個人資料去識別化技術之驗證問題研析
個人資料保護法
僅供委員問政所需參考
                        

                        
                            不代表本院意見或立場
                        

                    
                

            
        

        
            編號：2506
        

        
            議題研析
        

        
            一、題目：個人資料去識別化技術之驗證問題研析
        

        
            二、議題所涉法規
        

        個人資料保護法

        
            
            三、背景說明
        

                在數位時代下，資料和大數據的應用技術，使資料展現出其在公益及經濟等面向上的價值；惟隨著資訊技術愈發進步，在資料公開和應用同時，如何降低個人資料被識別的風險，以在隱私保護與資料運用需求間取得平衡，並取得社會大眾之信任，即有賴隱私保護等可使個人資料去識別化[footnoteRef:1]相關技術的發展，而該等技術之驗證，即成為數位時代的重要課題。 [1:  所謂「去識別化（De-Identification）」係指移除識別資料與個資當事人連結的過程。數位發展部，隱私強化技術應用指引，113年1月，頁4。] 


        
            四、探討研析
        

        
            （一）我國有關去識別化之相關規定、實務見解及定型化契約約款
        

        1.個人資料保護法及個人資料保護法施行細則之規定

               依個人資料保護法第2條第1款規定，「個人資料」係指「自然人之姓名、出生年月日……及其他『得以直接或間接方式識別該個人』之資料。」；個人資料保護法施行細則第17條規定：「本法……所稱『無從識別特定當事人』，指個人資料以代碼、匿名、隱藏部分資料或其他方式，無從辨識該特定個人者。」。又同細則第3條規定：「本法第2條第1款所稱『得以間接方式識別』，指保有該資料之公務或非公務機關僅以該資料不能直接識別，須與其他資料對照、組合、連結等，始能識別該特定之個人。」。

             2.法務部函釋：

                    法務部103年11月17日法律字第10303513040號函說明三略以「……如將公務機關保有之個人資料，運用各種技術予以去識別化，而依其呈現方式已無從直接或間接識別該特定個人者，即非屬個人資料，自非個資法之適用範圍。……」[footnoteRef:2]。 [2:  法務部，103年11月17日法律字第10303513040號函，網址：https://mojlaw.moj.gov.tw/LawContentExShow.aspx?type=e&id=FE273809，最後瀏覽日期：113年6月12日。] 


        3.司法實務見解（憲法法庭 111年憲判字第13號判決）

            憲法法庭111年憲判字第13號判決略以：「……個資若經處理，依其資料型態與資料本質，客觀上仍有還原而間接識別當事人之可能時，無論還原識別之方法難易，若以特定方法還原而可間接識別該個人者，其仍屬個資。當事人就此類資料之自主控制權，仍受憲法資訊隱私權之保障。反之，經處理之資料於客觀上無還原識別個人之可能時，即已喪失個資之本質，當事人就該資訊自不再受憲法第22條個人資訊隱私權之保障。個資法第2條第1款以『得直接或間接識別該個人』為是否屬個資之標準，即在表彰上開憲法對個人資訊隱私權保障界限之意旨。查個人健保資料包含系爭規定一之高敏感特種個資，具有高度個體差異，於客觀上非無以極端方式還原而間接識別特定當事人之可能性，此為科學上之事實。因此，個人健保資料無論為原始型態或經處理，均必然仍屬『得直接或間接識別該個人』之資料，當事人對於此類資料之自主控制權，受憲法保障。」。

        4.隱私強化技術應用指引

                   由於隱私強化技術為確保資料使用安全性的重要工具，數位發展部參考國際相關文獻，於113年1月發布「隱私強化技術應用指引」，提出具指標性隱私強化技術之運作概念、應用情境、施用風險與限制，並提供應用案例，希冀透過該指引使大眾對於隱私強化技術有更深入的了解，並鼓勵政府公部門或民間企業藉由導入隱私強化技術，降低資料利用之風險、增進資料當事人信任及強化隱私保護[footnoteRef:3]。 [3:  同註1，頁2-3。] 


