一、结论前置：一个概念、两条定义、四种后果

去标识化与匿名化在实践中经常被混用，但两者的法律后果截然不同。先把结论摆出来。

  1. 两条法定定义。《个人信息保护法》第七十三条规定：去标识化，是指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程；匿名化，是指个人信息经过处理无法识别特定自然人且不能复原的过程。
  2. 一个决定性的法律后果差异。《个人信息保护法》第四条第一款明确：个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。据此，匿名化处理后的信息不属于个人信息，不再适用个人信息保护法；而去标识化后的信息仍属个人信息，仍须适用告知同意、影响评估、跨境等全部规则。
  3. 去标识化是法定的安全措施，不是免责事由。《个人信息保护法》第五十一条要求个人信息处理者采取包括去标识化在内的措施保障个人信息安全。也就是说，去标识化是「怎么做」的合规要求，而不是「要不要遵守」的豁免理由。
  4. 匿名化的判断标准是「不能复原」。只要存在通过额外信息、辅助数据重新识别特定自然人的合理可能，就不能认定为已完成匿名化。
实务要点：企业最常见的合规误区是把「脱敏」「假名化」「哈希替换」直接等同于匿名化，据此认为数据不再受个人信息保护法约束，从而在共享、交易、出境时省略合法性基础。这一理解在监管与司法实践中难以获得支持。

二、去标识化与匿名化的逐项对比

下表从定义、可识别性、法律属性、合规义务四个维度对照。判断的落脚点始终是：处理后的信息能否识别到特定自然人。

比较项去标识化匿名化主要依据
法定定义不借助额外信息的情况下无法识别特定自然人无法识别特定自然人且不能复原《个人信息保护法》第七十三条第三项、第四项
借助额外信息后能否识别可能可以不可以同上
是否可复原可能可复原不可复原同上
法律属性仍属个人信息不属于个人信息《个人信息保护法》第四条第一款
适用规则适用个人信息保护法全部规则（告知同意、单独同意、影响评估、跨境等）不适用个人信息保护法同上
义务定位法定的安全保障措施之一（第五十一条）属于处理目的之外的路径选择，需自行证明不可复原《个人信息保护法》第五十一条
举证与证明不涉及豁免，无需额外证明主张豁免的一方需证明已实现不可复原举证责任的分配依个案与争议类型确定

国家标准层面也有对应的技术指引：GB/T 37964—2019《信息安全技术 个人信息去标识化指南》描述了去标识化的目标、原则、过程和管理措施，并给出常见去标识化技术与模型；GB/T 42460—2023《信息安全技术 个人信息去标识化效果评估指南》则提供去标识化效果的分级与评估方法。

三、重标识风险评估：四级分级与评估流程

去标识化效果的核心判断指标是「标识度」，即数据能否直接或经由准标识符识别到个人信息主体。依 GB/T 42460—2023，个人信息标识度分为四级，级别越低风险越高。

级别风险水平划分依据可能的管控取向
4 级风险最低不包含任何标识符风险最低，可支持较开放的使用场景（具体仍须结合业务判断）
3 级风险较低消除了直接标识符，但包含准标识符，且重标识风险低于可接受风险阈值可在限定场景下使用，持续监控重标识风险
2 级风险较高消除了直接标识符，但包含准标识符，且重标识风险高于或等于可接受风险阈值需追加去标识化或补充管理措施，否则不宜扩大共享范围
1 级风险最高包含直接标识符，在特定环境下能直接识别个人信息主体应按个人信息严格管理，不产生匿名化效果

评估流程通常包括五个环节：评估准备（确定数据集、使用环境、评估团队、依据、重标识风险计算方案与可接受风险阈值、评估方案）；定性评估（形成标识符清单，判断是否含标识符、是否含直接标识符）；定量评估（计算重标识风险并与阈值比较）；形成评估结论（形成去标识化效果分级结论并获管理层批准）；沟通与协商（含数据环境重大变更通知机制与定期重新评估计划）。

实务要点：可接受风险阈值是整套评估的锚点，应当结合数据用途、共享方式（完全公开共享、受控公开共享、受限制共享等）与重标识后果共同确定，并在制度中固化。阈值一经设定，即成为后续评估与审计的比较基准。

