《中华人民共和国个人信息保护法》（下称《个人信息保护法》）历经三次审议及两次公开征求意见后，由第十三届全国人民代表大会表决通过，正式于2021年11月1日起施行。《个人信息保护法》在当前网络环境中个人信息不断被非法获取、滥用的背景下出台，完善了我国在网络安全和数据保护领域的顶层设计，作为个人信息保护领域的基础性法律，与《数据安全法》、《网络安全法》、《密码法》共同构建了我国数据治理法律框架，是我国数字经济时代重要法律基石。
《个人信息保护法》规定了对个人信息处理的保护要求及各方的责任与权力，其中个人信息处理者负有个人信息安全保护的主体责任。这就意味着将有更多的信息处理者需要用密码技术来约束数据处理，密码技术的应用领域将被拓宽。个人信息处理者在个人信息的处理中，将用到数据加密、数据去标识化、数据匿名化、数据防篡改等技术，密码技术的引入将使个人信息的处理应用更规范，推动数据的安全应用。
一、《个人信息保护法》对于个人信息处理的相关法律规定
《个人信息保护法》第四条指出：“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。”第五十一条规定了通过加密、去标识化等安全技术措施保护信息。第七十三条专门解释了去标识化和匿名化两种信息保护技术的含义。根据《个人信息保护法》的要求，以及《信息安全技术个人信息安全规范》GB/T 35273-2020的相关规定，对个人信息进行处理时应以密码技术为基础，实现数据存储、传输、处理中的加密与防篡改要求、实现个人信息去标记化和匿名化要求。以数据去标记化和匿名化实现数据脱敏或有条件脱敏，扩大数据的安全应用范围，推动个人信息的安全应用。
相关法律条文：
第五十一条
个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取下列措施确保个人信息处理活动符合法律、行政法规的规定，并防止未经授权的访问以及个人信息泄露、篡改、丢失：
（三）采取相应的加密、去标识化等安全技术措施；
第七十三条
（三）去标识化，是指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程。
（四）匿名化，是指个人信息经过处理无法识别特定自然人且不能复原的过程。
二、《个人信息保护法》下的密码技术
1
数据加密
《个人信息保护法》把加密作为一个安全技术措施点名提出。数据加密是最常用的信息保护技术，用来防止信息泄漏或非法获取。
常见的数据加密场景包括数据库加密、文件加密、磁盘加密、传输加密等。
02
去标识化
《个人信息保护法》在要求安全保护的同时，也提出了“促进个人信息合理利用”，定义了“去标识化”这一实现方法，并作为安全技术措施提出。
去标识化是指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程。通过去标识化的个人信息，可以支持对个人信息的处理，同时也保护了个人信息与个人的对应关系，避免对个人产生不利影响。
采用数据去标识化技术既可以处理数据，又实现个人信息保护。去标识化的数据处理，由于满足个人信息的保护要求，因此在信息处理应用上场景用途会更加广泛。
举例：
支付标记化，实现了支付信息对交易平台的个人隐私保护，和交易信息对支付平台的个人隐私保护，但是支付结果却是安全可信的。
车联网假名证书，实现了车车协同、车路协同中车辆个人信息的隐私保护，同时也保证了车辆身份的可信性。
03
数据匿名化
匿名化，是指个人信息经过处理无法识别特定自然人且不能复原的过程。数据匿名化处理后，不再属于个人信息，可以公开并处理。因此匿名化处理，可以解放个人信息的大量使用场景。举例来说，海量的网上购物交易信息，在非匿名化的情况下可以被用来“用户画像”，从而出现大数据杀熟等不公平现象；而匿名化的网上购物交易信息，可以被交易平台用来统计分析改进整体交易服务，但不会针对个人出现宰客杀熟问题。
《个人信息保护法》中在第四条规定了匿名化之后的信息不再属于个人信息范畴，这一规定在规范个人信息使用的同时扩展了个人信息处理的方法，将推动个人信息的利用。
匿名化的技术手段和去标识化的手段类似，采用假名、屏蔽、泛化、随机化等方式。匿名化与去标识化的不同之处在于匿名化要求是不应从匿名数据识别出特定个人，而去标识化在特定条件下是可识别个人的。
04
防篡改
《个人信息保护法》五十一条还点名了个人信息的“篡改”问题。个人信息处理者需要保证其所处理的个人信息保证其完整性、真实性和不可否认性。一般来说，在信息的存储和传输中最容易出现非法篡改的问题，需要通过数字指纹、数字签名等密码技术来实现。
技术分享：标识化和匿名化的相关密码技术
传统数据加密：通过数据加密，实现数据无法与个人关联。
假名化：通过不可逆的加密运算如哈希运算，或其他密码方案，利用个人信息产生假名标识，并用假名标识代替用户的唯一标识参与信息处理，从而避免用户个人信息的泄漏。密码技术是假名化的技术基础。金融行业的“支付标记化”和车联网中的“假名证书”都属于假名化技术。
同态加密：信息在密文状态下进行处理，处理后的结果被解密为明文后正是明文数据同样处理后的对应结果。由于在密文状态下进行数据处理，可以实现信息处理过程中的数据保护。在云计算、大数据、区块链等场景非常适合。同态加密正处于迅速发展当中。
安全多方计算：基于多方数据协同完成计算，除计算结果及其可推导出的信息之外，不泄露各方隐私数据。
数据屏蔽清洗：删除信息的直接标识或部分、删除信息的部分记录，使通过该信息无法识别到特定个人。
数据泛化：对数据集中的记录进行抽象概括的描述，例如数值的取整、平均等，使数据对应多个记录，提升利用数据识别到个人的难度。
数据随机化：通过对信息进行随机性的修改或置换，隐藏实际的个人信息，使无法通过数据识别到个人。
数据合成（测试数据准备）：利用真实数据，通过随机化、抽样等产生合成数据，用于产生测试数据。
注：以上内容来源于"信安世纪"，版权归作者所有。
关键词： 《个人信息保护法》下的密码技术 个人信息保护法 密码技
