IP地址信息的法律屬性分析
——兼評(píng)微博顯示用戶IP屬地信息行為

□ 文 翟嘉詩

0 引言

2021年10月，國(guó)家互聯(lián)網(wǎng)信息辦公室發(fā)布《互聯(lián)網(wǎng)用戶賬號(hào)名稱信息管理規(guī)定（征求意見稿）》，其中第12條要求“互聯(lián)網(wǎng)用戶賬號(hào)服務(wù)平臺(tái)應(yīng)當(dāng)以顯著方式，在互聯(lián)網(wǎng)用戶賬號(hào)信息頁面展示賬號(hào)IP地址屬地信息。境內(nèi)互聯(lián)網(wǎng)用戶賬號(hào)IP地址屬地信息需標(biāo)注到省（區(qū)、市），境外賬號(hào)IP地址屬地信息需標(biāo)注到國(guó)家（地區(qū)）”。

2022年4月28日，新浪“微博管理員”發(fā)博稱將在用戶個(gè)人主頁一級(jí)頁面內(nèi)展示IP屬地信息，同時(shí)也會(huì)展示微博評(píng)論區(qū)發(fā)評(píng)人的IP屬地信息，且用戶無法選擇開啟或關(guān)閉。隨后，新浪微博已經(jīng)針對(duì)全部用戶開啟了顯示IP屬地功能，顯示規(guī)則為國(guó)內(nèi)顯示到省份/地區(qū)，國(guó)外顯示到國(guó)家。新浪微博稱開放該功能是為了“減少冒充熱點(diǎn)事件當(dāng)事人、惡意造謠、蹭流量等不良行為，確保傳播內(nèi)容的真實(shí)、透明”。4月29日，微信公眾平臺(tái)也開啟了微信公眾號(hào)文章評(píng)論區(qū)顯示IP屬地功能測(cè)試，無獨(dú)有偶，今日頭條、抖音、小紅書、快手、知乎等各大平臺(tái)也相繼發(fā)公告稱將逐步開放IP屬地功能。

事實(shí)上，國(guó)內(nèi)外互聯(lián)網(wǎng)平臺(tái)對(duì)于IP地址的使用由來已久，如應(yīng)用于個(gè)性化推薦、廣告投放、搜索等場(chǎng)景，也由此引發(fā)公眾對(duì)信息泄露的擔(dān)憂。本文試圖對(duì)IP地址信息的法律屬性加以分析，厘清互聯(lián)網(wǎng)平臺(tái)使用IP地址的合法性邊界，并對(duì)近期引發(fā)熱議的新浪微博顯示用戶IP屬地信息行為加以分析。

1 IP地址在互聯(lián)網(wǎng)平臺(tái)場(chǎng)景下的功能

1.1 IP地址的廣告投放功能

互聯(lián)網(wǎng)平臺(tái)對(duì)IP地址的應(yīng)用場(chǎng)景廣泛，目前最主要的是廣告精準(zhǔn)投放。對(duì)于廣告投放功能，中國(guó)廣告協(xié)會(huì)與中國(guó)信息通信研究院聯(lián)合開發(fā)的“互聯(lián)網(wǎng)廣告數(shù)據(jù)服務(wù)平臺(tái)”指出“IP地理信息是數(shù)字經(jīng)濟(jì)中重要的生產(chǎn)力要素之一，也是互聯(lián)網(wǎng)廣告生態(tài)運(yùn)行的重要基礎(chǔ)數(shù)據(jù)?！迸e例來說，谷歌在其隱私條款中說明“我們可以根據(jù)您的大致位置投放廣告。這可以包括從設(shè)備的IP地址派生的位置。根據(jù)您廣告的個(gè)性化設(shè)置，您可能還會(huì)看到基于您在Google賬戶中的活動(dòng)的廣告。這包括存儲(chǔ)在您的網(wǎng)絡(luò)和應(yīng)用活動(dòng)中的活動(dòng)，這些活動(dòng)可用于制作更有用的廣告?！?/p>

