我國特定身份信息的界定*

葉鵬霄，肖冬梅

0 引言

《中華人民共和國個人信息保護法》(以下簡稱《個人信息保護法》)自2021年11月1日起施行，敏感個人信息的有關規定頗受關注。我國在法律層面界定敏感個人信息尚屬首次，《個人信息保護法》草案一審稿和二審稿列舉的敏感個人信息中并無 “特定身份” 概念，但在正式通過的文本中卻突然出現且未作界定，此舉將對多方主體產生不利影響：權利主體不了解個人信息權益邊界，無法強化其自我保護意識；義務主體不清楚自身合規義務內容，影響義務履行效果和風險防控措施運行；監管部門的權力范圍不明確，監管的過度緊張或缺位會造成保護與利用之間的失衡；法官在裁判時缺少相關指引，導致自由裁量權過大，同案不同判影響司法權威。由此可見，特定身份信息界定直接關系到敏感個人信息強化保護的效果，具有重要的理論價值和實踐意義。

在《個人信息保護法》制定過程中，研究集中在界定敏感個人信息方面，胡文濤[1]、陳紅旭[2]、田野等[3]研究單獨規定敏感個人信息的必要性和敏感個人信息具體種類，湯敏[4]、吳標兵等[5]提出判斷敏感個人信息的不同方式或模型，其中寧園[6]、孫清白[7]借助場景理論對敏感個人信息界定或保護的特殊性進行論證。《個人信息保護法》出臺后，敏感個人信息種類內涵和外延的界定成為亟待解決的新問題，但相關研究成果較少。學界對特定身份信息的界定尚未達成共識，只有少數學者對此做出嘗試，研究處于起步階段。程嘯[8]262表示應當將種族、民族納入敏感個人信息，雖然其使用概括加列舉方式界定特定身份信息，但定義內容和列舉的除種族、民族外其他各項特定身份信息均未進行說明和論證。考察我國相關立法可知特定身份信息界定缺失，其他規定中僅有列舉的特定身份信息具體種類。正是因其包含廣且范圍不明，實踐中已不斷出現適用問題，需要配套措施對此進行界定。其他國家和地區的法律并無 “特定身份” 概念，每個國家根據歷史背景和實際情況對不同種類的特定身份信息進行嚴格保護，在敏感個人信息界定中列舉特定身份信息的多種下位概念①，并使用不同方式對其進行補充或界定以指導實踐。本文在研究國內外立法現狀的基礎上，借鑒 “場景理論” 的風險導向思路，結合我國歷史文化背景和社會發展需要，致力于科學清晰地界定 “特定身份” ，以便為相關配套措施的制定提供參考。

1 我國特定身份信息界定現狀及困境

《個人信息保護法》草案一審稿和二審稿中規定的敏感個人信息種類有種族、民族、宗教信仰、個人生物特征、醫療健康、金融賬戶、個人行蹤。然而，將 “種族、民族” 刪除并增加 “特定身份” 概念，實質上擴大了敏感個人信息的保護范圍，特定身份信息的含義需要進一步明確。橫空出世的 “特定身份” ，在其他法律規定中并無與之相同或近似的表述，又可囊括推薦性國家標準中眾多表述不一的下位概念。因此，有必要厘清我國相關規定中各種身份信息與特定身份信息之間的關系，以便明晰適用的具體困境。

