我國行蹤軌跡信息保護范圍認定困境與出路*

文進寶，肖冬梅

0 引言

隨著位置服務(Location-Based Service)[1]的興起和發展，個人行蹤軌跡信息的利用日益廣泛。移動設備通過收集、分析個人行蹤軌跡信息，對用戶進行畫像，實現千人千面的推送。疫情期間，追溯確診者、疑似者、密切接觸者等重點人群的行蹤軌跡是疫情防控的重要環節。隨著行蹤軌跡信息的廣泛利用，個人信息泄露和濫用問題亦日益凸顯。究其原因，主要是因為法律未對行蹤軌跡信息的范圍作出明確界定。2021年11月1日實施的《中華人民共和國個人信息保護法》(以下簡稱《個人信息保護法》)將 “行蹤軌跡信息” 納入敏感個人信息①，但未對其內涵和外延進行界定。有關標準和規范雖有提及行蹤軌跡信息的類似概念②，但正式采用 “行蹤軌跡信息” 這一表達是在《最高人民法院、最高人民檢察院關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》(以下簡稱《解釋》)。《個人信息保護法》實施前，僅有《汽車采集數據處理安全指南》對行蹤軌跡的下位概念 “位置軌跡” 進行界定。這不僅會使司法機關在進行行蹤軌跡信息認定時缺乏明確的法律依據，也會使圖書館等義務主體面臨合規困境。

值得注意的是，我國司法實踐對行蹤軌跡信息的認定不一。譬如朱榮偉、張順侵犯公民個人信息罪一案③中，法院認為 “滴滴出行記錄” 不能單獨識別個人位置，不能認定為行蹤軌跡信息；而在曾奕等侵犯公民個人信息一案④中，法院認為 “滴滴出行記錄” 可認定為 “行蹤軌跡信息” 。學界對行蹤軌跡信息的界定也未達成共識。在《解釋》出臺前，一些學者對行蹤軌跡信息的類似概念 “地理位置信息” 有界定[2-4]。由于《解釋》使用 “行蹤軌跡信息” 稱謂，此后的相關研究聚焦于 “行蹤軌跡信息” 的界定[5-7]，但爭議頗大。可見，對這一概念，我國法律未作界定，司法認定標準不一，學界爭議尚存。本文旨在通過解構我國現有相關規定，考察域外立法例，結合司法實踐及學界觀點，對行蹤軌跡信息進行明確界定，以期為相關法律完善和司法解釋出臺提供參考。

1 我國行蹤軌跡信息保護范圍及其認定困境

1.1 行蹤軌跡信息界定現狀

我國法律及司法解釋均未界定行蹤軌跡信息。法律層面，《中華人民共和國民法典》(以下簡稱《民法典》)第1034條⑤將 “行蹤信息” 納入個人信息范圍，但未界定行蹤信息。《個人信息保護法》第28條將 “行蹤軌跡信息” 納入敏感個人信息，但也未對之作界定。司法解釋層面，2017年《解釋》⑥第5條規定非法獲取、出售或者提供蹤軌跡信息50條以上的應當認定為刑法第253條之一規定的 “情節嚴重” ，但《解釋》也未對行蹤軌跡信息作出規定。

“實時地理位置” “位置軌跡數據” “個人位置信息” 等類似概念的界定散見于相關標準和規范性文件(見表1)。

表1 行蹤軌跡信息相關標準和規范

《網絡安全標準實踐指南——網絡數據分類分級指引》(以下簡稱《指引》)規定行蹤軌跡是基于實時地理位置形成的個人行蹤和行程信息。《指引》采用 “實時地理位置” 這一表達意在強調行蹤軌跡信息的 “實時” 要素，但列舉類型中提到的 “車輛軌跡信息” “出入境記錄” 不僅包括當下的實時坐標信息，還包括過去時間已經完成的車輛軌跡信息或出入境記錄信息。對過去時間的歷史軌跡信息是否屬于行蹤軌跡，《指引》未作說明。

