引子

个人信息保护最大的争议或许不在于如何保护，而是该保护什么，以及在充分保护个人信息的前提下，也能尽可能保护行业和经济。

正文

中国正在紧锣密鼓地落地个人信息保护的一系列法律法规，靴子落地后，互联网营销行业，以及与消费者运营相关的工作肯定会因此受到极大的影响。

从消费者的角度上，将所有的个人信息都保护起来可能是一个让人无比放心的办法，但会不会产生一些毫无必要的副作用？这些作用不仅仅在于个人所获得的数字服务乃至线下服务体验的下降，更在于整个社会成本的上涨和效率的降低。

个人信息的定义太严格

没有任何一个问题，能够比到底什么才算“个人信息”更加核心。

《网络安全法》（这个法律是当前所有法律中，关于个人信息保护方面的最直接相关的法律了）在其附则中对个人信息的定义是：“个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。”

最新的由“网信办”出的《数据安全管理办法（征求意见稿）》也沿用了上面《网络安全法》中关于个人信息的定义，一字都不差。

按照国家的立法，个人信息，本质上包含两个组件：第一部分，是识别到具体个体的ID，例如电话号码、email、身份证号，以及硬件ID等；第二部分，附着在这个ID上的属性信息，比如血型、收入、工作职位等等。二者结合，就是个人信息，或者俗称的“隐私”。例如，我们知道1851111111（ID）电话号码的主人的血型是B型，或者一个叫李明（ID）的人住在某某地址。

那么，是不是只要是识别个人的ID+个人属性就一定是个人信息呢？

目前的法律法规虽然没有明文说明，但表示了非常明确的意思。第一，上面法条的“包括但不限于”及其后的列举，实际上表示了穷举的意思（读法律的都懂）；第二，基于《网络安全法》的一个国家标准——35273（《信息安全技术个人信息安全规范》），明确列明了几乎所有我们所用的ID都是个人信息。

例如，它（国标35273）明确写道：

“个人常用设备信息，指包括硬件序列号 、设备 MAC地址、软件列表 、唯一设备识别码（如 IMEI/android ID/IDFA/OPENUDID/GUID、SIM卡 IMSI信息等）等在内的描述个人常用设备基本情况的信息。”

也就是说，没有什么例外，只要能够对应到个体的ID加上描述这个个体的属性信息，就属于个人信息。这一点业界虽仍有不同的讨论，但总体其实已经没有什么争议。

这个定义，对个人的保护肯定是“尽善”了，但是不是“尽美”，恐怕没有那么简单。至少，如果按照这个定义进行执行，整个行业不是被影响，简直就是，完全被颠覆掉！

一刀切！

这个定义最大的问题，是实在是太一刀切了。

按照这个定义，互联网广告行业首当其冲，基本上得退回到近30年前，互联网广告刚刚开始的年代。因为那个时候，投放广告是完全不收集任何ID的。

但是，基本上在20年前，广告投放就已经要开始收集ID信息，以判断广告投放的效果。例如，最初收集的是IP，然后是cookie，以及捆绑在这两个ID之上的广告展现数量和点击数量。

但按照现在的定义，如果cookie被作为个人信息加以管控，那么，网站端广告的投放效果可能永远也无法知道了。如果效果不可精确计算，那么所有基于CPM、CPA、oCPM等等之类计价的广告，都不可能存在，都必须得退回到CPD时代。

但cookie还不是最令人担心的，移动端更令人胆寒，因为移动端几乎所有的互联网广告业务，都需要依靠某种移动端ID（尽管不一定必须是硬件设备ID，但似乎目前的法规已经完全将它们混为一谈了）。

毕竟，所有的广告投放都需要这些匿名ID准确而全面的标记，才能实现效果的追踪。而效果的追踪又是智能化广告投放进行机器学习的基础。更何况就算干掉了所有的ID，广告也不可能消失，相反对普通人而言，没有ID标记的广告会变得更加不精确，会变得更加利用各种耸人听闻的创意来吸引普通人的注意，从而极大降低普通人的互联网体验。

不仅仅是广告行业受到极大冲击，各种新零售、线下数字化革命、IoT（物联网）、人工智能等等，都将面临极大阻碍。

而且，部分本来就拥有这些数据的组织或企业，或者拿到尚方宝剑（国家牌照）的少部分企业，会更加垄断这些数据，而成为其他竞争对手永远不可企及的竞争优势，严重阻碍行业的公平和发展。

