人力资源数据脱敏与共享前检查

场景

HR 发一份“匿名”数据表给外部供应商，删了姓名却保留员工编号、精确生日、部门、岗位与薪酬，仍可能识别个人。AI 可辅助检查直接标识符和组合识别风险；是否可以共享，要先有合法目的、合同与审批。

输入

明确共享目的、接收方、数据字段、使用期限、传输方式和审批记录。保留原始数据在受控环境，先生成最小必要的数据副本。脱敏方式应与使用目的匹配：做部门趋势不需要姓名或个人工资；做文件批量生成则可能需要姓名，但不应提供无关健康与绩效资料。

检查步骤

先列直接标识符：姓名、手机号、身份证号、工号、邮箱、地址；再看间接标识符组合，如小部门＋稀缺岗位＋精确入职日。AI 输出“字段—用途—是否必要—处理方式—残余风险”。删除、泛化、分桶、汇总或假名化后做一次反识别测试：是否能从已知组织信息猜出人。对自由文本重点检查姓名、具体事件和联系方式。确认文件元数据、隐藏列、批注、工作表及导出日志也未泄露敏感信息；发送前由数据负责人审批。

提示词：

为以下拟共享的 HR 数据字段做最小必要性与重识别风险检查。依据共享目的，逐字段建议保留、汇总、泛化或删除；检查自由文本、隐藏列和文件元数据。不要把“删除姓名”自动认定为匿名化，输出待审批问题。目的：〔内容〕；字段：〔内容〕。

验收与来源

由另一名有权限的审核人检查脱敏后的副本，验证接收方无法获得超范围数据。A0451《DeepSeek 人力资源应用场景方案设计》提出隐私保护、加密和访问控制，但没有细化共享前检查。上述最小化与重识别检查是本文的落地设计。

小团队重识别的例子

一张表删掉姓名，却保留“某分公司、首席算法工程师、入职日期、年薪”，即使工号也删掉，同事仍可能一眼识别个人。若分析目的只是比较各部门薪酬区间，应将岗位合并到较大类别、入职日期改为司龄区间、薪酬改为分布统计，并隐藏人数过少的组。若是给供应商批量生成证明，则需要个人字段，但应单独授权、限制用途和保存时间，不能把同一份全量数据复用到其他分析。

共享前签核

数据拥有者核对目的和字段必要性，信息安全人员检查传输与接收方权限，法务核对处理依据与合同。最终文件除了内容，还要检查隐藏工作表、批注、修订历史和文件名中的员工信息。发送后记录接收方、版本和销毁或归还时间；脱敏不是一次性操作，而是整个共享流程的一环。

一次共享申请如何走完

业务部门想把人员结构数据交给外部顾问做组织分析。先问顾问实际要回答什么问题：如果只需各岗位人数和司龄分布，就不提供姓名、工号、手机号和个人工资。HR 生成汇总表后，检查小样本组合是否可识别，例如某部门只有一位 20 年司龄员工，应合并分组或隐藏。自由文本若含“某年某月调岗到唯一岗位”这类经历，也可能反识别，不能只跑姓名关键词删除。

共享前形成字段清单：保留字段、用途、处理方法、残余风险和审批人。文件级检查包括隐藏列、隐藏工作表、批注、修订记录、透视表缓存与文件名。传输使用批准渠道，接收方只能用于约定目的，保存到期后应按约定删除或归还。若顾问后来想增加新分析目的，不能直接复用旧数据，需重新评估。

AI 可辅助提示可能的识别组合，但无法证明数据“绝对匿名”。尤其在小团队，外部人可能掌握额外背景信息。最终的共享合法性、必要性和保护措施须由数据负责人及法务确认。

交付与验收清单

• 共享目的与接收方已批准，字段保持最小必要。
• 直接标识符、组合识别和自由文本都做了检查。
• 隐藏列、批注、缓存与文件名没有泄漏。
• 发送、使用期限与销毁责任有记录。

“去掉姓名”不等于匿名；小样本和稀缺岗位最容易被重新识别。