个人信息的定义是个人信息保护的起点，但理解起来反而比较困难。本文通过对我国个人信息保护立法、欧盟《通用数据保护条例》、GDPR前身95/46/EC指令、第29条工作组解读、欧盟判例、中国判例的梳理，尝试给出一些相对全面的解读。
一、个人信息与个人数据
个人数据与个人信息是法律同义词，没有实质差别。尽管学术上可能有一些区分，但是法律上的关系可类比知识产权领域的著作权和版权，做出区分的意义不大。所以不同的国家在数据保护立法时，主要采取了数据派和信息派二选一的方式。根据具体的场景，本文会同时使用个人信息和个人数据的表述方式，二者视为同义词。
欧盟是数据派，在欧盟层面，2018年生效的《通用数据保护条例》在全世界范围内对数据保护产生了极为重大的影响，GDPR在其成员国具有直接适用的法律效力。欧盟成员国立法也多以数据为表述方式，例如德国的《联邦数据保护法》, 法国的《数字共和国法案》等。除了欧盟，其他国家和地区也有数据派，例如新加坡的《个人数据保护法》。
我国是信息派，《民法典》、《网络安全法》、《个人信息保护法》采用了个人信息的表述方式，并且早在2006年，就有《中华人民共和国个人信息保护法及立法研究报告》出现。 同为信息派的国家例如加拿大的《个人信息保护法》, 韩国的《个人信息保护法》, 日本的《个人信息保护法》等。
无论是信息派还是数据派，其代表了个人信息或数据保护的一种主要模式，即集中单独立法。还有一种模式是美国的隐私权保护模式，将个人信息或数据视为隐私的下位概念。
二、中欧立法
中国
2016年，《网络安全法》第七十六条规定，“个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证号码、个人生物识别信息、住址、电话号码等。”
2017年，《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第一条规定，“公民个人信息”,是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。
2020年，《信息安全技术 个人信息安全规范 》对个人信息的定义是，以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。
2020年，《民法典》第一千零三十四条规定，“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。”
2020年，《个人信息保护法》第四条规定，“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息,不包括匿名化处理后的信息。”
欧盟
由于我国的个人信息保护立法高度参考借鉴欧盟立法，而欧盟立法主要开始于95/46/EC指令，因为本文对95/46/EC指令和随后的GDPR同时摘录原文：
95/46/EC指令第二条，'personal data' shall mean any information relating to an identified or identifiable natural person ; an identifiable person is one who can be identified, directly or indirectly, in particular by reference to an identification number or to one or more factors specific to his physical, physiological, mental, economic, cultural or social identity;
本文翻译为：“个人数据”是指与已识别或可识别的自然人相关的任何信息。可识别的自然人是能够被直接或间接地识别的人，特别是通过一个标识符实现识别，或者是通过自然人的一个或多个物理个性、生理个性、遗传个性、心理个性、经济个性、文化个性或社会个性这样的要素实现识别。
GDPR第四条，‘personal data’ means any information relating to an identified or identifiable natural person ; an identifiable natural person is one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, location data, an online identifier or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that natural person;