             5.定型化契約約款－以電信業者之「行動寬頻服務契約」為例

                   除前述憲法法庭判決所提及健保資料外，一般人於日常生活中，經常會面對須提供個人資料的情況，多數的定型化契約皆會對個人資料之蒐集、處理、利用定有相關約款，以申辦行動電話為例，3大電信業者依電信管理法第17條第2項第7款規定，報請國家通訊傳播委員會核准後實施之「行動寬頻服務契約」第37條即規定：「甲方（電信業者）因提供服務需要，依個人資料保護法所蒐集、處理、利用之乙方（申請服務之用戶）相關資料（包含但不限於通信或帳務紀錄）應負保密義務及採取適當安全措施，提供乙方查詢、閱覽、製給副本、補充或更正個人資料，並依法提供有關機關調閱（第1項）。前項之乙方資料，如甲方有個人資料蒐集目的外之利用，應先取得乙方同意。但經甲方處理並確認第三人『無從識別乙方本人』後之資料，得提供第三人使用（第2項）。」[footnoteRef:4]。從前述約款可知，若經電信業者將用戶之資料經去識別化處理至第三人「無從識別乙方本人」之程度，即可不經用戶同意，提供給第三人使用，而這種情況，應為目前掌握大量客戶資料之業者，將客戶資料運用大數據分析，並將其應用於各種經濟產業等活動之常態。 [4:  參見：個人資料保護委員會籌備處，立法院第11屆第1會期交通委員會第15次全體委員會議「國家機器以手機定位、分析個資特性等方式侵犯人民權益」專題報告，113年6月3日。] 


        
            （二）隱私保護與資料利用間的平衡
        

        從前述我國有關去識別化之相關規定、實務見解及定型化契約約款之內容可知，個人資料的「去識別化」係保障個人隱私權及資料持有者可否將資料合理利用的基礎。個人資料保護法第1條規定：「為規範個人資料之蒐集、處理及利用，以避免人格權受侵害，並促進個人資料之合理利用，特制定本法。」。另外，歐盟一般資料保護規則（General Data Protection Regulation，GDPR）前言（Recitals）第4點亦敘明：「個人資料之處理應為造福人類所設。個人資料保護之權利並非絕對權；必須考慮到其在社會上之作用，依照比例原則，平衡兼顧其他基本權[footnoteRef:5]。」。是以，個人資料之處理應兼顧個人資料之保護及其合理利用，而隱私強化技術則可成為平衡兩者之工具。 [5:  原文為：(4) The processing of personal data should be designed to serve mankind. The right to the protection of personal data is not an absolute right; it must be considered in relation to its function in society and be balanced against other fundamental rights, in accordance with the principle of proportionality。參見：個人資料保護委員會籌備處，個人資料保護專區，國際資訊/歐盟一般資料保護規則相關資訊/歐盟GDPR法規，105年4月27日，網址：https://pipa.pdpc.gov.tw/Content_List.aspx?n=B64EC037FFF3C90F，最後瀏覽日期：113年6月12日。] 


        由於資訊科技的進步，隱私強化技術亦日益多元精進，例如：英國臨床研究資料庫透過合成資料技術，提供接近真實資料的心血管疾病與 COVID-19 資料集，讓研究人員能夠透過各種分析或機器學習手段，進行對社會有益之研究，而不侵犯病患隱私[footnoteRef:6]，並讓資料為社會創造對公眾有益的價值。 [6:  同註1，頁35-36。] 


        
            （三）個人資料去識別化技術之認證與建議
        

        隱私強化技術可以讓個人資料去識別化，惟個人資料的管理及隱私強化技術如何取得社會大眾的信任，確保個人資料已經去識別化，或已為何種程度的去識別化，以讓資料提供者與資料的利用者都能夠安心的進行資料的分享與利用，進而創造各種資料的價值，則有待具有公信力的驗證標準及第三方驗證機構，對其進行驗證。

