侵犯公民個人信息罪中身份識別標(biāo)準(zhǔn)的理解與適用

摘 要：民法典、《最高人民法院、最高人民檢察院關(guān)于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》規(guī)定公民個人信息認(rèn)定應(yīng)符合身份識別標(biāo)準(zhǔn)?！吧矸菪畔ⅰ北仨毦唧w、明確?！胺从程囟ㄗ匀蝗嘶顒忧闆r”需要以“可識別特定自然人身份”為前提。達(dá)到匿名化程度的信息以及額外信息未泄露的去標(biāo)識化信息，可認(rèn)定為“經(jīng)過處理無法識別特定個人且不能復(fù)原”的信息。在認(rèn)定個人信息去識別化程度時，應(yīng)綜合考慮技術(shù)判斷與基于侵害法益的現(xiàn)實(shí)危險性的價值判斷。

關(guān)鍵詞：侵犯公民個人信息罪 身份識別 匿名化 去識別化

一、問題的提出

新興數(shù)字經(jīng)濟(jì)時代下，公民個人信息保護(hù)面臨二律背反的困境。我們面臨電子網(wǎng)絡(luò)、因特網(wǎng)及種種平臺和系統(tǒng)帶來的隱私問題，比如移動通信系統(tǒng)、電郵、社交網(wǎng)絡(luò)、云提供者和網(wǎng)絡(luò)本身等。[1]公民危機(jī)感要求在個人信息的收集、使用中強(qiáng)調(diào)個人信息權(quán)作為私權(quán)加以保護(hù)。但個人信息的私權(quán)屬性與經(jīng)濟(jì)發(fā)展對個人信息的流通要求之間往往面臨艱難抉擇。如芝加哥經(jīng)濟(jì)學(xué)派自由經(jīng)濟(jì)主義思想認(rèn)為，商事活動應(yīng)確保個人信息自決權(quán)，更不應(yīng)忽視發(fā)揮個人信息在準(zhǔn)確判斷市場前景中的價值。[2]

個人信息領(lǐng)域個人信息去識別化技術(shù)似乎實(shí)際解決了個人信息保護(hù)與獲取經(jīng)濟(jì)利益之間的矛盾。個人信息去識別化一般是指“識別特征已經(jīng)去除或者通過加密或其他技術(shù)模糊化的個人信息”。[3]因?yàn)橐罁?jù)傳統(tǒng)個人信息利用框架，個人信息的使用如果超出了個人同意所設(shè)定的“具有直接或合理關(guān)聯(lián)”的使用范圍，則需要再次取得個人信息主體的同意，而獲得再次同意往往需付出更大的經(jīng)濟(jì)、時間成本，減少商業(yè)價值;而通過處理個人信息，確保在信息流轉(zhuǎn)中不能識別特定個人的同時，余留部分的個體顆粒度以便商事利用，以此實(shí)現(xiàn)私權(quán)保護(hù)與流通要求之間的平衡。

去識別化技術(shù)已在民法典、網(wǎng)絡(luò)安全法及刑事立法中體現(xiàn)。民法典第1034條規(guī)定：“個人信息是以電子或者其他方式記錄的能夠單獨(dú)或者與其他信息結(jié)合識別特定自然人的各種信息”。網(wǎng)絡(luò)安全法第76條規(guī)定：“個人信息是指以電子或者其他方式記錄的能夠單獨(dú)或者與其他信息結(jié)合識別自然人個人身份的各種信息?！?2017年最高人民法院、最高人民檢察院聯(lián)合發(fā)布《關(guān)于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》（以下簡稱《解釋》）第3條規(guī)定：未經(jīng)被收集者同意，將合法收集的公民個人信息向他人提供的，屬于刑法第253條之一“侵犯公民個人信息罪”規(guī)定的“提供公民個人信息”，但是經(jīng)過處理無法識別特定個人且不能復(fù)原的除外。易言之，個人信息必須滿足“可識別特定個人”的身份識別標(biāo)準(zhǔn)。但刑事司法實(shí)踐在理解與適用身份識別標(biāo)準(zhǔn)時，卻莫衷一是。一方面，“可復(fù)原”的個人信息在司法實(shí)踐中被直接忽略;另一方面，將所有“有機(jī)會”復(fù)原的信息均認(rèn)定為個人信息。

[案例一]2015年5月至2016年5月期間，梁某某等35名被告人通過伙同4S店工作人員安裝自制外掛軟件，非法盜取品牌車輛保養(yǎng)、維修數(shù)據(jù)，同時建立查詢服務(wù)平臺，以付費(fèi)方式提供給他人使用，從中牟利。對外成功查詢8571次，非法所得累計12萬元左右。法院認(rèn)為，被告人構(gòu)成非法獲取計算機(jī)信息系統(tǒng)數(shù)據(jù)罪。[4]

