01、引言
在信息化社会的快速发展下，个人信息的保护愈发受到人们的关注。个人信息可识别性作为信息保护的核心要素之一，其定义与理解直接关系到个人信息的保护范围和力度。笔者将从实务律师的角度，结合各方观点，对《个人信息保护法》中的个人信息可识别性进行浅析，以期为相关实践提供有益参考。
02、个人信息可识别性研究的重要意义
（一）个人信息可识别性研究对个人的重要意义
每个人都有与之密切相关的个人信息，个人信息中承载着代表其个人身份的生理标识、社会标识，因此个人信息具有明显的人格利益。但个人信息需要通过法律加以保护的前提之一是通过个人信息可以定位到个人，若不存在识别到特定自然人的可能性，没有到达可识别的程度，则不能归入《个人信息保护法》定义的个人信息范畴。对于身处信息大爆炸时代的个人而言，通过界定个人信息的可识别性，可以自行判断哪类信息属于个人信息，进而特别关注和维护个人信息处理过程中的知情权、决定权以及限制或拒绝他人处理的权利，做好个人信息的“守门人”。
（二）个人信息可识别性研究对企业的重要意义
个人信息产生于个人，通过不断交互传播到各个领域，并创造出不同程度的商业价值。因此，个人信息不仅具有人格利益，也具有财产利益。企业在订立、履行合同过程中，可以合理地收集、利用个人信息，并通过大数据分析，改善其商业策略，提升盈利能力。但若超出合理、必要范围，企业可能存在侵犯个人信息的风险。“可识别性”作为个人信息概念的核心要素，其内涵和外延的界定对于明确个人信息的使用边界至关重要，能否认定为个人信息需结合信息本身的可识别程度作出判断。通过学习和掌握个人信息的可识别性，企业可以更合规地开展数据处理和分析，预防企业经营法律风险。
03、个人信息可识别性的定义
《个人信息保护法》的可识别性定义来源于其第四条：“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。”对于《个人信息保护法》的可识别性，来自法信网（最高法网络平台）的法条释义表明：“《个人信息保护法》借鉴了GDPR的规定，采用的是‘关联说’，将个人信息定义为‘已识别或者可识别的自然人有关的各种信息’。”，“‘关联说’更加强调个人信息的相对性，某信息对一些处理者来说可能是个人信息，但对另外一些处理者来说则不是个人信息。”，“三是已识别或可识别到特定自然人。已识别，指特定自然人已经被识别出来；可识别，是指存在识别出特定自然人的可能性。凡是与已识别或可识别的自然人无关的信息，都不属于个人信息。”
根据《个人信息保护法》第四条之规定，个人信息的可识别性核心在于信息与已识别或潜在可识别的自然人之间存在关联，这一定义借鉴了GDPR的思路，采纳了更为灵活的“关联说”。相较于《民法典》中较为严格的“识别说”，即要求信息能单独或与其他信息结合识别特定自然人，《个人信息保护法》的可识别性标准展现了一定程度的宽松，突显了信息的相对性特点。部分学者对此转变的解读，倾向于认为《民法典》对于可识别性的界定可能过于狭窄，不利于全面覆盖个人信息保护的需求。因此，《个人信息保护法》采纳“关联说”可能旨在拓宽个人信息保护的边界，既便于行政及其他执法机构行使个人信息保护的职能，又便于信息主体更有效地维护自身个人信息权益。
04、国内司法判例对个人信息可识别性的认定
在我国司法实践中，对个人信息可识别性的认定一直是一个重要的议题。下面，笔者将结合几个关于《个人信息保护法》出台后较为有代表性的司法判例裁判观点，对个人信息可识别性的认定进行浅析。
案例组一：广东省广州市中级人民法院(2023)粤01民终32870号、广州互联网法院(2022)粤0192民初20966号
在(2023)粤01民终32870号判决书中，法官认为：“案涉显示段某作为原告或者上诉人与某公司的诉讼信息，在中国裁判文书网、中国庭审公开网等可查询或者辨认主体身份，他人可以结合某公司在官网提供的段某完整姓名、庭审视频以及其他相关信息综合识别出段某本人，故前述有关段某的信息属于段某的个人信息。”
在(2022)粤0192民初20966号判决书中，法官认为：“本案主要事实为：法先生公司收集和使用麦海波本人的相关信息，用于其律师业务评价、中介推荐服务等。”、“案涉相关信息为法先生公司通过中国裁判文书网等公共渠道爬取、分析、统计的个人信息，属于已公开的个人信息。”
笔者认为：上述两案均为信息处理者收集信息被采集者的依法公开的信息，被法官认定为个人信息具备可识别性的案例。
两案的主要区别在于：
（一）在(2023)粤01民终32870号中，信息处理者收集的为信息被采集者在相应案件中的案件号、姓名。法院在该案中认定信息处理者收集的个人信息具备可识别性的观点来源于论证了完整姓名与庭审视频以及其他相关信息相结合，存在识别到特定个人的可能性，达到了案件号、姓名与特定自然人相应关联的标准。在(2022)粤0192民初20966号中，信息处理者公开的则为在律师的执业信息，由于执业信息有姓名、执业证号、执业年限等，法院认定可以从公布的律师执业信息可以直接识别到该律师。
（二）在(2023)粤01民终32870号中，对于信息处理者处理个人信息的行为，法院认为：“某公司作为具有资质的企业征信机构，其对来源于裁判文书网等合法公开的数据进行抓取，通过算法对数据进行加工、整合，某公司对段某个人信息的处理行为属于在合理的范围内处理已经合法公开的个人信息的合法行为，亦不属于“对个人权益有重大影响”的情形，不需取得个人同意。”而在(2022)粤0192民初20966号中，法院则认为：“一方面，法先生公司为实现自身的商业目的，采取了更具有侵害性的处理方式；另一方面，该处理活动对个人权益已造成重大影响，个人信息处理者应当取得个人同意。法先生平台为麦海波设定“收费标准”、显示麦海波“执业年限”“胜诉率”“执业证照片”等信息，虚构其在“法先生”平台成功承揽业务次数等数据，均未取得麦海波本人的同意。因此，法先生公司已违反合法、正当、必要等原则，构成了对麦海波个人信息权益的侵害行为。”
结合上述两案可知：
（一）法院认定个人信息可识别性常见两种情形为：
1.具备直接可识别性。
2.被收集信息结合其他案件信息，达到了具备可识别个人的可能性。
