開放資訊及分析巨量資料時，如 何降低風險？ ·...
TRANSCRIPT
講者
2
姓名：蔡敦仁
學歷：美國紐約市立大學計算機科學博士
現職：
1.中國文化大學資工系副教授
2.中國文化大學資安產碩專班所長
3.經濟部標準檢驗局國家標準審查委員會委員
4.經濟部標準檢驗局資訊及通信國家標準技術委員會委員(兼任資通安全術分組、通信技術分組、訊軟體技術分組委員會召集人)
E-MAIL：[email protected]
不斷變化的世界之隱私挑戰
開放資料
大數據
社群網路
物聯網(IoT)
雲端計算
Apps
…….
3
FB判決掀起隱私大戰
4
Maximillian Schrems，登錄為FB用戶，發現如同其他上億的歐盟用戶一樣，他在FB活動的所有資料，無論是個資、留言或照片，被蒐集、儲存在愛爾蘭的歐洲FB公司後，轉傳至美國FB總公司的伺服器儲存
此舉可能讓美國情治機構（尤其是NSA）得以「繞過」歐盟隱私保護法規，直接在美國就監控所有歐盟公民的FB資訊
2000年時，歐盟執委會與美國政府達成《安全港（Safe Harbor）協議》，概括認定美國是合乎歐盟法要求的第三國
歐盟法院(CJEU)裁判，正式確認「安全港根本不安全」，宣告其違反歐盟資料保護法
未來位於愛爾蘭的歐洲臉書公司可能無法再將用戶資料悉數傳輸到美國總公司，對FB及其他跨國互聯網企業的衝擊，難以估計
--2015年10月10日蘋果日報，作者：台灣大學法律學院林鈺雄教授
個資法首宗刑事判例出爐
5
102年6月
個案發生在臺南，起因是被告不滿社區地下停車場使用的爭議，遂在自己的Facebook專頁上，公開告
訴人的姓名、照片等資料，除公布他人個資之外，文字中並帶有誹謗字眼
臺南地方法院依違反個資法第20條第1項、第41條第1項，處拘役40天，若是繳交易科罰金，每日以新臺幣1千元計算，總額4萬元
被告除違反個資法外，還須面臨誹謗罪的刑事處分
(http://www.ithome.com.tw/node/82913)
xx金網站個資外洩
6
xx金網站繳費中心在103年5月，被網友發現網路可
上查詢到包含繳費用戶的姓名、手機號碼、身分證號碼、信用卡卡號等資料，共有33,320用戶，共計57,297筆資料受到影響
雖然xx金外洩事件目前沒有民眾提告，不過，金管會徹查此事件後，依違反銀行法第45條之1第1項與第129條第7款規定裁罰400萬元
http://www.ithome.com.tw/node/82913
廣告信擾人判賠首例
7
台北市一名郭姓會計師不滿2012年退出xx屋會員並要求刪除會員資料後，仍持續收到52封擾人廣告電郵，憤而提告
士林地院認為xx屋在郭男要求刪除資料後，仍使用
其個資寄送信件，已觸《個資法》，判決特力屋在《個資法》實施後寄送的16封廣告信，1封需賠1千
元，加上其餘於《個資法》上路前寄送的信件，共判賠2萬6千元
(2014年10月15日蘋果日報)
個資遭外洩 國人為何不求償？
8
個資遭外洩的個案在國內已出現過數次，該銀行客戶非但不知道可以求償，甚至還不知道個資已被銀行外洩
在個人資料保護法修正後，企業知道「嚴重性」，也曾向產險公司詢問過個資險相關內容，但之後就不了了之，產險公司猜測其原因：
保費不便宜，業者不想增加營業成本，寧可改善電腦軟硬體設備以減少被駭客入侵機率
民眾還不知道主張自我權益，也沒有鉅額求償案例成立，企業沒有感受立即風險
國內少有幫民眾作集體訴訟的單位，使得民眾不懂得主張自我權益
(2015年10月25日工商時報)
政府資訊公開法(94 年 12 月 28 日公布)
9
下列政府資訊，應主動公開 ： 一、條約、對外關係文書、法律、緊急命令、中央法規標準法所定之命令 、法規命令及地方自治法規
二、政府機關為協助下級機關或屬官統一解釋法令、認定事實、及行使裁 量權，而訂頒之解釋性規定及裁量基準
三、政府機關之組織、職掌、地址、電話、傳真、網址及電子郵件信箱帳號
四、行政指導有關文書 五、施政計畫、業務統計及研究報告 六、預算及決算書 七、請願之處理結果及訴願之決定 八、書面之公共工程及採購契約 九、支付或接受之補助 十、合議制機關之會議紀錄。
政府資料開放平臺 (data.gov.tw/) 15057筆(105年3月狀態)
政府資訊公開方式
10
一、刊載於政府機關公報或其他出版品
二、利用電信網路傳送或其他方式供公眾線上查詢。
三、提供公開閱覽、抄錄、影印、錄音、錄影或攝影
四、舉行記者會、說明會
五、其他足以使公眾得知之方式
中央部會資料開放排行(2016年3月)
11
地方政府資料開放排行
12
政府公開熱門資料
13
不動產買賣實價登錄批次資料
瀏覽人次: 95,007
勞工體格及健康檢查認可醫療機...