1.1 界定現狀

1.1.1 法律法規

除《個人信息保護法》，其他法律均未定義敏感個人信息，《刑法》《數據安全法》《電子商務法》等法律僅使用 “個人信息” 概念且未作界定。《網絡安全法》和《民法典》使用概括加列舉方式界定個人信息，但其中與特定身份有關的內容僅有列舉的身份證件號碼。《網絡安全法》將個人信息界定為 “以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別自然人個人身份的各種信息” ，識別標準是狹義的身份識別。網信部門據此制定的《個人信息出境安全評估辦法(征求意見稿)》進一步定義了敏感個人信息，但是該部門規章目前尚未生效。相比之下，《民法典》對個人信息的界定更加寬泛，包含識別個人的各類信息[9]。識別自然人個人身份與識別特定自然人并不相同，能夠單獨識別特定自然人的信息不一定能夠單獨識別出自然人個人身份，例如，身份證件號碼能夠表明自然人公民身份也能唯一識別特定自然人，但電話號碼需要結合其他信息才能識別個人身份。我國行政法規和部門規章中同樣沒有使用 “特定身份” 概念，只有少數部門規章有界定敏感個人信息，除《個人信息出境安全評估辦法(征求意見稿)》的概括式定義外，《網絡交易監督管理辦法》第13條第2款僅列舉了個人生物特征、醫療健康、金融賬戶、個人行蹤4種敏感個人信息。有些行政法規雖沒有明確提出敏感個人信息的概念，但從處理規則中可以看出這實質上是對敏感個人信息的列舉。例如，2013年實施的《征信業管理條例》第14條第1款規定多種禁止征信機構采集的個人信息。由此可見，我國法律在界定個人信息時采用狹義和廣義兩種識別標準，行政法規和部門規章在進一步認定敏感個人信息時作用有限，無法為界定特定身份信息提供參考。

1.1.2 國家標準

相比《個人信息保護法》通過概括加列舉的方式界定敏感個人信息，推薦性國家標準使用的分類列舉規則相對混亂(見表1)。個人敏感信息的定義在《信息安全技術 個人信息安全規范》(GB/T 35273-2020)(以下簡稱《規范》)等多個標準中一致，與《個人信息保護法》中敏感個人信息含義相近。《規范》從個人信息保護與利用角度提供了判定個人敏感信息的方式并進行分類列舉，對后續制定的國家標準產生深遠影響，具有重要參考價值。在《個人信息保護法》實施后編制的《網絡安全標準實踐指南——網絡數據分類分級指引》(以下簡稱《指引》)中的特定身份信息示例與《規范》中列舉的個人身份信息種類基本相同，其他敏感個人信息種類也借鑒了該規范 “未公開的違法犯罪記錄” 等概念。根據分類標準和概念表述，作以下理解：其一，國家標準多使用概括、列舉方式界定敏感信息或重要數據，能夠揭示個人特定身份的信息眾多，個人身份類信息是其中重要部分，但因其包含較廣，各類標準中使用的概念多樣，分類方式也并不統一，導致該類信息通過不同表述被拆分進不同集合。其二，身份證件號碼是個人身份信息的一類不存在爭議，但《指引》中列舉的特定身份信息種類只有各種身份證件，其明確證件照片屬于個人信息，卻并未在敏感個人信息示例中提及，這顯然是 “特定身份” 概念的狹義理解，不僅造成保護范圍局限，還忽略了種族、民族、職業、學歷等個人信息在特定環境下對人格尊嚴或人身財產安全的影響。其三，分類體現出較強的場景特征，國家標準通常依據行業特點和應用場景進行劃分，某些個人信息如身份證件，在絕大多數場景中屬于敏感信息，但多數種類的個人信息如職業、性別等，并非在所有場景下都具有較高敏感度，應當在界定特定身份信息時將場景融入考量。

表1 我國國家標準中與特定身份信息相關的分類和內容對比

1.2 適用困境

“特定身份” 外延較廣，與其他種類的敏感個人信息相比，其特殊之處在于其他法律中并無相同或近似的表述，相關國家標準均使用不同分類規則對特定身份信息的具體種類進行列舉，分類混亂，因多是推薦性標準而不具強制力。早在草案二審稿提請審議時，就有需要網信部門針對敏感個人信息制定專門的個人信息保護規則、標準的提議[8]579。在《個人信息保護法》實施過程中，現有行政法規和部門規章缺少有關規定支持特定身份信息作為敏感個人信息進行強化保護，依據該法第62條由網信部門推進配套規定制定工作的進展相對緩慢，最高人民法院、最高人民檢察院出臺的司法解釋是關于個人信息刑事保護的規定，適用范圍有限，且其中也沒有與界定特定身份信息有關的內容。在《個人信息保護法》未對特定身份信息進行界定的情況下，其他規定并不能夠提供有效參考。