（二）值得注意的是，个人信息一旦被确认具备可识别性，其收集行为是否引发法律责任，核心评判标准在于该收集活动是否严格遵循了《个人信息保护法》及相关法律规范的具体要求。举例来说，在(2023)粤01民终32870号案件中，鉴于信息处理主体作为一家资质齐全的企业征信服务机构，其在法律许可的框架内，对已依法公开的个人信息进行有限度、合理化的收集处理，法庭判定此行为符合法律规定，故无须承担侵权赔偿责任。反之，在(2022)粤0192民初20966号案件里，信息处理者虽同样基于公开信息进行收集，但其目的在于商业推广，并且在处理过程中加入了未经验证的附加信息，这种行为被法院视为超出了合法、正当的界限，对信息主体的权利造成了实质性影响。因此，法院判定信息处理者需对信息被收集者承担相应的侵权法律责任。
案例组二：广东省广州市中级人民法院(2022)粤01民终3937号、北京互联网法院（2022）京0491民初22720号
在(2022)粤01民终3937号判决书中，法官认为：“其他如设备信息、位置信息、浏览记录等信息，虽然仅凭借该信息无法识别出特定的自然人，但与其他信息进行结合就可以识别出特定的自然人。因此，周彦聪诉请唯品会公司披露的以上信息属于个人信息的范围。”
在（2022）京0491民初22720号判决书中，法官认为：“不论从识别还是关联角度，对个人信息的访问记录都难以被定义为个人信息，一方面，被告对用户身份证号码等个人信息的展示采取了内容替换、SHA256等脱敏、加密技术，访问者难以识别该身份证号属于原告，另一方面，访问记录也不具备关联特征，不是本案原告在其活动中产生的信息。”
笔者认为：在案例组二所提及的两个案例中，共同点在于信息处理者均涉及收集了信息主体的网络浏览记录。不过，两者的关键区别在于（2022）京0491民初22720号案件中，信息处理者采取了诸如内容替换、采用SHA256加密算法等先进的技术处理手段进行数据脱敏与加密，有效地阻断了浏览记录与其所对应的特定自然人身份之间的直接或间接关联，由此降低了信息的可识别性。基于此，法庭在该案件审理过程中，认定这些经过处理的浏览记录已不具备直接或间接识别特定个人的可能性，因而未将其归类为个人信息。
案例组三：江苏省苏州市姑苏区人民法院(2020)苏0508刑初31号、湖北省黄冈市中级人民法院(2021)鄂11民终3136号、北京市第四中级人民法院(2023)京04民终39号
在(2020)苏0508刑初31号判决书中，法官认为：“首先，手机裸号不能够单独识别特定自然人。虽然我国手机号码已全面实行实名制，每一个手机号码必然对应相关自然人，但非经法定程序进行查询，普通公众无法通过常规、合理的途径直接识别出特定自然人。其次，手机裸号至少需结合姓名或与姓名对应的其他重要或者较多的个人信息才能具体识别特定自然人身份。再次，从被告人的主观目的看，本案中的手机号码均是经筛选具有网贷需求的特定群体的信息，被告人主观上也并不追求每个手机号码背后所关联的特定自然人，其目的仅在于使其交易对象能够与他人建立联系，并以出售手机号码牟利。最后，从危害后果看，本案信息用途在于网贷推销，此类推销行为势必对个人生活造成打扰，但仅凭手机裸号无法形成针对特定自然人详细而准确的整体信息，此时此类信息对个人生活安宁的侵扰程度、对个人人身、财产安全造成的风险均较低，在本案中尚未达到需以刑罚处罚的程度。综上，本案中的手机裸号不属于公民个人信息，在认定信息数量时应当予以剔除。”
在(2021)鄂11民终3136号判决书中，法官认为：“回到本案具体情境中，陈婷在登录个人账号访问百度App及百度贴吧App时，百度公司作为信息处理方，相应服务器均已收集陈婷的电话号码、唯一设备标识符、浏览记录、使用时间、时长等，其中陈婷的电话号码为实名认证号码，IP地址与上述信息的组合能够识别到陈婷在该区域。此时，该区域位置不单纯表达为设备连接网络时的IP地址，同时亦系陈婷在某一时刻（段）所处的城市地理位置，可以认定是陈婷的行踪信息。故本案场景中，百度公司收集陈婷使用设备IP地址形成的城市位置应属于陈婷的个人信息。”
在(2023)京04民终39号判决书中，法官认为：“本案中，涉案账号已实名认证，注册主体是李永卓。李永卓主张查阅、复制的浏览信息，是与已识别的自然人有关的信息，是李永卓在使用账号时的行为记录信息，具有人格利益，应落入《个人信息保护法》的保护范畴。”
笔者认为：在(2021)鄂11民终3136号案例中，法院明确指出，百度公司通过收集用户陈婷设备的IP地址并据此推断的城市位置信息，构成了陈婷的个人信息。相似地，(2023)京04民终39号判决中，法院在确认信息收集行为涉及的电话号码与账号均已完成实名认证的基础上，进一步支持了收集李永卓浏览信息的行为，并认定该信息具有可识别性。对比之下，(2020)苏0508刑初31号案件中，法院裁决手机裸号因缺乏与特定个人的直接关联，不被视为个人信息，不具备可识别性特征。综合这三起案例分析，可以推断，在特定司法情景下，如果信息收集过程中所涉及的储存媒介或账户未经实名认证，这一事实可能成为信息收集者在抗辩中主张所收集信息不具备可识别性的一个合理依据。换言之，信息是否附带实名认证状态，可能成为了评估其是否构成法律意义上个人信息的一个重要考量因素，影响着信息收集行为的合法性与合规性判定。
其他案例：广东省深圳市中级人民法院(2021)粤03民终9583号
在(2021)粤03民终9583号判决书中，法官认为：“1.上诉人王某本案中的“微信好友关系”，属于受法律保护的个人信息。本案中，上诉人王某“微信好友关系”具体体现为上诉人王某同时与“Q”“洪X”等7个账号属于好友关系。由于在案证据不能证明除上诉人王某外，还存在其他主体也同时与“Q”“洪X”等7个账号属于好友关系，因而，该“微信好友关系”即属于账号“亡XXX”的“个性化特征”，从识别作用看，能够与上诉人王某的其他平台信息结合具体特定个人，应当被认定为受法律保护的个人信息。”“虽然仅凭“地区”“性别”这两个信息的结合无法直接识别对应至现实世界的上诉人王某本人，相同地区、性别的用户也同时存在，但根据微信和微视提供的搜索方式，通过搜索昵称方式，结合微信和微视用户的UID、昵称、头像、性别、地区、微信好友关系等个人信息等“个性化特征”结合仍然可识别特定自然人形成个人“信息化形象”，使他人了解特定自然人在视频号上的浏览、发现偏好等信息。”
