数据匿名化与假名化：技术手段与法律边界

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

数据匿名化与假名化之间的差别，可能决定一家企业是符合LGPD（巴西《通用数据保护法》）的要求，还是面临数百万雷亚尔的处罚。

匿名化与假名化在实践中是什么

在分析《通用数据保护法》（第13.709/2018号法律，简称LGPD）框架下的个人数据处理时，有两个概念是保护隐私的核心工具：匿名化和假名化。这两种机制常被混为一谈，但它们的法律性质不同，对数据控制者义务产生的影响也截然不同。

匿名化是指在数据处理时，借助合理且可获得的技术手段，使数据不可逆地丧失与某一个人直接或间接关联的可能性。根据该法第12条的规定，一旦确认某项数据已被有效匿名化，就LGPD而言，它不再被视为个人数据。这意味着，对于可识别的个人数据所适用的诸多法定要求，控制者无需再行履行。

假名化则是一种介于两者之间的处理方式。采用这一技术时，我们会用代码、令牌（token）或加密密钥替换姓名、CPF（巴西自然人纳税人登记号）或地址等直接标识符，同时把重新识别所需的附加信息保存在单独且受控的环境中。假名化数据仍然是个人数据，因为持有对应密钥的人在技术上可以还原身份。因此，LGPD规定的各项义务依然全部适用。

这一问题与隐私影响评估直接相关，我们已另文专门探讨。

这一问题与敏感数据的处理直接相关，我们已另文专门探讨。

这一区分在实践中影响重大。在数据尽职调查（due diligence）中，尤其是在并购、公司重组或合规审计时，弄清每一组数据采用了何种技术，对于梳理监管风险、评估组织可能面临的行政处罚都至关重要。

匿名化技术及其有效程度

在技术层面，匿名化个人数据的方法有很多，各有优势，也各有局限。进行合规评估时，我们不仅要看采用了哪种技术，还要看它在当前技术水平下能否抵御合理的重新识别尝试。

泛化是使用最广泛的技术之一，即用范围或更宽泛的类别取代具体数值。例如，不记录34岁这一确切年龄，而是记录“30至39岁”这一年龄段；不保留完整的CEP（巴西邮政编码），只保留前三位数字。这种做法降低了数据的颗粒度，增加了识别的难度，但如果与其他可公开获取的信息集合相结合，仍可能不足以防止识别。

抑制是指彻底删除可能导致识别的字段或记录。我们会删除数据库中的整列数据（如姓名或证件号码），或者剔除那些因特征独特、即使没有直接标识信息也很容易被识别的个体记录。其弊端在于，数据集的分析价值可能因此降低。

随机化（或称扰动）是在原始数据中加入统计噪声，以可控的方式改变数值，使汇总分析依然有效，而单条记录却不对应任何特定个人的真实情况。差分隐私（differential privacy）等先进技术，则可以从数学上校准数据效用与隐私保护之间的平衡。

k-匿名是一种形式化模型，要求数据集中的每条记录，就特定属性而言，至少与其他k-1条记录无法区分。当k取值足够高时，重新识别的风险会大幅下降。不过，研究表明，单独使用k-匿名可能容易遭受同质性攻击和背景知识攻击，因此人们又发展出了l-多样性和t-接近性等补充模型。

匿名化数据与个人数据之间的界线并非一成不变：它会随着重新识别技术的进步，以及可用于交叉比对的数据量的增长而移动。

这些技术都无法提供绝对保证。匿名化是否有效，必须结合具体情形逐案评估，综合考虑特定背景、可能获得的辅助数据以及技术的发展。这种结合具体情境的分析，正是数据尽职调查过程中所要完成的工作。

假名化：降低风险的策略

虽然假名化不会使数据脱离LGPD的适用范围，但法律明确将其视为值得推荐的技术安全措施。LGPD第13条第4款在规定公共卫生研究时，就提到了假名化这一保护机制。巴西国家数据保护局（ANPD）在其指导性文件中，同样认可这一技术属于良好实践。

