个人信息

一句话定义：个人信息，是以电子或者其他方式记录的、能够单独或者与其他信息结合识别特定自然人的各种信息，不包括匿名化处理后的信息；它是个人信息保护法全部规则的适用起点——先判断一条数据是不是个人信息，才谈得上处理是否合法、权利人能否行权。

构成要件

一、载体要件：必须以电子或者其他方式记录。 民法典第一千零三十四条第二款与个保法第四条第一款都把「以电子或者其他方式记录」写在前面。口头闲聊中提到的某人的情况、尚未被记录的观察，不构成个人信息；一旦被录入系统、写进表格、存入服务器，就成为受规制的对象。

二、识别要件：单独识别或者结合识别，二者居其一即可。 民法典的表述是「能够单独或者与其他信息结合识别特定自然人」。这意味着范围相当宽：单独一条身份证号当然是个人信息；单独一个设备识别码、一串订单号看似无意义，只要与平台掌握的其他数据一结合就能锁定某人，同样属于个人信息。「我觉得看不出是谁」不是判断标准。

三、关联要件：要与已识别或者可识别的自然人有关。 个保法第四条第一款的表述是「与已识别或者可识别的自然人有关的各种信息」。民法典强调「识别特定自然人」，个保法强调「有关」，后者范围更宽：不一定要直接指向身份，只要能与某个可识别的自然人建立起关联即可。

四、排除项：匿名化处理后的信息不是个人信息。 个保法第四条第一款明确把匿名化信息排除在外。这是整部法律的真正分水岭——匿名化与去标识化不同，去标识化后借助额外信息仍可能复原，仍在规制范围内；只有达到无法识别特定自然人且不能复原的程度，才退出个人信息范畴。

五、典型列举：法律给了两份清单。 民法典列举姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等；司法解释在刑事口径下列举姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。两份清单都带「等」字，属于开放列举。

六、与隐私的交叉由第一千零三十四条第三款处理。 个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。这是本条最容易被忽略的一款，也是把「个人信息」与「隐私」分开的关键，概念辨析见隐私。

七、「处理」的范围很宽，几乎涵盖全生命周期。 民法典第一千零三十五条第二款规定，个人信息的处理包括收集、存储、使用、加工、传输、提供、公开等；个保法第四条第二款还加上了删除。从采集到销毁，每一个环节都受规制，详细规则见个人信息处理。

八、刑事口径与民事口径略有差异。 刑法意义上的「公民个人信息」除识别身份外，还包括「反映特定自然人活动情况」的信息，判断基准是司法解释而非民法典。民事上不构成侵害的行为，未必在刑事上安全，二者的数量门槛与后果完全不同。

九、死者个人信息另有规则。 自然人死亡后，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使查阅、复制、更正、删除等权利，死者生前另有安排的除外。这一点常被误认为「人没了信息就没了」。

法条依据

与相邻概念的区别

三者中最容易混、也最值得纠正的，是「个人信息」与「隐私」。二者不是上下位关系，而是交叉关系：一部分个人信息完全不私密，例如昵称、设备型号、公开的浏览偏好，只走个保法路径；一部分隐私内容未必被记录，例如当面交谈的内容，只走隐私权路径；重叠的那部分叫私密信息，民法典明确其优先适用隐私权规定。办案时若不加区分，把个人信息纠纷一律冠以「侵犯隐私权」，请求权基础就会被质疑。

次容易混的是「匿名化」与「去标识化」。去标识化只是降低了直接识别的可能，借助其他数据仍可能复原，因此仍在个人信息范围内，处理者义务不减；只有达到不能识别且不能复原的程度，才是匿名化，才退出个人信息范畴。企业常把脱敏处理当成匿名化来主张免责，这个主张在技术上很难成立。

实操指引

• 第一步，先做识别性测试。 把争议数据单独拿出来问一句「能不能锁定某个人」；不能的话，再问「加上本单位掌握的其他数据能不能」。只要后一个答案是能，就属于个人信息。

• 第二步，判断匿名化还是去标识化。 看是否保留可复原的映射关系：保留主键、保留映射表、保留原始日志的，都是去标识化。想退出个人信息范畴，必须做到不可逆且不可复原，并留存技术验证记录。判断要点的展开见什么才算个人信息：定义四个要件，匿名化是条分水岭。

• 第三步，再查是否落入私密信息。 属私密信息的，优先适用隐私权规则，主张停止侵害、删除、赔礼道歉；不具私密性的，走个保法路径，主张告知、同意、删除等权利。两条路径的举证重点不同，不能混着写。

• 第四步，按类型确定处理要求。 一般个人信息适用合法性基础与告知同意规则；属敏感个人信息的，还须满足特定目的、充分必要性与严格保护措施，并取得单独同意。这一步的错漏最集中。

• 第五步，梳理全生命周期。 收集、存储、使用、加工、传输、提供、公开、删除八个环节逐一过一遍，找出未告知、未取得同意、超范围使用、超期保存的点。企业侧的合规清单与红线另可按行业规定逐项对照。

• 第六步，出事后先固定损失与因果。 信息被泄露、被转卖的，要保存泄露来源线索、收到骚扰或诈骗的记录、与平台的沟通记录。能否索赔以及索赔路径见个人信息被平台泄露，可以索赔吗？。

常见问题

问：公司名下的客户名单，算不算个人信息？ 答：要看名单内容。只含企业名称、地址的，属企业信息，不是个人信息；含联系人姓名、手机号、职务的，就构成个人信息，处理须有合法性基础。员工离职带走客户名单引发争议时，既要考虑商业秘密，也要考虑个人信息，两条路径并行。

问：我在网页上的浏览记录、Cookie 算个人信息吗？ 答：多数情况算。设备识别码、用户标识单独看未必指向身份，但与账号、手机号结合即可识别特定自然人，符合「与其他信息结合识别」的要件。因此个性化推荐、自动化决策同样受个保法规制。

问：已经公开的企业工商信息里的手机号，还能当个人信息处理吗？ 答：仍属个人信息，只是可能落入无需同意的法定情形。个保法允许在合理范围内处理已合法公开的个人信息，但民法典第一千零三十六条第二项附有但书：权利人明确拒绝或者处理该信息侵害其重大利益的除外。

问：个人信息被侵害，一定要先证明损失才能维权吗？ 答：不一定。请求删除、更正、停止处理等防御性请求，不以损害为前提；主张损害赔偿的，才需要证明损害与因果关系。个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任，举证责任在被告一方。