內(nèi)容提要：個(gè)人信息匿名化規(guī)則試圖通過徹底消除個(gè)人信息蘊(yùn)含的可識(shí)別性以免除信息處理者負(fù)有的個(gè)人信息保護(hù)義務(wù)，但這一規(guī)則卻面臨著理論上的困境和適用上的障礙。“匿名化迷思”的根源在于，其試圖通過對(duì)信息性質(zhì)作出“非此即彼”的判定，以決定是否“一刀切”地?cái)財(cái)鄠�(gè)人信息處理者所負(fù)義務(wù)。而現(xiàn)實(shí)情況是，個(gè)人信息具有的可識(shí)別性通常并非全有或全無，而是呈現(xiàn)出不同程度的識(shí)別能力，經(jīng)過匿名化處理的信息仍可能殘存一定的“可識(shí)別性”，將其徹底排除至個(gè)人信息保護(hù)立法的規(guī)制范圍之外，事實(shí)上難以有效消解匿名信息具有的“剩余風(fēng)險(xiǎn)”。未來我國(guó)個(gè)人信息保護(hù)立法應(yīng)從當(dāng)前的一體規(guī)制模式轉(zhuǎn)向基于信息識(shí)別能力類型化的區(qū)別規(guī)制模式，根據(jù)個(gè)人信息蘊(yùn)含的識(shí)別能力而構(gòu)建多層次的個(gè)人信息保護(hù)義務(wù)體系，并將匿名信息作為一種具有較低識(shí)別能力的個(gè)人信息納入規(guī)制范圍，實(shí)現(xiàn)個(gè)人信息保護(hù)與利用間的動(dòng)態(tài)平衡。
關(guān)鍵詞：個(gè)人信息 可識(shí)別性 識(shí)別能力 匿名化 去識(shí)別化
2020年10月，我國(guó)首部個(gè)人信息保護(hù)立法草案提請(qǐng)全國(guó)人大常委會(huì)審議，標(biāo)志著我國(guó)個(gè)人信息保護(hù)立法工作邁入了體系化階段�！秱�(gè)人信息保護(hù)法（草案）》第4條將“個(gè)人信息”界定為“以電子或者其他方式記錄的與已識(shí)別或者可識(shí)別的自然人有關(guān)的各種信息，不包括匿名化處理后的信息”，從而將經(jīng)過匿名化處理的信息完全排除至個(gè)人信息保護(hù)法的規(guī)制范圍以外。其原理在于，個(gè)人信息保護(hù)規(guī)則僅適用于具有可識(shí)別性從而可能揭露與自然人相關(guān)之特定情況的信息，而經(jīng)過匿名化的信息則喪失了識(shí)別特定自然人的能力，自然無須受到個(gè)人信息保護(hù)立法的約束。然而，何種程度的處理能夠使個(gè)人信息轉(zhuǎn)化為匿名信息？完全的匿名化能否實(shí)現(xiàn)？經(jīng)過匿名化處理后的個(gè)人信息是否必然不再具有安全風(fēng)險(xiǎn)？對(duì)上述問題的輕松掠過可能導(dǎo)致我國(guó)個(gè)人信息保護(hù)立法因未能準(zhǔn)確把握信息時(shí)代的現(xiàn)實(shí)風(fēng)險(xiǎn)，而難以承擔(dān)充分保護(hù)公民個(gè)人信息安全的重要使命。
當(dāng)前，匿名化處理的有效性及其應(yīng)然標(biāo)準(zhǔn)等問題已在世界范圍內(nèi)引發(fā)了廣泛的關(guān)注與討論。歐姆（Paul Ohm）、施瓦茨（Paul M. Schwartz）和索羅夫（Daniel J. Solove）等學(xué)者均主張，在大數(shù)據(jù)時(shí)代，匿名化乃注定是一種失敗的嘗試，立法應(yīng)放棄當(dāng)前“個(gè)人信息—匿名信息”的二分法，而應(yīng)基于對(duì)具體信息風(fēng)險(xiǎn)的評(píng)估分別確立相應(yīng)的個(gè)人信息保護(hù)標(biāo)準(zhǔn)。魯賓斯坦（Ira S. Rubinstein）和哈佐格（Woodrow Hartzog）提出，匿名化規(guī)則乃是一種結(jié)果導(dǎo)向的規(guī)制規(guī)則，其效果難以保證和評(píng)估，個(gè)人信息保護(hù)立法應(yīng)當(dāng)將注意力轉(zhuǎn)向通過對(duì)數(shù)據(jù)披露的程序性規(guī)制以實(shí)現(xiàn)數(shù)據(jù)安全風(fēng)險(xiǎn)的最小化。而鮑迪倫（Sophie Stalla Bourdillon）和奈特（Allison Knight）則認(rèn)為，雖然匿名化處理不可能達(dá)到完全消除匿名信息含有的再識(shí)別風(fēng)險(xiǎn)的效果，但其作為劃定個(gè)人信息和非個(gè)人信息界限的標(biāo)準(zhǔn)，對(duì)于指導(dǎo)信息處理實(shí)踐仍具有重要意義，只不過關(guān)鍵在于個(gè)人信息保護(hù)立法應(yīng)改采一種更加動(dòng)態(tài)的、場(chǎng)景化的匿名化標(biāo)準(zhǔn)，以實(shí)現(xiàn)對(duì)風(fēng)險(xiǎn)的靈活應(yīng)對(duì)。既有研究主要著眼于歐盟和美國(guó)的個(gè)人信息匿名化（去標(biāo)識(shí)化）規(guī)則所具有的缺陷及其完善途徑，其研究結(jié)論對(duì)我國(guó)個(gè)人信息保護(hù)規(guī)則的構(gòu)建具有一定借鑒價(jià)值。在此基礎(chǔ)上，本文通過對(duì)當(dāng)前我國(guó)個(gè)人信息匿名化規(guī)則的檢視，明確這一規(guī)則的內(nèi)在缺陷及其在實(shí)踐中可能產(chǎn)生的實(shí)際效果，進(jìn)而結(jié)合我國(guó)的立法進(jìn)展和社會(huì)背景，尋求個(gè)人信息匿名化規(guī)則在我國(guó)立法語(yǔ)境下的替代方案，對(duì)未來我國(guó)個(gè)人信息保護(hù)立法規(guī)則的構(gòu)建提出相應(yīng)建議。
一、個(gè)人信息匿名化規(guī)則的內(nèi)在缺陷及適用障礙
（一）個(gè)人信息匿名化規(guī)則的內(nèi)在缺陷
立法規(guī)定個(gè)人信息匿名化規(guī)則的目的在于免除個(gè)人信息處理者在對(duì)特定信息進(jìn)行后續(xù)處理和流轉(zhuǎn)時(shí)負(fù)有的合規(guī)負(fù)擔(dān)，這預(yù)設(shè)了經(jīng)過匿名化處理的信息仍然具有繼續(xù)留存和使用的價(jià)值。然而，這一規(guī)則要求匿名化處理必須達(dá)到徹底消除個(gè)人信息具有的可識(shí)別性且無法復(fù)原的程度，其在追求徹底消除信息安全風(fēng)險(xiǎn)之同時(shí)，亦將完全抹殺信息具有的后續(xù)利用價(jià)值。個(gè)人信息處理者對(duì)個(gè)人信息進(jìn)行處理的目的主要在于通過對(duì)信息間相關(guān)關(guān)系的識(shí)別以發(fā)現(xiàn)個(gè)體或群體在行為、狀態(tài)等方面的潛在模式，進(jìn)而作出預(yù)測(cè)或決策。而匿名化規(guī)則在徹底斬?cái)鄠�(gè)人信息與信息主體的相關(guān)性之同時(shí)，也同時(shí)喪失對(duì)信息處理者的參考價(jià)值。
從我國(guó)當(dāng)前的實(shí)踐來看，各信息交易平臺(tái)和信息處理者所交易的相關(guān)信息均只是經(jīng)過一定程度的去標(biāo)識(shí)化處理而無法單獨(dú)識(shí)別出信息主體的間接識(shí)別性個(gè)人信息，比如某大數(shù)據(jù)交易中心交易的相關(guān)省份個(gè)人失信名單以及相關(guān)省市專業(yè)技術(shù)職務(wù)人員信息等。事實(shí)上，針對(duì)完全喪失可識(shí)別性的個(gè)人信息幾乎不存在任何市場(chǎng)需求。同樣，在自然科學(xué)研究領(lǐng)域，對(duì)具有相關(guān)性數(shù)據(jù)的獲取和使用乃是開展符合科學(xué)倫理的社會(huì)科學(xué)研究的必要前提，基于絕對(duì)的匿名化信息難以獲得準(zhǔn)確并具有意義的研究結(jié)論。