《汽車采集數據處理安全指南》(以下簡稱《指南》)對行蹤軌跡的下位概念 “位置軌跡數據” 有界定。根據《指南》第4條， “位置軌跡數據” 是基于衛星定位、通信網絡等各種方式獲取的汽車定位和途徑路徑相關的數據。但《指南》主要適用于汽車行業數據采集。《信息安全技術 個人信息安全規范》(以下簡稱《規范》)對 “個人位置信息” 有界定，附錄指出個人位置信息包括行蹤軌跡、精準定位信息、住宿信息、經緯度等，但未對 “行蹤軌跡” 概念作單獨界定。

1.2 司法適用和義務主體合規困境

由于我國法律及司法解釋均未界定行蹤軌跡信息，相關標準和規范性文件雖然對行蹤軌跡及其下位概念 “位置軌跡” 進行了界定，但因適用范圍和對象受限，使得司法機關的法律適用以及義務主體合規面臨困境。

首先，行蹤軌跡信息無明確界定，易擴大法官自由裁量權，導致同案不同判現象。我國司法實踐中，不同案例對行蹤軌跡信息曾出現截然不同的認定，譬如在朱榮偉、張順侵犯公民個人信息罪一案中，法院認為滴滴出行記錄雖涉及公民個人的軌跡，但上述單個信息反映的內容需結合其他信息及查詢者的目的使用，滴滴出行記錄本身不能單獨識別個人位置，故不能認定為行蹤軌跡信息；而在曾奕等侵犯公民個人信息一案中，法院認為被告通過非法獲取滴滴出行記錄謀取了經濟利益，滴滴出行記錄可認定為行蹤軌跡信息。在何光虹、戴亞東侵犯公民個人信息罪一案⑦和高書強、羅浩波侵犯公民個人信息罪一案⑧中，法院未對行蹤軌跡信息的范圍作論證，而直接以行蹤軌跡表述。行蹤軌跡認定亂象的產生主要是由于我國法律未對行蹤軌跡信息范圍作明確界定。過多的自由裁量將會影響法律的穩定性，因此應當合理約束法官的自由裁量權，避免規則的濫用[8]。保持法律的穩定性和連續性對民事主體的權利保護至關重要。我國《民法典》《個人信息保護法》雖對行蹤軌跡信息有提及，但均未對范圍作出界定，使得法官認定行蹤軌跡信息時自由裁判空間過大，同案不同判現象屢有發生，這顯然不利于權利主體的權利保護。

其次，明確行蹤軌跡信息內涵和外延亦是義務主體合規之前提。《中華人民共和國網絡安全法》《中華人民共和國數據安全法》《個人信息保護法》不僅建立了個人信息和數據保護的基本框架，且均明確要求義務主體建立個人信息或數據的合規制度，《個人信息保護法》更要求大型互聯網平臺、業務類型復雜的企業等義務主體應當按照國家規定建立健全個人信息合規制度體系。可見，個人信息合規體系的建立和完善已成為義務主體一項重要法律義務[9]。《個人信息保護法》將 “行蹤軌跡信息” 納入敏感個人信息，并規定了敏感個人信息的處理要求。在《個人信息保護法》規定的合規義務中， “告知-同意” 義務是十分重要的一項。處理敏感個人信息應當取得個人的單獨同意，并向個人明示處理的目的、方式和范圍。在涉及個人信息會被用于用戶畫像或個性化展示的情況下，則應在隱私政策中征得用戶的同意，充分保障用戶知情權。而 “告知-同意” 義務的履行就依賴于信息范圍和種類的明確性。 “行蹤軌跡信息” 界定的缺失，使得義務主體在履行 “告知-同意” 義務時缺乏明確指引。據《中國消費者協會2018年App個人信息泄露情況調查報告》顯示，App過度索權、超范圍收集個人信息等現象明顯，其中讀取位置信息和訪問聯系人權限是用戶安裝和使用手機App時最為常見的情況[10]。2018年谷歌被曝非法追蹤用戶位置信息[11]，近來滴滴打車也因涉嫌違規收集包括用戶行蹤軌跡信息在內的個人信息被強制下架。

