个人信息经匿名化处理后，原则上不再属于个人信息，不受个人信息保护规则约束；但若匿名化不彻底、仍可识别到特定自然人，则仍受法律保护。上海法院在审判实践中通常以“是否具有可识别性”作为核心判断标准。
匿名化与去标识化，法律效果有何不同？
《中华人民共和国个人信息保护法》对“匿名化”与“去标识化”作了明确区分。匿名化是指个人信息经过处理无法识别特定自然人且不能复原的过程；去标识化则是指个人信息经过处理，在不借助额外信息的情况下无法识别特定自然人的过程。两者法律效果差异显著：匿名化后的信息不再属于个人信息，去标识化后的信息仍属于个人信息，只是处理门槛有所降低。
| 处理方式 | 能否识别特定自然人 | 是否属于个人信息 | 法律适用 |
|---|---|---|---|
| 匿名化 | 不能识别且不能复原 | 否 | 不适用个人信息保护规则 |
| 去标识化 | 不借助额外信息无法识别 | 是 | 仍适用个人信息保护法 |
| 未处理 | 可直接识别 | 是 | 适用个人信息保护法 |
这里要注意，匿名化是一个结果性标准，而非过程性标准。即便企业采取了脱敏、加密等技术手段，只要处理后的信息仍存在重新识别特定自然人的合理可能，就不能认定为匿名化。上海地区法院在相关纠纷中，通常结合数据体量、识别成本、识别可能性等因素综合判断。
匿名化处理需要满足哪些条件才受认可？
司法实践中，主张信息已匿名化的一方需承担相应举证责任。一般需证明处理后的信息无法通过合理方式识别到特定个人，且不存在复原的可能。具体审查通常关注以下步骤：
- 确认原始信息中是否包含直接标识符，如姓名、身份证号、手机号等，并已彻底删除或替换。
- 评估剩余信息组合后是否仍具有间接识别性，如通过性别、年龄、职业、地域等组合锁定特定个人。
- 考量识别所需成本与时间，若需投入不成比例的资源才能识别，通常倾向于认定匿名化成立。
- 审查是否存在可复原的技术路径，如加密密钥是否独立保管、哈希值是否可逆等。
不符合上述条件的，即使标注为“匿名化”，仍可能被认定为个人信息，须遵守告知同意、最小必要等规则。
匿名化信息被重新识别，责任如何认定？
匿名化信息本身虽不受个人信息保护规则约束，但若信息控制者通过技术手段重新识别到特定自然人，则该信息恢复为个人信息，后续处理行为须重新取得合法性基础。实践中常见的情形包括：将匿名化数据集与其它数据源碰撞匹配，从而识别出特定个体。此类行为可能构成对个人信息权益的侵害，甚至涉及侵犯公民个人信息罪。上海法院在审理此类案件时，通常审查重新识别行为是否超出原告知同意的范围、是否具有正当目的。若信息控制者未尽到合理的防重新识别义务，导致匿名化信息被第三方破解，也可能承担相应责任。
常见误区：匿名化等于免责吗？
不少企业误以为只要完成匿名化处理，便可自由使用、交易相关数据。这一理解并不准确。匿名化仅使信息脱离个人信息保护法的直接适用，但并不意味着不受任何法律约束。匿名化信息仍可能受反不正当竞争法、网络安全法以及数据安全法的一般性规制。此外，若匿名化处理本身不彻底，导致信息仍可识别，则企业仍需承担个人信息处理者的全部义务。专业律师提示，企业在进行匿名化处理时，应保留完整的处理记录与评估报告，以应对可能的监管审查或诉讼举证。
建议结合自身情况咨询专业律师，对匿名化处理方案进行合规评估，避免因识别风险判断失误而承担不必要的法律责任。