[案例二] 2015年10月至2016年11月期間，被告人黃某某等使用QQ出售公民個人信息用于牟利，累計出售公民個人信息8377萬余條。法院認(rèn)為，以姓+手機(jī)號碼和單獨(dú)的手機(jī)號碼形式呈現(xiàn)的信息屬于個人信息，被告人構(gòu)成侵犯公民個人信息罪。[5]

[案例三] 2015年6月至2017年6月期間，被告人石某利用“號碼魔方”電腦軟件生成公民手機(jī)號碼，并多次將生成的手機(jī)號碼向他人轉(zhuǎn)賣，獲利29850元，出售的手機(jī)號碼被他人用以實(shí)施犯罪。法院認(rèn)為，“號碼魔方”軟件生成手機(jī)號碼屬于個人信息，被告人構(gòu)成侵犯公民個人信息罪。[6]

憑借感覺、偏好對個人信息是否完成去識別化進(jìn)行認(rèn)定，似乎成了刑事司法實(shí)踐中妥協(xié)的通行做法。究其原因，個人信息的身份識別標(biāo)準(zhǔn)的認(rèn)定缺乏統(tǒng)一的技術(shù)規(guī)范指引，生活中又沒有充分的場景演繹“處理過程”，缺少實(shí)踐的先驗(yàn)支持。基于此，本文擬對侵犯公民個人信息中個人信息身份識別標(biāo)準(zhǔn)的理解與適用作有益探討。

二、侵犯公民個人信息罪中身份識別標(biāo)準(zhǔn)的制度框架

個人信息身份識別標(biāo)準(zhǔn)的制度框架來源于個人信息的定義。民法典第1034條、網(wǎng)絡(luò)安全法第76條分別明確了個人信息的定義，從法律層面結(jié)束了“隱私說”[7]“身份識別說”[8]“與個人關(guān)聯(lián)說”[9]等學(xué)說的爭議，確定“身份識別說”作為認(rèn)定個人信息的標(biāo)準(zhǔn)。《解釋》也采用了“身份識別說”的標(biāo)準(zhǔn)。但三者表述存在一定差異?！督忉尅返?條規(guī)定：“公民個人信息是指以電子或者其他方式記錄的能夠單獨(dú)或者與其他信息結(jié)合識別特定自然人身份或者反映特定自然人活動情況的各種信息?！比叩闹饕町悶椋浩湟唬穹ǖ浔硎鰹椤白R別特定自然人”，網(wǎng)絡(luò)安全法表述為“識別自然人個人身份”，那么此處有無“身份”一詞表述不同，語義是否一致？其二，網(wǎng)絡(luò)安全法中無“特定”一詞表述，個人信息的內(nèi)容是否需要指向“特定”主體？其三，《解釋》 增加了“反映特定自然人活動情況”的內(nèi)容，應(yīng)如何理解？

（一）自然人身份

“識別”的語義為區(qū)分、分辨。“身份”指“是誰”“是怎么樣一個人”。識別自然人所追求的目標(biāo)是：解讀信息內(nèi)容，確定某一自然人是誰，從而將此人與其他人區(qū)別開來。所以有無“身份”一詞，“識別自然人”與“識別自然人身份”表意相同，均有“身份”的語義。

如何理解所識別的“身份”？一般而言，“身份”本質(zhì)是社會生活中自然形成的各種關(guān)系，身份包括客觀身份，如性別、年齡、職業(yè)，也包括主觀身份，如熟人與陌生人等?，F(xiàn)實(shí)中也引申為“與他人的關(guān)系定位”，如親屬關(guān)系、上下級關(guān)系、朋友關(guān)系。國家基于管理的便利，將部分自然形成的“身份”加以認(rèn)證，例如，居民身份證上載明的姓名、身份證號等。

侵犯公民個人信息罪中個人信息所需認(rèn)證的身份，是自然人的自然屬性“身份”還是政府認(rèn)證的“身份”？有觀點(diǎn)認(rèn)為，“身份”是指經(jīng)過政府認(rèn)證的身份，其他社會主體以及不代表政府的政府分支機(jī)構(gòu)認(rèn)證的“身份”不屬于侵犯公民個人信息罪需要認(rèn)證的身份。[10]本文認(rèn)為，將個人身份限定在認(rèn)證的居民身份證、軍官證、駕駛證等國家有效證件所指向的身份，具有一定合理性：社會身份具有復(fù)雜性，重要、敏感程度也有很大差異。譬如，遠(yuǎn)房親屬關(guān)系的秘密性與識別價值較低。將不具有敏感性的社會身份均納入侵犯公民個人信息罪的保護(hù)范圍，沒有必要。但本文認(rèn)為，“身份”只需認(rèn)出“是誰”即可，不需拘泥于國家認(rèn)證的身份。將“身份”限于國家認(rèn)證的身份存在弊端，無法解決例外情形，如虛假身份證明?！霸诋?dāng)今社會，特殊的、不正常的情況或境遇越來越普遍，人們事先確立的許多規(guī)則只不過是‘笨手笨腳的規(guī)則、‘行為的粗糙指導(dǎo)。”[11]在具體案件之外，難以判斷哪些“身份”對識別“是誰”更為重要，現(xiàn)實(shí)中一些親屬關(guān)系在與其他信息結(jié)合的情況下，也可以識別出“是誰”。不可人為增設(shè)解釋障礙。由此，侵犯公民個人信息罪中個人信息所需認(rèn)定的身份是自然屬性的身份。