瀏覽人次: 75,397
原鄉旅遊路線
瀏覽人次: 54,814
巨量資料(Big Data)
14
涉及資料量規模巨大到無法在合理時間內擷取、管理、處理、並整理成為人類所能解讀的形式的資訊
將資料集合併後進行分析可得出許多額外的資訊和資料關聯性，可用來察覺商業趨勢、判定研究品質、避免疾病擴散、打擊犯罪或測定即時交通路況等
2001年Doug Laney指出資料增長的挑戰及機會有3個方向：量(Volume，資料大小)、速(Velocity，資料輸出入速度)與多變(Variety，多樣性)，合稱3V
另有人定義第4個V：真實性(Veracity)為第4特點[
(來源：維基百科)
巨量資料之定性
15
Volume (大量資料)
Variety(多樣性)
Velocity(快速)
Variability(易變性)
Veracity (真實性)
巨量資料之隱私權問題
16
分析後之資料將持續存在
隱私洩露可能造成損害個人權益
可能難以匿名
資料遮蔽可能遭破解
可能會產生道德問題
分析結果可能造成弱勢族群受不平等待遇
處理者可能不自知侵犯專利權及著作權
資料保護可能不足
需對抗蓄意之電子搜尋能力
依據不準確分析結果之錯誤決策，可能造成損害
被遺忘權
17
巨量資料帶來無數機會，但同時個人隱私權也極可能受到衝擊，巨量資料包含各種個人資訊
2014年5月13日歐盟法院就「被遺忘權」（right to be
forgotten），判決Google應根據使用者請求，刪除不相關資料，以保證資料不出現在搜尋結果中
這說明在巨量資料時代，加強對使用者個人隱私的尊重是時勢所趨
法務部對個資去識別化之見解
18
個人資料之定義
19
依個人資料保護法第2條第1款規定，個人資料是指
姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料
個資法將個人資料區分成兩類：
直接識別之個人資料
間接識別之個人資料
直接識別之個人資料
20
指接觸該資料之人，可直接將該資料與特定人連結
一般而言「姓名」被認為屬直接識別之個人資料
常見姓名須限於足以特定之範圍，例如：班級、辦公場所等，但並不以此為限
只要於具體情形得以直接透過該資料與特定個人建立連結，從而自群體中識別出該特定個人者均屬之
例如國民身分證統一編號、護照號碼、學校學號等
間接識別之個人資料
21
由於社會態樣複雜，某些資料雖未直接指名道姓，但一經揭露仍足以識別為某一特定人
所謂「得以間接方式識別」依個資法施行細則第3條規定，係指保有該資料之公務或非公務機關僅以該資料不能直接識別，須與其他資料對照、組合、連結等，始能識別該特定之個人
又所謂經由對照、組合、連結等方式識別特定個人，必須是精準且確定地得以識別出特定個人，而非僅是利用專業知識「猜測」、「推測」可能為某人之資料，即使該「猜測」或「推測」結果為正確，亦不能因而認為猜測者有取得該個人資料
個人資料判斷之相對性
22
上述有關個人資料之定義對於個人資料或隱私之保護固然周全，但因得為比對組合之人及資料範圍具有「相對性」，故難有一致性之認定標準，如同個資法施行細則第3條修正理由說明所示：「是否得以直接或間接方式識別者，需從蒐集者本身個別加以判斷，此宜於個案中加以審認，…」
換言之，欲判斷一份資料是否為個人資料，對於不同蒐集者而言，即可能會產生不同之判斷結果，蓋蒐集者原先所持有或可能得以獲取之資料範圍有所不同，其與新蒐集之資料，是否得以透過對照、組合、連結等方式識別特定之個人，亦會有不同之結果，自難以一概而論
去識別化之定義
23
依個資法第2條第1款有關個人資料之定義反面解釋
可知，所謂「去識別化」，即指透過一定程序的處理，使個人資料不再具有直接或間接識別性
換言之，如將公務機關或非公務機關保有之個人資料，運用各種技術予以去識別化，而依其呈現方式已無從直接或間接識別該特定個人者，即非屬個人資料，自無個資法之適用
匿名化資料(Anonymised data)之定義
24
CNS29100：個人可識別資訊(PII)不可逆地變更之過程，經此方式，使得不論是單獨由PII控制者或與任何人合作，皆無法再直接或間接地識別出PII當事人
擬匿名化資料(pseudonymized data)
25
不可逆（non-retraceable）
以非專屬代碼、單向加密（one-way cryptography）或其他技
術處理後，使任何人（包含原資料保有者）均無法透過資料比對或其他方式再直接或間接辨識出特定個人
一般而言，此種不可回溯之假名化資料也被認為屬於上開「匿名化資料」