这绝对是一个大大的退步。

有人说，不会的，你说的太绝对，毕竟法律留了口子，只要是用户表示“明示同意”的，都仍然可以使用。

但我想说，既然需要明确的用户同意，那么就必然有用户同意，也有用户不同意，用户ID数据就必然只是所有互联网用户的一部分ID，数据也永远只能抽样。而抽样的数据，用于统计或许可以，但用于需要精确计算的交易结算和人工智能，那就太过荒谬。

更何况，用户并非专业人士，无法了解所有的ID是否都是“危险”的，普通人一定倾向于“能不同意的就不同意”，这一倾向将使真正本应该可以安全应用的数据，变得更加稀缺。

这对于发挥数据的价值、挖掘数据的智能、提升产业的效率，促进经济的增长，以及对对抗行业中的虚假和作弊都有百害而无一利。

实名ID才应该是个人信息

即便是按照目前的规定，所有的ID都算个人信息的话，这些ID的情况也相差巨大，对普通人的影响程度也从几乎毫无影响到严重影响而各不相同。

如果对普通人的影响几乎可以忽略不计，但却能够给产业的进步带来巨大价值，又何必因噎废食，皆一棒打死呢？

比如，现在业界争议最大的IMEI号。

IMEI号是手机端的硬件ID之一，它是匿名的，并不直接对消费者构成骚扰。正常情况下，用户行为数据和它相结合，广告商基于它投放更符合用户兴趣的广告，或是互联网服务商用它提供推荐内容。

IMEI号开始存在“问题”并不在于它本身，而是它与手机硬件绑定，因此不可改变。而运营商或者BAT类互联网企业又有几乎所有人的电话号码和IMEI号的对应关系记录，因此IMEI号能够被部分的组织或企业转变为电话号码。

而电话号码是实名的。

于是，现有法规的逻辑似乎是这样推导出来的：IMEI号因为与电话号码有一一对应关系（实际上也只是大体上一一对应，细节我就不多讲了），所以IMEI号大大滴危险。

可是，若你只是用IMEI号匿名标记用户，而不借助于其他实名ID，你是不可能知道到底这个人是谁，并且也绝对不可能通过电话、短信之类的实名渠道去骚扰这个人的。

或者换句话说，IMEI号本身并无危险和伤害，所谓的“危险和伤害”是对它进行“实名化”，即将它转变为手机号码才产生的。

但法律法规为什么对这样的匿名ID限定严格，却不去规范或禁止匿名ID的“实名化”呢？

对此，我只能猜测，一个原因是因为堵住源头（把一切都作为实名ID看待）更加容易实行罢了。

但伤害就太大了。

比如，国标35273，将IDFA和IMEI号列在了一起。

如果说IMEI号有“原罪”（它是硬件ID，且跟手机号码能一一对应）还勉强搭的上边的话，那么IDFA则真是太过冤枉。

IDFA跟IMEI有本质不同，前者是iOS生成的、完全基于软件的ID，并且完全匿名。任何人，只要你愿意，可以随时关闭它，也可以随时改变它。因此，它不存在大面积的跟手机号码一一对应的可能性。

它的诞生，就是为了解决广告行业此前只能用硬件ID（例如IMEI）来标记用户的问题，所以它的名字的来源是ID For Advertisers（为广告主准备的ID），是一个软件ID。

在这一点上，IDFA本质上与cookie很类似。因此，除非对IDFA进行“实名化”，它对互联网用户的个人信息和隐私绝无影响。对IDFA“实名化”虽然不是不可能，但跟IMEI的情况又远远不同，前者没有类似于IMEI号这样的一个中心化的组织（例如运营商）能拥有所有设备的IMEI和手机号码的对应关系，所以IDFA的实名化注定只能是小范围的。

但，即使它可以被实名化，那也是“实名化”这个操作本身的问题，而不是这个匿名ID本身存在问题。匿名ID正是因为它是匿名的，所以它本无法跟具体的个人联系起来，它也不应该被算作是“个人信息”！

更何况，实名化本身，如前面IMEI号和IDFA的案例所表述的：不同的ID被实名化的范围和难度也非常不同。因此如同这一节最开始讲的，它们对个人信息和隐私保护的影响也非常不同。既然实名化后的影响不同，立法也就不应该对它们都一棒打死，一刀切之。

这里，必须提及被yang视315晚会曝光的手机无线网卡的MAC地址。因为我们肯定不能按照yang视315晚会的标准来看待什么属于个人信息。Yang视是新闻机构，不是专业机构，它的判断依据是——有没有引起社会的关注和舆论的不满。但，这不是国家立法的依据，而且非常误导民众，他们有情怀，无道德，不专业。

