一、問題的提出

　　大數據開啟了一次重大的時代轉型，個人信息的電子化、規模化收集、利用成為一種態勢。在“個體生活公共化”的背景下，我們不但是信息消費者，更是生產者。在追逐、挖掘信息“神奇的鉆石礦”的過程中，產生了如碎屑般彌漫的個人行為軌跡信息，不同于姓名、身份證號、家庭住址、指紋、基因等能直接識別特定自然人身份的信息，它是用戶在線交互的副產品，是網民在互聯網上留下的“電子腳印”。在模擬數據時代和信息技術初期階段，這類瞬時性的、不具有獨立身份識別性的信息（譬如搜索引擎鍵入的關鍵詞、網上購物結束后留下的瀏覽記錄和交易信息），由于技術條件的限制、存儲成本的高昂，在完成它的功能使命后，便被丟進了數據墳墓。

　　但是，隨著信息通信技術的革命性進展，互聯網和信息化浪潮席卷全球，深入社會生活的各個領域，信息的電子化和存儲越來越便捷，個人信息的利用（尤其是二次挖掘的價值）得以彰顯。在大數據強大的聚合、分析能力前，在數據運用利益驅動下，個人行為軌跡信息的“可識別性”不斷增強，人格利益和財產利益愈加凸顯，與個人信息的邊界日漸模糊。面對個人行為軌跡信息的屬性變遷，各國相繼在立法和司法實踐層面做出回應，但所持態度各異、保護模式迥異。歐盟傾向于將Cookie以及其他個人行為軌跡信息納入個人信息保護范圍，美國則存在截然相反的司法判例。我國起初對個人行為軌跡信息的法律保護持排斥態度，之后，北京互聯網法院在黃某訴騰訊科技（深圳）有限公司廣州分公司、騰訊科技（北京）有限公司隱私權、個人信息權益網絡侵權責任糾紛案（以下簡稱“微信讀書網絡侵權案”）中，認定個人社交行為軌跡信息（微信好友關系）和閱讀行為軌跡信息（微信讀書用戶的讀書信息）為個人信息。從我國《民法典》第1034條對個人信息界定及其相較《網絡安全法》第76條所做的文字表述變動中可以看出，民法典中的個人信息不再局限于“身份”識別的范圍，而是將行蹤信息納入了其范疇。這些變化標志著國內立法、司法層面對個人行為軌跡信息的態度發生著轉變。

　　在此背景下，我們有必要與時俱進地審視個人行為軌跡信息的可識別性，理清其法律屬性，考證其被納入法律評價和保護的必要性，從而構建基于分類前提下的本土化法律保護模式。申言之，認定個人行為軌跡信息是否屬于個人信息、屬于何種類別的個人信息以及給予何種強度的保護力度直接關系著個人信息保護的民眾關切，關乎數據控制者、使用者對個人信息收集、利用的法律風險邊界，關聯著我國網絡信息產業的良性健康發展，是該領域研究向細膩化、精致化推進的該當路徑。

　　二、個人行為軌跡信息的可識別性

　　顧名思義，個人行為軌跡信息是相對于法律意義上的有關個人的數據——個人信息的一個對應概念，對個人行為軌跡信息進行法律保護層面的探討不可避免要以個人信息的概念為參照，以其實質要素為比照。

　　（一）可識別是數據權益的邏輯基點

　　之所以將部分有關個人的信息稱為法律上的個人信息，其原因就在于此類信息明顯的可識別性。譬如在美國，個人信息被稱為“個人可識別信息”（personally identifiable information）；歐盟《統一數據保護條例》（以下簡稱“GDPR”）將個人數據定義為“與已識別或者可識別數據主體相關的任何數據”；我國《網絡安全法》第76條第5款將個人信息界定為“單獨或者與其他信息結合識別自然人身份”的信息，《民法典》第1034條認為個人信息是“以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人的各種信息”。識別指的是根據與特定人有關的信息來認識、辨識或鎖定該特定個人，英文統一表述為“identity”。易言之，不能被識別的信息不具有利益或者不屬于受法律保護之利益，談不上法益或權利，自然不在法律保護范圍之列。