可逆（retraceable）
以專屬代碼、雙向加密（two-way cryptography）或其他技術
處理後，處理後之編碼資料雖無從識別特定個人，惟原資料保有者仍得透過代碼與原始識別資料對照表或解密工具（鑰匙）還原為識別資料，則屬可回溯之去識別化資料。對於原資料保有者而言，因其仍得透過對照表或解密工具等其他資料之對照、組合、連結而識別特定個人
該資料仍屬間接可識別之個人資料，因此仍有個資法之適用
可逆擬匿名化資料
26
對於資料接收者而言，須區分下列情形
倘若經加工降低識別可能性後，其所提供之擬匿名化資料，因去連結之程度低，資料接收者運用一般知識予以連結之再識別可能性仍大，此時對於原資料保有者及資料接收者應仍屬間接可識別之個人資料，而有個資法之適用
倘若經加工降低識別可能性後，其所提供之擬匿名化資料，因去連結之程度高，使資料接收者運用一般知識予以連結之再識別可能性甚小，對於原資料保有者而言雖仍屬間接可識別之個人資料，因而仍有個資法之適用，但對於資料接收者而言，則可認為已非個人資料，而無個資法之適用
去識別化之行為定性
27
個人資料去識別化之行為應定性為個資法第2條第4
款所稱之「處理」
而我國個資法之體系架構係將「蒐集」及「處理」行為規範於相同法定要件之下，蓋個人資料之「蒐集」大多緊密伴隨著「處理」行為，故個資法並未特別區隔兩者之行為要件，且因去識別化資料須達到無從直接或間接識別特定人之程度，故去識別化之加工處理並未增加對當事人權益之額外侵害
因此，如原先蒐集個人資料之行為符合個資法第15
條及第19條第1項之規定，應可認為去識別化之處
理並未逾越原先蒐集之特定目的（並非與原特定目的不相容），而得依據原先蒐集時之同一合法事由為之
103年11月17日函釋所稱「去識別化」範圍
28
如將公務機關保有之個人資料，運用各種技術予以去識別化，而依其呈現方式已無從直接或間接識別該特定個人者，即非屬個人資料，自非個資法之適用範圍。
此後，公務機關主動公開或被動受理人民請求提供是類個人資料去識別化後之政府資訊，除考量有無其他特別法限制外，分別依檔案法第18條或政府資訊公開法第18條等相關規定決定是否公開或提供即可，無須再擔心是否符合個資法所規範之『特定目的內、外利用』的問題
換言之，上開函釋所稱「去識別化」，必須運用各種技術予以加工處理後，而依其呈現方式達到任何人（包含原資料保有者）無法運用一切合理可能之方法，透過資料比對或其他方式再直接或間接辨識出特定個人，此時該加工處理後之資料即非屬個人資料，而非個資法之適用範圍
函釋所稱之「去識別化」，必須達到前述「匿名化資料」或「不可逆之假名化資料」之程度，方得以全然排除個資法之適用
開放資料宜達何程度
29
資料保有者於對外提供資料前，應進行整體風險影響評估，針對不同資料類型或資料提供方式，依比例原則分級控管去識別化程度
開放資料因係供不特定多數人自由使用該資料，並未限制資料提供之對象、使用目的或方法，而是以公開（publication）之方式提供，較難以控管其風險
因此對於所欲釋出之個人資料經加工處理後，宜達「匿名化資料」或「不可逆之假名化資料」之程度較為妥適
加工匿名後無從識別之判斷標準
30
對於一定範圍之有先前知識之人（例如同僚、親友、街坊鄰居、醫師、教師、律師、社工等）而言，雖然其因具有先前知識而增加得以間接識別之可能性，但對於當事人所增加之隱私風險實際上很低，因其原本就已取得當事人相當多的個人資料才有能力得以重新間接識別，所以重點應不在這群人得否識別當事人，而在於其能否透過釋出之資料而取得當事人的新個資
再者，多數具有先前知識之醫師、律師等專業人員，雖掌握大量敏感性個人資料（病歷、犯罪前科等），但多已依法令負有保密義務或須遵守職業倫理規範，故其成為「有心侵入者」或對外提供執行職務所得資料之可能性較低
故所謂「其他資訊」之範圍原則上應採「一般人基準說」
如何對待Open Data 可能包含之個資
31
資料保有者應進行整體風險影響評估，針對不同資料類型或資料提供方式，依比例原則分級控管去識別化程度
在進行整體風險影響評估時，應綜合考量
個人資料類型、敏感性程度
對外提供資料之方式、
引發他人重新識別之意圖
根據風險評估之結果判斷去識別化之技術類型或程度
差別處理開放資料
32
供不特定人利用之開放資料(open data)
因並未限制資料提供之對象，而是以公開(publication)之
方式提供，因此風險值相對較高，宜達「匿名化資料」或「不可逆之假名化資料」之程度較為妥適
供特定公務機關或學術研究機構個別申請使用之資料
