二、个人数据的关联性

关于数据安全保护，2017年施行的《中华人民共和国网络安全法》（以下简称《网络安全法》）与2021年施行的《数据安全法》是近年来颁布的效力层级较高的立法文件，但这两部法律均没有对个人数据作出明确的定义。个人数据并非独立于数据之外的新事物，而是数据与人格要素结合所产生的变体。从数据主体的角度出发，个人数据与公共数据相对应，代表了数据在私域和公域中的不同存在形态。《网络安全法》第18条提出的“促进公共数据资源开放”符合该法关注国家网络安全、促进经济社会信息化的立法目的。2020年11月发布的《最高人民法院关于支持和保障深圳建设中国特色社会主义先行示范区的意见》（法发〔2020〕39号）第8条，则将个人数据与公共数据分隔并列，从数据的产权属性、形态、权属等更细致的层面关注数据司法保护规则的确立。根据数据关涉主体的差异，立法对不同种类数据的规制焦点也有所差别。

区分个人数据和一般数据的关键在于人格要素存在与否、彰显与否。现行立法框架下，个人数据的界分存在“可识别说”和“关联说”两条路径。 《民法典》第1034条采用“可识别说”，认为“个人信息是……能够单独或者与其他信息结合识别特定自然人的各种信息”。在这一路径下，个人数据界分的关键在于是否可以单独或者结合其他信息与特定自然人进行对应。 此后出台的《个人信息保护法》第4条则认为界分的标准在于关联性。“关联说”认为个人数据是“与已识别或者可识别的自然人有关的各种信息” ^[1] （any information relating to an identified or identifiable natural person）。这一路径并未完全抛弃“可识别说”的核心内容，而是在其基础上进一步扩展了对个人数据之人格属性的认识。需要注意的是，“关联”并不等同于广泛地联系。在交通和通信极为便利的信息时代，个人总是在繁密交织的联系网上或直接或间接地与他人交流并留下自己的印记，对“关联”的宽泛界定难免使个人数据的外延过于宽泛，甚至影响数据的合理利用。为了克服无限度的关联所带来的负面效应，应当将“可识别”作为“关联”认定的标准和限度。采用“关联说”而非“可识别说”的重要原因在于认识路径的差异：旧有的“可识别说”沿用的是从数据到个人的认识路径，数据中的人格要素仅在识别数据内容的关涉主体上发挥作用，并不利于个人数据的后续保护；“关联说”则将认识路径逆转为从个人到数据，体现了以数据主体的利益为本位的思想，也有利于实现个人数据的动态界定，深化对个人数据概念的认知。

个人数据的界分与其人格属性的强弱存在直接关联，也就是说，当某一数据的人身关联性达到某种程度时，该数据将被划定为个人数据。但是，这一标准界限的最终设定也应当考虑个人数据的市场利用与个人权益保护之间的平衡。我国现行立法总体上采用“一体规制”的模式，即不论关联性强弱，在收集、使用、加工、传输等处理环节一律予以同等程度的严格限制。 为了应对现实中频繁发生的个人数据利用乱象，立法自然期望凭借“一体规制”的猛药达到保护个人权益、维护社会秩序的作用，但长久观之，这种单一的规制模式很可能对数据要素的市场化产生妨害和不利影响。此外，个人数据中人身关联属性的动态变化，进一步加大了个人数据的界分难度。在通过大数据、云计算等技术手段对海量数据进行分析整合后，一些人身关联性较强的数据仍可以与特定主体产生联系；通过反匿名、再识别等技术手段也可以将经过数据清洗、脱敏的去标志化数据重新与特定主体对应，强化特定数据的人身关联性。

为了准确理解个人数据的人格属性，廓清其关联性认定边界，在理念上应当将保障数据主体的合法权益放在首位，同时兼顾个人数据经济价值的实现。承认个人数据具有财产属性的隐忧在于，当个人数据成为市场交易的对象时，作为理性经济人的交易对手方总是更关注个人数据所蕴含的经济效益和价值回报。为避免过度商业化的恶果，缓解数据交易性和人格利益保护之间的冲突 ^[2] ，我国的数据立法在立法目的的确立上，将保护个人、组织的合法权益与保护国家主权、安全和发展利益放在显要位置，并强调数据处理活动应当保障数据安全，数据的开发利用应当以合理、规范为最低要求。换言之，在对数据的价值进行商业开发的过程中，一方面，数据的控制者与处理者必须具备有效开发的能力，并且以权利义务的形式与可以接触数据的人订立约定；另一方面，法律须保障个人数据不在未经批准的情况下受到侵入（unauthorized access），在实现经济目的之前必须确保公共利益和个人权益不受到侵害。 ^[3]