笔者认为：在(2021)粤03民终9583号案件中，法庭明确指出，微信好友列表中的信息因直接关联至特定个体，被判定具备直接可识别性。至于微信及微视应用程序中“地区”与“性别”的标识，法庭虽认定其单独看似不具备直接识别性，但强调当这些信息与其他数据结合时，存在能够指向特定自然人的潜在性，据此确认了它们的可识别性特征。值得注意的是，法庭在裁判中特别提出，原告所提供的“地区”与“性别”信息经核实为真实的，正是基于这一真实性，这些信息在与其他数据合并后，方能构成识别个人的可能性。法庭进而阐明，法律旨在保护的真实个人信息，意指在互联网平台上公布之信息需为事实，否则，非真实的个人披露并不落入法律保护的个人信息范畴之内。因此，假设原告所提供的“地区”与“性别”信息为虚构，法庭可能会据此推断，这些信息因缺乏真实性，而不具备被法律认可的可识别性，从而影响其受法律保护的资格。
05、部分认定个人信息可识别性的因素
通过对第三部分的上述司法判例的分析，结合实际，笔者归纳出部分认定个人信息可识别性的因素，以供参考：
（一）信息的具体内容：信息的具体内容是否包含能够直接或间接识别出特定自然人的元素。例如：
1.直接识别性信息：直接识别性信息是指那些无需额外信息辅助即可明确指向某一特定自然人的数据元素。这些信息通常包括但不限于个人的姓名、身份证号码、护照号码、电话号码、社保号等。这类信息的敏感性和识别度极高，一旦泄露，即可能直接关联到特定个人，对个人隐私构成直接威胁。
2.间接识别性信息：间接识别性信息单独来看可能不足以直接识别个人，但当它们与其他信息结合时，便能共同指向一个特定的自然人。这类信息通常包括但不限于住址、电子邮箱地址、职业、工作单位、出生日期、IP地址、Cookie数据、特定偏好或行为模式等。
随着大数据分析技术的发展，即便是看似无关紧要的信息，也有可能通过数据分析被用来重构个人身份，因此这类信息同样可能受到严格的法律保护。
（二）信息的组合与关联：在判断信息的可识别性时，需要考虑信息之间的组合与关联。在大数据和数据分析技术背景下，单独看来无害或非敏感的数据，如用户的浏览记录、购物偏好、地理位置记录等，一旦被综合分析，就可能揭示出个人的详细生活轨迹、健康状况、财务状况等高度敏感信息。这种数据聚合效应显著增强了信息的识别能力，要求数据处理者在收集、存储、使用这类信息时应采取更为谨慎的态度。
（三）信息的使用场景：不同的使用场景下，信息的可识别性可能会有所不同。信息的可识别性并非固定不变，而是高度依赖于其被使用的具体情境。
1.比如，一个人的名字在电话簿中可能被认为是公开信息，因为该环境预期是收集并分发联系信息的；然而，同样一个名字如果出现在医疗记录中，就可能成为敏感的个人信息，因其透露了与个人健康相关的私密信息，受到医疗保密相关的法律法规的严格保护。
2.在处理个人信息时，法律通常要求遵循“目的限制原则”，即个人信息的收集和使用应限定于事先明确并告知数据主体的目的范围内。超出该目的范围使用信息，即使信息本身在其他情境下看似不敏感，也可能构成对个人隐私权的侵犯。因此，评估信息的可识别性时，必须考量其是否被用于最初声明的目的之内。
3.信息的可识别性也与预期接收或能够访问该信息的受众有关。在封闭或有限制的环境中，如内部公司通讯录，某些信息可能不会引起隐私关注；但若这些信息被发布到公共互联网上，其可识别性将大大增强，因为潜在的受众无限扩大，增加了个人隐私暴露的风险。
4.在特定使用场景下，如就业、健康、宗教信仰等敏感信息的处理，即使在看似封闭的环境中，也必须遵循更加严格的标准。这些信息往往受到额外的法律保护，因为它们的不当使用更容易导致歧视、偏见或对个人尊严的侵犯。
随着技术发展和社会观念的变化，信息的可识别性及其适用的法律框架也在不断演变。因此，组织和个人在处理信息时，应当定期重新评估信息的使用场景，以期符合最新的法律要求和最佳实践。
（四）信息的技术处理：实务中，若通过有效脱敏技术，信息处理者能切断信息与信息被收集者之间的关联，则个人信息的可识别性在相应案例中则存在不具备可识别性的可能。常见的脱敏方式为：替换法、掩码法、加密脱敏、删除脱敏、匿名化、混淆脱敏、字段变形、动态数据脱敏、统计技术、固定长度替换等。在实务操作中，信息处理者采用前述技术时，需注意以下几点法律考量：
1.尽量保证脱敏方法符合相关法律法规要求，特别是对于敏感信息，可能需要更高级别的保护措施。
2.实施前进行详细的风险评估，考虑脱敏处理是否足以保护个人信息，以及是否存在数据复原的风险。
3.向数据主体说明个人信息处理的方式及目的，包括脱敏技术的应用，以符合信息告知义务。
4.定期审查脱敏措施的有效性，及时调整以应对技术进步和安全威胁的变化。
若被收集信息经前述技术处理后已经属于匿名化处理后的信息的范畴，那么按照《个人信息保护法》第四条第一款后半句的规定，也可能不属于个人信息，换言之，也可能丧失了法律意义上的可识别性。
（五）信息的真实性：虽然《个人信息保护法》的直接要求是关于信息的可识别性，但真实性在某些情况下可能间接影响个人信息的可识别性判断。如果信息本身是虚假的，理论上可能难以直接指向一个具体的、可识别的自然人。因此，信息的真实性可能间接地成为评估其是否构成法律意义上的个人信息的一个考量因素。从(2021)粤03民终9583号案例中可以看出，法院认为“受法律保护的个人信息需要是真实的”，这反映了法律保护的逻辑不仅在于防止对个人隐私的侵犯，还在于维护信息的准确性和个人名誉不受损害。错误的个人信息可能导致对个人名誉的不当评价或误判，因此，力求信息的真实性能更好地实现个人信息保护法的立法目的。这一观点提示信息处理者，在收集、存储、使用个人信息时，不仅要关注信息的可识别性，还要重视信息的真实性。企业或机构在执行数据质量管理时，也应当尽可能建立健全的信息审核机制，避免因错误信息处理导致的法律风险。
06、其他方面
（一）我国《个人信息保护法》与《民法典》对个人信息可识别性界定的衔接问题