　　由此可見，“可識別”是構成法律上個人信息的核心，也是負載于信息之上的人格利益、財產利益的邏輯基點。有學者將“可識別”總結為個人信息的實質要素，而不具識別性的信息可被歸入匿名信息范疇。因此，對個人行為軌跡信息進行考察，就需要以個人信息的實質要素——“可識別”為切入點，對其屬性和地位進行辨析論述。

　　（二）可識別性的判斷標準

　　從學理層面看，目前關于個人信息可識別性的判斷基準有以下三種學說：“主觀說”又被稱為“信息控制者標準說”，其認為信息管理者自身的條件應作為可識別與否的判斷標準；“客觀說”又被稱為“社會一般多數人說”，其認為應從普通大眾、一般人的角度出發判斷個人信息的可識別性；“任一主體說”認為，是否可識別應以社會中任何人識別的可能性來判斷。

　　從各國的操作實踐來看，歐盟采取的是窮盡一切可能性的嚴格標準，GDPR鑒于條款第26條規定：“為確定自然人是否可識別，應考慮到所有合理可能使用的方式，包括控制者或其他人直接或間接地識別自然人所選擇的方式。”“美國沒有制定統一的個人數據保護法，而是形成了‘特別領域立法＋一般領域普通法’體制。”美國《健康保險攜帶和責任法案》（Health Insurance Portability and Accountability Act/1996，簡稱“HIPAA”）第164.514條ｂ款第１項規定，經專家判斷不具識別性的信息不屬于法案規制的“可識別健康信息”，這被稱為專家標準；該款第２項規定，刪除18種識別符的健康信息不是“可識別健康信息”，這被稱為安全港標準。

　　我國目前的規范性文件中，除定義條文對個人信息的外延進行具象列舉外，并無抽象識別標準。《網絡安全法》第42條、《民法典》第1038條規定了網絡運營者或信息處理者的責任豁免情形，即“經過處理無法識別特定個人且不能復原的除外”，可認為該法采取了“處理”加“不能復原”的技術標準。也有學者提出“社會多主體共識”標準，即對個人信息的認定應綜合“行政主管部門、數據代理商、技術與法律專家以及第三方機構”和“各方專業人士和社會公眾”意見。

　　（三）從不可識別到可識別的流變

　　之前之所以將搜索關鍵詞、登錄網站的時間、地點、時長及瀏覽內容記錄等信息區分于個人信息，有兩個原因。原因一：其曾經不具有獨立的身份識別效用，處于邊緣地位；原因二：其一度不被廣泛記錄，缺乏便捷載體。但隨著網絡信息技術的更迭和人們觀念意識的演進，個人行為軌跡信息經歷了從不可識別到可識別的角色流變。

　　1. 技術因素，使個人行為軌跡信息模糊個人信息邊界。在進入信息社會后，尤其是存儲成本的降低、大數據的運用，計算機在信息處理的速度、精度和深度上能力有了極大提升，“使得原來不具有意義的信息片段同樣具有了意義”。由此，立法上的“個人信息”范圍發生擴張，乃至“無所謂‘不重要’數據存在問題”。不論采取“客觀說”還是“主觀說”的識別標準，均無法回避個人行為軌跡信息不斷被新的技術手段所識別從而模糊個人信息界限的事實，譬如Cookie收集的可以體現用戶愛好偏向、性格特征的網頁瀏覽記錄等軌跡信息從邊緣走向舞臺中央，成為“追蹤用戶行為、投放定向廣告中最重要的基礎數據”。

　　2. 認識因素，從身份識別到行為識別或特征識別。《網絡安全法》第76條認定個人信息是單一的身份識別；《電信和互聯網用戶個人信息保護規定》第4條將識別對象擴展為“用戶信息以及用戶使用服務的時間、地點等信息”；最高人民法院和最高人民檢察院聯合發布的《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》第1條將信息識別范圍進一步擴展為“身份”和“活動情況”（行蹤軌跡等）。對此，有學者提出了“行為識別”（activity recognition）和認知型識別（recognition identifiability）概念，也有學者認為“識別”除身份識別外，還包括步態、語音等個體特征識別。

