匿名化数据：重新识别的风险

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

个人数据的匿名化并非总是不可逆的，而重新识别的风险正是数据尽职调查流程中最大的法律隐患之一。

什么是匿名化数据，以及LGPD为何对其区别对待

谈到匿名化数据，我们指的是那些经过某种技术处理、从而能够不可逆地消除与某一个人产生直接或间接关联的任何可能性的信息。《通用数据保护法》（LGPD，巴西通用数据保护法）第12条规定，真正经过匿名化的数据，在该法适用层面不被视为个人数据。这意味着，从理论上讲，组织机构可以将这类数据自由用于诸如研究、市场分析和产品开发等目的，而无需受到个人数据处理所受的那些限制。

然而，LGPD本身也作出了一项根本性的保留：如果匿名化过程能够通过合理努力加以逆转，那么这些数据将重新被视为个人数据，从而受制于一切法定义务。这一”合理努力”的概念，对于我们理解其中涉及的风险至关重要。人们认为，是否”合理”应当结合技术发展水平、所涉成本、逆转所需的时间以及在尝试重新识别时可供使用的工具来加以分析。在技术飞速演进的背景下，几年前看似安全的技术，在新的算法和计算能力呈指数级增长的面前，可能会变得不堪一击。

在这样的背景下，匿名化与假名化之间的区分就显得尤为关键。假名化是用代码或密钥来替换直接标识符，但仍在技术上保留了通过访问对照表加以逆转的可能性。而匿名化，若实施得当，本应消除任何回溯到数据主体的途径。实践中可以看到，许多组织混淆了这两个概念，把仅仅经过假名化的数据当作已匿名化的数据来对待，从而带来了显著的法律风险暴露。

数据库中重新识别的主要途径

对所谓已匿名化数据的重新识别可能通过多种途径发生，理解这些途径对于任何尽职调查流程都是不可或缺的。第一种也是最常见的，是通过交叉比对数据库发起的攻击（linkage attack，链接攻击）。在这种情形下，恶意行为者会将匿名化数据库与其他可公开获取的数据来源（例如选民登记、社交网络、健康数据库或商业档案）相结合，从而推断出数据主体的身份。国际学术研究已经表明，在特定情境下，仅需三个变量（出生日期、邮政编码和性别）的组合，就足以唯一地识别出相当一部分人口。

第二种值得关注的途径是通过推断发起的攻击，即数据中残留的特征足以让人推断出有关特定个人的信息，即便无法直接识别其身份。当分析一个包含某小城镇罕见疾病信息的匿名化医疗数据库时，这种病症本身的罕见性，就可能足以在无需任何其他数据的情况下识别出该患者。

此外还存在源于数据时间维度聚合的风险。人们观察到，即便每一”片”孤立的数据看上去都很安全，但随着时间推移对匿名化记录的累积，仍可能形成极其具体的行为模式，其独特程度堪比指纹。出行轨迹、消费模式和浏览习惯，一旦在时间维度上加以聚合，就能以极高的精度把某个人单独识别出来。

第四种在尽职调查流程中值得重视的途径，是通过机器学习技术进行的重新识别。现代机器学习算法能够在海量数据中找出人类感知难以察觉的微妙关联。专门为重新识别目的而训练的机器学习模型，能够利用传统匿名化技术无法彻底消除的残留统计规律。

数据尽职调查：如何评估匿名化的稳健性

在合并、收购、商业合作或技术供应商签约等交易中，数据尽职调查已成为一项关键环节。在评估一家目标组织的匿名化质量时，需要考量的因素众多，远不止于一纸合规声明。第一步是核实所采用的匿名化技术。诸如抑制（移除标识字段）、泛化（用区间或类别替换具体数值）、扰动（添加统计噪声）和k-匿名性（确保每条记录与至少k-1条其他记录无法区分）等方法，在抵御重新识别尝试方面具有不同程度的稳健性。