（二）特定自然人身份

對于“身份識別說”而言，“特定”的內(nèi)涵應(yīng)屬必要?！疤囟ā迸c“不特定”相互矛盾。所謂“不特定”是指信息內(nèi)容所指向的自然人無法確定。姓名、出生日期、住址、財產(chǎn)狀況等信息均無法與個人身份一一對應(yīng)。以“姓名”為例，一般認(rèn)為，姓名是區(qū)分個體的特定名稱符號。然而，識別姓名不一定能識別身份，個人身份的識別也不一定依據(jù)姓名。[12]獲取一條信息，譬如“王偉，月薪5000元”，由于現(xiàn)實(shí)中有許多叫“王偉”的人，它的內(nèi)容指向不特定的自然人，實(shí)際不會對特定的王偉造成困擾。

如何區(qū)別特定自然人身份與不特定自然人身份？特定自然人身份與不特定自然人身份的區(qū)別在于，“特定自然人身份”應(yīng)當(dāng)是具體明確的，對應(yīng)唯一的自然人。例如IP地址可對應(yīng)特定人群（某家庭），也可對應(yīng)不特定人群（賓館、網(wǎng)吧），但難以對應(yīng)唯一主體，所以不宜認(rèn)定為受刑法保護(hù)的個人信息。在cookie隱私第一案朱燁訴百度侵犯隱私權(quán)案中，百度公司利用cookie技術(shù)收集用戶瀏覽網(wǎng)頁的信息并以此推送網(wǎng)絡(luò)服務(wù)。Cookie信息可以確定IP地址，而由IP地址可一定程度推知特定用戶。但法院認(rèn)為，利用cookie技術(shù)收集瀏覽信息的行為，已與用戶身份分離，已完成匿名化，無法確定該信息的歸屬，不構(gòu)成隱私侵犯。[13]本文贊同法院意見。IP地址可分為動態(tài)地址與靜態(tài)地址，由于IP地址資源非常稀缺，通過普通寬帶上網(wǎng)用戶或者電話撥號上網(wǎng)一般為動態(tài)地址，靜態(tài)地址價格昂貴、接入設(shè)備多，而多為寫字樓、互聯(lián)網(wǎng)公司所購買使用。靜態(tài)地址合法用戶眾多，指向不特定自然人。對于動態(tài)地址，每次上網(wǎng)電信會隨機(jī)分配一個IP地址。動態(tài)地址是絕大多數(shù)互聯(lián)網(wǎng)家庭用戶的上網(wǎng)方式，這種實(shí)時性使得很難通過技術(shù)確定特定自然人。

（三）反映特定自然人活動情況

民法典、網(wǎng)絡(luò)安全法規(guī)定的識別對象是自然人身份，而《解釋》規(guī)定的識別對象是特定自然人身份或者活動情況，識別對象存在差異。“反映特定自然人活動情況”是否需要以“可識別特定自然人身份”為前提？有觀點(diǎn)認(rèn)為，網(wǎng)絡(luò)安全法使用的是廣義的身份識別信息，包括了體現(xiàn)特定自然人活動情況的信息，而《解釋》適用的是狹義的身份識別信息，所以在條文中加列了“活動情況信息”。[14]本文贊同該觀點(diǎn)，“反映特定自然人活動情況”需要以“可識別特定自然人身份”為前提。一方面，依據(jù)法秩序統(tǒng)一性原則，那么刑事司法解釋在個人信息范圍的理解適用上不應(yīng)當(dāng)超出法律規(guī)定的范圍，“識別自然人身份”應(yīng)包含“識別特定自然人身份”的內(nèi)涵。另一方面，由《解釋》第3條第2款的規(guī)定“經(jīng)過處理無法識別特定個人且不能復(fù)原的除外”推斷，在個人信息認(rèn)定時，“反映特定自然人活動情況的信息”以“可識別自然人”為前置條件，無法識別特定個人且僅反映特定自然人活動情況的信息不屬于個人信息。[15]

