个人信息被普遍界定为“与已识别或可识别的自然人有关的信息”,受“识别性”和“关联性”两要素的限制。在大数据时代下,随着自画像分析等技术的发展,“识别性”和“关联性”的边界不断扩大,“识别性”标准本身也难以判断,导致个人信息概念逐渐泛化,直至囊括一切。宽泛的个人信息概念与个人信息保护制度中信息企业的“高密度合规义务”相结合,使得个人信息保护法无法有效施行。对此,建议在个人信息概念界定中引入“场景与损害风险理念”,“场景”为影响信息主体对其个人信息处理接受度或敏感度的各种因素,“损害风险”为信息主体对其个人信息处理接受度的核心评判标准,以“场景”为出发点,以“风险管理”为实施手段,将“损害风险防范”作为个人信息的规范目的与立法定位。就“场景与损害风险理念”在个人信息概念界定中的具体适用而言,应秉持个案分析的精神,系争的信息是否为个人信息并不是一个能抽象回答的问题,只能结合个案中的具体情形予以判断。建议对不同的信息场景进行损害风险评估,将信息处理所产生的抽象风险划分为“主观损害风险”和“客观损害风险”,前者多发生在信息的公开场景中,后者多发生在信息的利用场景中。就主观损害风险下的个人信息界定标准而言,“识别性”要素仍然是核心判断标准,但“识别性”的认定应取决于“信息的敏感性”和“信息的可获取程度”;就客观损害风险下的个人信息界定标准而言,“信息是否可识别”应被“信息利用是否给个人带来客观损害”的标准所代替。