MAC地址，与IMEI号的情况实在是非常相似，它也是硬件ID，也可以被“实名化”。它被引起新闻性恐慌和诟病，也同样是缘于这一点，因为公众会以为用了公共wifi，甚至进入了某些wifi探针的范围内，自己的实名信息就被盗取无疑，这简直是天大的玩笑！

要知道它被转化为手机号码的难度肯定比IMEI号大多了，范围也没有那么广泛。

更何况，MAC地址本是无辜的，该监管的是对它的“实名化”——只有转化为实名ID，才应该纳入监管。或者，更根本的，是只有实名ID才是真正的个人ID。

同样的逻辑，cookie这个被应用了数十年，极为匿名的ID，也一样可以被实名化，但范围和有效期都实在太短太短了——因为cookie死得快。那么，若按照现在的规范，它也属于个人信息的话，那就意味着一切ID，无论永久的还是临时的，无论硬件的还是软件的，无论实名的还是匿名的，就都是个人信息了。

这个面实在是太大，一定已经大到违背立法初衷的程度。

现行法规的矛盾

正是因为这样的逻辑矛盾，现行法规留了一个口子，而这个口子，又正好跟各法规们之前的表述形成了矛盾。

这也是为什么，当前业界有点莫衷一是的原因。

网信办的《数据安全管理办法（征求意见稿）》第二十条，是一个有意思的条款，它写道：“网络运营者保存个人信息不应超出收集使用规则中的保存期限，用户注销账号后应当及时删除其个人信息，经过处理无法关联到特定个人且不能复原（以下称匿名化处理）的除外。

显然，这一条意味着，从立法者的角度看，匿名化处理的，还是可以不算作个人信息的。

但这里的表述很含混，什么叫做“关联到特定个人”呢？例如，cookie，显然是匿名的ID，但它存在的本质也是为了关联到特定个人。而IMEI和MAC，它们比cookie有更强的个人关联能力，但它们本质上也是匿名的。

如果我们按照匿名本来的意思解释这个法条，那么IMEI、MAC，以及更安全的IDFA和cookie就应该被允许，因为它们是匿名的，只有把它们转变为电话号码才算变成实名。

但如果按照无法关联到特定个人才能算得上匿名这个定义来解释这个法条，IMEI、MAC、IDFA和cookie就都不能算是匿名的，甚至被MD5加密的IMEI也不是匿名的——因为MD5加密后的IMEI号，虽然不能还原为IMEI号，但它仍然能够关联到特定的个人。

那么，到底应该怎样执行？

公众愤怒的是各种垃圾电话和短信，是在未经允许的情况下了解到了我的实名隐私，并利用实名渠道进行的骚扰，或者，大家担忧自己的个人隐私被窃取，并且关联到实名的个人头上。而广告本身，只要它是规范的，对消费者的骚扰就小很多很多了。

这既意味着，法律应该对ID的实名和匿名情况加以区分处理，又应该约束ID（无论是实名还是匿名）上可以附着什么样的个人隐私信息。比如，移动电话不应该监视用户的输入法输入，也不能监听用户的声音，更不能偷偷录音，无论它最终会把这些文字和录音附着在IMEI号，还是电话号码上，都不改变用户的文字和录音本身是窃取消费者个人信息而来的恶劣性质——原因在于，人的打字和说话内容包含大量实名隐私信息。但你不能说这是IMEI号的错而限制IMEI号，却不去限制录音行为本身。

反过来，一个IMEI号或cookie上附着着在它对应的移动电话上各种广告展现的次数或是点击的次数，就真没有太大必要被禁止收集或是要明示同意后再被收集了。因为，这二者都是完全匿名的。

什么是合理的办法

真正应该发生的状况，是国家对于“个人信息”有清晰、严格并且区分情况的定义和要求。

首先，实名信息，并且会对消费者的隐私造成侵犯，对消费者的生活进行打扰的，必须要严格控制。

其次，匿名ID不应该是被严格限制的个人信息，应该被严格限制的是匿名ID的实名化，而更应该被严格限制的是，匿名ID被实名化之后的应用。

最后，匿名ID本身无错，附着在其上的信息却可能是普通毫无侵犯个人隐私的匿名信息，也可能是非常敏感的实名信息，因此，应该对收集什么样的附着在ID上的信息加以定义和约束，而不是对匿名ID本身如此如临大敌。

总体看，目前的法律法规对于极为重要，极为具有焦点意义的个人信息的定义太过于一刀切。这并不会增加消费者的隐私保护利益，却极大地损害了行业的利益，并且将很可能带来更多未来的危害。