歐洲網(wǎng)絡(luò)與信息安全局在2015年發(fā)布的報(bào)告《大數(shù)據(jù)中的隱私設(shè)計(jì)：大數(shù)據(jù)時(shí)代的隱私增強(qiáng)技術(shù)概述》（Privacy by Design in Big Data: An Overview of Privacy Enhancing Technologies in the Era of Big Data Data）中提出“過強(qiáng)的匿名化”（too strong anoymization）概念，其認(rèn)為此種信息匿名化的處理“能夠防止將來自不同來源的數(shù)據(jù)與特定個(gè)體（或相似的個(gè)體）相關(guān)聯(lián)，但同時(shí)亦抑制了大數(shù)據(jù)的許多潛在益處”。正如歐姆所言，“個(gè)人數(shù)據(jù)或者是有用的或者是被完全匿名化的，但絕不可能二者得兼。”匿名化規(guī)則注定難以像立法者所期待的那樣實(shí)現(xiàn)個(gè)人信息保護(hù)需求和信息利用價(jià)值間的有效平衡。
我國(guó)的個(gè)人信息匿名化規(guī)則的缺陷還在于，其意欲通過匿名化處理一刀切地?cái)財(cái)鄠�(gè)人信息與信息主體間的所有關(guān)聯(lián)，從而達(dá)到一勞永逸的效果。雖然此種想法在邏輯上可能會(huì)實(shí)現(xiàn)貫通，但實(shí)際上卻忽視了個(gè)人信息處理實(shí)踐的動(dòng)態(tài)性和變化性特征，無法在信息的后續(xù)流轉(zhuǎn)使用過程中實(shí)現(xiàn)對(duì)信息主體權(quán)益和信息安全的充分保護(hù)。既有立法均將匿名化處理作為免除信息處理者履行后續(xù)個(gè)人信息保護(hù)義務(wù)的法定條件，甚至在相關(guān)規(guī)范中將匿名化處理和刪除信息某種程度上視為功能等同的處理措施。然而，經(jīng)過匿名化處理的信息仍存在被使用和流轉(zhuǎn)的需要，在此過程中，隨著可結(jié)合信息來源的不斷增加以及信息再識(shí)別技術(shù)的持續(xù)進(jìn)步，現(xiàn)有的匿名化措施面臨著被突破的可能性。個(gè)人信息和匿名信息的邊界并非固定不變而是往往處于流變狀態(tài)之中。將匿名化視為一種確定不變的狀態(tài)，從而徹底免除對(duì)匿名信息的規(guī)制的做法必然難以充分應(yīng)對(duì)信息處理實(shí)踐的動(dòng)態(tài)變化所帶來的潛在風(fēng)險(xiǎn)。
（二）個(gè)人信息匿名化規(guī)則的適用障礙
對(duì)于何種程度的處理能夠使個(gè)人信息轉(zhuǎn)化為匿名信息，我國(guó)立法亦未形成明確的標(biāo)準(zhǔn)，從而阻礙了這一規(guī)則的有效適用和信息處理者對(duì)這一規(guī)則的嚴(yán)格遵守。最新提交審議的《個(gè)人信息保護(hù)法（草案）》（二審稿）第72條中規(guī)定，“匿名化”是指“個(gè)人信息經(jīng)過處理無法識(shí)別特定自然人且不能復(fù)原的過程”。然而，其對(duì)“無法識(shí)別”的認(rèn)定標(biāo)準(zhǔn)及其指向的主體范圍卻并未作出明確規(guī)定。根據(jù)我國(guó)《網(wǎng)絡(luò)安全法》第76條之規(guī)定，“可識(shí)別”包括“能夠單獨(dú)或者與其他信息結(jié)合識(shí)別自然人個(gè)人身份”的情形，這一標(biāo)準(zhǔn)主要參考了歐盟《一般數(shù)據(jù)保護(hù)條例》（General Data ProtectionRegulation）中對(duì)可識(shí)別性個(gè)人信息的界定。《一般數(shù)據(jù)保護(hù)條例》“序言”部分提出，在認(rèn)定特定信息是否具有可識(shí)別性時(shí)，應(yīng)當(dāng)考慮信息處理者或任何第三人在識(shí)別信息主體時(shí)可能使用的“所有具有合理可能性的方法”（all the means reasonably likely to be used）以及所有相關(guān)的客觀因素。在此基礎(chǔ)上，歐盟委員會(huì)內(nèi)部咨詢機(jī)構(gòu)“第29條數(shù)據(jù)保護(hù)工作組”在其發(fā)布的《關(guān)于個(gè)人數(shù)據(jù)概念的意見》（Article 29 Data Protection Working Party, Opinion 04/2007 on the Concept of Personal Data）中進(jìn)一步明確了“合理識(shí)別可能性”的判定標(biāo)準(zhǔn)，提出在判定“合理識(shí)別可能性”時(shí)要綜合考慮進(jìn)行識(shí)別的成本、信息處理的目的與具體方式、現(xiàn)有的識(shí)別技術(shù)及其可能發(fā)展，以及信息處理者所采取的組織或技術(shù)保護(hù)措施失靈的潛在風(fēng)險(xiǎn)等因素�？梢�，盡管世界范圍內(nèi)個(gè)人信息保護(hù)均以“可識(shí)別性”為“識(shí)別”個(gè)人身份的標(biāo)準(zhǔn)，但如何解釋此種“可識(shí)別性”，卻在不同法域的法體系脈絡(luò)中存在差異，在其各自的實(shí)踐中被納入考量的影響因素亦不相同。因而，“可識(shí)別性”既是世界范圍內(nèi)討論個(gè)人信息保護(hù)的基礎(chǔ)，同時(shí)也是重要分歧所在。
相比之下，我國(guó)立法對(duì)“可識(shí)別性”并未作出任何具體解釋，“無法識(shí)別”所應(yīng)達(dá)到的標(biāo)準(zhǔn)也相應(yīng)地處于較為模糊的狀態(tài)。個(gè)人信息匿名化標(biāo)準(zhǔn)的模糊性為個(gè)人信息處理者策略性地適用這一規(guī)則以減輕、免除自身負(fù)有的個(gè)人信息保護(hù)義務(wù)留下了空隙。在實(shí)踐中，個(gè)人信息處理者普遍在其隱私政策、個(gè)人信息保護(hù)政策中約定，僅需使個(gè)人信息達(dá)到令特定的信息接收者無法識(shí)別出信息主體的程度，即可在未經(jīng)信息主體同意的情況下對(duì)其進(jìn)行流轉(zhuǎn)。比如，有的平臺(tái)隱私政策中即約定：根據(jù)法律規(guī)定，共享、轉(zhuǎn)讓經(jīng)去標(biāo)識(shí)化處理的個(gè)人信息，且確保數(shù)據(jù)接收方無法復(fù)原并重新識(shí)別個(gè)人信息主體的，不屬于個(gè)人信息的對(duì)外共享、轉(zhuǎn)讓及公開披露行為，對(duì)此類數(shù)據(jù)的保存及處理將無需另行向您通知并征得您的同意。上述較為籠統(tǒng)地適用“去標(biāo)識(shí)化”標(biāo)準(zhǔn)而使信息流動(dòng)的做法，將導(dǎo)致經(jīng)過處理的個(gè)人信息在蘊(yùn)含較高再識(shí)別風(fēng)險(xiǎn)的情況下即可進(jìn)入流轉(zhuǎn)，進(jìn)而對(duì)信息主體的信息安全造成較大威脅。不容忽視的是，不同信息處理者對(duì)匿名化規(guī)則所作的不同解釋及其采取的不同程度的匿名化處理措施還將導(dǎo)致互聯(lián)網(wǎng)產(chǎn)業(yè)陷入“檸檬市場(chǎng)”：有意遵循個(gè)人信息保護(hù)規(guī)則的企業(yè)需要投入昂貴的合規(guī)成本進(jìn)行充分的匿名化處理；相反，游走于規(guī)則邊緣的企業(yè)則無需受到此種束縛。長(zhǎng)此以往，必然產(chǎn)生“劣幣驅(qū)逐良幣”的不良后果，引發(fā)信息產(chǎn)業(yè)的惡性競(jìng)爭(zhēng)。