郭锋、陈龙业、贾玉慧（三位最高院研究室成员）在《<个人信息保护法>具体适用中的若干问题探讨》一文中从以下两个层面对《个人信息保护法》与《民法典》关于个人信息可识别性的界定衔接问题进行了说明：首先，从文义上看，《民法典》采取的是“识别说”，即能够单独或者与其他信息结合识别特定自然人作为确定该信息是否属于个人信息的标准；而《个人信息保护法》第4条第1款借鉴了欧盟GDPR的标准，在“识别说”的基础上增加了“关联说”，即与已识别或者可识别的自然人有关的各种信息，《个人信息保护法》一定程度上扩张了个人信息的范围。然后，从解释论的角度看，通过扩张解释“识别说”中的“与其他信息结合识别”的外延，可以实现二者之间的趋同。在民事审判中界定个人信息时，由于《个人信息保护法》中的私法规范是《民法典》的特别法，且《个人信息保护法》第4条第1款对个人信息的规定相对明确，不需要通过法律解释方法进行扩张，如不考量溯及力等因素，可以优先适用该规定。
（二）部分其他国家对个人信息可识别性的规定（摘录自程啸《个人信息保护法的理解与适用》）
笔者认为：以上部分国家法律法规中对于个人信息可识别性存在以下共同点与区别点：
1.共同点：
以上法规均着重强调了个人信息的可识别性，体现在两个方面：一是直接明确指出，二是通过一系列间接标识进行确认，这些标识包括但不限于姓名、身份证号码、位置信息、网络标识符，以及与个人的身体特征、生理状况、遗传信息、心理特点、经济活动、文化背景或社会身份相关的多种属性。
2.区别点：
a.欧盟GDPR特别强调了“间接识别”的可能性，并列出了广泛的识别要素，包括经济、文化和社会身份。
b.德国《联邦数据保护法》与GDPR保持高度一致，但在表述上略有简化，未详尽列举所有识别要素。
c.巴西的规定较为简洁，未具体列出识别个人的各种可能标识，侧重于定义的广义适用性。
d.日本《个人信息保护法》不仅包括直接和间接识别的信息，还专门定义了“个人识别符号”，并明确了其适用的具体情境，如身体特征的电子转换和用户识别卡等。
e.韩国《个人信息保护法》除了直接和间接识别外，还提出了“化名信息”的概念，强调了通过化名处理后信息的不可识别性条件。其所指代的“化名信息”与我国《个人信息保护法》第四条第一款后半句中的“匿名化处理后的信息”在定义外延上估计有诸多重合之处。
f.我国台湾地区的“个人资料保护法”定义较为全面，特别提到了基因、性生活、健康检查、犯罪前科等敏感信息，且使用的术语是“个人资料”。
（三）部分学者对个人信息可识别性观点归纳
笔者认为：笔者注意到各位学者虽基于各自的理论立场展开分析，导致在学术视角与逻辑构建上展现出一定差异，但经过比对，提供以下几点共识以供关注：
1.学者们均突出强调了个人信息处理主体的识别能力与行为意图在评价信息可识别性问题上的核心地位。
2.学者们均倾向于采纳一个复合的评判体系，旨在通过多维度的考量以求对个人信息可识别性的判定更为周全且精确。
3.学术们均倾向认为：个人信息可识别性的判定应是一种动态过程，需随科技进步、数据应用情境的变迁而适时调整。
07、加强个人信息保护的建议
（一）提高个人信息安全意识：个人应加强个人信息安全意识，注意保护自己的个人信息，避免将敏感信息泄露给不可信的第三方。同时，也应了解个人信息可识别性的基本概念和重要性，以便在必要时采取相应的保护措施，维护自身合法权益。
（二）建立健全信息保护制度：企业应建立完善的个人信息保护制度，明确信息收集、使用、存储和销毁的规范流程。在收集个人信息时，应遵循合法、正当、必要等相关《个人信息保护法中》的法定原则，并经过用户的明确同意（部分敏感个人信息按照《个人信息保护法》还需要取得信息被采集者的单独同意或书面同意）。同时，企业也应加强内部管理和培训，力争员工遵守相关规定并保护用户个人信息的安全。
（三）加强监管与执法力度：政府部门应加强对个人信息保护的监管和执法力度，对侵犯个人信息权益的行为进行严厉打击。同时，也应加强对个人信息可识别性的认定与保护问题的研究和探索，为相关实践提供有益的指导和支持。
08、结语
在信息化社会的快速发展下，个人信息保护面临着前所未有的挑战和机遇。个人信息可识别性是个人信息保护的核心要素之一。通过深入理解其定义与重要性，并结合各方观点进行解析，我们可以对保护个人信息的安全与隐私有更全面的认知。同时，个人、企业和政府也应共同努力，加强个人信息保护，维护信息主体的合法权益。在对个人信息可识别性存在疑惑时，个人与企业也可以寻求专业机构帮助，以期维护其合法权益及规避业务风险。
在信息化社会的快速发展下，个人信息的保护愈发受到人们的关注。个人信息可识别性作为信息保护的核心要素之一，其定义与理解直接关系到个人信息的保护范围和力度。笔者将从实务律师的角度，结合各方观点，对《个人信息保护法》中的个人信息可识别性进行浅析，以期为相关实践提供有益参考。
02、个人信息可识别性研究的重要意义
（一）个人信息可识别性研究对个人的重要意义
每个人都有与之密切相关的个人信息，个人信息中承载着代表其个人身份的生理标识、社会标识，因此个人信息具有明显的人格利益。但个人信息需要通过法律加以保护的前提之一是通过个人信息可以定位到个人，若不存在识别到特定自然人的可能性，没有到达可识别的程度，则不能归入《个人信息保护法》定义的个人信息范畴。对于身处信息大爆炸时代的个人而言，通过界定个人信息的可识别性，可以自行判断哪类信息属于个人信息，进而特别关注和维护个人信息处理过程中的知情权、决定权以及限制或拒绝他人处理的权利，做好个人信息的“守门人”。
（二）个人信息可识别性研究对企业的重要意义
个人信息产生于个人，通过不断交互传播到各个领域，并创造出不同程度的商业价值。因此，个人信息不仅具有人格利益，也具有财产利益。企业在订立、履行合同过程中，可以合理地收集、利用个人信息，并通过大数据分析，改善其商业策略，提升盈利能力。但若超出合理、必要范围，企业可能存在侵犯个人信息的风险。“可识别性”作为个人信息概念的核心要素，其内涵和外延的界定对于明确个人信息的使用边界至关重要，能否认定为个人信息需结合信息本身的可识别程度作出判断。通过学习和掌握个人信息的可识别性，企业可以更合规地开展数据处理和分析，预防企业经营法律风险。
03、个人信息可识别性的定义
