上海某出行平台公开“匿名化”出行轨迹数据集用于学术竞赛导致用户轨迹被重新关联身份案（上海市网信办，2024年1月）

【案件背景】
某出行平台（以下简称“涉案平台”）是国内头部的网约车和共享单车服务提供商。为促进智慧交通领域的学术研究，涉案平台于2022年12月发起了一项“出行大数据算法挑战赛”，在竞赛官网上公开了一个包含约300万条出行记录的数据集。涉案平台声称该数据集“已经过严格匿名化处理，不包含任何个人信息”。数据集字段包括：出行ID（随机化）、出发时间和日期（精确到分钟）、出发地点（经纬度精确到小数点后6位，约0.1米精度）、目的地（同样精度）、行程距离（米）、行程时长（秒）、出行方式（网约车/共享单车）。2023年10月，有研究人员发表论文证明：通过将数据集中的出行记录与美国纽约市出租车公开数据集的重新识别攻击方法（著名的“那是一个人”重识别研究）结合，仅需4个时空点即可唯一识别90%以上的出行轨迹，进而可以推断用户的家庭地址、工作地址和日常行为模式。

【违法事实】
经调查查明：
（1）涉案平台声称的“匿名化处理”仅对出行ID进行了随机化替换，但保留了极高精度的时空数据。出发地和目的地的经纬度精度达到小数点后6位（约0.1米），结合精确到分钟的时间戳，足以唯一定位到具体的建筑物入口或户外位置。研究人员通过将数据点与地图POI数据交叉分析，可以推断出用户访问的具体场所——医院、学校、政府机构、娱乐场所等。
（2）数据集虽然未包含用户的姓名和ID，但出行轨迹本身具有高度唯一性。研究证实，仅需4个随机的时空点就可以唯一区分95%的个体——因为每个人的生活轨迹模式（家-工作-常去地点）是独特的。涉案平台未评估这种“唯一轨迹签名”带来的重新识别风险。
（3）涉案平台在竞赛官网上将数据集完全公开，任何人在注册后均可免费下载。涉案平台未对数据使用实施任何约束——未要求下载者签署数据使用协议，未禁止重新识别尝试，未限制仅用于竞赛用途。这意味着该数据集被传播至全球范围内的个人和组织。
（4）经核实，该数据集中的出行记录来源于涉案平台真实的用户出行数据，而非合成数据。但涉案平台在数据说明中声称“已删除所有可直接或间接识别个人身份的信息”，实际上并未做到。
（5）调查期间，网信办委托第三方安全评估机构对数据集进行了重新识别攻击测试，成功识别出了上海市某副市长在内的多名公职人员的出行轨迹信息，包括其家庭住址、日常通勤路线和敏感场所的出入记录。

【处罚决定】
上海市互联网信息办公室依据《个人信息保护法》第六十六条、《数据安全法》第四十六条，作出以下行政处罚：
（一）责令立即从互联网上删除公开数据集，通知所有已知下载者删除；
（二）处人民币100万元罚款；
（三）对直接负责的数据总监处人民币10万元罚款；
（四）要求涉案平台建立数据对外发布前的匿名化效果评估制度，对历史上所有对外发布的数据集进行回溯审查。

【典型意义】
本案是全国首例因公开“匿名化”出行轨迹数据集而受到大额罚款的案件，对数据开放共享活动具有深远的警示意义：
第一，出行轨迹数据因其天然的唯一性和丰富的时空信息，极难实现真正的匿名化。本案印证了学术界的研究结论：仅需少量时空点即可唯一识别绝大多数个体。这对滴滴、美团配送、共享单车、高德地图等拥有海量出行数据的企业提出了极高的合规要求。
第二，本案揭示了“学术竞赛/开放数据”模式中普遍存在的合规盲区。许多企业为了社会责任和品牌形象而发起数据竞赛，但未充分评估公开发布数据的隐私风险。调查中发现多名公职人员轨迹被识别的事实，凸显了公共安全层面的潜在威胁。
第三，经纬度数据精度的降低（例如从6位小数降低到3位，精度从0.1米降低到约100米）是出行数据去标识化中最为关键的措施之一，但涉案平台完全忽略了这一基本步骤。
第四，本案提示监管部门需要针对时空数据发布制定专门的匿名化技术标准和评估指南，包括差分隐私、轨迹K-匿名化等技术方案的参数要求。