某省会城市政府开放数据平台发布的“匿名化”低保救助数据可通过多源数据关联重新识别受助者身份案（国家网信办督导，2023年9月）

【案件背景】
某省会城市大数据管理局运营的政府数据开放平台是该市“新型智慧城市”建设的重要组成部分，向社会公开了涵盖经济、教育、医疗、民政、交通等领域的数百个数据集。其中，民政局上架了一个“社会救助对象信息统计数据集”，声称“已按国家数据开放规范进行脱敏处理”。该数据集以街道/乡镇为粒度，公开了每个街道/乡镇各类社会救助（低保、特困供养、临时救助等）的受助人数、救助金额、受助人年龄段分布等统计信息。2023年7月，有数据伦理研究者发现，将民政局的救助数据集与同平台上的残联残疾人数据集、卫健委居民健康档案数据集、人社局的就业失业登记数据集进行交叉分析后，可以在人口较少的街道/乡镇中唯一识别出具体的受助者家庭和个人身份。

【违法事实】
经调查查明：
（1）民政局上架的救助数据集虽然是聚合统计形式，但在人口较少的街道/乡镇（如某些街道仅几千人），将“年龄段”与“救助类型”交叉后形成的分组中存在大量1人/组的零单元格或极小单元格。例如某街道“30-35岁女性低保受助者”仅1人，结合残联数据集中同一街道的“30-35岁女性肢体残疾”也仅1人，即可确定该个体的完整救助和健康状况。
（2）政府数据开放平台未对不同数据集之间的关联风险进行评估。平台上的多个数据集来自不同的政府部门（民政局、残联、卫健委、人社局），各部门在上架数据时仅考虑自身数据集的风险，未考虑跨数据集关联后可能导致的重新识别风险。平台运营方（大数据管理局）未建立跨部门数据关联风险的评估机制。
（3）平台上的数据集在发布时均标注了“已脱敏处理”，但各政府部门对“脱敏”的定义和标准不一致：民政局仅删除了直接标识符；卫健委实施了K-匿名化但K值仅为2；残联仅进行了数据扰动（添加随机噪声）但噪声幅度过小不足以防止重识别。
（4）平台对所有数据集均采用“完全开放、自由下载”的模式，未对下载者进行身份认证，未要求签署数据使用协议，未禁止重新识别行为。
（5）经核实，该平台上多个涉及个人信息的敏感数据集（包括残疾人信息、低保救助信息、孕产妇健康档案等）均存在不同程度的重新识别风险，涉及受影响的数据主体超过10万人。

【处罚决定】
国家互联网信息办公室督导，省级网信办依据《个人信息保护法》第六十六条和《数据安全法》第四十七条，作出以下处理：
（一）对某省会城市大数据管理局通报批评；
（二）责令立即下架所有存在重新识别风险的数据集，暂停政府数据开放平台运营直至整改完成；
（三）要求建立跨部门数据集关联风险评估机制和数据集发布前的匿名化/脱敏效果评估流程；
（四）对负有直接责任的大数据管理局副局长和民政局局长分别给予政务警告处分。

【典型意义】
本案是政府数据开放平台因匿名化不充分而被国家级网信部门督导整改的标志性事件，对全国300多个地方性政府数据开放平台具有普遍的警示意义：
第一，政府数据开放中的隐私风险被正式纳入网信部门监管。本案标志着政府数据开放从“数量竞争”（比拼开放了多少数据集）转向“质量合规”（开放的数据集是否满足了隐私保护要求）。
第二，跨数据集关联风险成为评估匿名化效果时不可忽视的维度。单一数据集看似匿名化充分，但多个数据集组合后可能产生“马赛克效应”（Mosaic Effect）——通过碎片化信息的拼接还原个体全貌。
第三，聚合统计数据同样存在重新识别风险，特别是针对极小群体（1-2人）的统计结果。差分隐私技术（通过添加受控随机噪声）是解决此问题的可行技术路径，但许多政府部门的数据发布流程中尚未引入这一技术。
第四，本案催生了政府数据开放领域的新规范：2024年，国家数据局发布了《公共数据开放中的个人信息保护指引（试行）》，对公共数据开放中的去标识化、匿名化和重新识别风险评估提出了系统性的技术要求。