MAC 地址算不算个人数据？GDPR 判例给出的答案与运维含义

在技术评审或采购会上，你几乎一定会听到这句话："MAC 地址只是硬件编号，不算个人信息。"到 2026 年，这个说法已经不成立了。欧盟法院过去两年连续两个判决，加上英国 ICO 的明确表述，都指向同一个结论：MAC 地址在绝大多数实际场景里构成个人数据，因此落进 GDPR 的射程。这篇文章讲清法律依据、判例要点，以及它对网络运维到底意味着什么。

判定标准：可识别性，而且是"合理可能"的可识别性

GDPR 第 4(1) 条把个人数据定义为"与一个已识别或可识别的自然人有关的任何信息"，并明确把 online identifier（在线标识符） 列入标识符清单。第 26 条序言进一步给出判定方法：判断一个自然人是否可识别，要考虑"所有合理可能被使用的手段，例如通过把某个个体单独区分出来（singling out）"。

这句话是全部争议的关键，它意味着两件事：

1. 不需要知道姓名。 只要能把你从人群里单独区分出来，就足以构成可识别。
2. 要考虑可合理获得的其他信息。 即使单独一个 MAC 看不出是谁，只要和持有者手上的其他数据一结合能指向某个人，它就已经是个人数据。

MAC 地址在这两条上都很危险。单播 MAC 全球唯一且出厂固定，前 24 位是 IEEE 分配的 OUI，能直接推断出厂商乃至设备类型（见 IEEE OUI 注册体系）；再和接入日志、DHCP 租约、AP 关联记录一关联，长期追踪一个人的设备并不困难。

判例：法院怎么说

CJEU C-413/23 P（EDPS v SRB），2025 年 9 月 4 日判决。 争议焦点是"假名化数据"算不算个人数据。法院重申：经过假名化的数据，只要通过使用额外信息能够归属到某个自然人，就仍然属于"有关可识别自然人的信息"，判断时要考虑控制者或他人"合理可能使用的所有手段"。这个判决的实际后果是：你对标识符做哈希、加映射表，都不会让它脱出 GDPR，只要还有办法还原回去。

CJEU C-604/22（IAB Europe），2024 年 3 月 7 日判决。 争议对象是 TCF 的 consent string——一串记录用户同意偏好的字符。法院认定它是个人数据，理由是：只要该字符串能和某个用户的设备标识等信息关联，就能识别出该用户。这个判决把"看似中性的技术字符串 + 可关联的标识符 = 个人数据"这条逻辑钉死了，而 MAC 恰恰属于那类可关联的标识符。

更早的 CJEU C-582/14（Breyer）2016 年判决 已确立同类推理：对网站运营者而言，动态 IP 地址构成个人数据，因为他有合法途径从 ISP 获得补充信息。IP 与 MAC 在可识别性上的地位是相通的——事实上，欧盟委员会在自己的官网上把 "storing IP addresses or MAC addresses（存储 IP 或 MAC 地址）"直接列为数据处理的示例。

监管机构的立场

英国 ICO 在其《已答问题》页面里写得毫不含糊（最后更新于 2025 年 12 月 16 日）：UK GDPR 把 "online identifiers" 明确写进个人数据定义，这意味着 MAC 地址可以构成个人数据。ICO 讨论的场景正是用手机 Wi-Fi "signature（也就是 MAC）"估算某区域人数，并明确要求考虑合法性基础。

欧盟委员会 的《数据保护说明》把存储 MAC 地址列为处理行为，并强调：去标识化、加密或假名化后仍可用于重新识别个人的数据，仍然属于个人数据；只有不可逆的匿名化才脱出 GDPR。

这也和早期的 Article 29 工作组《关于个人数据概念的第 4/2007 号意见》 一脉相承——那份意见至今仍是"什么算个人数据"的基础参考。

随机化改变了什么，没改变什么

设备端 MAC 随机化（iOS 14+ 的私有地址、Android 的随机化、以及新系统里 Wi-Fi 7 的 MLD/多链路派生规则）确实削弱了跨网络的长期追踪：同一台手机在不同 SSID 用不同地址，商家没法再靠一个固定 MAC 把你串起来。

