匿名信息再识别的法律规制研究.pdfVIP

摘要

匿名信息再识别的法律规制研究

匿名化处理能够分离个人信息承载的人格利益与财产利益，在保障个人信

息安全的同时，促进经过处理的匿名信息之充分利用，其对实现信息保护和利

用的平衡具有极为重要的价值。然而，目前我国立法对匿名化处理标准的规定

较为模糊，导致现实中经过匿名化处理的个人信息仍内生有一定的再识别风

险；此外，在数据分析处理技术高速发展的背景下，信息总量的爆发式增长、

信息再识别技术的不断增强，加之当前我国匿名化处理者普遍采取的简约化匿

名处理手段，均导致匿名信息的再识别风险居高不下。

当前，我国立法尚未能实现对匿名信息再识别风险的有效规制。一方面，

针对匿名信息再识别行为的法律制度缺失，涉及匿名信息再识别风险规制的规

范文件不成体系、效力位阶低、欠缺法律强制力的问题突出；另一方面，匿名

化处理者的法律义务与责任缺位，无法实现对再识别场合下信息主体合法权益

的有效保护。鉴于当前的匿名化处理技术均无法使信息完全丧失可识别性，必

须在立法层面确立针对匿名信息再识别行为的法律规制规则。根据安全保障义

务的理论基础——危险控制理论，匿名化处理者对匿名信息具有较强的控制能

力，其理应负有采取一定措施以防范再识别风险发生的义务，同时，让匿名化

处理者负担相应的法律义务能够最小化防范匿名信息再识别风险的社会总成

本，并且符合民法上的信赖利益保护原则。基于上述理由，应当赋予匿名化处

理者针对匿名信息的安全保障义务。此外，立法还应明确匿名化处理者在违反

此种法律义务时应当承担的民事责任，从而确保其能充分履行所具有的义务，

妥善保障个人信息安全。

具体而言，匿名化处理者的法律义务主要包括如下内容：其一，进行充分

匿名化处理的义务，匿名化处理者在进行匿名化处理时，必须采取充分的处理

措施以尽可能消除匿名信息具有的可识别性，并达到相应的法律标准；其二，

风险评估义务，匿名化处理者需要在匿名化处理的事前和事后阶段分别进行风

险评估，并且根据不同的评估结果采取不同的信息处理和保护措施；其三，禁

止进行再识别行为的义务，一方面，匿名化处理者自身必须作出禁止从事再识

别行为的承诺，另一方面，其应在与第三方的协议中与第三方达成禁止其进行

摘要

再识别行为的约定，并对其行为予以必要的监督。

当匿名化处理者违反法定义务时，若此种义务已经以合同条款的形式被约

定于信息主体与匿名化处理者的合同之中，依据我国《民法典》，信息主体有

权选择请求匿名化处理者承担违约责任或者侵权责任；若合同中未明确约定，

匿名化处理者亦应负有保护信息主体信息安全的照顾、保护义务，此种义务属

于合同法上的附随义务，当匿名化处理者未适当履行此种义务造成信息主体受

到损失时，信息主体亦可主张要求其承担损害赔偿等责任。在匿名化处理者的

行为构成侵权的情况下，当存在第三方主体进行再识别行为时，匿名化处理者

侵权责任的认定具有一定的特殊性：对匿名化处理者违反法律义务的行为和信

息主体所受损害间因果关系的认定应采取“补足的因果关系说”，在匿名化处

理者是否具有过错的认定方面应采取“客观过错说”。在损害赔偿的认定方

面，应当适用《民法典》第1182条的规定。此外，在信息主体受到严重精神损

害的场合，还可请求匿名化处理者承担精神损害赔偿责任。

关键词：匿名信息，再识别风险，法律规制，法律义务，民事责任

2

Abstract

StudyontheLegalRegulationof

AnonymousInformationRe-identification

Anonymizationprocessingcanseparatethepersonalityinterestandproperty

interestcarriedbypersonalinformation.Whilesafeguardingthesecuri