《個人信息保護法》下的密碼技術
《中華人民共和國個人信息保護法》（下稱《個人信息保護法》）歷經(jīng)三次審議及兩次公開征求意見后，由第十三屆全國人民代表大會表決通過，正式于2021年11月1日起施行。《個人信息保護法》在當前網(wǎng)絡環(huán)境中個人信息不斷被非法獲取、濫用的背景下出臺，完善了我國在網(wǎng)絡安全和數(shù)據(jù)保護領域的頂層設計，作為個人信息保護領域的基礎性法律，與《數(shù)據(jù)安全法》、《網(wǎng)絡安全法》、《密碼法》共同構建了我國數(shù)據(jù)治理法律框架，是我國數(shù)字經(jīng)濟時代重要法律基石。
《個人信息保護法》規(guī)定了對個人信息處理的保護要求及各方的責任與權力，其中個人信息處理者負有個人信息安全保護的主體責任。這就意味著將有更多的信息處理者需要用密碼技術來約束數(shù)據(jù)處理，密碼技術的應用領域將被拓寬。個人信息處理者在個人信息的處理中，將用到數(shù)據(jù)加密、數(shù)據(jù)去標識化、數(shù)據(jù)匿名化、數(shù)據(jù)防篡改等技術，密碼技術的引入將使個人信息的處理應用更規(guī)范，推動數(shù)據(jù)的安全應用。
一、《個人信息保護法》對于個人信息處理的相關法律規(guī)定
《個人信息保護法》第四條指出：“個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，不包括匿名化處理后的信息?！钡谖迨粭l規(guī)定了通過加密、去標識化等安全技術措施保護信息。第七十三條專門解釋了去標識化和匿名化兩種信息保護技術的含義。根據(jù)《個人信息保護法》的要求，以及《信息安全技術個人信息安全規(guī)范》GB/T 35273-2020的相關規(guī)定，對個人信息進行處理時應以密碼技術為基礎，實現(xiàn)數(shù)據(jù)存儲、傳輸、處理中的加密與防篡改要求、實現(xiàn)個人信息去標記化和匿名化要求。以數(shù)據(jù)去標記化和匿名化實現(xiàn)數(shù)據(jù)脫敏或有條件脫敏，擴大數(shù)據(jù)的安全應用范圍，推動個人信息的安全應用。
相關法律條文：
個人信息處理者應當根據(jù)個人信息的處理目的、處理方式、個人信息的種類以及對個人權益的影響、可能存在的安全風險等，采取下列措施確保個人信息處理活動符合法律、行政法規(guī)的規(guī)定，并防止未經(jīng)授權的訪問以及個人信息泄露、篡改、丟失：
（三）采取相應的加密、去標識化等安全技術措施；
（三）去標識化，是指個人信息經(jīng)過處理，使其在不借助額外信息的情況下無法識別特定自然人的過程。
（四）匿名化，是指個人信息經(jīng)過處理無法識別特定自然人且不能復原的過程。
數(shù)據(jù)加密
去標識化
數(shù)據(jù)匿名化
防篡改
《個人信息保護法》五十一條還點名了個人信息的“篡改”問題。個人信息處理者需要保證其所處理的個人信息保證其完整性、真實性和不可否認性。一般來說，在信息的存儲和傳輸中最容易出現(xiàn)非法篡改的問題，需要通過數(shù)字指紋、數(shù)字簽名等密碼技術來實現(xiàn)。
技術分享：標識化和匿名化的相關密碼技術
-
傳統(tǒng)數(shù)據(jù)加密：通過數(shù)據(jù)加密，實現(xiàn)數(shù)據(jù)無法與個人關聯(lián)。
-
假名化：通過不可逆的加密運算如哈希運算，或其他密碼方案，利用個人信息產生假名標識，并用假名標識代替用戶的唯一標識參與信息處理，從而避免用戶個人信息的泄漏。密碼技術是假名化的技術基礎。金融行業(yè)的“支付標記化”和車聯(lián)網(wǎng)中的“假名證書”都屬于假名化技術。
-
同態(tài)加密：信息在密文狀態(tài)下進行處理，處理后的結果被解密為明文后正是明文數(shù)據(jù)同樣處理后的對應結果。由于在密文狀態(tài)下進行數(shù)據(jù)處理，可以實現(xiàn)信息處理過程中的數(shù)據(jù)保護。在云計算、大數(shù)據(jù)、區(qū)塊鏈等場景非常適合。同態(tài)加密正處于迅速發(fā)展當中。
-
安全多方計算：基于多方數(shù)據(jù)協(xié)同完成計算，除計算結果及其可推導出的信息之外，不泄露各方隱私數(shù)據(jù)。
-
數(shù)據(jù)屏蔽清洗：刪除信息的直接標識或部分、刪除信息的部分記錄，使通過該信息無法識別到特定個人。
-
數(shù)據(jù)泛化：對數(shù)據(jù)集中的記錄進行抽象概括的描述，例如數(shù)值的取整、平均等，使數(shù)據(jù)對應多個記錄，提升利用數(shù)據(jù)識別到個人的難度。
-
數(shù)據(jù)隨機化：通過對信息進行隨機性的修改或置換，隱藏實際的個人信息，使無法通過數(shù)據(jù)識別到個人。
-
數(shù)據(jù)合成（測試數(shù)據(jù)準備）：利用真實數(shù)據(jù)，通過隨機化、抽樣等產生合成數(shù)據(jù)，用于產生測試數(shù)據(jù)。
（來源：信安世紀）
