2、PII基础概念：个人身份信息的分类与法规框架

在端侧数据脱敏工程落地之前，必须先建立对PII（Personally Identifiable Information，个人身份信息）的精确认知。脱敏策略的粒度、字段选择、算法强度以及合规边界，全部取决于对PII类型的准确判断。本章从分类学视角拆解直接标识符与间接标识符的本质差异，梳理常见PII类型的业务分布，并对照GDPR、CCPA与《个人信息保护法》的监管要点，为后续章节的脱敏规则设计提供概念基座。

2.1 直接标识符与间接标识符：分类的核心逻辑

PII分类的底层逻辑不是字段名称，而是“识别风险”。直接标识符（Direct Identifiers）指单独使用即可锁定特定自然人的数据项，例如身份证号、护照号、完整姓名+手机号组合。间接标识符（Quasi-Identifiers / Indirect Identifiers）单独看无法直接对应到个人，但多个字段组合后，通过交叉比对即可实现重识别（Re-identification）。这一区分直接决定了脱敏策略的强度：直接标识符通常需要不可逆脱敏（如替换、加密），而间接标识符往往采用泛化、抑制或加噪处理。

对比维度	直接标识符	间接标识符
识别能力	单独即可识别个人	需组合或结合外部数据
典型字段	身份证号、手机号、邮箱、人脸图像	性别、出生日期、邮编、职业、设备型号
脱敏策略	替换、FPE加密、令牌化	泛化（如年龄区间）、抑制、随机扰动
重识别风险	极高	中高（组合后风险上升）
法规关注度	通常属于“敏感个人信息”	视组合情况而定

实战中一个常见误区是只对“姓名”和“身份证号”做脱敏，而忽略了性别+出生日期+邮编这种经典间接标识符组合。根据Latanya Sweeney教授1997年的经典研究，87%的美国人仅凭（邮编，性别，出生日期）即可被唯一识别。在端侧数据处理场景中，即使不采集姓名，只要保留了这三项，仍然构成PII。

2.2 常见PII类型与业务分布

从工程视角看，PII字段广泛存在于用户画像、订单记录、日志埋点、客服工单、设备信息等数据流中。以下按数据类别梳理最常见的PII类型及其在端侧脱敏中的典型处理方式。

• 身份标识类：姓名、身份证号、护照号、社保号、驾驶证号。这类字段在端侧通常需要高强度的不可逆脱敏，推荐使用格式保留加密（FPE）或替换为随机虚拟身份。
• 联系方式类：手机号、固定电话、邮箱地址、即时通讯账号。手机号脱敏常用中间四位掩码（如138****1234），但若用于风控或二次营销，需考虑可逆方案。
• 地址位置类：家庭住址、公司地址、GPS坐标、IP地址。地址脱敏需区分粒度需求——精确到门牌号还是街道级别，GPS坐标可做网格化偏移。
• 生物特征类：人脸照片、指纹模板、声纹、虹膜。生物特征属于高敏数据，端侧脱敏建议采用特征提取后丢弃原始图像，仅保留不可逆的模板向量。
• 数字身份类：设备IMEI、MAC地址、Cookie ID、广告ID（IDFA/OAID）。这类标识符常被忽略，但在广告追踪和反欺诈场景中属于PII。
• 社会属性类：性别、出生日期、民族、婚姻状况、收入区间。单独看风险较低，但组合后重识别风险显著上升。

2.3 三大法规框架：GDPR、CCPA与个保法

法规是PII分类的“外部约束力”。不同法域对PII的定义范围、敏感类别、处理原则和处罚力度存在差异，直接影响脱敏方案的合规设计。

2.3.1 GDPR（欧盟通用数据保护条例）

GDPR将个人数据分为“一般个人数据”和“特殊类别数据”（Special Categories）。特殊类别包括种族、政治观点、宗教、健康数据、生物识别数据等，原则上禁止处理，除非获得明确同意或满足特定豁免条件。GDPR强调“数据最小化”和“目的限制”，要求控制器在收集端就明确脱敏需求。罚款上限为全球年营业额的4%或2000万欧元（取较高者）。