科學合理界定行蹤軌跡信息的內涵和外延，對明確司法機關認定標準、指引圖書館等義務主體合規義務的履行具有重要意義。

2 域外行蹤軌跡信息的立法例考察

2.1 行蹤軌跡信息的抽象概念考察

考察歐盟、英國、美國以及韓國立法例，法律規定中未使用 “行蹤軌跡信息” 這一表達，但有類似概念。

歐盟《隱私與電子通信指令》第2條規定， “位置數據” (Location Data)指通過電子通信網絡或電子通信服務處理得到的可表明用戶終端設備所在地理位置的數據[12]。英國和歐盟的規定總體一致，且對位置數據種類有具體規定。根據英國《隱私與電子通信條例》， “位置數據” 包括終端設備的緯度經度或高度、用戶的旅行方向或位置信息的記錄時間有關的數據[13]。

美國對行蹤軌跡信息類似概念的界定散見于各州和聯邦的法案。州層面，《加州消費者隱私法案》(CCPA)是美國第一個全面的隱私法案，該法將 “精準地理位置” (The Precise Geolocation)數據納入敏感個人信息，并規定精準地理位置是指用于定位消費者在1，850英尺半徑范圍內地理位置的數據[14]。《加州隱私權法案》(CPRA)[15]、《華盛頓隱私法案》(WPA)以及弗吉尼亞州《消費者數據保護法案》(CDPA)的規定與CCPA總體保持一致，僅在半徑范圍上存在差異，CDPA規定 “精準地理位置數據” (The Precise Geolocation Data)是指通過技術手段獲得的(包括但不限于全球定位系統水平的經緯度坐標或其他機制)，能夠直接識別自然人在1，750英尺半徑范圍的具體位置的信息，但不包括通信內容或供公用事業使用的數據[16]。聯邦層面，《消費者數據隱私安全法案》(Consumer DataPrivacyand SecurityActof2020)將 “精準地理位置” 規定為通過技術手段產生的，能夠比郵政編碼、街道、城鎮或城市水平更精確地確定個人過去或當前實際物理位置的信息[17]；《消費者在線隱私權利法案》(COPRA)、《美國消費者數據隱私法案》和《數據保護法案》亦強調位置數據包括可以定位到個人過去或當前所在位置的數據。

韓國重視位置信息保護并對此單獨立法，2016年制定《位置信息保護與使用法》對位置信息(Location Information)和個人位置信息(Personal Location Information)作了區分界定。根據該法第2條，位置信息指通過電信通訊設備和電信線路設備收集的關于移動物體或個人在特定時間所在位置的信息。個人位置信息則特指涉及特定個人位置的信息，包括容易與其他信息結合追蹤某一特定個人位置的信息(即使該信息單獨并不足以識別個人位置)[18]。從規定可知，韓國所規定的個人位置信息不僅包括可以直接定位到特定個人位置的信息，還包括與其他信息結合可以間接識別到個人位置的信息，《位置信息保護與使用法》中的 “結合” 二字，事實上擴大了個人位置信息的保護范圍。

2.2 行蹤軌跡信息的界定方式考察

考察歐盟、英國、美國和韓國立法例，定義式，即僅給出行蹤軌跡類個人信息的概念，是對行蹤軌跡信息類似概念采取的主流界定方式(見表2)。除定義式外，還存在定義+列舉、定義+排除兩種界定方式。定義+列舉，即在給出行蹤軌跡類個人信息概念的基礎上，進一步對其種類進行列舉。英國《隱私與電子通信條例》就采用該種方式對 “位置數據” 進行界定。定義+排除，即在給出行蹤軌跡類個人信息概念的基礎上，又給出其排除范圍，以明確行蹤軌跡類個人信息的界限。如美國弗吉尼亞州《消費者數據保護法案》規定 “精準地理位置數據” 不包括通信內容或供公用事業使用的數據，《華盛頓隱私法案》規定 “特定地理位置數據” 不包括通信內容[19]。