四、常用去标识化技术与适用场景

技术选择应当服务于「降低区分度与识别度」这一目标，并兼顾数据可用性。

技术类别典型技术适用场景与注意点
统计技术数据抽样、数据聚合适用于统计分析；聚合后仍可能因样本过小被反推
密码技术确定性加密、保序加密、保留格式加密、同态加密适用于需保持格式或可比对的场景；密钥管理是关键控制点
抑制技术屏蔽、局部抑制、记录抑制直接删除或遮盖标识字段，简单有效但可能显著降低可用性
泛化技术取整、顶层与底层编码如将出生日期泛化为年龄段，降低准标识符精度
随机化技术噪声添加、置换、微聚集适用于统计发布；需评估噪声对结论的影响
假名化技术独立于标识符的假名创建、基于密码技术的标识符派生假名假名化本身不等于匿名化，映射表须单独存放并受技术、组织措施约束
模型k-匿名模型、差分隐私模型常用于定量评估中的重标识风险计算
风险提示：单点技术处理通常不足以实现匿名化。直接标识符（姓名、身份证件号、详细住址、电话号码、银行账户、设备标识符、生物识别码、互联网协议地址等）与准标识符（性别、出生日期、地理范围、职业、婚姻状况、受教育水平等）的组合，可能在与其他数据源比对后重新识别到个人。常见的重标识路径正是「准标识符交叉比对」。

五、四项合规边界：共享、交易、出境与内部使用

判断去标识化或匿名化是否达到预期效果，必须落到具体场景。以下四条边界最常被问到。

  1. 内部使用与安全措施：去标识化是《个人信息保护法》第五十一条项下的法定义务之一，即使数据仅在内部使用，也应当采取包括去标识化在内的必要安全措施，并建立分类分级保护制度。
  2. 对外提供与共享：去标识化后的数据仍属个人信息，向他人提供须具备合法性基础（如取得单独同意或符合法定情形），并履行告知义务。若确已实现匿名化，则不再属于个人信息，可以提供。
  3. 数据交易与数据产品挂牌：数据交易与产品挂牌通常要求确权、脱敏与标准化。此处「脱敏」是否达到匿名化标准，直接决定交易标的是否仍受个人信息保护法约束，是审查的核心问题。
  4. 数据出境：去标识化不影响数据出境的合规路径判断；匿名化数据因不属于个人信息，不构成个人信息出境。《网络数据安全管理条例》第二十四条对去标识化和匿名化作出了衔接性规定，具体适用仍须结合数据类型、数量与出境路径综合判断。

六、常见问题

问：把姓名、手机号字段删掉，剩下的数据是不是就匿名化了？

不一定。删除直接标识符只是第一步。若数据仍包含准标识符（如性别、出生日期、邮政编码、职业、事件日期等），结合其他可得信息仍可能重新识别到特定自然人，则仍属去标识化而非匿名化，级别通常落在 3 级或 2 级。是否可认定为匿名化，需要按不可复原的标准综合判断。

问：对身份证号做哈希处理，算匿名化吗？

哈希属于假名化技术。若映射关系或密钥可获取，且原始标识符可被穷举或比对，则存在重新识别的可能，通常只能实现去标识化效果，不能认定为匿名化。哈希算法、盐值管理与密钥保管是关键控制点。

问：匿名化的证明责任在谁？

主张「已实现匿名化、不适用个人信息保护法」的一方，通常需要承担相应的证明责任。因此企业应当留存去标识化与匿名化处理的技术文档、效果评估报告、重标识风险计算方案与阈值设定依据、评估团队构成与管理层批准记录。

问：去标识化是否有统一的国家标准可以依据？

有。GB/T 37964—2019《信息安全技术 个人信息去标识化指南》提供去标识化的过程与管理措施；GB/T 42460—2023《信息安全技术 个人信息去标识化效果评估指南》提供效果分级与评估方法。两者均为推荐性国家标准，可作为技术合规与举证的重要依据。

七、法条与依据核验

本文引用依据如下，均以官方公布文本为准：

条文与口径说明：①《中华人民共和国个人信息匿名化处理指南及评价方法》的制定状态与最终文本内容，本文未作确定性引用，仅提及可关注其进展；②去标识化效果分级中「可接受风险阈值」的取值，国家标准给出方法与参考，具体阈值应由处理者结合场景自行确定，不宜直接照搬；③「匿名化后是否仍可能因第三方数据融合而重新识别」在实践与学术层面均有讨论，监管口径仍在形成过程中，实务中存在争议；④本文所述均以处理活动发生在境内的合规判断为基础，涉境外主体时还须考虑域外适用规则。