比利时数据保护局对布鲁塞尔交通公司因公开“匿名化”出行数据可被重新识别的调查决定案（APD，2023年7月）

【案件背景】
STIB/MIVB（布鲁塞尔首都大区交通公司）是比利时布鲁塞尔首都大区的公共交通运营商。2022年，STIB推出了“开放数据门户”，公开了包括公交和地铁线路的客流量数据集，声称已进行“匿名化”。数据集包含每个MoBIB卡（布鲁塞尔交通一卡通）的逐出逐入记录——卡片序列号已被替换为哈希值——以及时间和站点信息。比利时数据和信息保护组织（Noyb的前身关联组织）向APD投诉，指出该数据集在多个维度上可以被重新识别，尤其是对于持有定制化月票的乘客（如学生年票、老年人免费票等），”仅需少数几个出行记录即可精确定位用户身份。2023年7月，APD发布了调查决定。

【违法事实】
经调查查明：
（1）数据集中的每次出行记录包含了哈希化的卡片ID、进站点和时间、出站点和时间。虽然卡片ID被哈希化，但由于同一卡片的哈希值在不同出行记录中是相同的，投诉人可以通过分析同一哈希值对应的所有出行记录来重建该卡片持有人的完整出行模式。研究人员证明：对于持有特殊类型月票的乘客（如某大学的学生年票在特定线路上的使用模式），仅需分析卡片在早上8:00-9:00从某大学附近地铁站进站、下午17:00-18:00从同一站点进站反向出行的规律，即可推断出卡片持有人的身份（该大学的学生）。
（2）公交卡数据的天然属性使得匿名化极为困难：与单次购买的纸质票不同，公交卡是个人长期持有的，其出行记录天然构成一个可关联的时间序列。哈希化卡片ID并未破坏这一关联性，只是将“卡片ID”替换为“哈希值”——关联关系仍然保留。
（3）STIB在开放数据前进行了隐私影响评估（DPIA），但APD认为该DPIA不充分：未考虑同一卡片哈希值在数据集中可被用于重建出行模式；未评估特殊票价类型（学生、老年人、残障人士）用户的特殊重新识别风险；未考虑该数据与其他公开数据（如社交媒体签到信息）结合后的重识别风险。
（4）STIB声称其公开数据属于GDPR适用范围外的“匿名化信息”，但APD认为由于上述重识别风险实际存在，该数据在法律上不属于匿名化信息，仍应受GDPR约束。STIB未履行GDPR第35条要求的充分DPIA和第13/14条的透明度义务。
（5）APD特别指出，STIB在收集乘客出行数据时所依据的“公共利益任务”（公共交通运营）法律基础，不能自动延伸至“将数据处理后公开发布”的行为——后者需要独立的法律依据和充分的透明度。

【处罚决定】
2023年7月，APD作出决定：
（一）发文警告，要求STIB在继续进行数据公开发布前，须完成更全面的重新识别风险评估；
（二）要求STIB实施更强的匿名化技术措施——如对卡片ID使用“旋转哈希”（即不同日期使用不同哈希值，防止跨日关联），或者在公开发布的数据中使用聚合统计替代个体级别的出行记录；
（三）要求STIB在开放数据门户上提供更显著和清晰的透明度声明，告知数据主体其数据如何被处理和发布。
（四）APD未处以罚款，原因在于STIB积极配合调查且开放数据的公益目的真实存在。

【典型意义】
本案是欧洲公共交通开放数据匿名化领域的重要探索性案例：
第一，卡片ID的哈希化不能消除跨记录关联风险。本案的技术分析清晰地表明：只要同一实体（持卡人）的记录可以通过某个稳定的伪标识符关联在一起，出行模式的可重建性就构成了重识别风险。打破这种关联性（如旋转哈希、动态假名）是必要的技术措施。
第二，特殊用户群体（学生、老年人、残障人士等）由于行为模式的独特性和社区信息的可获得性，面临着不成比例的重识别风险。匿名化评估必须考虑此类群体特征，而不仅仅是平均的重新识别概率。
第三，本案区分了“为公共交通运营目的收集数据”和“为开放数据目的公开发布数据”两个数据处理活动，并要求分别为其提供法律依据。这种处理目的的分层分析对政府数据开放具有普遍适用性。
第四，开放数据的公益目的可以成为执法中考虑减轻处罚的因素，但不能成为免除GDPR义务的理由。匿名化的技术标准不因数据用途的公益性质而降低。