表2 域外國家和地區行蹤軌跡信息界定方式

2.3 域外立法例的可鑒之處

歐盟、英國、美國和韓國對行蹤軌跡信息類似概念的規定，主要涵蓋 “技術手段” “物理位置” “直接識別” “時間” 四要素。

歐盟、英國、美國和韓國對行蹤軌跡信息類似概念的界定均體現 “技術手段” 這一要素。其中歐盟和英國規定， “位置數據” 是通過電子通信網絡或由電子通信服務處理獲得。美國弗吉尼亞州《消費者數據保護法案》規定 “精準地理位置數據” 是通過技術手段獲得，包括但不限于全球定位系統水平的經緯度坐標或其他機制。韓國規定 “位置信息” 是通過電信通訊設備和電信線路設備收集得到的數據。美國聯邦層面對 “精準地理位置” 的界定還強調 “物理位置” 要素。《消費者數據隱私安全法案》將 “精準地理位置” 規定為通過技術手段產生的，能夠比郵政編碼、街道、城鎮或城市水平更精確地確定個人過去或當前實際物理位置的信息。

在四要素中，識別性要素和時間要素在域外立法例中規定不一。就信息的識別性，美國州層面強調 “精準地理位置數據” 的 “直接識別” 要素。例如，弗吉尼亞州《消費者數據保護法案》規定 “精準地理位置數據” 是能夠直接識別自然人具體位置的信息。這意味著需結合其他個人信息才能識別到個人位置的信息不屬于 “精準地理位置數據” 。韓國《位置信息保護與使用法》規定 “個人位置信息” 還包括結合其他個人信息可識別到個人位置的信息，這意味著能夠間接識別個人位置的信息也屬于個人位置信息。該規定事實上擴大了位置信息的保護范圍，削弱了法律的明確性。相比之下，美國立法中對 “直接識別” 這一要素的規定更值得我國借鑒。就 “時間” 這一要素，美國與英國和韓國的規定亦有不同。美國《消費者數據隱私安全法案》《消費者在線隱私權利法案》《數據保護法案》《美國消費者數據隱私法案》均強調位置數據包括可以定位到個人過去或當前所在位置的數據。而英國和韓國法律規定雖對 “時間” 這一要素有規定，但未說明是否包括過去時間的位置信息。

從時間維度看，行蹤軌跡信息不僅包括當下的精準坐標信息[20]，亦包括過去一段時間所對應的歷史活動軌跡⑨。我國《個人信息保護法》一審稿和二審稿(見表3)均采用 “個人行蹤” 這一表述，相比之下，《個人信息保護法》使用 “行蹤軌跡” 這一表達反映出立法者對 “軌跡” 一詞的考量。根據文義解釋， “行蹤” 多指目前停留的地方， “軌跡” 強調一個點在空間移動的全部路徑[7]。這意味著無論是當下的坐標信息還是已經完成的歷史軌跡都屬于行蹤軌跡信息。為保持我國法律體系的一致性，行蹤軌跡信息的界定可參考美國的規定，把過去時間的歷史軌跡也納入行蹤軌跡信息的范圍。

表3 《個人信息保護法》一審稿二審稿和《個人信息保護法》對比

從界定方式來看，定義式是域外國家和地區對行蹤軌跡信息類似概念采取的主流界定方式。但該界定方式缺乏可操作性，不利于提升司法效率。相比之下， “定義+列舉+排除” 的界定方式具有較強的可操作性，值得我國借鑒。我國界定行蹤軌跡信息范圍時，可借鑒域外國家和地區的有關規定，以 “時間” “物理位置” “直接識別” “技術手段” 四要素為核心界定行蹤軌跡信息，以技術手段為分類依據進行列舉，再排除需結合其他信息才能識別個人位置的信息。

