瑞典数据保护局对斯德哥尔摩交通公司因匿名化失败构成监控的警告案（IMY，2021年5月）

【案件背景】
斯德哥尔摩公共交通公司（Storstockholms Lokaltrafik，以下简称“SL”）负责运营瑞典首都斯德哥尔摩的地铁、公交、有轨电车和通勤列车。SL在2019年试点了一项乘客流向分析项目：在地铁站台和车厢内安装了Wi-Fi和蓝牙信号传感器，通过检测过往乘客智能手机的Wi-Fi MAC地址和蓝牙设备ID来追踪乘客的移动轨迹，用于优化列车调度和站台设计。SL声称已对收集的数据进行了处理以“防止识别个人”——将MAC地址用单向哈希函数进行加密，声称实现了“匿名化”。但有数据保护研究者向IMY投诉，指出单向哈希并非真正的匿名化手段，因为MAC地址的空间有限（2^48），且结合时间戳信息仍可实施重识别攻击。

【违法事实】
经IMY调查查明：
（1）SL使用的“哈希匿名化”方法存在根本性缺陷。MAC地址是48位的固定长度标识符，可能的值共有约2.8x10^14个。但实际使用的OUI（组织唯一标识符，MAC地址的前24位）数量有限，且智能手机制造商高度集中（Apple、Samsung和华为合计占斯德哥尔摩用户超过80%），因此有效MAC地址空间实际远小于理论值。使用彩虹表或暴力穷举，可以在较短时间内还原部分哈希后的MAC地址。
（2）SL在地铁网络中的传感器部署密度使得乘客移动轨迹可以被连续追踪。当一个乘客在A站进入地铁、在B站换乘、在C站出站时，其智能手机的哈希化MAC地址在这三个位置的传感器上均被记录，形成了完整的出行时间序列。即使不知道MAC地址对应的真实设备身份，该时间序列本身可以通过与乘客的常规出行模式（如刷卡记录）进行关联分析来重新识别个人。
（3）SL声称其数据处理已实现匿名化，因此不受GDPR约束。但IMY认定：由于哈希化MAC地址通过合理可能的手段仍可以重新识别个人，该数据在法律上不是匿名化数据，SL的处理活动须受GDPR约束。SL未履行GDPR要求的透明度义务（第13/14条）、处理活动记录义务（第30条）和数据保护影响评估义务（第35条）。
（4）SL的传感器部署覆盖了所有主要地铁站，但未在站内张贴显著的提示标识告知乘客其设备MAC地址正在被收集和追踪。唯一的通知方式是SL官网上的隐私声明，但乘客在匆忙经过地铁站时极不可能访问该声明。

【处罚决定】
2021年5月4日，IMY作出以下处理决定：
（一）因SL积极整改并在调查期间已在多数车站安装了告知标识，IMY未处以行政罚款，而是发出正式警告（Warning）；
（二）要求SL在继续此类处理活动之前，必须完成完整的DPIA，评估重新识别风险并实施有效的缓解措施；
（三）在车站内以显著且易于获取的方式（如大型标识）告知乘客传感器数据收集行为。

【典型意义】
本案是公共交通Wi-Fi/蓝牙追踪场景下匿名化主张失败的典型执法案例，其核心启示在于：
第一，哈希化（特别是对有限空间标识符的哈希化）不构成匿名化。本案明确了一个技术事实：对于MAC地址（48位有限空间），即使使用加盐哈希也可能无法阻止具有合理计算资源的攻击者进行重识别。这一技术认定对全球大量部署Wi-Fi追踪系统的零售商、机场、商场和城市管理者具有普遍适用性。
第二，时空轨迹数据序列的重识别攻击风险被正式确认为监管关注点。即使不知道标识符对应的真实设备身份，一条完整的轨迹序列（时间+地点）本身就可以通过模式匹配来重识别个体。
第三，传感器部署（IoT）场景下的透明度要求具有特殊性。在物理空间中收集个人数据时，单纯的网站隐私声明不足以满足透明度义务——必须在使用者实际经过的地点以物理标识进行告知。
第四，IMY选择罚款之外的警告作为处理决定，体现了GDPR执法中的比例原则——积极配合整改的态度可以在一定程度上减轻处罚，但违法的认定本身已经构成了强有力的合规信号。