作者：宁宣凤（合伙人） 杨楠（主办律师）
"隐形面单"：个人信息保护的有益尝试
近日，一则顺丰快递在行业内首推"隐形面单"的新闻[1]引发关注。根据相关报道，顺丰快递此次推出的实际上是一个名为"端到端全流程信息安全解决方案"的用户个人信息综合保护技术方案，主要包括以下三方面举措：
- 对快递面单上的用户姓名、电话号码、地址等个人信息进行隐藏或编码，从而实现用户个人信息在快递面单上的全面加密化。
- 针对企业内部可能接触到用户个人信息的各个环节及其工作人员，如收派员、客服人员等，实现用户个人信息的全流程隐藏。
- 逐步进行全国范围内的地址编码工作，以期以编码来全面取代用户个人的真实地址信息。
顺丰的做法，看似只是简单地给用户个人信息披上了一件"隐形衣"，使得用户个人信息在快递服务特别是内部处理和外部投送环节，不再处于"裸奔"状态；但实际上，其背后是一整套技术手段的支持与创新。例如据报道，顺丰在进行用户个人信息隐藏或加密的同时，为了确保快递服务的正常开展，会借助虚拟号码一键呼叫用户、电子签收、地址编码等综合性的替代技术方案，从而同时实现用户个人信息的"隐身"和用户个人的"可循"。
上述措施一经宣布，随即在快递行业内外引起一片叫好之声。这恰恰反映了当前以快递行业为代表的诸多"互联网+"行业所面临的日益严峻的个人信息保护态势和压力。其实不仅是快递行业，在线上线下深度融合的今天，教育、医疗、旅游、零售等越来越多的传统线下行业，正在或者已经向个人信息的"电子化"收集和使用转型。在此大背景下，越来越多的企业也在面对不断加大的个人信息保护方面的合规风险和需求。而顺丰的做法在这样一种意义上不失为一项十分有益和值得借鉴的尝试：企业因其技术运用和发展而产生并持续延展的保护个人信息的法律义务，也许最终还是可以对位并落实到相关技术手段的升级和创新中去。
个人信息"去个人化"：保护的"底线"和"高线"
无独有偶，就在上述新闻见诸媒体前的2017年5月8日，两高联合下发了《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（"《两高解释》"）。值得注意的是，一方面，《两高解释》第一条对"公民个人信息"的定义，依循了此前《网络安全法》、《全国人民代表大会常务委员会关于加强网络信息保护的决定》、《电信和互联网用户个人信息保护规定》等法律法规界定"个人信息"的核心要素，即对特定自然人个人的"可识别性"；另一方面，《两高解释》第三条第二款将未经被收集者同意、向他人提供"经过处理无法识别特定个人且不能复原"的信息的行为，明确排除在《刑法》第二百五十三条之一"侵犯公民个人信息罪"的范围之外。
就上述后一点，实际上在《两高解释》出台之前，已于2016年11月7日通过（并行将于2017年6月1日起施行）的《网络安全法》第四十二条第一款就已作了明确规定，即网络运营者未经被收集者同意，不得向他人提供其个人信息，但是"经过处理无法识别特定个人且不能复原"的信息除外。这一表述与《两高解释》所采用的措辞完全一致。
由此可见，法律对个人信息的保护，归根结底是因为其具有可识别出特定个人的独特属性，而这种对个人身份的可识别性又与法律所保护的隐私权、姓名权等重大人身性法益紧密相关。因此，在应依法取得个人信息主体同意而未取得的情况下，法律将个人信息保护和认定侵害个人信息行为、特别是非法向他人提供个人信息行为的"底线"，划定在是否保护或者滥用了个人信息的可识别性。换言之，只要一项个人信息已经过彻底且不可逆转的"去个人化"而完全丧失其可识别性，法律就不再对其传播或转移加以禁止或限制。
与此同时，尽管法律要求企业采取技术措施和其他必要措施，以确保其收集的个人信息安全并防止信息泄露、毁损或丢失，[2]但法律并未指明具体行业乃至企业所应采取的该等措施究竟为何。仍以顺丰及其所在的快递行业为例，顺丰自然有法律义务确保其所收集的用户个人信息的安全，例如妥善保护其存储用户个人信息的网络设施和信息系统、建立用户个人信息保护的内部流程和规章制度、加强对收派员等能够接触到用户个人信息的工作人员的管理和引导等。但在法律并无明确要求且考虑到快递行业的技术现状和通行惯例的情况下，顺丰即便不推行上述的隐形面单等举措，也并不会违反其所承担的保护用户个人信息的相关法律义务。
尽管如此，顺丰仍然选择开行业之先，采取上述这些法律并未明确要求其采取的个人信息保护措施，实际上恰恰是通过对个人信息的去个人化，在快递行业内划出了一条保护用户个人信息的"高线"——即在已取得用户同意并可合法使用其个人信息的前提下，在后续存储、使用、分享等环节主动采取措施，实现一定程度上的用户个人信息"去个人化"（虽然并不一定能实现"不可复原"，如我们理解地址编码应该还是可以还原成真实地址信息的），从而达到以更有效的技术手段和更高的服务标准来更好地保护用户个人信息的目的。其中尤其值得肯定的是，正如《两高解释》已充分注意到的，当前部分行业中存在的"内鬼"在其"履行职责、提供服务过程中"非法获取、出售或提供公民个人信息[3]的违法犯罪行为有愈演愈烈之势，而顺丰所采取的针对内部收派员、客服人员等的用户个人信息隐藏措施正可谓"对症下药"，也很好地把握了包括《两高解释》在内的个人信息保护法律制度的发展方向。
个人信息法律保护："因行业制宜"的路径思考
就目前来说，顺丰通过用户个人信息去个人化而在快递行业内划出的这条高线，仅是顺丰的自愿之举，既非法律义务，亦非行业标准。但其所带来的思考无疑不仅限于快递行业，而是更大范围内的，即作为用户个人信息保护的直接主体，企业在技术、运营、管理等各方面的模式探索和经验积累，是否有可能反过来促进法律监管的精细化和提升？同样重要的是，不同行业、不同领域内企业的成功做法，是否有可能通过合理渠道上升或转化为适合各个行业自身的法律要求或行业标准？例如是否有可能有朝一日，我们会看到顺丰所推行的隐形面单等举措被写入修订版的《快递服务》系列国家标准？而从企业自身的业务发展和品牌形象来说，市场的力量无疑是最好的"指挥棒"，当出现了某些企业采取比其他竞争对手更严格更有效的用户个人信息保护措施的情况时，相信用户也会以其选择反推整个行业的升级和进步。
一个颇为有趣的巧合是，《两高解释》将与《网络安全法》这部网络个人信息保护的大法同日实施。由此我们认为，随着越来越多个人信息保护领域的法律法规的出台，我国正在织就一张保护个人信息的"法律网"。而在法律"天网恢恢，疏而不漏"的同时，企业主体在个人信息保护合规方面的积极主动求新求变，就显得愈发重要，而为个人信息披上一件"隐形衣"的做法，无疑是一种颇为有益的启发。
[1]例如可参见：http://www.sohu.com/a/141569102_498758。
[2]可参见：《网络安全法》第四十二条第二款；《消费者权益保护法》第二十九条第二款；《全国人民代表大会常务委员会关于加强网络信息保护的决定》之四。
[3]参见两高解释第四、五条。
