推动数据匿名化 保障个人信息和隐私安全
近日，由中国信息通信研究院牵头制定的《互联网广告 匿名化实施指南》(以下简称《指南》)正式发布，旨在进一步通过创新技术手段，推动个人信息匿名化处理，保障使用个人信息数据时的信息安全和个人隐私。
《指南》是一套互联网广告领域数据匿名化处理的创新性可行方案，规定了互联网广告匿名化实施的目标、原则和适用场景，给出了数据匿名预处理技术指引，相应配套了业务法律边界的评估见证方法和运营过程监控的管理控制体系，实现了“技术问题技术解决，法律问题回归法律，管理问题过程控制”的三位一体互信且制衡的实施方法。
互联网广告数据处理行为与匿名化实施架构示意图
数据匿名化的重要性
数据匿名化是个人信息保护框架内的核心制度，是数据进入市场流通的必要前提。
近年来，大数据和人工智能技术的深入融合应用已深刻且广泛地影响着各行各业，数据价值的释放有力推动了社会生产力的发展。然而，大数据在带来机遇的同时，也伴生着各类安全隐患，如个人信息非法采集、隐私窃取等非法牟利行为层出不穷，大数据杀熟、数据歧视等侵害消费者权益的问题凸显。2021年11月，一部重量级的法律条款《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）正式施行。《个人信息保护法》对保护公民隐私和个人信息安全提出了明确要求，其中提到了“去标识化”“匿名化”等与个人信息处理相关的术语定义。
2022年12月19日，中共中央、国务院发布《关于构建数据基础制度更好发挥数据要素作用的意见》（以下简称“数据二十条”），“数据二十条”解答了“为什么用数据”、“用什么数据” 及“如何用数据”这三个根本问题，对数据要素赋能实体经济具有重要意义。“数据二十条”明确提出，“创新技术手段，推动个人信息匿名化处理，保障使用个人信息数据时的信息安全和个人隐私”，指明了个人信息数据合规安全利用的根本路径。
个人信息保护中的数据匿名化
“
1、匿名化的定义
匿名化，是大数据隐私保护的一项重要的技术手段。在我国现行有效的法律和国家标准中都对匿名化作出了定义。
《个人信息保护法》第七十三条（四）明确作出了定义：“匿名化，是指个人信息经过处理无法识别特定自然人且不能复原的过程。”
《民法典》第一千零三十八条对“个人信息安全”规定了：“信息处理者不得泄露或者篡改其收集、存储的个人信息；未经自然人同意，不得向他人非法提供其个人信息，但是经过加工无法识别特定个人且不能复原的除外。”
《个人信息保护法》的第四条在定义“个人信息”的时候也明确了：“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。”
《网络安全法》第四十二条也规定了：“网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。”
此外，在国家标准《信息安全技术 个人信息安全规范》的3.14条也明确了匿名化后的信息不属于个人信息：“匿名化 anonymization 通过对个人信息的技术处理，使得个人信息主体无法被识别或者关联，且处理后的信息不能被复原的过程。注:个人信息经匿名化处理后所得的信息不属于个人信息。”因此，从法律意义上，匿名化后的信息不属于个人信息，可当做一般数据来处理。
匿名化作为一种重要的技术，也被法律法规要求应用于数据隐私保护。
例如在《信息安全技术 个人信息安全规范》的第7.5条“个性化展示的使用”就规定了 “在向个人信息主体推送新闻信息服务的过程中使用个性化展示的，应当个人信息主体选择退出或关闭个性化展示模式时，向个人信息主体提供删除或匿名化定向推送活动所基于的个人信息的选项”，以及第8.5条规定了“个人信息主体注销账户”时，“注销账户的过程需收集个人敏感信息核验身份时，应明确对收集个人敏感信息后的处理措施，如达成目的后立即删除或匿名化处理等”。可见，从法律意义上，匿名化技术基本上等同于数据删除了。
“
2、匿名化的标准
而欧盟《关于匿名化技术的意见》则指出：“匿名化的实现需要考虑合理且可能穷举的所有手段来确定可识别性，例如数据控制者是否能单独识别个体，识别的成本和所需的时间，同时考虑当时的技术水平等因素”，“可识别性可从以下三个维度来判定：挑出（single out）：是否具有从群体中识别出特定主体的可能性；关联（linkability）：是否仍有关联到与个人有关的记录的可能性；推断（inference）：是否能推断岀有关个人的信息”，而且“匿名化处理需进行持续性的评估，定期对匿名信息的剩余识别风险进行再评估，衡量采取措施的有效性”。
目前主流国家对于匿名化的标准要求基本都倾向于采用“合理性”标准，也就是说匿名化应当达到包括数据处理者在内的所有人，任何合理可能的方法都无法直接或间接地识别到具体的个人。
多举措推动数据安全及个人信息保护
近年来国家高度重视个人信息保护工作，坚决贯彻落实党中央、国务院有关工作部署，坚持以人民为中心的发展思想，立足主责主业，加快推动《个人信息保护法》《数据安全法》在工业和信息化领域落地实施，全面推进数据安全和个人信息保护工作取得了积极成效。
面向未来，将从以下几方面推动个人信息与数据安全保护。
一是持续完善管理制度
数字经济新业态下，客户个性化需求持续增长，使得企业对个人数据“共享畅连”的需求日益旺盛，不断引入大量的外部数据，但随着《中华人民共和国数据安全法》《个人信息保护法》等法律的颁布实施，安全合规已成为挖掘数据要素价值的必要前提。
未来将加快出台《工信领域数据安全管理办法》《移动互联网应用程序个人信息保护管理规定》，研究制定APP收集使用个人信息、车联网、人工智能等重要领域数据安全标准，强化个人信息保护和数据安全监管。
二是继续开展专项治理
针对涉诈、涉赌、涉网络黑灰产以及疑似恶意程序等不良APP，组织开展APP安全专项治理。建立不良APP安全监测处置技术能力，形成“主动发现、风险预警、依法处置、监管追责”的全流程闭环治理体系。
三是保障用户权益
重点突出关键责任链监管，对应用商店、第三方软件开发工具包、终端企业、重点互联网企业等实现监管全覆盖，打造更为安全的信息通信消费环境。
四是开展协同共治
未来将加强与网信、公安等部门协同配合，推动构建政府监管、企业自律、媒体监督、社会组织和用户共同参与的综合监管格局，进一步营造更安全、更清朗、更可靠的个人信息保护和数据安全工作局面。
责编：岳青植
监制：李红梅
文章参考：
1.《中国信通院牵头标准<互联网广告 匿名化实施指南>正式发布，互联网广告数据匿名实施服务正式上线》》中国信通院CAICT2.《如何进行匿名化处理，以平衡个人信息保护与数据要素流动的需求？》CCIA数据安全工作委员会3.《浅谈个人信息保护中的匿名化与去标识化》互联网与社会发展研究中心4.《数据匿名化制度如何构建？》《政法论丛》2022年第4期5.《打通数据共享大动脉》经济日报往期回顾