标准编号:	GB/T 42460-2023
中文名称:	信息安全技术 个人信息去标识化效果评估指南
英文名称:	Information security technology—Guide for evaluating the effectiveness of personal information de-identification
中标分类:	L80    数据加密
行业分类:	GB    国家标准
发布机构:	国家市场监督管理总局 国家标准化管理委员会
发布日期:	2023-03-17
实施日期:	2023-10-1
标准状态:	valid
翻译语言:	英文
文件格式:	PDF
中文字符数:	19000 字
翻译价格(元):	1330.0
交付时间:	付款后 1 个工作日

Information security technology - Guide for evaluating the effectiveness of personal information de-identification 1 Scope This document provides the guide for classifying and evaluating the effectiveness of personal information de-identification. This document is applicable to personal information de-identification activities as well as personal information security management, supervision and evaluation. 2 Normative references The following documents contain provisions which, through reference in this text, constitute provisions of this document. For dated references, only the edition cited applies. For undated references, the latest edition (including any amendments) applies. GB/T 25069-2022 Information security techniques - Terminology GB/T 35273-2020 Information security technology - Personal information security specification GB/T 37964-2019 Information security technology - Guide for de-identifying personal information 3 Terms and definitions For the purposes of this document, the terms and definitions given in GB/T 25069-2022, GB/T 35273-2020, GB/T 37964-2019 and the following apply. 3.1 personal information all kinds of information related to identified or identifiable natural persons, recorded electronically or otherwise Note: It does not include anonymized information. [Source: GB/T 35273-2020, 3.1, modified] 3.2 personal information subject natural person identified by or connected to personal information [Source: GB/T 35273-2020, 3.3] 3.3 de-identification process of processing personal information in technical terms so that the personal information subject cannot be identified or connected without additional information [Source: GB/T 35273-2020, 3.15] 3.4 microdata structured dataset in which each record (row) corresponds to a personal information subject and each field (column) in the record corresponds to an attribute [Source: GB/T 37964-2019, 3.4] 3.5 identifier one or more attributes of the microdata, which can realize the unique identification of personal information subject Note: Identifiers are classified into direct identifiers and quasi-identifiers. [Source: GB/T 37964-2019, 3.6] 3.6 direct identifier attribute of microdata that can be individually used to identify the personal information subject in specific context Note: See Annex A for common direct identifiers. [Source: GB/T 37964-2019, 3.7] 3.7 quasi-identifier attribute of microdata that, when combined with other attributes, can be used to uniquely identify the personal information subject Note: See Annex B for common quasi-identifiers, and Annex C for identification of quasi-identifiers. [Source: GB/T 37964-2019, 3.8] 3.8 re-identification process of re-associating a de-identified dataset to the original personal information subject or a personal information subject [Source: GB/T 37964-2019, 3.9] 3.9 completely public sharing release of data, usually release of data directly to the public via the Internet, with data being difficult to recall once after being released [Source: GB/T 37964-2019, 3.12] 3.10 controlled