GeoXMind

位置隐私要控制采集精度、用途和传播范围

说明位置数据最小化、用途偏好、重识别风险、访问控制和生命周期删除，并覆盖轨迹交换中的策略传播。

位置隐私要控制采集精度、用途和传播范围

位置数据能揭示住址、工作地、活动规律、医疗访问和社会关系。单个坐标看似普通，与时间、设备标识和其他数据关联后却可能识别具体个人。位置隐私不是把姓名字段删除，而是从采集、传输、分析、共享到删除全过程限制可观察范围。

治理应从用途开始：什么业务需要位置、需要多精确、保存多久、谁能访问、能否转交。无法说明用途的数据不应因为“以后可能有用”而持续收集。

数据最小化同时限制空间和时间分辨率

只需要城市级服务时，不应请求米级持续定位；只需一次附近搜索时，不应建立长期轨迹。可通过网格化、区域编码、时间分桶、采样降频或在设备端计算派生结果减少原始位置暴露。精度降低要由业务误差容忍度决定，并用实际重识别风险验证。

权限界面应解释前台、后台、单次和持续访问的差别。用户同意某项导航功能，不代表允许广告画像或向其他机构共享。目的变更需要新的评估和适当授权，不能依靠笼统条款覆盖所有后续使用。

数据最小化还包括标识符。稳定设备 ID、账户 ID 和精确轨迹组合后，即使去掉姓名也容易关联。处理链应使用短期或用途隔离的标识，并限制跨数据集连接。

偏好元数据需要配合实际执行

RFC 6772 定义了表达位置数据保留、转发和使用规则的策略文档格式：https://www.rfc-editor.org/info/rfc6772/ 。这类元数据可以随位置对象传递偏好，但文本存在并不保证所有接收方执行。系统仍需访问控制、合同、审计和删除机制。

策略要在每次导出、消息转发和派生数据生成时传播或转换。中间服务若丢失保留期限，下游可能把短期位置永久保存。策略版本和冲突处理也要明确，例如法律留存要求与用户删除请求不一致时，应记录适用依据和受限范围。

OGC Moving Features 描述移动对象轨迹及其时空属性的标准范围：https://www.ogc.org/standards/movingfeatures/ 。标准化交换提高互操作性，也意味着时间位置序列更容易被多个系统处理，因此访问范围和字段裁剪必须在交换接口上落实。

聚合和模糊化不能默认匿名

把坐标四舍五入、删除用户名或只提供轨迹片段，未必阻止重识别。家庭和工作位置的组合常具有高度独特性，外部公开信息可以重新关联。风险评估要考虑攻击者可能拥有的辅助数据，而不是只看发布表中是否存在直接标识符。

聚合统计应设置最小群体规模、抑制稀疏单元并限制交叉筛选。连续查询可能通过差分恢复个体贡献，需要查询预算、结果缓存或形式化隐私机制。差分隐私可以限制单条记录对统计输出的影响，但空间层级、时间组合和预算分配会影响实用性。

轨迹合成数据也可能记忆训练样本或保留独特路径。发布前应做成员推断、最近邻和稀有模式检查，并明确合成数据适合的分析范围。视觉上不像原轨迹不是隐私证明。

访问控制围绕租户和用途

位置 API 应从受信身份获得用户、设备、租户和用途上下文，执行最小权限。客服、分析和运维工具常能绕过普通应用界面，应有独立角色、审批、字段脱敏和完整审计。批量导出比单点查询风险更高，需要更严格的数量、时间和目的限制。

缓存、日志、错误追踪和备份容易复制位置。URL 查询参数可能进入代理日志，调试日志可能记录完整请求体，地图截图可能留在工单。数据盘点应覆盖这些旁路，并统一保留期限和删除策略。

传输和静态加密保护数据不被未授权读取，但密钥管理和服务端合法访问仍是风险。高敏感位置可采用字段级密钥、租户隔离和短期令牌，降低单点泄露范围。

保留、删除和事件响应必须可验证

保留期应按用途和法律要求设定，到期后从在线库、索引、缓存和可合理处理的副本中清除。备份可采用到期轮换和恢复后再删除策略，并向用户准确说明技术边界。只删除账户表而保留轨迹仓库，不构成完整删除。

监控应关注异常批量查询、跨区域访问、非工作时段导出、权限提升和政策字段丢失。发生事件时，要能确定受影响的人、时间范围、精度、接收方和派生产品，而不是只统计文件大小。

面向地图展示时，还要防止界面本身泄露精确位置。公开地图可按缩放级别聚合或抖动点位，详情接口和下载接口使用相同权限，搜索建议不返回未授权地址。前端隐藏图层不等于服务端拒绝访问，浏览器网络请求和瓦片缓存都应纳入测试。

位置隐私的有效标准是：每项精度和保留都有用途依据，每次传播都保留约束，每个高权限访问都可审计，并能在生命周期结束时证明数据不再被常规系统使用。单次脱敏处理不能替代这一整套控制。

资料依据