信息安全技术 个人信息去标识化效果评估指南 GBT 42460-2023.pdf

GB/T42460-2023目次前言引言1范围12规范性引用文件13术语和定义14个人信息去标识化效果分级35个人信息去标识化效果评估流程36评估实施46】评估准备46.2定性评估6.3定量评估64形成评估结论565沟通与协商.56.6评估过程文档管理附录A(资料性)直接标识符示例6附录B(资料性)准标识符示例7附录C(资料性)准标识符识别8附录D(资料性)基于K匿名模型的去标识化效果评估示例10参考文献15GB/T42460-2023引言GB/T35273提出了个人信息去标识化的要求，明确了个人信息去标识化处理的环节和场景，GB/T37964就如何开展个人信息去标识化活动给出了指导。经去标识化处理后的个人信息并不能完全实现匿名化，仍存在重标识的风险，需结合应用场景进行去标识化效果评估。本文件旨在依据个人信息能多大程度上标识个人身份（即标识度）进行分级，用于评估个人信息去标识化活动的效果。个人信息基于标识度分级，有利于个人信息分级别探讨适用场景和安全管理要求，更有利于个人信息的使用和保护。根据国内外相关研究及实践成果，附录中给出了可供参考的计算方法和國值推荐。GB/T42460-2023信息安全技术个人信息去标识化效果评估指南1范围本文件提供了个人信息去标识化效果分级与评估的指南。本文件适用于个人信息去标识化活动，也适用于开展个人信息安全管理、监管和评估。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件：不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T25069一2022信息安全技术术语GB/T35273一2020信息安全技术个人信息安全规范GB/T37964一2019信息安全技术个人信息去标识化指南3术语和定义GB/T25069一2022、GB/T35273一2020、GB/T37964一2019界定的以及下列术语和定义适用于本文件。3.1个人信息personal information以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息。注：不包括蓝名化处理后的信总。来源：GB/T35273一2020,3.1，有修改3.2个人信息主体personal information subject个人信息所标识或者关联的自然人。来源：GB/T35273一2020,3.33.3去标识化de-identification通过对个人信息的技术处理，使其在不借助额外信息的情况下，无法识别或者关联个人信息主体的过程。来源：GB/T35273一2020,3.153.4微数据microdata一个结构化数据集，其中每条（行）记录对应一个个人信息主体，记录中的每个字段（列）对应一个属性。来源：GB/T37964一2019,3.4