public sharing constraining the use of data through data use agreement [Source: GB/T 37964-2019, 3.13] 3.11 enclave public sharing sharing of data within a physical or virtual enclave, out of which data cannot flow [Source: GB/T 37964-2019, 3.14] 3.12 re-identification risk identifiability probability that the personal information subject can be identified from the data 3.13 equivalence class collection of record rows in microdata where all quasi-identifiers have the same attribute value 3.14 acceptable risk threshold critical value set for re-identification risk Note: When the re-identification risk is greater than this value, mitigation measures (including de-identification) and emergency measures shall be taken to realize that the risk is within a controllable range. 4 Classification of effectiveness of personal information de-identification Based on whether the data can be used to directly identify the personal information subject, or to what probability it can be used to identify the personal information subject, the identifiability of personal information is classified into 4 classes, as detailed in Table 1, to distinguish the effectiveness of personal information de-identification. Table 1 Classification of personal information identifiability into 4 classes Classification Classification basis Class 1 Contain direct identifiers, which can be used to directly identify the personal information subject in specific context Class 2 Contain no direct identifiers but quasi-identifiers, with the re-identification risk higher than or equal to the acceptable risk threshold Class 3 Contain no direct identifiers but quasi-identifiers, with the re-identification risk lower than the acceptable risk threshold Class 4 Contain no identifiers

Foreword i Introduction ii 1 Scope 2 Normative references 3 Terms and definitions 4 Classification of effectiveness of personal information de-identification 5 Process for evaluating the effectiveness of personal information de-identification 6 Evaluation practice 6.1 Preparation for evaluation 6.2 Qualitative evaluation 6.3 Quantitative evaluation 6.4 Formation of evaluation conclusion 6.5 Communication and negotiation 6.6 Evaluation process document management Annex A (Informative) Examples of direct identifiers Annex B (Informative) Examples of quasi-identifiers Annex C (Information) Quasi-identifier identification Annex D (Informative) Example of de-identification effectiveness evaluation based on K-anonymity model Bibliography

ICS 35.030 CCS L 80 GB 中华人民共和国国家标准 GB/T 42460—2023 信息安全技术 个人信息去标识化效果评估指南 Information security technology— Guide for evaluating the effectiveness of personal information de-identification 2023-03-17发布 2023-10-01实施 国家市场监督管理总局 国家标准化管理委员会 发布 前言 本文件按照GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由全国信息安全标准化技术委员会(SAC/TC 260)提出并归口。 引言 GB/T 35273提出了个人信息去标识化的要求，明确了个人信息去标识化处理的环节和场景，GB/T 37964就如何开展个人信息去标识化活动给出了指导。经去标识化处理后的个人信息并不能完全实现匿名化，仍存在重标识的风险，需结合应用场景进行去标识化效果评估。 本文件旨在依据个人信息能多大程度上标识个人身份(即标识度)进行分级，用于评估个人信息去标识化活动的效果。个人信息基于标识度分级，有利于个人信息分级别探讨适用场景和安全管理要求，更有利于个人信息的使用和保护。根据国内外相关研究及实践成果，附录中给出了可供参考的计算方法和阈值推荐。 信息安全技术 个人信息去标识化效果评估指南 1 范围 本文件提供了个人信息去标识化效果分级与评估的指南。 本文件适用于个人信息去标识化活动，也适用于开展个人信息安全管理、监管和评估。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。 GB/T 25069—2022 信息安全技术 术语 GB/T 35273—2020 信息安全技术 个人信息安全规范 GB/T 37964—2019 信息安全技术 个人信息去标识化指南 3 术语和定义 GB/T 25069—2022、GB/T 35273—2020、GB/T 37964—2019界定的以及下列术语和定义适用于本文件。 