個(gè)人信息匿名化標(biāo)準(zhǔn)的模糊亦阻礙了司法實(shí)踐中法院對(duì)匿名信息的準(zhǔn)確界定。比如，在安徽某信息科技有限公司與某（中國(guó)）軟件有限公司不正當(dāng)糾紛案中，安徽某信息科技公司與某（中國(guó)）軟件公司圍繞某（中國(guó)）軟件公司抓取并出售的用戶瀏覽、搜索、收藏、加購(gòu)、交易等行為痕跡信息是否構(gòu)成個(gè)人信息發(fā)生了爭(zhēng)議。對(duì)此，二審法院認(rèn)定，某（中國(guó)）軟件公司開發(fā)的某數(shù)據(jù)產(chǎn)品所使用和出售的用戶行為痕跡信息經(jīng)過匿名化處理已經(jīng)無法識(shí)別特定個(gè)人且不能復(fù)原，公開上述信息不會(huì)對(duì)用戶產(chǎn)生不利影響。而同時(shí)法院又指出：“網(wǎng)絡(luò)用戶行為痕跡信息不同于其他非個(gè)人信息，這些行為痕跡信息包含有涉及用戶個(gè)人偏好或商戶經(jīng)營(yíng)秘密等敏感信息。因部分網(wǎng)絡(luò)用戶在網(wǎng)絡(luò)上留有個(gè)人身份信息，其敏感信息容易與特定主體發(fā)生對(duì)應(yīng)聯(lián)系，會(huì)暴露其個(gè)人隱私或經(jīng)營(yíng)秘密”，也即用戶行為痕跡信息在與其他信息相結(jié)合的情況下仍然可能識(shí)別出特定的信息主體，其并未達(dá)到匿名化的標(biāo)準(zhǔn)�？梢�，法院在判定相關(guān)信息是否具有“可識(shí)別性”，進(jìn)而判定相關(guān)信息以及經(jīng)一定處理的信息是否屬于個(gè)人信息等問題時(shí)亦比較猶豫，難以作出確定判斷。
類似的糾結(jié)還體現(xiàn)在上訴人北京某網(wǎng)訊科技有限公司與被上訴人朱某隱私權(quán)糾紛案中。該案中，朱某認(rèn)為某網(wǎng)訊公司利用cookie技術(shù)記錄收集其搜索關(guān)鍵詞、網(wǎng)絡(luò)瀏覽記錄等個(gè)人信息，構(gòu)成對(duì)其隱私權(quán)的侵犯。對(duì)此，二審法院認(rèn)為：某公司在提供個(gè)性化推薦服務(wù)中運(yùn)用網(wǎng)絡(luò)技術(shù)收集利用的是未能與網(wǎng)絡(luò)用戶個(gè)人身份對(duì)應(yīng)識(shí)別的信息，該信息的匿名化特征不符合“個(gè)人信息”的可識(shí)別性要求。其指出，網(wǎng)絡(luò)用戶通過使用搜索引擎形成的檢索關(guān)鍵詞一旦與網(wǎng)絡(luò)用戶身份相分離，便無法再確定具體的信息歸屬主體，并且，某網(wǎng)訊公司“在提供個(gè)性化推薦服務(wù)中沒有且無必要將搜索關(guān)鍵詞記錄和朱某的個(gè)人身份信息聯(lián)系起來”，因此其收集的信息并不具有可識(shí)別性而屬于匿名信息。該案中，二審法院將某網(wǎng)訊公司“沒有且無必要將搜索關(guān)鍵詞記錄和朱某的個(gè)人身份信息聯(lián)系起來”作為認(rèn)定其處理的信息構(gòu)成匿名信息的依據(jù)，這一認(rèn)識(shí)將在一定程度上放縱其對(duì)個(gè)人信息的不當(dāng)處理和對(duì)個(gè)人信息保護(hù)義務(wù)的逃避�？梢姡⒎ㄉ舷嚓P(guān)概念的不確定性將直接影響司法實(shí)踐，并對(duì)個(gè)人信息權(quán)益保護(hù)存在較多“真空”之處，殊值重視。
二、個(gè)人信息匿名化規(guī)則的比較法考察
當(dāng)前，各國(guó)立法均未有效破解“匿名化迷思”：個(gè)人信息匿名化標(biāo)準(zhǔn)或因過于嚴(yán)苛而難以實(shí)現(xiàn)，并產(chǎn)生過度抑制社會(huì)、市場(chǎng)對(duì)個(gè)人信息的利用需求與效率的負(fù)效用；或因過于寬松而難以達(dá)到充分保障個(gè)人信息安全的效果，均未能在個(gè)人信息的充分保護(hù)和信息資源的高效利用間達(dá)致完美平衡。
（一）歐盟立法中的個(gè)人信息匿名化規(guī)則之考察
歐盟基于高度重視人格尊嚴(yán)與人權(quán)保護(hù)的立法傳統(tǒng)，為實(shí)現(xiàn)對(duì)自然人個(gè)人數(shù)據(jù)的充分保護(hù)，對(duì)匿名化處理設(shè)置了極為嚴(yán)苛的標(biāo)準(zhǔn)。根據(jù)“第29條數(shù)據(jù)保護(hù)工作組”發(fā)布的《關(guān)于匿名化技術(shù)的意見》（Aricle29 Data Protection Working Party, Opinion 05／2014 on Anonymisation Techniques），匿名化處理必須達(dá)到使信息處理者和任何第三方主體在使用“所有具有合理可能性的方法”后仍無法識(shí)別特定自然人的程度，并且此種處理是無法被撤銷的。此種識(shí)別包括三種可能形式：（1）分選（single out），即能夠?qū)?duì)應(yīng)的主體從其所屬的群體或種類中挑選出來；（2）聯(lián)結(jié)（linkability），即能夠在與同一主體相關(guān)的信息間構(gòu)建起關(guān)聯(lián)，即使無法知曉該主體的確切身份；（3）推斷（inference），即能夠較為準(zhǔn)確地推斷出與信息主體對(duì)應(yīng)的相關(guān)屬性。只要仍存在上述任何一種可能，即視為該信息并未達(dá)到匿名化的效果。在判斷經(jīng)過處理后的信息是否達(dá)到匿名化標(biāo)準(zhǔn)時(shí)，信息處理者必須考慮到所有可能被合理地使用以復(fù)原匿名信息的方法，并評(píng)估此種方法涉及的成本和相應(yīng)知識(shí)產(chǎn)權(quán)問題，以衡量其被用于對(duì)匿名信息進(jìn)行復(fù)原的可能性和所引發(fā)結(jié)果的嚴(yán)重性。在主體層面，歐盟立法要求信息處理者在進(jìn)行匿名化處理時(shí)應(yīng)考慮信息處理者本人和任何其他主體對(duì)匿名化信息進(jìn)行復(fù)原的可能。此種規(guī)定將所有人均視為具有對(duì)匿名信息進(jìn)行再識(shí)別意圖的“積極侵權(quán)人”（motivated intruder），并要求信息處理者必須對(duì)每個(gè)潛在的“積極侵權(quán)人”所可能采用的再識(shí)別方法和結(jié)合的信息進(jìn)行預(yù)判，當(dāng)任何一位“積極侵權(quán)人”存在成功地再識(shí)別出信息主體的可能時(shí)，此種信息即被認(rèn)定為未達(dá)到匿名化標(biāo)準(zhǔn)而仍需受到個(gè)人信息保護(hù)立法的約束。
歐盟立法向匿名化處理者配置了一種持續(xù)性的評(píng)估義務(wù)，要求其對(duì)待匿名信息不得“釋放并遺忘”（release and forget）。信息處理者必須經(jīng)常性地識(shí)別新產(chǎn)生的風(fēng)險(xiǎn)，并對(duì)匿名信息的剩余識(shí)別風(fēng)險(xiǎn)進(jìn)行再評(píng)估，從而衡量自身采取的控制措施是否足以應(yīng)對(duì)新產(chǎn)生的風(fēng)險(xiǎn)，并及時(shí)進(jìn)行必要的調(diào)整。信息處理者還需考慮匿名信息被用于與其他個(gè)人信息進(jìn)行結(jié)合比對(duì)以實(shí)現(xiàn)再識(shí)別目的的可能，其必須時(shí)刻關(guān)注可能被用于結(jié)合以進(jìn)行再識(shí)別的新的信息來源。上述要求導(dǎo)致信息處理者承擔(dān)了極為嚴(yán)苛的合規(guī)負(fù)擔(dān)，個(gè)人信息匿名化規(guī)則并未提供給其一勞永逸的護(hù)避風(fēng)港，相反，懸掛在信息處理者頭頂?shù)摹斑_(dá)摩克利斯之劍”隨時(shí)可能落下。立法規(guī)定匿名化規(guī)則的本來目的在于免除信息處理者在使用、流轉(zhuǎn)與自然人相關(guān)的信息時(shí)所受的限制，減輕其在信息處理方面的合規(guī)負(fù)擔(dān)，然而其現(xiàn)實(shí)效果卻是，信息處理者為確保信息的匿名化狀態(tài)和應(yīng)對(duì)再識(shí)別風(fēng)險(xiǎn)所需付出的成本和精力可能已經(jīng)超出其在履行個(gè)人信息保護(hù)義務(wù)方面原本承受的壓力與責(zé)任。