本文翻译为：“个人数据”是指与已识别或可识别的自然人相关的任何信息。可识别的自然人是能够被直接或间接地识别的人，特别是通过一个标识符实现识别，例如姓名、身份号码、定位数据、在线身份标记，或者是通过自然人的一个或多个物理个性、生理个性、遗传个性、心理个性、经济个性、文化个性或社会个性这样的要素实现识别。
通过阅读不同的翻译版本，笔者发现上述“any”和“identity”往往没有被准确的翻译出来，特别是identity, 不宜翻译为身份，更妥的办法是采用identity的第二含义:个性。有译文将其翻译为特征项，也比较准确。原因是，身份与识别关系太紧密了，使用不当容易引起误解，其次，这里的identity明显是对从physical到social的全部对应，而不仅仅是对social，所以翻译为身份的话，从语义上很难对应physical, physiological, genetic, mental, economic, cultural。
三、个人信息定义解读
一项信息是否属于个人信息保护法上的个人信息，其判断的标准主要有识别说、关联说和隐私说三种。识别说是国内外的主流观点，且明确被我国的法律法规采用。因此，本书对关联说和隐私说予以简单介绍，重点对识别说予以分析。
关于个人信息定义的不同学说
1、关联说
关联说，即与自然人相关的一切信息均为个人信息。例如瑞典《个人数据法》第三条规定，“个人数据指各种可以直接或间接地和某一活着的自然人相关联的信息。” 我国《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》和《信息安全技术 个人信息安全规范 》中对于“反映特定自然人活动情况的各种信息”就是与关联性有关的内容。关联说的主要弊端在于，对于个人信息的保护过于宽泛，将个人信息的保护绝对化。个人信息本身通常并没有价值，个人信息的收集和处理则使得个人信息发挥集合优势，政府可以对社会进行更好的管理，企业可以为消费者提供更好的服务，从而使得社会整体收益，但是滥用个人信息则可能带来负面的效果，例如人肉搜索、垃圾短信、信息诈骗等。因此，对于个人信息的法律规制导向应当是既要鼓励收集和处理，例如在知情同意环节，允许选择退出方式,而不是强求选择加入方式,又要规范收集和处理的方式。关联说明显相悖与鼓励个人信息收集和处理的导向，例如政府或者企业收集的信息很多时候并不能识别个人，此时允许个人对此实施个人信息自决权则阻碍政府或企业目的实现，最终受损的是社会整体。
2、隐私说
隐私说，即认为构成个人隐私的信息才可以作为个人信息。美国Patent教授认为，“个人信息系指社会中多数所不愿向外透露者；或者是个人极敏感而不愿他人知道者。” 这种观点在现在看来可能不合时宜，但是在信息技术发展到一定程度之前，绝大多数个人信息并没有保护的实际需求。目前，已经鲜有国家采用隐私说定义个人信息。
3、识别说
识别说是通过建立信息与个人之间的识别关系而作为判断个人信息的标准。我国《民法典》和《网络安全法》即采用识别说。类似的做法比如，新加坡《个人数据保护法》第二条规定，“个人数据是指一个通过以下资料可以识别的个人数据，而不必考虑其真实性：该数据或该数据以及机构已经或可能获得的数据和其他资料。”
4、识别说+关联说
欧盟95/46/EC指令和GDPR采用的就是识别说+关联说的做法，简单是就是与已识别或可识别的人有关的任何信息都属于个人数据。我国的《个人信息保护法》第四条规定，“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息,不包括匿名化处理后的信息。”类似的做法例如，韩国《个人信息保护法》第二条规定，“个人信息是指与任何存在的人有关的，可以通过他/她的姓名和居民登记号码、图像等来识别这些个人的信息。” 德国《联邦数据法》第三条规定，“个人数据是指已识别或可识别个人的个人情况或实质情况的任何信息。”加拿大《个人信息保护法》第一条规定，“个人信息是指有关可识别个人的信息，包括员工个人信息，但不包括联系信息或工作产品信息。”
