《中華人民共和國個人信息保護法》（下稱《個人信息保護法》）歷經(jīng)三次審議及兩次公開征求意見后，由第十三屆全國人民代表大會表決通過，正式于2021年11月1日起施行?！秱€人信息保護法》在當前網(wǎng)絡(luò)環(huán)境中個人信息不斷被非法獲取、濫用的背景下出臺，完善了我國在網(wǎng)絡(luò)安全和數(shù)據(jù)保護領(lǐng)域的頂層設(shè)計，作為個人信息保護領(lǐng)域的基礎(chǔ)性法律，與《數(shù)據(jù)安全法》、《網(wǎng)絡(luò)安全法》、《密碼法》共同構(gòu)建了我國數(shù)據(jù)治理法律框架，是我國數(shù)字經(jīng)濟時代重要法律基石。
《個人信息保護法》規(guī)定了對個人信息處理的保護要求及各方的責(zé)任與權(quán)力，其中個人信息處理者負有個人信息安全保護的主體責(zé)任。這就意味著將有更多的信息處理者需要用密碼技術(shù)來約束數(shù)據(jù)處理，密碼技術(shù)的應(yīng)用領(lǐng)域?qū)⒈煌貙挕€人信息處理者在個人信息的處理中，將用到數(shù)據(jù)加密、數(shù)據(jù)去標識化、數(shù)據(jù)匿名化、數(shù)據(jù)防篡改等技術(shù)，密碼技術(shù)的引入將使個人信息的處理應(yīng)用更規(guī)范，推動數(shù)據(jù)的安全應(yīng)用。
一、《個人信息保護法》對于個人信息處理的相關(guān)法律規(guī)定
《個人信息保護法》第四條指出：“個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關(guān)的各種信息，不包括匿名化處理后的信息。”第五十一條規(guī)定了通過加密、去標識化等安全技術(shù)措施保護信息。第七十三條專門解釋了去標識化和匿名化兩種信息保護技術(shù)的含義。根據(jù)《個人信息保護法》的要求，以及《信息安全技術(shù)個人信息安全規(guī)范》GB/T 35273-2020的相關(guān)規(guī)定，對個人信息進行處理時應(yīng)以密碼技術(shù)為基礎(chǔ)，實現(xiàn)數(shù)據(jù)存儲、傳輸、處理中的加密與防篡改要求、實現(xiàn)個人信息去標記化和匿名化要求。以數(shù)據(jù)去標記化和匿名化實現(xiàn)數(shù)據(jù)脫敏或有條件脫敏，擴大數(shù)據(jù)的安全應(yīng)用范圍，推動個人信息的安全應(yīng)用。
相關(guān)法律條文：
第五十一條
個人信息處理者應(yīng)當根據(jù)個人信息的處理目的、處理方式、個人信息的種類以及對個人權(quán)益的影響、可能存在的安全風(fēng)險等，采取下列措施確保個人信息處理活動符合法律、行政法規(guī)的規(guī)定，并防止未經(jīng)授權(quán)的訪問以及個人信息泄露、篡改、丟失：
（三）采取相應(yīng)的加密、去標識化等安全技術(shù)措施；
第七十三條
（三）去標識化，是指個人信息經(jīng)過處理，使其在不借助額外信息的情況下無法識別特定自然人的過程。
（四）匿名化，是指個人信息經(jīng)過處理無法識別特定自然人且不能復(fù)原的過程。
二、《個人信息保護法》下的密碼技術(shù)
01
數(shù)據(jù)加密
《個人信息保護法》把加密作為一個安全技術(shù)措施點名提出。數(shù)據(jù)加密是最常用的信息保護技術(shù)，用來防止信息泄漏或非法獲取。
常見的數(shù)據(jù)加密場景包括數(shù)據(jù)庫加密、文件加密、磁盤加密、傳輸加密等。
02
去標識化
《個人信息保護法》在要求安全保護的同時，也提出了“促進個人信息合理利用”，定義了“去標識化”這一實現(xiàn)方法，并作為安全技術(shù)措施提出。
去標識化是指個人信息經(jīng)過處理，使其在不借助額外信息的情況下無法識別特定自然人的過程。通過去標識化的個人信息，可以支持對個人信息的處理，同時也保護了個人信息與個人的對應(yīng)關(guān)系，避免對個人產(chǎn)生不利影響。