綜上所述，民法典、網(wǎng)絡(luò)安全法、《解釋》認(rèn)定公民個人信息時，均采用了“身份識別說”的標(biāo)準(zhǔn)。身份識別標(biāo)準(zhǔn)是指，個人信息認(rèn)定應(yīng)遵循的標(biāo)準(zhǔn)：以電子或者其他方式記錄的能夠單獨(dú)或者與其他信息結(jié)合識別特定自然人身份的信息，經(jīng)過處理無法識別特定個人且不能復(fù)原的除外。

三、刑事司法實(shí)踐中身份識別標(biāo)準(zhǔn)適用困難及判斷進(jìn)路

《解釋》規(guī)定的“經(jīng)過處理無法識別特定個人且不能復(fù)原”是一個去識別化過程。刑事司法實(shí)踐難以判斷一條“經(jīng)過處理”的信息是否已達(dá)到無法識別特定個人身份且不能復(fù)原的程度。

（一）刑事司法實(shí)踐中身份識別標(biāo)準(zhǔn)適用困難

1.身份識別標(biāo)準(zhǔn)適用困難的緣由

為保障信息的利用價值，即使“經(jīng)過處理”，信息中仍需余留個體顆粒度，這意味著個人信息面臨重新識別風(fēng)險。隨著大數(shù)據(jù)產(chǎn)業(yè)發(fā)展，信息處理能力增強(qiáng)，特別是個人信息再識別化的技術(shù)水平極大提高，利用與個人身份聯(lián)系度極低的個體顆粒信息也足以實(shí)現(xiàn)識別特定個人的目標(biāo)。如2006年8月《紐約時報》根據(jù)美國在線（AOL）公布的舊搜索查詢數(shù)據(jù)庫確定到某組數(shù)據(jù)的具體搜索人，而此數(shù)據(jù)庫是由2006年3月1日到5月31日之間的65.7萬用戶的2000萬搜索查詢記錄組成的，不包含任意個人信息。 [16]通過刪除社會保障號碼以及姓名的匿名化方法，保護(hù)大數(shù)據(jù)庫中個人隱私的作用被逐漸削弱。[17]2016年在德國漢堡舉行的Chaos Computer Club研討會議上一位德國研究員發(fā)表標(biāo)題為《建設(shè)你們自己的國家安全局》（Build your own NSA）的研究成果顯示：點(diǎn)擊流數(shù)據(jù)包括網(wǎng)絡(luò)用戶瀏覽過的站點(diǎn)信息、精確的URL細(xì)節(jié)和瀏覽順序等，通常認(rèn)為屬于匿名化的、無害可公開的信息;研究人員向網(wǎng)絡(luò)分析公司獲取點(diǎn)擊流數(shù)據(jù)，并根據(jù)點(diǎn)擊流數(shù)據(jù)中的URL細(xì)節(jié)，可找出該點(diǎn)擊流數(shù)據(jù)中3%的用戶身份;研究人員研究發(fā)現(xiàn)基于網(wǎng)絡(luò)用戶在社交平臺上公開推薦的網(wǎng)站數(shù)據(jù)，少于十個的不同域名足以認(rèn)定其個人身份。[18]技術(shù)的發(fā)展使得徹底處理個人信息成為難題。

2.身份識別標(biāo)準(zhǔn)刑事司法適用現(xiàn)有觀點(diǎn)及其缺陷

目前身份識別標(biāo)準(zhǔn)的適用主要依據(jù)經(jīng)驗(yàn)判斷，缺乏技術(shù)判斷，主要通過判斷個人信息再識別可能性。一種觀點(diǎn)為：“考慮需要結(jié)合其他信息的程度，需要結(jié)合其他信息多，則認(rèn)定個人信息的可能性較大;信息本身的重要程度，敏感信息可以采取相對寬松的標(biāo)準(zhǔn);行為人主觀上不需要識別特定自然人身份或者反映特定自然人活動情況，則不宜認(rèn)定為公民個人信息。”[19]另一種觀點(diǎn)為：“間接識別的節(jié)點(diǎn)不能過多;要根據(jù)犯罪行為人的具體識別能力來判斷涉案信息的身份識別屬性，因人而異?！盵20]兩種觀點(diǎn)提供了有益思路，但何為“需要結(jié)合其他信息多”？何為“間接識別的節(jié)點(diǎn)不能過多”？過于抽象難以操作。

