而数字经济以数据为关键要素，如何在挖掘数据价值的同时，保护好数据安全，尤其是涉及个人的信息数据，是当下急需解决的问题。去年大数据风控公司被严查，今年万豪酒店泄露大量用户数据，包括疫情下个人健康码的数据安全问题，这些社会热点无不与个人信息保护密切相关，也影响着数字经济的未来。对数据安全及发展的法律法规需求，已十分迫切。今年两会通过的《民法典》，为此开了一个好头。
“隐私”与“个人信息”，谁能成为要素？
《民法典》的一大创新和亮点就是“人格权”独立成编。该编第六章“隐私权和个人信息保护”，明确了“隐私”和“个人信息”的区别。
隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息，任何组织或者个人不得以刺探、侵扰、泄露、公开等方式侵害他人的隐私权。法典也明确了任何组织或者个人不得“处理他人的私密信息”。可以说，隐私和自然人有着密切的“物理”联系，侵害隐私，相当于侵害自然人的身体。
个人信息与自然人则更多的是“数字”联系。个人信息是以电子或者其他方式记录，并能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。对这些信息的处理，并不能直接等同于侵害自然人。比如，知晓一个人的住址和直接闯入他的家里肯定是不同的。现代社会，允许他人处理我们的个人信息，比如拨打电话号码、按住址寄送快递等，已是一种必然。
对于发展数字经济来说，区分隐私和个人信息后，我们就明确了：只有个人信息才可能成为要素，隐私中的私密信息则不可能。当然，法典中也提到个人信息中包含私密信息，应适用隐私权的规定。而私密信息具体有哪些，比如健康信息、行踪信息是不是隐私，法典未有说明，需要未来的《个人信息保护法》等来明确。
“个人信息”成为要素的必要条件
根据《民法典》，个人信息可能成为发展数字经济的要素，但不是必然，还需满足一些条件。
一是要个人授权同意。法典第一千零三十五条规定，处理个人信息应征得该自然人或者其监护人同意。比如许多App都会根据捕捉到的用户数据，投其所好进行新闻或视频推送。这就涉及用户是否允许App运营方抓取和分析相关数据。所以，我们首次打开某个App，都会被要求签署平台服务协议，里面就包含个人信息的保护和授权。
当然，法典也提及，法律、法规另有规定的除外。但这主要是出于保护国家安全、公共利益，不是出于经济发展的考虑。比如疫情期间，为了精准防疫，健康码采集我们的个人行踪信息等。
二是要明确应用场景。包括明示处理信息的目的、方式、规则和范围。个人信息的应用一定是场景化的，是装在一个“瓶子”里的。还是以健康码为例，其采集的行踪信息，用在防疫并无问题，但如果用来判断个人消费喜好、监测人群关系等，则存在过度应用的问题。所以信息处理者应明示处理信息的目的、范围等。从方式、规则来讲，个人信息处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。能够收集、存储，不代表可以使用、加工，能够使用、加工，不代表可以提供、公开，数据的各个处理环节都应当单独授权，不可以笼而统之。这里面也涉及到大量的规则，比如健康码采集我们的行踪信息后，是在何种条件下触发红码，这些信息应在多久后被删除等。
三是不违反法律法规。有些个人信息的授权得到了自然人的同意，也明确了应用场景，但如果违反法律法规，那也是不能处理使用的。比如说涉黄直播间音视频、黑市交易供需信息等。毕竟，数据是对物理世界的一种计量和记录，如果其所记录的事物、事件在物理世界就是不合法的，那么数据要素价值的挖掘也就无从谈起。
“识别说”及免责事由对数字经济的促进作用
从《民法典》来看，还有两点能有效促进数字经济发展。
一是个人信息需符合“识别说”标准。所谓“识别说”，就是能够识别特定个人。法典中对个人信息的定义包括“能够单独或者与其他信息结合识别特定自然人的各种信息”。可见无法识别特定个人的信息不能称为个人信息。由此，法典第一千零三十八条提到，信息处理者要加强数据保护、信息安全，未经自然人同意，不得向他人非法提供其个人信息，但是经过加工无法识别特定个人且不能复原的除外。为何能除外?因为经过加工后，此时的信息已不符合个人信息的定义了。
这个“识别说”标准同样符合2016年发布的《网络安全法》，甚至与欧盟GDPR(通用数据保护条例)将“匿名化信息”排除在个人信息之外也是异曲同工。而这对数字经济发展来说十分重要。比如，健康码采集了大量个人信息，如果加工脱密后，无法识别到特定个人，那么其要素价值将得以显现。像某商店哪个时间段客流最多，哪个年龄段的客人停留时间最长，这些数据完全能够被处理，产生重要的经济价值。同时，这也提醒我们，采集数据时要注意“度”。有些信息无需穿透底层至特定个人，从而可以免受个人信息保护规定的影响，极大丰富数字经济发展要素。
二是明确了处理个人信息的免责事由。法典第一千零三十六条规定，处理个人信息，符合三种情形之一的，行为人不承担民事责任：一是用户同意；二是公开信息，包括自行公开和合法公开的（但是该自然人明确拒绝或者处理该信息侵害其重大利益的除外）；三是为维护公共利益或本人合法权益，合理实施的行为。
明确免责事由，既有效保护了个人利益，也满足了数字经济发展对数据要素的需求。比如我们熟知的企查查、天眼查等App，都爬取了大量公开的个人信息，像个人简介、股东信息等。当然，我们也应意识到，如果发生“人肉搜索”这样出于伤害目的，过度爬取信息，并且最终影响他人生活安宁的，则不在免责范围。
《民法典》的颁布，在法律层面，为运用个人信息要素、推动数字经济发展，做出了一定程度的保障。“路漫漫其修远兮”，我们仍然期待《数据安全法》、《个人信息保护法》等尽快颁布，为数字经济发展开辟更为坚实宽广的道路。
(作者顾子乙为无锡市大数据管理局公务员)