　　上述觀念的演進，使個人信息涵攝更多識別對象，使持續性的瀏覽痕跡、位置軌跡、軟件操作痕跡等部分行為軌跡信息能獨立或與其他信息關聯而輕易識別具體對象成為一種認知和實踐。美國學者丹尼爾·索洛夫（Daniel Solove）和保羅·舒格瓦茲（Paul Schwartz）正是基于該國隱私法中核心概念“可以識別個人身份的信息”所面臨的困境，即難以在技術發展和具體場境差異的情形下有效界定可識別信息的難題，從而提出應將前述概念升級改造為“可以識別個人身份的信息”（第2版）（PII 2.0）、包含“已識別個人身份”的個人信息和“可用來識別個人身份”的個人信息，而行為軌跡信息恰恰符合“可用來識別個人身份”的個人信息特征。

　　三、個人行為軌跡信息的法律屬性

　　個人行為軌跡信息具有了身份或行為的可識別性是認定其法律屬性的前提，接下來還需考察該類信息是否具有法律可予保護的利益，成為權益或權利內容。關于個人信息的法律屬性學界存在爭議，有學者將現有學說歸納為人格利益說（包括隱私權說和具體人格利益說）、個人信息權說和人格兼財產權說，也有學者提出新型權利或知識產權的論斷。不論做何種類別的劃分，均無法繞開人格利益和財產利益之內核。要考察個人行為軌跡信息能否化升為法律保護對象，就需從人格利益和財產利益兩個維度展開。

　　（一）人格利益

　　對個人信息進行法律評價肇始于隱私權益的凸顯。隱私權理論濫觴于美國塞繆爾·沃倫（Samuel Warren）與路易斯·布蘭代斯（Louis Brandeis）合著的《隱私權》（The Right to Privacy）一文，之后在美國演變出信息隱私權這個分支，而法國、德國等歐盟國家卻采取了由“信息自決權”演化到具體人格權的進路，我國則概括性地采取后一模式。兩種模式的保障核心均為人格利益，關乎自由和尊嚴。

　　孤立的搜索而得的關鍵詞、個人網站訪問日期、時長及光標操作等信息，在不和姓名、用戶名等顯性標識結合時，不能單獨識別個人。但隨著行為重復和事件疊加，由點成線，便會描繪出相應主體的購買記錄、行蹤信息、搜索歷史、健康狀況等動態過程，勾勒出用戶的“虛擬畫像”。此類“畫像”信息在與傳統個人信息結合時被歸為個人信息，這點已無須贅言；也可通過指紋識別（fingerprinting）技術交叉對比（非個人信息）來驗證身份；甚至通過國際移動設備身份碼（IMEI）、網絡設備硬件地址（MAC）、廣告標識符（IDFA）或其他任意標注，從而無須識別特定主體，即可進行信息標簽化，實現畫像功能。

　　對此類行為軌跡信息的不當處理，會讓相應主體的實體形象與虛擬人設產生偏差，導致外在形象被操縱；會刺穿阿蘭·威斯丁教授提出的“面具”理論，導致精神安寧被打破；使數據控制者基于算法對數據主體進行意識誘導、行為預判，導致決策自由被剝奪，思維方式被簡化，甚至陷入喬治·奧威爾（George Orwell）筆下的《一九八四》所描繪的全景監視場景之中。