3 出路——科學合理界定行蹤軌跡信息

3.1 界定方式

3.1.1 非窮盡列舉

歐盟采用定義式對 “位置數據” 進行界定，而美國州法大都在定義中規定了 “精準地理位置數據” 的半徑范圍。定義式可為司法實踐提供明確的概念指引，但由于缺乏具體種類列舉，法官判案過程仍需依賴對定義的主觀解釋，可操作性不強。英國采用定義+窮盡列舉式的界定方式明確 “位置數據” 的種類和范圍，相比定義式具有更高的可操作性，可合理約束法官的自由裁量權，提升司法效率。但伴隨信息定位技術的出現，行蹤軌跡信息的種類在不斷增加，窮盡列舉作為一種先驗主義方法，存在滯后性問題，無法適應技術的發展。相比之下，定義+非窮盡列舉式不僅能明確行蹤軌跡信息的具體種類，為司法適用和義務主體合規提供明確指引，還能克服窮盡列舉式的滯后性弊端，為科技發展留下靈活適用空間，值得我國借鑒。

我國行蹤軌跡信息有關刑事案件中，法院多對行蹤軌跡信息作限縮解釋。譬如在朱榮偉、張順侵犯公民個人信息罪，葉莞龍、梁道盟、何高山等侵犯公民個人信息罪⑨以及羊漢統詐騙罪⑩等案件中，法院認為行蹤軌跡信息應理解為GPS定位、車輛軌跡信息等。但該解釋不能直接適用于民事領域。刑法以懲罰犯罪為切入點，保護的是個人行蹤軌跡信息承載的個人生命權、身體權、健康權等人格利益[21]，故刑事領域行蹤軌跡信息的范圍應作限縮解釋。而個人信息民事保護的意旨則與此不同，其是對由人權發展而來的人格尊嚴和人身自由等相關人格利益進行保護。在規制個人信息流轉的整個過程中，需要平衡個人信息權利和整個社會信息有序使用之間的關系[22]。民事領域行蹤軌跡信息的范圍應大于刑事領域，不能僅將GPS信息和車輛軌跡認定為行蹤軌跡信息。此外，隨著新的定位手段出現，行蹤軌跡信息的種類在增加。行蹤軌跡信息的界定，需為技術發展留有一定空間。

3.1.2 列舉類型：以技術手段為分類依據

位置服務的實現依賴行蹤軌跡信息的獲取，GPS全球定位系統生成的經緯度標簽是獲取行蹤軌跡信息的公認標準[3]。行蹤軌跡信息獲取技術除GPS全球定位系統，還包括WiFi定位、基站定位及我國自主研發的北斗衛星定位等，這在產業及學界的有關研究中已基本達成一致[3，21，23]。GPS定位精準度高，WiFi定位主要應用于室內精準定位[24]，每種定位方式精準度不同，適用不同場合[25]。行蹤軌跡信息的表現形式多樣，包括經緯度、出行記錄、車輛軌跡等。隨著位置服務技術的發展，行蹤軌跡信息的載體和表現形式還在不斷發生變化，要對其具體種類進行列舉顯然存在困難。位置服務功能的實現依賴行蹤軌跡信息的獲取，可以技術手段為分類依據劃分行蹤軌跡信息的種類。技術手段包括但不限于GPS定位、北斗衛星定位、WiFi定位、基站定位等。

3.1.3 排除不能直接識別個人位置的信息

除可直接識別個人位置的信息，還存在結合其他個人信息可以識別到個人位置的信息。對于需結合其他個人信息才能識別到個人位置的信息是否可納入行蹤軌跡類個人信息，域外立法例規定不一。韓國將與其他信息結合可識別個人位置的信息納入位置信息具有局限性。隨著云計算和大數據技術的發展，特定身份、醫療健康、金融賬戶等其他敏感個人信息相互組合分析后，都可能識別到特定個人位置。若將本身并不能識別到特定個人位置的信息也納入到行蹤軌跡信息，行蹤軌跡信息保護范圍將無明確邊界。與韓國的規定不同，美國弗吉尼亞州CDPA強調 “精準地理位置數據” 指能夠直接(Directly)識別自然人在1，750英尺半徑范圍的具體位置的信息。 “直接識別” 排除了結合其他信息可以識別到個人位置的信息，給行蹤軌跡信息的保護范圍劃定了明確邊界，提升了法律規定的明確性。

