《個人信息保護法》下的密碼技術
《中華人民共和國個人信息保護法》（下稱《個人信息保護法》）歷經三次審議及兩次公開征求意見后，由第十三屆全國人民代表大會表決通過，正式于2021年11月1日起施行。《個人信息保護法》在當前網絡環境中個人信息不斷被非法獲取、濫用的背景下出臺，完善了我國在網絡安全和數據保護領域的頂層設計，作為個人信息保護領域的基礎性法律，與《數據安全法》、《網絡安全法》、《密碼法》共同構建了我國數據治理法律框架，是我國數字經濟時代重要法律基石。
《個人信息保護法》規定了對個人信息處理的保護要求及各方的責任與權力，其中個人信息處理者負有個人信息安全保護的主體責任。這就意味著將有更多的信息處理者需要用密碼技術來約束數據處理，密碼技術的應用領域將被拓寬。個人信息處理者在個人信息的處理中，將用到數據加密、數據去標識化、數據匿名化、數據防篡改等技術，密碼技術的引入將使個人信息的處理應用更規范，推動數據的安全應用。
一、《個人信息保護法》對于個人信息處理的相關法律規定
《個人信息保護法》第四條指出：“個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，不包括匿名化處理后的信息。”第五十一條規定了通過加密、去標識化等安全技術措施保護信息。第七十三條專門解釋了去標識化和匿名化兩種信息保護技術的含義。根據《個人信息保護法》的要求，以及《信息安全技術個人信息安全規范》GB/T 35273-2020的相關規定，對個人信息進行處理時應以密碼技術為基礎，實現數據存儲、傳輸、處理中的加密與防篡改要求、實現個人信息去標記化和匿名化要求。以數據去標記化和匿名化實現數據脫敏或有條件脫敏，擴大數據的安全應用范圍，推動個人信息的安全應用。
相關法律條文：
第五十一條
個人信息處理者應當根據個人信息的處理目的、處理方式、個人信息的種類以及對個人權益的影響、可能存在的安全風險等，采取下列措施確保個人信息處理活動符合法律、行政法規的規定，并防止未經授權的訪問以及個人信息泄露、篡改、丟失：
（三）采取相應的加密、去標識化等安全技術措施；
第七十三條
（三）去標識化，是指個人信息經過處理，使其在不借助額外信息的情況下無法識別特定自然人的過程。
（四）匿名化，是指個人信息經過處理無法識別特定自然人且不能復原的過程。
二、《個人信息保護法》下的密碼技術
01 數據加密
《個人信息保護法》把加密作為一個安全技術措施點名提出。數據加密是最常用的信息保護技術，用來防止信息泄漏或非法獲取。
常見的數據加密場景包括數據庫加密、文件加密、磁盤加密、傳輸加密等。
02 去標識化
《個人信息保護法》在要求安全保護的同時，也提出了“促進個人信息合理利用”，定義了“去標識化”這一實現方法，并作為安全技術措施提出。
去標識化是指個人信息經過處理，使其在不借助額外信息的情況下無法識別特定自然人的過程。通過去標識化的個人信息，可以支持對個人信息的處理，同時也保護了個人信息與個人的對應關系，避免對個人產生不利影響。
采用數據去標識化技術既可以處理數據，又實現個人信息保護。去標識化的數據處理，由于滿足個人信息的保護要求，因此在信息處理應用上場景用途會更加廣泛。
舉例：
支付標記化，實現了支付信息對交易平臺的個人隱私保護，和交易信息對支付平臺的個人隱私保護，但是支付結果卻是安全可信的。
車聯網假名證書，實現了車車協同、車路協同中車輛個人信息的隱私保護，同時也保證了車輛身份的可信性。
03 數據匿名化
匿名化，是指個人信息經過處理無法識別特定自然人且不能復原的過程。數據匿名化處理后，不再屬于個人信息，可以公開并處理。因此匿名化處理，可以解放個人信息的大量使用場景。舉例來說，海量的網上購物交易信息，在非匿名化的情況下可以被用來“用戶畫像”，從而出現大數據殺熟等不公平現象；而匿名化的網上購物交易信息，可以被交易平臺用來統計分析改進整體交易服務，但不會針對個人出現宰客殺熟問題。
《個人信息保護法》中在第四條規定了匿名化之后的信息不再屬于個人信息范疇，這一規定在規范個人信息使用的同時擴展了個人信息處理的方法，將推動個人信息的利用。
匿名化的技術手段和去標識化的手段類似，采用假名、屏蔽、泛化、隨機化等方式。匿名化與去標識化的不同之處在于匿名化要求是不應從匿名數據識別出特定個人，而去標識化在特定條件下是可識別個人的。
04 防篡改
《個人信息保護法》五十一條還點名了個人信息的“篡改”問題。個人信息處理者需要保證其所處理的個人信息保證其完整性、真實性和不可否認性。一般來說，在信息的存儲和傳輸中最容易出現非法篡改的問題，需要通過數字指紋、數字簽名等密碼技術來實現。
技術分享：標識化和匿名化的相關密碼技術
- 傳統數據加密：通過數據加密，實現數據無法與個人關聯。
- 假名化：通過不可逆的加密運算如哈希運算，或其他密碼方案，利用個人信息產生假名標識，并用假名標識代替用戶的唯一標識參與信息處理，從而避免用戶個人信息的泄漏。密碼技術是假名化的技術基礎。金融行業的“支付標記化”和車聯網中的“假名證書”都屬于假名化技術。
- 同態加密：信息在密文狀態下進行處理，處理后的結果被解密為明文后正是明文數據同樣處理后的對應結果。由于在密文狀態下進行數據處理，可以實現信息處理過程中的數據保護。在云計算、大數據、區塊鏈等場景非常適合。同態加密正處于迅速發展當中。
- 安全多方計算：基于多方數據協同完成計算，除計算結果及其可推導出的信息之外，不泄露各方隱私數據。
- 數據屏蔽清洗：刪除信息的直接標識或部分、刪除信息的部分記錄，使通過該信息無法識別到特定個人。
- 數據泛化：對數據集中的記錄進行抽象概括的描述，例如數值的取整、平均等，使數據對應多個記錄，提升利用數據識別到個人的難度。=
- 數據隨機化：通過對信息進行隨機性的修改或置換，隱藏實際的個人信息，使無法通過數據識別到個人。
- 數據合成（測試數據準備）：利用真實數據，通過隨機化、抽樣等產生合成數據，用于產生測試數據。