為了防止信息處理者通過采取不完善的匿名化處理手段以逃避遵守《一般數(shù)據(jù)保護(hù)條例》等相關(guān)制度，歐盟立法還專門對(duì)“假名信息”與“匿名信息”的概念進(jìn)行了區(qū)分。歐盟委員會(huì)副主席露�。╒iviane Reding）在公開發(fā)言時(shí)曾明確表示，歐盟應(yīng)當(dāng)警惕數(shù)據(jù)企業(yè)將“假名信息”概念作為逃避適用《一般數(shù)據(jù)保護(hù)條例》的“特洛伊木馬”。但在現(xiàn)實(shí)中，“假名信息”和“匿名信息”的界限常常模糊不清。并且，將假名信息均視為個(gè)人信息還將對(duì)現(xiàn)有科學(xué)研究活動(dòng)的正常開展造成嚴(yán)重阻礙。政府收集和開放的經(jīng)過一定程度去標(biāo)識(shí)化處理的公共數(shù)據(jù)（de-identified administrative data）一直是歐盟范圍內(nèi)學(xué)術(shù)研究工作者用以開展社會(huì)科學(xué)研究的重要原材料。在此基礎(chǔ)上，政府部門和學(xué)術(shù)研究機(jī)構(gòu)已經(jīng)形成了極為規(guī)范、全面的信息利用機(jī)制。而《一般數(shù)據(jù)保護(hù)條例》關(guān)于假名信息處理仍需受到個(gè)人信息保護(hù)制度嚴(yán)格拘束的要求將直接打亂當(dāng)前科研活動(dòng)中形成的一系列制度、技術(shù)和組織安排，進(jìn)而抑制歐盟范圍內(nèi)社會(huì)科學(xué)研究活動(dòng)的效率。
（二）美國(guó)立法中的個(gè)人信息去標(biāo)識(shí)化規(guī)則之考察
相比于歐盟，美國(guó)立法對(duì)個(gè)人信息流轉(zhuǎn)持較為開放的態(tài)度。為促進(jìn)信息流轉(zhuǎn)，部分立法采納了去標(biāo)識(shí)化規(guī)則作為免除適用個(gè)人信息保護(hù)規(guī)則的條件，并對(duì)個(gè)人信息去標(biāo)識(shí)化所需達(dá)到的標(biāo)準(zhǔn)作出了較為寬松的要求。這與美國(guó)立法對(duì)個(gè)人信息的限縮主義界定模式存在直接關(guān)系。不同于歐盟立法對(duì)個(gè)人信息進(jìn)行盡可能寬泛的界定，以確保將所有與個(gè)人有關(guān)的信息均囊括進(jìn)立法規(guī)制范疇，美國(guó)立法者和政府基于扶持和發(fā)展數(shù)據(jù)產(chǎn)業(yè)的戰(zhàn)略目標(biāo)以及對(duì)言論自由等價(jià)值的重視和考量，從不同角度對(duì)個(gè)人信息作出了較為限縮的界定。許多立法均對(duì)個(gè)人信息采取列舉式定義，比如，美國(guó)《兒童在線隱私保護(hù)法案》（Children’s Online Privacy Protection Act of 1998）中將個(gè)人信息界定為“在線收集的個(gè)人可識(shí)別性信息，包括姓名、家庭或其他地址、郵箱地址、電話號(hào)碼、社會(huì)保障號(hào)碼以及委員會(huì)決定的能夠現(xiàn)實(shí)或在線上聯(lián)絡(luò)到特定個(gè)人的任何其他標(biāo)識(shí)符”，從而將未經(jīng)委員會(huì)決定的其他類型信息均排除至調(diào)整范圍以外。部分立法還排除了對(duì)與個(gè)人有關(guān)的“公開可得信息（publicly available information）”的規(guī)制。與之相對(duì)，去標(biāo)識(shí)化處理僅需達(dá)到使特定信息不再構(gòu)成上述立法所規(guī)定的個(gè)人信息的程度即可。同時(shí)，美國(guó)的個(gè)人信息保護(hù)制度允許信息處理者在采取去標(biāo)識(shí)化措施方面享有較大的裁量自由，只要信息處理者“并不實(shí)際知悉經(jīng)過處理后的信息可以單獨(dú)或與其他信息相結(jié)合用于識(shí)別信息主體”且“沒有合理理由相信該信息可被用于識(shí)別特定個(gè)體”，即視為已滿足去標(biāo)識(shí)化要求，由此使信息處理者不至背負(fù)過于沉重的合規(guī)負(fù)擔(dān)。
此外，美國(guó)立法為信息處理者進(jìn)行去標(biāo)識(shí)化處理提供了一定規(guī)則指引。以美國(guó)《健康保險(xiǎn)攜帶和問責(zé)法》（Health Insurance portability and Accountability Act of 1996）為例，其規(guī)定了兩種用于確定去標(biāo)識(shí)化信息的具體標(biāo)準(zhǔn)：一是統(tǒng)計(jì)法（statistical standard），即通過統(tǒng)計(jì)人員或具備合理知識(shí)和經(jīng)驗(yàn)的專家進(jìn)行判斷，以確定信息處理者所采取的去標(biāo)識(shí)化措施是否已達(dá)到使個(gè)人信息“不能識(shí)別并且沒有合理理由相信可以被用于識(shí)別特定個(gè)體”的程度，從而決定其是否可以免除適用相關(guān)立法規(guī)定；二是安全港標(biāo)準(zhǔn)（safe harbor standard），《健康保險(xiǎn)攜帶與問責(zé)法》中列舉了姓名、地址、電話號(hào)碼、電子郵箱地址、證件號(hào)碼、銀行賬戶號(hào)碼等18項(xiàng)識(shí)別符，信息處理者在確保完全消除上述識(shí)別符且并不實(shí)際知悉該信息可以單獨(dú)或與其他信息相結(jié)合用于識(shí)別信息主體時(shí)，即被視為已達(dá)到去標(biāo)識(shí)化的效果。上述規(guī)則具有較強(qiáng)的可操作性，能夠?yàn)樾畔⑻幚碚咴u(píng)估其對(duì)個(gè)人信息的處理合規(guī)提供明確、穩(wěn)定的預(yù)期，但潛在缺陷在于，其對(duì)去標(biāo)識(shí)化標(biāo)準(zhǔn)的要求難以達(dá)到充分消除信息安全風(fēng)險(xiǎn)的程度。事實(shí)上，統(tǒng)計(jì)法對(duì)去標(biāo)識(shí)化處理所應(yīng)達(dá)到的具體標(biāo)準(zhǔn)的規(guī)定缺失可能導(dǎo)致信息處理者與技術(shù)專家間形成尋租和共謀，進(jìn)而影響相應(yīng)決定的公平性和可信賴性；而安全港標(biāo)準(zhǔn)所列舉的18種標(biāo)識(shí)符并不構(gòu)成對(duì)現(xiàn)實(shí)中存在的能夠識(shí)別信息主體身份之信息的完全列舉。已有實(shí)驗(yàn)證明，去除18種標(biāo)識(shí)符后的個(gè)人信息在與美國(guó)選民登記記錄進(jìn)行交叉比對(duì)后即有0.04%的幾率重新識(shí)別出其指向的信息主體，更遑論與更多信息結(jié)合后的效果。
