廣悅（香港）律師事務所

引言

通用數據保護條例（GDPR）自生效以來，已成為全球數據保護領域的黃金標准，深刻影響著企業的數據處理實踐。其核心在於對“個人數據”的嚴格定義和保護。然而，近期歐盟法院（ECJ）在涉及假名化數據（pseudonymised data）的裁決中，對“個人數據”的定義進行了更為細致的闡釋，這無疑為匿名化技術（anonymisation techniques）的應用帶來了新的思考空間。本文將深入剖析這一最新動態的背景、具體內容，探討其對匿名化技術發展和應用的影響，並為中資企業提供潛在影響分析和戰略性合規建議。

核心內容分析

GDPR中“個人數據”的原始定義回顧

GDPR將“個人數據”定義為“與已識別或可識別的自然人有關的任何信息”。其中，“可識別的自然人”是指可以直接或間接通過標識符（如姓名、身份證號、位置數據、在線標識符或一個或多個特定於該自然人身體、生理、遺傳、精神、經濟、文化或社會身份的因素）而被識別的人。這一寬泛的定義確保了對個人隱私的全面保護，但也給企業在數據利用方面帶來了諸多合規挑戰。

歐盟法院（ECJ）的最新裁決及其對“個人數據”定義的收窄

2025年9月4日，歐盟法院（ECJ）在_European Data Protection Supervisor v Single Resolution Board_ (C-413/23 P)一案中做出了一項具有裏程碑意義的裁決。該裁決明確指出，假名化數據並非在所有情況下都自動被視為GDPR下的“個人數據”。

裁決要點：

情境化評估原則： ECJ強調，假名化數據是否屬於個人數據，取決於接收方是否能夠“合理地”重新識別個人。這需要綜合考慮技術、組織和法律等多種因素，以評估重新識別的可能性。
“接收方視角”：裁決的核心在於引入了“接收方視角”。如果數據的接收方（例如，本案中的咨詢公司）由於缺乏額外的識別信息或受到法律/合同限制，無法實際重新識別數據主體，那麼這些假名化數據在其手中就不被視為個人數據，從而不受GDPR的約束。
並非“空白支票”：盡管定義有所收窄，但ECJ也明確指出，這並非一項“空白支票”。如果接收方擁有或能夠獲取重新識別個人的手段（例如，通過合同權利或訪問其他數據集），那麼這些數據仍然屬於個人數據，並受GDPR管轄。

匿名化與假名化的區別與聯系

歐盟數據保護監督局（EDPS）在其發布的《關於匿名化的10個誤解》文件中，詳細闡述了匿名化與假名化的關鍵區別。

“個人數據”定義收窄對匿名化技術的影響

歐盟法院的這一裁決對匿名化技術具有深遠的影響。此前，由於GDPR對“個人數據”的寬泛定義，許多企業在處理數據時，即使采用了假名化等技術，也往往難以完全擺脫GDPR的規管，因為假名化數據在某些情況下仍可能通過“合理可能”的手段被重新識別。這使得企業在數據匿名化處理上持謹慎態度，並面臨較高的合規成本。

隨著“個人數據”定義收窄，特別是引入了“合理可識別性”標准，匿名化技術在數據處理中的地位將得到顯著提升。如果企業能夠證明其匿名化處理後的數據，在考慮所有合理可識別手段後，已無法再與特定個人關聯，那麼這些數據將不再受GDPR的約束。這意味著：

匿名化成為更有效的合規工具：企業將有更明確的指引來判斷其匿名化處理是否符合GDPR的要求。通過采用先進的匿名化技術，如差分隱私、k-匿名化、l-多樣性等，並結合嚴格的風險評估，企業可以更自信地將數據視為非個人數據進行處理，從而降低合規負擔。
促進數據創新和共享：在確保個人隱私的前提下，企業可以更自由地利用匿名化數據進行分析、研究和開發新產品。這將有助於打破數據孤島，促進數據在不同行業和機構間的安全共享，從而激發數字經濟的創新活力。
對假名化技術的重新審視：雖然假名化仍是GDPR下重要的數據保護措施，但其與匿名化的界限將更加清晰。假名化數據仍屬於個人數據範疇，需要遵守GDPR的各項規定。而經過有效匿名化處理的數據，則可能完全脫離GDPR的規管。企業在選擇數據處理技術時，需要根據其業務需求和風險承受能力，更精准地評估匿名化和假名化之間的權衡。

EDPS（歐洲數據保護監督局）在關於匿名化的指導文件中也強調了匿名化是數據保護的關鍵手段。該文件指出，真正的匿名化數據不再屬於個人數據，因此不受數據保護法的約束。歐盟法院的最新裁決與EDPS的立場相呼應，為企業在實踐中實現真正匿名化提供了更明確的法律基礎和操作空間。

