二、個人信息保護的對象

在進一步研究如何保護個人信息問題時，首先要厘清一些常見的概念，包括什么是數據、什么是信息、什么是個人數據、什么是個人信息、什么是隱私。搞清這些問題和概念，對于在保護個人利益的同時充分利用技術進步造福人類至關重要。

（一）數據與信息

從技術角度來看，數據（Data）是原始的事實或觀察的結果，是對客觀事物的邏輯歸納，是用于表示客觀事物未經加工的原始素材⁽²⁵⁾。在計算機科學中，數據是指所有能輸入計算機并被計算機程序處理的符號的介質的總稱，是以二進制信息單元0和1的形式表示、用于輸入電子計算機進行處理的數字、字母、符號、語音、圖形、圖像和模擬量等的通稱⁽²⁶⁾。信息（Information）是為一定目的經加工、解釋后的數據⁽²⁷⁾，數據本身沒有意義，只有對數據進行加工處理后的結果且對人類具有一定意義時才成為信息。

在數據和信息的關系上，數據和信息是不可分離的，數據是信息的表達形式和載體，信息是數據的內涵。英國計算機專家保羅·貝農·戴維斯（Paul Beynon-Davies, 2002，2009）在區分數據和信息時指出，數據是一系列符號，而這些符號用于指代某些事物時信息就出現了⁽²⁸⁾。同時，美國國防部防務技術信息中心（2013年）從情報決策實務角度總結數據、信息和知識間的關系認為，數據收集和分析的目的是為決策提供合適的信息，而知識則是就某個主體的信息處理經驗的結晶，來自傳感器等收集的原始數據（基本無用），以可以理解的形式被處理、挖掘后就成為信息（有用），經過與決策環境中的其他信息和經驗結合提煉后信息進一步轉化為知識（非常有用）和智慧⁽²⁹⁾。相應地，建立了一個“數據—智慧”（Data, Information, Knowledge, Wisdom，DIKW）的金字塔，詳見圖1-3⁽³⁰⁾。

例如，在第一層，我有一個物品，數據顯示為1而不是0，這是數據層面。第二層，這是一個西紅柿，這是一條信息，基于此我們可以理解物品及其特征。第三層，西紅柿是水果，這是一條知識，基于此我們可以對相關信息進行歸類。第四層，西紅柿不要加到水果沙拉中去，這是一條智慧，這是一條事關該物品的潛在、普遍接受的原則。

由此可見，作為信息的一種表現形式和載體的數據，一直以客觀化、匿名化的方式記錄和儲存在那里，人類將數據指代特定的人或事后就可以從數據中找出有意義的信息了。為什么目的、針對誰或何時去處理數據和提取信息，一定程度上決定了數據的處理方式、處理流程和處理結論。為了了解特定人、特定主體的目的進行的數據處理，和為了研究某一個現象、群體、規律進行的匿名化大數據處理，二者有著本質上的區別。

（二）個人數據、個人信息和隱私

第一，個人數據、個人信息指與“個人”相關的數據和信息。以上數據和信息的定義，我們可以進一步延伸到個人數據和個人信息的定義。盡管各國在立法和保護實踐中，歐盟成員國采用個人數據的概念，亞太地區的日本、韓國等則采用個人信息的概念，但本質上都強調個人數據、信息是與已識別或可識別的自然人相關的所有數據和信息。例如，1980年《經合組織指南》、1995年《歐盟指令》和2016年《歐盟條例》中，都將個人數據（Personal Data）定義為與已識別或可識別的自然人相關的任何信息，其中，可識別自然人是指通過身份證號或與其獨特的身體、生理、精神、經濟、文化和社會身份中的一個或若干因素可以直接或間接識別的人⁽³¹⁾。另外，韓國《個人信息保護法》將個人信息（Personal Information）定義為關于某個自然人的信息，包括姓名、居民身份證號碼、影像等能夠識別個人（包括即使根據相應信息不能識別特定個人但與其他信息結合后易于識別的信息）的信息⁽³²⁾，也指與特定人相關聯的、反映個體特征的具有可識別性的符號系統，包括個人身份、工作、家庭、財產、健康等各方面的信息⁽³³⁾。