1.2 IP地址的個(gè)性化服務(wù)功能

與通過IP地址精準(zhǔn)投放廣告的功能類似，互聯(lián)網(wǎng)平臺(tái)也會(huì)在推送個(gè)性化內(nèi)容、搜索服務(wù)中使用IP地址獲取用戶位置，使得提供的服務(wù)內(nèi)容更具相關(guān)性。如新浪微博在《微博個(gè)人信息保護(hù)政策》第1.2條稱“在您瀏覽微博信息流時(shí)，我們會(huì)根據(jù)您的設(shè)備信息、IP地址、位置信息……向您提供個(gè)性化內(nèi)容推薦服務(wù)。我們可能會(huì)依賴其他信息（例如IP地址、Wi-Fi接入點(diǎn)、移動(dòng)信號(hào)基站位置等）來判斷您所在的大致位置，并為您提供基于該等位置的信息和服務(wù)?！?/p>

互聯(lián)網(wǎng)平臺(tái)對(duì)IP地址的應(yīng)用雖然擴(kuò)展了其提供服務(wù)產(chǎn)品的便利性與效率，但是也引發(fā)了用戶的擔(dān)憂。要解決這個(gè)問題，需要明確IP地址是否屬于個(gè)人信息或隱私的范疇，進(jìn)而確定用戶能否針對(duì)IP地址主張個(gè)人信息或隱私的權(quán)利保護(hù)。

2 IP地址的法律屬性分析：“識(shí)別性”作為核心要素

縱觀世界各國(guó)個(gè)人信息保護(hù)立法，均將“識(shí)別性”作為個(gè)人信息的核心判斷標(biāo)準(zhǔn)。對(duì)于“識(shí)別性”的解釋，也決定著個(gè)人信息立法保護(hù)的范圍。我們討論IP地址信息能否納入個(gè)人信息保護(hù)的范圍內(nèi)，必然要判斷IP地址信息是否具有能夠識(shí)別特定自然人的屬性。然而，對(duì)于個(gè)人信息“識(shí)別性”的判斷各國(guó)也并沒有統(tǒng)一的標(biāo)準(zhǔn)，對(duì)于IP地址的屬性界定也呈現(xiàn)出不同的樣態(tài)。

2.1 域外立法與實(shí)踐

2018年生效的歐盟《通用數(shù)據(jù)保護(hù)條例》（簡(jiǎn)稱GDPR）被認(rèn)為是全球范圍內(nèi)最嚴(yán)格的個(gè)人信息保護(hù)立法。歐盟對(duì)于個(gè)人數(shù)據(jù)中“識(shí)別性”要素的邊界采用廣泛解釋。這一點(diǎn)無論從GDPR中個(gè)人數(shù)據(jù)的定義、第29條工作組對(duì)“識(shí)別性”要素的解釋以及歐盟法院的司法實(shí)踐都可以看出。第29條工作組指出“確定一個(gè)人是否是可被識(shí)別的，應(yīng)該是采取了所有可能被信息控制者其他人合理使用的手段來識(shí)別該人。這意味著僅僅是假設(shè)的可能性并不足以將該人視為‘可識(shí)別的’。如果‘信息控制者或任何可能合理使用的所有手段其他人’的這種可能性不存在或可以忽略不計(jì)，該人不應(yīng)被視為‘可識(shí)別的’，并且該信息不會(huì)被視為‘個(gè)人數(shù)據(jù)’。”

