问卷删除姓名、手机号和邮箱后，仍保留精确年龄、岗位、办公地、任期、提交时间与一段经历描述。对陌生公众，这些字段未必马上指向谁；对知道组织架构、排班或最近事件的同事，组合起来可能只有一个人。匿名不是“没有姓名”这一项配置，而是特定数据在特定接收者、外部信息和发布条件下，识别个人的可能性是否已降到足够低。
发布前应把风险拆成四问：某个字段能否直接指向个人，若干字段能否组合出唯一记录，接收者能否用名册、社交媒体或内部知识连接身份，开放回答是否泄露独特事件。只做关键词删名会漏掉后面三类。结果不是所有字段一律删除，而是先确定谁需要什么分析，再在删除、泛化、抑制、随机化与受控访问之间选择。
本文讨论的是研究数据治理方法，不提供具体法律结论。ICO 指导适用于其监管语境，且页面提示因英国法律变化正在复审；HIPAA 去标识化指导有明确的美国医疗适用边界。中国项目仍需由组织的法务、隐私、安全和研究伦理负责人根据当前法规、合同、参与者承诺与实际数据流审查。
同一张表在不同人手里，身份风险不一样
先写清发布模型。项目运营数据可能需要唯一邀请、激励或回访，因此研究方能连接个人，更准确的做法通常是把身份表和回答表分离、限制权限，并称为保密或假名化处理。受限分析副本只交给指定分析人员，可通过合同、访问日志、禁止下载和安全环境降低风险。公开数据或报告一旦被复制几乎无法收回，必须按公众可能取得的资料与长期技术变化采用更强的匿名化标准。
ICO 的现行指导把这称为与发布模型相连的识别风险评估：内部使用、向明确接收者提供和公开发布的风险不同；还要问其他人掌握哪些额外信息。组织若保留可连接身份的原表或映射表，分析副本即使使用随机编号，也不能因为“代码看不懂”就宣称在组织内部已经匿名。代码替换降低暴露，却没有消除连接能力。
建立逐字段四列审计，而不是只搜姓名
| 检查面 | 要问的问题 | 问卷例子 | 常见处理 |
|---|---|---|---|
| 单独识别 | 字段本身能否定位或联系一个人 | 姓名、手机号、完整地址、账号、唯一链接 | 不收、分库存放、令牌化、严格限权 |
| 组合识别 | 几个看似普通字段合起来是否只剩一人 | 精确年龄＋小部门＋岗位＋任期 | 分箱、合并类别、删除稀有值、抑制记录 |
| 外部链接 | 接收者能否从其他资料补上姓名 | 公司名册、排班、公开履历、事件新闻 | 减少共同键、改变精度、限制接收者和用途 |
| 内容识别 | 文本、音视频或附件是否暴露独特情境 | “我负责上周某客户停机事故” | 人工复核、概括、改写非必要细节、停止逐字引用 |
审计对象不能只限于研究题目。提交时间、IP 或设备日志、渠道参数、邀请批次、导出文件名和版本历史也可能成为连接键。字段是否敏感与是否可识别是两个维度：一个普通岗位名称在万人组织里可能无害，在三人团队里却能直接单列；一条健康答案本身不命名个人，但一旦连接身份，后果可能很高。
24 份答卷算例：删名以后仍有一条唯一组合
以下为完全示意数据。某公司公开一份 24 人的工作体验数据，删除姓名，只保留地区、部门、年龄段、任期段、体验评分和开放回答。研究人员检查发现，“东区＋采购＋50—59 岁＋任期 15 年以上”只对应一条记录；公开员工介绍又显示该地区只有一位资深采购负责人。即使评分表里没有姓名，组合字段已经提供了连接路径。
团队先把年龄改成“40 岁以上”、任期改成“10 年以上”，但该记录在“东区＋采购＋40 岁以上＋任期 10 年以上”中仍是唯一。于是进一步将地区合并为大区，并对无法形成足够共同组合的部门停止发布行级记录，只保留更高层聚合。假设处理后，每种公开准标识组合至少有 5 条记录，可以说数据满足本项目预设的示意 k＝5 规则；这不等于获得匿名保证。
