4、数据分类分级：个人敏感信息、一般个人信息、匿名化与去标识化

好，咱们来聊聊数据分类分级。说实话，这是数据隐私合规里最基础、也最容易被搞混的一块。我见过不少团队，一上来就急着做技术方案，结果连自己手里拿的是什么数据都没搞清楚。嗯，这就像你连食材都没分清楚就开始炒菜，不出问题才怪。

先说说最核心的区分。法律上把个人信息分成了两类：一般个人信息和个人敏感信息。说白了，敏感信息就是一旦泄露，可能会让你“社死”或者遭受重大损失的数据。

个人敏感信息：包括但不限于身份证号、银行账户、行踪轨迹、生物识别信息、14岁以下未成年人信息等。

一般个人信息：比如姓名、性别、出生日期、工作单位等，单独看危害不大。

我在项目中遇到过一件事。有个客户做电商App，他们把用户的收货地址当一般信息处理，只做了基础加密。结果有一次数据库被拖库，黑客拿着地址和手机号搞精准诈骗。后来我们复盘才发现，家庭住址其实属于“行踪轨迹”的范畴，应该按敏感信息来管。你想想看，谁愿意让陌生人知道自己每天住在哪儿？

这里我给大家一个实用的判断标准：

注意：敏感信息的认定不是死的。比如“手机号”在大多数场景下算一般信息，但如果你的App是做金融借贷的，手机号就可能变成敏感信息——因为它能直接关联到用户的信用风险。

好，接下来是重头戏。匿名化和去标识化，这两个词我经常看到有人混着用。但它们在法律上的意义完全不同。

去标识化，说白了就是把数据里的直接标识符（比如姓名、身份证号）去掉或替换掉。但数据本身还是能通过一些手段重新识别出个人。举个例子，我把用户表里的“姓名”删掉，只留“年龄+性别+邮编”。如果某个邮编区域只有你一个人是28岁女性，那我照样能猜出你是谁。

匿名化就不一样了。匿名化要求处理后，数据无法再被识别，而且不可逆。一旦完成匿名化，这些数据就不再属于个人信息了，可以自由使用。但说实话，真正的匿名化很难做到。我做过一个项目，团队花了三个月做匿名化方案，结果一测试，还是能通过关联分析还原出80%的用户。

我的个人习惯：在做数据合规时，我一般建议客户优先考虑去标识化，而不是匿名化。原因很简单——去标识化是可逆的，万一业务需要重新关联数据，还有回旋余地。匿名化一旦做了，就回不去了。

来看看两者的对比：

光讲理论没意思，咱们来点实际的。我一般把数据分类分级分成三步走：

举个例子，我帮一个医疗App做过分类：

L1（公开）：App版本号、公告内容
L2（内部）：用户昵称、注册时间
L3（敏感）：病历摘要、用药记录
L4（极敏感）：真实姓名+身份证号+诊断结果

嗯，这里要注意。L4的数据必须做加密存储+访问审计，而且每次访问都要有正当理由。我曾经见过一个团队，把L4的数据直接明文存到日志里，结果被监管查到，罚了二十万。你说冤不冤？

避坑指南：我曾经接手过一个项目，客户说“我们数据都去标识化了，没问题”。结果我一查，他们只是把姓名替换成了“用户A”、“用户B”，但手机号还是完整的。这哪是去标识化？这顶多算个“掩耳盗铃”。真正的去标识化，至少要同时处理姓名、手机号、邮箱、身份证号这四个字段。

数据分类分级这件事，说白了就是先分清楚，再管明白。敏感信息要重点保护，一般信息可以适当放宽。去标识化是日常用的，匿名化是终极手段但很难做到完美。

我个人建议，刚开始做合规的团队，先从去标识化入手。把直接标识符去掉，再配合访问控制和审计，基本就能满足大部分监管要求。等业务成熟了，再考虑要不要做真正的匿名化。

最后送大家一句话：数据分类分级不是一次性的工作。业务在变，数据在变，合规要求也在变。定期复盘、动态调整，才是长久之计。