　　（二）財產利益

　　隨著大數據出現和數據產業興起，數據的經濟價值（尤其是二次利用的潛在價值）日益凸顯，個人在網絡空間留下的活動痕跡被記錄、收集、加工、分析，成為互聯網企業精準廣告投放、個性化推薦以及其他增值服務的數據支撐，是互聯網“依靠廣告提供免費服務”這一商業模式的基本條件。姓名、電話號碼、證件號碼、生物識別信息等傳統身份要素的價值愈加依附于其衍生出的行為軌跡信息，甚至反映個體活動情況或特征的網絡行為軌跡信息與身份要素脫離而成為未知的標簽信息，這些信息都可實現相應商業利益。由此可見，行為軌跡信息已然成為個人信息財產利益的源泉。

　　為調和數據保護和數據流通之矛盾，美國司法實踐認為“有必要對網絡個人信息保護在援引隱私權規則方面進行適度軟化”，賦予用戶積極的自決功能；歐盟亦突破人格權不可讓渡的原則，將個人信息權由消極人格權向積極自決人格權方向加以改造，允許用戶通過合同方式進行約定或授權收集和使用。包括我國在內的諸多法域均不同程度開啟了數據財產化的趨勢，區別是對個人數據財產屬性的表述不一，譬如“個人數據的財產權”和“商業秘密”“財產性人格利益”“平臺或企業數據財產”等。

　　若認可行為軌跡信息的財產利益，將不可避免牽扯出錯綜復雜又富有爭議的產權配置與歸屬問題，本文對此暫不予展開。分散的行為軌跡信息對數據主體而言并無直接財產價值，但可能會因被區別對待而蒙受間接經濟損失。對行為軌跡信息青睞有加的是各大網絡平臺和眾多的數據從業者。

　　（三）法教義學考察

　　基于可識別性和人格、財產利益，行為軌跡信息具備了個人信息的形式、實質要件，域內外的規范性文件對此均予以不同程度的回應——將其有差別地納入個人信息的范疇。

　　表1 域外列舉范疇

　　表2 域內列舉范疇

　　表2為我國規范性文件中的個人信息定義列舉的行為軌跡信息，表1為域外相關情況。從來源規范中對個人數據的定義可看出，各國大都采用了開放性的定義描述，運用了“相關”“任何”“等”“包括但不限于”的語詞，“個人信息的‘識別性’邊界逐步擴大”，從而使個人信息與行為軌跡信息交融、交錯，在范圍上呈現一種前者擴張、后者壓縮的態勢。我國新近亮相的《個人數據保護法》（草案二次審議稿）第4條規定“個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息”，從文義解釋角度可知，該草案同樣體現了個人信息外延擴張的態勢。雖然各國將特定行為軌跡信息納入個人信息范疇予以法律保護，但對可認定為個人信息的行為軌跡信息種類、范圍并未呈現共識態勢。

　　四、個人行為軌跡信息的分類保護模式建構

　　無論是對數據主體，還是對數據控制者和處理者，行為軌跡信息游走于法律評價范圍之外都不是一件有益之事。面對方興未艾的大數據時代，我們有必要在充分借鑒域外經驗的基礎上，結合國內社會發展實際，參照《民法典》（將有關個人的信息劃分為一般個人信息、私密信息、匿名信息）、《個人信息保護法》（草案二次審議稿）（將有關個人的信息劃分為個人信息、敏感信息、匿名信息）的規范實踐，建構本土化的行為軌跡信息分類保護模式。

　　（一）納入法律評價框架

　　能夠反映個人習慣、興趣偏好、性格特征、思維方式的行為軌跡信息，將真實世界中的物理人以鏡像形式投射到了網絡空間，形成了所謂的數字化人格（computer persona），無論從形式還是實質層面我們都無法再將其排斥于法律評價范圍之外。然而，不管是將個人信息視為一種隱私權、人格權、人格財產混合權，抑或獨立的個人信息權，均無法回避我國目前個人數據方面理論探討與法律創制不足的現實，法律資源供給不足的矛盾自然體現在對行為軌跡信息屬性的區分、認定上。