采用數(shù)據(jù)去標識化技術(shù)既可以處理數(shù)據(jù)，又實現(xiàn)個人信息保護。去標識化的數(shù)據(jù)處理，由于滿足個人信息的保護要求，因此在信息處理應(yīng)用上場景用途會更加廣泛。
舉例：
支付標記化，實現(xiàn)了支付信息對交易平臺的個人隱私保護，和交易信息對支付平臺的個人隱私保護，但是支付結(jié)果卻是安全可信的。
車聯(lián)網(wǎng)假名證書，實現(xiàn)了車車協(xié)同、車路協(xié)同中車輛個人信息的隱私保護，同時也保證了車輛身份的可信性。
03
數(shù)據(jù)匿名化
匿名化，是指個人信息經(jīng)過處理無法識別特定自然人且不能復(fù)原的過程。數(shù)據(jù)匿名化處理后，不再屬于個人信息，可以公開并處理。因此匿名化處理，可以解放個人信息的大量使用場景。舉例來說，海量的網(wǎng)上購物交易信息，在非匿名化的情況下可以被用來“用戶畫像”，從而出現(xiàn)大數(shù)據(jù)殺熟等不公平現(xiàn)象；而匿名化的網(wǎng)上購物交易信息，可以被交易平臺用來統(tǒng)計分析改進整體交易服務(wù)，但不會針對個人出現(xiàn)宰客殺熟問題。
《個人信息保護法》中在第四條規(guī)定了匿名化之后的信息不再屬于個人信息范疇，這一規(guī)定在規(guī)范個人信息使用的同時擴展了個人信息處理的方法，將推動個人信息的利用。
匿名化的技術(shù)手段和去標識化的手段類似，采用假名、屏蔽、泛化、隨機化等方式。匿名化與去標識化的不同之處在于匿名化要求是不應(yīng)從匿名數(shù)據(jù)識別出特定個人，而去標識化在特定條件下是可識別個人的。
04
防篡改
《個人信息保護法》五十一條還點名了個人信息的“篡改”問題。個人信息處理者需要保證其所處理的個人信息保證其完整性、真實性和不可否認性。一般來說，在信息的存儲和傳輸中最容易出現(xiàn)非法篡改的問題，需要通過數(shù)字指紋、數(shù)字簽名等密碼技術(shù)來實現(xiàn)。
技術(shù)分享：標識化和匿名化的相關(guān)密碼技術(shù)
傳統(tǒng)數(shù)據(jù)加密：通過數(shù)據(jù)加密，實現(xiàn)數(shù)據(jù)無法與個人關(guān)聯(lián)。
假名化：通過不可逆的加密運算如哈希運算，或其他密碼方案，利用個人信息產(chǎn)生假名標識，并用假名標識代替用戶的唯一標識參與信息處理，從而避免用戶個人信息的泄漏。密碼技術(shù)是假名化的技術(shù)基礎(chǔ)。金融行業(yè)的“支付標記化”和車聯(lián)網(wǎng)中的“假名證書”都屬于假名化技術(shù)。
同態(tài)加密：信息在密文狀態(tài)下進行處理，處理后的結(jié)果被解密為明文后正是明文數(shù)據(jù)同樣處理后的對應(yīng)結(jié)果。由于在密文狀態(tài)下進行數(shù)據(jù)處理，可以實現(xiàn)信息處理過程中的數(shù)據(jù)保護。在云計算、大數(shù)據(jù)、區(qū)塊鏈等場景非常適合。同態(tài)加密正處于迅速發(fā)展當中。
安全多方計算：基于多方數(shù)據(jù)協(xié)同完成計算，除計算結(jié)果及其可推導(dǎo)出的信息之外，不泄露各方隱私數(shù)據(jù)。
數(shù)據(jù)屏蔽清洗：刪除信息的直接標識或部分、刪除信息的部分記錄，使通過該信息無法識別到特定個人。
數(shù)據(jù)泛化：對數(shù)據(jù)集中的記錄進行抽象概括的描述，例如數(shù)值的取整、平均等，使數(shù)據(jù)對應(yīng)多個記錄，提升利用數(shù)據(jù)識別到個人的難度。
數(shù)據(jù)隨機化：通過對信息進行隨機性的修改或置換，隱藏實際的個人信息，使無法通過數(shù)據(jù)識別到個人。
數(shù)據(jù)合成（測試數(shù)據(jù)準備）：利用真實數(shù)據(jù)，通過隨機化、抽樣等產(chǎn)生合成數(shù)據(jù)，用于產(chǎn)生測試數(shù)據(jù)。
