公司说手里的数据“已经匿名化”了，就一定不受隐私法管吗？未必。欧洲数据保护委员会（EDPB）7 月 7 日通过了《匿名化指南 02/2026》草案，替换 2014 年的旧指南。简单讲，新指南说：数据是否匿名，要看“谁拿着它、有什么手段能认出人”，而不是贴个标签就行。草案的公开征求意见持续到 2026 年 10 月 30 日。
为什么要更新
这次更新背景有几个：多年的法律争议、法院判决，以及 AI 技术的快速发展。大家也越来越担心所谓“匿名”的数据，其实常常还能追到具体的人。用匿名数据做研究、分析、AI 开发，或者提供医疗和公共服务的机构，都可能因此重新评估隐私风险。
新的法律视角：匿名是相对的
EDPB 的看法是，同一份数据，对一个机构可能是个人数据，对另一个机构却可能是匿名数据，取决于谁在看、手里有什么工具。这是建立在欧盟法院近期审理的 SRB（单一处置委员会）案之上的：数据是否属于个人数据，可以取决于接收方识别个人的能力，而不是一个统一标准。
具体做法是：先找出所有可能接触数据集的相关方，再逐一判断他们能否借助手头信息真正识别出个人。
- 处理者要站在控制者的角度判断。数据对控制者是个人数据，对处理者也是，这样企业就不能靠外包来逃避 GDPR 责任。
- 匿名化本身也需要法律依据。适用 GDPR 第 6 条；敏感数据还要满足第 9(2) 条的特殊规定。
怎么判断“再识别”的可能性
指南说明了什么叫“合理可能被使用”的再识别手段：要综合考虑数据本身的特点、可用技术和成本等客观因素。
另外，法律禁令不一定能挡住再识别，因为网络犯罪分子可能无视法律；合同里的禁止条款也没有法律禁令那么强。企业不能想当然地认为接收方不会去尝试再识别，因为动机很难证明，而且会变。专家和第三方服务也会降低再识别的难度。
两种评估方式
| 方式 | 思路 | 特点 |
|---|---|---|
| 情境法 | 看具体机构的能力和资源 | 更细致 |
| 简化法 | 假设任何人都可能尝试再识别 | 标准更高，有时过于严格 |
企业可以两种方式结合：先做简化测试，发现风险再做更详细的情境分析。
匿名要同时满足的三项标准
- 无法单独挑出个人（no record isolation）。不能有某种属性组合能唯一对应一个人。信息越具体，越容易被挑出来，比如某个数据集里的信息就足以认出一名员工。
- 无法关联（linkage）。不能把这些记录与同一个人的其他信息关联起来。比如公司去掉了客户数据中的明显标识，但公开数据库里有匹配信息，那就不算真正匿名。
- 无法推断（no inference）。数据不能让人得出关于某个人的具体结论。现代 AI 能推断敏感信息，指南还特别提到成员推断攻击，可能暴露某人的数据是否被用于训练。
匿名不是一劳永逸
指南明确指出，匿名不会永远有效。技术在进步，今天匿名的数据，可能在明天的 AI 和机器学习面前变得可识别。所以企业要定期复查，不能一次评估就了事；两年前算匿名的，今天未必安全。EDPB 建议定期重新评估，并认真做好记录。
这份指南是欧盟加强数据保护的一部分，TikTok 等平台的数据处理做法也正受到审视。完整文本可在 EDPB 官网查看。
常见问题（FAQ）
这份指南已经生效了吗？
还没有。目前是草案，公开征求意见持续到 2026 年 10 月 30 日。
它替换了哪份旧文件？
替换的是 2014 年发布的匿名化指导意见。
数据“匿名”后就完全不受 GDPR 管了吗？
要看是否真能满足匿名标准。指南强调要逐方评估能否识别个人，而且匿名化本身也需要法律依据。
外包给处理者能避开责任吗？
不能。处理者要从控制者的角度评估，数据对控制者是个人数据，对处理者也是。
企业需要多久复查一次？
指南没有给出固定周期，只建议定期复查，并留存评估记录。