个人信息

一句话定义：个人信息，是以电子或者其他方式记录的、能够单独或者与其他信息结合识别特定自然人的各种信息，不包括匿名化处理后的信息；它是个人信息保护法全部规则的适用起点——先判断一条数据是不是个人信息，才谈得上处理是否合法、权利人能否行权。

构成要件

一、载体要件：必须以电子或者其他方式记录。 民法典第一千零三十四条第二款与个保法第四条第一款都把「以电子或者其他方式记录」写在前面。口头闲聊中提到的某人的情况、尚未被记录的观察，不构成个人信息；一旦被录入系统、写进表格、存入服务器，就成为受规制的对象。

二、识别要件：单独识别或者结合识别，二者居其一即可。 民法典的表述是「能够单独或者与其他信息结合识别特定自然人」。这意味着范围相当宽：单独一条身份证号当然是个人信息；单独一个设备识别码、一串订单号看似无意义，只要与平台掌握的其他数据一结合就能锁定某人，同样属于个人信息。「我觉得看不出是谁」不是判断标准。

三、关联要件：要与已识别或者可识别的自然人有关。 个保法第四条第一款的表述是「与已识别或者可识别的自然人有关的各种信息」。民法典强调「识别特定自然人」，个保法强调「有关」，后者范围更宽：不一定要直接指向身份，只要能与某个可识别的自然人建立起关联即可。

四、排除项：匿名化处理后的信息不是个人信息。 个保法第四条第一款明确把匿名化信息排除在外。这是整部法律的真正分水岭——匿名化与去标识化不同，去标识化后借助额外信息仍可能复原，仍在规制范围内；只有达到无法识别特定自然人且不能复原的程度，才退出个人信息范畴。

五、典型列举：法律给了两份清单。 民法典列举姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等；司法解释在刑事口径下列举姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。两份清单都带「等」字，属于开放列举。

六、与隐私的交叉由第一千零三十四条第三款处理。 个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。这是本条最容易被忽略的一款，也是把「个人信息」与「隐私」分开的关键，概念辨析见隐私。

七、「处理」的范围很宽，几乎涵盖全生命周期。 民法典第一千零三十五条第二款规定，个人信息的处理包括收集、存储、使用、加工、传输、提供、公开等；个保法第四条第二款还加上了删除。从采集到销毁，每一个环节都受规制，详细规则见个人信息处理。

八、刑事口径与民事口径略有差异。 刑法意义上的「公民个人信息」除识别身份外，还包括「反映特定自然人活动情况」的信息，判断基准是司法解释而非民法典。民事上不构成侵害的行为，未必在刑事上安全，二者的数量门槛与后果完全不同。

九、死者个人信息另有规则。 自然人死亡后，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使查阅、复制、更正、删除等权利，死者生前另有安排的除外。这一点常被误认为「人没了信息就没了」。

六个真实处境：这算不算我的个人信息

法条给的是定义，生活给的是具体问题。下面六个处境，是咨询中最常出现的，也是判断「是不是个人信息」最典型的六个岔路口。

处境一：公司说「我们收集的是设备号，不是你的信息」

这是 App 与平台最常用的说法，也是错得最离谱的一种。设备识别码（IMEI、IDFA、OAID、Android ID）、MAC 地址、手机型号、系统版本、屏幕分辨率，单独看确实不指向某个姓名。但平台手里同时握着账号、手机号、实名认证信息、收货地址——只要把设备号与账号一关联，就能锁定到具体的人。这正落入「与其他信息结合识别特定自然人」的要件。

所以判断不能只盯着被收集的那一条数据，要看收集者手里还掌握着什么。同一串设备号，在一家没有任何其他数据的小公司手里，与在一个有十亿用户的平台上，法律评价完全不同。前者的识别可能性低，后者的识别可能性几乎是确定的。

处境二：网页上的浏览记录、Cookie、埋点数据

多数情形下属于个人信息。用户在某个电商网站浏览了什么商品、停留多久、点了哪些链接，这些行为数据与账号或设备标识绑定后，可以刻画出消费偏好、健康状况、政治倾向、性取向。这类数据在法律上叫「用户画像」，个保法第二十四条专门规制自动化决策，前提就是承认画像属于个人信息。