在企业的实际运作中，假名化发挥着重要的战略作用。把直接标识符从大量业务数据中分离出来，可以在发生安全事件时缩小数据暴露的范围。假如一个经过假名化的数据库遭到入侵，只要对应表（即假名化密钥）存放在隔离且受到妥善保护的环境中，攻击者拿到的记录单独来看就无法识别数据主体。

这种分离还便于在内部部门之间，或与外部合作伙伴之间，为分析、研究或开发目的共享数据。无需接触可识别数据的团队，可以使用假名化的数据集开展工作，这也符合LGPD第6条第III项规定的必要性原则。

在尽职调查场景中，审查目标公司的数据资产时，是否具备完善的假名化政策，是其数据保护成熟度的积极信号。反过来，缺乏此类做法则可能暴露出一些漏洞，直接影响交易的估值和合同条件。

法律边界与重新识别的风险

LGPD第12条规定，匿名化数据不被视为个人数据，除非匿名化过程能够仅凭自身手段被还原，或者经合理努力即可被还原。可见，法律在评估匿名化是否有效时采用了合理性标准，并考虑成本、时间和可用技术等因素。

这一动态标准带来了一片法律上的不确定地带，需要我们持续关注。今天我们认为已充分匿名化的数据，明天可能因为新的计算技术、处理能力的提升，或者出现了可用于以往无法实现的交叉比对的补充数据库，而变得可以重新识别。国际上的研究已经表明，看似已匿名化的数据库，与公开信息交叉比对后，被重新识别的比例可能高得惊人。

欧盟《通用数据保护条例》（GDPR）对LGPD产生了直接影响，其鉴于条款第26条处理了这一问题，规定评估时应考虑控制者或第三方可合理使用的一切手段。欧洲的经验为我们提供了宝贵的解释参照，尤其是第29条工作组（即现在的欧洲数据保护委员会，European Data Protection Board）关于匿名化技术的指导意见。

对于处理海量数据的组织而言，持续监测所采用匿名化技术的有效性，是一项长期承诺。匿名化一次就以为万事大吉，是远远不够的。必须建立定期的重新识别风险评估机制，一旦技术环境发生变化，就要及时更新技术手段。

另一个重要的边界涉及目的。即便是匿名化数据，如果被用于影响整个群体或社区的自动化决策，也会引发超出个人数据保护范围的伦理与监管问题。将汇总数据用于歧视性目的（例如根据街区的社会经济画像实行掠夺性定价），可能违反其他法律框架，如《消费者保护法典》和反歧视立法。

数据尽职调查：如何在实践中评估合规性

在涉及数据资产的尽职调查中，我们会开展涵盖技术、法律和组织三个层面的结构化分析。目的是摸清数据实际享有的保护水平，找出合规缺口，并量化可能影响拟议交易的风险。

在技术层面，需要核查实际落地的是哪些匿名化或假名化技术，技术文档是否与实际做法一致，是否定期进行重新识别测试，以及假名化密钥的存放是否有适当的访问控制。我们还会审查数据架构，找出个人数据可能在缺乏内部政策所宣称的保护措施的情况下被暴露的环节。

在法律层面，需要分析每项处理活动所依据的法律基础、同意条款是否妥当（如适用）、与数据处理者及次级处理者之间的合同、处理活动记录，以及个人数据保护影响报告。我们会评估，将数据归类为“已匿名化”，能否经受住严格的技术审查，还是只是一种过于乐观的定性，有可能被ANPD提出异议。

在组织层面，我们会考察数据保护官（DPO）的设置与履职情况、数据保护培训计划、事件响应程序，以及受理数据主体权利请求的渠道。一个组织可能拥有出色的匿名化技术方案，却因治理不到位而无法保证这些方案在整个业务中得到一贯执行。

这些分析结果将纳入交易的风险矩阵，使各方能够就定价、赔偿条款、交割后义务做出明智决策，在极端情况下，还可以判断交易本身是否可行。处理不当的数据属于或有负债，可能转化为行政处罚（最高可达营业额的2%，每次违法行为上限为R$ 50 milhões）、个人或集体诉讼，以及严重的声誉损害。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.