个人信息匿名化的一些问题

数据安全技术研发中心

前言：

根据《个人信息保护法》第4条¹，经匿名化处理后的信息不属于个人信息。这意味着信息处理者可以在合法框架内对匿名化后的数据进行开发与利用，而无须承担个人信息处理所附带的高昂合规成本——两相对照，匿名化的制度价值不言而喻。

然而，在公共数据开放流通的大背景下，围绕匿名化的实践操作与法律定性，暴露出若干值得关注的问题。例如，在部分实践场景中，“匿名化”“去标识化”“脱敏”“假名化”等概念被混为一谈。一方面，相关表述以“去标识化”“脱敏”“假名化”等概念来界定数据加工过程；另一方面，又宣称加工后的数据“无法还原”“无法识别具体主体”“不具备识别特定个人的任何可能”——而这些表述在实质上已触及“匿名化”的法定标准。倘若数据加工结果确已达到匿名化的法定门槛，理应以“匿名化”对其明确定性，并辅以充分的论证材料加以佐证；反之，若加工仅停留在去标识化层面，则该部分数据在法律上仍属于个人信息范畴，不可混淆视之。

此外，诸如数据处理者往往宣称“无法通过任何技术手段反向关联”或“不具备识别的任何可能”，其背后隐含的假设是：匿名化一经完成，便可一劳永逸地消除全部识别可能。然而，这种绝对化判断往往忽略了一个关键维度——数据接收方在其自身数据环境下进行再识别的现实风险。那么，在我国现行法律体系下，匿名化是否是一个在识别可能性为零的绝对性的判断，是否因为被评价主体不同而存在相对性？本文尝试展开探讨，以期厘清匿名化制度中的若干关键议题。

¹ 《个人信息保护法》第4条：个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。

01 从“不能复原”到“难以复原”，匿名化是否意味再识别可能性为零

《个人信息保护法》第73条对去标识化和匿名化分别作出了明确界定：“（三）去标识化，是指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程。（四）匿名化，是指个人信息经过处理无法识别特定自然人且不能复原的过程。”

据此，两者的核心区别在于：去标识化处理后的信息，虽然在脱离额外信息的前提下无法直接指向特定自然人，但一旦与额外信息相结合，仍具备恢复识别的可能性；而匿名化则在此基础上进一步要求处理过程具有不可逆性——既无法识别特定自然人，亦不能复原至原始状态。

我国匿名化以“无法识别”和“不能复原”两个要素为核心构成要件，这与欧盟《通用数据保护条例》（GDPR）的定义逻辑相似。GDPR将匿名信息（anonymous information）定义为“与已识别或可识别的自然人无关的信息，或者以令数据主体不可识别或不再可识别的方式处理而得到的数据”，并要求在认定数据主体是否可被识别时，应当考虑所有合理且可能的方法。

由此产生的核心争议在于：匿名化所要求的“无法识别”，是否意味着识别可能性必须降至绝对为零？

从国际实践来看，答案趋向否定。例如，西班牙数据保护局与欧洲数据保护监察会联合发布的《关于匿名化的十个误解》明确指出，“匿名化总是能够将再识别的可能性降低到零”系一种错误认知，“一个有效的匿名化过程之目的在于将再识别的可能性降低到某一确定的阈值以下”。新加坡个人数据保护委员会发布的《基础匿名化指南》亦采取类似立场，认为匿名化是指具有“极低重识别风险”，但并非绝对不可重识别，应当将匿名化视为一个基于风险的过程，包括综合运用匿名化技术和保护措施以防止重新识别。

我国2025年发布的《个人信息保护 个人信息匿名化指南（征求意见稿）》（以下简称《匿名化指南》）对此问题作出了进一步回应。《匿名化指南》指出：“相对于去标识化，匿名化去除个人身份特征更为彻底，或者所采用的技术方法更为复杂，使匿名化后的信息在不付出高额成本的情况下就难以复原，具有较高的安全性。”

值得注意的是，此处采用的“难以复原”表述，较《个人信息保护法》所使用的“不能复原”在措辞上已有所放宽，一定程度上承认了匿名化并非绝对意义上的不可逆转，而是在现有技术条件和合理成本约束下的高度不可逆。

另一方面，《匿名化指南》进一步指出：“匿名化并非一劳永逸，随着后续的使用以及技术的发展，原先匿名化的数据如果被证明可以重新识别到特定自然人，那么这些数据仍将被视为个人信息，因此处理者还应当持续评估匿名化处理后的个人信息重识别风险。”这进一步表明，匿名化在我国标准层面已被定位为一种动态的、需持续评估的过程，而非一次性达成的终极状态。

02 匿名化是否具有主体相对性

匿名化的判定结论是否因评价主体的不同而有所差异，这也是为理论界与实务界关注的重要问题。具体而言：某项信息在A主体控制下因其具备识别或复原能力而属于个人信息，但在B主体控制下因其不具备识别或复原的合理手段，是否可被认定为匿名化信息？