在意識(shí)到經(jīng)過去標(biāo)識(shí)化處理后的信息可能仍殘存有一定安全風(fēng)險(xiǎn)的基礎(chǔ)上，部分立法進(jìn)一步規(guī)定了信息處理者及后續(xù)使用者負(fù)有的禁止再識(shí)別義務(wù)。比如，《消費(fèi)者隱私權(quán)利保護(hù)法案》（Consumer Privacy Bill of Rights Act）中即規(guī)定，信息處理者在具有合理的依據(jù)相信經(jīng)過去標(biāo)識(shí)化處理的信息事實(shí)上已不能夠再關(guān)聯(lián)到特定的個(gè)人的情況下，還須公開承諾其不會(huì)對(duì)經(jīng)過去標(biāo)識(shí)化處理的信息進(jìn)行再識(shí)別的嘗試，并以合同或其他具有法律約束力的形式禁止信息接收方對(duì)此類信息進(jìn)行再識(shí)別，同時(shí)要求第三方對(duì)此作出公開承諾，如此方可對(duì)經(jīng)過去標(biāo)識(shí)化的信息進(jìn)行共享或轉(zhuǎn)讓�！督】当ｋU(xiǎn)攜帶與問責(zé)法》中還規(guī)定了在信息處理者與信息接收方簽訂具有約束力的協(xié)議要求其不得從事再識(shí)別行為的前提下，其可以使用或向他人提供僅刪除16種標(biāo)識(shí)符的有限數(shù)據(jù)集，其目的在于適度保留經(jīng)過去標(biāo)識(shí)化處理的信息所具有的應(yīng)用價(jià)值。信息的本質(zhì)是關(guān)于特定事物或個(gè)人之現(xiàn)象和本質(zhì)的記錄和表達(dá)，其通過作用于人類的認(rèn)知使人們形成對(duì)特定事物或個(gè)人的理解，由此決定接受者對(duì)該事物或個(gè)人的態(tài)度及采取的行動(dòng)。而去除所有標(biāo)識(shí)符的信息在失去識(shí)別信息主體能力的同時(shí)也不再能夠傳達(dá)出任何具有意義的知識(shí)。
（三）小結(jié)
歐盟和美國(guó)立法對(duì)匿名化或去標(biāo)識(shí)化標(biāo)準(zhǔn)的設(shè)定均未能夠達(dá)到有效平衡信息保護(hù)和信息利用需求的效果。歐盟個(gè)人信息保護(hù)規(guī)則對(duì)匿名化處理所應(yīng)達(dá)到的標(biāo)準(zhǔn)設(shè)置了過于嚴(yán)苛的要求，匿名化處理者不僅需要保證自身無法對(duì)匿名信息進(jìn)行再識(shí)別，還需達(dá)到使任何第三方主體均無法對(duì)該信息進(jìn)行再識(shí)別的程度，其中囊括了因遭受惡意攻擊導(dǎo)致相關(guān)信息泄露的情形。此種制度設(shè)計(jì)導(dǎo)致匿名化處理者對(duì)匿名信息的安全負(fù)有一種嚴(yán)格責(zé)任，進(jìn)而可能造成信息處理者棄用匿名化規(guī)則，最終可能會(huì)摧毀這一制度存在的必要性基礎(chǔ)。同時(shí)，歐盟立法中規(guī)定的匿名化標(biāo)準(zhǔn)又極為模糊而欠缺可操作性，其對(duì)如何判定個(gè)人信息是否達(dá)到匿名化的程度規(guī)定了過多的考量因素，且這些因素必須置于個(gè)案中進(jìn)行綜合考量和判斷，尤其是這些標(biāo)準(zhǔn)難以為信息處理者在從事個(gè)人信息處理活動(dòng)時(shí)提供明確的事前行為指引，由此進(jìn)一步加劇了匿名化規(guī)則的適用障礙。
與之相反，美國(guó)立法基于確保信息資源自由流通和高效利用的價(jià)值追求，對(duì)個(gè)人信息去標(biāo)識(shí)化的標(biāo)準(zhǔn)作出了較寬松的規(guī)定，其規(guī)定的去標(biāo)識(shí)化操作在去除個(gè)人信息識(shí)別能力方面較為孱弱，由此導(dǎo)致經(jīng)過處理的個(gè)人信息仍存有較為顯著的剩余風(fēng)險(xiǎn)。此外，美國(guó)立法中規(guī)定的禁止再識(shí)別義務(wù)僅能約束存在合同關(guān)系的信息轉(zhuǎn)讓者和信息接收者，卻無法預(yù)防第三方主體對(duì)信息的再識(shí)別行為。上述問題導(dǎo)致美國(guó)立法在個(gè)人信息保護(hù)力度上有所不足，使其長(zhǎng)期遭受歐盟數(shù)據(jù)保護(hù)機(jī)構(gòu)的質(zhì)疑，并影響了二者在個(gè)人信息流通方面合作的穩(wěn)定。美國(guó)互聯(lián)網(wǎng)企業(yè)近年來亦屢因未能充分履行個(gè)人信息保護(hù)義務(wù)而引發(fā)大規(guī)模信息泄露事件，從而遭到歐盟數(shù)據(jù)監(jiān)管執(zhí)法機(jī)構(gòu)的嚴(yán)厲處罰。其均暴露出美國(guó)立法在個(gè)人信息去標(biāo)識(shí)化規(guī)則標(biāo)準(zhǔn)的設(shè)置等問題上存在過度放縱個(gè)人信息安全風(fēng)險(xiǎn)的弊端。
歐美立法的上述問題曝光了個(gè)人信息匿名化（去標(biāo)識(shí)化）規(guī)則所面臨的尷尬處境，亦揭示出個(gè)人信息保護(hù)和信息資源利用間的內(nèi)在抵牾。“匿名化迷思”的根源在于，其試圖通過對(duì)理想的匿名化（去標(biāo)識(shí)化）標(biāo)準(zhǔn)的事前界定以對(duì)信息性質(zhì)作出“非此即彼”的判斷，此種努力在信息智能時(shí)代注定難以實(shí)現(xiàn)。這督促我國(guó)立法應(yīng)積極尋求更為可行的替代方案，以實(shí)現(xiàn)《個(gè)人信息保護(hù)法（草案）》（二審稿）第1條所規(guī)定的“保護(hù)個(gè)人信息權(quán)益”和“促進(jìn)個(gè)人信息合理利用”的立法目標(biāo)的兼顧。
三、個(gè)人信息匿名化規(guī)則的替代方案及體系調(diào)整
鑒于各國(guó)在確立能夠充分保護(hù)個(gè)人信息權(quán)益并具有現(xiàn)實(shí)可操作性的匿名化（去標(biāo)識(shí)化）標(biāo)準(zhǔn)方面的失敗，有學(xué)者斷言，匿名化已經(jīng)淪為對(duì)個(gè)人信息保護(hù)的“破碎承諾”。個(gè)人信息匿名化規(guī)則的靜態(tài)取向與個(gè)人信息處理實(shí)踐的動(dòng)態(tài)風(fēng)格間的格格不入決定了其難以達(dá)成立法者的愿景。在放棄這一注定難以實(shí)現(xiàn)的努力的同時(shí)，必須為其尋求更加妥適的替代方案，重塑個(gè)人信息保護(hù)與利用的平衡。目前，我國(guó)個(gè)人信息保護(hù)立法尚未形成對(duì)匿名化規(guī)則的高度倚賴，此時(shí)如果能夠?qū)で蟾鼉?yōu)的個(gè)人信息保護(hù)制度方案，有助于發(fā)揮我國(guó)立法在世界范圍內(nèi)個(gè)人信息保護(hù)立法的后發(fā)優(yōu)勢(shì)，并有效節(jié)約在個(gè)人信息保護(hù)立法方面的探索與試錯(cuò)成本。
（一）從“一體規(guī)制”到“區(qū)別規(guī)制”