實踐中，騰訊、京東等互聯網企業在《個人信息保護法》生效后陸續更新其隱私政策以實現合規要求，在特定身份信息界定缺失的情況下，上述義務主體考慮到自身業務特點和相應法律風險，在隱私政策中呈現的合規義務內容并不相同。例如，騰訊認為個人身份信息屬于敏感個人信息，京東使用的敏感個人信息定義與《個人信息保護法》中一致，但二者均未明確敏感個人信息包含的具體種類，此時企業具有較大解釋空間。相比之下，支付寶隱私權政策更為直觀具體，在每個條款后附加說明前述何種信息為敏感個人信息②，但其認為敏感個人信息是 “身份證件號碼、個人生物識別信息、銀行賬號、財產信息、交易信息、精準定位信息等個人信息”[10]，這顯然是《個人信息保護法》中特定身份、金融賬戶、行蹤軌跡信息的具體種類，以便在較小且明確范圍內達到合規或監管要求。不論是回避解釋概念，還是通過列舉縮小義務范圍，特定身份信息的適用困境凸顯，甚至索尼在隱私政策中明確指出處理敏感個人信息不會對個人權益造成重大影響以規避法律風險。圖書館也是一類義務主體，通常處理的個人信息包括身份證件號碼、學校、專業、職業、職稱和文化程度等，界定特定身份信息關系到其是否需要履行敏感個人信息的嚴格保護義務。除了個人信息處理者，個人、監管部門、法院等多方主體都需要統一的規范為其行為提供指引。

2 域外特定身份信息界定的立法例考察

2.1 歐盟

1981年的《關于個人數據自動化處理的個人保護公約》(以下簡稱《公約》)首次區分一般個人信息與敏感個人信息，2018年修訂的《公約》在敏感數據目錄中增加了揭示工會成員和種族信息的數據處理活動。修訂后的《公約》與《通用數據保護條例》(GDPR)第9條特殊類型個人數據內容基本一致，GDPR第9條納入的特定身份信息包括種族或民族、宗教或哲學信仰、工會成員。與違法行為、刑事訴訟和定罪以及相關的安全措施有關的個人數據屬于《公約》中特殊類型數據，而GDPR有單獨條款對此進行規定。從《數據保護指令》到GDPR草案再到GDPR，與刑事定罪和犯罪或相關安全措施有關的個人數據歷經多次調整，具體范圍也與《公約》略有不同。該內容最初被規定在《數據保護指令》第8條第5款，擁有特殊、嚴格的處理要求，后GDPR草案第9條第1款將其納入禁止處理的個人數據范圍，并將允許處理的例外條件寫入第2款(j)項。但是，與其他種類的特定身份信息相比，該類數據更多地涉及公共利益與公眾知情權，為其規定禁止處理原則稍顯不妥，也不利于各成員國根據自身立法特點和社會需要對相關措施進行補充，最終GDPR第10條單獨規定與刑事定罪和犯罪有關的個人數據處理規則。當習慣性地將GDPR第9條特殊類型的個人數據與我國《個人信息保護法》敏感個人信息種類做比較時，很容易忽略使用單獨條款和特殊處理規則規定的具有較高敏感度的與刑事定罪和犯罪或相關安全措施有關的個人數據，在考察歐盟法律中與特定身份信息相關的內容及其界定方式時，應當將其納入范圍。

在GDPR統一適用下，德國、法國、意大利等數據保護法中特殊類型的個人數據定義與GDPR第9條一致，但因為GDPR第10條授權成員國法律制定適當的保護措施，所以各國在此問題上采取了不同標準。例如，法國規定處理刑事定罪和犯罪數據的目的是預防、調查、偵查或起訴刑事犯罪，意大利規定在根據GDPR第10條制定的國家法律缺失時，可以由司法部部長確定。上述數據處理活動只能在有限范圍內進行，甚至法國要求在不重新識別相關人員的情況下才可以處理已公布裁決中的公共信息。可以看到，即便是在擁有統一數據保護準則的歐盟，各國對于同一種類個人數據在不同場景下的保護程度實際上并不完全相同。

