声音是个人信息吗

数据合规是一个比较新的领域，很多问题都难以通过公开渠道检索到答案。比如，某个特定的场景抄哪家大厂的作业比较合适。此时，实务人士间的思想碰撞、交流就显得尤为珍贵。
由此，我建立了一个小规模的社群，和朋友们讨论数据合规相关的问题。我相信其中的部分讨论是兼具共性和分享价值的。初步计划每周一次，对群聊内容以问答的形式进行梳理、共享。希望对你有所帮助。
• CONTENT •
「全球数据合规政策介绍网站」
「跨国公司个人信息出境」
「委外催收个人信息处理性质」
「声音是个人信息吗」
「撞库贴标签的合规性」
全球数据合规政策介绍网站
-问：请问是否有介绍全球各地隐私法规政策的网站？
-答：
（1）https://www.dlapiperdataprotection.com/；
（2）https://www.dataguidance.com/。
（注：需科学上网）
跨国公司个人信息出境
-问：如果应公司要求，位于中国境内的自然人直接向服务器在中国境外的系统提供个人信息(该系统由公司全球的第三方供应商管理)，这种情况下的个人信息跨境传输，公司要履行哪些中国法的义务？个保法38条还适用不？
-答1：如果参考GDPR中指引的思路，那么要看具体的数据流，但结论很可能是需要遵守全部个保法的规定
-答2：看起来可能还是和个人信息处理者及相应义务有关。也可以和前些天的相关讨论接续。给定确系境内自然人提供个人信息，从其他表述看，“应要求……直接提供……”似可能意味着相应（主要）决定了处理目的和方式，从而构成相应处理者，进而需要负担中国法下众多相应义务。用核心要件几乎完全一致的GDPR做比较，应同上。之后，唯个人是否构成共同处理者、从而影响责任与义务有疑。由国内现具法条与释义难以定论（当然，确实已有些许讨论）。仍用GDPR。一方面，组织与其成员可能构成共同控制者（两地具体表述不同），已无疑（例如，见Jehovah Witness等案）；一方面，主体得否认定为控制者争议仍大（各国DPA和评注意见多不一）。此外，作为判断控制者优先要件的目的似不由个体决定。综上，个体难以作为（共同）控制者*。尽管如此，这些都是基于少许事实的推测，且比较的权重很大，不能作为具体分析时的根据。
-答3：这么看来，境外接收方也是处理者，受个保法调整了，也要履行第38条要求的相关前置程序。此外，第53条在境内设置联系机构也十分重要。
-答4：需要明确这里的“公司”是指中国境内的外企（中国法人），还是指一个外国公司（外国法人）。如果是指前者，PIPL肯定是直接适用的，包括第38条还有其他数据跨境传输的条文。对于这个中国法人的外国关联公司而言，可能既构成受托方（所以严格讲仅有PIPL下的委托处理要求会适用），也可能与中国公司一道构成共同处理者（所以PIPL的所有条文都会适用，但实务操作上还是由中国法人来代表履行法律义务）。很多外企用全球部署的Workday，都有这种问题。
-答4：首先判断个保法下的角色，再看谁来做跨境义务。个保法下的出境针对的身份主体是个人信息处理者，不包括委托处理下的受托方，另外，个人认为针对境外接收方如何遵循我国规定，从数安条例和数据出境评估办法两个征求意见稿，这个义务貌似倾向于压给境内公司做好尽职调查。
委外催收个人信息处理性质
-问：银行的贷款合同中有约定会委外催收。贷款人逾期后，银行把贷款人的名字、电话和逾期信息给了催收公司，催收公司直接打电话向贷款人催收。这种情况属于委托处理还是对外提供？
-答1：委托外呼和催收之前讨论都是典型的委托处理，有几家消费贷款类公司的隐私政策都这么披露了。
-答2：是委托处理，如果做得好也可以不给真正的号码，可以像美团饿了么那种加密的号码。
-答3：不过虚拟号码+刘先生欠某银行X万元+已逾期，我倾向于还是去标识信息。将委外催收解释成委托处理，如果隐私政策已经更新且用户确认的话，或者签了合同，就闭环了？委托处理无须单独同意，隐私政策覆盖即可。
-答4：个人认为这样没有闭环。个保法没有明确规定委托处理要单独同意这可能也是主流观点，但这不代表不一定需要同意。退一步讲，委托处理要有合法性基础，如果不是基于同意，总得找到别的合法性基础（例如贷款合同里是不是可以安排好相关条款），而不能因为是委托处理不用同意就万事大吉了。至于委托处理告知义务，个人认为是受17条约束。委托处理甚至要做PIA呢。个人觉得没那么轻松。
-答5：我觉得个人信息用途发生变化了，从借贷场景到三方公司催收。此外，贷款业务双方处于不平等地位，容易产生霸王条款，也需要关注。