《个人信息保护法》的可识别性定义来源于其第四条：“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。”对于《个人信息保护法》的可识别性，来自法信网（最高法网络平台）的法条释义表明：“《个人信息保护法》借鉴了GDPR的规定，采用的是‘关联说’，将个人信息定义为‘已识别或者可识别的自然人有关的各种信息’。”，“‘关联说’更加强调个人信息的相对性，某信息对一些处理者来说可能是个人信息，但对另外一些处理者来说则不是个人信息。”，“三是已识别或可识别到特定自然人。已识别，指特定自然人已经被识别出来；可识别，是指存在识别出特定自然人的可能性。凡是与已识别或可识别的自然人无关的信息，都不属于个人信息。”
根据《个人信息保护法》第四条之规定，个人信息的可识别性核心在于信息与已识别或潜在可识别的自然人之间存在关联，这一定义借鉴了GDPR的思路，采纳了更为灵活的“关联说”。相较于《民法典》中较为严格的“识别说”，即要求信息能单独或与其他信息结合识别特定自然人，《个人信息保护法》的可识别性标准展现了一定程度的宽松，突显了信息的相对性特点。部分学者对此转变的解读，倾向于认为《民法典》对于可识别性的界定可能过于狭窄，不利于全面覆盖个人信息保护的需求。因此，《个人信息保护法》采纳“关联说”可能旨在拓宽个人信息保护的边界，既便于行政及其他执法机构行使个人信息保护的职能，又便于信息主体更有效地维护自身个人信息权益。
04、国内司法判例对个人信息可识别性的认定
在我国司法实践中，对个人信息可识别性的认定一直是一个重要的议题。下面，笔者将结合几个关于《个人信息保护法》出台后较为有代表性的司法判例裁判观点，对个人信息可识别性的认定进行浅析。
案例组一：广东省广州市中级人民法院(2023)粤01民终32870号、广州互联网法院(2022)粤0192民初20966号
在(2023)粤01民终32870号判决书中，法官认为：“案涉显示段某作为原告或者上诉人与某公司的诉讼信息，在中国裁判文书网、中国庭审公开网等可查询或者辨认主体身份，他人可以结合某公司在官网提供的段某完整姓名、庭审视频以及其他相关信息综合识别出段某本人，故前述有关段某的信息属于段某的个人信息。”
在(2022)粤0192民初20966号判决书中，法官认为：“本案主要事实为：法先生公司收集和使用麦海波本人的相关信息，用于其律师业务评价、中介推荐服务等。”、“案涉相关信息为法先生公司通过中国裁判文书网等公共渠道爬取、分析、统计的个人信息，属于已公开的个人信息。”
笔者认为：上述两案均为信息处理者收集信息被采集者的依法公开的信息，被法官认定为个人信息具备可识别性的案例。
两案的主要区别在于：
（一）在(2023)粤01民终32870号中，信息处理者收集的为信息被采集者在相应案件中的案件号、姓名。法院在该案中认定信息处理者收集的个人信息具备可识别性的观点来源于论证了完整姓名与庭审视频以及其他相关信息相结合，存在识别到特定个人的可能性，达到了案件号、姓名与特定自然人相应关联的标准。在(2022)粤0192民初20966号中，信息处理者公开的则为在律师的执业信息，由于执业信息有姓名、执业证号、执业年限等，法院认定可以从公布的律师执业信息可以直接识别到该律师。
（二）在(2023)粤01民终32870号中，对于信息处理者处理个人信息的行为，法院认为：“某公司作为具有资质的企业征信机构，其对来源于裁判文书网等合法公开的数据进行抓取，通过算法对数据进行加工、整合，某公司对段某个人信息的处理行为属于在合理的范围内处理已经合法公开的个人信息的合法行为，亦不属于“对个人权益有重大影响”的情形，不需取得个人同意。”而在(2022)粤0192民初20966号中，法院则认为：“一方面，法先生公司为实现自身的商业目的，采取了更具有侵害性的处理方式；另一方面，该处理活动对个人权益已造成重大影响，个人信息处理者应当取得个人同意。法先生平台为麦海波设定“收费标准”、显示麦海波“执业年限”“胜诉率”“执业证照片”等信息，虚构其在“法先生”平台成功承揽业务次数等数据，均未取得麦海波本人的同意。因此，法先生公司已违反合法、正当、必要等原则，构成了对麦海波个人信息权益的侵害行为。”
结合上述两案可知：
（一）法院认定个人信息可识别性常见两种情形为：
1.具备直接可识别性。
2.被收集信息结合其他案件信息，达到了具备可识别个人的可能性。
（二）值得注意的是，个人信息一旦被确认具备可识别性，其收集行为是否引发法律责任，核心评判标准在于该收集活动是否严格遵循了《个人信息保护法》及相关法律规范的具体要求。举例来说，在(2023)粤01民终32870号案件中，鉴于信息处理主体作为一家资质齐全的企业征信服务机构，其在法律许可的框架内，对已依法公开的个人信息进行有限度、合理化的收集处理，法庭判定此行为符合法律规定，故无须承担侵权赔偿责任。反之，在(2022)粤0192民初20966号案件里，信息处理者虽同样基于公开信息进行收集，但其目的在于商业推广，并且在处理过程中加入了未经验证的附加信息，这种行为被法院视为超出了合法、正当的界限，对信息主体的权利造成了实质性影响。因此，法院判定信息处理者需对信息被收集者承担相应的侵权法律责任。
案例组二：广东省广州市中级人民法院(2022)粤01民终3937号、北京互联网法院（2022）京0491民初22720号
在(2022)粤01民终3937号判决书中，法官认为：“其他如设备信息、位置信息、浏览记录等信息，虽然仅凭借该信息无法识别出特定的自然人，但与其他信息进行结合就可以识别出特定的自然人。因此，周彦聪诉请唯品会公司披露的以上信息属于个人信息的范围。”
在（2022）京0491民初22720号判决书中，法官认为：“不论从识别还是关联角度，对个人信息的访问记录都难以被定义为个人信息，一方面，被告对用户身份证号码等个人信息的展示采取了内容替换、SHA256等脱敏、加密技术，访问者难以识别该身份证号属于原告，另一方面，访问记录也不具备关联特征，不是本案原告在其活动中产生的信息。”