因資料提供對象有所限縮(limited access)，
能對於資料接收者之身分、使用目的、其他可能取得資料之管道、安全管理措施等先為必要之審查
並得與資料使用者約定禁止重新識別資料之義務及其他資料利用之限制
較有利於風險的控管，因此去識別化之程度可相對放寬，可提供含有個體性、敏感性、較為詳細之擬匿名化資料
加註禁止還原之警語
33
雖然政府資料一旦開放授權利用後，不太可能為確保資料安全性而禁止資料使用者作進一步利用或揭露
建議於政府資料開放授權條款中加註禁止使用者還原去識別化資料，否則應負相關法律責任之類似警語
法務部對去識別化之資料後被重新識別之相關法律責任見解
34
公務機關資料釋出者之責任(1/2)
35
（公務員）刑事責任：
倘若資料釋出前業經多方風險評估及測試，且採取適當安全措施，並參酌資訊環境及技術發展等因素持續調整，而依當時科技或專業水準可合理期待重新識別之可能性已微乎其微，至少可認為已不具有違法利用個人資料之「故意」，而無個資法第41條之刑事責任；
又過失行為之處罰，以有特別規定者為限(刑法第12條第2
項)，而個資法並無處罰過失行為之刑事責任規定。因此，應不構成刑事責任
（公務員）行政責任：
個資法無特別規範，依人事相關法令處理，視具體個案有無人員行政疏失情事，再由該人員任職之機關進行後續懲處或懲戒
公務機關資料釋出者之責任(2/2)
36
國家賠償責任：
依個資法第28條第1項規定：「公務機關違反本法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任。但損害因天災、事變或其他不可抗力所致者，不在此限。」
因此，倘若公務機關未善盡安全維護事項，致個人資料遭不法蒐集、處理利用或其他侵害當事人權利者，對於當事人須負「無過失之損害賠償責任」，無法以證明無過失之方式免責
惟上開但書排除事變責任（第三人行為責任）及不可抗力責任，於具體個案，或許可主張所釋出之資料因已符合依當時科技或專業水準可合理期待之去識別化程度，被重新識別乃屬不可抗力、無法預見所致，從而依但書規定主張免負損害賠償責任，因目前缺乏具體個案，尚難預測法院見解為何
資料接收者進行重新識別而取得個人資料，仍須符合個人資料蒐集、處理或利用之要件(1/2)
37
依個資法第2條第3款之規定，所謂「蒐集」是指以任何方式取得可直接或間接識別特定自然人之個人資料
若資料保有者所釋出之資料係經加工處理後，任何人(含原資料保有者)均無法運用一切合理可能之方法識別特定個人(亦即屬「匿名化資料」或「不可逆之擬匿名化資料」)，此時所釋出之資料即非屬個人資料
倘資料接收者嗣後卻運用特殊之技術或方法進行重新識別，進而取得個人資料，應可認為亦屬個人資料之「蒐集」行為，該資料接收者自仍須符合個資法有關蒐集、處理或利用之要件
資料接收者進行重新識別而取得個人資料，仍須符合個人資料蒐集、處理或利用之要件(2/2)
38
以非公務機關為例，其蒐集個人資料須符合個資法第19條第1項之規定，而個資法第19條第1項第3款「當事人自行公開或其他已合法公開之個人資料」或第7款
「個人資料取自於一般可得之來源」必須以「公開」或「一般可得」者是「個人資料」為前提，無法援用於此種「原接收去識別化資料、嗣後透過各種方法或技術而重新識別」之情形，故須符合個資法第19條第1
項其他各款情形之一，方得為之
如有違反者，除行政罰之責任外，若致生損害於他人，則尚可能另構成刑事責任及民事損害賠償責任
相關標準介紹
CNS 29100 & CNS 29191
39
CNS 29100
資訊技術－安全技術－隱私權框架
個人可識別資訊(personally identifiable information, PII)：所有資訊其(a)能用以識別此類資訊所涉之PII當事人，或(b)係或得以直接或間接連結至PII當事人
提供下列隱私權框架 － 規定共同隱私權術語
－ 定義處理個人可識別資訊(PII)之行為者與其角色
－ 描述隱私保全考量
－ 對已知的資訊技術隱私權原則提供參考文獻
國內目前已有單位開辦29100驗證，但未經TAF認證
40
行為者及角色
41
PII當事人(PII principal) 個人可識別資訊(PII)所關聯之自然人
PII控制者(PII controller) 判定個人可識別資訊(PII)處理之目的及方法的隱私權相關者，而非就個人目的使用資料的自然人
備考：PII控制者有時委派他人(例：PII處理者)，代表其處理PII，而處理之責任仍由PII控制者承擔