當(dāng)前，我國(guó)個(gè)人信息保護(hù)立法對(duì)所有個(gè)人信息均采取了同等程度的嚴(yán)格規(guī)制，此種“一體主義”的規(guī)制模式對(duì)個(gè)人信息的收集、使用和流轉(zhuǎn)設(shè)置了極為嚴(yán)格的限制，在一定程度上違背了利益平衡和比例原則的法理，亦有違我國(guó)社會(huì)在公民信息隱私保護(hù)方面的主流價(jià)值取向。事實(shí)上，我國(guó)的社會(huì)結(jié)構(gòu)、倫理觀念及立法傳統(tǒng)等因素決定了我國(guó)社會(huì)在信息隱私保護(hù)方面的價(jià)值取向與歐洲國(guó)家存在明顯差異。我國(guó)立法較為強(qiáng)調(diào)信息隱私的“社會(huì)功能”和保護(hù)個(gè)人信息隱私對(duì)推進(jìn)社會(huì)發(fā)展、維護(hù)社會(huì)秩序的作用，對(duì)個(gè)人信息隱私的保護(hù)必須受到社會(huì)和國(guó)家整體利益的限制。信息隱私主要被視為一種工具價(jià)值而非本質(zhì)價(jià)值予以保護(hù)，其必須被置于利益衡量的背景下決定能否受到保護(hù)以及所受保護(hù)的程度。而當(dāng)前個(gè)人信息保護(hù)制度的“一體主義”規(guī)制模式有違利益衡量的法理，進(jìn)而導(dǎo)致其在現(xiàn)實(shí)中未能得到嚴(yán)格遵循。此種“一體主義”的規(guī)制模式未能為信息處理者采取相應(yīng)技術(shù)措施以降低個(gè)人信息具有的識(shí)別能力，從而減少因信息泄露或不當(dāng)處理所造成的安全風(fēng)險(xiǎn)提供充分激勵(lì)，結(jié)果不僅難以達(dá)到個(gè)人信息保護(hù)立法所追求的充分保護(hù)信息主體權(quán)益的效果，還可能導(dǎo)致實(shí)踐中信息處理者為節(jié)省合規(guī)成本，而一味借助在形式上征得信息主體同意的方式以免除自身負(fù)有的責(zé)任。在當(dāng)前信息主體“知情同意”流于形式的整體背景下，此種選擇可能進(jìn)一步降低對(duì)信息主體權(quán)益的保護(hù)水平。
不同的個(gè)人信息所具有的識(shí)別能力不同，與信息主體的關(guān)聯(lián)程度不同，當(dāng)其被不當(dāng)處理和流轉(zhuǎn)時(shí)對(duì)信息主體個(gè)人權(quán)益產(chǎn)生的風(fēng)險(xiǎn)亦不相同。因此，對(duì)其相應(yīng)的保護(hù)要求和信息收集、利用行為的限制程度亦應(yīng)有所不同。近年來，各國(guó)立法者和學(xué)者均逐漸意識(shí)到個(gè)人信息在識(shí)別能力上的差異對(duì)相應(yīng)個(gè)人信息規(guī)制規(guī)則設(shè)計(jì)具有的影響。
美國(guó)隱私法學(xué)者施瓦茨和索羅夫提出了所謂的“PII 2.0方案”，主張應(yīng)根據(jù)信息具有的不同識(shí)別能力分別決定對(duì)應(yīng)的信息處理行為所需受到的法律限制。歐盟《一般數(shù)據(jù)保護(hù)條例》中也規(guī)定，在信息處理者不能直接識(shí)別自然人身份且無意于進(jìn)行此種識(shí)別時(shí)，其可告知信息主體，并不再受到《一般數(shù)據(jù)保護(hù)條例》第1520條規(guī)定的約束，除非信息主體通過提供額外的信息而使信息處理者能夠?qū)ζ渖矸葸M(jìn)行直接識(shí)別。我國(guó)亦有學(xué)者主張，間接識(shí)別性個(gè)人信息只有在與其他個(gè)人信息相結(jié)合的情況下方可指向特定的信息主體，對(duì)于此類信息的處理往往不會(huì)對(duì)信息主體造成明顯的壓迫和緊張感，即使其被不慎泄露，對(duì)信息主體人格、財(cái)產(chǎn)利益的威脅也明顯較輕，因此，立法應(yīng)適度放松對(duì)此類信息使用和流轉(zhuǎn)的束縛。上述主張均認(rèn)同對(duì)具有較低識(shí)別能力的個(gè)人信息應(yīng)采取更加寬松的規(guī)制措施，并相應(yīng)地降低甚至免除信息處理者負(fù)有的個(gè)人信息保護(hù)義務(wù)。基于此種考量，未來我國(guó)個(gè)人信息保護(hù)立法應(yīng)從當(dāng)前的一體規(guī)制模式轉(zhuǎn)向基于信息識(shí)別能力類型化的區(qū)別規(guī)制模式，根據(jù)不同類型的個(gè)人信息具有的不同程度識(shí)別能力構(gòu)建起層次化的個(gè)人信息保護(hù)義務(wù)規(guī)則體系，形成對(duì)既有個(gè)人信息匿名化規(guī)則的替代選擇。
2021年4月發(fā)布的《個(gè)人信息去標(biāo)識(shí)化效果分級(jí)評(píng)估規(guī)范》（征求意見稿）對(duì)個(gè)人信息的分類問題作出了有益嘗試。其基于個(gè)人信息的去識(shí)別化程度將其分為四類：（1）能直接識(shí)別信息主體的信息；（2）已消除直接標(biāo)識(shí)符，但仍具有較高再識(shí)別風(fēng)險(xiǎn)的信息；（3）已消除直接標(biāo)識(shí)符，且再識(shí)別風(fēng)險(xiǎn)可接受的信息，此類信息的再識(shí)別風(fēng)險(xiǎn)應(yīng)低于0.05這一閾值；（4）聚合信息，即對(duì)個(gè)人信息進(jìn)行匯總分析得出的整體層面的聚合數(shù)據(jù)。同時(shí)規(guī)定了在衡量針對(duì)特定信息的再識(shí)別風(fēng)險(xiǎn)時(shí)需要考慮的主要因素，包括信息類型、信息流轉(zhuǎn)的范圍、信息處理者采取的隱私和安全控制水平以及信息接收者的再識(shí)別動(dòng)機(jī)與能力等。此種分類模式基于經(jīng)過去標(biāo)識(shí)化處理后的信息殘留的識(shí)別能力和再識(shí)別風(fēng)險(xiǎn)對(duì)其進(jìn)行層次化分類，為個(gè)人信息保護(hù)立法根據(jù)不同信息蘊(yùn)含的安全風(fēng)險(xiǎn)對(duì)其采取相應(yīng)的規(guī)制和保護(hù)措施提供了基礎(chǔ)，有助于扭轉(zhuǎn)當(dāng)前一體規(guī)制模式過度限制信息流轉(zhuǎn)與使用的弊端。
本文認(rèn)為，未來我國(guó)個(gè)人信息保護(hù)立法可在一定程度上吸納《個(gè)人信息去標(biāo)識(shí)化效果分級(jí)評(píng)估規(guī)范》（征求意見稿）中確定的個(gè)人信息識(shí)別標(biāo)準(zhǔn)類型化的思路，根據(jù)個(gè)人信息具有的識(shí)別能力將其劃分為直接識(shí)別性個(gè)人信息和間接識(shí)別性個(gè)人信息，并根據(jù)間接識(shí)別性個(gè)人信息具有的識(shí)別能力是否超過特定閾值將其進(jìn)一步劃分為識(shí)別能力高于閾值的間接識(shí)別性個(gè)人信息和識(shí)別能力低于閾值的間接識(shí)別性個(gè)人信息。在此基礎(chǔ)上，采取“區(qū)別規(guī)制”的立法策略，針對(duì)不同類型個(gè)人信息蘊(yùn)含的識(shí)別能力和安全風(fēng)險(xiǎn)，分別為其設(shè)置不同程度的個(gè)人信息保護(hù)義務(wù)，從而構(gòu)建起層次化的個(gè)人信息保護(hù)義務(wù)體系。
（二）以信息識(shí)別能力為核心構(gòu)建起層次化的個(gè)人信息保護(hù)義務(wù)體系
根據(jù)區(qū)別規(guī)制的立法策略，應(yīng)對(duì)不同類型個(gè)人信息對(duì)應(yīng)的個(gè)人信息保護(hù)義務(wù)作出差異化安排。其中，對(duì)于直接識(shí)別性個(gè)人信息，因其與信息主體間存在直接對(duì)應(yīng)關(guān)系，立法仍應(yīng)嚴(yán)格約束對(duì)此種信息的收集、分析、使用及流轉(zhuǎn)，要求信息處理者全面履行各項(xiàng)個(gè)人信息保護(hù)義務(wù)。而對(duì)于已消除直接標(biāo)識(shí)符的間接識(shí)別性個(gè)人信息，則應(yīng)降低并部分免除信息處理者對(duì)其負(fù)有的義務(wù)以及其在處理此類信息時(shí)受到的約束。比如，對(duì)于間接識(shí)別性個(gè)人信息的處理原則上無需受到目的限制原則、最小化原則等約束，且應(yīng)免除適用個(gè)人信息保護(hù)立法關(guān)于個(gè)人信息查詢權(quán)、更正權(quán)、刪除權(quán)等規(guī)定。這不僅有助于減輕個(gè)人信息處理者的合規(guī)負(fù)擔(dān)，促進(jìn)信息資源的高效使用，同時(shí)亦有利于避免在信息主體和間接識(shí)別性個(gè)人信息間建立直接聯(lián)系而增加暴露其身份和隱私的風(fēng)險(xiǎn)。同時(shí)，個(gè)人信息處理者雖然仍需對(duì)間接識(shí)別性個(gè)人信息承擔(dān)其他法律規(guī)定的個(gè)人信息保護(hù)義務(wù)，但其在履行此種義務(wù)的過程中需要采取的具體技術(shù)措施和組織措施，以及應(yīng)達(dá)到的審慎程度相比于直接識(shí)別性個(gè)人信息均應(yīng)適度降低。
