個人行蹤軌跡信息的識別要素及保護途徑

據報道，犯罪嫌疑人劉某通過一款App，付費后定位被害者的行蹤軌跡信息，進而利用該信息實施犯罪行為。隨著信息技術不斷發展，個人行蹤軌跡的“可識別性”日益增強，這使得個人行蹤軌跡信息蘊含的人格權益和財產權益大大提高。3月24日，文旅部印發《關于推動在線旅游市場高質量發展的意見》要求，加強旅游者個人敏感信息保護，防止超出合理經營需要收集旅游者個人信息。可見，保護個人行蹤軌跡信息十分重要。

行蹤軌跡信息的界定及物理性要素

可識別性是構成個人信息的基本要素。近年來，根據我國個人信息保護相關法律，可識別的客體已經由最初的單一的“身份識別”擴展為“與自然人有關的各種信息”，可識別的范圍不斷擴大，除傳統身份識別外，還包括活動情況、網絡形象等個體特征識別。2017年5月，最高人民法院、最高人民檢察院發布的《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》第一條明確規定，公民個人信息，是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯系方式、住址、賬號密碼、財產狀況、行蹤軌跡等。該規定將主體的活動信息作為與特定自然人的真實身份信息并列作為個人可識別性的客體，擴大了對于個人信息的保護范圍。《中華人民共和國個人信息保護法》第四條第一款規定：“個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，不包括匿名化處理后的信息。”將身份信息和活動信息擴展為與自然人有關的各種信息。

數字時代，身份識別比行為識別更有意義，商家通過App獲得用戶常去的地點、經常性活動軌跡等行蹤軌跡信息后，可以對用戶進行“畫像”，分析和預測用戶將要進行的活動，進而對其進行精準廣告推送等活動。因此，數字時代并不需要明確主體的真實身份，只要能通過特殊的標識，例如隨身攜帶的手機、可穿戴設備等即實現對用戶的活動識別。例如，某App長期收集某主體行蹤軌跡信息顯示對方經常出入高端消費場所，且具有晚上外出的習慣，即使并不了解該主體的姓名或身份證號等真實信息，仍然可以基于對方的行蹤軌跡信息向該主體推薦附近的高端場所。基于此，實現對個人身份或者活動識別需要具備的精確物理性要素和實時性要素。

個人行蹤軌跡信息具備線下線上的高度映射性。因此，有觀點認為，行蹤軌跡既存在于物理空間也存在于網絡空間，利用Cookie收集的使用者的網絡活動的訪問行為、訪問足跡等數字記錄所組成的網絡軌跡信息可作為行蹤軌跡予以保護。司法實踐中，我國對用戶通過使用搜索引擎形成的關鍵詞記錄等網絡活動軌跡，一旦與用戶身份相分離，便認為無法確定具體的信息歸屬主體，也就不將其納入個人信息范疇予以保護。域外，大多也將網絡行蹤軌跡信息排除在行蹤軌跡信息之外。歐盟《一般數據保護條例》未將網絡蹤跡信息納入位置數據范圍，而是通過Cookie有關規定進行保護。歐盟委員會聯合研究中心發布的技術報告《公共管理部門關于位置隱私的準則》對位置數據采取“包括任何隱含或明確的地理或地理空間參考數據”的基準。

行蹤軌跡信息的精確性與主體的相關度呈正比例關系。即個人位置信息的精確度越高，就越能夠確認主體的身份或將行為與主體相關聯。這使得位置信息一旦發生泄露或被非法使用，信息主體遭受人身財產損害以及負面社會評價的可能性就越高。這類達到一定精確度的位置信息，應當被認定為“行蹤軌跡”。對此類信息的收集、處理等應受個人信息保護法的特殊保護。在這個精度上能顯示出特定范圍的地理信息，體現信息主體的行為特征。例如經常在提供基于位置服務的App中出現的地圖，在“高德地圖”中，將比例尺放大到1:5則能精確地看到每一棟建筑物，甚至能顯示信息主體在建筑物內部的大致位置。如此精確的位置信息，一旦泄露或遭到濫用，基本可以直接對應到信息主體，對信息主體的人身財產安全和人格尊嚴可能產生很大風險。對此，美國《加州隱私權法案》規定精準地理位置的精確度在1850英尺（約564米）半徑范圍，《數據保護法案》規定精準地理位置數據的精確度為1750英尺（約533米）半徑范圍內。

值得注意的是，IP地址定位的精度一般到城市區（縣），無法直接對應到特定自然人，一般認為這并非行蹤軌跡信息。這也符合歐盟《一般數據保護條例》將其作為網絡軌跡信息連同Cookie收集進行規制而非適用位置信息規則的規定。

行蹤軌跡信息的實時性要素及民事救濟

《個人信息保護法》第二十八條對敏感個人信息進行了定義，規定敏感個人信息是一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害的個人信息，在明確列舉的敏感個人信息中，包括行蹤軌跡。一般情況下，個人隨身攜帶的移動設備產生的位置信息反映了個人在一定時間點的地理位置，這些實時行蹤軌跡信息一旦被不法分子掌握，可能使得個人陷入重大風險之中。對此，韓國《位置信息保護與使用法》對位置信息的定義強調“特定時間”，美國《消費者數據隱私安全法案》規定“精準地理位置”包括個人過去或當前的實際位置信息。美國則將通過手機獲得的位置信息分為兩種：實時位置信息和歷史位置信息。實時位置信息包括實時定位和實時移動軌跡，二者都屬于行蹤軌跡信息。對于歷史移動軌跡和歷史定位信息，筆者認為只有歷史移動軌跡屬于行蹤軌跡。歷史移動軌跡雖然不能作為不法分子實時追蹤信息主體的依據，但體現個人的習慣，從中可以推算出個人的未來動向。它含有的信息量更大且具有明確的指向性，能夠從中推測出行為人在一定的時間經常去的地點，這可能損害個人的人格尊嚴。歷史定位不具有這一性質。因此，歷史定位信息不屬于行蹤軌跡信息。對于具有“時間段”標簽而并未發生明顯空間移動的歷史位置信息，其性質與歷史定位信息類似，不能認為是行蹤軌跡。

我國民法典和個人信息保護法在個人信息保護法律體系中均具有重要地位。民法典采取隱私權保護模式，個人行蹤軌跡構成民法上的“私密性個人信息”時獲得保護；個人信息保護法采取個人信息權益的保護模式，在個人行蹤軌跡符合“敏感個人信息”標準時獲得保護。由于私密性標準與敏感性標準并非非此即彼的關系，且存在交叉。因此，可以按照“私密性”標準劃分為私密性的行蹤軌跡信息和非私密性的行蹤軌跡信息，對之采取不同救濟措施。對于私密行蹤軌跡信息，可在民法典和個人信息保護法之間進行擇優保護；對非私密行蹤軌跡信息，可適用個人信息保護法對“敏感個人信息”的規定，符合敏感個人信息的，通過敏感個人信息的保護規則進行特殊保護。