一、个人数据
很多论述文章都注意到GDPR对个人数据的划分，特别是专门提出了“特殊类型个人数据”。GDPR第9条规定：“处理个人数据，能够揭露出其种族、民族、政治观点、宗教和哲学信仰，或工会成员身份；处理基因数据、生物识别数据，以识别出特定个人；处理健康数据、与自然人性取向或性经历有关的数据”，上述数据为特殊类型的个人数据。显然，这是依风险的一种划分方式。诚如GDPR前言第51段所述，这些所谓的特殊类型个人数据，“依其性质对基本权利和自由特别敏感的个人数据，因其处理过程中可能对于基本权利和自由造成显著风险，故值得受到特别保护”。
实际上，GDPR从另外一个维度对个人数据进行了划分：个人数据的识别度。这一点为几乎所有的中文文献所忽略。在GDPR文本中，实际上存在四种识别度的个人数据。一是已识别的数据：与已识别出（identified）的自然人相关的任何信息。二是可识别的数据（readily identifiable data）: 假名化且保留额外的数据、保留原始数据副本、数据能够可逆变形且控制者知晓变形方式等。三是GDPR第11条所规定的去标识化程度的个人数据: 即如果数据控制者能“表明其无法识别出特定个人时（the controller is able to demonstrate that it is not in a position to identify the data subject），数据控制者应在可能的情形中通知数据主体，同时，第15条至20条的规定将不予适用，除非数据主体为行使其权利，向数据提供者额外提供了信息使数据控制者能够重新识别出特定个人”。四是匿名化数据：指无法与已识别或可识别的自然人相关联（related to）的数据。GDPR规定，判断是否可识别，应考虑到控制者本身或他人所能采用的、所有可合理用以直接或间接地识别数据主体的方式。为确认何为可合理使用作为识别数据主体的方法，应考虑所有客观因素，诸如识别所需的成本与时间，并考虑到数据处理当时的技术及科技发展。
四种识别度的数据，如何体现风险的思路？首先，已识别和可识别的数据，毫无疑问属于个人数据，但是由于可识别数据相对于已识别的数据，对个人的识别度相对较低，GDPR对前者给了一些特殊“优待”，突出体现在判断目的兼容的条款中。GDPR中目的限制原则规定，“个人数据收集必须符合明确、明示、正当的目的，处理个人数据时应与这些目的相匹配”。第6条第二款同时规定，“当个人数据处理超出数据收集时最初的目的时，且没有数据主体的同意或欧盟、成员国法律作为基础时，数据控制者应判断另外的目的，是否与数据收集最初的目的相匹配，在判断时应考虑下述因素⋯⋯”。这些因素之一就包括“是否采取了合适的保护措施，例如加密和假名化处理”。换句话说，如果采取了假名化等降低识别度的措施，新目的和原有目的的“距离”可以稍微“远”些，也可被认定为新旧目的之间相互兼容。这个规定直接激励数据控制者主动降低数据的识别度，识别度降低，对个人合法权益的风险当然就更低。
其次，GDPR合规工作中最难实现的是个人数据主体的权利。如果数据控制者能做到GDPR第11条所规定的去标识化程度，GDPR明确规定包括查询、更正、删除（包括被遗忘权）、限制数据处理、携带等权利（第15到20条），数据控制者是无需实现的。也就是说，数据控制者主动降低识别度至其本身无法识别个人，则GDPR相应地给予了这些“优待”，能够节省巨大的合规成本。
最后，匿名化数据，由于无法指向个人，因此GDPR将其排除在管辖范围之外。因此，随着识别度的依次降低，GDPR也区别对待，或者给予合规“优待”或“豁免”，直至排除适用，这都体现了经典的风险管理思路。
四、数据保护监管机构的处罚
GDPR规定的高额处罚规定非常吸引人眼球。但是，处罚并非目的，更重要的是改变数据控制者的行为。因此，GDPR第83条规定，个案中的行政罚款应当是“有效、合乎比例、惩戒性”（effective, proportionate and dissuasive）。该条第二款规定在决定处罚数额中应当考虑的因素中，许多都和数据处理所带来的风险有关系，同时数据控制者事先采取的能够降低风险的措施，也会在决定处罚数据中予以考虑。
与此相关的因素包括：(a)违规的性质、严重性及持续期间，并考虑处理的性质范围或目的，以及受影响之数据主体人数及其受损程度；(b)违规的故意或过失；(c)减少数据主体损害的任何行为；(d)控管者或处理者的责任程度，并考虑其依第25条（PbD）及第 32条（Security）所实施的技术上及组织上的措施；⋯⋯(g)违规所影响的个人资料类型；⋯⋯(k)任何其他适用于该个案情形之加重或减轻因素，例如因违约而直接或间接获得的经济利益或避免的损失。
可见，在决定处罚数额方面，GDPR依旧贯彻了风险路径：涉事的数据处理行为是否高危、是否造成严重后果、数据控制者是否事先采取降低风险的措施等，这些因素都会影响处罚的力度。
五、结语
总的来说，GDPR贯彻的风险路径，体现于文本的许多规定中。正如欧盟委员会报告所述，坚持风险路径“避免繁重、僵化的义务，并根据不同风险定制化不同的义务”（avoids a burdensome, one-size-fits-all obligation and instead tailors obligations to the respective risks）。换句话说，面包店涉及的处理个人数据的风险，显然和开展征信业务的公司所涉及的风险截然不同，GDPR并不要求前者采取和后者相同的个人数据保护义务，例如任命个人数据保护官、开展数据保护影响评估等。因此，许多中文文献再对GDPR提出严厉批评之前，应当花点时间理解GDPR的立法理念以及制度设计。在笔者看来，风险为路径的思路，也应当为我国后续《个人信息保护法》立法所借鉴。
（本文刊登于《中国信息安全》杂志2018年第7期） 更多信息安全专家文章 请关注公众号！