2.2 美國

美國沒有 “特定身份” 這一概念，在其聯邦和各州的法律中有特定身份信息種類的列舉。政府頒發的唯一標識符在美國社會具有較高敏感度，《消費者數據隱私和安全法案》《消費者在線隱私權法案》《美國消費者數據隱私法案》都將其列為敏感個人數據(見表2)。在界定敏感未披露數據時，《消費者在線隱私權法案》《美國消費者數據隱私法案》強調的是以不符合個人合理期望方式的處理行為，而不是數據本身，與其他法律的界定范圍明顯不同。除種族或民族，《數據保護法案》《在線隱私法案》還增加了膚色和國籍。雖然《數據保護法案》沒有定義敏感個人數據，但對 “敏感數據使用” 進行了界定，其中涉及特定身份的內容繁多，如刑事定罪或逮捕、公民身份，甚至退伍軍人身份和性別都涵蓋在其中。

表2 美國聯邦法律中與特定身份信息相關內容對比

目前美國只有少數州制定了個人信息保護法。《加利福尼亞州隱私權法案》在敏感個人信息界定中列舉的特定身份信息包括政府頒發的唯一標識符的具體種類，《弗吉尼亞州消費者數據保護法案》《華盛頓州隱私法案》中規定的一類敏感個人信息不是各種身份證件號碼，而是公民或移民身份，實質上擴大了保護范圍。雖然美國聯邦和各州法律規定的敏感個人數據種類存在差異，但政府頒發的唯一標識符、種族、民族、膚色、國籍等數據還是受到了較多認同進行強化保護。將美國與歐盟的立法進行比較，能體現出敏感個人數據較強的本土性特點。經濟合作與發展組織(OECD)《隱私框架》指出各國文化傳統差異是導致立法中敏感個人數據種類存在差別的主要原因，如歐盟可能不太介意處理膚色、國籍等個人數據，而美國認為處理這些數據極可能導致歧視的后果[11]231。這實質上體現了 “移民國家” 對移民問題的高度敏感。

2.3 其他國家和地區

敏感個人信息在日本《個人信息保護法》中被稱為 “需要特別關注的個人信息” 。2017年實施的《個人信息保護法》第2條第3款規定 “需要特別關注的個人信息是指包括種族、信仰、社會地位、病史、犯罪記錄(criminal record)、因犯罪受損害的事實或內閣令規定的其他處理需要特別關注以免造成不公平歧視、偏見或其他不利的個人信息” ，列舉的種類與特定身份信息有密切關聯。與法律同步實施的內閣令有上述條款的補充規定，內閣令第2條首先指出 “《個人信息保護法》第2條第3款中由內閣令規定的內容不包括犯罪前科(criminal history)” ，并增加 “對犯罪嫌疑人、被告人實施逮捕、搜查、扣押、拘留、提起公訴或者其他與刑事案件有關的程序的事實” 等內容。綜合看，日本法律對過去或現在發生在刑事訴訟過程中的實體或程序事實進行特殊保護。2020年公布的《個人信息保護法修正案》未對該界定作出修改，內閣令仍舊具有重要參考價值。日本通過內閣令對重要的敏感個人信息種類進行補充或界定的方式有效減少了法律適用過程中的不確定性，可為解決我國特定身份信息適用困境提供借鑒。

2020年實施的韓國《個人信息保護法》沒有界定敏感個人信息，但第23條敏感信息處理的限制中提到禁止處理的信息包括信仰、加入或退出工會或政黨。與美國將政府頒發的唯一標識符納入敏感個人信息進行保護的思路不同，韓國使用單獨條款規定居民登記號碼處理的限制條件，與GDPR規定方式相似(GDPR第87條)。2011年《個人信息保護法》第24條處理唯一標識符的限制經過多次修改，最終規定為第24條處理個人可識別信息的限制和第24-2條處理居民登記號碼的限制。第24-2條第1款明確個人信息控制者不得處理任何居民登記號碼的基本規則，說明立法者逐漸認識到居民登記號碼的高度敏感性并為其制定更為嚴格的保護條件。

2.4 可借鑒之處

除韓國外，上述國家或地區以及巴西、墨西哥等均將種族或民族這類特定身份信息納入敏感個人信息進行保護。同樣在全世界受到廣泛保護的還有宗教信仰信息，雖然《公約》具體保護宗教或其他信仰，GDPR則選擇宗教或哲學信仰，韓國和日本直接使用 “信仰” 這一概念，但不可否認的是宗教信仰信息都是敏感個人信息中的重要一類。