歐盟司法實(shí)踐針對(duì)IP地址的經(jīng)典案例是Patrick Breyer訴Federal Republic of Germany案。本案中，德意志聯(lián)邦共和國(guó)（BRD）運(yùn)營(yíng)的網(wǎng)站和很多網(wǎng)站運(yùn)營(yíng)商一樣，記錄其網(wǎng)站訪問者的IP地址。Patrick Breyer起訴BRD聲稱IP地址符合歐盟數(shù)據(jù)保護(hù)法規(guī)定法個(gè)人數(shù)據(jù)，BRD需要經(jīng)過個(gè)人同意才能處理此類數(shù)據(jù)。歐盟法院認(rèn)為，IP地址在某些情況下屬于個(gè)人數(shù)據(jù)，雖然Patrick Breyer的動(dòng)態(tài)IP地址本身不能直接識(shí)別出他的身份，但是通過他的IP地址與互聯(lián)網(wǎng)平臺(tái)掌握的其他賬戶數(shù)據(jù)進(jìn)行組合，可以間接識(shí)別出用戶。歐盟法院認(rèn)為，要確定一個(gè)人是否可識(shí)別，應(yīng)考慮信息控制者或任何其他人能否使用所有可能的合理手段來識(shí)別該人。可見歐盟法院對(duì)于“識(shí)別性”的判斷標(biāo)準(zhǔn)較為寬泛，對(duì)個(gè)人信息的保護(hù)范圍更廣。但需要注意到，這樣寬泛的標(biāo)準(zhǔn)對(duì)企業(yè)合規(guī)帶來比較重的負(fù)擔(dān)，在“促進(jìn)數(shù)據(jù)價(jià)值發(fā)揮”和“保護(hù)個(gè)人權(quán)益”之間，歐盟立法者的天平更傾向于后者。

美國(guó)于2018年頒布的《加州消費(fèi)者隱私法案》（“CCPA”）號(hào)稱美國(guó)史上最嚴(yán)的數(shù)據(jù)保護(hù)立法。CCPA將IP地址包括在個(gè)人信息的定義之中，但前提是能夠“識(shí)別、涉及、描述、能夠合理地與某一特定消費(fèi)者或家庭相關(guān)聯(lián)，或可能能夠被合理地、直接或間接與某一特定消費(fèi)者或家庭相關(guān)聯(lián)。”隨后，加州總檢察長(zhǎng)發(fā)布了對(duì)擬議的CCPA法規(guī)的第一套修改意見指出，如果企業(yè)沒有將IP地址與消費(fèi)者或家庭聯(lián)系起來，而且企業(yè)也無法做到將IP地址與消費(fèi)者或家庭聯(lián)系起來，那么IP地址就不是個(gè)人信息。這種解釋符合這樣的現(xiàn)實(shí)：即便企業(yè)希望將IP地址與個(gè)人或家庭聯(lián)系起來，但許多企業(yè)自己缺乏所需的信息，而且不太可能迫使互聯(lián)網(wǎng)服務(wù)供應(yīng)商為他們提供信息，可以降低企業(yè)的合規(guī)成本。然而，該意見在第二次修訂法規(guī)草案時(shí)被刪除。

2.2 我國(guó)的立法與實(shí)踐

我國(guó)《個(gè)人信息保護(hù)法》第4條將個(gè)人信息定義為“以電子或者其他方式記錄的與已識(shí)別或可識(shí)別的自然人有關(guān)的各種信息，不包括匿名化處理后的信息?！备鶕?jù)該條的定義可以看出，“識(shí)別性”包括“已識(shí)別”和“可識(shí)別”兩類情況，前者是無需借助其他信息即可識(shí)別出特定自然人的信息，后者是存在能夠識(shí)別特定自然人的可能性，但需要借助其他信息進(jìn)行間接識(shí)別。對(duì)于“識(shí)別性”外延解釋，有學(xué)者主張應(yīng)對(duì)個(gè)人信息的“識(shí)別性”和“相關(guān)性”邊界進(jìn)行最寬泛的界定，以涵蓋所有需要保護(hù)的信息。有學(xué)者主張界定“識(shí)別”要素應(yīng)采取狹義解釋，即不是所有的信息都應(yīng)納入“可識(shí)別”的范圍。目前學(xué)界對(duì)該問題的討論尚無定論。

