指定匿名化的数据流、执行点、记录、测试、审计证据和运营所有权。该参考定义了采用边界、失败行为和可观察证据，同时允许配置环境特定的限制。
包状态： 参考上下文已准备好供人工审查。合同和测试场景已完成，但不保证采用的实现已通过测试。
决策
对于匿名化，采用与目的、数据类别、主体和司法管辖区相关联的批准处理清单。通过一个权威的写入路径、类型化接口、显式状态和幂等副作用处理来实现行为。该包是参考合同：采用团队必须根据自身环境中的证据选择数值限制、提供者、司法管辖区和运营所有者。
范围
- 本实现块描述的匿名化参与者、输入、输出、状态、策略或架构版本及外部可见结果。
- 主要和备用接口、后台工作、缓存、集成、支持路径及可行使相同边界的证据。
- 应用参考所需的采用特定配置、部署、恢复和验证职责。
不包含在本块内
- 为每个采用者选择通用供应商、框架、司法管辖区、数值阈值、保留期限或服务级别目标。
- 声称已针对下游实现运行打包场景，或该参考授予法律、安全或无障碍认证。
合同
- 在处理开始前记录目的、适用依据、数据类别、接收者、位置、保留触发器、所有者和主体控制。
- 在每个汇点最小化收集和传播；下游副本、索引、备份、导出、日志和派生特征仍在范围内。
- 当同意、反对、删除、限制、法律保留和保留可以有效共存时，将其建模为独立事实。
- 保留决策和执行证据，但不复制控制旨在保护的极其敏感的有效负载。
- 在边界处对输入进行一次验证，并保留下游逻辑使用的规范化表示。
- 在业务转换之前或与外发记录原子持久化；消费者通过持久操作标识去重。
- 在选择转换前定义攻击者、辅助数据、关联目标、受保护人群、发布目的和可接受的剩余重新识别风险。
- 移除或泛化直接和准标识符，衡量效用和单独识别风险，版本化方法，且绝不将可逆假名标记为匿名数据。
实现指导
- 先发布增量存储和接口更改，观察性地补充，然后在兼容性证据出现后废弃旧路径。
- 在选择框架或供应商细节前，建模匿名化输入、输出、参与者、状态、不变量、副作用和证据。
- 将适用的匿名化合同或策略版本与重要状态一起存储，以便迁移、重放和支持决策可追溯。
- 在受控发布后引入路径，比较预期和观察结果，并保持经过测试的恢复路径，直至采用证据完整。
失败处理与保障措施
- 未解决的司法管辖区、目的或主体状态阻止可选处理，并将案例路由给负责任的人类所有者。
- 无效或矛盾的匿名化状态被拒绝或隔离；实现绝不猜测会扩大权限或重复效果的值。
- 重试有界且使用持久标识；耗尽后，工作达到可检查的终态并有负责任所有者。
验证与运营
- 在持久化前后注入依赖失败，证明重试收敛到一个外部可见结果。
- 按合同版本监控匿名化成功、拒绝、验证失败、依赖失败、重试耗尽和恢复，不包含敏感有效负载维度。
- 在策略、架构、依赖、迁移或边界变更后重新运行正负配对夹具，并保留结果证据。
采用假设
- 示例中的名称和值是具体夹具，不是通用默认值；采用者通过文档化证据和所有权替换它们。
- 采用系统能够提供认证身份、持久操作或记录版本、有界遥测和受控变更路径。
本包中看似可执行的示例是夹具和验收合同。运行集合验证器检查结构和元数据，然后在目标仓库中翻译并执行场景，最后记录实现证据。
参考文献
- 欧盟条例 (EU) 2016/679 (GDPR)，官方文本（自2026-09-08起适用）