棄；另一方面則應意識到如果不對個人信息類型化、例示化的話，可能會對行政機關執法和法院的法律適用的確定性產生影響，更有可能因為立法不予界定個人信息而導致信息收集環節出現失控的局面。為此，未來中國的個人信息保護立法仍然要對個人信息的概念加以規定。在界定之時，應貫徹法律概念界定的一般原理，使“個人信息”這一概念既具規范價值又兼敘事價值，既有確定性又有開放性的特征。在界定時要考量個人信息的權利保障和數據流動兩大價值之間的平衡；要與當下所處的時代經濟、政治、社會、文化以及法學研究等敘事背景相契合。既要有確定的識別標準，又要具有一定的開放性，可使法律方法有適用的空間。
從立法技術層面來看，這里還需要回應幾個問題：第一，如果統一的《個人信息保護法》中對個人信息概念進行了界定，其與既有的《網絡安全法》中的定義是什么關系？《網絡安全法》的立法目的在于“保障網絡安全，維護網絡空間主權和國家安全、社會公共利益，保護公民、法人和其他組織的合法權益，促進經濟社會信息化健康發展”，雖然有學者將之視為網絡安全領域的“基本法”，認為可以指導其他法律法規及其實施，然而，個人信息保護法及其制度設計是否完全屬于《網絡安全法》的調整范疇仍然值得商榷的，因為兩法的立法目標具有一定的差異。基于此，未來個人信息保護立法可以在充分借鑒前述幾種模式的基礎之上，提出更有針對性的個人信息的概念，并建議以概括加例示方式為宜。第二，未來統一的個人信息保護法中的個人信息概念，可否適用于民法、行政法甚至刑法規范之中？中國在立法時很少探討這個問題，但是實踐中相關的爭議大量存在，如行政法和刑法銜接時，因為個人信息概念并不明確，導致與刑法介入社會生活的“最后性”或者“迫不得已性”相違背。為了確保法制統一性，充分發揮民法、行政法、刑法各自不同的保障方式，建議統一的個人信息保護法中的個人信息概念能夠貫穿于中國所有的法律規范體系當中，從而確保法律概念明確性、規范性和統一性的要求。當然，這也為立法提出了更高的要求。第三，中國還需要處理好一些基本的問題，才能夠在展開語境考量或者風險評估時得出適當的答案。這些問題有些是基本理論的問題，如中國保護個人信息的權利基礎究意是什么？有些則是立法之后具體實踐的問題，如怎么樣在市場、行政和司法實踐中正確處理“個人隱私”與“個人信息”的關系，如何使其保障更為有效？如何發揮各種主體的作用等。
（三）與個人信息概念相適的制度構建
如今，因為網絡和信息技術的快速發展，導致個人信息成為一個動態的概念，不再僅僅與網絡服務提供者居于直接、單一的聯系，而是會經過多方流轉、比對、再識別、再利用等方式實現價值重造，實現了與數據中間商、數據后續利用者等主體之間的多重主體的關聯。無所不在的信息收集，對個人形成密集追蹤；個人信息的海量累積、分析、比對將可能構建出清晰無比的人格圖像，挖掘出個人不愿為他人知曉的敏感信息。關聯說雖然在理論上可以應對這些新的發展，但是可以預料到的是實踐中對于某類信息是否屬于個人信息的爭議仍然持續存在。換言之，除包含一定的內容之外，信息本身還應當被視為是一個過程，不僅涉及信息從信息主體到信息管理者的傳遞過程，而且包括了信息處理和利用的過程。因此有必要考慮個人信息全程的界定以及保護問題，而這些機制運行中所考慮的因素均可以構成關聯說所考慮的因素，也有益于將傳統的事后救濟轉向事前預防層面，更有利于發揮信息管理者的自我規制作用。
與其他信息一樣，個人信息具有生命周期，涉及到個人信息的收集、處理、利用等各個環節，每個階段應該有著不同的保護機制。按照這一理論的要求，不僅僅要求在收集階段，實現對“個人信息”概念的界定，以及設計收集限制、知情同意等機制之外，還要在處理、利用等各個環節加強對“個人信息”的識別，設計確保公開透明、信息質量、處理限制、安全責任等方面的運行機制。對此，未來中國個人信息保護立法應予以重視：第一，從目前的相關立法來看，個人信息的識別問題并沒有完全貫穿于信息生命周期的所有環節，實踐中亦是如此。以“新浪微博訴脈脈不正當競爭案”為例，二審法院除判決“脈脈”違法之外，進一步指出新浪微博在保護用戶信息方面也存在不足，要求網絡運營者在采集運用用戶信息時應履行相應的管理義務。然而，對于信息銷毀等環節的問題并沒有提及，未來應該考慮建立相應的制度甚至是權利來加以回應。第二，OECD、歐盟、美國等均在立法中對信息管理者施加了“通過設計保護隱私”（Privacy by Design）的義務，要求其在信息生命周期的最開始就去思考個人信息和隱私保護的問題，而不是在事件發生之后。[[66]]其主要作法是將個人信息保護嵌入技術、商業準則和物理的基礎設施的設計標準中加以保護。于是，信息管理者設計隱私保護機制時所考慮的業務結構、規模、數量和敏感度均構成個人信息概念界定時的關聯因素。這種風險預防、技術與法律互動的思路克服了過去僅在信息收集時依賴個人信息概念界定的不足，讓信息管理者甚至信息主體參與到企業運作和個人信息保護的全過程，有利于提升產業自身個人信息保護的能力和主動性，未來中國立法應予以關注。