從我國司法實踐來看，法院多數觀點也認為行蹤軌跡信息應指可以直接識別到個人特定位置的信息。譬如在羊漢統詐騙罪一案中，法院認為航班信息雖記載了被害人姓名、航班、航班日期、出發地、到達地等較具體的出行信息要素，但僅憑上述信息內容尚無法直接定位特定自然人的具體實時地理坐標，難以對特定公民的人身安全造成現實威脅。在朱榮偉、張順侵犯公民個人信息罪一案中，法院認為民航訂票、民航離港、鐵路售票、出入境、車輛卡口、滴滴打車等信息雖涉及公民個人的軌跡，但上述單個信息反映的內容需結合其他信息及查詢者的目的使用，故不宜將上述民航訂票、民航離港、鐵路售票、出入境、車輛卡口、滴滴打車等信息作為單個的行蹤軌跡信息計算。

綜上所述， “行蹤軌跡” 的形成需基于真實的地理位置，通過間接推斷得出的粗略地理位置信息不宜構成行蹤軌跡信息的一部分[23]。行蹤軌跡信息應指可以直接識別到個人位置的信息，需與其他信息相結合才能識別到個人位置的信息不能 “升級” 認定為行蹤軌跡信息，以避免行蹤軌跡信息保護范圍無限擴張。

3.2 抽象概念：明確特征要素以區別于其他個人信息

3.2.1 行蹤軌跡信息的時間要素

時間要素指行蹤軌跡信息通常伴隨時間變化產生個人或設備位置的變化。換言之，個人在不同的位置，會對應產生不同的行蹤軌跡信息。伴隨手機等移動設備的廣泛使用，行蹤軌跡信息的時間要素日益凸顯。移動設備通過隨即收集行蹤軌跡信息可為用戶提供即時信息指導。位置數據行業能夠根據設備所收集的行蹤軌跡信息了解用戶在現實世界中的位置變化，從而為用戶提供相應位置服務[26]。行蹤軌跡信息不僅對應個人的活動，同時也對應個人在不同時間的位置變化。對于個人的單個活動，如果僅記錄精準位置信息，未記錄對應時間、起止地點，則無法構成 “行蹤軌跡”[23]。

從時間維度看，行蹤軌跡信息可以是當下的精準坐標信息，例如健身追蹤器可實時監測個人位置，以反饋個人運動狀況[20]，也可以是個人過去一段時間所對應的歷史活動軌跡，如車輛的運行軌跡信息⑨。行蹤軌跡信息的時間要素在域外立法中得到體現。韓國《位置信息保護與使用法》對位置信息的定義強調 “特定時間” 。美國《消費者數據隱私安全法案》規定 “精準地理位置” 包括個人過去或當前的實際位置信息。美國學界也認為手機用戶的位置信息分為兩種：實時(Real-time)位置信息和歷史(Historical)位置信息。對實時信息的獲取，屬于美國相關法律規定的信息攔截行為，因此美國警察一般要先獲得搜查令，后者則是存儲在手機網絡服務商處的手機用戶過去的位置信息[4]。