PII處理者(PII processor) 代表PII控制者並依其指示，處理個人可識別資訊(PII)之隱私權相關者
第三方(third party) 除PII當事人、PII控制者及PII處理者，以及經PII控制者或PII處理者直接授權處理資料之自然人外的隱私權相關者
行為者之互動
42
(a)PII 當事人提供PII 予PII 控制者 例：於註冊PII 控制者所提供之服務時
(b) PII 控制者提供PII 予PII 處理者，其代表PII 控制者處理該PII 例：作為委外協議之一部分
(c) PII 當事人提供PII 予PII 處理者，其代表PII 控制者處理該PII
(d) PII 控制者提供與該PII 當事人有關之PII 予PII 當事人 例：依PII 當事人之請求
(e) PII 處理者提供PII 予PII 當事人 例：依PII 控制者指示
(f) PII 處理者提供PII 予PII 控制者 例： 於履行所約定服務後
(g) PII 控制者提供PII 予第三方(例：依商業協議) (h) PII 處理者提供PII 予第三方(例：依PII 控制者指示)
PII 當事人、PII 控制者、PII 處理者及第三方間之PII 流向及其角色
43
PII當事人 PII控制者 PII處理者 第三方
情境(a) PII提供者 PII接收者 － －
情境(b) － PII提供者 PII接收者 －
情境(c) PII提供者 － PII接收者 －
情境(d) PII接收者 PII提供者 － －
情境(e) PII接收者 － PII提供者 －
情境(f) － PII接收者 PII提供者 －
情境(g) － PII提供者 － PII接收者
情境(h) － － PII提供者 PII接收者
CNS 29100 之隱私權原則
44
1.同意及選擇
2.目的適法性及規定
3.蒐集限制
4.資料極小化
5.利用、持有及揭露限制
6.準確性及品質
7.公開、透明及告知
8.個人參與及存取
9.可歸責性
10.資訊安全
11.隱私遵循
CNS 29191
資訊技術－安全技術－部分匿名及部分去連結鑑別之要求事項
於許多交易中，傾向於將個體保持匿名及去連結
但於某些具正當理由之情況下，可後續啟動重新識別(例：確認可歸責性時)
〝部分匿名及部分去連結〞意謂事先指定開啟者，且僅該指定開啟者，可識別該鑑別之個體。 例：圖書館可能需要識別未歸還所借書籍之個體，以便發送逾期通知予該個體。
目前之密碼學技術可用以提供部分匿名及部分去連結之鑑別
此標準規定部分匿名及部分去連結鑑別之框架及其要求事項
45
定義4 個角色
46
核發者－ 核發信符予宣稱者之個體
宣稱者－ 待查證者(verifier)鑑別之個體
查證者－ 查核宣稱者是否擁有有效信符之個體
指定開啟者－ 可重新識別宣稱者之個體
4 項基本操作
47
(1)信符核發過程：核發者與宣稱者間進行信符核發之過程
完成本過程後，宣稱者始具有信符
(2) 設置過程：指定開啟者設置對重新識別為必要之密碼式資訊的過程
(3) 鑑別過程：宣稱者與查證者間， 進行鑑別並產生鑑別紀錄單之過程
若查證者判定宣稱者持有有效信符， 則鑑別成功
(4) 重新識別過程： 指定開啟者由鑑別紀錄單識別宣稱者之過程。於此過程中，指定開啟者使用鑑別紀錄單，
且於適當時可使用其他資訊， 進行重新識別
部分匿名及部分去連結鑑別之框架
48
個人資料去識別化過程驗證要求及控制措施(草案)
49
50
PII去識別化過程
重新識別PII要求
(選項)
隱私風險管理過程
PII之隱私權原則 (選項)
用語 及定義
隱私權 政策
個人資料去識別化過程驗證要求及控制措施
「個人資料去識別化過程驗證要求
及控制措施」架構
壹、目的
51
因應「政府資料開放」及「大數據」之推動，為驗證個人資料去識別化的過程，特訂定本驗證要求及控制措施
貳、用語及定義(1/3)
52
CNS 29100 + CNS 29191之用語及定義
去識別化(de-identification)：採取一組合理之步驟，移除識別資料與資料主體間之關聯的過程
直接識別資料(direct identifying data)：直接識別PII當事人之資料。直接識別資料係不需額外資訊或經由交互連結公開資訊中之其他資訊即可用以識別PII當事人之資料。例：身分證號碼、指紋等
間接識別資料(indirect identifying data)：僅於與其他間接識別資料一起使用時方足以識別PII當事人之資料。例：郵遞區號、生日、年齡等