此外，對(duì)識(shí)別能力低于一定閾值的間接識(shí)別性個(gè)人信息，還應(yīng)允許個(gè)人信息處理者在采取必要手段確保其不會(huì)被用于識(shí)別或關(guān)聯(lián)信息主體的前提下對(duì)其進(jìn)行流轉(zhuǎn)，而無須征得信息主體的同意。目前，《個(gè)人信息保護(hù)法（草案）》（二審稿）第24條規(guī)定了個(gè)人信息處理者向第三方提供其處理的個(gè)人信息，必須通知并取得信息主體的單獨(dú)同意。這一規(guī)定可能造成過度限制信息流轉(zhuǎn)效率的結(jié)果。不同于“前信息時(shí)代”的傳統(tǒng)經(jīng)濟(jì)形態(tài)，數(shù)字經(jīng)濟(jì)不再關(guān)注用于建立因果關(guān)系或內(nèi)在邏輯的小樣本數(shù)據(jù)，其關(guān)注的是海量信息匯集、整合、加工而成的“大數(shù)據(jù)”。而如若要求信息處理者在共享、轉(zhuǎn)讓蘊(yùn)含海量信息的“大數(shù)據(jù)”前逐一征詢相關(guān)主體的授權(quán)同意，必然會(huì)產(chǎn)生極為高昂的運(yùn)作成本，當(dāng)此種運(yùn)作成本高于個(gè)人信息處理能夠產(chǎn)生的收益時(shí)，原本有價(jià)值的信息處理行為就不會(huì)發(fā)生。并且，賦予自然人對(duì)其個(gè)人信息共享、轉(zhuǎn)讓的一般性決定權(quán)還可能誘發(fā)信息主體基于不合作策略而索取高價(jià)的行為。信息主體可能采取僵持策略以索取高價(jià)，從而顯著增加交易成本并阻礙個(gè)人信息共享、轉(zhuǎn)讓的順利進(jìn)行�；诖�，對(duì)于識(shí)別能力低于一定閾值的間接識(shí)別性個(gè)人信息，應(yīng)允許信息處理者在未征得信息主體同意的情況下對(duì)其進(jìn)行轉(zhuǎn)讓，同時(shí)為此種場(chǎng)合下的個(gè)人信息處理者設(shè)置持續(xù)性的個(gè)人信息保護(hù)義務(wù)和責(zé)任，以消弭此類信息在流轉(zhuǎn)過程中對(duì)信息主體造成的潛在風(fēng)險(xiǎn)。
在此基礎(chǔ)上，我國(guó)個(gè)人信息保護(hù)立法應(yīng)放棄在確定匿名化標(biāo)準(zhǔn)方面的努力，規(guī)定經(jīng)過去標(biāo)識(shí)化處理使其識(shí)別能力低于特定閾值的信息仍屬于個(gè)人信息的范疇，信息處理者仍應(yīng)對(duì)其履行適當(dāng)?shù)膫�(gè)人信息保護(hù)義務(wù)。在大數(shù)據(jù)時(shí)代，數(shù)字技術(shù)的急速發(fā)展、信息來源的廣泛分布決定了即使僅具有微小識(shí)別可能性的個(gè)人信息在與其他信息充分結(jié)合的情況下，仍可能重新識(shí)別出信息主體的身份，完全免除信息處理者對(duì)匿名化信息的保護(hù)義務(wù)并不合理。
同時(shí)，匿名化處理的結(jié)果具有極強(qiáng)的不確定性，其究竟是否達(dá)到使特定信息徹底喪失識(shí)別能力的程度通常難以判定。鑒于個(gè)人信息侵權(quán)行為通常具有的隱蔽性以及相關(guān)損失的非直接性、偶發(fā)性和累積性等特點(diǎn)，即使匿名信息事后被用于成功地對(duì)信息主體進(jìn)行再識(shí)別，亦很難發(fā)現(xiàn)并證明侵權(quán)行為與匿名信息之間存在直接的因果關(guān)系，此種結(jié)果導(dǎo)向的個(gè)人信息保護(hù)規(guī)則在實(shí)現(xiàn)個(gè)人信息權(quán)益保護(hù)方面的效果難以評(píng)估。因此，相比于繼續(xù)沉溺于對(duì)匿名化處理之應(yīng)然標(biāo)準(zhǔn)的糾結(jié)，個(gè)人信息保護(hù)立法更應(yīng)將注意力轉(zhuǎn)移至對(duì)個(gè)人信息處理過程的規(guī)制，其必須拋棄對(duì)信息的絕對(duì)安全狀態(tài)所持有的幻想，適度容忍因信息流動(dòng)與使用所產(chǎn)生的風(fēng)險(xiǎn)，并通過規(guī)定個(gè)人信息處理者適當(dāng)?shù)暮罄m(xù)保護(hù)義務(wù)，以將此類信息流轉(zhuǎn)產(chǎn)生的風(fēng)險(xiǎn)持續(xù)控制在可接受的范圍之內(nèi)。
對(duì)于經(jīng)過去標(biāo)識(shí)化處理已達(dá)到使其識(shí)別能力低于閾值的個(gè)人信息，信息處理者仍應(yīng)履行必要的程序性保護(hù)義務(wù)。個(gè)人信息處理者應(yīng)建立相應(yīng)的個(gè)人信息安全影響評(píng)估機(jī)制以評(píng)估對(duì)此類信息進(jìn)行處理所存在的安全風(fēng)險(xiǎn)，如個(gè)人信息流轉(zhuǎn)對(duì)信息主體合法權(quán)益的可能影響、信息接收者采取的個(gè)人信息安全保護(hù)措施的有效性、信息接收者違反約定對(duì)個(gè)人信息進(jìn)行再識(shí)別的潛在可能及其識(shí)別能力等，從而采取與風(fēng)險(xiǎn)水平相匹配的信息安全控制和保護(hù)措施并及時(shí)進(jìn)行必要調(diào)整。同時(shí)，其應(yīng)對(duì)此類信息的流轉(zhuǎn)情況進(jìn)行記錄，包括處理個(gè)人信息的具體類型、數(shù)量、來源，具體的信息處理操作，以確保當(dāng)發(fā)生信息泄露或惡意攻擊等情況時(shí)能夠及時(shí)采取相應(yīng)的應(yīng)對(duì)措施，并對(duì)信息主體進(jìn)行風(fēng)險(xiǎn)提示。此外，信息處理者還應(yīng)對(duì)信息接收方存儲(chǔ)、使用、流轉(zhuǎn)個(gè)人信息的情況進(jìn)行適當(dāng)監(jiān)督，并要求其提供不低于自身同等水平的個(gè)人信息保護(hù)措施。
（三）引入不得從事再識(shí)別行為的法律義務(wù)
降低對(duì)識(shí)別能力低于閾值的間接識(shí)別性個(gè)人信息的流轉(zhuǎn)限制意味著個(gè)人信息處理者無需使經(jīng)過處理的個(gè)人信息達(dá)到使任何第三方主體在使用“所有具有合理可能性的方法”后仍無法識(shí)別特定自然人且不能復(fù)原的程度，即可對(duì)其進(jìn)行流轉(zhuǎn)。如若允許經(jīng)過處理的個(gè)人信息保有一定的識(shí)別能力，必然將在一定程度上降低對(duì)個(gè)人信息權(quán)益的保護(hù)力度。對(duì)此，我國(guó)立法還應(yīng)規(guī)定個(gè)人信息處理者不得從事再識(shí)別行為的法律義務(wù)，并明確規(guī)定個(gè)人信息處理者在相關(guān)情況下負(fù)有的法律責(zé)任，以補(bǔ)強(qiáng)對(duì)個(gè)人信息權(quán)益的保護(hù)力度。
