CONTENTS
- 1. 个人信息保护 | 指南修订背景
- 2. 个人信息保护 | 主要修订事项
- - 引入基于风险度的判断体系
- - 程序及文件的差异化
- - 反映AI开发环境
- - 改善非结构化数据处理标准
- 3. 个人信息保护 | 实务上的核心争点
- - 企业应对战略
- - 企业实务检查清单
- - 启示及风险管理方向
1. 个人信息保护 | 指南修订背景
个人信息保护委员会于2026年3月31日发布了《假名信息处理指南》的全面修订。
本次修订虽然并非法律本身的变更，但由于从根本上重新整顿了关于假名信息处理特例在实务中应如何设计、审查及文档化的实务标准，因此对企业、公共机构、AI开发公司整体产生直接影响。
尤其是，本次修订的核心在于摆脱以往形式化、一刀切的运营方式，转向基于风险度的判断体系。
据此，今后企业应将为保护个人信息而进行的假名处理作为整个数据治理体系的问题来对待。
本次全面修订是反映了现场持续提出的实务问题而进行的。
个人信息保护委员会以50家AI企业及1,441家公共机构为对象进行了实态调查和深度访谈，并指出了以下主要问题。
- 风险性判断标准的模糊性
- 过度的文档编制及程序负担
- AI开发环境与监管标准之间的脱节
- 视频、图像、文本等非结构化数据全量检查的负担
以往即使是相同的事项，也常因机构或负责人不同而结论各异，实务人员因责任负担而存在与实际风险无关地保守运营的倾向。
本次修订改善了这种结构，转向了兼顾数据利用现实与再识别风险的体系。
2. 个人信息保护 | 主要修订事项
本次主要修订事项如下。
项目 | 此前问题 | 修订内容 | 实务意义 |
风险度判断 | 各机构判断偏差 | 引入利用主体、处理环境标准 | 确保判断一致性 |
程序及文件 | 过度的文档要求 | 按风险度差异化 | 降低低风险成本 |
AI开发 | 目的、期间僵化 | 可扩展目的、灵活期间 | 可实现模型升级 |
非结构化数据 | 全量检查负担 | 允许抽样检查 | 可处理大量数据 |
文档体系 | 混杂的结构 | 主卷/附卷分离 | 改善实务可及性 |
引入基于风险度的判断体系
最重要的变化是风险度判断标准的标准化。
以往是将风险要素逐一列举进行评估的方式，而修订后则以以下两项标准为中心进行判断。
据此，确立了如下结构。
区分 | 判断标准 | 风险度 |
同一个人信息处理者内部利用 | 无对外提供，内部分析、结合 | 低风险 |
向第三方提供 + 可控环境 | 分析空间等可控 | 中风险 |
向第三方提供 + 不可控环境 | 对外导出等 | 高风险 |
程序及文件的差异化
- 表格数量：由24种缩减至10种
- 低风险：最少文件及负责人审查
- 中、高风险：分阶段深度审查
这是一种旨在降低低风险项目准入门槛的同时，对高风险项目进行更为精细管理的结构设计。
反映AI开发环境
- 允许设定可扩展的目的
- 处理期间灵活化
- 可进行反复学习及模型升级
随着以往僵化的目的限制得到放宽，AI项目设计的实务可用性得到大幅改善。
改善非结构化数据处理标准
- 允许由全量检查转为抽样检查
- 反映视频、音频、文本等大量数据处理的现实
但是，检查方式的选择理由、样本设计、补充措施、记录保管等举证责任得到进一步强化。
3. 个人信息保护 | 实务上的核心争点
本次修订的核心在于，将假名信息处理视为一个全过程管理体系而非单纯的技术。
企业应能够说明以下事项。
尤其是，风险度并非固定值，而是随项目设计而变动的要素。
- 内部利用 → 基本上为低风险
- 对外提供 → 风险度随控制水平而上升
- 非结构化数据 → 基本上为高风险要素
因此，事先分类与调整理由记录预计将成为核心合规要素。
企业应对战略
随着本次变化，企业应制定如下应对战略。
法务、合规组织
- 对数据利用项目进行全量重新分类
- 审查是否属于假名信息处理特例对象
- 目的表述具体化（AI学习 → 细分至模型、指标单位）
数据、AI组织
- 以非结构化数据=高风险为前提进行设计
- 构建抽样检查设计及记录体系
- 分离学习数据与服务输出
安全、IT及业务部门
- 重新设计对外提供结构
- 检查受托方合同结构
- 构建访问权限、日志管理、导出控制体系
企业实务检查清单
以下项目是企业内部实际检查时可利用的标准。
数据利用及风险度管理
- 是否有各项目风险度事先分类标准
- 是否区分内部利用与对外提供
- 是否已确保可控的分析环境
假名处理及检查体系
- 是否有假名处理方式适当性的审查标准
- 是否有针对非结构化数据的单独检查体系
- 抽样检查设计及补充程序是否已文档化
文档及举证体系
- 确保目的设定的具体性（模型、指标单位）
- 记录风险度判断依据
- 保管审查及批准程序记录
合同及对外提供结构
- 在受托方合同中反映个人信息保护条款
- 构建导出控制及访问权限管理体系
- 确保日志记录及事后追溯可能性
启示及风险管理方向
本次修订传达了如下信息。
数据利用得以扩大，但证明该利用正当性与安全性的责任得到强化。
低风险事项的简化、AI目的扩展、允许抽样检查等无疑属于监管放宽，但这仅对具备可说明的风险管理体系的企业产生有利作用。
修订后的指南并非仅凭技术性应对即可解决的问题，假名信息处理的适当性最终归结为法律上的可说明性问题。
大倫律師事務所在企业数据利用的全过程中提供如下咨询。
尤其在数据、IT、法务相结合的议题上，通过提供同时理解技术与法律的一体化咨询体系，能够确保实务应对能力。
如在相关事项中需要帮助，敬请通过本法人🔗法律咨询预约进行咨询。