-追问：委托处理需要告知吗？
-答6：个人认为，委托处理个人信息也是处理个人信息的行为，应该是受17条调整的。但张新宝、程啸、江必新&郭锋几位老师的书都没有提到这个问题。
声音是个人信息吗
-问：未经许可私下录音，且录音中包含可识别自然人的个人信息，这种情况下算违法收集个人信息吗？录音无法识别出自然人，是否属于个人信息？声音是否属于个人信息呢？具体场景是在内部调查（员工或第三方）时悄悄录音，用于解雇员工或诉讼证据。
-答1：这个场景跟在景区拍照一样，大概率是个人信息。
-答2：声音可以提取出来声纹信息。等于说声纹信息的原料，所以它可能是个人信息。和照片原图与生物识别信息一样，在金融行标分别是C2和C3。然后其次，通话内容里面也可能含有可识别到个人的信息，还有可能含有隐私。所以大概率是个人信息。
-答3：基于同意的处理都可以撤回，但明显法律法规还没完善到涵盖所有不用履行告知义务的情形。这个问题还可以延伸到合规调查当事人的删除权。
-答4：可以参考吴声威诉爱奇艺的案子，此案件中爱奇艺将吴律师观影记录提交作为证据。隐私问题，吴声威VS爱奇艺谁对谁错？
-答5：声音是具有识别性的吧。比如我们一听这个歌声就是周杰伦的声音，虽然不是唯一识别符，但是是可以与其他信息结合进而识别的。
-答6：虽然有些案例显示，私下录音不会被法院采信。但是最高院曾有过案例，私自录音不必然导致证据无效。详见：私自录音是否能作为定案证据？
-答7：如果是在GDPR下，争议应该不大。各国DPA和法院有不少决定或案例。主要还是如何说理。有的可能认为声音当然地属于，有些许可能会具体考虑从相应声音识别至特定个体的难度（例如，ECLI:NL:RBMNE:2020:24），要结合特定的声音语境、语音语调这些因素。
-追问：那是不是我在路上听到有人表演唱歌，录了一段就侵犯个人信息了呢？
-答8：类似景区拍照，如果教条理解个保法，我觉得甚至可以说是：信息主体自愿公开的信息。
-答9：景区拍照和录音，我觉得都侵权了，只是被侵权人不知悉，且没啥危害性。不过一旦发现你发在微博了，可以让你删。
-答10：期待实务里面能有当事人依据个保法挑战录音证据等各类证据的合法性，我都不敢想各级法院的判决会有多有趣。
撞库贴标签的合规性
-问：大家如何看待撞库贴标签的合规性？比如，标签是否属于个人信息？是否需要单独同意？是否符合必要性原则？
-答1：曾经有个客户想做，但怕被认定为是买卖数据，毕竟这种撞库匹配-丰富标签，拿信息主体的授权同意是不太可能的。
-答2：这种服务对外输出的标签暂不论，但手机号来回传，即便脱敏，但也都可以对应双方自有库内的个人，应该属于个人信息。
-答3：群聊里我请教过哈希值能不能再倒推回来的问题，当时群里几位老师耐心讲解过的。即使是拿哈希值来做匹配，我还是觉得撞完库所丰富回来的标签，依然不能完全剥离被认定为个人信息的风险，毕竟技术上如果想做是能重新识别回去的。详见：煮酒言规 | 第001期
-答4：用哈希值来做不同数据库里面的桥梁，在这种场景下哈希ID看起来挺能识别，挺能对应到个人的。
-答5：单独同意应该需要落实，而且信息流是双向的。给出的信息是：哈希+某人是某公司的客户，回来的信息是：哈希+标签。
-答5：某信息（数据）是否属于个人信息，有两个判断标准：identified或identifiable，直观来看，从哈希值无法识别出个人身份，但如果配合其他信息可分析出这个哈希值对应的原始信息的话，则这个哈希值可能算是个人信息。“标签” “脱敏后的手机号”是否构成个人信息的问题类似，也是要看情况。哈希值不能倒推出原始信息，哈希运算不可逆，也不能等同于是加密，因为能加密就能解密（只要有密钥），只能基于已有的“原始信息-哈希值”对照表去反查，比如“手机号-用某哈希算法算出来的哈希值”。这个对照表要么是“来一个，计算一个”（如对一批已知的手机号进行哈希处理）。在此情况下，哈希值可作为系统间做检索的“桥梁”（类似去标识化处理），从而可能反向查出原始信息（对应到个人身份）；要么是自己穷举出一个巨大的库（彩虹表），从这个库中查。这种情况，构建这个库的代价通常是很大的（算法越强，库越大），很多时候不值得这么做（投入1万块的成本去搞100块钱）。再者，如果原始数据是加“盐”后哈希处理的，那么在不知道这个“盐”的情况下，构造的哈希值库也没有利用价值（先不谈构造库的成本），因为原始信息的任何变动都会导致哈希值的不同（暂且忽略哈希碰撞这种极低概率的情况）。