我國(guó)的司法實(shí)踐中，在北京互聯(lián)網(wǎng)法院判決的“凌某某訴抖音App”一案中，凌某某認(rèn)為抖音App未經(jīng)過其同意收集、使用其姓名、手機(jī)號(hào)碼、城市地理位置等信息，構(gòu)成對(duì)其個(gè)人信息的侵害。法院針對(duì)姓名和手機(jī)號(hào)采用直接識(shí)別思路，認(rèn)為“姓名是自然人作為社會(huì)個(gè)體與他人進(jìn)行區(qū)別，在社會(huì)生活中具備可識(shí)別性的稱謂或符號(hào)。手機(jī)號(hào)碼是電話管理部門為手機(jī)設(shè)定的號(hào)碼，隨著‘手機(jī)實(shí)名制’政策的推行和普及，手機(jī)號(hào)碼與特定自然人的關(guān)聯(lián)性愈加緊密。因此，自然人的姓名與其使用的手機(jī)號(hào)碼無論單獨(dú)抑或組合均具有可識(shí)別性，屬于個(gè)人信息。”針對(duì)IP地理位置信息，抖音App主張IP地址獲得模糊的地理位置信息（即城市信息）不屬于個(gè)人信息，但是法院采取間接識(shí)別思路，認(rèn)為“因手機(jī)號(hào)碼具有可識(shí)別性，在收集了手機(jī)號(hào)碼的情況下，被告收集的位置信息與手機(jī)號(hào)碼信息組合，能夠識(shí)別到特定人，屬于個(gè)人信息，與該位置的精確程度無關(guān)”，據(jù)此認(rèn)定IP地址和用戶手機(jī)號(hào)碼等信息組合后能夠識(shí)別特定自然人，因而屬于個(gè)人信息。

2.3 比較與總結(jié)

歐盟的的個(gè)人數(shù)據(jù)保護(hù)立法是一種基于人格尊嚴(yán)為核心的風(fēng)險(xiǎn)預(yù)防，個(gè)人數(shù)據(jù)保護(hù)雖然可能關(guān)乎多種權(quán)益，但歐盟對(duì)此問題的探討仍以人格尊嚴(yán)為基礎(chǔ)，對(duì)“識(shí)別”的理解更加寬泛，對(duì)公民信息的保護(hù)更加嚴(yán)格。但不能忽視的是，《個(gè)人信息保護(hù)法》所涉及的法益保護(hù)具有多元性，相同的信息并非在所有情形下都能被識(shí)別為個(gè)人信息；也并非所有可識(shí)別的個(gè)人信息都無條件受到保護(hù)。保護(hù)個(gè)人信息法權(quán)益，既有自然人對(duì)其個(gè)人信息加以掌控，以免人格尊嚴(yán)以及人身財(cái)產(chǎn)權(quán)益受到侵害或遭受損害的需要，也有營(yíng)利法人通過處理個(gè)人信息推銷商品或服務(wù)的營(yíng)業(yè)自由的訴求，還包括保障言論自由，實(shí)現(xiàn)輿論監(jiān)督，以及國(guó)家機(jī)關(guān)利用個(gè)人信息提升社會(huì)治理與行政管理能力、維護(hù)市場(chǎng)競(jìng)爭(zhēng)秩序、保護(hù)消費(fèi)者權(quán)益、維護(hù)公共安全國(guó)家安全等公共利益和國(guó)家利益的需要這種多元。

筆者建議，我國(guó)今后在解釋“識(shí)別”要素時(shí)，不應(yīng)采用過于寬泛的解釋路徑，應(yīng)當(dāng)堅(jiān)持要求信息與“特定人”能夠在“實(shí)質(zhì)上或有合理的可能”產(chǎn)生聯(lián)系。其次，在決定對(duì)某項(xiàng)信息是否適用個(gè)人信息保護(hù)法進(jìn)行保護(hù)時(shí)，要采取“具體情況具體分析”的方法，應(yīng)當(dāng)在個(gè)案中綜合考慮場(chǎng)景、信息功能、信息處理目的等。

