数字货币的隐私，取决于在任何人承诺保护信息之前，信息存在于哪里。国际清算银行最新的 Aurum 工作，探索了一种减少系统内客户信息暴露的支付设计。其意义在于改变架构，而不是证明央行数字货币已经能在全国规模上提供完全匿名。
10月13日发布的 Aurum 第二阶段，是研究隐私增强技术如何与合规需求并存的原型。对银行和支付服务商，具有财务意义的问题是：必须保留多少敏感数据，谁能使用这些数据，以及日常共享减少后，哪些运营工作仍然存在。
更小的共享记录改变泄露边界
BIS完整报告描述了结合密码学技术的设计，使支付可以得到核验，而不必经常向不需要相关信息的参与方暴露敏感细节。受监管银行仍负责客户准入，并保留账户身份信息。因此，共享可见性减少改变的是谁能了解付款，而不是消除所有客户记录。
报告的隐私表格作出具体比较。在模型中，验证方被攻破不会泄露终端用户身份。一家银行被攻破，可能危及其自身客户数据，但不会暴露其他银行客户的身份。这是架构隔离的判断，并不是银行不会发生有害泄露的声明。
相关脚注至关重要：评估只涉及 Aurum 组件中的支付数据，不包括机构其他地方存储的个人数据。实际运营的服务商可能还有其他相关数据库。因此，报告不能为整家机构或其所有系统组合提供全面安全保证。
有用的经济推论是，收集和分发更少身份信息，可能缩小某些暴露范围，但不会让剩余数据变得无害。评估服务商，需要关注实际保留的信息及记录之间的关联，而不只是其支付账本是否被称为私密。
合规仍有负责人和运营成本
BIS项目说明强调可以配置的合规与运营功能。不同政策选择可能形成不同隐私设置。技术上能够最小化披露，并不等于某个司法辖区会选择最私密的可用配置。
中介机构仍承担重要角色。客户准入、处理合法请求和维护访问控制，需要人员、流程和可追责的决定。保护隐私的支付核心可能改变这些任务，而不会取消它们。报告不能证明某家银行或软件供应商会获得特定成本节约、收入来源或采购合同。
还有连续性问题。报告指出，用户依赖最初完成身份核验的银行：该银行不可用时，即使用户的化名身份仍有效，也可能失去访问能力。跨中介迁移能力被列为未来研究方向。因此，隐私保护与可靠访问，是可用支付服务的两个不同维度。
欧洲说明不同支付模式需要不同隐私表述
欧洲央行对数字欧元隐私的说明，提供了另一个项目的比较。它描述的离线付款细节将仅由付款人和收款人知晓。在线使用方面，则描述了向欧元体系提供化名化信息，以及中介为依法合规而访问必要数据。这些是设计说明，并不证明 Aurum 实施了欧洲方案，也不证明已经公开部署。
这一比较说明，笼统声称具有现金般隐私，需要明确支付模式和观察者。对中央基础设施隐藏身份，不同于对准入银行隐藏身份。在线与离线安排也可能面对不同约束。将其视为一个承诺，会模糊哪些信息对哪些主体得到保护。
在2023年10月关于数字欧元提案的联合意见中，欧洲数据保护委员会和欧洲数据保护监督机构要求，更清楚地论证单一标识符访问点的必要性，并明确反欺诈数据处理职责。这一历史监管评估提醒人们，应界定必要性和责任。它不是对2026年10月最终法律状况的认定，也不是对 Aurum 的评估。
能运行的演示与公共货币承担不同证明责任
最有力的正面解读是，隐私与合规不必二选一。Aurum 提供可供检验的具体设计，而非完全依赖机构承诺。现有局限并未抹去其贡献：即使受监管中介保留特定信息，减少不必要共享仍可能有价值。
但报告明确将技术称为探索性成果，并指出尚未达到生产就绪状态。原型能运行，并不能证明高峰需求下可靠运营、事件恢复可行，或服务一般公众的成本。这些需要针对计划实施的系统、治理和运营环境提供证据。
独立安全评估、明确的数据保留说明、中介故障时得到验证的连续性，以及现实支付需求下的性能，会使判断更具体。相关指标必须对应选定隐私配置，因为改变配置可能改变所评估的平衡。
其投资含义是一种评估方法，而非预测。支付基础设施应依实际数据边界和服务义务判断，不能只看隐私标签。Aurum 推进了设计讨论，而公开部署的商业和运营负担仍有待证明。