（二）身份識別標(biāo)準(zhǔn)司法適用的兩種進(jìn)路

1.以信息處理結(jié)果為主要基準(zhǔn)的判斷進(jìn)路——以英國為例

再識別可能性判斷的主要思路是對“經(jīng)過處理”的信息進(jìn)行分析，判斷這一信息是否能和其他信息結(jié)合識別特定自然人身份，是以結(jié)果導(dǎo)向的判斷進(jìn)路。較成熟地適用再識別可能性判斷的國家是英國。英國司法領(lǐng)域現(xiàn)已實(shí)踐“有動機(jī)的攻擊者測試”（a motivated intruder test）以測評個人信息再識別風(fēng)險：假定一位有動機(jī)的攻擊者，這位攻擊者不能使用專業(yè)設(shè)備、不能訴諸入室行竊，這位攻擊者具有訪問互聯(lián)網(wǎng)、圖書館及任意公開文件的能力、擁有調(diào)查技能，但并不知曉計算機(jī)黑客技術(shù)，在這種情境下，讓這位攻擊者對“經(jīng)過處理”的信息做出再識別，從而對信息再識別風(fēng)險做出測評。[21]再識別評估的具體測評因素囊括現(xiàn)在所有合理的再識別技術(shù)（take all reasonable steps）、信息屬性（the nature of the information）引發(fā)的再識別動機(jī)（basis）等。[22]英國的監(jiān)管機(jī)構(gòu)信息專員辦公室（The Information Commissioners Office， ICO）認(rèn)可并推薦使用此測評方法，建議在司法實(shí)踐中普遍使用。如2018年在英國上審法院判決的英國咨詢委員會訴米勒案中就適用了該測評標(biāo)準(zhǔn)，具體案情是：英國每個地方政府向英國的社區(qū)地方政府部按季度報送了無家可歸人員統(tǒng)計數(shù)據(jù)。數(shù)據(jù)包括無家可歸的緣由、無家可歸人員數(shù)量、住宿類別及包含性別、殘疾、種族、暫住地、同居者等信息的家庭組成信息。2015年12月7日，米勒女士請求公示未公開的2009/10、2010/11和2011/12年度的信息。社區(qū)地方政府部援引英國的《信息自由法》第40（2）條（個人數(shù)據(jù)豁免）條款，拒絕公開該信息，認(rèn)為該信息涉及五名及以下人員的個人信息。米勒女士向初級審判所起訴。初級審判所認(rèn)定所涉信息并不屬于《1998年資料保護(hù)法》第1（1）條所規(guī)定的“個人信息”，所以應(yīng)該公開該信息。2017年9月25日，信息專員辦公室提起上訴。[23]

本案的分歧在于米勒女士請求公開信息是否應(yīng)認(rèn)定為個人信息，如果屬于個人信息則依據(jù)《信息自由法》第40（2）條不應(yīng)公開此信息。上訴方認(rèn)為，初級審判所未曾考慮所有可能且合理的再識別技術(shù)并列舉可再識別個人的情形。該上訴法院駁回了上訴方請求，認(rèn)定此信息不屬于個人信息，應(yīng)當(dāng)公開。裁判理由是：一是如非身份特殊個人信息再識別者難以識別特定個人，根據(jù)合理推測上訴方難以準(zhǔn)確認(rèn)定身份;二是一般人缺乏再識別動機(jī)因?yàn)樾畔⒁堰^時效。[24]本文認(rèn)為，英國法院在判斷信息是否屬于個人信息時，采取的策略是判斷該信息在合理情形的再識別的風(fēng)險，除去特殊身份等極端情況，并基于時效等因素考量信息是否具有再識別的價值。此種判斷進(jìn)路更具體，符合司法實(shí)踐需要。

2.以信息處理過程為主要基準(zhǔn)的判斷進(jìn)路——以歐盟為例

目前歐盟推行較為明確的數(shù)據(jù)匿名化技術(shù)標(biāo)準(zhǔn)，所以歐盟在判斷“經(jīng)過處理”的信息是否仍屬于個人信息時，采用了截然不同的判斷進(jìn)路——以信息處理過程為主要基準(zhǔn)的判斷進(jìn)路。換言之，如果個人信息的去識別化處理過程嚴(yán)格遵守了技術(shù)標(biāo)準(zhǔn)，則認(rèn)為經(jīng)過處理的信息不再屬于個人信息。

在個人數(shù)據(jù)領(lǐng)域，歐盟成員國必須在國內(nèi)貫徹執(zhí)行歐盟發(fā)布的各項指令。歐盟數(shù)據(jù)保護(hù)委員會（European Data Protection Board）的前身——“第29條數(shù)據(jù)保護(hù)工作組”（Article 29 Data Protection Working Party）頒布了個人信息匿名化技術(shù)標(biāo)準(zhǔn)的建議。此工作組已于2018年5月25日解散，但此文件仍發(fā)揮重大指導(dǎo)性意義。