需要区分的是「不与任何标识绑定的统计性数据」。比如后台只记录「今天有一万次访问，其中三千次来自手机」——这类聚合统计，如果能做到无法回溯到个人，就不属于个人信息；但只要保留着可回溯的日志与主键，仍然是。

处境三：车牌号、门禁卡号、快递单号

车牌号属于个人信息。车牌与车主姓名、身份证号、住址在车管所系统里是一一对应的，即使普通人查不到，对「能够识别」的判断并不要求收集者当场就能查到，只要存在识别的可能性即可。停车场、小区物业收集车牌，属于处理个人信息，须有合法性基础。

门禁卡号、工牌号、学号、病历号、订单号，同理。这些编号本身没有意义，但它们在特定系统内唯一指向一个人，属于「结合识别」。

快递单上的姓名、电话、地址，是最典型的个人信息，也是泄露最严重的载体。快递单「隐私面单」的推广，法律依据就在这里。

处境四：声纹、步态、笔迹、心跳

生物识别信息的范围比多数人想的宽。第二十八条列举的「生物识别」不限于人脸与指纹，声纹、虹膜、掌纹、步态、笔迹、甚至心电特征，只要能达到识别特定自然人的程度，都属于生物识别信息，也就都属于敏感个人信息。

这一类信息的特点是不可更改。密码泄露了可以改，手机号泄露了可以换，指纹和脸改不了。这也是法律把它列为敏感信息、要求单独同意与严格保护的根本原因。用人单位要求员工录入指纹考勤、小区要求刷脸进门，都必须走单独同意，并提供替代方案。

处境五：已经「脱敏」的数据

这是企业最常主张的免责理由，也是最容易站不住的一条。要区分两个概念。

去标识化，指通过技术处理使个人信息在不借助额外信息的情况下无法识别特定自然人。个保法第七十三条对它的定义还带一句关键限定：去标识化的信息「仍然属于个人信息」。因为它保留了复原的可能性——只要还有映射表、主键、原始日志，借助额外信息就能还原。

匿名化，指个人信息经过处理无法识别特定自然人且不能复原。只有达到这一步，才依第四条第一款退出个人信息范畴。

实务中企业常做的「脱敏」，多数只是把姓名打码、手机号中间四位替换成星号，原始数据仍完整保存在数据库里——这是典型的去标识化，不是匿名化。要主张匿名化，需要提供技术验证报告，证明不可逆、不可复原、无法通过与其他数据比对重新识别。

处境六：人已经去世了

死者不是民事主体，不享有个人信息权益，但个人信息保护法第四十九条给了一个特别安排：自然人死亡的，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使查阅、复制、更正、删除等权利，死者生前另有安排的除外。

这一条常被误读成「近亲属可以继承死者的个人信息」。不是继承，是「为自身合法正当利益」而行使特定权利。所以近亲属要求调取死者的账户聊天记录，如果目的只是「想知道他生前说了什么」，很难成立；如果是为了处理遗产、追究侵害死者名誉的行为、办理保险理赔，则可以。死者生前明确表示不许他人查阅的，近亲属也不能行使。

识别性判断的三层，与匿名化的技术边界

判断一条数据是不是个人信息，实务中按三层往下走，任何一层通过即成立。

第一层：单独识别

单独一条数据就能锁定特定自然人。姓名加身份证号、护照号、手机号、银行卡号、人脸图像、指纹模板、电子邮箱、车牌号，都属于这一类。这一层没有争议。

第二层：结合识别

单独看不出是谁，但与收集者掌握或者可以合法获取的其他信息一结合，就能锁定。设备号、Cookie、IP 地址、订单号、会员卡号、社交账号、游戏 ID，都属于这一类。

这一层的判断容易出现两个极端。一个极端是收集者说「我只有设备号，看不出是谁」，忽略了自身掌握的其他数据；另一个极端是当事人说「任何数据只要多想一步都能关联到人」，把识别可能性无限放大。合理的标准是「合理可能性」：考虑识别所需的时间、成本、技术手段，以及数据控制者实际具备的条件，而不是理论上的无限可能。

