重點解讀

本條規定了“個人信息”和“個人信息的處理”的定義。

從“個人信息”的定義看， 《個人信息保護法》延續了《網絡安全法》第七十六條第一款第五項和《民法典》第一千零三十四條的思路，并借鑒了歐盟《通用數據保護條例》（General Data Protection Regulation，GDPR）第4條的界定標準，采用“識別+關聯”的方式劃定了個人信息的范圍，即“與已識別或者可識別的自然人有關的各種信息”。此外，本條將“匿名化處理后的信息”排除在“個人信息”的范圍之外，也就意味著匿名化信息不需要受到本法的規制。需要注意的是，個人信息是否實現“匿名化”也有明確的標準，《個人信息保護法》第七十三條第四項明確規定，“匿名化”的信息不僅應當“無法識別特定自然人”，還必須確保“不能復原”。如不滿足上述條件，相關信息即不屬于“匿名化”的個人信息，依然需要受《個人信息保護法》的規制。

從“個人信息的處理”的定義來看，《個人信息保護法》在沿用了《民法典》第一千零三十五條第二款以及《數據安全法》第三條規定的基礎上，將個人信息的刪除亦納入個人信息處理的范疇，基本涵蓋了個人信息全生命周期的各項活動，這意味著個人信息全生命周期的處理活動均受到本法的規制，處理者在每個環節的個人信息處理行為都應當遵守《個人信息保護法》的規定。

實務要點

對于個人信息處理者而言，本條明確了個人信息的定義，有助于確定哪些信息需要按照《個人信息保護法》的標準采取保護措施。如前所述，個人信息既包括與已識別自然人有關的信息，也包括與可識別自然人有關的信息。因此，即使個別信息無法單獨用于識別特定自然人，處理者也應當評估該信息能否在與其他信息結合后被用于識別特定自然人，如果存在此類可能性，則也應當按照“個人信息”的要求和標準對此類信息進行處理。

實務中一個常見的問題是，“已識別”與“可識別”之間有什么區別。對此，可以用身份證上的信息為例進行說明。身份證包含身份證號、姓名、出生年月日、民族、家庭地址等信息。這些信息里面，身份證號碼具有唯一性，單獨的身份證號碼就是特定自然人的個人信息，這就屬于“已識別”的自然人的個人信息。就“可識別”而言，只有姓名或者只有家庭住址都無法識別到指定的自然人，因為單獨來看，姓名存在重名的可能性，而一個家庭住址一般來說會有一家好幾口人同時居住，但是這二者都能夠在一定程度上將某些人與其他人區分開，對于識別到特定自然人來說都發揮著一定的作用而非毫無關聯。因此，單獨來看，姓名和家庭住址均屬于“與可識別自然人有關的”個人信息，二者一旦結合就指向了特定的自然人，也就轉化成了“已識別”自然人的個人信息。

案例解析

*案情介紹

某二手車公司A開發、運營某App，為不特定公眾提供有償二手車歷史車況信息查詢、車輛檢測、汽車保修、二手車估價等服務。

余某訴稱，2020年12月，其在與車輛意向購買人磋商過程中，得知對方用其提供的機動車行駛證上所載的車架號，在該App付費查詢了車輛的歷史車況信息，并獲得了詳細記錄車輛行駛數據、維保數據等信息的《歷史車況報告》。余某認為《歷史車況報告》綜合反映了其本人駕駛特征、維保行蹤、消費能力、消費習慣等，可間接識別余某身份，屬于余某的個人信息及個人隱私。A公司未經其同意，擅自有償向他人提供上述信息，侵犯其個人信息。余某遂訴至法院請求判令A公司立即刪除App中的車況信息并賠償其經濟損失3000元。

*法律解析

本案中，法院認為案涉歷史車況信息是否為個人信息，關鍵在于該信息能否單獨或者與其他信息結合識別特定自然人。據此，法院指出：

1.從信息內容看，案涉歷史車況信息的內容未出現身份信息、通信聯系方式等能直接識別特定自然人的信息。其中的行駛數據、維保數據也未顯示車輛維修保養機構的位置信息和維修保養的具體年月日，不能以此識別出自然人的行蹤軌跡。

2.從信息特征看，案涉歷史車況信息僅能反映所查車輛的使用情況，其內容既不涉及具體個人，也不被用于評價具體個人的行為或狀態，無法關聯到車輛所有人等特定的自然人。

3.從信息來源看，根據日常車輛使用經驗，產生車況信息的主體除車主外，亦可能為親友、維修人員、保險人員等，無法通過車況信息精準識別到車輛的實際使用人是否為余某本人。

4.從信息重新結合識別特定自然人的成本看，將車況信息與其他信息結合識別所需的技術門檻、經濟成本、耗費時間等都較高。同時，各數據提供方將其所持有的數據采用脫敏化技術傳輸給A公司匯集整理并出具相關報告，在一定程度上降低了一般公眾將車況信息與第三方信息結合重新識別特定自然人的可能性。

綜上，法院認為案涉車況信息無法被認定為個人信息。基于此，法院判決駁回原告余某的全部訴訟請求。判決現已生效。

個人信息最顯著的特征是“可識別性”，即通過個人信息可以直接或結合其他信息關聯到特定自然人。本案中，雙方訴爭的車況信息、行駛數據、維保數據等信息僅能夠用于識別到特定車輛，而無法通過相關信息精準識別到特定的自然人，故而相關信息不宜被認定為個人信息。

關聯法條

《民法典》第一千零三十四條、第一千零三十五條；《網絡安全法》第七十六條；《數據安全法》第三條。