EDPB匿名化指引草案引入“相对可识别性”：同一数据集对不同主体可同时是个人信息与匿名数据

指引最受关注的概念是“相对可识别性”（relative identifiability），其直接源自欧盟法院2025年EDPS诉SRB案的判决。该概念认为信息可能对某些主体而言是匿名的，对另一些主体则不是：同一数据集对持有重识别密钥的组织构成个人信息，对没有现实手段关联到具体个人的接收方则可能是真正的匿名数据。

实务含义较为显著——若将数据共享给确实无法重识别的接收方，GDPR可能不适用于该接收方的后续处理，无需合法性基础、无需响应数据主体权利、无需履行删除义务，原则上可用于训练AI模型。但指引同时设置了关键例外。

该例外针对受托处理者：当接收方依据控制者指令处理数据（如供应商、SaaS服务商或在数据处理协议下运营的AI合作方）时，处理者承继控制者的可识别性判断视角。即便处理者自身毫无重识别手段，只要控制者能够重识别，该数据对处理者而言仍是个人信息。这直接冲击了大量SaaS合同中“服务商可使用聚合或匿名化客户数据改进自身产品”的常见条款。

指引同时提出“无记录隔离、无关联、无推断”三步匿名化测试，并提供情境化方法与简化方法两种评估路径，其中情境化方法为真正的法律标准，要求评估恶意行为者、内部人员、调查记者、情报机构与网络犯罪者等主体通过合理可能手段实施重识别的风险。