大数据时代,个人信息的收集无时无刻不在进行着,个人信息成为数据产业发展的关键要素。得益于个人信息的上传,用户可以享受到个性化的网络服务,同时也面临着人身和财产上的安全风险。去标识化通过有效地削弱信息与特定主体的关联性,使得个人信息主体在不借助额外信息的条件下无法被识别出,在数据处理实践中被普遍采用。为了使去标识化效果最优化,降低企业合规成本,有必要构建并完善个人信息去标识化法律制度。作为平衡信息主体与个人信息处理者之间利益冲突的有益尝试,个人信息去标识化法律制度应成为个人信息保护体系中的重要环节,并在此基础上真正建立分级分类的个人信息保护机制。此前学界的研究多集中在对匿名化效果的质疑,对域外匿名化制度内容的梳理,对个人信息分级分类保护必要性的论证,而有关去标识化如何成为分级分类保护体系的基础,以及我国个人信息去标识化制度应如何构建与完善的话题则较少被提及。本文将运用比较分析法、文献研究法以及规范分析法等法学研究方法,通过对比目前国内外个人信息去标识化制度以及匿名化等有关制度的主要内容,围绕去标识化的制度目标,探讨我国个人信息去标识化制度设计的重难点问题,包括去标识化所面向的个人信息类型,去标识化法律标准设定,个人信息处理者责任义务的分配,以及配套的监管措施,以期为日后去标识化制度的完善和落地提供参考。尽管个人信息去标识化在我国已有一定的理论和实践基础,但相关法律制度的构建仍处于初步探索阶段,存在许多问题,诸如法律标准不清晰、规范体系不完善、规制效力有限、行政监管不到位、自律机制欠缺等。对此,具体的制度设计应始终围绕平衡个人信息保护与数据流通的制度目标,明确适用去标识化的个人信息类型,确定去标识化法律标准,合理分配个人信息处理者的相关法律义务与法律责任,同时采用多元化的监管模式。文章第一部分对个人信息去标识化制度的基本问题进行梳理,包括基础概念的辨析、相关理论的研究以及我国现有法律框架的设计。基础概念部分旨在厘清“去标识化”的法律定义,与“匿名化”、“假名化”、“数据脱敏”等近似概念的区分,以及论述个人信息去标识化的必要性。理论研究部分旨在分析身份识别标准、隐私合理期待以及个人信息自决权等与去标识化制度构建密切相关的理论,探讨制度的理论基础。最后分析现行立法下的去标识化制度内容及其不足之处。第二部分将去标识化的对象分别按照用途、处理阶段和适用领域进行划分,结合数据生命周期理论分析何种个人信息需要进行去标识化处理以及不同类型的个人信息进行去标识化的不同要求。去标识化所针对的个人信息类型主要是即将投入使用的商用个人信息,因为该类个人信息的流通需求大,监管难度高,从而引致的信息安全风险也很大。对于金融、医疗领域的个人信息以及日益成为社会治理基础的个人行动轨迹信息,由于敏感程度比一般个人信息更高,保护需求更强,此类个人信息的去标识化应达到更高的标准,后续处理行为的限制也更加严苛。第三部分根据国内外有关去标识化立法情况讨论去标识化的法律标准构建问题。去标识化标准的确定能够为去标识化效果评估提供指引,既有利于企业去标识化的有序实施,也便于政府监管活动的顺利开展。借鉴域外立法的有益经验,去标识化标准的设计应当以识别能力为核心,重视对重标识风险的评估,将数据本身的识别概率以及个人信息处理的环境因素等考虑在内。对于专业性较强的重标识风险计算方法,未来应提供通俗化的解释,以便在个人信息处理活动、监管部门评估等实际操作中的理解和适用。第四部分讨论去标识化制度下个人信息处理者法律义务及法律责任的分配以及监管模式的转变。赋予相关个人信息处理主体合理的法律义务以及采用混合监管模式是增强制度效力、促进制度落地的重要手段。对于法律义务的分配应当区分一般个人信息处理者和高风险去标识个人信息处理者。特大平台由于在个人信息处理数量、处理技术、收集渠道等各方面具有巨大优势,所以应当承担有别于一般个人信息处理者的特殊义务。在监管模式方面宜采多元化的监管手段,如行政处罚、行业自律、增设第三方认证机制等。