第29条工作组 | 《关于匿名化技术的意见》中文全文翻译（DPO社群出品）

编者按：

众所周知，无论是欧盟个人数据保护95指令还是《通用数据保护条例》GDPR，EDPB及其前身——第29条工作组，所发布的指导意见最为权威。DPO社群翻译了EDPB发布的许多指导意见。

今天和大家分享的是，欧盟第29条数据保护工作组于2014年4月10日通过的“关于匿名化技术的意见”的中文翻译文本，译者为北京高勤律师事务所的王源和温颖律师。

译者序言

数据匿名化（去标识化）是连接安全与发展、平衡个人权利与商业组织利益、实现降低风险和增强数据有用性的“中间件”。在政务大数据平台和企业数据中台建设中，需要在个人信息与匿名化数据之间找到黄金平衡点，降低合规风险，高效利用数据。

中国的“个人信息去标识化指南”在2020年3月1日正式实施。欧盟第29条数据保护工作组于2014年4月10日通过“关于匿名化技术的意见”，对匿名化的场景因素、判断标准、常用匿名化技术等，结合“95/46/EC号指令”和“电子隐私指令（2002）”做了详尽的介绍。虽然“95/46/EC号指令”被“通用数据保护条例”取代，“电子隐私指令（2002）”也已经更新，但“关于匿名化技术的意见”对匿名化技术从技术之外的角度对价值、目的、效果的讨论仍然具有时效性和借鉴意义。

匿名化不是单纯的技术问题。是网络安全和数据保护组织与技术措施的一个部分和一个环节，组织、制度、合同、技术相辅相成才能实现即定的匿名化目标，匿名化依赖数据合规外部生态和内部环境。匿名化对外需要考虑上下游供应链对数据的利用，对内需要协同政策、法律、技术、采购、运营、业务部门进行。

匿名化不是孤立的。需要结合数据的实际使用场景与目的，放入个案中考量，有针对性地考虑具体产品和服务的功能特点与数据特性。同时，匿名化涉及多个利益相关者，不同主体对匿名化需求、不同技术对不同主体需要达到的匿名化程度均不一样，包括数据主体或者用户、数据（共同）控制者、数据接收方、委托处理方以及数据流转环节的共享或者转让方等。

匿名化不是仅涉及客观考量。匿名化并非目的，通过匿名化技术处理数据的目的在于保护个人信息和隐私权。实现这一目的，一方面需要数据控制者和处理者根据经验设定标准并依据即定的标准进行合理的主客观判断，另一方面需要考虑被识别数据主体主观感受到的被侵犯程度。

匿名化不是静止的状态。是动态的对数据的处理过程，从最上游如何直接或者间接从个人收集信息的方式和种类，到如何通过转让、共享汇聚融合后加以利用，都是匿名化处理需要考量的因素。同时，收集、处理、数据流转利用过程中细节因素的变化也将引发匿名化的动态调整，需要事前调查、事中控制、事后审计。

匿名化并非数据合理利用的唯一起点，也非数据合理利用的终点。世界范围内收集和处理个人信息通用的“告知-同意”规则、以及即使未通过“告知-同意”以公共利益、统计和科研等目的收集和处理信息，均可以结合匿名化技术或者单独构成数据合理利用的基础。

如同我们可能必须接受大数据使得隐私成为一个相对的期待，我们可能也要接受匿名化不是一个绝对的概念，在个人信息和匿名化之间没有非此即彼的界限。世界范围内对匿名化的判别标准比较一致，均为“无法被识别或者关联，且处理后的信息不能被复原的过程”。对数据进行适当的匿名化处理是数据利用与合规的核心，是数据泄露导致的民事和刑事责任的屏障，也是实现数据跨境流动的国际认可路径。

个人信息与匿名化数据的有用性及风险如下图所示：

---

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已近300人。关于DPO社群和沙龙更多的情况如下：

DPO社群成果

线下沙龙实录见：

人脸识别系列文章

美国联邦隐私保护立法草案研究

传染病疫情防控与个人信息保护系列文章

个人数据与域外国家安全审查系列文章

美国电信行业涉及外国参与的安全审查系列文章

中国的网络安全审查系列文章：

美国的出口管制制度系列文章：