不可逆性(irreversibility)：由可識別至擬匿名之任何轉換的狀況，其由擬匿名追踪回原始識別符於計算上是不可行的
貳、用語及定義(2/3)
53
去連結資料(unlinkable data) ：僅包含難以由熟練的分析師以合理工作量連結至PII資料
重新識別(re-identification)：將已去識別化資料與原PII當事人重新建立關聯的過程
K-匿名性(K-Anonymity)：若發布之資料中所包含之PII當事人的資訊與至少K-1個人的資訊，無法區別
PII處理生命週期(PII processing life cycle)：包含PII之蒐集、移轉、使用、儲存、移除等階段
推論控制(inference control)：控制僅揭露無法據以推論出原PII當事人之資料
貳、用語及定義(3/3)
54
CNS 29191用語對應於本要求及控制措施之用語如下：
CNS 29191用語 本要求及控制措施對應用
語
宣稱者 PII當事人
核發者 PII控制者
指定開啟者 PII控制者
查證者 (擬)匿名資料接受者
參、隱私權政策(1/5)
55
要求事項(3.1)：涉及PII處理之組織的高階管理階層，
應依營運要求及相關法律與法規，建立隱私權政策，提供隱私權保護之管理指導方針及支持
隱私權政策應如下
－ 合於組織目的
－ 提供設定目標之框架
－ 包括滿足適用之隱私保全要求事項的承諾
－ 包括持續改善之承諾
－ 於組織內傳達
－ 公眾(或相關各方)可適時且容易取得
組織應以書面載明其隱私權政策
隱私權政策應依規劃之期間或發生重大變更時審查，以確保其持續的合宜性、適切性及有效性
參、隱私權政策(2/5)
56
隱私權政策應依不同隱私權利害相關者，補充更詳細之PII處理規則及義務
內部隱私權政策應載明組織採用之目標、規則、義務、懲處規定、限制及/或控制措施，以滿足與其PII處理生命週期各階段有關之隱私保全要求事項
組織應傳達予隱私權相關者下列資訊
－ PII控制者及所有相關之PII處理者的身分。
－關於移轉PII至PII處理者之政策
－蒐集PII之目的
－識別將蒐集之PII
－加強隱私權保護之作為及其目的
－PII當事人對其被蒐集之PII的法律權利
參、隱私權政策(3/5)
57
外部隱私權政策應提供外部人員對組織隱私權實務作法聲明，以及其他相關資訊，如PII控制者之身分及辦公室地址、PII當事人可能取得額外資訊之連絡窗口等
組織應具備正式懲處過程，並傳達予員工及約用人員，以對違反隱私權者採取行動
(告知之透明性)若PII處理者非PII控制者，則PII處理者之隱私權政策應依循PII控制者之隱私權訂定。
參、隱私權政策(4/5)
58
組織若進行PII去識別化過程，則隱私權政策應包含下列項目，並應對外公布適宜之內容。
－敘明組織之去識別化作法，並以一般用語描述將使用何種去識別化技術
－敘明備妥何種保護措施，以盡量減少可能之相關風險。尤其是，應敘明去識別化資訊是否會對外公開或僅有限揭露，及其公開原則(例：離群值之處理、K-匿名性之使用時機)
－敘明對公眾開放關於進行之去識別化過程的任何風險。
－公開敘明關於公布已去識別化資訊之推理過程，說明如何衡量及取捨、考量或未考量哪些因素、原因為何
隱私權政策實作指引
59
對公眾之資訊透通性可增加信任度，然基於資訊安全之考量，為不助長重新識別風險，組織應衡量是否需移除所公布之風險評鑑報告等文件中之某些資訊，或僅公布其彙總報告
肆、PII隱私風險管理過程
60
要求事項：組織應定期執行廣泛之PII風險管理活動並發展與其隱私保護有關的風險剖繪。
組織應建立PII處理生命週期各階段之風險管理過程。各階段應包含下列子過程
－ 建立全景過程：藉瞭解組織(例：PII處理、職責)、技術環境及影響隱私風險管理之因素(亦即法規因素、契約因素、營運因素與其他因素)達成
－ 風險評鑑過程：藉識別、分析及評估PII隱私權原則之風險(可能有負面影響之風險)達成
－ 風險處理過程：藉定義隱私保全要求事項、識別及實作隱私控制措施以避免或減少PII隱私權原則之風險達成
－ 溝通及諮詢過程：藉從利益相關者得到資訊、對每一風險管理過程獲得共識，以及通知PII當事人與溝通風險及控制措施達成
－ 監視及審查過程：藉追查風險及控制措施，以及改善過程達成
PII隱私風險管理過程實作指引
61
隱私權衝擊評鑑(PIA)為一項產出，其為風險管理之一
部分，隱私權衝擊評鑑乃專注於確保遵循隱私權及資料保護法規之要求，以及評鑑於新的或大幅修改計畫或活動中的隱私權含意
隱私權衝擊評鑑(PIA)宜框限於更大範圍之組織風險管理框架內
陸、PII去識別化過程