　　正如上文的法教義學考察，相較于歐盟國家大多以專門的數據保護法規給予行為軌跡信息法律評價的做法，我國更多以司法解釋、指導性的行業標準予以指涉，要么適用范圍狹窄，要么效力等級不足，要么直接跨越到強制力頂格的刑法。即使是被稱為數據保護基本法的《網絡安全法》，對網絡運營者收集用戶網絡活動痕跡的行為也無明確規定。相比之下，國內大型網絡企業的隱私政策對行為軌跡信息有明確表述，對其法律化時可資借鑒。

　　若不計成本，從技術上實現行為軌跡信息與特定個人一一對應絕非難事，這也是學者所稱的大數據下沒有非個人信息的依據。但如果就此將行為軌跡信息籠統納入個人數據的保護范圍，則會導致明顯弊端：其一，限制信息自由流通，使網絡企業畏首畏尾，可能導致商業壟斷，最終影響用戶體驗、減損網民福利；其二，行為軌跡信息的動態性和模糊性將泛化個人信息，反而使真正需要保護的信息失去保護；其三，會增加信息保護的社會成本，限制本土互聯網企業發展。

　　（二）基于分類的法律保護模式

　　要建立對行為軌跡信息的法律保護必須平衡信息保護和信息自由的價值沖突。為此，我們可在利益衡量理念、“激勵相容之道”的指引下進行分析，參照《民法典》對個人信息的三類區分，既要考慮識別所需的成本、時間和處理數據時可以采用的技術及技術發展，又要考量“個人信息遲鈍者”和部分用戶為獲得免費網絡服務而貢獻個人信息的主動意愿，結合行為軌跡信息的存在形態、樣本數量、與其他信息的結合程度進行傾向性層級歸類（而非做概念性認定），使其外延呈現一個放射狀扇形結構，從而采用不同程度的保護標準，以界定信息收集者、使用者的不同責任。

　　1. 私密信息類的強保護模式

　　此類行為軌跡信息可涵攝通過硬件或軟件持續性追蹤或開展特定業務而獲取的有關性取向、性生活、疾病史、私密物品購買記錄、未公開的違法犯罪記錄等。從信息類型看，其可歸于《民法典》私密信息范疇；從信息存在樣態看，此類信息只要和任一身份識別符、標簽信息等相結合，均可歸為私密信息，不論數量多少、種類多寡。對此類信息須強化防御性保護，非特定情形不得處理，否則將承擔相應的停止侵害、賠禮道歉、賠償損失等侵權責任。《民法典》第1034條第3款對個人信息中的私密信息進行了區分和著重；第1032條第2款對“隱私”進行了界定，強調了“私人生活安寧”和“不愿為他人知曉”兩個特征。由此可知，劃入隱私的個人信息，應強調其“私密性”，進而與其他層級的個人信息在收集、存儲、使用、加工、傳輸、提供、公開等方面形成相區別的授權同意、技術安全、信息處理之規范等。

　　私密類行為軌跡信息一般宜采取“任一主體說”的嚴格識別標準。關于“不愿為他人知曉”的“私密性”的認定，毋庸諱言，首先要遵循當事人主觀意愿，但該主觀意愿又不能單純取決于隱私訴求者的個體意志，同時，也應符合社會一般合理認知。而社會一般合理認知的邊界，又受地域、文化傳統、法治理念、宗教信仰、風俗習慣、經濟發展狀況、主流價值觀等因素影響。

　　2. 敏感信息類的次強保護模式

　　此類行為軌跡信息可涵攝個人財產信息中的交易消費記錄、虛擬財產信息，以及個人的行蹤軌跡、網頁瀏覽記錄、購買記錄、住宿信息、精準定位信息。從信息類型看，此類行為軌跡信息屬于《個人信息保護法》（草案二次審議稿）中的敏感信息；從數據存在樣態看，其是一種“動態”且“混合”的信息。“動態”類指對行為主體進行持續性追蹤所形成的數據集；“混合”類指捆綁如姓名、IP等顯性識別符的信息束，或將多個類型的行為軌跡信息混合收集的信息包（比如能進行交叉驗證的位置信息與網上交易記錄的混合）。