3.1 个人信息 personal information 以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息。 注：不包括匿名化处理后的信息。 [来源：GB/T 35273—2020，3.1，有修改] 3.2 个人信息主体 personal information subject 个人信息所标识或者关联的自然人。 [来源：GB/T 35273—2020，3.3] 3.3 去标识化 de-identification 通过对个人信息的技术处理，使其在不借助额外信息的情况下，无法识别或者关联个人信息主体的过程。 [来源：GB/T 35273—2020，3.15] 3.4 微数据 microdata 一个结构化数据集，其中每条(行)记录对应一个个人信息主体，记录中的每个字段(列)对应一个属性。 [来源：GB/T 37964—2019，3.4] 3.5 标识符 identifier 微数据中的一个或多个属性，可以实现对个人信息主体的唯一识别。 注：标识符分为直接标识符和准标识符。 [来源：GB/T 37964—2019，3.6] 3.6 直接标识符 direct identifier 微数据中的属性，在特定环境下可以单独识别个人信息主体。 注：常见的直接标识符见附录A。 [来源：GB/T 37964—2019，3.7] 3.7 准标识符 quasi-identifier 微数据中的属性，结合其他属性可唯一识别个人信息主体。 注：常见的准标识符见附录B，准标识符的识别见附录C。 [来源：GB/T 37964—2019，3.8] 3.8 重标识 re-identification 把去标识化的数据集重新关联到原始个人信息主体或一组个人信息主体的过程。 [来源：GB/T 37964—2019，3.9] 3.9 完全公开共享 completely public sharing 数据一旦发布，很难召回，一般通过互联网直接公开发布。 [来源：GB/T 37964—2019，3.12] 3.10 受控公开共享 controlled public sharing 通过数据使用协议对数据的使用进行约束。 [来源：GB/T 37964—2019，3.13] 3.11 领地公开共享 enclave public sharing 在物理或者虚拟的所辖范围内共享，数据不能流出到领地范围外。 [来源：GB/T 37964—2019，3.14] 3.12 重标识风险 re-identification risk 标识度 identifiability 从数据中能识别出个人信息主体的概率。 3.13 等价类 equivalence class 微数据中所有准标识符属性值相同的记录行的集合。 3.14 可接受风险阈值 acceptable risk threshold 设定的重标识风险临界数值。 注：当重标识风险大于该数值时，就需要采取缓解措施(包括去标识化处理)和应急措施，实现风险在可控范围内。 4 个人信息去标识化效果分级 基于数据是否能直接识别个人信息主体，或能以多大概率识别个人信息主体，个人信息标识度分级划分为4级，详见表1，用于区分个人信息去标识化效果。 表1 个人信息标识度4级划分 分级 划分依据 1级 包含直接标识符，在特定环境下能直接识别个人信息主体 2级 消除了直接标识符，但包含准标识符，且重标识风险高于或等于可接受风险阈值 3级 消除了直接标识符，但包含准标识符，且重标识风险低于可接受风险阈值 4级 不包含任何标识符 5 个人信息去标识化效果评估流程 个人信息去标识化效果评估流程见图1，包括以下内容： a)评估准备； b)定性评估； c)定量评估； d)形成评估结论。 沟通与协商和评估过程文档管理贯穿于整个评估过程。 评估准备 定性评估 识别标识符 是否包含标识符? 评4级 消除直接标识符? 评1级 沟通与协商 评估过程文档 定量评估 定量计算重标识风险 风险小于阈值? 评2级 评3级 形成评估结论 图1 个人信息去标识化效果评估流程 6 评估实施 6.1 评估准备 评估准备工作包括以下内容。 a)确定待评估的数据集。 b)确定数据集使用的环境，包括业务场景、组织、人员、系统、已有其他数据等。 c)组建评估团队，包括个人信息保护合规专家、去标识化技术专家、相关业务专家等。 d)开展前期调研，包括数据使用环境的详细调研。 e)确定评估依据，包括相关的法律法规标准等。 f)确定重标识风险计算方案及可接受风险阈值： 1)重标识风险计算方案同时考虑数据集及其使用的环境，可基于K匿名模型或是基于差分隐私模型等； 2)可接受风险阈值符合相应安全要求，并符合应用需要。 g)制定评估方案。 6.2 定性评估 定性评估包括： a)按照GB/T 37964—2019中5.3识别标识符，并形成标识符清单(包括直接标识符和准标识符)； b)判断数据集是否包含标识符清单中的标识符，如果不包含任何标识符，评为4级，评估结束，否则继续； c)判断数据集是否消除了标识符清单中的直接标识符，如果含有清单中的直接标识符，评为1级，评估结束，否则进一步进行定量评估。 6.3 定量评估 定量评估包括： a)定量计算重标识风险，按照6.1f)确定的重标识风险计算方案进行重标识风险计算； b)比较计算得到的重标识风险结果与可接受风险阈值，如果重标识风险结果小于可接受风险阈值，评为3级，否则评为2级，评估结束。 基于K匿名模型的重标识风险计算方案及评估示例见附录D。 6.4 形成评估结论 形成评估结论包括： a)结合定性评估与定量评估结果，形成去标识化效果分级结论； b)结论获得管理层批准。 6.5 沟通与协商 在评估过程中与相关方(包括数据提供方、数据接收方等)保持沟通并对沟通内容予以记录，包括： a)数据共享目的和数据共享环境的理解确认； b)重大的数据环境变更通知机制的建立； c)关于重标识风险度量的相互交流信息和意见； d)相关方已表达的对重标识风险的意见； e)定期/不定期重新评估的计划。 6.6 评估过程文档管理 评估过程文档管理包括以下内容。 a)评估过程文档包括评估过程中依据、参考和产生的过程文档与结果文档，包括但不限于： 1)评估方案：包括待评估数据集、数据使用的环境、评估人员、评估方法、评估结果的形成和实施进度等； 2)标识符识别报告：标识符识别的过程及结果； 3)重标识风险计算方案：重标识风险计算方案及重标识风险可接受阈值的确定过程及结果； 4)评估报告：包含定性评估和定量评估的过程及结果结论； 5)评估记录：评估过程中的各种记录，包括沟通与协商的记录等。 b)文档的管理包括标识、存储、保护、检索以及处置分发等。 附录A (资料性) 直接标识符示例 任何在特定环境下可唯一识别个人的识别号码、特征或代码等属于直接标识符，常见的直接标识符包括但不限于： a)姓名； b)公民身份号码； c)护照号； d)驾驶证号； e)详细住址； f)电子邮件地址； g)电话号码(包括手机号和固定电话号码)； h)传真号码； i)银行账户； j)车辆标识符和序列号(包括车牌号)； k)社会保障号码； l)健康卡号码； m)病历号码； n)设备标识符和序列号； o)生物识别码(包括指纹和声纹等识别码)； p)全脸图片图像和其他任何可比对的图像； q)账号、证书号或许可证号； r)互联网协议(IP)地址。 附录B (资料性) 准标识符示例 任何在相应环境下无法单独唯一识别个人信息主体，但结合其他信息可唯一识别个人信息主体的属性属于准标识符，常见的准标识符包括但不限于： a)性别； b)出生日期或年龄； c)事件日期(例如入院、手术、出院、访问相关日期)； d)地理范围(例如邮政编码、建筑名称、地区)； e)族裔血统； f)国籍、籍贯； g)语言； h)原住民身份； i)可见的少数民族地位； j)职务、工作单位、部门等职业信息； k)婚姻状况； l)受教育水平； m))上学年限； n)总收入； o)宗教信仰。