维权群里最常见的争论是：对方拿走的只是一串订单号、一个车牌号，算侵犯我的个人信息吗？想弄清个人信息包括哪些，不能靠感觉，要看个人信息保护法第四条的定义——「与已识别或者可识别的自然人有关的各种信息」。这句话里有四个要件，每一个都在划边界；而第（2021 年）这部法真正锋利的地方在第28条：行踪、人脸、病历、账户，一旦归入敏感个人信息，处理门槛直接抬高。本文把这两条放在一起讲，让你拿到任何一条信息，都能判断它落在哪一档、受什么规则管。
先看这三个要点
- 识别是核心：个人信息不限于姓名手机号，凡是能单独或结合其他信息识别到特定自然人的，都是个人信息；头像、设备号、行为记录都可能落在内。
- 匿名化出圈：匿名化处理后的信息不属于个人信息，但去标识化的信息仍然是个人信息——这两个词不是一回事，混淆会出大问题。
- 敏感信息七类：生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，加上不满十四周岁未成年人的全部信息，只有「特定目的＋充分必要性＋严格保护措施」齐备才能处理。
一、条文原文
- 《中华人民共和国个人信息保护法》第四条
- 个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。
- 个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。
- 《中华人民共和国个人信息保护法》第二十八条
- 敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。
- 只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。
二、判断是不是个人信息：五个要件对照
| 要件 | 条文要求 | 判断时的常见疑问 |
|---|---|---|
| 记录方式 | 以电子或者其他方式记录 | 纸质登记表、手写名单同样落在内，不限于电子数据 |
| 主体 | 与自然人有关 | 法人的工商信息、车牌虽挂公司名下的企业信息不算 |
| 识别性 | 已识别或者可识别 | 不需要直接写出姓名；订单号＋手机尾号能锁定到人，就算 |
| 排除项 | 匿名化处理后的信息 | 统计报表里彻底无法复原个体的数据，才出圈 |
| 处理行为 | 收集、存储、使用、加工、传输、提供、公开、删除等 | 只「存着不用」也是处理，删除同样是处理行为 |
「可识别」三个字是这条法律的伸缩口。单独看一个设备号识别不了人，但设备号＋行为日志＋IP 归属地，在平台自己的数据库里往往就能定位到具体用户。判断时用的是结合场景的综合识别标准，不是拿着单条信息孤零零地问「这能不能看出是谁」。
三、敏感个人信息为什么单独一档
第二十八条的划分逻辑写在定义本身：一旦泄露或者非法使用，容易导致人格尊严受侵害或者人身、财产安全受危害。人脸被冒用可能让人丢掉账户甚至背上门禁黑名单；行踪轨迹被跟踪直接威胁人身安全；医疗健康和金融账户泄露，后果从社死到电信诈骗都有。所以这一档信息的处理条件是三重叠加：
- 特定的目的——不能笼统说「为了改善服务」，要落到具体业务；
- 充分的必要性——不用敏感信息就实现不了这个目的，才轮得到它；
- 严格的保护措施——加密、访问控制、影响评估，一样不能少。
特别提醒家长：不满十四周岁未成年人的个人信息整体按敏感信息对待，处理要取得父母或其他监护人同意，还要制定专门的未成年人信息处理规则。孩子随手填的问卷、上传的照片，都在这条的保护射程内。
四、边界与误区
- 误区一：「去标识化了就不是个人信息」。去标识化只是把直接标识符换成代号，借助额外信息（比如平台手里的对照表）仍能还原到人，所以仍然是个人信息，照样受管。真正出圈的只有匿名化——技术上无法识别且不能复原。
- 误区二：「企业内部数据不算处理」。员工通讯录、客户 CRM、访客登记，都在「收集、存储」的射程内；单位内部使用不豁免保护义务。
- 误区三：「敏感信息只针对非法倒卖」。合法持有一份敏感信息，但没有特定目的、充分必要性和严格保护措施，同样构成违法处理，与是否买卖无关。
- 不适用：自然人因个人或者家庭事务处理个人信息（比如把亲友电话存进手机），不适用本法；彻底匿名化后的统计研究数据不在保护对象之内。
五、延伸问答
问：微信昵称、网名算个人信息吗？ 单看一个昵称识别不了人，但昵称＋头像＋常发内容＋共同好友，在熟人圈里往往能锁定到人——这就落进「可识别」的范围。判断别拿单条信息孤零零地看，要放回平台实际的识别能力里；平台自己能通过关联数据定位到人的，就按个人信息管理。