美國聯邦法律非常關注政府頒發的唯一標識符這類敏感個人信息，列舉的社會保障號碼、護照號碼和駕駛執照號碼均具有概念所述的 “政府頒發” 與 “唯一標識” 二要素。韓國《個人信息保護法》使用單獨條款規定禁止處理居民登記號碼規則。居民登記號碼由韓國內政部統一發放，可作為居民個人納稅人識別號使用，同樣滿足 “二要素” 要求。我國與之相對應的是身份證件號碼，針對目前頻發的身份證件號碼泄露或非法使用導致人身、財產受損的案件，有必要借鑒美國和韓國的做法，在我國對身份證件號碼提供更嚴格的保護。

歐盟及其成員國和日本均為犯罪記錄類信息規定了特殊處理條件，但規定中使用的概念不同使得實際保護范圍有所差別(見表3)。歐盟GDPR規制與刑事定罪和犯罪或相關安全措施有關的個人數據處理行為，《公約》還將違法行為納入特殊類型數據進行嚴格保護。日本法律中所用概念為 “犯罪記錄” ，且內閣令中明確 “犯罪前科” 與 “犯罪記錄” 二者存在不同之處。犯罪前科不包含刑事強制措施等程序事實。例如，犯罪嫌疑人首次被批捕還未被起訴，該記錄不是犯罪前科，再如，有罪判決中的犯罪事實是犯罪前科，但在刑事訴訟期間產生的批捕、提起公訴等信息屬于犯罪記錄中一種與刑事案件有關的程序事實。判決有罪或執行的結果固然重要，但也不能忽視其間各種程序記錄信息對人格尊嚴的影響，日本對二者實現同等嚴格保護的做法值得借鑒。我國應對犯罪記錄類信息予以足夠重視，需要結合司法公開現狀和《個人信息保護法》中關于已公開個人信息的有關規定，在保障公眾知情權和公共利益的基礎上，為犯罪記錄類信息劃定合適的保護范圍。

表3 域外特定身份信息界定的共同點與差異

工會成員身份在歐盟、美國、韓國、澳大利亞、巴西等國家和地區都屬于敏感個人信息，其能夠揭示個人經濟、職業、政見等多個方面，尤其是政見或政治觀點在某些國家法律中也屬敏感個人信息。在特定歷史背景影響下，工會成員身份具有較高敏感度，而我國不具有相應社會背景，不需要將其納入敏感個人信息，如果工會成員信息滿足已識別或可識別自然人的要求，將其作為個人信息保護即可。

3 我國特定身份信息的界定思考

3.1 特定身份信息的界定方式

我國《個人信息保護法》使用概括加列舉方式界定敏感個人信息，所列舉的種類對于個人人格尊嚴和人身財產安全的極端重要性已經被人們普遍認可[7]，而沒有被列舉的個人信息也會在某些處理場景下 “升級” 為敏感個人信息。在界定特定身份信息時，可采用定義加列舉方式，因 “特定身份” 外延較廣，為避免掛一漏萬，引入 “場景理論” ，既可為靜態列舉提高適用靈活性以應對技術的快速發展，又能夠彌補動態多元場景帶來的判斷標準主觀且難以統一的不足。有學者初步嘗試將特定身份信息定義為 “自然人基于生物或社會構建而產生的某種身份信息” ，并列舉最典型的特定身份信息包括民族、種族、工會成員、政黨成員、性別、犯罪分子身份等信息[8]261，但缺乏詳細論證。考慮到我國目前尚無相關實踐，理論研究也處于起步階段，科學清晰地定義 “特定身份” 這一概念的條件尚不成熟。本文選擇結合我國文化歷史和社會發展需要，列舉出敏感度被普遍認可的特定身份信息，如種族、民族、身份證件及身份證件號碼、犯罪記錄，可稱之為 “絕對特定身份信息” ，并定義含義模糊的列舉項，以求減少適用的不確定性。未列舉的個人信息可能在某些特殊場景中因處理方式、目的等因素使人格尊嚴或人身財產安全面臨較高風險，這類 “相對特定身份信息” 需要在場景中實施動態審查進行個案判斷。

