寓言
没有姓名的档案也能认出人
城里的档案馆接到新规，凡是写着姓名、身份证号、住址的纸都要锁进铁柜。馆员照做了。他把客户名册、报名表、投诉信一一收起，外厅只留下订单、诊疗摘要、送货时间和街区编号。
馆员很放心。有人来查外厅，他指着纸面说，这里没有姓名，也没有证件号。商户要做统计，学徒要训练分类器，都可以拿外厅资料用。铁柜才是敏感区，外厅只是普通记录。
几天后，审查员拿起三张纸：一张写着某街区每周三夜里送药，一张写着罕见病复诊摘要，一张写着同一金额的退款时间。她没有打开铁柜，却说出了那位客户大概是谁。馆员脸色变了。
他辩解说，自己已经去掉姓名。审查员没有争辩，只把外厅纸张按时间排成一条线。工作地点、消费习惯、健康线索、设备编号、定位片段，各自看都普通，连在一起就成了人的影子。
馆长这才重新划区。能直接点名的纸当然进铁柜；能和其他资料合并后识别个人、描述个人行为、影响个人权益的记录，也要纳入管理。外厅不再按有没有姓名判断，而按能不能指向一个人判断。
新规执行后，商户仍能做汇总统计，但明细访问要说明目的；训练材料要做排除、脱敏或聚合；跨表关联要记录审批。馆员发现，麻烦增加了，但误把人的轨迹当普通货物的风险少了。
档案馆门口后来挂了一句话：名字只是最亮的标签，人的数据常藏在路径里。看到姓名才紧张，已经太晚；真正要管的，是资料能否被用来认出、描述或影响一个具体的人。 馆员也开始做反向演练：随便抽几张外厅纸，看能不能拼出稳定的人。只要能拼出来，就不能继续把它们当普通材料。新系统接入前，也要问日志、提示词和反馈是否会留下同样的影子。能留下影子的资料，就要进入同一套保留和删除规则，不能散在角落。