可以说，我国的《个人信息保护法》采用了识别说+关联说的做法非常突然，与采用识别说的《网络安全法》和《民法典》存在很大不同，但与欧盟95/46/EC指令和GDPR很接近。与识别说相比，识别说+关联说无论是理解还是落地执行都要更加困难。即便如此，笔者认为我国个人信息保护法最终也很难回归识别说。2020年11月，东盟十国以及中国、日本、韩国、澳大利亚、新西兰共15个国家签署了《区域全面经济伙伴关系协定》。RCEP中对个人信息的定义为，“personal information”means any information, including data, about an identified or identifiable inpidual.这个定义就是高度浓缩版的GDPR第四条。
即便是识别说+关联说，也是以识别为基础，可视为识别说的PLUS版本，其核心仍在于识别，但是识别也面临着挑战。随着新技术的发展，例如大数据下，几乎所有信息在技术上都可以识别个人，所有的信息也就成为了个人信息。甚至，不必考虑技术的因素，通过对任何信息的不计成本的、不放过蛛丝马迹的追踪，往往都能识别到个人，但这并不是法律工作的方式，这是警察或者侦探的工作方式。因此，识别仍然是界定个人信息的最好手段。
识别+关联学说下个人信息定义的理解
1、欧盟关于个人数据定义的案例
案例：Patrick Breyer诉德意志联邦共和国案
Patrick Breyer访问了德国联邦机构的几个网站，这些网站对公众开放。出于防范网络攻击等目的，这些网站会通过日志储存访问信息， 并且在访问者离开网站后仍然保存在日志中。保存的信息包括被访问的网页或文件、搜索的关键词、访问时长、传输的数据、访问是否成功的标记、访问者使用的电脑的IP地址。
IP地址相当于电脑在互联网上的铭牌，被访问网站的服务器通过IP地址识别电脑，并向电脑的访问请求作出响应。IP地址有静态IP地址，也就是固定不变的一串数字，也有IP地址，每次一台电脑跟互联网连接的时候，都会被分配一个IP地址，下次再跟互联网连接的时候，会被分配另外一个IP地址，每次IP地址使用完成都会被放回池中，以供别的电脑调用。动态IP地址显然很有实际作用，因为同一个动态IP地址可以在不同的时间被分配给不同的电脑，资源利用更充分。
Patrick Breyer向德国行政法院提出诉讼, 请求禁止联邦德国在他访问联邦机构运营的提供在线媒体服务的网站结束后，仍然存储或者安排第三方存储他的动态IP地址。一审败诉后，Patrick Breyer提出了上诉。上诉法院最后判令，如果Patrick Breyer访问网站时提供了自己身份信息的情况下，在访问结束后，联邦德国不得自行或者安排第三将他的动态IP地址和访问的时间段信息存储。
上诉法院关于“如果Patrick Breyer访问网站时提供了自己身份信息的情况下”的限定很有意思。上诉法院的解释是，一个动态IP地址，结合访问日期，在访问者提供了个人身份信息的情况下，构成个人数据，因为网站的运营者可以通过将他的名字和他的动态IP地址联系起来而识别访问者。
上诉法院认为其他情况下动态IP地址不构成个人数据。上诉法院给出的理由是，如果Patrick Breyer访问网站时没有提供自己身份信息，只有互联网络服务提供商可以将动态IP地址与一个可以识别的用户联系起来。但是，德国联邦是在线媒体服务的提供者, 动态IP地址对德国联邦而言不是个人数据，哪怕是与访问日期组合，也不构成个人数据，因为对于德国联邦而言，访问者不是可识别的。
Patrick Breyer和联邦德国都提出了上诉至德国联邦最高法院。德国联邦最高法院将案件提交给欧盟法院，要求欧盟法院作出最初裁决。
德国联邦最高法院认为，网站的运营者自己掌握的信息包括动态IP地址在内还不足以让联邦德国识别Patrick Breyer，但是第三方即Patrick Breyer的互联网服务提供商是可以通过动态IP地址识别Patrick Breyer的。因此，识别的标准是采用限定在联邦德国能否识别的客观标准还是也包括任何第三方是否可以识别在内的相对标准是解决问题的关键。德国联邦最高法院对此无法确信，因此希望欧盟法院就这个问题作出初步裁决。
这个问题乍一听上去好像不合理，既然联邦德国自己掌握的信息动态IP地址在内还不足以识别Patrick Breyer，第三方即Patrick Breyer的互联网服务提供商可以通过动态IP地址识别Patrick Breyer，那么逻辑的自然结果是，对联邦德国而言，动态IP地址不构成个人数据，对互联网服务提供商而言，动态IP地址构成个人数据。这种逻辑忽略了一个重要问题，联邦德国是可以从Patrick Breyer的互联网服务提供商获得额外的信息的，获得之后就可以识别Patrick Breyer。因此，只要联邦德国从Patrick Breyer的互联网服务提供商获得额外信息的努力没有不成比例，那么动态IP地址仍可帮助联邦德国识别Patrick Breyer，进而构成个人数据。
