AI星辰电台 Vol.129 | EDPB发布匿名化指南 FTC罚租户筛查公司225万 挪威澄清查阅权
欢迎收听《AI星辰电台》。本期聚焦三条从不同方向完善数据保护基础设施的新闻：EDPB 发布本月第二份重磅指引——匿名化指南，为数据在 GDPR 框架内合法流通提供技术路径；FTC 对租户筛查公司 RentGrow 开出 225 万美元罚单，揭示自动化数据聚合的四项系统性缺陷；挪威数据保护局主动发布查阅权细化指引，回答了一个高频但常被忽略的问题。
这一期的共同主线是：数据保护治理正在从"有没有规则"进入"规则怎么用"——匿名化不再是模糊概念而是有测试标准，执法不只是罚钱而是系统层面的程序整改，个人权利不靠口号而靠一线响应能力。
节目导航
1. EDPB 发布《匿名化指南》公开征求意见
核心进展
EDPB 7 月 7 日通过 Guidelines 02/2026 on Anonymisation （版本 1.0），进入公开征求意见阶段。这是继同一天通过的爬取指南（Guidelines 03/2026）之后，EDPB 本月发布的第二份重要指引。如果把爬取指南理解为"怎么合规地获取数据"，匿名化指南就是"怎么合规地让数据退出 GDPR 管辖"。
背景/关键逻辑
指南的核心法律立场： 匿名必须从每个相关实体的视角分别评估 。对 A 方是匿名的数据，对 B 方可能不是——因为 B 方可能拥有额外的数据集、更强的技术能力或通过第三方可获取的识别手段。EDPB 对"手段"（means）做广义解释，包括通过第三方可获取的手段。
两套评估路径：
路径
特点
适用场景
情境路径
(Contextual)
考虑每个接收方实际识别能力差异，完全反映法律标准
需要精确法律判断的场景
简化路径
(Simplified)
假设最坏情况，所有接收方同等能力，更保守但更方便
快速初筛、提高置信度
两套路径可以混用——用简化路径做初筛，用情境路径做精细确认。
三项测试标准：
No Record Isolation
：单条记录不能被孤立识别出具体个人
No Linkage
：不能通过关联外部数据集识别
No Inference
：不能通过推断确定身份
三项全部通过——数据安全匿名。任何一项失败——需要进一步分析是否仍可能被视为匿名。
EDPB 特别指出 高维度、高分辨率的记录级数据 更容易被重识别。这对 AI 训练数据的匿名化有直接含义：字段越多、颗粒度越细，即使删了姓名和身份证号，重识别风险仍然很高。
企业合规观察
如果你的数据匿名化策略目前只有"删掉直接标识符"——指南明确告诉你不够。需要做重识别风险评估、明确数据接收方及其能力、测试三项标准。
简化路径降低了合规门槛——企业可以先用保守假设做评估，不需要对每个接收方都做精细分析。
匿名化指南与爬取指南是一对配套工具：爬取 → 数据最小化处理 → 匿名化。建议企业将两份指南一起纳入数据治理框架。
指南仍为草案，趁征求意见阶段提交反馈——尤其是对三项测试标准在实际业务场景中适用性的意见。
2. 美国 FTC 对租户筛查公司 RentGrow 开出 $2.25M 罚单
核心进展
FTC 指控租户筛查公司 RentGrow 违反 FCRA（公平信用报告法）和 FTC Act，达成 $2.25M 和解。委员会投票 2-0 一致通过，DOJ 代表 FTC 在哥伦比亚特区联邦地区法院提起诉讼。
背景/关键逻辑
RentGrow 是消费者报告机构（CRA），从多种来源汇总犯罪记录、驱逐记录和地址信息，生成租户筛查报告出售给房东和物业经理。FCRA 要求 CRA 维护合理程序以确保消费者报告的最大可能准确性。
FTC 指控四项违规：
#
违规
事实
系统性缺陷
1
重复记录
同一刑事定罪或驱逐诉讼在报告中出现多次，虚增申请人的负面记录数量
数据聚合流程缺少有效去重——RentGrow 在 FTC 调查前已知晓但未修复
2
隐藏数据来源
未披露 Lexis-Nexis Accurint 作为历史地址和中间名的补充来源
消费者不知道被匹配了什么数据，无法判断匹配结果是否准确
3
争议处理形同虚设
消费者对重复记录提出争议，被标记为"invalid"后不做任何处理
FCRA 没有"invalid"这个争议处理选项——要么受理，要么驳回并说明理由，要么更正
4
两面说法
告诉消费者"已通知房东报告已更新"，实际告诉房东"没有变化"
消费者沟通和客户沟通是两条不同的信息线
和解条件 ：$2.25M 罚款 + 禁止未维护合理准确性程序 + 禁止重复记录 + 禁止就争议结果误导消费者。
企业合规观察
RentGrow 案为所有自动化背景筛查企业提供了一份 免费自查清单 ：(a) 数据聚合流程是否有去重机制？(b) 消费者请求信息来源时，是否披露了所有第三方补充数据来源？(c) 争议处理流程中是否存在"标记无效就完事"的路径？(d) 告诉消费者的话和告诉客户的话是否一致？
不只是租户筛查——就业背景调查、信贷报告、保险核保，只要涉及自动化汇总和匹配多方数据，这四项检查同样适用。
FTC 的执法信号： 发现后不修 本身就是违规加重情节。RentGrow 在调查前已知晓重复记录问题但未修复——这直接影响了 FTC 的执法力度。
