禁止交易的三种数据，我们已经讨论了前两种公共数据和重要数据，本文将讨论最后一个个人信息的禁止交易问题及其例外。个人信息的转让和共享问题，在《个人信息安全规范》及《个人信息保护法》颁布后，其确立的“告知+同意”规则很好的保护了用户个人信息权益，但同时也一定程度上阻碍了个人数据的流通。对于个人信息处理者来说，单独告知+同意需花费巨大的人力物力成本。本文将从个人信息的交易禁止出发，讨论个人信息交易的例外及数据化方法，供业内人士探讨。

　　一、个人信息交易禁止及例外

　　在有关数据禁止交易及流通方面，很多法律规范或标准均有提及关于个人信息交易或转让的问题，虽然各规范表述存在差异，但其核心内涵是相同的，未经过合法权利人授权同意的个人信息禁止交易。

　　“告知+同意”是很多规范中对于个人信息处理者的要求，但是对于企业来说，企业掌握着大量的C端用户个人信息却无法激发个人信息的价值，无疑是浪费的。同时，又因为受限现行法律的规定，转让、共享个人信息需向用户进行明确告知并获得同意，巨大的授权成本也是无法绕过的问题。

　　企业如何激发信息价值，如何避免侵犯用户个人信息？就只有将个人信息通过去标识化或匿名化，将个人信息转化为数据，从而进行数据流通与交易。《个人信息保护法》第四条规定：“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。”《网络安全法》第四十二条规定：“网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。”《信息安全技术数据交易服务安全要求GB/T37932-2019》第6.1条：禁止交易数据：“数据交易服务机构应根据我国相关法律法规，制定禁止交易的数据目录，目录至少应包括：b）涉及个人信息的数据﹐除非获得了全部个人数据主体或未成年人的监护人的明示同意，或者进行了必要的去标识化处理以达到无法识别出个体的程度。”

　　以上，现有规范为企业在“告知+同意”以外，开辟出了个人信息转让与共享的另一条途径，即去标识化和匿名化。

　　二、去标识化与匿名化

　　在《信息安全技术个人信息安全规范》规范中，去标识化被定义为“通过对个人信息的技术处理，使其在不借助额外信息的情况下，无法识别或者关联个人信息主体的过程”，匿名化则被定义为“通过对个人信息的技术处理，使得个人信息主体无法被识别或者关联，且处理后的信息不能被复原的过程”。

　　《个人信息保护法》第七十三条，也对匿名化以及去标识化进行了定义。去标识化指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程，匿名化则指个人信息经过处理无法识别特定自然人且不能复原的过程。相较于《信息安全技术个人信息安全规范》，《个人信息保护法》中的去标识化与匿名化的要求较低，排除了关联个人信息主体的情况。

　　通过上述定义可以得出，匿名化与去标识化的最大区别在于，去标识化后的信息在借助其他信息后能够产生识别特定自然人的效果，而匿名化后的信息则不能具备此效果，处理后的信息无法识别特定自然人也不能复原。

　　同时，上述定义也与《个人信息保护法》第四条相呼应，即去标识化处理后的个人信息仍然属于个人信息，要受个人信息处理规则的限制，而匿名化处理后的个人信息则不再属于个人信息，可以作为数据进行流通交易。

　　三、去标识化的具体方法

　　在《个人信息安全规范》中，去标识化建立在个体基础之上，保留了个体颗粒度，采用假名、加密、哈希函数等技术手段替代对个人信息的标识。而《个人信息去标识化指南》对此解释为去除标识符与个人信息主体之间的关联性。

　　去标识化过程通常可分为以下几个步骤：确定目标、识别标识、处理标识以及验证审批。

　注：截取自《个人信息去标识化指南》

　　1、确定目标

　　(1)确定去标识化对象。确定需要去标识化的数据集范围，根据法规标准、组织策略、数据来源、业务背景、数据用途、关联情况等要素确定去标识化对象。

　　(2)建立去标识化目标。确定重标识风险不可接受程度以及数据有用性最低要求。

　　(3)制定工作计划。制定个人信息去标识化的实施计划，包括去标识化的目的、目标，数据对象、共享方式、实施团队、实施方案，利益相关方，应急措施以及进度安排等，形成去标识化实施计划书。