具體到IP地址，首先，對(duì)IP地址概念的分析可以看出，IP地址是用戶實(shí)現(xiàn)上網(wǎng)的必備信息，互聯(lián)網(wǎng)平臺(tái)獲取用戶的IP地址具有不可避免性。其次，基于IP地址的特點(diǎn)，IP可能是動(dòng)態(tài)的，多個(gè)用戶可能使用同一IP地址，且從單獨(dú)的IP地址中僅能獲知用戶模糊的地理位置，故單獨(dú)的IP地址信息不具有可能識(shí)別特定自然人的特點(diǎn)，不能構(gòu)成個(gè)人信息。但在大數(shù)據(jù)時(shí)代下，互聯(lián)網(wǎng)平臺(tái)獲取的用戶信息復(fù)雜多樣，當(dāng)單獨(dú)的IP地址與用戶提供的姓名、手機(jī)號(hào)碼、電子郵箱等其他信息相結(jié)合時(shí)，便具有了能夠識(shí)別特定自然人的可能性。國(guó)內(nèi)外也已經(jīng)有支持這種“間接識(shí)別”路徑的判例。因此，對(duì)IP地址是否構(gòu)成個(gè)人信息的判斷也要遵循“具體情況具體分析”的思路，需要在具體個(gè)案場(chǎng)景中，通過充分的還原使用場(chǎng)景、目的和方式，判定是否具有可識(shí)別到特定自然人的可能性。但是應(yīng)區(qū)別于歐盟嚴(yán)格保護(hù)人格尊嚴(yán)的立法思路，不能對(duì)于“識(shí)別性”做過于寬泛的解釋，應(yīng)將識(shí)別的可能性限制在“實(shí)質(zhì)上的或者能夠合理推斷的可能”，而不是“假設(shè)的可能”。

3 微博顯示用戶IP屬地信息行為分析

近期新浪微博顯示用戶IP屬地信息行為引發(fā)熱議。很多網(wǎng)友質(zhì)疑新浪微博此舉是否構(gòu)成對(duì)用戶個(gè)人信息權(quán)益的侵害。實(shí)際上，新浪微博作為互聯(lián)網(wǎng)平臺(tái)，對(duì)用戶的IP地址信息有兩個(gè)處理行為：信息收集和信息公開。需要分別對(duì)這兩個(gè)環(huán)節(jié)進(jìn)行分析。

3.1 新浪微博作為互聯(lián)網(wǎng)平臺(tái)，根據(jù)網(wǎng)絡(luò)鏈接的原理，不可避免地要收集和傳輸用戶的IP地址

根據(jù)前文分析，單獨(dú)的IP地址因不能夠識(shí)別特定自然人，因而不是個(gè)人信息。在收集用戶IP地址環(huán)節(jié)，新浪微博并沒有侵犯用戶的個(gè)人信息權(quán)益。