2.3.2 CCPA/CPRA（加州消费者隐私法案）

CCPA将个人信息定义为“直接或间接识别、关联或可合理关联到特定消费者或家庭的信息”。其特色是赋予消费者知情权、删除权、选择退出权（Opt-out of Sale）。CPRA（2023年生效）进一步设立“敏感个人信息”类别，包括社保号、精确地理位置、种族、健康信息等，处理前需提供“限制使用”选项。罚款为每次故意违规7500美元、非故意违规2500美元。

2.3.3 个保法（中华人民共和国个人信息保护法）

个保法将个人信息分为“一般个人信息”和“敏感个人信息”。敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等，以及不满十四周岁未成年人的个人信息。处理敏感个人信息需取得“单独同意”，并告知必要性及对个人的影响。情节严重的违法行为最高可处5000万元或上一年度营业额5%的罚款，相关责任人可被处以个人罚款。

法规	PII定义范围	敏感类别	核心原则	最高罚款
GDPR	已识别或可识别的自然人	特殊类别（健康、生物、种族等）	数据最小化、目的限制	4%全球营收 / 2000万欧元
CCPA/CPRA	直接/间接识别消费者或家庭	敏感个人信息（社保、精确位置等）	知情权、删除权、选择退出	7500美元/次（故意）
个保法	已识别或可识别的自然人	生物识别、金融账户、行踪等	单独同意、最小必要	5000万元 / 5%营收

2.4 案例拆解：间接标识符组合导致的重识别事故

某健康管理App在端侧采集用户数据用于个性化推荐，开发团队认为“姓名”和“手机号”属于PII，因此在日志中做了掩码处理。但数据采集字段中同时包含：出生日期（精确到日）、性别、所在城市、职业、身高体重、最近一次体检的BMI值。这些字段被当作“非敏感业务数据”明文存储在端侧数据库中。

初始现象：安全团队在例行审计时发现，通过将出生日期+性别+城市+职业四个字段组合，在本地SQLite数据库中即可唯一锁定约73%的用户。进一步与公开的社交媒体数据交叉比对，可还原出部分用户的真实身份。

分析判断过程：该组合属于典型的间接标识符集合。虽然每个字段单独看都不构成直接PII，但组合后的熵值（Entropy）足以实现重识别。根据K-匿名模型测算，该数据集的K值仅为2.1，远低于安全阈值（通常要求K≥5）。

实际操作步骤：

1. 将出生日期从“精确到日”泛化为“年份+年龄段”（如1985年，30-35岁区间）；
2. 城市字段映射到“城市等级”（一线/二线/三线），而非具体城市名；
3. 职业字段映射到“行业大类”（IT/医疗/教育等），并抑制低频职业（如“宇航员”直接置空）；
4. BMI值保留一位小数并添加±0.5的随机扰动；
5. 在端侧日志输出前，通过规则引擎检查组合字段的K-匿名值，若低于阈值则拒绝输出。

结果对比：脱敏后，数据集的K值从2.1提升至8.7，重识别风险降低76%。虽然个性化推荐的精度下降了约12%，但合规风险显著下降。

复盘经验：端侧脱敏不能只看单个字段，必须从“记录级”视角评估组合风险。建议在端侧内置轻量级的K-匿名计算模块，对即将输出的每条记录做实时风险评分。

2.5 常见误区与总结复盘

在PII分类与法规理解上，工程团队常陷入以下误区，需要特别警惕：

• 误区一：只有“姓名+身份证号”才算PII。实际上，任何能直接或间接识别个人的数据都是PII。设备ID、Cookie、甚至行为序列在特定场景下都可构成PII。
• 误区二：脱敏=掩码。掩码（如138****1234）只是脱敏的一种形式，且可逆性较强。对于高敏字段，应使用替换、FPE或令牌化。
• 误区三：法规只约束云端。端侧数据同样受法规管辖。个保法明确要求“最小必要”原则，端侧采集的数据如果未脱敏就存储，同样违规。
• 误区四：间接标识符不需要保护。组合后的间接标识符重识别风险极高，必须纳入脱敏范围。