4、个人信息识别：什么是个人信息、敏感个人信息、匿名化与去标识化的区别

好，咱们进入第四讲。这一章特别基础，但也特别容易翻车。

我见过不少团队，一上来就急着做风险排查，结果连「什么是个人信息」都没搞清楚。排查了半天，漏掉一堆关键字段。说白了，你连目标都没识别清楚，后面的工作全是白费。

4.1 什么是个人信息？

先看定义。根据《个人信息保护法》，个人信息是指：

嗯，这里有两个关键词：「已识别」和「可识别」。我个人习惯把这两类分开看：

• 已识别：直接能锁定到具体个人。比如身份证号、手机号、姓名。
• 可识别：单独看可能认不出是谁，但结合其他信息就能定位。比如性别+出生日期+居住地，三个放一起，基本能锁定一个人。

我在项目中遇到过一种情况：客户说「我们只收集了用户的设备型号和操作系统版本，这不算个人信息吧？」。我反问了一句：「如果全公司只有一个人用某款小众手机，你能定位到他吗？」对方沉默了。这就是可识别的威力。

4.2 什么是敏感个人信息？

敏感个人信息，说白了就是「一旦泄露，后果很严重」的那类数据。

法律定义是：一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息。

我给大家列个常见清单：

类别	典型字段	为什么敏感
生物识别信息	指纹、人脸、虹膜、声纹	唯一且不可更改
金融账户信息	银行卡号、支付账号、交易流水	直接关联财产安全
行踪轨迹	GPS定位、出行记录、住宿信息	暴露个人生活规律
健康医疗信息	病历、体检报告、基因数据	涉及隐私尊严
未成年人信息	14岁以下儿童的个人信息	法律特殊保护
特定身份信息	宗教信仰、性取向、政治面貌	易引发歧视或伤害

我曾经帮一家金融科技公司做合规排查。他们把所有用户的身份证号都存到了同一个数据库里，连加密都没做。我问他们：「你们知道身份证号属于敏感个人信息吗？」对方说：「知道啊，但我们觉得内部用没事。」——嗯，后来他们被罚了50万。

4.3 匿名化与去标识化的区别

这两个概念，很多人混着用。但法律上，它们完全是两码事。

我直接画个对比表，大家一看就明白：

对比维度	匿名化	去标识化
定义	个人信息经过处理，无法识别特定自然人且不能复原	个人信息经过处理，在不借助额外信息的情况下无法识别
能否复原	不能，永久不可逆	可以，借助额外信息可复原
法律地位	不再是个人信息，不受个保法约束	仍然是个人信息，受个保法约束
典型方法	泛化+扰动+随机化，彻底打乱	替换、加密、哈希、脱敏
使用场景	数据公开、统计分析、AI训练	内部测试、数据共享、合规分析

你想想看，为什么这个区别这么重要？

因为很多公司以为「我做了脱敏就万事大吉了」，结果被监管一查，发现脱敏后的数据还能通过关联分析还原出个人身份。那就不叫匿名化，叫去标识化。去标识化后的数据，依然要遵守个人信息保护的所有规定。

4.4 实操中的避坑指南

我给大家总结几条实战经验：

1. 别把「脱敏」当「匿名化」。我曾经见过一个项目，把用户手机号中间四位换成****，就宣称做了匿名化。这其实是去标识化，因为剩下的前三位+后四位依然能定位到具体人。
2. 匿名化要经得起「重识别攻击」测试。你做完匿名化之后，可以试着用外部数据（比如公开的社交信息）去反推。如果能推出来，说明匿名化不彻底。
3. 敏感个人信息必须单独标识。我建议在数据字典里加一个字段叫「sensitive_level」，0=普通个人信息，1=敏感个人信息。这样后续做权限控制、加密存储、审计日志都方便。
4. 去标识化的「额外信息」要严格管控。比如你用了哈希算法做去标识化，那把哈希用的盐值（salt）和映射表，必须单独存储、加密、限制访问。否则等于没做。

4.5 小结

这一章的内容，说白了就是四个字：认清对象。

你连什么是个人信息、什么是敏感个人信息、什么是匿名化都分不清，后面的风险排查就是瞎忙活。我建议你把这章的内容打印出来，贴在工位上。每次处理数据前，先看一眼。

下一章，咱们聊聊「数据分类分级」的具体方法。到时候我会拿一个真实的电商系统做案例，手把手教你怎么落地。