一、国内外研究现状
关联说认为，凡是与个人存在关联的信息都属于个人信息，如“公民个人信息是指以任何形式存在的、与公民个人存在关联并可以识别特定个人的信息。其外延十分广泛，几乎有关个人的一切信息、数据或者情况都可以被认定为个人信息”。隐私说认为，只有与个人隐私相关的才属个人信息，如“个人信息是指社会成员中大部分人不愿向外透露的信息；还包括不愿他人知道的个人极其敏感的信息（如大部分社会成员并不在意其他社会成员知道自己的身高，但有的人对自己的身高却极为敏感，不愿被他人知道）”。识别说认为，公民个人信息是指姓名、职业、职务、年龄、婚姻状况、学历、专业资格等能够识别公民个人身份的信息。
而在国外的立法研究中，各国对公民个人信息的定义也存在着差别。例如，美国将个人信息的保护归入隐私保护之中。其对隐私权的定义为：“个人对控制个人信息范围的请求权，在这一范围内主体收集、披露和利用确认为自己的信息。”而欧洲诸国在立法中则多沿用个人数据这一概念。在其法律语境中的个人数据是指设定了一定限制或者说出于某一目的而甄别出来一组个人信息，包括已识别信息主体身份的信息和可用来识别信息主体身份的信息。日本在《个人信息保护法》第二条中规定：“所谓个人信息就是指有关活着的个人的信息，根据该信息所含有姓名、出生年月以及其他一些描述，能把该个人从他人中识别出来的与该个人相关的信息。”
二、刑法认定的基础：个人信息的识别性
比较国内理论界和国外立法对个人信息的定义，可以看到，对个人信息概念定义的差别主要集中在识别性和隐私性两种分歧上。关联说对个人信息的定义较为宽泛，其将所有与个人相关的信息都囊括其中，“以任何形式存在并与个人存在关联的信息”涵盖了社会生活的各个方面，其概念仍然具有模糊性，不利于司法实践中对个人信息的准确认定；而且事实上任何信息都能与不特定的人沾上千丝万缕的关系，如果将所有与个人相关联的信息都纳入刑法保护范围，也容易造成犯罪打击面的扩大化。因此，本文并不赞同关联说。
而在识别性与隐私性之中，本文倾向于将识别性作为认定个人信息的核心属性。理由在于：第一，相对于识别性而言，隐私性并没有一个符合社会一般标准的定义，是否属于个人私密领域，是需要通过权利人的主观感受来进行辨认和定夺的。同样类别的个人信息，有的人认为属于隐私，而另外的人却并不介意公开。以隐私性作为个人信息的核心属性并不能做到有效甄别和区分。第二，个人隐私与个人信息并不完全等同，部分个人信息虽然可以公开，但仍然应当在法律的保护范围内。法律对个人信息的保护不仅仅是对于个人隐私的保护，更重要的是对社会秩序的保护，保障社会个人免受因信息泄露而可能遭受的危害。第三，信息泄露的危害在于获取信息者能够通过信息锁定特定的个人，并通过信息反映的特定个人的具体情况，进行有针对性的侵害行为甚至犯罪行为。保护公民个人信息本质上就是为了保障根据个人信息所识别出来的每一个具体个人享有的免受侵害而正常生活的权利。因此，以识别性作为个人信息的核心属性，能够合理地涵盖刑法所应保护的范围，从而有效、精确地打击犯罪，保护公民合法权益。