第一，確定個人信息去識別化的程度標(biāo)準(zhǔn)。由于去識別化能夠達(dá)到的實(shí)際效果具有不確定性，萬無一失的去識別化難以達(dá)到。何為可容許的匿名化程度則是問題的關(guān)鍵。就歐盟數(shù)據(jù)保護(hù)情況而言，匿名化程度應(yīng)達(dá)到所有合理手段（all means “l(fā)ikely reasonably”）以及現(xiàn)有技術(shù)（current state of technology）無法認(rèn)定的程度。[25] 此建議認(rèn)為匿名化是一個不可逆的過程，但并非絕對，而是相對的不可逆。此建議承認(rèn)個人信息經(jīng)過匿名化技術(shù)處理后，仍具有聯(lián)系特定個人的風(fēng)險，但是如果經(jīng)過處理的信息已很難或者以極低的可能性再識別特定個人的，應(yīng)當(dāng)認(rèn)定個人信息匿名化已完成。

第二，確定個人信息去識別化的認(rèn)定主體。建議中規(guī)定匿名的判斷主體包括個人信息控制者以及任意第三方主體，匿名應(yīng)當(dāng)達(dá)到兩者都無法識別個人的程度。 [26]

第三，確定詳盡的去識別化技術(shù)標(biāo)準(zhǔn)。此文件對個人信息去識別化的假名化（Pseudonymisation）、技術(shù)匿名化（anonymisation techniques）做了不同規(guī)定。匿名化技術(shù)主要包括了一般化（Generalization）與隨機(jī)化（Randomization）兩種手段。一般化是通過稀釋個人信息屬性實(shí)現(xiàn)，如L-多樣化技術(shù)（L-diversity）、聚合與K-匿名技術(shù)（Aggregation and K-anonymity）等。隨機(jī)化是另一種匿名化技術(shù)，是“修改數(shù)據(jù)的真實(shí)性來移除個人與數(shù)據(jù)之間的高度聯(lián)系”的技術(shù)組，如添加噪音（Noise addition）、置換法（Permutation）等。個人信息控制者應(yīng)當(dāng)使用或疊加使用以上匿名化技術(shù)。[27]

第四，確定了妥善的信息管理核查要求。個人信息控制者實(shí)施匿名化技術(shù)，并非一勞永逸，個人信息控制者應(yīng)排查是否存在去識別化失?。‵ailures）、使用錯誤（Common mistakes）等情形，定期檢查信息，增強(qiáng)信息的匿名度。 [28]

綜上，個人信息去識別化過程，包括技術(shù)、管理應(yīng)符合工作組出臺的指導(dǎo)意見：第一，認(rèn)真實(shí)施去識別技術(shù)標(biāo)準(zhǔn)，避免過失，判斷是否存在明顯的技術(shù)上的錯誤;第二，從具體的再識別技術(shù)以及成本因素出發(fā)，測評個人信息再識別風(fēng)險;第三，個人信息控制者妥善保管好額外個人信息，避免去標(biāo)識化個人信息被重新識別。 [29]

四、侵犯公民個人信息罪中身份識別標(biāo)準(zhǔn)的適用

（一）刑法中個人信息去識別化的程度標(biāo)準(zhǔn)選擇

《解釋》所規(guī)定的“經(jīng)過處理無法識別特定個人且不能復(fù)原”目前有兩種解釋思路。第一種思路是，經(jīng)過處理的信息應(yīng)達(dá)到匿名化程度。根據(jù)《個人信息安全規(guī)范》第3.14條，匿名化是指：“通過對個人信息的技術(shù)處理，使得個人信息主體無法被識別，且處理后的信息不能被復(fù)原的過程”，匿名化的信息不屬于個人信息。歐盟采用了此種標(biāo)準(zhǔn)。第二種思路是，經(jīng)過處理的信息只需達(dá)到去標(biāo)識化的程度，并應(yīng)輔以必要舉措如對額外信息的妥善管理、合同約定不再識別等?！秱€人信息安全規(guī)范》第3.15條規(guī)定，去標(biāo)識化是指：“通過對個人信息的技術(shù)處理，使其在不借助額外信息的情況下，無法識別個人信息主體的過程”，去標(biāo)識化信息仍屬于個人信息。例如，美國《消費(fèi)者隱私權(quán)利法案》（草案）（Consumer Privacy Bill of Right Act of 2015）第4章第（a）節(jié)第（2）條第（A）款的四項條文規(guī)定了兩方面的匿名化標(biāo)準(zhǔn)：第一，通過更改個人信息，使得基于合理認(rèn)知也無法將該數(shù)據(jù)聯(lián)系至特定的個人或設(shè)備;第二，采取相關(guān)控制措施防止識別或個人信息控制者基于公開承諾、合同約定不再識別個人信息。兩種思路的分歧在于：匿名化是客觀上僅從該信息本身無法指向特定的個人，而去標(biāo)識化是基于“必要的舉措”而無法從該信息本身指向特定的個人。

