假名化是一种既定的、被接受的数据保护措施，在《通用数据保护条例》（GDPR）通过后，它得到了更多的关注，在该条例中，它被特别定义，并多次作为一种保障措施被提及。
ENISA在之前的工作中对该领域进行了探索，探讨了数据假名化的概念和范围，同时提出了一些基本的技术方法和实例来实现实践中的假名化。在这份新的报告中，ENISA通过讨论先进的假名化技术，以及来自医疗和网络安全等特定领域的具体使用案例，对过去的工作进行了补充。特别是，报告在基本假名化技术的基础上，研究了更复杂场景的高级解决方案，这些解决方案可以基于非对称加密、环签名和组假名、链式模式、基于多个标识符的假名、具有知识证明的假名和安全的多方计算。然后，它将这些技术中的一些技术应用于医疗领域，讨论不同实例中可能的假名化方案，同时也探讨了数据保管模式的可能应用。最后，研究了基本的假名化技术在常见的网络安全用例中的应用，如遥测和信誉系统的使用。
根据报告提供的分析，为所有相关利益方提供以下基本结论和建议。
继续阅读一、“告知-同意”以外
网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。
——《网络安全法》第四十二条第一款
我国个人信息保护规则围绕着“告知-同意”原则构建，无论是收集、使用几乎都需要向个人信息主体告知并获得同意。征求意见中的《信息安全技术 个人信息告知同意指南（征求意见稿）》就是对“告知-同意”的详尽路线图。但无论怎样设计“告知-同意”都是一条充满荆棘的路途，而在这条路途以外，去标识化就成为值得探索的荒原。
《信息安全规范 个人信息去标识化指南》（GB/T 37964-2019）（“《个人信息去标识化指南》”）是个人信息领域最为重要的国家标准之一，是“告知-同意”以外，个人信息收集、处理的另一条进路。在杨合庆主编的《中华人民共和国网络安全法解读》中，将个人信息去匿名化的重任，交给了国家标准：“对个人信息匿名化处理的具体规则和技术要求等，本条未作具体规定，应当遵守有关标准和技术规范要求。”
匿名化处理的本质在于将个人信息处理为非个人信息，让匿名化处理后的个人信息不再具有人格属性，从而无需再遵守关于个人信息保护的规定。去标识化虽然不完全等同于匿名化，但却是现阶段退而求其次的选择，可以有效帮助企业降低收集、处理个人信息的合规风险，控制个人信息泄露的危害。
继续阅读