對中資企業的潛在影響和戰略啟示

歐盟法院對“個人數據”定義的收窄，對在歐盟運營或與歐盟進行數據交換的中資企業具有重要的潛在影響和戰略啟示：

降低合規成本和風險：對於大量處理用戶數據，尤其是需要進行數據分析和挖掘的中資企業（如互聯網公司、電商平臺、智能制造企業等），如果能有效實施匿名化技術，將有望降低GDPR合規的複雜性和成本。通過將數據匿名化，企業可以避免GDPR對個人數據處理的嚴格要求，例如數據主體權利、數據保護影響評估（DPIA）、數據傳輸限制等，從而減少潛在的罰款風險和法律糾紛。
促進數據跨境流動：數據跨境流動一直是中資企業面臨的合規難題。如果數據經過有效匿名化處理，不再被視為個人數據，那麼其跨境傳輸將不再受GDPR第V章（數據傳輸）的嚴格限制。這將為中資企業在歐盟和中國之間，或與其他國家之間的數據交換提供更大的靈活性和便利性，有助於其全球業務的拓展。
提升數據治理能力：為了充分利用“個人數據”定義收窄帶來的機遇，中資企業需要投入更多資源，提升自身的數據治理能力。這包括建立健全的數據匿名化政策和流程、評估和選擇合適的匿名化技術、進行定期的匿名化效果評估和風險審計，以及培養專業的數據保護和匿名化人才。這將有助於企業構建更完善的數據保護體系，增強市場競爭力。
關注技術發展和監管動態：匿名化技術並非一勞永逸的解決方案，隨著技術的發展，原本被認為是匿名化的數據也可能面臨被重新識別的風險。因此，中資企業需要持續關注匿名化技術的最新進展，並密切跟蹤歐盟及各國數據保護機構（DPA）發布的最新指導意見和監管動態，確保其匿名化實踐始終符合最新的法律要求和技術標准。
加強合同條款審查：在與歐盟境內的合作夥伴簽訂數據處理協議時，中資企業應仔細審查合同中關於數據匿名化和假名化的條款，明確各方在數據處理中的責任和義務，確保合同約定與最新的法律裁決和監管要求保持一致。

合規建議

面對“個人數據”定義收窄的新趨勢，中資企業應積極調整數據處理策略，以確保合規並抓住發展機遇。以下是一些具體的合規建議：

重新評估數據資產：企業應全面梳理和評估其持有的數據資產，識別哪些數據屬於個人數據，哪些數據可以通過匿名化處理轉化為非個人數據。這需要對數據的來源、類型、處理目的和處理方式進行深入分析。
投資匿名化技術和人才：積極研究和引入先進的匿名化技術，如差分隱私、同態加密等，並結合自身業務場景進行定制化開發。同時，加強內部數據保護和匿名化專業人才的培養，提升團隊在數據匿名化設計、實施和評估方面的能力。
建立健全匿名化管理體系：制定詳細的匿名化政策和操作規程，明確匿名化處理的流程、標准和責任。定期對匿名化效果進行評估和審計，確保匿名化處理的有效性和持續合規性。這包括對匿名化數據的再識別風險進行評估，並采取相應的風險緩解措施。
加強法律和技術咨詢：鑒於數據保護法律法規的複雜性和動態性，企業應尋求專業的法律和技術咨詢服務，確保其數據匿名化實踐符合GDPR及其他相關法律法規的最新要求。律師事務所和專業技術服務商可以提供定制化的合規解決方案。
優化數據共享和合作模式：在與第三方進行數據共享或合作時，優先考慮使用匿名化數據。在無法完全匿名化的情況下，應確保采取充分的假名化措施，並簽訂嚴格的數據處理協議，明確各方的數據保護責任。
持續關注監管動態和判例：歐盟法院的裁決為“個人數據”的定義提供了新的解釋，但未來的監管實踐和判例仍可能對其進行進一步細化。中資企業應持續關注歐盟委員會、歐洲數據保護委員會（EDPB）以及各國DPA發布的最新指南和執法案例，及時調整合規策略。

結論

歐盟法院對“個人數據”定義的最新裁決，標志著GDPR在實踐中對數據分類的進一步細化。這一裁決為企業在數據匿名化處理方面提供了更明確的法律指引和更大的操作空間，有望降低合規成本，促進數據創新和跨境流動。對於中資企業而言，這既是挑戰也是機遇。企業應積極擁抱這一變化，通過投資匿名化技術、建立健全管理體系、加強專業咨詢和持續關注監管動態，將匿名化打造成為其數據戰略的核心組成部分，從而在日益複雜的數據保護環境中實現可持續發展和競爭優勢。

聲明

本文僅為交流探討之目的，不代表廣悅律師事務所或其律師出具的任何形式之法律意見或建議。如需轉載或引用本文的任何內容，請與本所溝通授權事宜，並於轉載或引用時注明出處。如您有意就相關業務進一步交流或探討，或需要專業的法律支持，歡迎與本所聯系。

WeChat

聯系人：葉文女士

期待與您的進一步交流！

廣悅律師事務所介紹

廣悅律師事務所成立於2008年，是一家立足大灣區，堅持一體化管理的涉外綜合性律師事務所。發展至今，廣悅建立了由上百位律師及其他法律服務人員組成的專業團隊，打造了多元化的業務體系，可以為客戶提供高品質、全方位、一站式的法律服務。秉承“立足灣區、協同港澳、面向世界”的發展戰略，廣悅已擁有廣州、中國香港、深圳，以及泰國曼穀、美國洛杉磯、澳大利亞悉尼、日本東京、意大利米蘭八個辦公室，客戶遍及境內外多個國家和地區。

供稿丨廣悅米蘭辦公室

編輯丨吳寶渲

審核丨蘇冰

審定丨品牌宣傳與市場拓展委