第三层：间接识别与再识别

数据经过处理之后，通过与其他数据集比对重新识别出个人。典型的例子是「匿名化」公布的统计数据，与另一份公开数据交叉比对后还原出个人。这一层在数据交易、科研数据开放、政府数据公开中问题最集中。

判断的落点是「复原的可能性」：是否需要额外的、不易获取的信息；复原的技术门槛与成本有多高；有没有实际发生过复原。企业主张匿名化免责时，这三点是审查重点。

匿名化要过四道技术检验

第一，不可逆。处理过程不能保留原始数据的任何可还原映射。删除映射表、销毁原始日志、不做主键关联，是基本要求。

第二，不可复原。不能通过与其他数据集的比对重新识别。这就要求评估数据本身的独特性——出生日期加邮编加性别这三项，就足以唯一识别相当比例的人口，这是统计学上著名的结论。所谓「匿名化」的数据集里保留着这三项， anonymity 是假的。

第三，不能通过差分攻击还原。多次发布不同版本的统计数据，通过比对差异可以推断出个体信息。这类攻击在数据开放领域已有实际案例，评估时应当考虑。

第四，留存验证记录。技术上做过什么处理、达到什么效果、由谁验证，都要有书面材料。没有记录的「我们做过匿名化处理」，在诉讼中基本等于没说。

需要说明的是，个保法对匿名化的要求是「无法识别且不能复原」，这是一个很高的门槛。绝大多数企业宣称的匿名化，实际只是去标识化。

法条依据

与相邻概念的区别

三者中最容易混、也最值得纠正的，是「个人信息」与「隐私」。二者不是上下位关系，而是交叉关系：一部分个人信息完全不私密，例如昵称、设备型号、公开的浏览偏好，只走个保法路径；一部分隐私内容未必被记录，例如当面交谈的内容，只走隐私权路径；重叠的那部分叫私密信息，民法典明确其优先适用隐私权规定。办案时若不加区分，把个人信息纠纷一律冠以「侵犯隐私权」，请求权基础就会被质疑。

次容易混的是「匿名化」与「去标识化」。去标识化只是降低了直接识别的可能，借助其他数据仍可能复原，因此仍在个人信息范围内，处理者义务不减；只有达到不能识别且不能复原的程度，才是匿名化，才退出个人信息范畴。企业常把脱敏处理当成匿名化来主张免责，这个主张在技术上很难成立。

三层规则怎么选：隐私、私密信息、敏感个人信息

一条具体的信息，可能同时落入三个概念，也可能只落入其中一个。选错层级，请求权和举证方向就全错。这一节把三层关系讲透。

第一层：隐私

判断的是「不愿为他人知晓」。核心是私人生活安宁与私密空间、私密活动、私密信息。这一层的法律依据在民法典人格权编，保护的是人格利益。

第二层：私密信息

它是个人信息与隐私交叉的部分。第一千零三十四条第三款的规则是：个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。

这条规则的实务含义是「隐私权优先」。举例说，医院泄露患者病历。病历既是个人信息，也是私密信息。当事人起诉时，先按隐私权主张，依据是第一千零三十二条、第一千零三十三条第五项；隐私权规定不到的细节，比如查阅复制、更正的具体程序，再回到个人信息保护的规定。

第三层：敏感个人信息

判断的是「泄露后的客观危害」。依据是个保法第二十八条，处理须满足特定目的、充分必要性、严格保护措施三项，还须取得单独同意。六类列举与四项加重义务的展开见敏感个人信息。

三层不是包含关系

最容易犯的错误是画成三个同心圆，以为「敏感的＞私密的＞一般的」。实际是交叉。

举三个例子说明。

例一：一个人的网购订单。它属于个人信息，通常不具私密性（买了什么不算隐秘），也不属于敏感个人信息（除非是药品、成人用品，可能滑向医疗健康）。只走个保法路径。

例二：一段当面谈话的内容。它属于私密活动，受隐私权保护，但因为没有被记录，不构成「个人信息」。只走隐私权路径。

例三：一个人的行踪轨迹。它同时属于个人信息、私密信息、敏感个人信息。三层规则同时适用：隐私权优先（停止侵害、删除），个保法的单独同意与严格保护义务叠加，处理者还须事前做影响评估。三套义务并行，不是选一个。

