把姓名涂黑，不代表数据就安全了。比如，数据科学家为了去重，需要判断两条记录是否属于同一人；客服则可能在获准时找回某位客户的身份。两种任务需要保留的能力不同，单一的“脱敏”无法同时回答谁能用、为何而用、能用到什么程度。
Ananth Packkildurai提出，隐私平台应围绕“发现、授权、保护、使用、证明”五个阶段设计。最具体的一点是：确定性 token——用稳定令牌替换敏感值——可以让获准范围内的相同身份仍能匹配，却不直接暴露原始标识。但这通常只是假名化，并非匿名化；只要还能借助密钥、映射库或额外信息重新关联，它就可能仍是个人数据。
因此，更成熟的做法是按用途选择 tokenization、聚合、受控查询等手段，并用签名清单和受保护的审计记录证明策略、转换和审批确实执行。文章是一份技术参考架构，具体生产规则仍需法律与隐私团队按司法辖区、合同和处理目的审查。