再識(shí)別是指將經(jīng)過去標(biāo)識(shí)化處理的個(gè)人信息與其他信息相結(jié)合以重新識(shí)別信息主體的過程，這一過程因涉及對(duì)間接識(shí)別性個(gè)人信息的處理而當(dāng)然構(gòu)成個(gè)人信息處理行為，從而應(yīng)當(dāng)受到個(gè)人信息保護(hù)立法的規(guī)制。當(dāng)前實(shí)踐中，不少個(gè)人信息處理者存在未經(jīng)信息主體同意而將經(jīng)過去標(biāo)識(shí)化處理的個(gè)人信息提供給有合作關(guān)系的第三方使用的情況，且并未禁止第三方將此種信息與其他合法獲取的信息相結(jié)合。此種信息處理實(shí)踐將給信息主體的合法權(quán)益帶來較為顯著的風(fēng)險(xiǎn)，第三方使用者在未經(jīng)信息主體同意的情況下肆意對(duì)去標(biāo)識(shí)化信息進(jìn)行再識(shí)別，可能對(duì)信息主體形成密集的追蹤，從而對(duì)其個(gè)人隱私與生活安寧造成嚴(yán)重侵?jǐn)_。針對(duì)此種情況，個(gè)人信息保護(hù)立法應(yīng)當(dāng)明確在未經(jīng)信息主體和信息處理者同意的情況下，下游信息使用者不得將經(jīng)過去標(biāo)識(shí)化處理的間接識(shí)別性個(gè)人信息用于對(duì)信息主體身份進(jìn)行再識(shí)別，否則即構(gòu)成對(duì)直接識(shí)別性個(gè)人信息的處理，并仍需遵循個(gè)人信息保護(hù)法對(duì)直接識(shí)別性個(gè)人信息的規(guī)制規(guī)定。
信息處理者在未經(jīng)信息主體同意而對(duì)識(shí)別能力低于閾值的間接識(shí)別性個(gè)人信息進(jìn)行流轉(zhuǎn)時(shí)，應(yīng)告知信息主體信息接收方的身份、聯(lián)系方式、處理目的、處理方式和其處理的個(gè)人信息的種類，以保證信息主體在遭受侵害時(shí)可以及時(shí)發(fā)現(xiàn)并主張權(quán)利。此外，其必須確保經(jīng)過處理的信息已達(dá)到使特定信息接收方無法識(shí)別信息主體身份的程度，同時(shí)以協(xié)議等形式要求信息接收者承諾不會(huì)將個(gè)人信息用于識(shí)別信息主體的身份或聯(lián)絡(luò)信息主體，并約定相應(yīng)的違約責(zé)任。由于信息處理者和信息接收者間的此種協(xié)議關(guān)系到所涉信息主體的權(quán)益，信息處理者應(yīng)當(dāng)以適宜的方式對(duì)此種協(xié)議進(jìn)行公示，并接受相關(guān)信息主體和監(jiān)管機(jī)構(gòu)的監(jiān)督。此種協(xié)議類似于個(gè)人信息保護(hù)政策，具有市場(chǎng)自律規(guī)則的性質(zhì)，當(dāng)信息接收者違反協(xié)議約定時(shí)，監(jiān)管機(jī)構(gòu)即可據(jù)此對(duì)其進(jìn)行處罰。同樣，當(dāng)信息接收者基于其取得的間接識(shí)別性個(gè)人信息對(duì)信息主體真實(shí)身份進(jìn)行再識(shí)別從而向其進(jìn)行定向營(yíng)銷等行為時(shí)，信息主體亦可向信息處理者或監(jiān)管機(jī)構(gòu)進(jìn)行投訴。信息處理者應(yīng)對(duì)信息接收者的后續(xù)信息處理行為進(jìn)行必要監(jiān)督，其因怠于履行監(jiān)督義務(wù)導(dǎo)致信息主體遭受侵害時(shí)，應(yīng)與信息接收者共同承擔(dān)責(zé)任。在信息處理者明知或應(yīng)知信息接收者從事再識(shí)別行為而不予制止的情況下，二者構(gòu)成《個(gè)人信息保護(hù)法（草案）》（二審稿）第21條規(guī)定的“共同處理個(gè)人信息”的情形，應(yīng)對(duì)侵害個(gè)人信息權(quán)益所造成的損失承擔(dān)連帶責(zé)任。
上述措施只能約束與信息處理者具有直接聯(lián)系的下游信息使用者的再識(shí)別行為，而無法有效應(yīng)對(duì)第三方主體以惡意攻擊、竊取等手段所從事的再識(shí)別行為。第三方主體從事再識(shí)別行為的目的往往在于破解自然人的相關(guān)信息以用于非法交易或從事違法犯罪活動(dòng)等，對(duì)此，可通過刑法手段對(duì)此類行為予以制裁。比如，英國(guó)《數(shù)據(jù)保護(hù)法案》（Data Protection HL Bill）中即規(guī)定，在未經(jīng)信息處理者同意的情況下對(duì)經(jīng)過去標(biāo)識(shí)化處理的信息進(jìn)行再識(shí)別的行為構(gòu)成刑事犯罪。鑒于第三方主體在實(shí)施個(gè)人信息再識(shí)別行為時(shí)，通常均需以惡意攻擊計(jì)算機(jī)系統(tǒng)、非法獲取計(jì)算機(jī)信息系統(tǒng)中存儲(chǔ)的數(shù)據(jù)為前提，此種行為符合《刑法》第285條、第286條規(guī)定的“非法獲取計(jì)算機(jī)信息系統(tǒng)數(shù)據(jù)罪”和“破壞計(jì)算機(jī)信息系統(tǒng)罪”的罪狀；而通過購(gòu)買等方式非法獲取間接識(shí)別性個(gè)人信息以進(jìn)行再識(shí)別的行為還可能觸犯《刑法》關(guān)于“侵犯公民個(gè)人信息罪”的規(guī)定，因此，可以依托上述規(guī)定對(duì)惡意再識(shí)別行為進(jìn)行必要規(guī)制，從而在風(fēng)險(xiǎn)來源層面遏制對(duì)個(gè)人信息權(quán)益的潛在威脅，在將信息處理者從確保任何第三方主體均無法重新識(shí)別信息主體這一不可能完成的任務(wù)中解脫出來的同時(shí)，實(shí)現(xiàn)對(duì)信息安全風(fēng)險(xiǎn)的必要控制。
四、結(jié)語(yǔ)
個(gè)人信息匿名化規(guī)則假定通過匿名化處理這一技術(shù)手段可以徹底消除個(gè)人信息具有的識(shí)別能力。然而，在信息智能時(shí)代，絕對(duì)不具有識(shí)別能力的信息僅存在于想象之中，隨著數(shù)據(jù)分析處理技術(shù)的發(fā)展，經(jīng)過匿名化處理的個(gè)人信息在與其他來源信息充分結(jié)合的情況下可能再次識(shí)別出信息主體的身份。個(gè)人信息具有的識(shí)別能力往往并非處于全有或全無的狀態(tài)，而更類似于一個(gè)連續(xù)的頻譜：在識(shí)別能力最強(qiáng)的一端是具有直接識(shí)別性的個(gè)人信息，另一端則是幾乎不具有任何識(shí)別能力的個(gè)人信息。同時(shí)，此種識(shí)別能力還將伴隨個(gè)人信息處理實(shí)踐的動(dòng)態(tài)發(fā)展而不斷發(fā)生變化。上述特點(diǎn)決定了個(gè)人信息保護(hù)立法不應(yīng)過度追求對(duì)個(gè)人信息與非個(gè)人信息作出靜態(tài)區(qū)分，而更應(yīng)強(qiáng)調(diào)對(duì)特定信息蘊(yùn)含的識(shí)別能力及安全風(fēng)險(xiǎn)的動(dòng)態(tài)把握。未來的個(gè)人信息保護(hù)立法應(yīng)區(qū)分不同個(gè)人信息在識(shí)別能力上的差異而對(duì)其采取區(qū)別規(guī)制的策略，激勵(lì)信息處理者盡可能采取降低個(gè)人信息識(shí)別能力的措施以換取信息流通效率；同時(shí)，其應(yīng)規(guī)定個(gè)人信息處理者應(yīng)承擔(dān)持續(xù)性的個(gè)人信息保護(hù)義務(wù)，并根據(jù)個(gè)人信息處理者是否履行了與信息風(fēng)險(xiǎn)相適應(yīng)的信息保護(hù)義務(wù)決定其責(zé)任承擔(dān)。相比于個(gè)人信息匿名化規(guī)則，此種過程導(dǎo)向的個(gè)人信息保護(hù)制度更加契合個(gè)人信息處理實(shí)踐的動(dòng)態(tài)性特征，且能為調(diào)控各方主體間的利益沖突提供更加富有彈性的制度空間，有望真正實(shí)現(xiàn)信息主體、信息處理者和下游信息使用者的利益平衡與合作共贏。