        國際上較重要的個人資料管理系統標準有ISO/IEC 27701：2019，該標準於108年8月正式發布，為ISO/IEC 27001和ISO/IEC 27002的擴展，整合了資訊安全管理與個資管理的特性，為保護個人隱私資訊的作法提供指引，藉由補充額外的管控要求，以建立、實施、維護和持續改善在資訊安全管理系統範圍內的隱私資訊管理，妥適處理個人可識別身分資訊，以降低隱私資訊所面臨的風險[footnoteRef:7]。另外，英國標準協會定有BS 10012，定義了個人資訊管理系統的要求，標準的設計確保有充分、適當的控制措施，不只是針對資通訊(ICT)技術的標準要求，更多的是從法律面、管理面與流程面對於個人資訊的管理，在符合國內個人資料保護法及組織所應遵循產業之最佳實務要求下，進行保障組織所持有之個人資訊[footnoteRef:8]。 [7:  經濟部標準檢驗局，標準保障資訊安全、網路安全和隱私保護，經濟部標準檢驗局標準資料電子報，第154期，109年11月13日。網址：https://fsms.bsmi.gov.tw/cat/epaper/0911.htm，最後瀏覽日期：113年6月12日。]  [8:  BSI（英國標準協會）網頁，BS 10012 PIMS 個人資訊管理系統，網址：https://www.bsigroup.com/zh-TW/BS10012PIMS/BS-10012/，最後瀏覽日期：113年6月12日。] 


        我國政府為完善國內商務交易安全環境，99年在經濟部商業司（112年9月26日改制為經濟部商業發展署）委託下，由財團法人資訊工業策進會科技法律研究所建置及推動「臺灣個人資料保護與管理制度」（TPIPAS）[footnoteRef:9]，並提供該制度的導入與驗證服務。另外，國家發展委員會於108年7月發布「智慧政府行動方案」，此方案內容即包括完備個人資料去識別化應用機制[footnoteRef:10]。經濟部標準檢驗局為因應政府資料開放及大數據之推動，於108年制定CNS 29100-2驗證標準「資訊技術-安全技術-個人資訊去識別化過程管理系統-要求事項」，財團法人全國認證基金會並配合政府政策推動，支持建立國內對個人資訊保護去識別化更強化之機制，制定「個人資訊去識別化過程管理系統驗證機構認證規範」，並自111年1月25日起正式開放「個人資訊去識別化過程管理系統驗證方案」認證服務[footnoteRef:11]。 [9:  財團法人資訊工業策進會網頁，臺灣個人資料保護與管理制度，網址：https://www.iii.org.tw/Product/TechLensDtl2.aspx?tp_sqno=phClAUU%2BR4fPRcnHwb7LxA__&fm_sqno=72，最後瀏覽日期：113年6月12日。]  [10:  國家發展委員會，智慧政府行動方案，108年7月，頁8。網址：https://teg.org.tw/upload/%E6%99%BA%E6%85%A7%E6%94%BF%E5%BA%9C%E8%A1%8C%E5%8B%95%E6%96%B9%E6%A1%88.pdf.pdf，最後瀏覽日期：113年6月12日。]  [11:  全國認證基金會，該會自111年1月25日起開放受理「個人資訊去識別化過程管理系統驗證方案」認證服務，110年12月31日，網址：https://www.taftw.org.tw/news/accredited/verification-agency/TSTafNews-000384-00001/，最後瀏覽日期：113年6月12日。] 


        前述有關個人資料的管理與去識別化的標準，皆為自願性的標準，為強化社會大眾對個人資料去識別化技術之信任，建議相關主管機關應檢討相關規範，考量是否應於法規中強制要求持有大量個人資料之政府機關或民間業者，導入適當之標準並通過驗證。其次，個人資料去識別化的程度，可能會影響到資料的可利用性，敏感性資料與非敏感性資料之去識別化程度，應有合理之區別，以使資料的利用取得較大之效益。爰建議相關主管機關在訂定與個人資料去識別化之相關規範時，應注意敏感性資料與非敏感性資料的差異性，考量不同性質之資料，如何在符合比例原則的情況下，於隱私保護的強度與資訊量損失的多寡之間取得平衡。

        撰稿人：李淑瓊

        1