標準編號:	GB/T 42460-2023
中文名稱:	信息安全技術 個人信息去標識化效果評估指南
英文名稱:	Information security technology—Guide for evaluating the effectiveness of personal information de-identification
中標分類:	L80    數據加密
行業分類:	GB    國家標準
發布機構:	國家市場監督管理總局 國家標準化管理委員會
發布日期:	2023-03-17
實施日期:	2023-10-1
標準狀態:	valid
翻譯語言:	英文
文件格式:	PDF
中文字符數:	19000 字
翻譯價格(元):	1330.0
交付時間:	付款后 1 個工作日

Information security technology - Guide for evaluating the effectiveness of personal information de-identification 1 Scope This document provides the guide for classifying and evaluating the effectiveness of personal information de-identification. This document is applicable to personal information de-identification activities as well as personal information security management, supervision and evaluation. 2 Normative references The following documents contain provisions which, through reference in this text, constitute provisions of this document. For dated references, only the edition cited applies. For undated references, the latest edition (including any amendments) applies. GB/T 25069-2022 Information security techniques - Terminology GB/T 35273-2020 Information security technology - Personal information security specification GB/T 37964-2019 Information security technology - Guide for de-identifying personal information 3 Terms and definitions For the purposes of this document, the terms and definitions given in GB/T 25069-2022, GB/T 35273-2020, GB/T 37964-2019 and the following apply. 3.1 personal information all kinds of information related to identified or identifiable natural persons, recorded electronically or otherwise Note: It does not include anonymized information. [Source: GB/T 35273-2020, 3.1, modified] 3.2 personal information subject natural person identified by or connected to personal information [Source: GB/T 35273-2020, 3.3] 3.3 de-identification process of processing personal information in technical terms so that the personal information subject cannot be identified or connected without additional information [Source: GB/T 35273-2020, 3.15] 3.4 microdata structured dataset in which each record (row) corresponds to a personal information subject and each field (column) in the record corresponds to an attribute [Source: GB/T 37964-2019, 3.4] 3.5 identifier one or more attributes of the microdata, which can realize the unique identification of personal information subject Note: Identifiers are classified into direct identifiers and quasi-identifiers. [Source: GB/T 37964-2019, 3.6] 3.6 direct identifier attribute of microdata that can be individually used to identify the personal information subject in specific context Note: See Annex A for common direct identifiers. [Source: GB/T 37964-2019, 3.7] 3.7 quasi-identifier attribute of microdata that, when combined with other attributes, can be used to uniquely identify the personal information subject Note: See Annex B for common quasi-identifiers, and Annex C for identification of quasi-identifiers. [Source: GB/T 37964-2019, 3.8] 3.8 re-identification process of re-associating a de-identified dataset to the original personal information subject or a personal information subject [Source: GB/T 37964-2019, 3.9] 3.9 completely public sharing release of data, usually release of data directly to the public via the Internet, with data being difficult to recall once after being released [Source: GB/T 37964-2019, 3.12] 3.10 controlled public sharing constraining