2. 个人信息处理的法律基础与关键定义

个人信息合规管理的第一道门槛，不是写制度，而是把“处理对象”和“处理依据”说清楚。对象判断错了，后续的告知、同意、影响评估、跨境传输都会连锁出错；依据选错了，即使流程完整，处理活动仍然缺乏合法性基础。本节围绕四个核心判断展开：什么是个人信息、什么是敏感个人信息、匿名化与去标识化的区别，以及告知同意等合法性基础如何落地。

一、个人信息的识别：从“可识别”到“关联”

《个人信息保护法》第四条给出的定义是：以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。这个定义包含两个关键支点：一是“已识别或可识别”，二是“与自然人有关”。前者强调信息本身或结合其他信息能否指向特定个人；后者强调即使暂时无法指向具体个人，只要在特定场景中与某人相关，也可能构成个人信息。

实务中常见的误判是“只要不写姓名就不是个人信息”。例如，一条记录包含“工号 A0231、部门、生日、绩效等级”，单独看没有姓名，但工号在内部花名册中可直接对应到人，仍属于个人信息。再如，设备 ID、IP 地址、Cookie 标识、手机号哈希值，在多数场景下都属于可识别信息。判断时可采用“三步识别法”：第一步看信息内容是否直接标识；第二步看能否与机构内部其他数据关联；第三步看结合外部合理可得信息后是否可识别。三步中任一步成立，就应按个人信息管理。

二、敏感个人信息：更高门槛的处理类别

敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息。法律列举了生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。与一般个人信息相比，敏感个人信息在合法性基础上要求“特定目的、充分必要性、严格保护措施”，并通常需要取得单独同意。

识别敏感个人信息时，不能只看字段名称，而要看“信息内容+场景后果”。例如，单独一张人脸照片可能只是普通图像，但用于人脸识别门禁时，就属于生物识别信息；消费流水本身是交易记录，但若用于分析健康状况或宗教倾向，就可能触及敏感类别。企业应建立字段级分类清单，对每个字段标注“是否敏感、依据、典型场景、处理权限”，并在数据地图中与系统、接口、存储位置关联。

三、匿名化与去标识化：不是同义词

去标识化是指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人。注意“不借助额外信息”这个限定：如果企业把直接标识替换成假名，但把假名与真实身份的映射表单独保存，那么借助映射表仍可复原，这属于去标识化，处理后的数据仍然是个人信息，仍受《个人信息保护法》约束。匿名化则要求处理后的信息无法识别特定自然人且不能复原，此时不再属于个人信息，可以更自由地用于统计分析、模型训练等场景。

两者的核心分水岭是“重识别路径是否被彻底切断”。实务中可检查三点：是否删除了直接标识符；是否清除了准标识符组合（如邮编+生日+性别）；是否销毁或不可逆地隔离了映射表。若映射表仍需保留用于业务对账，则只能主张去标识化，不能主张匿名化。很多企业把“脱敏”等同于“匿名化”，这是高风险误区。

四、告知同意与其他合法性基础

告知同意是个人信息处理中最常见的合法性基础，但不是唯一基础。告知要求“真实、准确、完整”，通常以隐私政策、弹窗、站内信等形式呈现，内容应包括处理者身份、处理目的、处理方式、信息种类、保存期限、个人权利行使方式等。同意则要求“自愿、明确”，敏感个人信息、向第三方提供、公开披露、跨境传输等场景还需取得单独同意。单独同意不能藏在冗长隐私政策中，应以独立弹窗、独立勾选或单独确认页实现。

除同意外，还有五类常见合法性基础：为订立、履行个人作为一方当事人的合同所必需；为履行法定职责或法定义务所必需；为应对突发公共卫生事件或紧急情况下保护自然人生命健康和财产安全所必需；为公共利益实施新闻报道、舆论监督等在合理范围内处理；以及法律、行政法规规定的其他情形。选择时应遵循“最小必要”原则，不能因为“有同意”就无限扩大处理范围。

五、判断顺序与常见误区

正确的判断顺序是：先判断是否属于个人信息，再判断是否属于敏感个人信息，然后匹配合法性基础，最后确定告知与同意的具体形式。常见误区有四个：一是把去标识化数据当作匿名化数据自由使用；二是把“用户同意”当作万能依据，忽略合同必需、法定义务等更优先的基础；三是敏感个人信息只做一般告知，未取得单独同意；四是把不满十四周岁未成年人信息当作普通信息处理，未取得监护人同意。

掌握这些定义与基础，后续的数据映射、告知同意设计、影响评估和跨境传输才有稳固的起点。合规不是从写文件开始，而是从准确识别“这是什么信息、凭什么处理”开始。