62
要求事項(6.1)：組織應建立有效且周延之PII去識別化過程的治理結構
組織應指定足夠數量具技術與法律知識之員工或約用人員進行PII去識別化
並應指定資深員工，負責授權及監督PII去識別化過程。此負責人員應有能力負責PII去識別化主要決策、宣達及協調組織之PII去識別化作法、召集組織內部及外部相關
專家，並應能協助高階管理階層決定已去識別化資料之適當揭露形式(亦即公開或有限存取)
應經由人員訓練，使PII去識別化工作人員清楚認識PII去
識別化技術、所涉及之所有風險及減輕此等風險之措施。尤其是，各工作人員應了解其於確保安全進行去識別化之特定角色
陸、PII去識別化過程
63
應提供獨立及隔離(無法連線)空間(及系統)進行PII去識別化工作，並管制及記錄人員與資料之進出(及存取)，且人員不得攜帶任何具照像及記錄功能之設備進入工作區域
應備妥以文件記錄之程序，識別決定是否對資料進行PII
去識別化、其實施方法，以及產生之資料是否需揭露、揭露原則及揭露方式
組織應備妥以文件記錄之程序，用以識別於實務上去識別化可能是有問題或難以達成之情況。例：難以評估重新識別之風險，或是對某些個人之風險太高
陸、PII去識別化過程
64
組織應依據法律規定、組織任務、營運要求、資料使用對象及目的、所持有包含PII之資料內容、型式及數量、
資料揭露範圍、處理成本及風險評鑑結果等因素，選擇適宜之去識別化方法，並經管理階層核准，且以文件記錄
資料去識別化過程應留下紀錄、全程受監督(例：全程錄影)，且其紀錄應無法竄改，並定期稽核
委外處理PII去識別化時，組織應監督及監視委外處理活動。原始資料以不攜出組織場域為原則。含有PII之資料
應經組織之高階管理階層核准方可攜出場域外，而受委託單位須依組織之隱私權政策及隱私權原則妥善並安全保存原始資料，並於完成PII去識別化後，立即歸還組織或安全銷毀
陸、PII去識別化過程
65
要求事項(6. 2)：組織之高階管理階層應監督及審查PII去識別化過程之治理的安排
組織應管理，關於PII去識別化之任何新指引、法規、法
律、裁判、行政解釋、可用技術或威脅之相關知識，並據以評估風險
組織應與同行業或從事類似工作之其他組織分享並交流關於PII去識別化之知識
組織應定期進行隱私衝擊評鑑(privacy impact assessment,
PIA），並應公布其PIA報告，顯示如何處理風險評鑑過程。PIA應包含所採用去識別化技術之有效性，以及評估重新識別風險，以制定風險緩解措施
陸、PII去識別化過程實作指引
66
專家用以協助決定資料可識別性風險之原則如下，可使用此等原則，判定資料集之中的PII資料之風險值
原則 解釋 風險值範例
重現性 (Replicabili
ty)
根據資料將持續連結至PII主體之機率，將資料屬性定出風險等級之優先序
低: 病患之口腔疾病，會改變 高: 病患之牙齒照片相對穩定
資源可用性(Resource Availability)
判定哪些外部資源含有特定個人之識別資料及資訊中之重覆特性，以及何人被允許存取該資源
低：實驗室報告中之個人身份通常不會對實驗室外披露。 高：個人身份及人口資料往往出現於公共資源中，例：出生、死亡及婚姻狀態。
區別性(Distinguish)
判定某PII資料可於資料集之中區別的程度
低：據估計在美國使用出生年、性別及郵遞區號前3碼之組合約有0.04％機率可唯一識別某居民。此意指僅經由此等資料之組合可識別特定居民 高：據估計在美國使用出生日期、性別及5碼郵遞區號可唯一識別某居民之機率超過50％。此意指經由此3個資料之組合可識別一半以上的美國人
評鑑風險(Assess
Risk)
重現性風險、資源可用性風險及區別性風險越高，被識別之風險越高
低：資料不具區別性，但其可能並未獨立重現，且很少於許多人可存取之多個資源中揭露 高：人口資料具高度區別性、高度重現性並揭露於公共資源中
陸、PII去識別化過程
67
組織之高階管理階層應決定已移除PII之資料之可接受剩餘風險
管理階層應依規劃之期間或發生重大變更時審查去識別化過程
告知之透通性，同控制措施(3.1.1.9)
組織應依據對所收到回饋之分析，持續且及時審查PII去
識別化過程。審查時應使用〝重新識別測試〞技術評鑑重新識別風險及減緩風險之措施
應對已移除PII之所有資料進行系統化(自動或人工)檢查，
確保其中未包含直接識別資訊，以及非必要保留之間接識別資訊。並確保必要保留之間接識別資訊皆已(經由匿名化、擬匿名化或其他方法)合理去除與PII當事人之連結