我国《个人信息保护法》未对“不可识别”与“不能复原”所指向的主体范围作出明确规定，法律层面存在一定解释空间。

域外来看，承认匿名化具有主体相对性正逐步成为主流趋势。例如，英国ICO发布的《匿名化、假名化和隐私增强技术指南》认为，同样的信息在一个组织中可能是个人数据，而在另外一个组织中则可能是匿名信息。即该信息是个人数据还是匿名信息取决于其所处的环境。

值得关注的是，即便是此前坚持假名化数据不等同于匿名化数据的欧盟，近期亦在判例中逐渐向主体相对性立场靠拢。在SRB诉EDPS案件中，欧洲普通法院援引C-582/14 布雷耶案，主张“个人数据相对论”，强调数据性质取决于数据接收方能否合理识别个人，而非数据控制者的识别能力。欧洲普通法院认为，德勤（数据接收方）仅收到带代码的评论，既无解码密钥，也无合法途径获取额外识别信息，在技术上无法重新识别个人；且EDPS未能举证证明德勤存在“合理识别手段”。因此，对德勤而言，涉案数据属于匿名化数据，SRB无需履行告知义务。²

换言之，对于持有解码密钥或可通过额外信息重新识别数据主体的控制者而言，假名化数据仍属于个人信息；对于未持有密钥且无合理识别手段的接收方而言，若技术措施和组织措施能够有效阻断识别可能性，则该数据对该接收方而言可能不构成个人信息。

依据上述域外实践，在特定场景下可形成如下判断逻辑：去标识化数据（假名化数据）+ 特定接收主体不具备合理的重识别可能性 = 匿名化数据（仅针对该特定主体而言）。

主体相对性观点的引入具有重要的实践意义。去标识化后的数据对于不具备识别能力的接收方可能不构成个人信息，这为数据流通利用提供了技术缓冲空间，有助于在一定程度上减轻数据共享的合规负担。

但与此同时，相对性认定可能导致同一数据在不同流转环节呈现不同的法律定性，增加个案评估的复杂性和不确定性。

² 中伦视界公众号文章：《数字出海合规启示录（三）：个人数据的相对性与匿名化治理的全球趋势》，载https://mp.weixin.qq.com/s/stCyblGNU8XQG_OfHhYrKw.

一些建议：

01 规范概念使用

应当严格依据《个人信息保护法》及相关国家标准、行业标准所确立的概念体系，明确区分“去标识化（涵盖脱敏、假名化等）”与“匿名化”之间的核心差异，在各类文件与方案中准确、规范地使用相关术语，杜绝混用与错用。在此基础上，应对数据语料加工各环节所采用的具体技术手段及其对应的安全等级逐一进行详细说明，清晰界定每一步骤的加工标准与预期效果。

尤其需要正面回答一个核心问题：数据语料加工的最终目标，究竟是达到“去标识化”标准，还是“匿名化”标准？两者在法律后果上存在本质区别，不可含混带过。

021 引入个案评估机制

如前所述，当前主流观点普遍认为，匿名化并不等同于将再识别可能性降至绝对为零。据此，仅凭数据提供方方单方面的匿名化处理，尚不足以完全消除数据流转后的再识别风险。

不同的信息处理情境对匿名化的保护标准提出了不同的要求，如果不分情境地实施匿名化，可能会引发保护不足或者过度保护的问题。³建议在数据语料出域前，针对每一拟定接收方，结合其所处的数据环境、技术能力、已持有的关联数据资源等核心要素，开展接收方视角下的再识别风险个案评估，形成具有针对性的风险评估结论，并据此明确对不同接收方的差异化安全管控要求。

具体而言，可委托独立第三方评估机构，围绕“数据语料在特定接收方环境下是否仍可能构成个人信息”这一关键问题开展专项评估，出具客观、中立的评估意见，为数据出域审批提供科学、可靠的判断依据，切实防范因接收方数据能力差异而引发的再识别风险。

³ 张泽嵩.个人信息匿名化的价值权衡与规范再造[J].南开学报（哲学社会科版）,2025,(06):66-81.

03 落实接收方评估义务

在匿名化主体相对性观点暂不明朗的情况下，建议在数据语料入库前，由接收方委托独立专业评估机构对语料是否达到匿名化标准开展系统性、专项性评估。评估应重点核查：在接收方自身的数据环境与技术条件下，数据再识别风险是否已被控制在合理阈值以下。评估完成后应出具书面报告，作为数据入库审批的必备支撑材料。

此外，合同约束是维系匿名化状态的关键制度屏障。接收方必须严格遵守与提供方之间的合同约定，依据相关法律法规切实履行数据安全保障义务。其中最为核心的条款，是禁止再识别义务，接收方不得利用自身掌握的技术手段或数据资源，对已接收的匿名化数据进行反向识别或关联还原。

撰稿｜姚迁

责编｜卢蔷

声明：本文来自三所数据安全，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。