三层判断的顺序

实务中按下面的顺序走，不容易乱。

第一步，问「这是不是个人信息」，即能不能识别到特定自然人。不能的，个保法不适用，但可能仍是隐私（如未被记录的口头交谈内容）。

第二步，问「是不是不愿为他人知晓且具有合理性」。是的，构成私密信息，隐私权优先适用。

第三步，问「泄露后是否易致人格尊严受损或人身财产安全受危害」。是的，构成敏感个人信息，个保法的加重要求启动。

三步都否的，仍然是一般个人信息，走法定合法性基础与告知同意规则。

四类特殊主体，规则不一样

员工

职场是个人信息处理最密集的场所。用人单位在处理员工信息时，有一项特殊的合法性基础：个保法第十三条第一款第二项——「按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需」。

这一项常被企业当成万能钥匙，但它有三个限定：必须有依法制定的规章制度（经过民主程序与公示）；必须限于人力资源管理所必需；不能突破最小必要。据此可以处理考勤、薪酬、绩效、社保、岗位资质等信息；不能据此处理员工的病历全文（只能收集是否适合岗位的结论）、私人社交账号、家庭成员详细信息、行踪轨迹。

员工离职后的信息处理，是另一个高发问题。离职即目的实现，原则上应当删除或者作匿名化处理；因竞业限制、劳动争议举证等需要保留的，应当限于必要范围与必要期限，并告知员工。把离职员工的身份证照片、银行卡号长期留在系统里，没有正当理由。

消费者

电商、外卖、出行平台收集的信息量最大。判断合法性基础时，要看收集是否「为订立、履行合同所必需」。收货地址、联系电话属于必需；通讯录、相册、位置（除配送需要）、设备上安装的应用列表，不属于必需。

「不授权就不让用」是高频违法形态。个保法第十六条明确：不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。所以基础功能与数据收集捆绑，属于违法。

个性化推荐是另一块。依第二十四条，通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。很多 App 只给「关闭个性化推荐」的入口藏在四层菜单里，这种「便捷」是打折扣的。

未成年人

不满十四周岁未成年人的个人信息，属于敏感个人信息。处理须取得父母或者其他监护人的同意，并制定专门的个人信息处理规则。

这条规则对游戏、短视频、教育类应用的压力最大。年龄核验怎么做、监护人同意怎么验证、拒绝后能不能继续提供基础服务，都是实操难点。近年监管的执法重点，也从「有没有规则」转向「规则有没有真的执行」。

租客与业主

小区门禁刷脸、车位登记、访客登记、快递柜绑定，都会收集个人信息。物业的判断标准有三条：是否为小区安全管理所必需；有没有提供替代方案（刷卡、密码、人工登记）；有没有过度收集（比如登记访客的身份证号、工作单位、来访事由的详细描述）。

强制刷脸是明确的问题。人脸属于敏感个人信息，须单独同意；业主不同意刷脸的，物业应当提供其他合理的通行方式，不能以「不刷脸就不让进」相要挟。这一点在多个案例与监管文件中都被确认。

举证：三个最常见的错误

错误一：以为要先证明「对方泄露了」

个人信息侵权案件的举证责任，比多数人想的轻。个保法第六十九条采过错推定：处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。

所以原告要证的是三件事：自己的信息被处理了；自己受到了损害；处理与损害之间有条件关系。至于「处理者有没有过错」，由处理者自证。这个举证结构对个人有利，很多人不知道，白白放弃了主张。

错误二：只盯着「泄露」，忘了「违法处理」

泄露只是侵害的一种。未经同意收集、超出范围使用、未告知就共享给第三方、超期保存、拒绝删除、拒绝查阅复制，都是独立的违法行为，都可以主张，不以「已经泄露并造成损失」为前提。

请求停止侵害、删除、更正、查阅复制，属于防御性请求，不要求证明损害。这一点在实操中最有用：发现 App 过度收集，不必等到被诈骗了才能维权，直接要求删除与停止处理即可。