此外还需评估是否存在能够证明已开展重新识别测试的技术文档。一家在数据保护方面成熟的组织，应当能够证明其曾采用公认的方法论，对其匿名化数据库进行过受控的逆转尝试。缺乏此类文档，这本身就是任何尽职调查流程中的一个警示信号。还需核实该组织是否保有一份关于所有经过匿名化处理的数据库的最新清单，其中记录了所采用的技术、处理日期以及技术责任人。

匿名化并非一锤定音的单次事件，而是一项持续的承诺，需要面对技术演进以及可能充当重新识别途径的新数据库的出现，定期加以重新评估。

另一个根本性的方面，是对匿名化数据库所处的数据生态系统进行分析。即便孤立来看匿名化技术在技术上已属妥当，但只要同一组织内（或其员工可访问范围内）还存在其他能够与匿名化数据交叉比对的数据库，就会严重损害整个流程的有效性。从这个意义上说，访问控制、数据库隔离和数据治理政策，都是分析时必须纳入考量的要素。

重新识别的法律后果与所涉责任

当所谓已匿名化的数据被重新识别时，法律后果可能相当严重。按照LGPD的制度安排，这些数据从逆转成为可能之时起（而非仅在实际发生逆转之时）就重新被视为个人数据。这意味着，一切在”数据已匿名化”这一前提下进行的处理活动，都可能被追溯认定为违规，并承担由此产生的一切处罚。

国家数据保护局（ANPD，巴西国家数据保护局）有权实施的处罚包括：警告、最高可达营业额2%的罚款（每项违规上限为R$ 50 milhões）、公开违规行为、封锁和删除个人数据。除行政处罚之外，责任组织还可能面临受影响数据主体提起的个人及集体诉讼，要求赔偿精神损害和物质损害。根据LGPD，在特定情形下责任为无过错责任，这免除了数据主体对过错的举证义务。

在尽职调查流程中，发现匿名化方面的薄弱之处，可能直接影响对该交易的风险评估。与数据保护相关的或有负债应当被量化，并在交易定价中予以考虑。人们发现，有过重新识别事件历史（或匿名化做法公认薄弱）的组织，往往会在并购（M&A）流程中遭到估值折让，这反映了其中内含的监管风险。此外，涉及匿名化数据库的数据共享合同，应当载入关于禁止尝试重新识别、发生事件时负有通知义务以及各方之间责任明确分配的专门条款。

从合同角度而言，建议数据处理协议中纳入关于匿名化质量的明确担保，赋予委托方审计权，并规定每当出现重大技术演进时负有更新技术的义务。针对重新识别情形专门设置赔偿条款，同样是一项审慎的做法。

降低重新识别风险的良好实践

为将重新识别风险降至可接受的水平，建议采取一种分层的方法，将技术、组织和法律层面的措施结合起来。在技术层面，差分隐私（differential privacy）的运用已被证明是最具前景的方法之一。该技术向数据中添加经过校准的数学噪声，使得统计查询既能产生有用的结果，又不会允许识别出单条记录。差分隐私与泛化、抑制等技术相结合，可提供超越传统方法的、针对重新识别的形式化保障。

在组织层面，设立一个多学科委员会（由技术、法律和合规专业人员共同参与）被认为是不可或缺的，其职责是定期评估所使用匿名化技术的有效性。该委员会应当持续关注重新识别攻击领域的技术发展水平，评估本组织面临新风险途径的暴露程度，并在必要时就流程更新提出建议。对处理匿名化数据的团队进行持续培训，同样对于避免可能损害匿名化有效性的操作失误至关重要。

在法律层面，除已经提及的合同条款外，建议针对匿名化流程编制专门的《个人数据保护影响评估报告》（RIPD），记录所采用的技术、所识别出的残余风险以及所采取的缓解措施。这类报告既可作为内部治理工具，也可在ANPD日后开展检查时作为抗辩依据。此外，实施明确的数据保留与销毁政策，可确保匿名化数据不会被无限期保存，从而缩短其面对未来基于技术进步发起的攻击时的暴露窗口。

这一话题与社交网络中的个人数据直接相关，我们在专门的文章中对该主题进行了探讨。

这一话题与家用物联网设备数据直接相关，我们在专门的文章中对该主题进行了探讨。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.