第二，特定到某個具體的“個人”的數據就是“這個特定個人”的個人信息了，個人數據近似等于個人信息。根據上文關于數據和信息的定義，個人數據和個人信息中“個人”的含義即與某個特定的個人相關。按照保羅·貝農·戴維斯“若這些符號（數據）用于指代某些事物時信息就出現了”的標準，由于原本客觀、無指代性的“數據”，一旦特定到與某個人相關了，個人數據就出現了信息的含義，個人數據就是信息了，個人數據和個人信息的概念內涵也就趨同了。這也是為何諸如英國等國家的立法中，交叉并用個人數據和個人信息兩個概念。如1990年《聯合國個人資料保護指南》中，規章名稱為“個人數據”，而第一部分第一條確定各國立法原則時則使用“個人信息”概念。《英國個人數據保護法》也在立法目的中指出是對個人信息的保護。美國商務部2000年公布的《美國—歐盟的隱私安全港原則與常見問題》中也將“個人數據”和“個人信息”混用。

為了了解在“個人”的語境下“數據”和“信息”的本質特征，我們通過一個例子可以看出個人數據和個人信息的側重點略有不同。比如，“張三，35歲，男，交通銀行，上海，50萬元，10年”這是一些數據。而這些數據反映到人腦，人腦得到的內容是信息，大概是“張三是35歲男性，在上海從交通銀行借款50萬元，還款期限為10年”。盡管可以將以上數據中的“男”替換為“M”，“上?！碧鎿Q為“SH”，“交通銀行”替換為“BOCOM”，但表述的信息和第一個數據是一模一樣的。從這個角度來看，個人數據側重于客觀的形式，不以數據反映的內容與人的互動為著眼點，而個人信息則側重人的大腦形成的認識?！盁o數客觀事物的信息，正是通過人的眼、耳、鼻、舌、身這五個器官傳遞給人們，經過人們的大腦進行去偽存真、去粗取精的加工”⁽³⁴⁾。結合以上關于個人隱私、人格權的基礎性分析，我們不難發現，這些不同形式的信息正是對個人（信息主體）進行形象塑造（Profiling）并影響個人的關鍵因素。

第三，大數據時代，個人隱私基本上以個人數據和信息的形式表示，保護個人隱私，必須保護個人信息，保護個人信息就是保護個人隱私與安全。在大數據時代，由于人類的社會生產、生活越來越線上化，計算機系統記錄和儲存了人們的身份、軌跡、行為、活動、特征等信息，許多是公民不愿公開或讓他人知悉的個人秘密和個人隱私。我們之所以要保護個人信息（數據），正是由于以上關于個人的信息能對個人產生形象塑造的作用，通過信息社會（既可以是報紙等新聞傳媒，也可以是互聯網、物聯網等信息科技領域）種種有關信息主體細枝末節的信息進行拼接和使用，可以勾勒出信息主體的剖面圖⁽³⁵⁾，在信息空間塑造一個人的信息形象⁽³⁶⁾，構成與實際人格相似的數字人格，形成他人對個體人格的塑造⁽³⁷⁾。但是，現實中，這種信息形象，可能與信息網絡使用者的真實情況一致，也可能大相徑庭，甚至是黑白顛倒，正是由于這些基于信息系統形成的對信息主體正面或負面的評價，既影響個人隱私、安全和形象，又通過影響外界對個人的判斷和決策，反過來影響現實中個人的信息權利和行為，導致其交易的機會、人格的自由發展受到干擾，催生了信息社會保護個人信息這一核心議題。因此，信息時代信息的傳播，意味著個人的隱私突破房屋等自然屏障可以傳播，所以從保護自由和安全這一人類基本權利來看，保護隱私，即意味著保護個人信息。