错误三：起诉时把请求权基础写混

常见的写法是「被告侵犯原告隐私权及个人信息权益，请求赔偿」。这种笼统写法在庭审中容易被追问：到底主张哪一个？

正确的写法是分层。第一层主张隐私权（如果是私密信息），列明具体的侵害方式对应第一千零三十三条哪一项；第二层主张个人信息权益，列明违反了哪一条义务（未告知、未取得同意、超出必要范围、拒绝删除等）；第三层主张损害赔偿，援引第六十九条的过错推定。三层各写各的请求，法院驳回其中一层，不影响其他层。

证据从哪来

个人取证最难的是「证明对方有什么数据」。有几个可用的路径。

一是行使查阅复制权。依第四十五条，个人有权向处理者查阅、复制其个人信息；处理者应当及时提供。书面提出、保留送达凭证，对方拒绝或者拖延，本身就是违法，可以据此投诉或起诉。这是最有价值的一步，很多人跳过它直接去猜。

二是要求说明。依第四十八条，个人有权要求处理者对个人信息处理规则进行解释说明。

三是借助监管。向网信、市场监管、通信管理部门投诉，监管部门的调查笔录与处理结果，可以在民事诉讼中作为证据使用。

四是诉讼中的调查取证申请。起诉后申请法院责令对方提交相关数据，对方无正当理由不提交的，可以作出不利推定。

民事之外：行政与刑事两条线

个人信息被侵害，多数人只想到打官司。实际上行政投诉与刑事报案在某些场景下更有效，而且三条线的门槛完全不同——民事上不构成侵权的行为，刑事上可能已经入罪；反过来，民事上明显侵权的，未必够得上报案标准。

行政线

主管机关有三家。网信部门管违法收集使用、违法信息内容，举报入口是 12377；通信管理部门管 App 与骚扰电话垃圾短信，入口是 12321；市场监管部门管商业营销中的个人信息滥用，入口是 12315。行业另有专门监管，比如金融信息找金融监管部门，医疗健康信息找卫健部门，快递信息找邮政管理部门。

行政投诉的优势是快、免费、不需要请律师。劣势是结果多为责令整改、警告、罚款，个人拿不到赔偿。所以常见策略是「行政投诉 + 民事起诉」并行：行政投诉迫使对方整改与交出说明，民事起诉争取赔偿。

刑事线

刑法第二百五十三条之一规定了侵犯公民个人信息罪。入罪标准在司法解释第五条，核心是三条数量线：

第一条线最严：行踪轨迹信息、通信内容、征信信息、财产信息，五十条以上即属情节严重。这四类之所以门槛最低，是因为它们直接关系人身与财产安全。

第二条线居中：住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的个人信息，五百条以上。

第三条线最宽：上述以外的其他个人信息，五千条以上。

除数量之外，还有几种不靠数量也能入罪的情形：出售或者提供行踪轨迹信息被他人用于犯罪；明知他人利用信息实施犯罪仍出售提供；违法所得五千元以上；将在履行职责或者提供服务过程中获得的信息出售提供，数量或数额达到前述标准一半以上；曾因侵犯公民个人信息受过刑事处罚，或者二年内受过行政处罚，又实施同类行为。

单位犯罪的，对单位判处罚金，并对直接负责的主管人员和其他直接责任人员按自然人犯罪的标准处罚。这一点对企业管理层意义重大——很多企业以为「公司行为公司担」，实际负责人一样要承担刑事责任。

实务中报案常遇到的障碍是「你怎么证明是他泄露的」。可行的方法有三个：提供信息泄露的独特标记（比如给不同渠道留不同的姓名写法、不同的门牌号后缀），据此定位泄露源；要求公安机关调取平台的账号登录记录、数据传输日志；提供信息出现在对方手中的完整链条（通话录音、聊天记录、交易凭证）。

三条线怎么排序

人身安全受威胁、涉及敲诈勒索、涉及大量信息买卖的，先报警。内容正在传播的，先发平台通知删除，同时投诉。只是要求删除、更正、停止处理的，直接行使个人权利，不必起诉。要求赔偿且金额明确的，起诉。

实操指引

• 第一步，先做识别性测试。 把争议数据单独拿出来问一句「能不能锁定某个人」；不能的话，再问「加上本单位掌握的其他数据能不能」。只要后一个答案是能，就属于个人信息。