k-匿名只检查每条记录是否能在所选属性上与至少 k－1 条记录混在一起。若同一组 5 人的敏感答案全是“正在接受纪律调查”，外部人员即使分不出具体哪一行，也可能推断这 5 人都具有该属性；若遗漏了开放文本或新的外部名单，原先的共同组也会失效。ICO 明确提醒，k-匿名会受到同质性与背景知识攻击影响，变量很多时尤其脆弱，因此阈值只能作为一项诊断，不能替代情境评估。
开放回答不能靠批量姓名替换完成匿名化
“产品经理王某”可以替换成“某员工”，但“去年并购后唯一从原公司转来的财务负责人”仍可能直接指向一个人。文本中的精确日期、罕见病情、独特投诉、项目代号、家庭关系、写作自称和第三方姓名都可能成为线索。HHS 的去标识化指导同样指出，标识信息既可能存在于结构化字段，也可能出现在自由文本；叙事包含丰富上下文时，即使没有显式姓名也可能便于识别。
对每段准备外发的文本，可按下面的顺序复核：
- 标出直接身份、联系方式、精确地点和日期；
- 标出稀有岗位、唯一事件、关系网络和公开可搜索短语；
- 判断逐字措辞是否为结论所必需，若不是就概括机制而非保留故事装饰；
- 从目标接收者视角尝试搜索与连接，而不是只让原作者凭直觉判断；
- 无法把识别风险降到可接受程度时，不发布原话，以主题计数或受控访问替代。
自动识别姓名、电话和地址可以做初筛，但不应替代人工情境判断。模型也可能漏掉隐喻、错别字和领域代号，或为了“保留语义”留下恰好最独特的细节。高风险文本要由理解研究背景与外部信息的人复核，并保留修改理由。
数据越细，不一定越有分析价值
每个字段都要回到决策用途。若结论只比较新老用户，收精确注册日没有必要；若只需看省级差异，城市与门店编号会增加连接风险；若任期的分析假设是“是否经历完整年度周期”，按月记录不会增加关键解释。先定义最低可用精度，再收集和导出，可以少做一次事后破坏性删改。
泛化会损失细分能力，抑制会减少样本，随机噪声会改变个体值，置换可能破坏变量关联。选择技术时要同时记录风险与用途：需要公开总体分布时可以考虑适当随机化；需要保持相关结构时，受控分析环境可能比对所有字段加噪更合适；只需发布结论时，不应为了“开放数据”默认提供行级副本。
用“有动机的识别者”做一次发布演练
ICO 建议考虑一个有动机、具备合理能力、能使用互联网、公开记录和询问技巧的人。问卷团队可以把它变成桌面演练：先指定目标接收者，列出其可能掌握的名册、社交资料、新闻、日程和组织知识；再尝试从稀有组合、极端值、开放原话与跨表总计中找到具体对象。测试者最好不是生成数据副本的同一个人，因为后者容易忽略自己熟悉的盲点。
演练不要求穷尽所有理论攻击，也不能因一次没找出姓名就证明安全。它回答的是：在当前技术、成本、时间、接收者和数据价值下，哪些识别路径是合理可能的；若风险仍然过高，就继续降低精度、缩小访问范围或停止发布。新数据源公开、用途改变、接收者扩大或技术更新时，要重新评估，不能把一次审计当永久认证。
把结果分成三个可兑现的层级
采集层如确实需要激励或回访，可以明确说明身份可连接，并把邀请、联系方式和答案分区保存。分析层使用随机研究标识、最少必要字段与角色权限，禁止把明细交给无研究需要的管理者。发布层只输出足以支持决策的聚合、区间和经复核文本，检查小单元、差分推断与多次发布的拼图效应。
对参与者的准确表述可以是：“本调查不在答卷中直接询问姓名，但唯一邀请与联系方式由独立名单管理；指定研究人员在必要时可连接记录。分析副本移除直接标识并降低稀有组合精度，管理者只接收达到报告规则的聚合结果。”如果实际流程仍可连接身份，就不要使用“任何人都无法知道是谁”这样的承诺。
问卷派可承载匿名入口或定向邀请、字段收集、分支和数据导出；项目是否真正匿名取决于链接、日志、外部名单、权限和发布方式的完整组合。设计数据表时可结合调查数据库结构分离身份与答卷，涉及访谈媒介和同意时阅读AI 访谈隐私与知情同意，员工场景则用员工敬业度调查中的小单元与补数检查扩展发布审计。