考虑到欧盟法院有可能采用相对标准，德国联邦最高法院紧接着提出了第二个问题。这个问题与95/46/EC指令有关。95/46/EC指令第七条规定，联盟成员国应当规定只有在下列情况下，个人数据才可以被处理，处理对于数据控制者或数据披露给的第三方的正当合理利益是有必要的，例外情况是，当指令第一条所保护的数据主体的基本权利和自由比这种利益更重要时。德国的TMG第15条规定,服务提供商只能在便利使用媒体和向用户收费的情况下，才可以收集和使用用户的个人信息。德国联邦最高法院解释说，德国联邦规定个人数据是可以存储的，因为这对保证在线媒体服务的安全和稳定运行有必要，特别是对网络攻击的追踪定位很有必要。德国联邦最高法院认为，为了保证在线媒体服务的安全和稳定而存储个人数据，也属于TMG第15条的“便利用户使用媒体”。但是大多数学术观点持反对意见，他们认为收集和使用个人数据只能是用于实现浏览网站的特定用途，而且一旦浏览结束，除非为了收费还要储存一段时间，否则应当立即删除个人数据。因此，德国联邦最高法院提出了第二个问题，询问欧盟法院出于保证在线媒体服务的安全和稳定运行目的，是否可以未经同意处理个人数据，毕竟TMG和95/46/EC指令的内容并不一致。
欧盟法院对第一个问题的评述：
动态IP地址不构成已识别的自然人的相关信息，因为动态IP地址不能直接揭示使用电脑的人的身份。那么问题的就减小为，动态IP地址对网站运营者而言，是否构成可识别的自然人的相关信息，本案中实际情况是，网站运营者掌握动态IP地址，用户网络服务提供商掌握用户的其他信息，这些信息和动态IP地址结合，是可以识别用户的。
95/46/EC指令前言26指出，为了判断一个人是否是可识别的，应当考虑数据控制者或任何其他人可能合理使用地所有手段。这说明，用于识别个人的所有信息不一定要掌握在一个主体手中。只要这个主体通过可能的合理的努力或手段，获得额外的信息，结合自己掌握的信息，就可以识别个人的话，那么这个主体原本掌握的信息就是个人数据。本案中，虽然德国法律禁止网络服务提供商将这些额外的信息直接提供给网站经营者，但是在特定情况下，比如遇到网络攻击的时候，网站经营者是可以合法的通过联系有关部门，由该部门出面从网络经营者处获得这些额外信息。这种可能性符合“可能的合理的”要求。
因此，欧盟法院就第一个问题的裁决是：当一个人访问一个网站时，网站记录了此人的动态IP地址，如果网站可以合法的从此人的网络服务商处获得额外信息，与动态IP地址结合后可以识别此人，那么动态IP地址构成个人数据。
欧盟法院对第二个问题的评述：
95/46/EC指令第7条指出数据控制者或数据披露给的第三方出于自身的legitimate interests的必要，可以不经过同意处理个人数据。德国的国内立法TMG第15条进行了限缩，不符合指令的要求。欧盟法院认为，网站的稳定运行需求构成正当合理利益。
欧盟法院对第二个问题的裁决是：95/46/EC指令第7条意味着，如果成员国国内立法这样规定，即在不获得数据主体同意的情况下，在线媒体服务提供商仅能出于实现用户使用在线服务和为此付费的必要而收集和使用个人数据，而客观上为了保证这些服务的正常运行不构成在用户访问结束后继续使用这些数据的正当理由，那么这种立法是不被允许的。
案例评述：欧盟法院关于第一个问题的分析和裁决，释明了对个人信息进行识别的判断主体是掌握信息的人，而不是按照社会一般大众或者社会任何公众的标准。数据控制者进行识别使用的手段既包括自己已经掌握的信息，也包括通过可能的合理的努力或手段，获得额外的信息方式获得的额外信息。而且，欧盟法院在解释动态IP地址不构成已识别的人的信息时，解释说动态IP地址不能直接揭示使用电脑的人的身份，这里的“直接揭示”可以帮助理解已识别的人和可识别的人的区别。欧盟法院对于第二个问题的分析和裁决是关于正当合理利益，由于我国2020年公布的《个人信息保护法》中并没有规定处理者可以基于自身的正当合理利益不经过自然人同意处理个人信息，自草案公布后，关于增加正当合理利益的呼声一直很高。我们要注意到欧盟的GDPR和95/46/EC指令中关于可以处理个人信息情形的list是封闭式的，是exhaustive and restrictive ，但是我国的2020年《个人信息保护法》是开放式，第十三条结尾有“法律、行政法规规定的其他情形”作为兜底。因此，即便是《个人信息保护法》最终没有明确正当合理利益，也可以通过单行立法的方式解决这个问题。