我國有學者認為過去時間對應的歷史軌跡不屬于行蹤軌跡信息，因其即使被犯罪分子獲取也無法實時定位到個人，難以造成人身和財產方面的損害[27]。該觀點對行蹤軌跡信息所保護的法益認知存在片面性。根據《個人信息保護法》，敏感個人信息是一旦泄露或非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害的個人信息。行蹤軌跡信息作為敏感個人信息的一類，其保護的法益除個人人身或財產利益之外還有人格尊嚴。如果個人經常參觀某宗教寺廟或同性酒吧，其軌跡雖然已經完成，但是通過該歷史軌跡信息，依舊可推測個人宗教信仰或性取向，易對個人隱私或人格尊嚴造成損害。因此，從法益角度來看，過去時間對應的歷史軌跡也應當屬于行蹤軌跡信息。《個人信息保護法》將 “個人行蹤” 修改為 “行蹤軌跡” 也表明行蹤軌跡信息不僅包括當下的坐標信息，還包括過去時間所對應的歷史軌跡信息。

3.2.2 行蹤軌跡信息的物理位置要素

在信息網絡時代，個人信息具備線下和線上的高度映射性[22]。有學者認為行蹤軌跡既存在于現實空間也存在于網絡空間[28]，網絡用戶使用服務的時間地點等信息就是 “上網軌跡” 信息的一種[29]。該觀點事實上混淆了網絡蹤跡信息和行蹤軌跡信息。個人網絡蹤跡信息指個人在網站上的數字瀏覽足跡[30]，包括用戶查詢記錄、網址瀏覽記錄和Cookie記錄等，具有網絡空間特征。行蹤軌跡信息則指個人所在的實際地理位置信息，對應的是個人在現實生活中的實際物理位置。行蹤軌跡信息的物理位置要素在域外立法中有所體現。例如，美國《消費者數據隱私安全法案》對 “精準地理位置” 的界定強調物理位置要素。歐盟GDPR對網絡蹤跡信息通過Cookie有關規定進行保護，未納入位置數據的范圍。可見，位置數據應當不包括網絡行為信息。

在行蹤軌跡信息的界定中，頗具爭議的是設備IP地址信息。IP地址(Internet Protocol Address)是指互聯網協議地址，又譯為網際協議地址。IP地址是IP協議提供的一種統一的地址格式，它為互聯網上的每一個網絡和每一臺主機分配一個邏輯地址，以此來屏蔽物理地址的差異[31]。例如，圖書館用戶使用移動設備訪問圖書館數據庫時不僅會留下網絡訪問記錄，每個設備還有對應的IP地址信息。圖書館用戶的網絡訪問記錄系網絡行蹤信息，因其不能直接對應個人實際物理位置而不屬于行蹤軌跡信息。至于設備IP地址是否屬于行蹤軌跡信息關鍵是看其是否可以直接識別到個人特定物理位置。一般民用IP基本是使用動態IP，即同一IP并不必然與一臺設備綁定。有時，互聯網服務提供商會將同一個IP地址分配給大量計算機，因而可能出現多臺計算機使用相同IP地址的情況。IP地址雖是用戶實現上網所必須的字段，網絡服務商可以基于IP地址定位到用戶的大概位置，但該定位模糊、不精確，最多到城市、區/縣級別，無法識別到特定個人的具體位置。從IP地址構成來看，其中亦不包含指向物理性 “地理位置” 的字符[32]。因此，IP地址本身無法識別到特定個人的具體物理位置，不屬于行蹤軌跡信息。

綜上所述，我國對行蹤軌跡信息的界定應當嚴格把握物理位置要素。行蹤軌跡一定是與現實地理位置相聯系或相對應的軌跡，而不包括用戶在網絡中的行為軌跡。個人網絡行蹤軌跡(包括IP地址信息)雖可能包含有位置信息，但仍然停留在網絡世界，不能直接對應到現實物理世界中的地理位置[5]，因而不屬于行蹤軌跡信息。