3.2 在公開用戶IP地址屬地信息環(huán)節(jié)，新浪微博并沒有公開用戶完整的IP地址

目前新浪微博顯示規(guī)則為國(guó)內(nèi)顯示到省份/地區(qū)，國(guó)外顯示到國(guó)家，這種模糊的城市信息無法單獨(dú)導(dǎo)致識(shí)別出特定自然人的效果。如果結(jié)合用戶在新浪微博上展示的其他信息，如昵稱、個(gè)人愛好等，也無法間接實(shí)現(xiàn)識(shí)別到特定自然人，故而此處的IP屬地信息不屬于個(gè)人信息。對(duì)此，網(wǎng)信辦發(fā)布《互聯(lián)網(wǎng)用戶賬號(hào)名稱信息管理規(guī)定（征求意見稿）》，第12條也要求互聯(lián)網(wǎng)平臺(tái)展示用戶的IP地址屬地信息。在該規(guī)定生效以后，平臺(tái)將有義務(wù)展示用戶的IP屬地信息，實(shí)現(xiàn)對(duì)互聯(lián)網(wǎng)生態(tài)的完善。但是必須要注意到，如果平臺(tái)公開的是用戶的IP地址而不僅限于屬地信息，則極有可能落入個(gè)人信息保護(hù)法的規(guī)制范圍內(nèi)。因?yàn)橥暾腎P地址結(jié)合用戶在平臺(tái)上公布的其他信息，利用技術(shù)手段，能夠識(shí)別到用戶的具體所在地。這會(huì)導(dǎo)致存在識(shí)別出特定自然人的實(shí)質(zhì)上的可能性，因而必須經(jīng)過“告知”程序獲得用戶的同意方可進(jìn)行，否則將侵犯用戶的個(gè)人信息權(quán)益。

3.3 現(xiàn)在各大互聯(lián)網(wǎng)平臺(tái)會(huì)在廣告投放、個(gè)性化推薦等場(chǎng)景下對(duì)用戶的IP地址進(jìn)行使用

由于互聯(lián)網(wǎng)平臺(tái)往往掌握了用戶的其他信息，當(dāng)單獨(dú)的IP地址與用戶提供的姓名、手機(jī)號(hào)碼、電子郵箱等其他信息相結(jié)合時(shí)，便具有了能夠識(shí)別特定自然人的可能性，構(gòu)成個(gè)人信息。平臺(tái)必須要通過履行告知程序獲得用戶的同意方可使用IP地址。實(shí)際上，各大企業(yè)已經(jīng)通過隱私政策、App彈窗等事先的告知設(shè)計(jì)來規(guī)避自身可能因IP地址使用引發(fā)的合規(guī)風(fēng)險(xiǎn)。

4 結(jié)束語

IP地址是互聯(lián)網(wǎng)世界最基礎(chǔ)的單位，具有可移動(dòng)、可變化的特點(diǎn)。各國(guó)個(gè)人信息保護(hù)法均將“識(shí)別性”作為個(gè)人信息的核心要素，單獨(dú)的IP地址信息不能識(shí)別特定自然人，但當(dāng)單獨(dú)的IP地址與平臺(tái)獲取的用戶姓名、手機(jī)號(hào)碼、電子郵箱等其他信息相結(jié)合時(shí)，便具有了能夠識(shí)別特定自然人的可能性，進(jìn)而構(gòu)成個(gè)人信息?；ヂ?lián)網(wǎng)平臺(tái)公開用戶IP地址屬地信息顯示的模糊城市信息無法單獨(dú)識(shí)別特定自然人，亦無法結(jié)合用戶在平臺(tái)上展示的其他信息實(shí)現(xiàn)間接識(shí)別，故而不構(gòu)成對(duì)用戶個(gè)人信息權(quán)益的侵犯?；ヂ?lián)網(wǎng)平臺(tái)公開IP屬地的舉措，有利于治理網(wǎng)絡(luò)空間中“偽現(xiàn)場(chǎng)”、造謠等亂象，完善網(wǎng)絡(luò)生態(tài)，正本清源。根據(jù)國(guó)家互聯(lián)網(wǎng)信息辦公室發(fā)布的《互聯(lián)網(wǎng)用戶賬號(hào)名稱信息管理規(guī)定（征求意見稿）》，在該規(guī)定生效以后，互聯(lián)網(wǎng)平臺(tái)將有義務(wù)展示用戶的IP屬地信息，相信此舉既能更好地保障公民、法人和其他組織的合法權(quán)益，也能維護(hù)良好網(wǎng)絡(luò)生態(tài)，營(yíng)造清朗網(wǎng)絡(luò)空間。