标准应用 | 个人信息去标识化技术措施与效果评估探讨

本文约2000字，建议阅读5分钟
《个人信息去标识化评估指南》解读 Talkingdata 。

前言

2023年3月23日，全国安全标准化技术委员会正式发布了国家标准《信息安全技术 个人信息去标识化效果评估指南》（以下简称“《指南》”），其将于2023年10月1日正式生效实施。能否实现个人信息的去标识化对于企业来讲是非常重要的合规义务，因为《个人信息保护法》第五十一条明确要求个人信息处理者应采取去标识化等安全技术措施来履行安全保护义务。目前，国家标准《信息安全技术 个人信息安全规范》（以下简称“《规范》”）明确了去标识化处理的要求，国家标准《信息安全技术 个人信息去标识化指南》（以下简称“《去标识化指南》”）细化了去标识化活动的开展过程，《指南》则为具体评估是否真正实现了有效的去标识化提供了指引，通过细化个人信息标识度分级和评定方法，不断推动个人信息去标识化技术、流程及配套评估措施朝着定量化的精细方向发展。

应 用 标 准

GB/T 37964-2019 《信息安全技术 个人信息去标识化指南》

GB/T 42460-2023 《信息安全技术 个人信息去标识化效果评估指南 》

01 去标识化的含义

1.什么是去标识化？

《指南》第3.3条指出，去标识化是指通过对个人信息的技术处理，使其在不借助额外信息的情况下，无法识别或者关联个人信息主体的过程，与《规范》第3.15条的定义是一样的，且《规范》还进一步指出，去标识化保留了个体颗粒度，采用假名、加密、哈希函数等技术手段替代对个人信息的标识。不过《个人信息保护法》第七十三条规定，去标识化是指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程。相比之下，《个人信息保护法》只强调“识别性”，不能识别个体就实现了去标识化，而《指南》和《规范》这类国家标准则强调“识别性”和“关联性”，不能识别或关联个体才属于去标识化，在一定程度上提高了去标识化的认定门槛。

2.去标识化和匿名化有什么区别？ 

依据《个人信息保护法》的定义，去标识化信息在借助其他信息的情况下仍有可能识别特定自然人，属于个人信息；而匿名化信息是无法识别特定自然人且不能复原的信息，不属于个人信息。《指南》也特别指出，经去标识化处理后的个人信息并不能完全实现匿名化。去标识化的目的是降低与个人信息主体之间的关联性，去标识化技术更强调的是降低信息的区分度和识别度，使得信息在一般情况下不能对应到特定个体。而匿名化技术则更在意绝对安全的问题，因为匿名化后的信息已不再属于个人信息，且无法与额外信息结合识别出个人信息主体，这种技术必须实现绝对的不可识别。

3.欧美是如何定义去标识化的？

欧盟认为去标识化处理后的信息仍然为个人信息，需要遵守个人信息处理的相关规则，中国采取了与欧盟类似的立法模式。但是美国的立法模式相对不同，其以促进数据自由流通为导向，故CCPA直接规定其不适用于去标识化处理的个人信息，对这类数据给予了非常大程度的授权豁免，加速了数据的流通使用，体现出了尽可能促进数据创造其价值的立法意图。此外，欧盟与中国都强调去标识化是客观上的无法识别，而美国不仅仅要求客观上无法合理识别到特定个人，而且要求信息处理者主观上承诺确保其不会进行重标识。

02 常用的去标识化技术措施

1.有哪些常用的去标识化技术？ 

依据《去标识化指南》的规定，将常见的去标识化措施做出如下总结：

2.如何开展去标识化？ 

《去标识化指南》提出的去标识化过程总结如下：

03 去标识化的效果

1.个人信息去标识化效果如何分级？ 

《指南》特别指出，经去标识化处理后的个人信息仍存在重标识的风险,需结合应用场景进行去标识化效果评估。基于数据是否能直接识别个人信息主体，或能以多大概率识别个人信息主体，个人信息标识度可划分为4级。级别越低，风险越高。

2.个人信息去标识化效果是如何评估的？ 

《指南》规定，首先需要进行评估准备，确定评估的数据集和依据、组建评估团队、确定重标识风险计算方案和可接受的风险阈值，其次进行定性评估，按照标识符清单进行判断，再次进行定量评估，计算和比较重标识风险，最终形成评估结论，并需获管理层批准。沟通与协商和评估过程文档管理贯穿始终。具体流程图如下：

04 结语

技术的高速发展使得个人信息的绝对匿名化难以实现，同时绝对的匿名化也会损害信息质量，从而影响信息价值。因此，个人信息去标识化技术变得非常重要，因为去标识化处理不仅可以避免他人根据信息直接识别出个人，增强个人信息安全性，而且依据不同的业务和个人信息特性选择合适的去标识化技术，能够确保去标识化的个人信息尽量满足预期目的从而保证个人信息的有用性，既能保障个人信息安全又能促进信息利用。

《个人信息保护法》将去标识化作为法定的安全保护措施，但是如何证明采取的技术措施是去标识化措施，以及采取的技术措施是否真正达到了不可直接识别个人信息主体的效果都是非常重要的问题，《指南》通过明确个人信息去标识化效果评定流程，并在附录给出了可参考的计算方法和阈值推荐，为去标识化技术的落地发展提供了更明确的指引。企业还可以针对不同级别的去标识化的个人信息采取不用类型的个人信息保护措施，来细化落地内部的数据分类分级保护制度。

编辑：于腾凯

校对：林亦霖