3. 个人信息识别与分类分级

个人信息保护治理的第一步不是加密、不是脱敏，而是"知道自己手里有什么"。识别与分类分级决定了后续所有控制措施的强度与边界：哪些数据必须单独同意、哪些字段必须加密存储、哪些数据可以跨域流动、哪些记录需要留存审计。本节围绕三条判定主线展开——个人信息与敏感个人信息的识别、匿名化与去标识化的区分、分类分级的工程落地方法。

一、识别起点：从"可识别"到"关联识别"

个人信息的判定核心是"可识别性"，即单独或与其他信息结合能够识别到特定自然人。工程实践中，识别不能只靠字段名匹配，因为同一语义字段在不同系统中命名差异极大。建议采用"三通道识别法"：

• 直接标识符通道：姓名、身份证号、护照号、手机号、邮箱、生物特征、精确地址、银行卡号、车牌号等，命中即判定为个人信息。
• 准标识符通道：出生日期、性别、邮编、职业、设备ID、IP地址、Cookie、IMEI/OAID等，单独不必然识别，但组合后可能锁定个体。
• 语义与上下文通道：日志中的"用户行为序列"、订单中的"收货备注"、客服录音中的"自由文本"，往往隐含姓名、病情、住址等，需要结合业务上下文判断。

识别结果应落到数据资产清单中，字段粒度记录：字段名、业务含义、样例值、是否直接标识、是否准标识、是否敏感、来源系统、存储位置、责任部门。样例值必须来自脱敏后的样本，避免在清单中二次泄露。

二、敏感个人信息：判定规则与常见误区

敏感个人信息的判定遵循"一旦泄露或非法使用，容易导致人格尊严受到侵害或人身、财产安全受到危害"这一实质标准。工程上可归纳为六类高敏域：生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，以及不满十四周岁未成年人的个人信息。

常见误区有三：其一，把"敏感"等同于"加密字段"，实际上敏感判定是数据属性，加密是控制手段；其二，认为"脱敏后就不敏感"，若脱敏不彻底仍可复原，则仍按敏感处理；其三，忽略组合敏感性，例如"姓名+科室+就诊时间"在特定场景下可推断病情，应整体判定为敏感。

三、匿名化与去标识化：本质区别与判定边界

去标识化是"去除直接标识符，但保留通过额外信息重新识别的可能"，数据仍属于个人信息，仍受个人信息保护法约束。匿名化是"无法识别特定个人且不能复原"，数据不再属于个人信息，可自由使用。两者的关键差异在于是否保留重识别路径。

工程判定可参考以下信号：若数据集中仍保留映射表、盐值、密钥、设备指纹或高维准标识符组合，则属于去标识化；若经过泛化、扰动、聚合后，重识别成本显著高于收益，且无任何辅助信息可关联，则可判定为匿名化。需要强调的是，匿名化判定应形成书面评估记录，说明所用技术、参数、残余风险与复核周期。

四、分类分级的工程方法

分类分级不是一次性打标，而是持续运营的数据治理能力。推荐采用"业务域—数据主题—字段"三级分类框架，配合"影响程度×可能性"二维分级模型。影响程度考虑人格权益、财产安全、社会影响；可能性考虑数据规模、暴露面、攻击成本。

落地时建议建立分级规则表，示例如下：

五、落地案例：某医疗平台的分类分级实践

某互联网医疗平台在治理初期面临三个问题：字段命名混乱、敏感数据散落在多个系统、脱敏规则不统一。其工程落地路径如下：

1. 资产扫描：对12个业务系统、约3400个字段进行扫描，通过正则匹配身份证、手机号、银行卡号，结合NLP识别自由文本中的病情描述。
2. 人工复核：由数据安全团队与业务方共同复核，确认其中412个字段为个人信息，87个字段为敏感个人信息。
3. 分级打标：按上述L1—L4规则打标，L4字段23个，L3字段64个，L2字段325个，L1字段2988个。
4. 控制落地：L4字段强制加密存储并启用双人审批；L3字段在查询接口默认脱敏；L2字段在导出时自动替换手机号中间四位；L1字段开放给数据分析团队使用。
5. 持续运营：每季度重新扫描新增字段，每半年复核分级规则，每次数据出境前重新评估匿名化状态。

该案例的关键经验是：分类分级必须与数据地图、权限系统、脱敏网关联动，否则标签只是文档里的静态记录。同时，匿名化判定要保留评估记录，避免"口头匿名化"带来的合规风险。

综上，个人信息识别与分类分级的工程闭环可概括为：扫描识别 → 敏感判定 → 匿名化评估 → 分级打标 → 控制联动 → 持续复核。每一步都应有可追溯的记录和明确的责任人，才能让分类分级真正成为数据安全治理的基石。