第四，本書選擇個人信息為研究對象。為建立統一的比較研究標桿，鑒于以下原因，在本書研究中，我們嘗試以個人信息為一個通用型概念貫穿本書始終：一是指關于某個個人的所有數據，即個人信息都是我們的研究和保護對象，我們以信息為保護標的，并不是說數據不用保護了，只是為敘述方便，只要是關于個人的，無論數據還是信息，都必須保護。二是個人信息是一個上位概念，它在技術和載體上具有中立性，它包括但不限于以電子介質在內的各種媒介為載體和各種符合所表示的各種形式的個人信息，既包括諸如以文字、圖像或照片等為符號或載體所包含的視覺信息，也包括聽覺信息——人特有的聲音，還包括各種嗅覺信息——特定氣味，基因信息、指紋信息等，一切可以間接識別某一特定自然人身份的信息。三是個人信息的概念因通信和互聯網技術的發展而起，特別是進入20世紀90年代，隨著互聯網技術的發展，人類社會進入信息時代后，個人信息概念和理念逐步深入人心。作為一個較為中性的概念，個人信息往往有很強的商業價值，大多數國家采取保護與利用并重的原則，平衡協調信息權利主體與信息收集、使用主體之間的關系。

（三）保護與特定個人相關的信息

第一，保護與某個可識別個人相關的信息。由于個人信息保護的是個人的自由與安全，所以，只有信息處理涉及或針對某個個人時才有針對個人的保護必要，為此，本書約定以下定義：個人信息是指可以識別到某個特定的自然人及與特定或可特定的自然人相關的信息。根據此定義，個人信息可以分為兩大類：一類是可以識別或推斷到某個人的信息，即標識信息，如姓名、身份證號、手機號、虹膜、指紋等、移動設備號、網絡協議（IP）地址等；另一類是關于這個人的信息，例如這個人的身體特征、家庭、財務狀況以及行為等。這一定義具有一般性。例如，我國《電信和互聯網用戶個人信息保護規定》中關于個人信息的定義，包括自然人用戶的姓名、出生日期、身份證件號碼、住址、電話號碼、賬號和密碼等能夠單獨或者與其他信息結合識別個人的信息，以及用戶使用服務的時間、地點等信息⁽³⁸⁾。例如，歐盟⁽³⁹⁾將個人數據（個人信息）定義為指任何與一個明確自然人或可識別自然人（數據主體）身份有關的信息⁽⁴⁰⁾。經合組織在1980年的《關于隱私保護和個人數據跨境流動指南》中，定義個人數據為任何與可以或能夠辨別出來某一個人有關的信息。《美國—歐盟的隱私安全港原則與常見問題》規定，個人信息是指關于某一特定人的數據或用于確定某個特定人的數據⁽⁴¹⁾。

第二，可識別身份（可特定到個人）是認定個人信息的關鍵。在界定個人信息時，無論是可以識別個人的信息，還是與特定人相關的信息，都強調信息對特定人的可識別性，包括可以直接識別（也稱已經識別⁽⁴²⁾）和間接識別（也稱可以識別）。一般而言，其中，能單獨直接識別信息主體的有肖像、姓名、身份證號、社會保險號、電子郵件地址等身份識別信息，其他不能單獨識別但可與其他信息結合才能間接識別身份的信息，如移動終端號、網絡協議（IP）地址等。此外，以下關于這個人的信息，如性別、愛好、習慣、職業、收入、學歷等行為信息也是個人信息，但是如果不“關于”某人時，就不是個人信息，盡管它可能產生于某個特定的個人。當然，個人信息的可識別要結合業務場景來確定⁽⁴³⁾。例如，一般不具有識別性的員工編號、電腦編號、工位號、去身份匿名化后的代碼（號）等，對于數據控制者而言，往往因具有可識別、可特定到個人的技術和信息條件而被認定為個人信息，但是對其他機構而言可能就不屬個人信息的保護范疇。

