去标识化与匿名化是什么
去标识化是处理后不借助额外信息就无法识别特定自然人的过程，数据仍可能属于个人信息；匿名化则是无法识别特定自然人且不能复原，不再属于个人信息。两者的分界线在于是否保留可复原的映射关系或额外信息，判断口径直接决定数据能不能对外提供。
基本信息
| 去标识化 | 处理后不借助额外信息无法识别特定自然人（法律定义） |
|---|---|
| 匿名化 | 无法识别特定自然人且不能复原，不属于个人信息 |
| 关键区别 | 是否保留可复原的映射关系与额外信息 |
| 常用手段 | 假名化、加盐哈希、泛化、抑制、数据扰动 |
| 风险点 | 准标识符组合导致的重新识别 |
| 发布前动作 | 评估重识别风险并留存评估结论 |
典型使用场景
- 数据共享给合作方前做去标识化并约定不得复原
- 对外发布统计数据集时评估准标识符组合的重识别风险
- 测试环境使用脱敏数据，避免真实个人信息外泄
- 日志与埋点数据中手机号、证件号做哈希或截断
- 内部数据加工分析时用假名替代直接标识符
加盐哈希示例
加盐哈希示例
import hashlib, hmac
key = b"dataset-specific-secret" # 密钥单独保护
h = hmac.new(key, b"13800000000", hashlib.sha256).hexdigest()
# 不可逆；但密钥泄露时手机号可被枚举比对，密钥必须独立管理
# 同一手机号在同一密钥下结果稳定，便于关联分析而不暴露原文处理手段与效果
| 手段 | 示例 | 残留风险 |
|---|---|---|
| 假名化 | 用户 ID 替换为随机编码 | 映射表泄露即可复原 |
| 加盐哈希 | 手机号做 HMAC 摘要 | 密钥泄露后可枚举比对 |
| 泛化 | 年龄精确值改为年龄段 | 过细粒度仍可定位个体 |
| 抑制 | 删除高敏感字段 | 组合其他字段可能推断 |
| 扰动 | 统计值加噪 | 小样本下仍可反推 |
发布共享前先评估重识别风险：年龄、邮编、性别等准标识符组合可能重新识别个体，评估结论要作为发布审批的一部分留存。
匿名化是法律效果而非技术标签：声称已匿名化但保留密钥或映射表，一旦被复原即回到个人信息范畴，相关义务仍然适用。