　　對此類行為軌跡信息可給予敏感個人信息強度的法律保護。數據控制者收集該類數據必須獲得數據主體明示同意，即數據主體通過書面聲明或主動做出肯定性動作來完成對其個人數據進行特定處理的明確授權，其中，肯定性動作包括數據主體主動做出聲明（電子或紙質形式）、主動勾選、主動點擊“同意”“注冊”“發送”“撥打”等。

　　私密信息不能概括等同于敏感信息，前者是后者中的特殊情形。敏感信息屬于兼具防御性期待及積極利用期待的個人信息，判斷針對此類信息的處理是否侵權，宜采取“客觀說”的識別標準，需要結合信息內容、處理場景、處理方式等，進行符合社會一般合理認知的判斷。

　　3. 一般信息類的弱保護模式

　　此類行為軌跡信息可涵攝智能穿戴設備收集的身體體征信息、系統錯誤報告信息，用戶改善計劃，用戶接入網絡的方式、類型和狀態，網絡質量數據等。從信息存在樣態看，此類行為軌跡信息與敏感信息一致，屬于持續性追蹤所形成的動態且混合的行為軌跡信息。另外需要注意“標簽化”行為軌跡信息，即與IMEI、MAC、IDFA及唯一應用程序編號等進行綁定的信息，其雖然不能實現“身份識別”，卻能實現“行為識別”或“特征識別”。識別針對此類信息的處理是否侵權，宜采取“主觀說”標準。

　　對該類行為軌跡信息可給予一般個人信息的保護強度，其保護強度弱于敏感信息。“弱”主要體現在數據控制者收集該類數據只需獲得數據主體默示同意即可。默示方式指行為人雖沒有以語言或文字等明示方式做出意思表示，但以特定作為或不作為的沉默方式做出了意思表示，比如閱讀“使用即同意”的條款、瀏覽默認勾選的對話框等。敏感信息類和一般信息類的行為軌跡信息可被歸類為民法典中的個人信息，數據控制者均須遵循合法收集、目的限制、最小夠用等原則，數據主體享有查詢、更正、刪除、撤回同意等權利。

　　4. 匿名信息（anonymous information）類的選擇保護模式

　　此類信息存在兩類樣態，其一為單一的行為軌跡信息，即只收集用戶的瀏覽記錄、蹤跡信息或鼠標點擊歷史等單一種類的數據，而沒有與用戶ID、IP等識別符進行捆綁，也沒有和其他種類的行為軌跡信息混合收集且單獨存儲，具有高度離散化特征；其二為偶然的“標簽化”信息，即個體偶爾使用搜索引擎產生的關鍵詞或使用翻譯軟件留下的文字碎片，即使其和特定標簽信息捆綁，因具有稀少、隨機的特征而宜被歸為匿名信息范疇。

　　對該類行為軌跡信息須在分類的基礎上進行選擇性保護。依照是否投入智力、物力加工為標準可將此類信息分為原始信息和加工信息：前者指直接從數據主體收集而來的信息，其屬于純粹的匿名信息，不受法律保護，人人共享；后者指數據控制者和使用者對原始信息加工后的信息，在“淘寶公司訴美景公司不正當競爭案”中被稱為網絡大數據產品。該類匿名信息雖然經脫敏而與數據主體脫離了關系，但經過了網絡運營者大量的智力勞動投入，經過了深度開發與系統整合，故網絡運營者對其享有財產性權益，其他網絡運營者不能擅自抓取，否則構成不正當競爭。當然，該問題的探討又將開啟企業數據的權屬爭議，本文對此不予展開。

　　（三）保護的例外情形

　　個人信息具有人格、財產雙重特性，其背后始終交織著信息保護、信息自由、公共利益等價值沖突，因此，各國會基于特定事項對個人信息權益制定相應的保留和克減條款，從而表述有所差異，但核心內容基本一致，諸如“國家安全”“公共安全”“公共衛生”“重大公共利益”“執行公務”“訴訟”“維護個人信息主體權益”等。