（四）個人信息概念的類型化及保護強度
準確認知和把握個人信息概念的內涵，較為可行的辦法還在于從分類上予以觀察、對比，用以揭示概念的外延，進而在保護強度的分配上能夠成比例性。域外立法從識別或關聯方式上將個人信息分為直接識別信息和間接識別信息，但并沒有就保護強度作出區分。前述新識別說認為要根據不同類型的信息成比例地匹配相應程度的保護機制。保護強度與保護機制相關聯，一般可表現為禁止收集、禁止識別或者禁止處理、禁止披露等。以知情同意的保護機制而言，一方面因為大數據背景下知情同意很難完全做到，另一方面不同類型的信息均要求做到知情同意也不符合成本收益原則。因此，立法可以根據不同的信息類型或者要求信息主體同意或者由信息管理者提供法律規定的理由，進而展開不同層次的保護。后者是個人信息處理的“合法性原則”在立法中的體現，要求信息處理的目的必須合法，而且所使用的個人信息應當為實現該目的所必需、相適應，其范圍、數量應當與該目的相匹配或成比例。進而，行政和司法實踐可依據不同類型的信息，建構不同梯次的保護強度。
另外值得討論的問題是，未來中國在界定個人信息概念之時，是否要規定敏感信息？如前所述，有學者建議在未來中國個人信息保護立法時不予規定，而在專門立法中加以規定。當然，亦有學者持贊成意見，認為雖然難以定義“敏感信息”，但作為個人信息中最為重要、與信息主體權利最相關的一類，不僅需要明示，而且需要特殊保護。在個人信息保護法中加以明確規定，不僅意在特殊保護，而且也會為其他相關單行立法提供保護的立法依據。“根本不設立敏感數據的概念，難以體現對特殊類型數據進行特殊保護的基本原則，難以完成個人數據保護法的基本職能。”從立法技術以及中國立法實踐情況來看，如果要全面、體系性地保護個人信息，就有必要對敏感信息加以規定。至于名稱，建議使用“特殊類型的個人信息”，既可以防止個人信息分類在邏輯上的不足，又避免對“敏感”內涵產生不同認識，同時結合中國國情考慮將有關個人的隱秘信息，如身體特征、健康信息或個人信念以及極可能用以作出歧視性決定的信息作為主要構成加以例示性規定。此外，還有必要規定14歲以下（含）兒童的個人信息和自然人的隱私信息屬于特殊信息，在保護機制上可設計對此類信息的處理行為只有或至少在獲得該兒童監護人的同意或授權時才是合法的。
五、結語
現代社會無不受到網絡和信息技術的影響，每個人瀏覽網頁的時間、登錄時的IP地址、曾經搜索的關鍵詞、信用卡消費情形等，甚至每天的一舉一動，所有發生或正在發生的事情都持續地被記錄與更新。同時，企業無不進行收集、處理、利用信息的工作，進行分析和統計行為，進而策劃商業模式，進行商業行為與利潤謀取工作。而我們現代人漸漸習慣并且融入，也將網絡和信息技術的優勢內化到我們的生活之中。在此便利下所帶來的最大挑戰莫過于對原應保有為個人領域的侵犯。即使有些個人信息可以采用去識別化技術加以處理，但是在現代技術之下，任何信息碎片均有可能經由連結、組合、比對而再次成為可識別的個人信息。網絡和信息技術的不斷發展導致個人信息保護面臨著諸多的挑戰：收集環節，移動互聯網和物聯網的廣泛應用使個人信息的收集日益密集、隱蔽；處理環節，不同來源的個人信息多維組合，畫像、實時追蹤、數據挖掘等加劇了個人信息和隱私受損的風險；利用環節，多元主體參與、數據流轉方式復雜。這一切均給個人信息保護及其立法帶來了巨大的挑戰。從目前各國的立法及實踐來看，個人信息的概念是個人信息保護和信息隱私規制的起點，但目前的定義均不令人滿意。完全放棄這個概念則意味著無法界定規制的邊界，因此理論界提出了許多的建議，尤其主張應動態、彈性地理解個人信息的概念，這給立法和實踐帶來了一定的困難。中國的個人信息保護立法目前已經啟動，研究認為應該堅持使用個人信息的概念，以識別說和關聯說相結合為基礎，將個人信息的識別貫穿整個信息生命周期，利用產業技術優勢保護個人信息，利用類型化方法成比例地分配保護強度。希望這些相關的理論爭議能夠為立法及其實施帶來智識。