　　2、识别标识

　　识别标识符的方法包括查表识别法、规则判定法和人工分析法。

　　(1)查表识别法指预先建立元数据表格，存储标识符信息，在识别标识数据时，将待识别数据的各个属性名称或字段名称，逐个与元数据表中记录进行比对，以此识别出标识数据。

　　(2)规则判定法是指通过建立软件程序，分析数据集规律，从中自动发现标识数据。

　　(3)人工分析法是通过人工发现和确定数据集中的直接标识符和准标识符。

　　3、处理标识

　　处理标识步骤分为预处理、选择模型技术、实施去标识化三个阶段工作。

　　(1)预处理。是在对数据集正式实施去标识化前的准备过程。

　　(2)选择模型技术。不同类型的数据需要采用不同的去标识化技术，所以在去标识化的早期阶段，重要的一步是确定数据的类型和业务特性，考虑去标识化的影响，选择合适的去标识化模型和技术，在可接受的重标识风险范围内满足数据有用性的最低要求。

　　(3)实施去标识化。即根据选择的去标识化模型和技术，对数据集实施去标识化。主要工作包括根据数据特点和业务特性设定去标识化的顺序、选择相应的工具或程序、设置工具或程序的属性和参数、依次执行去标识化工具或程序以获得结果数据集等。

　　常用去标识化技术的特性

注：图片截取自《个人信息去标识化指南》

　　四、匿名化的具体方法

　　我国制定了《信息安全技术-个人信息去标识化指南》，对个人信息去标识化的目标和原则，以及去标识化过程和管理措施进行了阐述，但目前为止尚未对个人信息匿名化制定相关指引，现阶段只能先参考国外的经验。

　　2022年3月31日，新加坡个人数据保护委员会（PDPC）发布《基础匿名化指南》，为企业执行数据匿名化与去标识化提供指引。

　　《基础匿名化指南》概述了基本的数据匿名化与去标识化概念，并提出数据匿名化的五步骤：

　　第一步，识别数据：将所控制数据划分为直接标识符、间接标识符与目标变量。

　　第二步，对数据进行去标识化：删除数据中的所有直接标识符，或为直接标识符分配唯一假名，以假名替换直接标识符。

　　第三步，应用匿名化技术：对数据中的间接标识符应用匿名化技术，可采用技术如删除数据行或数据属性、增加干扰因素修改原数据等。

　　第四步，评估匿名化效果：评估、计算匿名数据面临重识别的风险，并重复第三步与第四步，直到达到最佳数据匿名化效果。

　　第五步，管理数据重识别与披露风险：采取数据加密、访问权限控制等技术、流程控制措施与签署数据处理协议等第三方管理措施，管理数据使用中的重识别与披露风险。

　　五、结语

　　在禁止交易的数据中，我们讨论了三种相对禁止交易的数据。公共数据相对允许交易在于被授权和被监管。重要数据相对允许交易需要经过审批、许可、评估等环节。而个人信息的自由交易则在于匿名化。对于上述三种较为特殊的数据，企业在数据交易过程中，要注意其允许交易的前置条件和交易规则，确保整个交易流程的合规性。同时，各大交易所虽然相继出台了其内部的数据交易规则，但是内部的规则不具有规范性，官方层面仍需制定通用的数据交易法律法规，以规范整个数据交易。

　　作者：李旻、卓伟伟

　　来源：微信公众号“汉盛律师”

相关推荐：

数据交易合规系列研究之一——上海数据交易所的交易模式探析

数据交易合规系列研究之二——数据产品合规评估要点

数据交易合规系列研究之三——主要数据交易参与主体类型介绍

数据交易合规系列研究之四——典型数据产品类型

数据交易合规系列研究之五——企业信用信息对数据产品交易的影响

数据交易合规系列研究之六——数据产品用途对合规审查的影响

数据交易合规系列研究之七——数据来源的合法性探析

数据交易合规系列研究之八——公开收集数据来源的合法性探析

数据交易合规系列研究之九——自行生产数据来源的合法性探析

数据交易合规系列研究之十——直接采集数据的合法性探析

数据交易合规系列研究之十一——间接获取数据来源的合法性探析

数据交易合规系列研究之十二——企业并购获取数据的合法性探析

数据交易合规系列研究之十三——禁止交易的公共数据探析

数据交易合规系列研究之十四——禁止交易的重要数据探析