假名化

戏班给每位观众做偏好记录。旧账本上写着真名、座位、购买记录和留言，谁翻开都能看到完整身份。戏班请来荐票木偶后，账本被复制到许多工作台。木偶越会推荐，真名流转越广。班主先把真名换成“客人一二三”。可替换表就夹在同一本账里，任何伙计都能立刻还原。

一次外部修灯工拿到账本和替换表，虽然没有恶意，却看见了贵客的所有偏好。

新账房把资料拆成两本：工作账只保留随机编号和业务特征，身份钥匙单独加锁，由少数人按流程保管。

荐票木偶只使用编号练习和服务；需要联系观众时，授权整套装置临时用钥匙还原，事后留下记录。

这样做没有让数据变成匿名数据，因为钥匙仍存在。但它显著减少了日常处理时暴露真实身份的机会。

班主终于分清：假名化是把身份和业务数据分开保管，降低直接归因风险；只要钥匙还在，它仍属于个人数据。

后来戏班要给外地剧场做联合推荐。外地剧场只拿到工作账，能看出某类观众偏爱悲戏或喜戏，却看不到他们在城里的真实姓名和住处。若要寄票，必须由本城账房代为联系。

有伙计觉得麻烦，想把钥匙也复制一份。新账房拒绝了：方便不是理由，钥匙越多，假名越像薄纸。班主因此设了借钥匙的门槛、期限和复查，确保分开的两本账不会在日常里重新粘回去。他们也定期检查钥匙是否还必要，不该长期保留的联系表会按期销毁。分开之后，日常使用变轻，追责也更清楚。若哪天钥匙不再需要，它就该被收回，而不是继续躺在抽屉里等事故发生。班主把这条写进班规，免得便利悄悄吞掉边界。