3.2 特定身份信息的種類

人類歷史一再證明濫用敏感個人信息(如種族信息)會助長大規模侵犯人權行為，如種族歧視[12]。如今種族歧視尚未消失，新型歧視如算法歧視、算法偏見更為隱蔽，如通過COMPAS罪犯再犯概率預測系統評估的結論顯示，黑人再犯罪率明顯高于白人，前者是后者兩倍[13]。我國少數民族種類繁多，應當堅持各民族一律平等，維護民族團結。因此，在我國有必要將種族和民族納入特定身份信息進行更為嚴格的保護。

特定身份信息中應當包含身份證件及身份證件號碼。身份證件號碼是指國家機構按照統一標準編制的與個人具有唯一對應關系的號碼。 “特定” 強調具體某個，不同于 “特殊” 所指的非同一般。例如，居民身份證號碼雖不特殊但最常用于證明中國公民身份。身份證件號碼通常用于身份認證，使用場景眾多，可與出行、住宿、金融等多方面信息產生聯系，泄露或非法使用容易危害個人財產安全，尤其是冒用身份證件極易導致本不應由該個人承受的法律關系歸于其名下[6]。只關注身份證件號碼而忽略身份證件會出現保護漏洞，應當將影印件、手持身份證件圖片等包含身份證件的信息和身份證件號碼實現同等保護。但因其具有工具屬性，義務主體通常需要處理身份證件信息以實現身份認證，例如公共圖書館要求讀者在注冊時填寫身份證號碼進行實名認證，履行處理敏感個人信息的合規義務的成本陡增。《個人信息保護法》草案三審稿第62條新增 “推進網絡身份認證公共服務建設”[8]573是一種有效的應對方式，若僅接收驗證結果，不處理相關敏感個人信息，就能夠有效規避法律風險，避免義務主體從特定身份信息適用困境落入保護困境。

“宗教信仰” 與 “特定身份” 同是敏感個人信息的一類，宗教信仰信息能夠揭示個人是否信仰宗教、信仰何種宗教，進而判斷出個人是否具有信徒、教徒等特定身份，特定身份信息中應當包含宗教信仰。在《個人信息保護法》草案二審稿使用 “種族” “民族” 的情況下，并不會產生沖突，而修改后使用 “特定身份” 這一表述涉及將具有包含關系的概念并列進行列舉的問題。建議刪除 “宗教信仰” ，將其歸入特定身份信息進行保護。

犯罪記錄類信息在多個國家和地區的敏感個人信息中有所體現，在我國該類信息同樣具有較高的敏感度。有學者發現在我國認為刑事記錄極度敏感的人占46.22%，認為完全不敏感的僅占13.06%[1]。在《個人信息保護法》起草階段曾有不少建議，主張在敏感個人信息中增加犯罪前科信息類型，從目前情況看，該信息可被解釋到特定身份信息當中[8]265。《規范》將 “未公開的違法犯罪記錄” 列為個人敏感信息，具有局限性。其一，各地違法信息公開程度不一，強調未公開特征使得各地之間保護差異較大。如上海市公開被處罰人姓名，而浙江還公開行政處罰決定書的全文或摘要，其中包含職業、行蹤軌跡等多種個人信息，還有許多省市未公開或僅公開某類行政處罰信息。其二，違法記錄包含內容多，只有部分違法行為在特定場景下具有較高敏感度，如禁漁區捕撈和嫖娼兩種違法行為對人格尊嚴的危害程度不同。考慮到司法公開力度之大，公開的限度、范圍、程序等方面存在不足，有必要將 “犯罪記錄” 作為敏感個人信息進行保護并規定特殊的處理條件。《公安機關辦理犯罪記錄查詢工作規定》第2條將犯罪記錄定義為 “我國國家專門機關對犯罪人員的客觀記載” ，除法院生效判決確認有罪外，僅涉嫌犯罪、檢察院作出不起訴決定或終止案件偵查的都不屬于犯罪人員，此處犯罪記錄被作狹義理解。事實上，各級人民檢察院已在網上公開大量不起訴決定書，結合其他信息容易識別特定個人并侵害其人格尊嚴。因出具犯罪記錄證明與保障個人信息權益兩者差異顯著，此處犯罪記錄應進行廣義理解。本文認為犯罪記錄是指過去或現在與刑事定罪或犯罪有關的程序或實體事實的記載。檢察院和法院在平臺上公開的犯罪記錄屬于《個人信息保護法》第27條規定的 “其他已經合法公開的個人信息” ，個人信息處理者在合理范圍內處理不需要取得個人同意，但若處理個人信息對個人權益有重大影響，屬于超出合理范圍處理的典型情形[11]222，需要另行取得個人同意。雖然處理被合法公開的敏感個人信息容易對個人權益產生重大影響，但平臺上公開的犯罪記錄已經按規定刪除身份證號碼、住址、銀行賬號等個人信息，單獨無法識別特定自然人，考慮到犯罪記錄信息具有公共屬性，應當認為不以重新識別特定自然人為目的進行的處理屬于合理范圍，實現個人權益和公共利益之間的平衡。