笔者认为：在案例组二所提及的两个案例中，共同点在于信息处理者均涉及收集了信息主体的网络浏览记录。不过，两者的关键区别在于（2022）京0491民初22720号案件中，信息处理者采取了诸如内容替换、采用SHA256加密算法等先进的技术处理手段进行数据脱敏与加密，有效地阻断了浏览记录与其所对应的特定自然人身份之间的直接或间接关联，由此降低了信息的可识别性。基于此，法庭在该案件审理过程中，认定这些经过处理的浏览记录已不具备直接或间接识别特定个人的可能性，因而未将其归类为个人信息。
案例组三：江苏省苏州市姑苏区人民法院(2020)苏0508刑初31号、湖北省黄冈市中级人民法院(2021)鄂11民终3136号、北京市第四中级人民法院(2023)京04民终39号
在(2020)苏0508刑初31号判决书中，法官认为：“首先，手机裸号不能够单独识别特定自然人。虽然我国手机号码已全面实行实名制，每一个手机号码必然对应相关自然人，但非经法定程序进行查询，普通公众无法通过常规、合理的途径直接识别出特定自然人。其次，手机裸号至少需结合姓名或与姓名对应的其他重要或者较多的个人信息才能具体识别特定自然人身份。再次，从被告人的主观目的看，本案中的手机号码均是经筛选具有网贷需求的特定群体的信息，被告人主观上也并不追求每个手机号码背后所关联的特定自然人，其目的仅在于使其交易对象能够与他人建立联系，并以出售手机号码牟利。最后，从危害后果看，本案信息用途在于网贷推销，此类推销行为势必对个人生活造成打扰，但仅凭手机裸号无法形成针对特定自然人详细而准确的整体信息，此时此类信息对个人生活安宁的侵扰程度、对个人人身、财产安全造成的风险均较低，在本案中尚未达到需以刑罚处罚的程度。综上，本案中的手机裸号不属于公民个人信息，在认定信息数量时应当予以剔除。”
在(2021)鄂11民终3136号判决书中，法官认为：“回到本案具体情境中，陈婷在登录个人账号访问百度App及百度贴吧App时，百度公司作为信息处理方，相应服务器均已收集陈婷的电话号码、唯一设备标识符、浏览记录、使用时间、时长等，其中陈婷的电话号码为实名认证号码，IP地址与上述信息的组合能够识别到陈婷在该区域。此时，该区域位置不单纯表达为设备连接网络时的IP地址，同时亦系陈婷在某一时刻（段）所处的城市地理位置，可以认定是陈婷的行踪信息。故本案场景中，百度公司收集陈婷使用设备IP地址形成的城市位置应属于陈婷的个人信息。”
在(2023)京04民终39号判决书中，法官认为：“本案中，涉案账号已实名认证，注册主体是李永卓。李永卓主张查阅、复制的浏览信息，是与已识别的自然人有关的信息，是李永卓在使用账号时的行为记录信息，具有人格利益，应落入《个人信息保护法》的保护范畴。”
笔者认为：在(2021)鄂11民终3136号案例中，法院明确指出，百度公司通过收集用户陈婷设备的IP地址并据此推断的城市位置信息，构成了陈婷的个人信息。相似地，(2023)京04民终39号判决中，法院在确认信息收集行为涉及的电话号码与账号均已完成实名认证的基础上，进一步支持了收集李永卓浏览信息的行为，并认定该信息具有可识别性。对比之下，(2020)苏0508刑初31号案件中，法院裁决手机裸号因缺乏与特定个人的直接关联，不被视为个人信息，不具备可识别性特征。综合这三起案例分析，可以推断，在特定司法情景下，如果信息收集过程中所涉及的储存媒介或账户未经实名认证，这一事实可能成为信息收集者在抗辩中主张所收集信息不具备可识别性的一个合理依据。换言之，信息是否附带实名认证状态，可能成为了评估其是否构成法律意义上个人信息的一个重要考量因素，影响着信息收集行为的合法性与合规性判定。
其他案例：广东省深圳市中级人民法院(2021)粤03民终9583号
在(2021)粤03民终9583号判决书中，法官认为：“1.上诉人王某本案中的“微信好友关系”，属于受法律保护的个人信息。本案中，上诉人王某“微信好友关系”具体体现为上诉人王某同时与“Q”“洪X”等7个账号属于好友关系。由于在案证据不能证明除上诉人王某外，还存在其他主体也同时与“Q”“洪X”等7个账号属于好友关系，因而，该“微信好友关系”即属于账号“亡XXX”的“个性化特征”，从识别作用看，能够与上诉人王某的其他平台信息结合具体特定个人，应当被认定为受法律保护的个人信息。”“虽然仅凭“地区”“性别”这两个信息的结合无法直接识别对应至现实世界的上诉人王某本人，相同地区、性别的用户也同时存在，但根据微信和微视提供的搜索方式，通过搜索昵称方式，结合微信和微视用户的UID、昵称、头像、性别、地区、微信好友关系等个人信息等“个性化特征”结合仍然可识别特定自然人形成个人“信息化形象”，使他人了解特定自然人在视频号上的浏览、发现偏好等信息。”
笔者认为：在(2021)粤03民终9583号案件中，法庭明确指出，微信好友列表中的信息因直接关联至特定个体，被判定具备直接可识别性。至于微信及微视应用程序中“地区”与“性别”的标识，法庭虽认定其单独看似不具备直接识别性，但强调当这些信息与其他数据结合时，存在能够指向特定自然人的潜在性，据此确认了它们的可识别性特征。值得注意的是，法庭在裁判中特别提出，原告所提供的“地区”与“性别”信息经核实为真实的，正是基于这一真实性，这些信息在与其他数据合并后，方能构成识别个人的可能性。法庭进而阐明，法律旨在保护的真实个人信息，意指在互联网平台上公布之信息需为事实，否则，非真实的个人披露并不落入法律保护的个人信息范畴之内。因此，假设原告所提供的“地区”与“性别”信息为虚构，法庭可能会据此推断，这些信息因缺乏真实性，而不具备被法律认可的可识别性，从而影响其受法律保护的资格。
05、部分认定个人信息可识别性的因素
通过对第三部分的上述司法判例的分析，结合实际，笔者归纳出部分认定个人信息可识别性的因素，以供参考：
（一）信息的具体内容：信息的具体内容是否包含能够直接或间接识别出特定自然人的元素。例如：
1.直接识别性信息：直接识别性信息是指那些无需额外信息辅助即可明确指向某一特定自然人的数据元素。这些信息通常包括但不限于个人的姓名、身份证号码、护照号码、电话号码、社保号等。这类信息的敏感性和识别度极高，一旦泄露，即可能直接关联到特定个人，对个人隐私构成直接威胁。