Patrick Breyer诉德意志联邦共和国案只是部分揭示了欧盟个人数据认定的做法，如果要真正的理解欧盟的个人数据的定义，还要对GDPR和95/46/EC指令关于个人数据的定义进行更进一步的分析，特别是借助第29条工作组关于个人数据的解释。
2、欧盟个人数据定义的官方解释与解读
GDPR第四条规定，“个人数据”是指与已识别或可识别的自然人相关的任何信息。可识别的自然人是能够被直接或间接地识别的人，特别是通过一个标识符实现识别，例如姓名、身份号码、定位数据、在线身份标记，或者是通过自然人的一个或多个物理个性、生理个性、遗传个性、心理个性、经济个性、文化个性或社会个性这样的要素实现识别。
第29条工作组在2007年6月20日公布了Opinion 4/2007 on the concept of personal date，通过解释和案例的方式给出了关于个人数据的详细解释。根据Opinion 4/2007，个人数据的定义包含了四个要件：
--any information任何信息
--relating to相关
--an identified or identifiable已识别或可识别
--natural person自然人
上述四个要件中，最后一个要件自然人最容易界定，即活着的人。死人，胎儿，法人都不是这里的自然人。
any information任何信息
即，个人数据包括客观信息，例如一个人的身高，也包括主观信息，例如一个人的诚实品格；既包括正确的信息，也包括错误的信息，因为错误的信息一样可以识别人。信息的载体不做任何要求，所以声音也可能构成个人数据。Opinion 4/2007专门给出了一个例子，视频监控中捕获的个人图像也可以构成个人数据。
relating to相关
这一点尤其值得我国借鉴。Opinion 4/2007给出了三个用于判断相关性的标准，即content内容、purpose目的和result结果。只要某个信息在这三个标准的任一上与某个人相关，就满足了相关性要件。内容相关最好理解，也是最常见的形式，就是信息的内容是直接关于某二个人的。关于目的相关和结果相关，为了便于理解，Opinion 4/2007专门给出了数个例子。例1，房屋的价值。如果房屋的价值只适用于评估当地的房地产市场，与个人就不相关。但是如果用于判断房屋所有人应当缴纳房屋税费的时候，就相关。例2，汽车维修记录。汽车维修工厂通过维修记录向汽车所有人收费时，汽车维修记录就与汽车所有人相关。汽车维修工厂用汽车维修记录评估汽车维修技师的工作时，汽车维修记录就与汽车维修技师相关。例3，出租车公司给出租车安装了定位系统，目的是为了实时判断出租车的位置，以提供更好的服务和节省燃料。严格说，车辆的定位信息是关于汽车的，不是关于驾驶员的。收集车辆定位信息的目的也不是为了评价驾驶员。但是，这些定位信息客观上确实可用用于评估驾驶员是否有超速现象、是否按照最优路线行驶等，因此对驾驶员会产生影响，与驾驶员相关。
an identified or identifiable已识别或可识别
这是个人数据定义中最容易令人误解的地方，很容易产生先有鸡还是先有蛋的问题，已识别或可识别靠的是个人数据，但同时已识别或可识别个人的信息又是个人数据，那到底是先有个人数据再有识别个人，还是先有个人再有个人数据就稍微有点烧脑。
关于识别：
这里的识别可以视为区别的近义词，也就是把一个人与他以外的其他人区别开，跟是不是知道这个人具体身份无关，也不需要知道具体的区别是什么，只需要能够与其他人区别。例如，一个身份证号就意味着这个人是独一无二的，是区别与其他人的一个人，至于他姓甚名谁无所谓，因为已经跟其他人区别开。再比如，某本书的作者，这一个信息就意味着这个作者在现实中是一个确定的人，不是张三，也不是李四，就是作者那个人，至于这个人具体的身份，是从事什么职业，身份证号是什么都无所谓，因为已经实现了区别的效果。这一点跟商标法领域的显著性要求很近似，商标只有能够识别商品的来源才具有显著性，才可以注册。这里识别商品的来源也仅仅是将一个商品的源头与其他的商品区分开，而不需要知道具体的源头是谁。比如我们每个人都用手机，通过手机的品牌区分手机，并不知道手机的生产厂商的准确名字，但是这个区分的效果就达到了识别商品来源的要求。这个类比也可以帮助理解个人信息保护法里面识别的内涵。Opinion 4/2007特别强调要注意不同的场景对识别的影响，并举例一个人的姓，尚不足以将其与全国的其他人区别开，但是在一个班级里面就可能把一个同学区别开; “一个穿着黑衣服的男的”一般不足以区分一个人，但是如果放到站在某处红绿灯下的行人这个场景，这个人就是可以区分的，也就是可以识别的。