本文認(rèn)為，侵犯公民個人信息罪中個人信息去識別化的程度標(biāo)準(zhǔn)，選擇第二種思路較為妥當(dāng)。其一，現(xiàn)實(shí)中，匿名化的理想狀態(tài)難以企及，更多的是處于中間狀態(tài)的、經(jīng)過去標(biāo)識化處理但仍能間接識別個人身份的可識別自然人身份的信息。目前中國數(shù)據(jù)產(chǎn)業(yè)發(fā)展水平呈現(xiàn)參差不齊的局面。當(dāng)前國內(nèi)互聯(lián)網(wǎng)產(chǎn)品與服務(wù)的個人信息保護(hù)工作尚處“提倡”階段而《網(wǎng)絡(luò)安全法》的規(guī)定也未能普遍落實(shí)。[30]僅以匿名化標(biāo)準(zhǔn)認(rèn)定侵犯公民個人信息罪中的個人信息范圍，則當(dāng)下大部分妥善管理經(jīng)過去標(biāo)識化處理的信息一旦泄露都將被認(rèn)為是個人信息，《解釋》第3條的但書條款幾近無法適用。而且考慮到企業(yè)對個人信息去識別化，是降低了風(fēng)險的行為，不宜過分苛責(zé)，絕大多數(shù)企業(yè)因?yàn)橘Y金、技術(shù)原因無法達(dá)到匿名化標(biāo)準(zhǔn)，則會承擔(dān)相較有成熟技術(shù)的公司更大的合規(guī)風(fēng)險。其二，效果具有相似性。在未出現(xiàn)管理漏洞，額外信息未泄露的情況下，第三人無法僅根據(jù)泄露的去標(biāo)識化的信息識別特定自然人身份，可達(dá)到匿名化的效果。而且妥善管理、合同約定、公開承諾等形式約束了個人信息控制者個人信息再識別的動機(jī)。所以個人信息控制者及第三人都難以實(shí)現(xiàn)個人信息的再識別。

因此，達(dá)到匿名化程度的信息以及額外信息未泄露的去標(biāo)識化信息，可認(rèn)定屬于《解釋》規(guī)定的“經(jīng)過處理無法識別特定個人且不能復(fù)原”的信息。

（二）以信息處理結(jié)果為基準(zhǔn)的判斷進(jìn)路更符合刑事司法實(shí)踐

以信息處理過程為基準(zhǔn)的判斷進(jìn)路是對技術(shù)完成度的判斷。因?yàn)閲覙?biāo)準(zhǔn)《信息安全技術(shù) 信息安全風(fēng)險評估規(guī)范》尚未實(shí)施，所以目前無法將第三方提供的技術(shù)判斷作為刑事審判的依據(jù)。此外，刑法意義上的“個人信息”作為規(guī)范的構(gòu)成要件要素，必然離不開刑法保護(hù)價值判斷的內(nèi)涵，譬如主動公開的個人信息雖然屬于個人信息國家標(biāo)準(zhǔn)所列舉的個人信息，但由于個人對個人法益的支配，這種個人信息不宜由侵犯公民個人信息罪保護(hù)。[31]所以單一的技術(shù)判斷可能會得出偏離刑法規(guī)范目的的結(jié)論。因此，以信息處理過程為主要基準(zhǔn)的判斷進(jìn)路可作為參考，但需增加價值因素的考慮。

以信息處理結(jié)果為基準(zhǔn)的判斷進(jìn)路更偏向價值判斷，更符合刑事司法實(shí)踐。無論是以信息處理過程為基準(zhǔn)的判斷進(jìn)路，還是以信息處理結(jié)果為基準(zhǔn)的判斷進(jìn)路，都解決了個人信息技術(shù)認(rèn)定問題。但相較而言，一方面，前者需要專業(yè)技術(shù)人員加以判斷，后者則可從一般人的常識、常理、常情加以判斷，后者技術(shù)要求較低，司法操作性更強(qiáng);另一方面，后者增加價值判斷的因素，即增加了任意第三人再識別動機(jī)、識別時效等因素的考慮。由此，后者在判斷是不是個人信息的基礎(chǔ)上，進(jìn)一步增添侵犯公民個人信息罪所保護(hù)的法益易受侵害性的考慮，更具有合理性，將仍存在個體顆粒度、但無再識別動機(jī)、不具有易受侵害性信息排除在外。

（三）具體案件分析

案例一中，被告人對4S店的計算機(jī)系統(tǒng)設(shè)置外掛，可以遠(yuǎn)程查詢系統(tǒng)內(nèi)車主的姓名、車牌號、維修記錄等相關(guān)信息。這意味著被告人可獲得去標(biāo)識化信息（車牌號等）與額外信息（車主的姓名）等。所以案件中的數(shù)據(jù)屬于個人信息，本案應(yīng)按侵犯公民個人信息罪、非法獲取計算機(jī)信息系統(tǒng)數(shù)據(jù)罪的想象競合處理。

