个人信息去标识化技术措施与效果评估探讨

对比项

仅从该信息本身

无法指向特定的个人

结合其他信息

也无法指向特定个人

处理后的信息

不可能被复原为个人信息

匿名化

√

√

√

去标识化

√

×

×

域外

地区

去标识化定义

去标识化使用

欧盟

GDPR中的假名化与中国去标识化的内涵更为类似。GDPR第4条5款规定假名化是指在不借助额外的数据的情况下，处理后的个人数据不会识别特定的个人数据主体，但是此类额外的数据需要被单独保存，并受到技术措施和组织措施的约束，以保证个人数据不属于已识别或可识别的自然人。

GDPR指出，如果数据仅仅是进行了假名化的处理，仍是可识别到具体个人数据主体的个人数据，应遵循GDPR的相关数据处理要求。

美国

CCPA第1798.140 条(h)款规定去标识化是指数据不能直接或间接地合理识别、关联、描述特定的消费者。

CPRA第1978.140条(m)款则将去标识化定义为无法合理地用于推断或关联特定个人，同时强调信息处理者应公开承诺自己不会进行重识别，并通过合同约束接收方也不会进行重识别。

CCPA第1798.145 条(a)款规定CCPA不规制经过去标识化处理的消费者数据。此外，HIPPA (Health Insurance Portability and Accountability Act)中确立了专家个案审查的去标识化制度，即由专家委员会对单一案例内的数据的可识别性进行判断，通过个案判断来更精确的判断去标识化数据的范围。

分类

名称

常见的去标识化技术

统计技术

数据抽样

数据聚合

密码技术

确定性加密

保序加密

保留格式加密

同态加密

同态秘密共享

抑制技术

屏蔽

局部抑制

记录抑制

泛化技术

取整

顶层与底层编码

随机化技术

噪声添加

置换

微聚集

数据合成技术

假名化技术

独立于标识符的假名创建

基于密码技术的标识符派生假名创建

常用的去标识化模型

K-匿名模型

差分隐私模型

步骤

具体说明

1

确定目标

确定去标识化对象

依据法规标准、组织策略、数据来源、业务背景、数据用途、关联情况，确定去标识化的数据集范围。

建立安全目标

依据数据用途、数据来源、公开共享类别、去标识化模型和技术、风险级别，来确定重标识风险不可接受程度以及数据有用性最低要求。

制定工作计划

制定个人信息去标识化的具体实施计划，包括去标识化的目的、安全目标、数据对象、公开共享方式、实施团队、实施方案、利益相关方、应急措施以及进度安排等，形成去标识化实施计划书。

2

识别标识

查表识别法

需要预先建立元数据表格，存储需去标识化的直接标识符和准标识符名称，在识别标识数据时，将待识别数据的各个属性名称或字段名称，逐个与元数据表中记录进行对比以进行识别。查表识别法适用于数据集格式和属性已经明确的去标识化场景，如采用关系型数据库，在表结构中已经明确姓名等标识符字段。

规则判定法

通过建立自动化程序，分析数据集规律，从中自动发现需去标识化的直接标识符和准标识符。企业识别标识数据宜先采用查表识别法，并根据数据量大小和复杂情况，结合采用规则判定法。

人工分析法

人工分析法是通过人工发现和确定数据集中的直接标识符和准标识符。企业可在对业务处理、数据集结构、相互依赖关系和对数据集之外可用数据等要素分析的基础上，综合判断数据集重标识风险后，直接指定数据集中需要去标识化的直接标识符和准标识符。考虑到工作量和复杂程度等因素，人工分析法更适用于数据结构简单的数据集。

3

处理标识

预处理

根据数据集的实际情况选择是否进行预处理。具体方法如下：形成规范化，或满足特定格式要求的数据；对数据抽样，减小数据集的规模；增加或扰乱数据，改变数据集的真实性。

选择模型技术

基于考虑聚合数据是否够用；数据是否可删除；是否需要保持唯一性；是否需要满足可逆性；是否需要保持原有数据值顺序等因素，为不同类型的数据采用不同的去标识化技术。

实施去标识化

根据选择的去标识化模型和技术，对数据集实施操作。如果存在多个需要去标识化的标识符，则根据数据特点和业务特性设定去标识化的顺序，然后依次选择相应的工具或程序，获得结果数据集。

4

验证批准

验证个人信息安全

可以通过检查生成的数据文件、评估去标识化软件所使用的默认假设、进行有动机的入侵者测试、让团队利用内部数据进行有针对性的入侵者测试等方式来进行验证。

验证数据有用性

因为去标识化降低了数据质量和生成数据集的有用性，所以需要验证去标识化后的数据集对于预期的应用是否仍然有用。例如，内部人员可对原始数据集和去标识化的数据集执行统计计算，并对结果进行比较，以查看去标识化后是否导致不可接受的更改。

评审批准

在完成处理标识和验证结果后，企业管理层应依据数据发布共享用途、重标识风险、数据有用性最低要求等因素，以及验证结果、去标识化各步骤实施过程中的监控审查记录等因素，做出是否认可数据去标识化结果的决定。

5

监控审查

步骤实施过程

企业管理层在各个步骤完成时，对该阶段记录文档进行审查，检查输出文档是否内容完备，并采取适当控制措施，监督各步骤执行过程得到有效地执行。

持续监控效果

数据宜根据情况变化或定期进行去标识化数据的重标识风险评估，并与预期可接受风险阈值进行比较，以保障个人信息的安全性。

级别

风险

划分依据

备注解释

4

风险最低

不包含任何标识符。

直接标识符：在任何特定环境下可唯一识别个人的标识码，包括：姓名、公民身份证号、护照号、驾驶证号、详细住址、电子邮件地址、电话号码（包括手机号和固定电话号码）、传真号码、银行账户、车辆标识符和序列号（包括车牌号）、社会保障号码、健康卡号码、病历号码、设备标识符和序列号、生物识别码（包括指纹和声纹等识别码）、全脸图片图像和其他任何可比对的图像、账号、证书号或许可证号、互联网协议地址等。

3

风险较低

消除了直接标识符，但包含准标识符，且重标识风险低于可接受风险阅值。

2

风险较高

消除了直接标识符，但包含准标识符，且重标识风险高于或等于可接受风险阙值。

准标识符：在相应环境下无法单独唯一识别个人信息主体,但结合其他信息可唯一识别的标识符，包括：性别、出生日期或年龄、事件日期（例如入院、手术、出院、访问相关日期）、地理范围（例如邮政编码、建筑名称、地区）、族裔血统、国籍、籍贯、语言、原住民身份、可见的少数民族地位、职务、工作单位、部门等职业信息、婚姻状况、受教育水平、上学年限、总收入、宗教信仰等。

1

风险最高

包含直接标识符，在特定环境下能直接识别个人信息主体。