2.间接识别性信息：间接识别性信息单独来看可能不足以直接识别个人，但当它们与其他信息结合时，便能共同指向一个特定的自然人。这类信息通常包括但不限于住址、电子邮箱地址、职业、工作单位、出生日期、IP地址、Cookie数据、特定偏好或行为模式等。
随着大数据分析技术的发展，即便是看似无关紧要的信息，也有可能通过数据分析被用来重构个人身份，因此这类信息同样可能受到严格的法律保护。
（二）信息的组合与关联：在判断信息的可识别性时，需要考虑信息之间的组合与关联。在大数据和数据分析技术背景下，单独看来无害或非敏感的数据，如用户的浏览记录、购物偏好、地理位置记录等，一旦被综合分析，就可能揭示出个人的详细生活轨迹、健康状况、财务状况等高度敏感信息。这种数据聚合效应显著增强了信息的识别能力，要求数据处理者在收集、存储、使用这类信息时应采取更为谨慎的态度。
（三）信息的使用场景：不同的使用场景下，信息的可识别性可能会有所不同。信息的可识别性并非固定不变，而是高度依赖于其被使用的具体情境。
1.比如，一个人的名字在电话簿中可能被认为是公开信息，因为该环境预期是收集并分发联系信息的；然而，同样一个名字如果出现在医疗记录中，就可能成为敏感的个人信息，因其透露了与个人健康相关的私密信息，受到医疗保密相关的法律法规的严格保护。
2.在处理个人信息时，法律通常要求遵循“目的限制原则”，即个人信息的收集和使用应限定于事先明确并告知数据主体的目的范围内。超出该目的范围使用信息，即使信息本身在其他情境下看似不敏感，也可能构成对个人隐私权的侵犯。因此，评估信息的可识别性时，必须考量其是否被用于最初声明的目的之内。
3.信息的可识别性也与预期接收或能够访问该信息的受众有关。在封闭或有限制的环境中，如内部公司通讯录，某些信息可能不会引起隐私关注；但若这些信息被发布到公共互联网上，其可识别性将大大增强，因为潜在的受众无限扩大，增加了个人隐私暴露的风险。
4.在特定使用场景下，如就业、健康、宗教信仰等敏感信息的处理，即使在看似封闭的环境中，也必须遵循更加严格的标准。这些信息往往受到额外的法律保护，因为它们的不当使用更容易导致歧视、偏见或对个人尊严的侵犯。
随着技术发展和社会观念的变化，信息的可识别性及其适用的法律框架也在不断演变。因此，组织和个人在处理信息时，应当定期重新评估信息的使用场景，以期符合最新的法律要求和最佳实践。
（四）信息的技术处理：实务中，若通过有效脱敏技术，信息处理者能切断信息与信息被收集者之间的关联，则个人信息的可识别性在相应案例中则存在不具备可识别性的可能。常见的脱敏方式为：替换法、掩码法、加密脱敏、删除脱敏、匿名化、混淆脱敏、字段变形、动态数据脱敏、统计技术、固定长度替换等。在实务操作中，信息处理者采用前述技术时，需注意以下几点法律考量：
1.尽量保证脱敏方法符合相关法律法规要求，特别是对于敏感信息，可能需要更高级别的保护措施。
2.实施前进行详细的风险评估，考虑脱敏处理是否足以保护个人信息，以及是否存在数据复原的风险。
3.向数据主体说明个人信息处理的方式及目的，包括脱敏技术的应用，以符合信息告知义务。
4.定期审查脱敏措施的有效性，及时调整以应对技术进步和安全威胁的变化。
若被收集信息经前述技术处理后已经属于匿名化处理后的信息的范畴，那么按照《个人信息保护法》第四条第一款后半句的规定，也可能不属于个人信息，换言之，也可能丧失了法律意义上的可识别性。
（五）信息的真实性：虽然《个人信息保护法》的直接要求是关于信息的可识别性，但真实性在某些情况下可能间接影响个人信息的可识别性判断。如果信息本身是虚假的，理论上可能难以直接指向一个具体的、可识别的自然人。因此，信息的真实性可能间接地成为评估其是否构成法律意义上的个人信息的一个考量因素。从(2021)粤03民终9583号案例中可以看出，法院认为“受法律保护的个人信息需要是真实的”，这反映了法律保护的逻辑不仅在于防止对个人隐私的侵犯，还在于维护信息的准确性和个人名誉不受损害。错误的个人信息可能导致对个人名誉的不当评价或误判，因此，力求信息的真实性能更好地实现个人信息保护法的立法目的。这一观点提示信息处理者，在收集、存储、使用个人信息时，不仅要关注信息的可识别性，还要重视信息的真实性。企业或机构在执行数据质量管理时，也应当尽可能建立健全的信息审核机制，避免因错误信息处理导致的法律风险。
06、其他方面
（一）我国《个人信息保护法》与《民法典》对个人信息可识别性界定的衔接问题
郭锋、陈龙业、贾玉慧（三位最高院研究室成员）在《<个人信息保护法>具体适用中的若干问题探讨》一文中从以下两个层面对《个人信息保护法》与《民法典》关于个人信息可识别性的界定衔接问题进行了说明：首先，从文义上看，《民法典》采取的是“识别说”，即能够单独或者与其他信息结合识别特定自然人作为确定该信息是否属于个人信息的标准；而《个人信息保护法》第4条第1款借鉴了欧盟GDPR的标准，在“识别说”的基础上增加了“关联说”，即与已识别或者可识别的自然人有关的各种信息，《个人信息保护法》一定程度上扩张了个人信息的范围。然后，从解释论的角度看，通过扩张解释“识别说”中的“与其他信息结合识别”的外延，可以实现二者之间的趋同。在民事审判中界定个人信息时，由于《个人信息保护法》中的私法规范是《民法典》的特别法，且《个人信息保护法》第4条第1款对个人信息的规定相对明确，不需要通过法律解释方法进行扩张，如不考量溯及力等因素，可以优先适用该规定。
（二）部分其他国家对个人信息可识别性的规定（摘录自程啸《个人信息保护法的理解与适用》）
笔者认为：以上部分国家法律法规中对于个人信息可识别性存在以下共同点与区别点：
1.共同点：
以上法规均着重强调了个人信息的可识别性，体现在两个方面：一是直接明确指出，二是通过一系列间接标识进行确认，这些标识包括但不限于姓名、身份证号码、位置信息、网络标识符，以及与个人的身体特征、生理状况、遗传信息、心理特点、经济活动、文化背景或社会身份相关的多种属性。
2.区别点：
a.欧盟GDPR特别强调了“间接识别”的可能性，并列出了广泛的识别要素，包括经济、文化和社会身份。
b.德国《联邦数据保护法》与GDPR保持高度一致，但在表述上略有简化，未详尽列举所有识别要素。
c.巴西的规定较为简洁，未具体列出识别个人的各种可能标识，侧重于定义的广义适用性。