需要特別指出的是，可以特定的對象不僅限于某個唯一的人，當可特定或聯系到某個唯一的計算機等設備時，這些信息也屬個人信息保護的范圍，因為所有設備后面對應的仍然是一個或幾個特定的人。這方面，美國聯邦貿易委員會早在2012年的報告中就指出，（保護的）個人信息是指“所有商業機構收集的、可以合理關聯到一個具體的消費者、計算機和其他設備的信息”⁽⁴⁴⁾。

在這里，我們以一筆借款合同“2015年張三在北京向工商銀行借款30萬元用于購車并按期還款”為例，詳細來看哪部分信息在什么情況下是關于誰的個人信息。

一方面，張三會通過申請表、提供借款材料等向銀行提交以下幾類信息：一是帶有本人唯一或接近唯一標識的信息，如姓名、證件類型、證件號碼、電話號碼、家庭地址、電子郵箱、設備號等標識類信息。由于這些信息單獨可以標識或聯合可以標識某個具體的人，或者雖不指向具體的誰，但是指向唯一一個人，與這些標識串聯起來的一系列特征、隱私、秘密、敏感性信息，以及針對該身份的信息處理與應用行為，是個人信息保護的核心。二是特征類信息，包括張三個人留下的其行為習慣（線上和線下）、社會屬性等信息，如出生日期、性別、籍貫、學歷、學位、職業、職務、身高、體重、血型、外形、婚姻狀況。由于這些信息盡管是對張三的特征類信息，但是在一般情況下單獨或聯合在一起無法特定到張三身上，故而不應作為個人信息加以保護，但是一旦與標識類信息相聯系后，或者在一定的環境下可特定到某張三或張三常用的計算機等設備時，就屬于個人信息。極端的例子是，若不能指向或識別到某一個唯一的一個人，即便是“同性戀、猶太人、有精神病史”等敏感信息，因為不威脅一個人的安全和自由可以暫不作為個人信息保護之列。

同理，作為個人交易對象的機構身份標識類信息，如在本例中即工商銀行的標識信息，包括機構名稱、機構代碼、稅務登記號、工商注冊號、法人代表、注冊地址等，現實中這些信息一般作為機構的商業秘密。關于工商銀行特征類信息，包括機構所屬的行業、機構類型、地域、規模、業務類別、股東人數等。

另一方面，是個人和機構因為本次交易共同形成的信息，如張三和在工商銀行借款形成的借款合同、借款用途、時間、金額、利息、到期日，以及應還款金額、實還款金額，逾期信息、賬戶狀態、五級分類狀況等交易類信息。從信息保護角度出發，盡管這些信息是因張三和工商銀行而起，但是如果單獨將這些信息拿出來，從利益侵害角度來看，并不會對張三的人格利益和工商銀行的商業秘密等產生影響，為此，可以作為社會公共資源和財富進行開放利用，這是通常意義上的“匿名化”的信息，也是大數據為人類謀福祉的關鍵所在。但是，如果這些“匿名化”的交易信息與身份標識類信息關聯，或者通過與特征類信息和其他內外部的信息相關聯后，可以特定到某個人、計算機或其他設備上時，則這些信息必須受到個人信息和商業秘密的嚴格保護。

（四）確立“誰的信息誰做主”的保護理念

縱覽歐美個人信息保護歷史及現狀我們不難發現，為了保護個人隱私、安全和自由，確保個人對本人信息的自決、自治和自由，建立“關于誰的信息歸誰所有的”權屬劃分標準是個人信息保護的認識基礎，并由此衍生出“誰的信息誰做主”的保護和處置理念，即凡是“誰”的——關于一個主體（包括自然人和法人）的信息歸誰所有。如關于這個自然人的身份、特征、財產、行為、健康狀況、愛好等信息，均歸這個主體所有；關于多個主體的信息則為共同所有；無關任何主體的信息為社會共同財產。這里的“關于”既包括以身份標識等直接指向某一信息主體，也包括以各種方法分析后可近似指向某一主體的信息。結合上文例子，如果甲方為張三、乙方為工商銀行，相關信息權屬劃分詳見表1-1。