3.3 特定身份信息界定中的場景理論

除列舉的 “絕對特定身份信息” 外，為能夠及時應對新技術、新應用引發的人格尊嚴或人身財產安全危機，還應當為其他可以揭示個人特定身份的敏感個人信息留下一定的適用空間。 “場景理論” 由美國教授海倫·尼森鮑姆提出[14]236，最早用于解釋隱私信息問題，后被國內多名學者用于討論敏感個人信息的種類和保護。該理論摒棄了靜態 “全有或全無” 的認定方式，主張在場景中考慮多因素的共同作用，對風險進行動態監控和評估。在特定身份信息難以實現逐一列舉的情況下，場景理論也可為其界定提供有益借鑒。

判斷某個特定身份是否屬于敏感個人信息中的特定身份信息，不能脫離敏感個人信息的共性特征。職業、學歷、性別等均可揭示個人特定身份，根據場景理論，將其認定為特定身份信息需要考慮個人信息處理范圍、方式或目的是否符合《個人信息保護法》第28條使用的 “基本權利面臨高侵害風險”[11]227標準，該條款與場景理論使用的風險導向思維具有較高契合度。在人工智能技術快速發展的今日，由機器識別出個人的特定身份，據此開展的信息處理活動應用場景多樣。例如，招聘平臺對個人簡歷內容進行分析或畫像并篩選推薦崗位一般不會危害人格尊嚴、人身或財產安全，但若泄露簡歷信息或將簡歷投遞去向推送給當前任職公司的主管人員牟利，很容易使個人遭遇排擠、辭退等不公平對待，該場景下處理目的成為考量職業信息敏感度的重要因素。再如，有研究表明，女性收到谷歌發送的高薪工作推薦次數只有男性的六分之一[15]，此時依靠算法作出決策的處理方式在女性就業方面產生了性別歧視等嚴重不利影響。圖書館通過讀者提供的學校、專業、學歷、職稱、職業等個人信息，結合借閱記錄和瀏覽信息分析個人閱讀興趣并為其提供個性化服務，應避免非法使用造成歧視等危害結果，尤其是將芝麻信用分數作為注冊或借閱條件的公共圖書館，更要關注信用分數高低對推薦服務算法的潛在影響。因此，沒有列舉的個人信息并非沒有敏感性，而是需要在具體場景中結合信息處理的多種因素進行綜合判斷。

4 結語

特定身份信息是敏感個人信息中重要一類，其界定缺失帶來的適用困境亟須解決。我國可為《個人信息保護法》制定相關配套制度，如行政法規、部門規章或司法解釋，明確規定特定身份信息應當包括種族、民族、身份證件及身份證件號碼、宗教信仰、犯罪記錄，并進一步對 “身份證件號碼” 和 “犯罪記錄” 概念進行定義，以及針對犯罪記錄信息附加特殊處理規則，同時引入場景理論進行個案分析，在多因素影響下進行風險動態、綜合評估，方可有效解決法律適用困境。

注釋

①我國與韓國、日本等使用 “個人信息” 概念，歐盟及其成員國使用 “數據” 概念，美國法律中二者都有使用，以法律規定原文表述為準。

②支付寶隱私權政策使用 “個人敏感信息” 概念，此處統一表述為 “敏感個人信息” 。