d.日本《个人信息保护法》不仅包括直接和间接识别的信息，还专门定义了“个人识别符号”，并明确了其适用的具体情境，如身体特征的电子转换和用户识别卡等。
e.韩国《个人信息保护法》除了直接和间接识别外，还提出了“化名信息”的概念，强调了通过化名处理后信息的不可识别性条件。其所指代的“化名信息”与我国《个人信息保护法》第四条第一款后半句中的“匿名化处理后的信息”在定义外延上估计有诸多重合之处。
f.我国台湾地区的“个人资料保护法”定义较为全面，特别提到了基因、性生活、健康检查、犯罪前科等敏感信息，且使用的术语是“个人资料”。
（三）部分学者对个人信息可识别性观点归纳
| 学者姓名 | 文章或书籍名称 | 学术观点 |
| 刘宗胜 张 毅 | 《论个人信息中可识别要素的判断标准》 | 从识别主体、识别对象和识别方式三个方面对“可识别”这一个人信息的核心要素进行解读： （1）在识别主体上，应采“主观说”,即根据个人信息处理者的识别能力确定信息的可识别性，只有个人信息处理者对其所处理的信息具备识别能力才可能为其处理行为承担侵权责任； （2）在识别对象上，需将“识别”限缩解释为“身份识别”,即明确信息主体真实身份的识别，且完成身份识别至少需要两个以上的标识符，并至少包含一个社会意义上的标识符（如姓名、身份证号码、手机号码、职业、民族、荣誉称号等等，此类标识符是自然人出生后被社会赋予的内容），其他标识符则既可能是社会意义上的标识符，也可能是自然意义上的标识符（如面貌、指纹、DNA、血型等，这些标识符是自然人与生俱来的生物学特质），否则，并不会对信息主体的人身权益造成危险； （3）在识别方式上，凭借单独信息即可定位信息主体的直接识别方式的存在与否有待商榷，以人格利益的关联性作为间接识别（即将不同的信息结合在一起定位信息主体的识别方式）中个人信息的判断标准，可避免个人信息的外延失之过泛。 |
| 叶小琴 王肃之 赵忠东 | 《大数据时代公民个人信息可识别性认定模式的转型》 | 个人信息的可识别性分为静态可识别性认定模式和动态可识别性认定模式： （1）静态可识别性认定模式是指根据相关规定分级列举的敏感信息及普通信息等各层次个人信息表现形式清单，对个人数据采取点对点匹配方式进行认定，但简单的信息类型列举方法往往“挂一漏万”，因为特定类型数据是否具有可识别性其实仍然需要进一步的价值判断。 （2）动态可识别性认定模式仍采取与特定自然人身份或者实时活动轨迹相关的广义可识别性作为判断标准，只是不再简单采用“对号入座式”认定方法，而是从行为人角度结合数据的应用场景，将数据置于识别过程中具体判断其可识别性，综合考虑行为人控制的个人数据文件以及数据利用能力条件，具体判断个人数据应用场景中是否存在需要法律保护的公民个人信息。 |
| 曹 博 | 《个人信息可识别性解释路径的反思与重构》 | 个人信息可识别性解释路径的演进及评述： （1）“人格形象说”认定，个人信息可以勾勒出作为信息主体外在标志的人格形象，但却用泛化的人格权一般特征，替代了对个人信息的进一步厘定，导致个人信息与其他人格权客体难以区分。 （2）“身份要素说”将可识别性指向对特定自然人的识别，泛化为对人格要素的识别，使得以识别难度进行识别路径区分的尝试，也陷入文义解释的循环论证，无从降低个人信息范畴的不确定性。 （3）“身份建构说”从个人所处的不同社会关系入手，具体化其个人身份的表现形式，避免将可识别性的阐释推延到事后救济层面，个人信息可识别性解释路径的重构也将以此为起点。 |
| 赵精武 | 《个人信息“可识别”标准的适用困局与理论矫正——以二手车车况信息为例》 | “可识别”标准的理论矫正：识别对象和识别难度的标准细化： （1）识别对象：“可识别”标准不能仅仅停留于“识别到特定自然人”，而是应当达到“识别到特定自然人的身份或者行为轨迹”，而且“轨迹”的详细程度应当满足“明显区别于其他自然人”之要求。更重要的是，这些信息本身的识别对象应当是以特定自然人为主，而不是其他客体性事物。 （2）识别难度：在判断信息是否能识别特定自然人的过程中，应当首先判断识别特定自然人所需要的物质性基础，识别成本不应当超出识别目的所要保护的法益。 |
笔者认为：笔者注意到各位学者虽基于各自的理论立场展开分析，导致在学术视角与逻辑构建上展现出一定差异，但经过比对，提供以下几点共识以供关注：
1.学者们均突出强调了个人信息处理主体的识别能力与行为意图在评价信息可识别性问题上的核心地位。
2.学者们均倾向于采纳一个复合的评判体系，旨在通过多维度的考量以求对个人信息可识别性的判定更为周全且精确。
3.学术们均倾向认为：个人信息可识别性的判定应是一种动态过程，需随科技进步、数据应用情境的变迁而适时调整。
07、加强个人信息保护的建议
（一）提高个人信息安全意识：个人应加强个人信息安全意识，注意保护自己的个人信息，避免将敏感信息泄露给不可信的第三方。同时，也应了解个人信息可识别性的基本概念和重要性，以便在必要时采取相应的保护措施，维护自身合法权益。
（二）建立健全信息保护制度：企业应建立完善的个人信息保护制度，明确信息收集、使用、存储和销毁的规范流程。在收集个人信息时，应遵循合法、正当、必要等相关《个人信息保护法中》的法定原则，并经过用户的明确同意（部分敏感个人信息按照《个人信息保护法》还需要取得信息被采集者的单独同意或书面同意）。同时，企业也应加强内部管理和培训，力争员工遵守相关规定并保护用户个人信息的安全。
（三）加强监管与执法力度：政府部门应加强对个人信息保护的监管和执法力度，对侵犯个人信息权益的行为进行严厉打击。同时，也应加强对个人信息可识别性的认定与保护问题的研究和探索，为相关实践提供有益的指导和支持。
08、结语
在信息化社会的快速发展下，个人信息保护面临着前所未有的挑战和机遇。个人信息可识别性是个人信息保护的核心要素之一。通过深入理解其定义与重要性，并结合各方观点进行解析，我们可以对保护个人信息的安全与隐私有更全面的认知。同时，个人、企业和政府也应共同努力，加强个人信息保护，维护信息主体的合法权益。在对个人信息可识别性存在疑惑时，个人与企业也可以寻求专业机构帮助，以期维护其合法权益及规避业务风险。