“个人信息”定义 | 民法典与GDPR

《中华人民共和国民法典解读》这本书，对《民法典》如何界定“个人信息”，做出如下的解读：

上述文字中，提出了存在三种对个人信息界定的思路：关联型、隐私权说、识别型。公号君想就该书对这三种思路的阐释，仅仅提出一点商榷意见——GDPR到底是不是所谓的识别型？

语义分析

让我们仔细揣摩一下GDPR关于个人信息定义的英文原文。第一个分号前的句子，可作如下理解：

1. 存在一个“已识别出（identified）或可被识别（identifiable）的自然人”（假定为特定自然人A）；

2. 与A相关的任何信息（any information relating to）都应该是个人数据。

第二个分号翻译如下：

可被识别的自然人指，借助标识符，例如姓名、识别号码、位置数据、网上标识符，或借助与该个人生理、心理、基因、精神、经济、文化或社会身份特定相关的一个或多个因素，可被直接或间接识别出的个人。在此，我们用“信息集合1”来指代能够直接或间接识别自然人的个人信息，即第二个分号中，能够用于识别的信息集合。

现在的问题是——“信息集合1”是不是等于GDPR中的“any information”？

《中华人民共和国民法典解读》认为GDPR是识别型的定义，实际上是将上述两者划了一个等号。但实际上，从英文语法和文字来看，无法必然得出这两者是等同的含义。

实例适用分析

根据这两句话，并结合一个例子，可以看到：GDPR定义中第一个分号提出的“any information”>第二个分号的用于识别自然人的“信息集合1”。

假设有一个课程班，班里只有四人，且四人姓名相同，某培训机构中掌握这四人的下列数据：

	姓名	性别	年龄
某自然人A	张三	女	18
某自然人B	张三	男	20
某自然人C	张三	男	18
某自然人D	张三	女	20

对于培训机构来说，通过“性别+年龄”的方式，可以识别出不同的自然人。毫无疑问，按照识别型的说法，性别和年龄属于个人信息。因为这两个信息都对识别做出了贡献（contribution）。

在这个例子中，姓名对识别特定个人来说，完全给不出任何贡献。例如，张三+18，存在两个雷同的情况。张三+20，存在两个雷同的情况。张三+女，存在两个雷同的情况。张三+男，存在两个雷同的情况。

按照识别型的说法——“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息”，姓名（即张三）不应当属于个人信息。因为其对识别特定自然人，没有做出任何贡献。

但是按照GDPR的说法，由于“女+18”有且仅有一人，因此特定自然人A被识别出来了，那由于特定自然人A的名字叫张三（属于第一个分号中所说的，any information relating to），所以张三，在GDPR里面，属于个人信息。

因此，在公号君看来，GDPR并不是所谓的识别型的定义。恰恰是识别型+关联型的定义的总和。

在《个人信息安全规范》中，个人信息的定义恰恰是识别+关联。

结合上面的例子：从信息到个人，叫做识别，即“性别+年龄”；随后，通过“性别+年龄”的方式，识别出特定个人后，其相关的信息，即张三，也应当是个人信息。

因此，在GDPR、《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》、《个人信息安全规范》中，个人信息的界定实际上有两条路径，一为“识别”（identify），二为“关联”（link）：

• 识别（identify）路径是从信息到个人，即如前述，由信息本身的特殊性直接回溯到特定个人。

• 关联（link）路径是从个人到信息，即已知既定个人，知晓“关于”该个人的进一步信息；能够关联到特定个人的信息并不以特殊性为前提，其作用是丰富给定个人既有的人格图像（profile），使他人知晓更多关于该个人的情况。

其他国家或地区的定义

在此，公号君偷个懒，用一个数据保护方面非常强的律所所提供的在线查询工具来举例说明，实际上很多国家采取了“识别+关联”的定义模式。【https://www.dlapiperdataprotection.com/】

以下是美国的定义，是不是和欧盟的类似？CCPA中也大量使用了associated、linked之类的词。

以下是澳大利亚的定义，是不是和欧盟也很类似？

以下是香港的定义。

以下是俄罗斯的定义。

以下是巴西的定义。

总之，公号君并不是说我国的民法典一定要采用GDPR的“识别+关联”路径，而仅仅是希望厘清一个观点而已——其实GDPR、美国的法律等，已经超越了纯粹的“识别”型的定义。

---

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已近300人。关于DPO社群和沙龙更多的情况如下：

DPO社群成果

线下沙龙实录见：

人脸识别系列文章

美国联邦隐私保护立法草案研究

传染病疫情防控与个人信息保护系列文章

个人数据与域外国家安全审查系列文章

美国电信行业涉及外国参与的安全审查系列文章

中国的网络安全审查系列文章：

美国的出口管制制度系列文章：

自动驾驶系列文章：

欧盟“技术主权”进展跟踪系列文章：

第29条工作组/EDPB关于GDPR的指导意见：