GB/T 37964-2019信息安全技術個人信息去標識化指南

ICS35040

L80.

中華人民共和國國家標準

GB/T37964—2019

信息安全技術

個人信息去標識化指南

Informationsecuritytechnology—

Guideforde-identifyingpersonalinformation

2019-08-30發(fā)布2020-03-01實施

國家市場監(jiān)督管理總局發(fā)布

中國國家標準化管理委員會

GB/T37964—2019

目次

前言

…………………………Ⅰ

引言

…………………………Ⅱ

范圍

1………………………1

規(guī)范性引用文件

2…………………………1

術語和定義

3………………1

概述

4………………………3

去標識化目標

4.1………………………3

去標識化原則

4.2………………………3

重標識風險

4.3…………………………3

去標識化影響

4.4………………………4

不同公開共享類型對去標識化的影響

4.5……………4

去標識化過程

5……………4

概述

5.1…………………4

確定目標

5.2……………5

識別標識

5.3……………5

處理標識

5.4……………6

驗證審批

5.5……………7

監(jiān)控審查

5.6……………8

角色職責與人員管理

6……………………9

角色職責

6.1……………9

人員管理

6.2……………9

附錄資料性附錄常用去標識化技術

A()………………10

附錄資料性附錄常用去標識化模型

B()………………17

附錄資料性附錄去標識化模型和技術的選擇

C()……………………24

附錄資料性附錄去標識化面臨的挑戰(zhàn)

D()……………29

參考文獻

……………………31

GB/T37964—2019

前言

本標準按照給出的規(guī)則起草

GB/T1.1—2009。

請注意本文件的某些內容可能涉及專利本文件的發(fā)布機構不承擔識別這些專利的責任

。。

本標準由全國信息安全標準化技術委員會提出并歸口

(SAC/TC260)。

本標準起草單位清華大學啟明星辰信息技術集團股份有限公司浙江螞蟻小微金融服務集團有

:、、

限公司阿里巴巴北京軟件服務有限公司北京奇安信科技有限公司北京天融信網絡安全技術有限

、()、、

公司中國科學院軟件研究所中國軟件評測中心上海計算機軟件技術開發(fā)中心北京數字認證股份有

、、、、

限公司西安電子科技大學湖南科創(chuàng)信息技術股份有限公司中國電子技術標準化研究院陜西省信息

、、、、

化工程研究院

。

本標準主要起草人金濤謝安明陳星白曉媛鄭新華劉賢剛陳文捷劉玉嶺宋鵬舉趙亮

:、、、、、、、、、、

宋玲娓葉曉俊王建民方明裴慶祺潘正泰

、、、、、。

Ⅰ

GB/T37964—2019

引言

在大數據云計算萬物互聯(lián)的時代基于數據的應用日益廣泛同時也帶來了巨大的個人信息安全

、、,,

問題為了保護個人信息安全同時促進數據的共享使用特制定個人信息去標識化指南標準

。,,。

本標準旨在借鑒國內外個人信息去標識化的最新研究成果提煉業(yè)內當前通行的最佳實踐研究個

,,

人信息去標識化的目標原則技術模型過程和組織措施提出能科學有效地抵御安全風險符合信息

、、、、,、

化發(fā)展需要的個人信息去標識化指南

。

本標準關注的待去標識化的數據集是微數據以記錄集合表示的數據集邏輯上可通過表格形式表

(,

示去標識化不僅僅是對數據集中的直接標識符準標識符進行刪除或變換可以結合后期應用場景

)。、,

考慮數據集被重標識的風險從而選擇恰當的去標識化模型和技術措施并實施合適的效果評估

,,。

對于不是微數據的數據集可以轉化為微數據進行處理也可以參照本標準的目標原則和方法進

,,、

行處理例如針對表格數據如果關于同一個人的記錄有多條則可將多條記錄拼接成一條從而形成

。,,,

微數據其中同一個人的記錄只有一條

,。

Ⅱ

GB/T37964—2019

信息安全技術

個人信息去標識化指南

1范圍

本標準描述了個人信息去標識化的目標和原則提出了去標識化過程和管理措施

,。

本標準針對微數據提供具體的個人信息去標識化指導適用于組織開展個人信息去標識化工作也

,,

適用于網絡安全相關主管部門第三方評估機構等組織開展個人信息安全監(jiān)督管理評估等工作

、、。

2規(guī)范性引用文件

下列文件對于本文件的應用是必不可少的凡是注日期的引用文件僅注日期的版本適用于本文

。,

件凡是不注日期的引用文件其最新版本包括所有的修改單適用于本文件

。,()。

信息安全技術術語

GB/T25069—2010

3術語和定義

界定的以及下列術語和定義適用于本文件

GB/T25069—2010。

31

.

個人信息personalinformation

以電子或其他方式記錄的能夠單獨或與其他信息結合識別特定自然人身份或反映特定自然人活動

情況的各種信息

。

定義

[GB/T35273—2017,3.1]

32

.

個人信息主體personaldatasubject

個人信息所標識的自然人