数据最小化与去标识
本节目标
能从明确目的逐字段证明必要性，区分匿名、去标识与假名化，识别准标识符的链接攻击，并把最小化、保留和删除扩展到日志、Embedding、模型、缓存与备份。
最强的隐私控制是不持有
密码学技术只能保护仍需处理的数据；没有收集的数据不会因数据库、日志、模型或供应商泄露。设计先回答：
- 为谁完成什么明确目的？
- 每个字段对该目的为什么必要，有没有粒度更低的替代？
- 数据在哪些系统、人员、模型与供应商之间流动？
- 保存多久，何时触发删除，怎样证明副本也被处理？
- 会发布什么输出，外部辅助数据能否提高推断能力？
“以后可能有用”“模型效果可能更好”不是充分目的。目的变化应重新批准和评估，而不是把初始同意无限扩展。
数据类别与风险
| 类别 | 例子 | 风险 |
|---|---|---|
| 直接标识符 | 姓名、账号、电话号码 | 可直接关联个人 |
| 准标识符 | 邮编、年龄、时间、职业、稀有事件 | 与外部数据组合后重识别 |
| 敏感属性 | 健康、财务、生物特征、精确位置 | 即使无姓名，泄露也可能严重伤害 |
| 自由文本/媒体 | 邮件、病历、录音、图像 | 标识符可能藏在任意位置或元数据中 |
| 派生数据 | Embedding、评分、画像、标签 | 可能编码原始信息并影响个人 |
具体法律定义因地区和场景不同。本表用于工程威胁建模，不是法律分类结论。
三个容易混用的词
- 假名化（pseudonymization）：把直接标识符替换为代号，仍有映射或可回连路径。适合内部隔离和最小权限，但数据仍与个人有关。
- 去标识（de-identification）：采取技术与管理措施降低识别风险，保证取决于数据、外部信息、接收者和使用约束。
- 匿名（anonymous）：在特定法律/风险语境下无法合理关联个人的更强结论，不能仅凭“删姓名”自称达到。
NIST IR 8053 强调去标识风险要结合数据、发布模型与攻击者可用信息评估。邮编+生日+性别或罕见事件的组合可能唯一；时间、轨迹和文本风格也能成为准标识符。
去标识工作流
1. 建立字段到目的表
记录字段、来源、目的、分类、必要性、粒度、访问者、保留期、输出和替代方案。先删除不必要字段，再讨论变换。
2. 变换与隔离
删除直接标识符；泛化日期、位置和年龄；抑制稀有组合；对自由文本/媒体和元数据单独检测；把映射表与分析数据物理/逻辑隔离，使用不同身份和审计。
3. 按发布模型评估
内部受控访问、向合作方共享、公开下载的攻击者能力不同。模拟链接、差分、小群体和成员推断；记录外部数据假设、失败结果和残余风险。一次攻击没有成功不证明匿名。
NIST SP 800-188 进一步把发布模型、可测的去标识目标、披露复核和重识别研究放进同一治理流程。它直接面向美国政府数据集，不能原样移植为其他组织或地区的法律标准；可借鉴的是“先选择共享/查询/受控环境模型，再按该模型验证风险”，而不是某个固定阈值。
4. 施加使用与输出约束
最小权限、用途限制、查询审查、禁止重识别、最小分组、输出检查、合同和事件响应共同降低风险。管理控制不能把高风险原始公开数据“变匿名”，但它影响实际威胁模型。
5. 生命周期删除
删除范围包括主库、对象存储、临时文件、日志、缓存、向量索引、评测集、微调数据、模型检查点和可恢复备份。对于模型/Embedding 中已编码的信息，删除请求可能需要重建、重训或明确说明技术限制。保存删除任务、覆盖范围和抽样验证证据，不记录不必要的原数据。
RAG、Agent 与删除/授权传播
RAG 把同一来源拆成原文、解析元素、chunk、Embedding、索引代际、缓存、引用和运行记录；因此“删了向量”或“来源曾可访问”都不足以说明当前读取合法。摄入时应把来源/修订、租户或数据范围、用途、许可与 ACL 绑定到可追溯的 chunk；查询时由可信 host 先解析主体、租户和授权修订，再在评分前限定可见集合。只在召回后做显示层过滤会让缓存、候选集或降级路径越过本应在检索前生效的边界。
撤权、删除或来源 tombstone 应使旧 chunk、索引 generation、检索缓存、引用、Agent 记忆引用与可再生成的评测 fixture 失效或进入明确的保留/重建流程。删除工单必须记录每类副本是已删除、已过期、待重建还是因合法保留而继续受控，不能对模型/备份作无法证明的即时清除承诺。模型只应收到已经授权且按用途最小化的片段；审计用受限引用、分类和摘要，而不是把原文复制到通用 Trace。
来源 hash、文档 ACL 或“来自内部知识库”都不能替代当前对象级授权；若检索内容随后影响 Tool Calling，执行器仍必须重新检查主体、对象、用途与目的地。来源到引用证据链 的离线参考模型演示了 ACL-before-score、generation 与 tombstone 的合同，但它假定 host 已可信解析身份，不实现认证或真实策略服务；工具侧的独立授权边界见 工具越权与数据外泄。
合成数据不是自动匿名
生成模型可能复现训练记录，低频组合也可能被保留。合成数据要检查来源、训练成员泄露、最近邻/重复、属性推断、效用和用途；公开训练数据与合成输出的风险模型不同。可结合 数据合成 的来源与发布门，但不能仅以“是生成的”跳过隐私评估。
常见错误
- 删除姓名后把数据标成匿名，未评估准标识与外部数据。
- 只处理训练表，忽略原始日志、Prompt、向量库、模型和备份。
- 为审计复制完整个人数据，产生新的高权限数据仓库。
- 保留期写在文档里，没有自动到期、失败告警和删除证据。
- 把加密当去标识；持钥者仍可恢复，访问模式和输出也可能泄露。
练习与自测
审查一个客户流失数据集：逐字段填写目的、分类、必要性、贡献粒度、保留期、访问者和替代方案。选择三项准标识符，说明外部数据如何链接；再列出主库之外至少六类必须删除的副本。
- 能区分假名化、去标识和匿名的证据强度。
- 能解释为什么准标识与自由文本使“删姓名”不足。
- 能让每个字段、每次共享和每个保留期回到明确目的。
- 能验证日志、向量、模型、缓存和备份的生命周期。
下一步
当需要量化公开统计中单个主体的影响时，进入 差分隐私直觉与预算。
参考资料
- NIST IR 8053: De-Identification of Personal Information（2015；获取日期：2026-07-22）
- NIST SP 800-188: De-Identifying Government Datasets（最终版，2023-09；适用范围边界见正文）
- NIST Privacy Framework（获取日期：2026-07-22；1.0 为已发布版本，1.1 仍为 Initial Public Draft/coming soon）