3.2.3 行蹤軌跡信息的技術要素

大數據時代的行蹤軌跡信息應具有技術要素，即行蹤軌跡信息是通過個人移動設備結合特等定位技術所產生的位置信息。譬如移動設備結合GPS定位技術，可以快速便捷地獲取設備所在的位置信息[33]，并識別到個人位置。而傳統書面記錄的信息、人力跟蹤獲得的信息通常不屬于行蹤軌跡信息的范圍[7]。行蹤軌跡信息的技術要素在域外立法中得到體現，歐盟和英國的法律規定強調 “位置數據” 是通過電子通信網絡或由電子通信服務處理得到；美國弗吉尼亞州CDPA強調 “精準地理位置數據” 是指通過 “技術手段” 獲得的數據。隨著位置服務(Location-Based Service)的興起和發展，智能手機和智能手表等移動設備幾乎都具備跟蹤個人移動的地理定位集成技術。通過網聯設備獲取的位置數據來識別個人特定地理位置已經成為現代獲取行蹤軌跡信息的基本手段[20]。科技進步給行蹤軌跡信息的獲取帶來便利，同時也給個人隱私安全造成威脅。信息或數據保護立法的主要目的便是通過法律手段應對技術發展所帶來的風險。

在綜合考慮行蹤軌跡信息的界定方式和 “時間” “物理位置” “技術手段” “直接識別” 四要素后，可對行蹤軌跡信息作如下界定： “行蹤軌跡信息指通過GPS全球定位系統、北斗衛星定位系統、WiFi定位、基站定位等定位技術獲取的，可直接識別用戶過去或當前時間所在物理位置的信息。包括個人的出行記錄、車輛軌跡等信息；不包括需結合其他信息才可識別個人位置的信息。”

4 結語

我國法律對行蹤軌跡信息這一法律概念未作界定。司法實踐雖對行蹤軌跡信息的界定有初步嘗試，但存在認定標準不一的問題。為此，應將現有司法裁判觀點進行總結和完善，參考域外立法例，盡快出臺有關行蹤軌跡信息的司法解釋。司法解釋的制定應把握四個部分：第一，行蹤軌跡信息需與特定時間相對應，從時間維度來看，既包括當前時間的位置信息，也包括過去時間所對應的歷史軌跡信息。第二，行蹤軌跡信息應是可以識別到個人實際物理位置的信息，網絡蹤跡信息仍然停留在網絡空間，無法直接對應個人實際物理位置，不屬于行蹤軌跡信息。第三，行蹤軌跡信息是通過定位技術獲取的信息，技術手段包括但不限于GPS、北斗衛星定位、WiFi定位、基站定位及其他新型定位技術。行蹤軌跡信息的界定要明確，也須為技術進步留有一定空間；可以技術手段為分類依據，通過非窮盡式列舉方式規定行蹤軌跡信息的范圍。第四，行蹤軌跡信息應當是可以直接識別到個人特定位置的信息，須排除結合其他信息才可識別到個人位置的信息，以避免行蹤軌跡信息保護范圍無限擴張。

注釋

①《個人信息保護法》第28條：敏感個人信息是一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害的個人信息，包括生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等信息，以及不滿14周歲未成年人的個人信息。

② 在本文中，行蹤軌跡信息的類似概念指與行蹤軌跡信息相關的概念，包括但不限于位置信息、精準地理位置數據、行蹤信息、位置軌跡數據、地點信息等。

③ 江蘇省蘇州工業園區人民法院 （2017） 蘇0591刑初814號刑事判決書。

④ 北京市第二中級人民法院（2019）京02刑終59號二審刑事裁定書。

⑤《民法典》第一千零三十四條：自然人的個人信息受法律保護。個人信息是以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人的各種信息，包括自然人的姓名、出生日期、身份證件號碼、生物識別信息、住址、電話號碼、電子郵箱、健康信息、行蹤信息等。

⑥《最高人民法院最高人民檢察院關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》第一條：刑法第253條之一規定的 “公民個人信息” ，是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯系方式、住址、賬號密碼、財產狀況、行蹤軌跡等。

⑦溫州市龍灣區人民法院（2018）浙0303刑初1248號刑事判決書。

⑧江蘇省邳州市人民法院（2019）蘇0382刑初48號刑事判決書。

⑨浙江省蒼南縣人民法院（2019）浙0327刑初655號刑事判決書。

⑩海南省第二中級人民法院（2019）瓊97刑終222號刑事判決書。