　　1. GDPR中有關個人數據保護的例外條款

　　GDPR對數據保護的限制體現在執行公務或處理突發緊急事件兩個方面：鑒于條款第45條明確公共衛生構成重大公共利益，依據條例第6條1（e）的規定，當個人數據處理為“基于公共利益目的執行任務或履行被賦予的公共職能所必要”時，可不征得數據主體的同意；鑒于條款第46條明確傳染病監測除構成公共利益之外，還構成“重大生命利益”，依據條例第6條1（d）規定，當個人數據處理為“保護數據主體或其他自然人的重要利益所必要”時，可不征得數據主體的同意；等等。

　　2. 美國立法、司法層面有關個人數據保護的例外條款

　　美國《隱私權法》（也稱《私生活秘密法》）規定，在緊急情況下，為了某人的健康或安全而使用個人記錄的情形下，行政機關公開個人記錄無須征得本人同意。另外，美國《健康保險攜帶和責任法案》規定公共衛生事件屬于“國家利益優先”情形，可以不經個人同意而披露及使用健康信息。美國法院在處理數據協助義務案件中一般會應用“第三方原則”，即第三方機構（如醫院、電信運營商、保險公司等）應政府部門要求提供其掌握的個人信息，不受美國憲法第四修正案（公民免受無理由搜查和扣押）的限制。

　　3. 我國規范文件中的例外條款

　　《網絡安全法》第42條但書規定“經過處理無法識別特定個人且不能復原的”信息可獲得責任豁免。《信息安全技術 個人信息安全規范》有“在與公共安全、公共衛生、重大公共利益直接相關的情形中，數據控制者無須征得數據主體的授權同意”之規定。《傳染病防治法》第12條和《國務院突發公共衛生事件應急條例》第11條賦予了有關部門和機構出于疾病防控目的而收集個人信息的權力。《民法典》第1036條規定了包括“個人同意”“維護公共利益”等三種不承擔民事責任的信息處理情形。

　　作為個人信息的伴生概念，舉重以明輕，上述保護例外情形自然適用于行為軌跡信息。根據上文的分類認定，私密信息類、敏感信息類、一般信息類行為軌跡信息已經被納入個人信息范疇，直接適用例外情形；匿名信息類行為軌跡信息已脫敏，數據主體已失去保護權能，只有大數據產品開發者方能提出相應權益主張。另外，在適用例外條款時同樣要把握個人信息權益限制的“目的明確”“比例原則”“公開原則”“安全原則”等基本原則。

　　五、結語

　　在數據成為“信息石油”的當下，對個人行為軌跡信息的審視和保護逐漸進入理論研究和司法實踐的視野。本文以個人信息概念為參照，從信息權益的邏輯基點“可識別”入手，比照個人信息的識別標準，辨析行為軌跡信息從不可識別到可識別的流變，接著以個人信息所具有的人格、財產利益為抓手，發現行為軌跡信息利益已然獲致成為權益或權利的資質和條件，繼而引出結論，即應將行為軌跡信息納入法律評價框架，但并非籠統落入個人信息的保護范疇，而是構建本土化的分類保護模式。

　　自此，本文對行為軌跡信息法律保護所開展的論證研究暫告一段落，但對行為軌跡信息乃至個人信息的保護治理來言，僅僅是萬里長征的第一步，許多問題亟待解決。比如，一般認為匿名原始信息不再屬于個人信息，任何組織和個人可自由收集和抓取，并用于合法目的，使之成為一種不受法律保護的一般利益，但識別技術的進步可能使匿名信息被再次識別，讓人不禁產生隱私權死亡的悲觀論斷；又比如，對個人信息本身的權利性質爭論依舊沒有定論，個人信息的權屬問題莫衷一是，參照系的搖曳，直接導致對行為軌跡信息相關問題探討的困惑。上述問題的解決，需要理論與實務兩界上下求索，使大數據的運用真正實現“技術歸化”，只有這樣才能為個人生活安寧、網絡企業運營和智慧社會發展提供穩定的心理預期和健全的法律保障。