the use of data through data use agreement [Source: GB/T 37964-2019, 3.13] 3.11 enclave public sharing sharing of data within a physical or virtual enclave, out of which data cannot flow [Source: GB/T 37964-2019, 3.14] 3.12 re-identification risk identifiability probability that the personal information subject can be identified from the data 3.13 equivalence class collection of record rows in microdata where all quasi-identifiers have the same attribute value 3.14 acceptable risk threshold critical value set for re-identification risk Note: When the re-identification risk is greater than this value, mitigation measures (including de-identification) and emergency measures shall be taken to realize that the risk is within a controllable range. 4 Classification of effectiveness of personal information de-identification Based on whether the data can be used to directly identify the personal information subject, or to what probability it can be used to identify the personal information subject, the identifiability of personal information is classified into 4 classes, as detailed in Table 1, to distinguish the effectiveness of personal information de-identification. Table 1 Classification of personal information identifiability into 4 classes Classification Classification basis Class 1 Contain direct identifiers, which can be used to directly identify the personal information subject in specific context Class 2 Contain no direct identifiers but quasi-identifiers, with the re-identification risk higher than or equal to the acceptable risk threshold Class 3 Contain no direct identifiers but quasi-identifiers, with the re-identification risk lower than the acceptable risk threshold Class 4 Contain no identifiers

Foreword i Introduction ii 1 Scope 2 Normative references 3 Terms and definitions 4 Classification of effectiveness of personal information de-identification 5 Process for evaluating the effectiveness of personal information de-identification 6 Evaluation practice 6.1 Preparation for evaluation 6.2 Qualitative evaluation 6.3 Quantitative evaluation 6.4 Formation of evaluation conclusion 6.5 Communication and negotiation 6.6 Evaluation process document management Annex A (Informative) Examples of direct identifiers Annex B (Informative) Examples of quasi-identifiers Annex C (Information) Quasi-identifier identification Annex D (Informative) Example of de-identification effectiveness evaluation based on K-anonymity model Bibliography

ICS 35.030 CCS L 80 GB 中華人民共和國國家標準 GB/T 42460—2023 信息安全技術 個人信息去標識化效果評估指南 Information security technology— Guide for evaluating the effectiveness of personal information de-identification 2023-03-17發布 2023-10-01實施 國家市場監督管理總局 國家標準化管理委員會 發布 前言 本文件按照GB/T 1.1—2020《標準化工作導則 第1部分：標準化文件的結構和起草規則》的規定起草。 請注意本文件的某些內容可能涉及專利。本文件的發布機構不承擔識別專利的責任。 本文件由全國信息安全標準化技術委員會(SAC/TC 260)提出并歸口。 引言 GB/T 35273提出了個人信息去標識化的要求，明確了個人信息去標識化處理的環節和場景，GB/T 37964就如何開展個人信息去標識化活動給出了指導。經去標識化處理后的個人信息并不能完全實現匿名化，仍存在重標識的風險，需結合應用場景進行去標識化效果評估。 本文件旨在依據個人信息能多大程度上標識個人身份(即標識度)進行分級，用于評估個人信息去標識化活動的效果。個人信息基于標識度分級，有利于個人信息分級別探討適用場景和安全管理要求，更有利于個人信息的使用和保護。根據國內外相關研究及實踐成果，附錄中給出了可供參考的計算方法和閾值推薦。 信息安全技術 個人信息去標識化效果評估指南 1 范圍 本文件提供了個人信息去標識化效果分級與評估的指南。 本文件適用于個人信息去標識化活動，也適用于開展個人信息安全管理、監管和評估。 2 規范性引用文件 下列文件中的內容通過文中的規范性引用而構成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本(包括所有的修改單)適用于本文件。 GB/T 25069—2022 信息安全技術 術語 GB/T 35273—2020 信息安全技術 個人信息安全規范 GB/T 37964—2019 信息安全技術 個人信息去標識化指南 3 術語和定義 GB/T 25069—2022、GB/T 35273—2020、GB/T 37964—2019界定的以及下列術語和定義適用于本文件。 