某电商物流企业公开“匿名化”包裹揽投数据集后地址信息可被重新识别关联用户案（国家邮政局+上海市网信办联合执法，2024年8月）

【案件背景】
某电商物流企业（以下简称“涉案企业”）是国内头部快递物流公司，日处理包裹量超过5000万件。2024年3月，涉案企业发布了一份“中国城市物流效率白皮书”，”白皮书附录中公开了一个“全链路揽投时效数据集”用于学术研究，声称已“完全匿名化”。数据集包含了从全国各城市随机抽取的500万个包裹的全程物流信息：揽件时间、揽件网点编码、中转站编码和时间、派件网点编码和时间、签收时间、以及经过“匿名化处理”的收件人地址——将详细地址替换为地址的GeoHash编码（6位，约1.2公里x0.6公里的矩形区域）。2024年6月，有数据安全研究员发现：将GeoHash区域与精确到分钟的揽件和签收时间戳结合，再与淘宝/京东等电商平台的公开评价数据（含评论时间和模糊地理位置）进行时空关联分析，可以在约15%的案例中重新识别出下单用户的具体身份。

【违法事实】
经调查查明：
（1）涉案企业声称的“匿名化处理”仅将收件人地址转换为GeoHash编码，但GeoHash编码是确定性算法（给定经纬度→唯一的GeoHash），本质上只是地址编码方式的改变，而非匿名化。任何人都可以将GeoHash解码回经纬度范围，从而确定收件人的大致位置。
（2）数据集中的时间戳精度为分钟级别，结合GeoHash定位的区域（1.2km x 0.6km），研究者通过三步实现了重新识别：①在电商平台的公开评论区找到带有时间戳的评论；②匹配评论时间与数据集中的签收时间（±5分钟内）；③验证评论用户的收货城市与GeoHash区域的一致性。通过此方法，研究者成功识别了50多名具体用户及其收货地址所在小区。
（3）涉案企业的数据集使用了“真实数据采样”方法——直接对生产系统中的500万条真实订单记录进行“脱敏”后发布。这种“发布真实数据+局部脱敏”的做法，本质上是对数据进行了去标识化而非匿名化处理，因为原始数据的时空结构被完整保留。
（4）涉案企业发布该数据集的目的是为了企业品牌宣传（“数据赋能学术”），但未进行任何重新识别风险评估，未与下载者签署数据使用协议，未限制仅用于学术研究。数据集在GitHub上发布后被全球范围内的用户下载。
（5）涉案企业作为快递企业是《快递暂行条例》和《寄递服务用户个人信息安全管理规定》的适用主体，寄递服务中的收件人地址属于受特殊保护的“寄递用户个人信息”，其对外发布须满足特定要求。但涉案企业完全忽视了行业监管的特殊合规义务。

【处罚决定】
国家邮政局依据《快递暂行条例》第四十四条和《寄递服务用户个人信息安全管理规定》，上海市网信办依据《个人信息保护法》第六十六条，联合作出以下行政处罚：
（一）责令立即从GitHub等平台删除公开数据集，通知所有已知下载者删除；
（二）对涉案企业处人民币60万元罚款（网信办30万元+邮政局30万元）；
（三）对企业数据安全负责人处人民币5万元罚款；
（四）要求在30日内完成对所有历史对外发布数据集的回溯审查。

【典型意义】
本案是快递物流行业因对外发布“匿名化”数据而受到联合执法的首案，揭示了时空数据匿名化的技术难度和合规挑战：
第一，GeoHash等地理编码技术并非匿名化手段，而仅是地址表示方式的变换。将详细地址转换为GeoHash编码后，地址信息仍然存在且可以被解码还原。
第二，本案展示了“跨平台数据关联”（物流数据+电商评论数据）在重新识别攻击中的威力。单个企业的数据即使经过脱敏，与其他公开数据关联后仍可能还原个体身份——这提示企业在评估匿名化效果时必须考虑跨数据集关联风险。
第三，行业监管部门（国家邮政局）与个人信息保护主管部门（网信办）的联合执法，标志着快递物流数据保护进入了“双重监管”时代，企业的数据发布行为须同时满足行业法律和横向法律的要求。
第四，使用真实数据采样+局部脱敏的方式发布数据集，本质上仍属于个人信息处理行为，不能以“匿名化数据”为由免除法律义务。差分隐私生成合成数据是更安全的替代方案。