案例二、三中將姓+手機(jī)號碼、單獨(dú)的手機(jī)號碼、電腦軟件組合生成的、在現(xiàn)實(shí)中確也客觀存在的手機(jī)號碼認(rèn)定為個人信息較為妥當(dāng)。犯罪者不需要準(zhǔn)確知道電話號碼所有者具體名字，不需要額外信息進(jìn)一步確定姓名，只需要對應(yīng)到特定個人從而實(shí)行非法活動。此外，也無法達(dá)到匿名化及再識別化判斷的技術(shù)標(biāo)準(zhǔn)，所以可認(rèn)定該信息屬于個人信息。

注釋：

[1]參見 Helen Nissenbaum， Respecting Context to Protect Privacy： Why Meaning Matters，? SCIENCE & ENGINEERING ETHICS， 5（2015）.

[2]參見 Chris Jay Hoofnagle， US Regulatory Values and Privacy Consequences， EUR. DATA PROT. L. REV.， 2（2016）.

[3] [美]Fred H. Cate：《常用術(shù)語定義》，蘇苗罕譯，轉(zhuǎn)引自周漢華主編：《個人信息保護(hù)前沿問題研究》，法律出版社2006年版，第418頁。

[4] 參見江蘇省鹽城市中級人民法院（2020）蘇09刑終205號刑事裁定書。

[5] 參見江蘇省高郵市人民法院（2017）蘇1084刑初364號刑事判決書。

[6] 參見安徽省淮南市潘集區(qū)人民法院（2018）皖0406刑初91號刑事判決書。

[7] 參見陳起行：《資訊隱私權(quán)法力探討——以美國法為中心》，《政大法學(xué)評論》2000年第64期。

[8] 參見周漢華：《中華人民共和國個人信息保護(hù)法及立法研究報告》，北京大學(xué)出版社2006年版，第32頁。

[9] 參見國家標(biāo)準(zhǔn)《個人信息安全規(guī)范》（GB/T 35273—2020）附錄A。

[10] 參見岳林：《超越身份識別標(biāo)準(zhǔn)——從侵犯公民個人信息罪出發(fā)》，《法律適用》2018年第7期。

[11] 張明楷：《犯罪論的基本問題》，法律出版社2017年版，第137頁。

[12] 參見金耀：《個人信息匿名化法律標(biāo)準(zhǔn)明晰——以〈網(wǎng)絡(luò)安全法〉第42條為中心》，《網(wǎng)絡(luò)法律評論》（第20卷），北京大學(xué)出版社2018年版，第83頁。

[13] 參見江蘇省南京市中級人民法院（2014）寧民終字第5028號民事判決書。

[14] 周加海、鄒濤、喻海松：《〈關(guān)于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋〉的理解與使用》，《人民司法》2017年第19期。

[15] 參見雷瀾珺：《論侵犯公民個人信息罪中行蹤軌跡信息的認(rèn)定》，《中國檢察官》2020年第2期。

[16] 參見[英]維克托·邁爾-舍恩伯格、肯尼斯·庫克耶：《大數(shù)據(jù)時代：生活、工作與思維的大變革》，盛楊燕、周濤譯，浙江人民出版社2013年版，第198-199頁。

[17]參見Paul Ohm， Broken promises of privacy： Responding to the surprising failure of anonymization， UCLA LAW REVIEW， 57（2010）.

[18] 參見《個人隱私保護(hù)之殤：所謂的匿名化數(shù)據(jù)，十足可以演變成“Dark Data”》，搜狐網(wǎng) http：//www.sohu.com/a/161723833_804262，最后訪問日期：2020年3月1日。

[19] 喻海松：《侵犯公民個人信息罪司法適用探微》，《中國應(yīng)用法學(xué)》2017年第4期。

[20] 同前注[10]。

[21] 參見UK. Information Commissioner's Office： Anonymisation： managing data protection risk code of practice， https：//www.ihsn.org/node/137， 最后訪問日期：2021年1月18日。

[22] 參見The Information Commissioner v Miller [2018] UKUT 229 （AAC）.

[23] 同前注[22]。

[24] 同前注[22]。

[25] 參見Article 29 Working Party， Opinion No.05/2014 on Anonymization Techniques， http：//ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2014/wp216_en.pdf， 最后訪問日期：2020年3月25日。

[26]同前注[25]。

[27]同前注[25]。

[28]同前注[25]。

[29]同前注[25]。

[30]參見中共中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組辦公室：《個人信息保護(hù)倡議書簽署儀式舉行 公布隱私條款專項工作評審結(jié)果》，國家互聯(lián)網(wǎng)信息辦公室網(wǎng)http：//www.cac.gov.cn/2017-09/25/c_1121715816.htm，最后訪問

日期：2020年3月25日。

[31]同前注[19]。