浙江某大数据交易中心上架“匿名化”金融数据集因可重识别被责令下架并处罚案（浙江省网信办，2023年6月）

【案件背景】
某大数据交易中心（以下简称“涉案交易中心”）是经浙江省政府批准设立的数据交易平台，已上线交易的数据产品超过200个，涵盖金融、医疗、交通、零售等多个领域。2023年3月，涉案交易中心上架了一款名为“某省消费信贷用户画像数据集”的数据产品，声称经过严格的“匿名化处理”，已不再包含个人信息。该数据集包含约800万条记录，字段包括城市、年龄段、职业类别、收入区间、借贷金额区间、逾期次数等，以CSV文件形式提供给购买方。有安全研究人员购买该数据集后，发现仅需结合公开的新闻报道和企业工商信息即可重新识别出多名具体个人的身份，遂向浙江省网信办举报。

【违法事实】
经调查查明：
（1）涉案交易中心声称该数据集已实现匿名化处理，但在技术上仅实施了基本的去标识化措施——将姓名、身份证号和手机号替换为伪随机ID，但保留了城市精确到区县级、年龄精确到岁数、职业精确到具体岗位类别（如“某市XX区中学语文教师”）、收入精确到5000元区间等高度细粒度的属性信息。安全研究人员通过组合“区县+年龄+职业+收入区间”四个属性，从800万条记录中成功匹配出了多名可唯一识别的自然人。
（2）涉案交易中心在数据集说明文档中标注“本数据集已经过K-匿名化处理，K值=5”，但调查发现所谓的K-匿名化处理仅针对“年龄+性别”两个准标识符属性，未覆盖城市（区县级）、职业（精细化岗位）、收入区间等更关键的准标识符组合。
（3）涉案交易中心在数据交易合同中使用“匿名化数据”的表述，声称根据《个人信息保护法》第四条，匿名化处理后的信息不属于个人信息，可自由交易，从而规避了个人信息处理的法律义务。但实际上该数据集并未达到“无法识别特定自然人且不能复原”的法律标准。
（4）调查还发现，涉案交易中心的数据供应商（省内某大型消费金融公司）在提供数据前也未充分评估重新识别风险，仅进行了基本的脱敏处理。
（5）该数据集在被举报前已售出3份，购买方分别为一家金融科技公司（用于风控模型训练）、一家咨询公司（用于市场研究）和一所高校（用于学术研究）。涉案交易中心未对购买方的数据使用目的进行审查，也未要求购买方不得尝试重新识别数据主体。

【处罚决定】
浙江省互联网信息办公室依据《个人信息保护法》第六十六条和《数据安全法》第四十七条，作出以下行政处罚：
（一）责令立即下架涉案数据集，追回已售出的3份数据；
（二）暂停数据交易业务30日；
（三）处人民币50万元罚款；
（四）要求涉案交易中心对平台上所有在售数据集重新进行匿名化效果评估。
同时，浙江省网信办要求涉案交易中心的数据供应商——某消费金融公司进行整改，并对其处人民币30万元罚款。

【典型意义】
本案是《个人信息保护法》实施以来首例因“虚假匿名化”而受到行政处罚的数据交易案例，对数据要素市场具有标志性意义：
第一，本案确立了匿名化效果评估的执法标准。根据《个人信息保护法》第四条的“不能复原”标准，仅进行去标识化处理且保留了可结合其他信息重新识别的属性，不构成法律意义上的匿名化。K-匿名化的“K=5”不是豁免合规义务的挡箭牌——如果K-匿名化未能覆盖所有准标识符组合，匿名化效果可能不成立。
第二，本案明确了数据交易平台的数据质量审查责任。数据交易平台不能仅依赖数据供应商的自我声明，而应建立独立的技术验证机制来评估匿名化的实际效果。
第三，本案对全国数据交易所（中心）产生了警示效应：声称“匿名化”必须能够经得起重新识别攻击的测试，否则将面临个人信息非法交易的法律风险。
第四，本案提示我国需要出台技术性的匿名化评估标准和认证机制，为企业提供明确合规指引。