但它没有推翻"个人数据"的判定，因为判定标准是"在某个具体场景里能否被单独区分"。在企业网络内部，即使客户端用了随机地址，只要它关联到某员工的账号、工位或 802.1X 会话，它依然可识别；而且 企业认证正在改用基于证书的持久设备标识，这反而把设备身份重新绑回了人。所以随机化改变的是识别难度，不是法律性质。

这也解释了为什么在本站 查询页 输入一个随机化地址会"查不到厂商"——那既不是数据库问题，也不代表这个地址就不是个人数据：它是本地管理地址，厂商未知，但只要能关联到人，法律性质不变。判断规则见 读懂 MAC 第一字节。

假名化 ≠ 匿名化

很多运维团队的处理方式是"把日志里的 MAC 做 SHA-256 再存"，以为这样就合规了。按上面的 SRB 判决，这个做法属于假名化（pseudonymisation）：如果还有原始值、映射表或逆向手段，数据依然是个人数据，GDPR 照样适用。真正的匿名化要求不可逆，而把 MAC 哈希后保留映射表显然不满足。

对网络运维的实际含义

如果你在处理 MAC 地址，下面这些是 GDPR 层面真正要做的事：

1. 确认合法性基础。 记录 MAC 通常能落在"正当利益"（网络安全、防滥用）或"合同履行"（提供网络服务）上，但要做正当利益评估并写下来，不能默认"技术上需要就合法"。
2. 数据最小化。 只保留排障真正需要的字段，别把 AP 关联日志、DHCP 租约、ARP 表统统无限期堆着。参考 MAC 地址与隐私 的思路。
3. 存储期限。 给 MAC 日志定明确保留期（例如 30/90 天）并到期自动删除。"先存着说不定有用"在 GDPR 下站不住脚。
4. 透明度。 在隐私政策里说明你收集了 MAC、为什么收、留多久、如何删除。本站的 隐私政策 就是按这个思路写的。
5. 数据保护设计。 能脱敏就脱敏，能聚合就聚合；对需要长期保留的设备身份，优先用不可反查的标识，或直接改用资产系统里的平台 ID。
6. 响应数据主体权利。 有人来要访问或删除自己的数据时，MAC 日志也算在内——你需要能按标识符检索并删除。

资产盘点的特别提示。 用 MAC 做设备台账时，它既是资产标识也是个人数据（尤其在 BYOD 场景）。把 用 MAC 做资产盘点 的流程和上面的保留与最小化原则一起设计，而不是事后补救。

一句话总结

MAC 地址是不是个人数据，答案不是"是或否"，而是"在什么场景下"。只要在某个场景里它能把一个个体单独区分出来，它就是个人数据。欧盟法院在 SRB 与 IAB Europe 两个判决里把标准收紧到"合理可能的可识别性"和"假名化仍属个人数据"，ICO 与欧盟委员会则直接点名 online identifier 与 MAC。设备端随机化降低了追踪的便利，但没改变法律性质。对运维者来说，结论很朴素：把 MAC 日志当个人数据处理——定保留期、做最小化、写进隐私政策、能删得掉。

参考资料

• CJEU C-413/23 P, EDPS v SRB（2025-09-04），ECLI:EU:C:2025:645：https://curia.europa.eu/juris/document/document.jsf?docid=303863&doclang=en
• CJEU C-604/22, IAB Europe（2024-03-07），ECLI:EU:C:2024:214：https://curia.europa.eu/juris/document/document.jsf?docid=283529&doclang=en
• CJEU C-582/14, Patrick Breyer v Bundesrepublik Deutschland（2016-10-19），CELEX:62014CJ0582：https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:62014CJ0582
• GDPR 全文（含第 4(1) 条与第 26 条序言）：https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32016R0679
• European Commission《Data protection explained》：https://commission.europa.eu/law/law-topic/data-protection/data-protection-explained_en
• UK ICO《Previously asked questions》（2025-12-16 更新）：https://ico.org.uk/for-organisations/advice-and-services/innovation-advice/previously-asked-questions
• Article 29 工作组 Opinion 4/2007《On the concept of personal data》：https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2007/wp136_en.pdf
• 本站 MAC 地址与隐私
• 本站 MAC 地址随机化
• 本站 MAC 随机化之后企业网络怎么认设备