• 第二步，判断匿名化还是去标识化。 看是否保留可复原的映射关系：保留主键、保留映射表、保留原始日志的，都是去标识化。想退出个人信息范畴，必须做到不可逆且不可复原，并留存技术验证记录。判断要点的展开见什么才算个人信息：定义四个要件，匿名化是条分水岭。

• 第三步，再查是否落入私密信息。 属私密信息的，优先适用隐私权规则，主张停止侵害、删除、赔礼道歉；不具私密性的，走个保法路径，主张告知、同意、删除等权利。两条路径的举证重点不同，不能混着写。

• 第四步，按类型确定处理要求。 一般个人信息适用合法性基础与告知同意规则；属敏感个人信息的，还须满足特定目的、充分必要性与严格保护措施，并取得单独同意。这一步的错漏最集中。

• 第五步，梳理全生命周期。 收集、存储、使用、加工、传输、提供、公开、删除八个环节逐一过一遍，找出未告知、未取得同意、超范围使用、超期保存的点。企业侧的合规清单与红线另可按行业规定逐项对照。

• 第六步，出事后先固定损失与因果。 信息被泄露、被转卖的，要保存泄露来源线索、收到骚扰或诈骗的记录、与平台的沟通记录。能否索赔以及索赔路径见个人信息被平台泄露，可以索赔吗？。

常见问题

公司名下的客户名单，算不算个人信息？

要看名单内容。只含企业名称、地址的，属企业信息，不是个人信息；含联系人姓名、手机号、职务的，就构成个人信息，处理须有合法性基础。员工离职带走客户名单引发争议时，既要考虑商业秘密，也要考虑个人信息，两条路径并行。

我在网页上的浏览记录、Cookie 算个人信息吗？

多数情况算。设备识别码、用户标识单独看未必指向身份，但与账号、手机号结合即可识别特定自然人，符合「与其他信息结合识别」的要件。因此个性化推荐、自动化决策同样受个保法规制。

已经公开的企业工商信息里的手机号，还能当个人信息处理吗？

仍属个人信息，只是可能落入无需同意的法定情形。个保法允许在合理范围内处理已合法公开的个人信息，但民法典第一千零三十六条第二项附有但书：权利人明确拒绝或者处理该信息侵害其重大利益的除外。

我把手机号给了商家，商家转手卖给别的公司，这算谁的错？

商家。向其他个人信息处理者提供个人信息，依第二十三条，应当告知接收方的名称、联系方式、处理目的、处理方式与信息种类，并取得单独同意；接收方应当在上述范围内处理。没有单独同意就转手，商家违法，接收方也违法。维权时可以同时向两家主张，路径是要求删除、停止处理，并向网信部门或市场监管部门投诉。

招聘网站上的简历被猎头下载后到处转发，能追责吗？

可以。简历包含姓名、电话、工作经历、教育背景，是典型的个人信息；猎头把简历转给未经求职者授权的第三方，超出原有处理目的，属于违法提供。求职者可以向平台投诉要求封号，向人社部门与网信部门举报，也可以直接起诉。举证时重点是保存「简历被转发」的痕迹，比如陌生公司来电时对方提及的简历细节。

小区物业要求登记车牌、手机号、身份证号才能办停车位，能拒绝吗？

可以就身份证号提出异议。办停车位需要的是车牌与联系方式，身份证号与停车管理不直接相关，属于超出最小必要范围的收集。可以要求物业说明用途、只提供必要信息，并依第四十五条要求查阅已收集的信息。物业以「不提供就不给办」相要挟的，可以向住建部门与网信部门投诉。

我的信息在某个「查询平台」上能搜到，包括住址和诉讼记录，能要求删除吗？

要分两部分看。裁判文书依法公开的部分，属于已合法公开的信息，平台在合理范围内转载一般具有正当性；但把零散信息拼合成包含住址、联系方式、亲属关系的完整画像，超出了合理范围。依第四十七条，处理目的已实现、无法实现或者为实现处理目的不再必要的，个人有权请求删除；依第四十六条，信息不准确的可以要求更正。实务中的做法是先发书面删除通知，平台不处理的再投诉或起诉。

个人信息被侵害，一定要先证明损失才能维权吗？

不一定。请求删除、更正、停止处理等防御性请求，不以损害为前提；主张损害赔偿的，才需要证明损害与因果关系。个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任，举证责任在被告一方。