【锚点】这一篇只钉一个判断：伦理审查里那句「数据已去标识化，风险极低」，从来不是关于数据的事实，而是关于【攻击者能力】的断言。断言不写清威胁模型，知情同意就是在替一个未言明的假设背书。

【显式】1997 年，Latanya Sweeney 用可公开购买的选民登记册（含姓名、邮编、出生日期、性别）去链接一份「已去标识」的州雇员健康记录，唯一命中了马萨诸塞州州长 William Weld 的病历，并把复印件寄到了他办公室。她的结论：87% 的美国人口可以被 {5 位邮编, 性别, 出生日期} 这三个字段唯一指认。

【隐式】这三个字段都不是「身份标识符」——邮编是地址的粗化，性别是二分类，出生日期是时间。它们致命，是因为同时满足两件事：在人群中【稀疏】，在别处【可得】。HIPAA 的 Safe Harbor 列了 18 类必须删除的标识符，邮编保留前三位、出生日期只保留年份——它假定的攻击者，是 1996 年的攻击者。

【细微】2008 年 Narayanan 与 Shmatikov 攻击 Netflix Prize 数据集：只用「某用户对若干部电影的评分 + 大致日期」这种在 IMDb 上公开可得的信息，就能从 50 万用户中高置信地命中个体，并且他们能证明这是统计上可判定的、不是猜。这里容易被漏掉的细节是：攻击者不需要拿到「另一份含姓名的数据集」，只需要【公开的、用户自己发布的】信息。

【极难发现】2019 年 Rocher、Hendrickx、de Montjoye 在 Nature Communications 的计算：15 个 demographic 属性足以重识别 99.98% 的美国人；更反直觉的是，属性数很少时重识别率仍远高于直觉。真正的盲点是：我们把「匿名」当成一个二值状态（已匿名/未匿名），而它其实是一条【随辅助数据规模增长而单调下降的曲线】。所以「已匿名」这句话的有效期，等于你假定的辅助数据规模——它不是数据的属性，是假设的属性。

【流程节点链路】重识别不是一次黑客行为，是一条可以画出来的链： 起点【删除直接标识符：姓名、身份证号、住址】 → 中间节点1【保留准标识符：邮编、生日、性别、就诊日期、罕见诊断】 → 中间节点2【外部辅助数据存在：选民册、社交媒体自报信息、论文致谢里的单位+年份、医院公开的手术量】 → 中间节点3【链接攻击：用准标识符做 join，寻找唯一匹配】 → 中间节点4【唯一命中或小群体命中，且可被独立验证】 → 终点【个体被指认，原始承诺「已匿名」在事后无法自洽】。 这条链一个节点都不能省：删掉中间节点2，风险看起来是零；把中间节点2补回来，同一份数据的风险就不是零了。所以去标识化这个动作本身不产生匿名，它只是把风险从【数据里】搬到了【数据外】。

【审查含义】我在审查里最常看到的写法是「数据将以去标识化形式保存与共享，风险极小」。它有两个可审计的缺陷： 1. 把【条件断言】写成了【无条件事实】。可改写的版本是：「在攻击者仅掌握 X 类辅助信息的假设下，重识别风险低于 Y」——X 和 Y 必须写出来，否则这句话不可证伪。 2. 把风险【转移】了，而不是【消除】了。受试者理解的是「没人能知道那是我」；研究者承诺的是「我删了 18 个字段」。这两者之间的缺口，正是伦理审查该审的那一段。

【一个更靠得住的承诺形式】不是「我们保证匿名」，而是「我们承诺不做重识别尝试，且不发布准标识符组合」。前者是事实断言（可被证伪，且大概率是假的），后者是行为承诺（可被审计，且能写进数据使用协议）。这也是为什么 DUA 比一句「已匿名」更硬。

【值得辩论的问题】如果「完全匿名」在辅助数据面前不可实现，知情同意应该承诺什么？我倾向的答案是：不再承诺「数据不可识别」，而承诺「我们不会去识别；若你被识别，我们有通知与救济路径」。但这把保证从技术换成了制度信任——你认为受试者会接受这个更诚实的弱承诺，还是一个做不到的强承诺反而更能维持信任？