关于已识别和可识别：
他们的区别是，如果数据控制者掌握的初步信息已经可以识别个人，那么该个人就是已识别的，如果已经掌握的初步信息还不足以识别个人，但是有可能通过增加额外信息识别个人，那么该个人就是可识别的。
笔者通过一个三段论予解释已识别和可识别：
举例：
关于一个人，孙某：A是姓名，B是性别，C是手机号，D是身份证号，E是网名，F是喜欢饭后喝可乐的习惯，G是此人有某种疾病的谣言，J是孙某父亲的名字。
如果场景是某个班级，某教育培训公司掌握了这个班级的花名册，花名册里面有孙某名字A，由于A就可以将这个同学与其他同学包括全国人民区分开，那么对该教育公司培训公司而言，A就是已识别的人，尽管教育培训公司实际上还不知道A到底长什么样子，是男是女。那么随之而来的，对教育培训公司而言，所有有关A的信息ABCDEFGJ都构成个人数据。
如果场景是某个城市，某教育培训公司掌握了A和J，这还不足以将孙某与其他人区别开，但是该教育培训公司可以合法的通过查询教育局档案的方式获得额外的信息，比如孙某父亲的手机号，进而确定孙某父亲的身份和住址，那么该教育培训公司就相当于将孙某与其他人区别开来了，那么随之而来的，对教育培训公司而言，所有有关A的信息ABCDEFGJ都构成个人数据。
因此，对于现有鸡还是先有蛋的问题，笔者认为应该是先通过部分信息能识别个人，然后该个人的所有被掌握的信息构成个人数据，所以上图中第一个方框体积小，第三个方框体积大，二者存在部分重合，有时候可以完全相同。
关于识别的方式：
上文中的Patrick Breyer诉德意志联邦共和国案已经提及，数据控制者进行识别使用的手段既包括自己已经掌握的信息，也包括通过可能的合理的努力或手段，获得额外的信息方式。这就是95/46/EC指令前言第26条说的，为了判断一个人是否是可识别的，应当考虑数据控制者或任何其他人可能合理使用地所有手段。笔者要再次强调，用于识别的主体是数据控制者或，而不是按照社会普通大众或者社会一般公众。
Patrick Breyer诉德意志联邦共和国案给出了一种all the means likely reasonably具体场景，即以网络攻击为由通过有关部门从第三方获得额外信息。Opinion 4/2007还给出了其他例子。例1，一个女生名很罕见，她的X光照片连同她的名一起刊登在出版物上。由于她的亲戚或熟人知道她患有某种疾病，再通过这个名就可以知道这个X光照片是关于她的，因此X光照片构成个人数据。Opinion 4/2007还指出，数据处理者的目的对于判断是否“all the means likely reasonably”特别重要。一方面，数据处理者经常抗辩说自己处理的信息很少，根本不足以识别个人。另一方面，数据处理着处理这些信息的目的恰恰是为了将来识别个人，此时，就应当推定存在“all the means likely reasonably”。例2，某运输公司的车辆经常被人涂鸦。为了找出肇事者，运输公司为此建立了数据库，录入因为涂鸦遭受的损失、因为涂鸦被损坏的部件的图像、涂鸦作者的“签名”。运输公司录入的这些信息远不足以识别个人，但是其目的就是为了将来有一天可以通过获得额外的信息补齐短板，从而识别到个人。所以涂鸦的作者就是可识别的人，运输公司录入的数据就是个人数据。
2、我国关于个人数据定义的案例
我国《网络安全法》和《民法典》对识别明显区分为直接识别和间接识别，即个人信息的定义中“能够单独或者与其他信息结合识别自然人个人身份的各种信息”的内容。直接识别就是通过信息直接把个人识别出来，例如通过身份证号。间接识别就是单独的某个/些信息无法识别个人，但是通过与其他信息结合，就可以识别个人。按照现在个人信息保护在我国立法和司法的做法，适用的是间接识别的标准。然而，在个人信息保护的早期，我国有案例适用的是直接识别的标准，并引起了广泛的讨论。
案例：朱某与公司侵犯隐私权案