3.1 個人信息 personal information 以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息。 注：不包括匿名化處理后的信息。 [來源：GB/T 35273—2020，3.1，有修改] 3.2 個人信息主體 personal information subject 個人信息所標識或者關聯的自然人。 [來源：GB/T 35273—2020，3.3] 3.3 去標識化 de-identification 通過對個人信息的技術處理，使其在不借助額外信息的情況下，無法識別或者關聯個人信息主體的過程。 [來源：GB/T 35273—2020，3.15] 3.4 微數據 microdata 一個結構化數據集，其中每條(行)記錄對應一個個人信息主體，記錄中的每個字段(列)對應一個屬性。 [來源：GB/T 37964—2019，3.4] 3.5 標識符 identifier 微數據中的一個或多個屬性，可以實現對個人信息主體的唯一識別。 注：標識符分為直接標識符和準標識符。 [來源：GB/T 37964—2019，3.6] 3.6 直接標識符 direct identifier 微數據中的屬性，在特定環境下可以單獨識別個人信息主體。 注：常見的直接標識符見附錄A。 [來源：GB/T 37964—2019，3.7] 3.7 準標識符 quasi-identifier 微數據中的屬性，結合其他屬性可唯一識別個人信息主體。 注：常見的準標識符見附錄B，準標識符的識別見附錄C。 [來源：GB/T 37964—2019，3.8] 3.8 重標識 re-identification 把去標識化的數據集重新關聯到原始個人信息主體或一組個人信息主體的過程。 [來源：GB/T 37964—2019，3.9] 3.9 完全公開共享 completely public sharing 數據一旦發布，很難召回，一般通過互聯網直接公開發布。 [來源：GB/T 37964—2019，3.12] 3.10 受控公開共享 controlled public sharing 通過數據使用協議對數據的使用進行約束。 [來源：GB/T 37964—2019，3.13] 3.11 領地公開共享 enclave public sharing 在物理或者虛擬的所轄范圍內共享，數據不能流出到領地范圍外。 [來源：GB/T 37964—2019，3.14] 3.12 重標識風險 re-identification risk 標識度 identifiability 從數據中能識別出個人信息主體的概率。 3.13 等價類 equivalence class 微數據中所有準標識符屬性值相同的記錄行的集合。 3.14 可接受風險閾值 acceptable risk threshold 設定的重標識風險臨界數值。 注：當重標識風險大于該數值時，就需要采取緩解措施(包括去標識化處理)和應急措施，實現風險在可控范圍內。 4 個人信息去標識化效果分級 基于數據是否能直接識別個人信息主體，或能以多大概率識別個人信息主體，個人信息標識度分級劃分為4級，詳見表1，用于區分個人信息去標識化效果。 表1 個人信息標識度4級劃分 分級 劃分依據 1級 包含直接標識符，在特定環境下能直接識別個人信息主體 2級 消除了直接標識符，但包含準標識符，且重標識風險高于或等于可接受風險閾值 3級 消除了直接標識符，但包含準標識符，且重標識風險低于可接受風險閾值 4級 不包含任何標識符 5 個人信息去標識化效果評估流程 個人信息去標識化效果評估流程見圖1，包括以下內容： a)評估準備； b)定性評估； c)定量評估； d)形成評估結論。 溝通與協商和評估過程文檔管理貫穿于整個評估過程。 評估準備 定性評估 識別標識符 是否包含標識符? 評4級 消除直接標識符? 評1級 溝通與協商 評估過程文檔 定量評估 定量計算重標識風險 風險小于閾值? 評2級 評3級 形成評估結論 圖1 個人信息去標識化效果評估流程 6 評估實施 6.1 評估準備 評估準備工作包括以下內容。 a)確定待評估的數據集。 b)確定數據集使用的環境，包括業務場景、組織、人員、系統、已有其他數據等。 c)組建評估團隊，包括個人信息保護合規專家、去標識化技術專家、相關業務專家等。 d)開展前期調研，包括數據使用環境的詳細調研。 e)確定評估依據，包括相關的法律法規標準等。 f)確定重標識風險計算方案及可接受風險閾值： 1)重標識風險計算方案同時考慮數據集及其使用的環境，可基于K匿名模型或是基于差分隱私模型等； 2)可接受風險閾值符合相應安全要求，并符合應用需要。 g)制定評估方案。 6.2 定性評估 定性評估包括： a)按照GB/T 37964—2019中5.3識別標識符，并形成標識符清單(包括直接標識符和準標識符)； b)判斷數據集是否包含標識符清單中的標識符，如果不包含任何標識符，評為4級，評估結束，否則繼續； c)判斷數據集是否消除了標識符清單中的直接標識符，如果含有清單中的直接標識符，評為1級，評估結束，否則進一步進行定量評估。 6.3 定量評估 定量評估包括： a)定量計算重標識風險，按照6.1f)確定的重標識風險計算方案進行重標識風險計算； b)比較計算得到的重標識風險結果與可接受風險閾值，如果重標識風險結果小于可接受風險閾值，評為3級，否則評為2級，評估結束。 基于K匿名模型的重標識風險計算方案及評估示例見附錄D。 6.4 形成評估結論 形成評估結論包括： a)結合定性評估與定量評估結果，形成去標識化效果分級結論； b)結論獲得管理層批準。 6.5 溝通與協商 在評估過程中與相關方(包括數據提供方、數據接收方等)保持溝通并對溝通內容予以記錄，包括： a)數據共享目的和數據共享環境的理解確認； b)重大的數據環境變更通知機制的建立； c)關于重標識風險度量的相互交流信息和意見； d)相關方已表達的對重標識風險的意見； e)定期/不定期重新評估的計劃。 6.6 評估過程文檔管理 評估過程文檔管理包括以下內容。 a)評估過程文檔包括評估過程中依據、參考和產生的過程文檔與結果文檔，包括但不限于： 1)評估方案：包括待評估數據集、數據使用的環境、評估人員、評估方法、評估結果的形成和實施進度等； 2)標識符識別報告：標識符識別的過程及結果； 3)重標識風險計算方案：重標識風險計算方案及重標識風險可接受閾值的確定過程及結果； 4)評估報告：包含定性評估和定量評估的過程及結果結論； 5)評估記錄：評估過程中的各種記錄，包括溝通與協商的記錄等。 b)文檔的管理包括標識、存儲、保護、檢索以及處置分發等。 附錄A (資料性) 直接標識符示例 任何在特定環境下可唯一識別個人的識別號碼、特征或代碼等屬于直接標識符，常見的直接標識符包括但不限于： a)姓名； b)公民身份號碼； c)護照號； d)駕駛證號； e)詳細住址； f)電子郵件地址； g)電話號碼(包括手機號和固定電話號碼)； h)傳真號碼； i)銀行賬戶； j)車輛標識符和序列號(包括車牌號)； k)社會保障號碼； l)健康卡號碼； m)病歷號碼； n)設備標識符和序列號； o)生物識別碼(包括指紋和聲紋等識別碼)； p)全臉圖片圖像和其他任何可比對的圖像； q)賬號、證書號或許可證號； r)互聯網協議(IP)地址。 附錄B (資料性) 準標識符示例 任何在相應環境下無法單獨唯一識別個人信息主體，但結合其他信息可唯一識別個人信息主體的屬性屬于準標識符，常見的準標識符包括但不限于： a)性別； b)出生日期或年齡； c)事件日期(例如入院、手術、出院、訪問相關日期)； d)地理范圍(例如郵政編碼、建筑名稱、地區)； e)族裔血統； f)國籍、籍貫； g)語言； h)原住民身份； i)可見的少數民族地位； j)職務、工作單位、部門等職業信息； k)婚姻狀況； l)受教育水平； m))上學年限； n)總收入； o)宗教信仰。