问：工号、员工邮箱算吗？ 算。工号在企业内部与具体员工一一对应，员工邮箱直接指向自然人，属于已识别的信息。企业处理这些信息同样要守目的限定与保存期限——离职员工工号关联数据的清理，就是实务里高频的遗漏点。
问：信息「删了」但备份还在，算什么？ 备份里能还原出自然人的，仍是个人信息；「从生产库删了、备份库还躺着」的状态属于存储中的处理活动，照样受保管义务约束。备份的保留期限、访问权限应当与生产库同等管理，到期的备份按期销毁。
问：车牌号算个人信息吗？ 车牌通过车管登记可以对应到车主，属于典型的可识别信息。小区保安抄录业主车牌建黑名单、物业把车牌信息提供给第三方营销，都在处理个人信息的射程内；违章查询类服务批量抓取车牌对应车主的，风险更大。
问：企业做报表用的统计数据怎么才算匿名化？ 要满足「无法识别特定自然人且不能复原」两个条件：既要在统计口径上聚合到无法定位个体，也要确保企业手里没有能反推回个体的对照数据。拿着明细库做「聚合报表」但明细未销毁的，报表之外的处理活动照旧受管。
问：未成年人信息「不满十四周岁」怎么算？ 以周岁计，未过十四周岁生日即属未成年人的敏感信息档，处理须取得监护人同意并制定专门规则；满十四周岁后，一般信息按普通个人信息处理，但涉及敏感类别的（比如健康、行踪），仍按敏感信息的单独同意等规则走。
问：IP 地址、设备号这类技术字段算个人信息吗？ 单独看是技术参数，结合场景就能定位人：IP 归属地加访问时段、设备号加账号绑定关系，都具备识别力。监管实践中，这类字段已被普遍按个人信息对待，收集与共享同样要过目的与告知关。
问：已注销账号的信息还算「可识别」吗？ 注销切断的是服务关系，不必然切断识别能力——平台手里的历史数据若仍能关联到该自然人（哪怕已停用），仍属个人信息；只有处理到无法识别且不能复原，才算真正出圈。这也是注销与删除要分开谈的原因。
问：同事、邻居的言行观察算不算「处理」？ 个人或家庭事务的处理不适用本法（第七十二条），日常社交中的了解、记诵不在法律射程内；但把观察结果整理成名单对外传播、建群共享，就从「家庭事务」滑向了处理活动，性质随之改变。
问：企业采购的第三方名单，用之前要核什么？ 核三样：来源是否合法、授权链条是否完整、范围是否与你的目的匹配。买来的名单不是免责资产——非法获取的信息，下游使用同样违法；来源说不清的名单，进库之前就该拦下。
问：敏感信息的「严格保护措施」有没有清单？ 第五十一条给出了基础框架：分类管理、加密与去标识化、操作权限最小化、人员培训、应急预案；对敏感信息再加影响评估（第五十五条）与单独同意（第二十九条）。措施要与风险程度相称，不是装一个加密软件就交差。
问：判断错档有什么后果差别？ 把敏感信息当普通信息处理，程序上缺单独同意与影响评估，处理行为自始存在瑕疵，可能直接构成违法处理，面临第六十六条的整改与罚款；档判对了，合规路径才谈得上走通——分档不是学理游戏，是责任起点。
问：手写登记表、纸质档案在保护范围内吗？ 在。第四条说的是「以电子或者其他方式记录」，纸质访客登记、纸质病历都是个人信息；纸质档案的调阅、复印、销毁同样要有制度与权限，别以为不上系统就游离在法律之外。
问：敏感信息的清单会扩充吗？ 第二十八条用的是「包括……等」的列举加兜底结构，加上第六十二条授权对新技术新应用制定专门规则，清单是开放式的；判断新品类（如基因数据、神经数据）时，回到定义本身——泄露或非法使用的后果够不够严重。
六、实操建议：拿到信息先做三步分档
- 先问识别性：这条信息单独或结合已有信息，能不能锁定到某个具体的人？能，就按个人信息管理；
- 再对敏感清单：逐项比对第二十八条七类，涉及未成年人的整体升级；落进敏感档的，补齐单独同意、影响评估和加密措施；
- 出圈只有一条路：想做分析报表又想摆脱个保法约束，只能走真正的匿名化，并确保不能复原；只做去标识化的，台账、权限、保密措施照旧执行。
站内《体检报告、行踪轨迹、人脸信息：敏感个人信息为什么要单独同意》《儿童个人信息怎么保护：不满 14 周岁处理规则与家长的权利》《已公开的个人信息能随便用吗：再利用的合理范围怎么认定》对分档后的处理规则有专文展开，可对照使用。
一句话总结：判断个人信息看「可识别」，判断敏感信息看「泄露后果」，判断能不能出圈只认「匿名化且不能复原」——三把尺子量清楚，处理规则才不会用错档。
以上内容为一般性法律知识介绍，不构成正式法律意见。具体案件请结合信息类型与处理场景，咨询执业律师后主张。