在区分措施上，可以根据数据处理的具体情境和规范目的来认定人身关联程度。同时，还应当正确理解不同部门法因规范目的不同，在认定标准上存在合理的差异。例如，2017年实施的《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《个人信息刑事司法解释》）在第5条规定了侵犯公民个人信息罪中“情节严重”的具体情形。根据该规定，与非法获取、出售或者提供住宿信息等更可能影响人身、财产安全的公民个人信息相比，非法获取、出售或者提供“行踪轨迹信息、通信内容、征信信息、财产信息”构成情节严重的标准反而更低。《个人信息刑事司法解释》对个人信息的划分方式显然与《个人信息保护法》所采用的一般个人信息和敏感个人信息的区分方法存在差异。司法解释作此划分的目的在于便于认定犯罪的情节轻重程度，统一在个案处理中的司法认定标准，以体现罪责刑相适应的原则。 在具体运用法律概念时，需要通过解释的方式探寻其真正内涵。对于“行踪轨迹信息”这一概念，有观点认为，由于侵犯该类信息的入罪标准较低，因此需要严格限制该类信息的范围，将该类信息限缩解释为“与个人行动自由乃至人身安危有关联的可以直接定位特定自然人具体坐标的信息”，即将此类信息的人身关联性要求予以提高和强化。 在柯某侵犯公民个人信息案 中，被告人柯某自2016年起运营“房利帮”网站，通过有偿的方式获取了门牌号码和业主姓名、电话等房源信息，在对相关信息进行核实后，柯某借助网站与手机应用程序，将有效信息以会员套餐的形式提供给网站会员付费查询。这类与特定业主逐一对应的真实房源信息无疑属于个人财产信息，但是案件中涉及的具体信息内容庞杂且真伪交织，还包括有地址和房源状况而无业主姓名或仅有“王先生”等代称的信息。后一种信息的人身关联程度是否达到个人信息的门槛要求，仍需深入探讨。检察机关应在办理案件的过程中提炼出界定涉案个人信息的关键要素，把握该信息危及人身、财产安全的程度高低，依照人身关联性的强弱差别合理甄别达到刑事标准的个人信息，以此确定用于衡量情节轻重的信息数量。此外，行政法上，个人数据的人身关联性与公共管理中的身份确认和匹配的联系更为密切 ，例如，个人的负面声誉情况将对其社会关系和政府管理产生重要影响。因此，相较于前述行踪轨迹数据或交易数据，行政法规范和相关研究更关注征信数据。

不同部门法对个人数据之人身关联性所存在的理解或关注上的差异，主要体现在法律行为违法性的认定方面，不会对法律所保护的客体产生影响，因此并不会破坏或冲击法秩序的统一，也不会影响法律的安定。 虽然不同法律部门关切的领域及制定的规范各有侧重，但其根本目的均在于保障自然人的数据权益和人格利益，僵化、刻板地使用法律概念只会阻碍法律效果的顺利实现。当然，在就保护目的达成共识的基础上，仍需重视法律规范的衔接，协同应对民刑交叉等涉及多个法律部门的现实问题。

注释：

[1] Indre Zliobaite & Bart Custers,“Using Sensitive Personal Data May Be Necessary for Avoiding Discrimination in Data-Driven Decision Models”, 24 Artificial Intelligence and Law 183, 186（2016）.

[2] 关于强调数据的财产属性可能引发的问题以及基于财产属性的市场解决方法失效等内容，see Jessica Litman,“Information Privacy/Information Property”, 52 Stanford Law Review 1283, 1295-1301（2000）。

[3] See Jacqueline Lipton,“Balancing Private Rights and Public Policies: Reconceptualizing Property in Databases”, 18 Berkeley Technology Law Journal 773, 800（2003）. HvMm2U4wTs7KAwZXXQkDZK7y9LjdB7FBQst4HPvAyIbk428O7nIokXttQY3TVUND