电子表格不是普通文档
Word文件本质上是文本流，而Excel文件则截然不同：单元格相互引用，公式作用于数据范围，数据透视表汇总命名数据，宏则遍历整个工作簿。大多数脱敏工具将Excel当作文本文档处理——这是错误的模型。
举一个简单的例子。A列存储客户姓名，D列包含以下公式：=VLOOKUP(A2, CustomerTable, 5, FALSE)。该公式通过姓名查找账户余额。您替换了A列中的姓名，但没有更新公式或查询表。公式仍然返回原始姓名对应的真实余额。文件看上去已经脱敏，实则并非如此。
这种情况在企业Excel文件中十分普遍。数据存在于关联关系中，而不仅仅存在于单元格里。仅替换单元格数值而不追踪这些关联关系，个人信息依然处于暴露状态。
GDPR第28条与外部数据共享
GDPR第28条规范了与数据处理方的数据共享。向顾问、供应商或审计师发送个人数据时，您需要采取相应的技术保障措施。
假设您需要将一份50,000行的客户文件共享给数据分析供应商。导出为PDF会剥离公式，还会破坏包含复杂格式的大型文件；导出为CSV同样会剥离公式和数据透视表。两种方式都无法为供应商提供可用的数据集。
唯一可行的方案：在原生Excel格式内实现匿名化——替换识别性数值，保留文件结构。供应商获得可正常使用的文件，您满足GDPR的技术保障要求。
气隙环境
67%的政府和国防采购招标文件明确要求气隙环境（美国国防信息系统局，2024年）。国防承包商在Excel中处理人员数据、物流记录和采购文件，既无法使用云端工具，数据也不得离开受控网络。
对于没有任何外部连接的真正气隙网络，anonym.plus才是正确选择——检测模型运行在设备本身，任何时候都不发生网络请求。对于允许一条连接的受控网络，桌面应用程序的工作方式不同：它在本地设备上处理Excel文件，但检测本身通过互联网连接在anonym.legal的服务器上完成——该应用不内置检测模型，其白名单将连接仅限定至anonym.legal。输出文件始终留在受控网络内；只有用于检测的提取文本会进行这一条被允许的连接。内部团队可在受控网络内共享脱敏后的文件。
这一方案满足政府合同合规所需的技术要求。
三个层次的单元格智能处理
优质的Excel匿名化需要同时在三个层次上运作。
数值层： 检测并替换单个单元格中的个人信息。姓名、电子邮件、电话号码和身份证件号码使用与文档处理相同的检测引擎进行标记。
公式层： 识别公式引用了含有个人信息单元格的情况，将这些引用更新为指向匿名化后的数值；或将公式替换为其计算结果，从根本上杜绝基于公式的个人信息泄露。
结构层： 清除数据透视表的数据缓存，处理隐藏的行和列，处理使用了特定单元格地址或数值的VBA宏代码。
三个层次必须同步运行。仅修复数值而不修复公式，个人信息依然留存；修复公式而不清除缓存，同样如此。
这一挑战跨越所有文件格式。请参阅文件格式碎片化如何影响个人信息检测，获取更全面的视角。
对于在API层面处理结构化数据的团队，请参阅实时API中的GDPR数据最小化。
如果您的团队需要处理大批量DSAR数据导出，请参阅GDPR DSAR批量处理规模化方案，了解适用于此场景的工作流模式。