朱某在利用家中和单位的网络上网浏览相关网站过程中，发现利用“搜索引擎”搜索相关关键词后，会在特定的网站上出现与关键词有关的广告。朱某于是在公证处的见证下，首先通过搜索“减肥”、“人工流产”和“隆胸”关键词。然后关闭搜索引擎，访问其他网站，结果在其他网站页面出现了有上述关键词相关的广告。对于这种精准广告投放行为，朱某认为公司利用网络技术，未经朱某的知情和选择，记录和跟踪了朱某所搜索的关键词，将朱某的兴趣爱好、生活学习工作特点等显露在相关网站上，并利用记录的关键词，对朱某浏览的网页进行广告投放，侵害了朱某的隐私权，因而诉至法院。一审法院和二审法院的观点不同。一审法院认为，个人隐私除了用户个人信息外还包含私人活动、私有领域。朱某利用三个特定词汇进行网络搜索的行为，将在互联网空间留下私人的活动轨迹，这一活动轨迹展示了个人上网的偏好，反映个人的兴趣、需求等私人信息，在一定程度上标识个人基本情况和个人私有生活情况，属于个人隐私的范围。虽然cookie技术识别的是网民所使用的浏览器，但浏览器本身并不直接产生数据或信息，它只是网民用以借助形成相关数据和信息的工具。因此，当朱某在固定的IP地址利用特定的词汇搜索时，其就成为了特定信息的产生者和掌控者，网讯公司通过cookie技术收集和利用这些信息时，未经过朱某的同意，朱某就会成为被侵权的对象。网讯公司在使用cookie技术的同时，收集了朱某的网上活动轨迹，并根据朱某的上网信息在网讯公司的合作网站上展示与朱某上网信息有一定关联的推广内容，进一步利用了他人隐私进行商业活动，且该利用并非cookie技术使用的必然结果，已经构成侵犯他人的隐私权。二审法院认为，网讯公司在提供个性化推荐服务中运用网络技术收集、利用的是未能与网络用户个人身份对应识别的数据信息，该数据信息的匿名化特征不符合“个人信息”的可识别性要求。根据国家工信部《电信和互联网用户个人信息保护规定》对个人信息的界定，个人信息是指电信业务经营者和互联网信息服务提供者在提供服务的过程中收集的网络用户姓名、出生日期、身份证件号码、住址、电话号码、账号和密码等能够单独或者与其他信息结合识别用户的信息以及网络用户使用服务的时间、地点等信息。网络用户通过使用搜索引擎形成的检索关键词记录，虽然反映了网络用户的网络活动轨迹及上网偏好，具有隐私属性，但这种网络活动轨迹及上网偏好一旦与网络用户身份相分离，便无法确定具体的信息归属主体，不再属于个人信息范畴。经查，网讯公司个性化推荐服务收集和推送信息的终端是浏览器，没有定向识别使用该浏览器的网络用户身份。虽然朱某因长期固定使用同一浏览器，感觉自己的网络活动轨迹和上网偏好被网讯公司收集利用，但事实上网讯公司在提供个性化推荐服务中没有且无必要将搜索关键词记录和朱某的个人身份信息联系起来。
案例评析：一审和二审法院的实质分歧在于，个人上网活动的记录或轨迹是否构成个人信息。二审法院明确指出，因为朱某上网活动的记录或轨迹并不具有识别朱某个人的效果，公司识别的是浏览器，而非朱某个人。二审法院显然适用的是直接识别标准，而不是间接识别标准。从该案判决至今，个人信息领域的技术和法律法规都有了发展。我们如果用今天的标准来检讨该案，就可能会有不同的思考。上网活动的记录或者轨迹与自然人的物理活动轨迹并没有本质区别，虽然单纯的上网活动的记录或者轨迹识别个人的技术困难要大于物理活动轨迹，但是结合个人的其他上网信息，例如用户名、IP地址等，是可以识别个人的。《信息安全技术 个人信息安全规范》GB/T35273-2020也明确将网络轨迹作为个人信息。
本案被称为cookieS第一案，引起了很多讨论。案件所涉及的“精准广告”可以说是互联网企业最重要的收入来源之一，相应的裁判规则的确定则会直接影响这个产业的前途。因此，无论是对案件的论理还是裁判的结果，都影响深远。在案件裁判后，即有不少反对的声音。例如，有文章直接指出，二审法院的上述观点是错误的。保护个人信息归根结底是为了实现公民个人对其私人空间的自我支配和对其私人生活及个人形象的自我决定，从而免受外界不请自来的干扰，因此，通常使得他人锁定或较为容易地锁定特定自然人的存在的信息都属于个人信息。互联网服务商使用cookies软件收集的信息一般包括用户上网轨迹信息和上网浏览器地址，这些信息使得服务商可以轻易锁定特定人的生活空间，根据其关注的主题或其他特征，实现对公民私人生活的精准干涉，已满足可识别性要件，构成个人信息。对于可以识别出特定个人的信息，由个人来决定哪些可以披露、向谁披露及为何种目的披露，这一自治权发端于隐私权，但已经不是传统意义上的私密或者秘密保护，其更多地指向隐私的另外一个维度，即个人自治。
