一句话回答：最大的区别是能不能复原。去标识化只是把姓名、身份证号这类标识换成编号或者另行保存，借助额外信息仍然可以识别到具体的人，所以去标识化之后的信息仍然属于个人信息，个人信息保护法照样管；匿名化是处理后无法识别特定自然人且不能复原，匿名化处理后的信息不属于个人信息，个保法原则上不再适用。

一、条文怎么定义的

个人信息保护法第七十三条：本法下列用语的含义：（一）个人信息处理者，是指在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。（二）自动化决策，是指通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策的活动。（三）去标识化，是指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程。（四）匿名化，是指个人信息经过处理无法识别特定自然人且不能复原的过程。

第四条：个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。

第五十一条：个人信息处理者应当根据处理目的、处理方式、个人信息种类以及对个人权益的影响、可能存在的安全风险等，采取下列措施确保处理活动合法合规……（三）采取相应的加密、去标识化等安全技术措施。

二、实务中要注意的四点

第一，去标识化是义务动作，不是免责动作。个保法第五十一条把它和加密并列写成必须采取的安全技术措施，做了它证明你尽到了义务，但不等于可以不告知、不取得同意、不签协议。对外提供去标识化的数据，仍然是提供个人信息。

第二，匿名化的门槛比想象的高。判断是否匿名，要看是否任何一方都无法复原、能否与其他数据交叉比对重新识别、是否考虑现有和将来可合理获得的技术手段。把身份证号中间几位打码、把手机号部分遮盖，通常只是去标识化，不是匿名化。

第三，最大的风险是把去标识化数据当匿名化数据用。对外公开、对外交易、拿到境外使用这类场景，一旦被认定仍可识别到人，就可能同时踩到未经同意提供个人信息、未做个人信息保护影响评估两条线。按第六十六条，拒不改正可以处一百万元以下罚款，情节严重的可以处五千万元以下或者上一年度营业额百分之五以下罚款，直接责任人处十万元以上一百万元以下罚款，并可以禁止一定期限内担任董监高和个人信息保护负责人。

第四，留痕比技术更重要。匿名化方案、重识别风险评估、处理流程记录、第三方评估报告，都是将来面对检查或投诉时的证据。

三、示意情景（非真实案件）

示意情景：某消费品牌把会员数据中的姓名、手机号替换成编号后，把去标识化的消费明细打包卖给第三方做行业分析。监管认定其仍可通过会员卡号、门店与时间等多维信息重新识别到个人，属于向第三方提供个人信息，且未取得单独同意、未做事前影响评估，被责令改正并处罚。若这家企业做的是真正的匿名化处理，并能举证无法复原，处理结果会完全不同。

四、常见问题（FAQ）

问：去标识化后的信息还属于个人信息吗？

答：属于。去标识化是不借助额外信息无法识别，但借助额外信息仍可识别，所以仍在个人信息保护法适用范围之内。

问：匿名化处理后的信息还要遵守个保法吗？

答：个保法第四条明确，个人信息不包括匿名化处理后的信息，原则上不再适用；但前提是确实无法识别特定自然人且不能复原。

问：把身份证号打码、手机号遮几位算匿名化吗？

答：通常只算去标识化。是否匿名要看能否通过其他信息交叉比对重新识别，以及现有和将来可合理获得的技术手段。

问：做了去标识化，对外提供还需要用户同意吗？

答：需要。对外提供去标识化数据仍属提供个人信息，该告知的要告知、该取得单独同意的要单独同意，并按规定做事前影响评估。

问：不按要求去做，处罚多重？

答：拒不改正可处一百万元以下罚款，对直接责任人员处一万元以上十万元以下罚款；情节严重的，可处五千万元以下或者上一年度营业额百分之五以下罚款，并可责令暂停业务、吊销许可，直接责任人员处十万元以上一百万元以下罚款。

相关阅读

王冠律师｜北京浩略律师事务所联合创始人｜咨询电话：17813108512