GDPR 下的等效条款（Art 5(1)(d) 准确性原则 + Art 16 更正权 + Art 15 访问权）对欧盟企业提出了类似要求。
3. 挪威 Datatilsynet 就 GDPR 查阅权发布细化指引
核心进展
挪威数据保护局 Datatilsynet 主动发布了一份关于 GDPR 第 15 条查阅权 （innsynsrett）的细化指引。触发原因是近期收到多起来自个人的问询——核心问题之一是个人能否要求企业以纸质邮件形式发送个人数据。
背景/关键逻辑
查阅权的法理目的：个人有权知道企业处理了哪些关于自己的个人数据、为什么处理、如何处理——这使得个人可以自行核查企业的处理行为是否合法。"Innsyn er altså et redskap som gir deg mulighet til å selv følge med på hva som skjer med dine opplysninger"——查阅权是一个工具，让你可以自行追踪你的数据在被怎么使用。
回应形式要求：企业须以 书面或其他方式 （包括在适当情况下的电子方式）提供查阅结果。回应必须 "kortfattet, åpen, forståelig og lett tilgjengelig" ——简洁、透明、可理解、易于获取。
Datatilsynet 此次的做法模式值得关注：不是在某项执法行动中附带发布指引，而是在公众问询增多时 主动站出来澄清 。这是一种预防性的合规引导——在问题变成投诉、投诉变成调查之前，先把规则讲清楚。
企业合规观察
DSAR 响应不是法务部一个部门的事——是客服、IT、HR 和法务的联合作业。三件事应立即检查：(a) DSAR 响应流程是否支持多种输出格式（电子 + 纸质）？(b) 标准回应模板是否由法务术语堆砌——普通人能不能读懂？(c) 如果有人打电话问"我能要求你们把数据寄给我吗"，客服能不能给出不需要请示上级的答案？
GDPR 第 12 条要求信息以"简洁、透明、可理解、易于获取"的方式提供——Datatilsynet 重申这不是可选项，是法定义务。
主动发布指引而非被动执法——这种监管模式在欧洲正在增多。企业应将监管机构的指引（不仅是执法决定）纳入合规情报监控范围。
主编深度洞察：规则的操作系统
从删字段到过三关。 EDPB 匿名化指南的最大贡献不是澄清了法律概念——是把匿名化从一个模糊的"你删干净了吗"变成了一个可操作、可验证、可辩护的合规流程。三项测试标准（No Record Isolation / No Linkage / No Inference）和两套评估路径（情境/简化）构成了匿名化的操作系统。企业现在不再需要猜测"够不够匿名"——可以对照指南跑一遍评估。
从罚钱到修系统。 FTC 对 RentGrow 的 $2.25M 罚款本身金额不大。真正有执法信号意义的是和解令中的结构性要求：不是"以后不要再犯"——是"你必须维护合理程序防止重复记录"、"你必须正确披露数据来源"、"你必须妥善处理争议"。执法机关正在从结果监管走向程序监管——不只看你的报告对不对，还看你的系统能不能保证报告对。
从权利文本到一线响应。 挪威 Datatilsynet 的查阅权指引之所以重要，不是因为它说了什么新东西——GDPR 第 15 条已经写得很清楚了。它重要的地方在于它主动回应了一个真实世界的问题：个人能不能要求纸质邮寄？这说明监管机构意识到了 GDPR 权利实现的最大瓶颈不是法律文本——是企业的操作能力。个人权利最终能不能实现，取决于客服能不能在第一次接触时给出准确、可理解的回复。
延伸阅读
EDPB: Guidelines 02/2026 on Anonymisation (Version 1.0, adopted 7 July 2026)
https://www.edpb.europa.eu/system/files/2026-07/edpb_guidelines_202602_anonymisation_v1_en_0.pdf
FTC: RentGrow to Pay $2.25 Million to Settle FTC Allegations the Company Violated the Fair Credit Reporting Act and FTC Act (July 2026)
https://www.ftc.gov/news-events/news/press-releases/2026/07/rentgrow-pay-225-million-settle-ftc-allegations-company-violated-fair-credit-reporting-act-ftc-act
Datatilsynet: Om retten til innsyn (July 2026)
https://www.datatilsynet.no/aktuelt/aktuelle-nyheter-2026/om-retten-til-innsyn/
资源领取
欢迎关注我们的公众号"那一片数据星辰"。