目前“精准广告”的处境特别微妙。《个人信息保护法》第十三条给出了可以处理个人信息的情形，其中可供互联网企业选择的主要是“同意”或者是“履行合同所必须”两种。如果按照“同意”，由于《网络安全法》和《民法典》等法律多次重申合法、正当、必要原则，即便是从用户处通过隐私政策获得同意，但是这个同意很难说符合必要原则，因为被判定为无效同意的概率很大。如果按照“履行合同所必须”，首先，互联网企业需要与用户单独订立合同。尽管有观点认为隐私政策就是合同，这更多是互联网企业的一厢情愿，隐私政策是为了履行知情同意的要求而产生的，用户点击同意隐私政策无非是确认“知情”。其次，即便是与用户达成了合同，包括通过隐私政策方式，也很难说精准广告是为了履行合同所必须，因为精准广告本身就是附加的或者互联网企业更喜欢用的表述方式“增值服务”，很难想象一个用户会跟互联网企业签订一个合同专门接收广告。因此，《个人信息保护法》公布后，笔者听到互联网企业所发出的最大的声音，就是希望增加类似于GDPR的企业可以基于自己的合法利益处理用户的个人信息。
四、中欧比较总结
欧盟关于个人数据的定义，其内涵可以解释为包括以下几点：
1、识别可以视为区别的近义词，也就是把一个人与他以外的其他人区别开，跟是不是知道这个人具体身份无关，也不需要知道具体的区别是什么，只需要能够与其他人区别。
2、个人数据是以单个为单位计算的，一个信息可能无法识别个人，但是如果与其他信息组合后可以识别个人，那么这个信息仍然算是个人数据，而不是说这个信息与其他信息的组合才是个人数据。与其他信息组合后能否识别个人只是这个信息是否构成个人数据的判断方法。
3、某个信息是否构成个人数据，是从数据处理者的角度判断的，即数据控制者自己是否能把某个信息识别到个人，而不是社会普通公众或者社会任意公众能否识别到个人。
4、数据处理者能否识别个人，手段既包括利用自己已经掌握的信息，也包括通过可能的合理的努力或手段，获得额外信息的方式。
5、数据处理者掌握的初步信息如果能直接识别个人，这个人就是已识别的人，此后，数据处理者要处理的这个人的任何相关信息都构成个人数据。数据处理者掌握的初步信息不能够直接识别个人，需要与其他信息组合后才能识别个人，那么这个人就是可识别的人，此后，数据处理者要处理的这个人的任何相关信息都构成个人数据。
6、相关信息指的是，只要某个信息的content内容、被处理的purpose目的或被处理的result结果与某人有关，那么就构成该人的相关信息。只要这个人属于已识别或者可识别，这些相关信息都是个人数据。
鉴于我国的个人信息保护高度借鉴欧盟做法，因此欧盟对个人数据的上述判断规则对我国具有重要意义，也会帮助释明我国关于个人信息认定领域一些尚不清晰的问题。我国《信息安全技术 个人信息安全规范》GB/T 35273—2020 附录A对个人信息的判定提出的意见是，判定某项信息是否属于个人信息，应考虑以下两条路径：一是识别，即从信息到个人，由信息本身的特殊性识别出特定自然人，个人信息应有助于识别出特定个人。二是关联，即从个人到信息，如已知特定自然人，由该特定自然人在其活动中产生的信息即为个人信息。符合上述两种情形之一的信息，均应判定为个人信息。这种判断方法在微信读书案中，得到北京互联网法院的明确援引。这个裁判规则无非就是已识别和可识别的转述而已，但是不完整。完整的表述应该是：一是识别，即从信息到个人，由信息本身的特殊性识别出特定自然人，个人信息应有助于识别出特定个人。一旦特定个人被识别，与该个人相关的信息都属于个人信息。二是关联，即从个人到信息，如已知特定自然人，由该特定自然人在其活动中产生的任何相关信息即为个人信息。但是即便这样解读，与欧盟对个人数据的定义的相比，仍然显得很粗糙，甚至在司法执行中，出现了偏差。例如在凌某诉抖音案案件中，北京互联网法院认为，“该信息与其他信息组合亦可以识别特定自然人，这种信息组合同样属于个人信息，” 再例如，在庞某与北京趣拿信息技术有限公司、东方航空公司侵害隐私权纠纷一案中， 二审法院认为，“本案中，即使单纯的庞某的姓名和手机号不构成隐私信息，但当姓名、手机号和庞某的行程信息结合在一起时，结婚之后的整体信息也因包含了隐私信息而整体上成为隐私信息”。将信息组合视为个人信息，这与欧盟的做法是不同的，如果作组合理解，那么意味着信息处理者只有处理这个组合才会发生处理个人信息的情况，而单独处理其中的一部分并不会，这可能减少个人信息的保护范围。