要求事項(6. 3)：組織應訂定如下之PII去識別化步驟，並依此進行去識別化
68
步驟1：由領域專家(或有經驗人員)判定資料集之中的直接識別資料
步驟2：將直接識別資料遮罩(或變換)。即移除直接識別資料或將其(擬)匿名化
步驟3：建立威脅模型。組織分析可能使用額外資訊或間接識別資料進行重新識別攻擊之各種情境，判定各種“可能威脅”
步驟4：判定最小可接受使用之資料。於此步驟中，組織確定PII去識別化資料之用途，並據以判定可能需去識別化之資料的最大數量
步驟5：使用步驟3所建立之模型，確定重新識別攻擊之風險的檻值。組織判定使用所有已去識別化資料之可接受風險，以及可能降低風險之各項控制措施
要求事項(6. 3)：組織應訂定如下之PII去識別化步驟，並依此進行去識別化
69
步驟6：由來源資料庫中取得(樣本)資料。因資料庫可能很巨大，故取樣測試，以協助規劃
步驟7：評估實際之重新識別攻擊風險。即計算實際被重新識別之風險
步驟8：比較實際之被重新識別的風險與檻值。即比較步驟7與步驟5之結果
步驟9：設定參數並套用至所有需去識別資料。若實際風險小於最小可接受風險，則套用去識別參數，並變換資料。若風險過高，則需考慮新的參數或變換
步驟10：對解決方案進行診斷。測試已去識別資料，以確保其具有足夠效用，並確認於允許之參數範圍內，重新識別攻擊是合理的不可能的
步驟11：輸出已去識別資料至外部資料集。最後，輸出已去識別資料，並將所使用之去識別技術、參數、威脅模型、風險值及各項相關資料，記錄於書面報告中
陸、PII去識別化過程
70
應對待移除PII之資料集，先行備份，必要時應依隱私權
原則進行前置處理，抽出最少需處理之資料、欄位或其部分
應依待移除PII之資料型式(例：書面文字資料、書面圖片、文字檔、資料庫、圖片檔等)，選擇適當去識別作法及工具
組織應依資料揭露(公布)對象及資料敏感性，設定推論控制之檻值(例：K-匿名性之最小K值、揭露筆數占整體筆數之最小百分比)。不得揭露超過檻值之資料
陸、PII去識別化過程實作指引
71
推論控制通常使用之「N回應k%支配」規則，指若超過k
％以上之揭露(或公布)資料係來自少於N筆資料，則不得揭露(或公布)該等資料
例：不應公布比爾蓋茲所住社區之家庭平均年收入，因其年收入占整個社區之年收入比例太高，若公布此資料，易被用以推估出比爾蓋茲之年收入
陸、PII去識別化過程實作指引
72
K-匿名性為去識別化後判定是否揭露資料之限制條件，組織應僅揭露具相同值筆數大於等於K之資料
增加K值可降低資料遭重新識別之風險
K-匿名性可與各種去識別化技術一起使用
陸、PII去識別化過程
73
要求事項(6. 4)：組織應對PII遭非預期揭露備妥災難復原計畫
應及時回應來自自認為個人資料遭揭露民眾之申述及查詢，並依已建立之程序採取因應措施
應備妥程序，因應公開資料遭重新識別而揭露個人隱私之情況，包含：移除可能揭露個人隱私之資料，重新處理；停止或修改(採取更嚴格之)去識別化過程
當公開資料遭重新識別而揭露個人隱私時，應告知隱私遭揭露之個人，並協助其採取必要之彌補措施
陸、PII去識別化過程
74
要求事項(6. 5)：組織應備妥程序，對已移除PII之資料，依可接受風險，定期進行〝重新識別測試〞。
應對已移除PII之資料進行〝重新識別測試〞，包含：
－搜尋網頁，嘗試連結PII當事人
－搜尋全國或地方新聞資料庫，嘗試連結PII當事人
－搜尋政府單位或其他組織之開放資料，嘗試連結PII當事人
－以社群網路嘗試連結PII當事人
因公眾可用之資料庫，隨時會增長，故應定期重新對已移除PII之資料進行〝重新識別測試〞，以重新評鑑其風險
個資去識別化技術範例(1/2)
75
修訂或移除個資：使個資成為(人類或電腦)不可視
例：用黑筆將書面資料塗黑、將人臉打馬賽克、移除檔案中個資、將資料加密、移除整筆資料等
模糊化個資：於資料中加入隨機〝雜訊〞
例：將某筆個人資料之年齡加5歲，而下1筆資料之年齡加8歲、只提供對部分資料之統計數字
概化個資：降低資料之精確度，使其較不特定
例：將年齡25歲，變成年齡20~29歲
以平均值置換個資
例：將某筆個人資料之年齡以所有資料之平均年齡置換
個資去識別化技術範例(2/2)
76
合併個資：將數項個資合併成一資料項，使其較不具敏感性
例：2014年及格人數為2人，2015年及格人數為3人，合併為2014~2015年及格人數為 5人
一致性置換個資：將所有PII資料位移相同量，以保持資料間之關係
例：將所有個人資料之年薪均加10萬元
交換個資：將2筆資料之PII資料欄位內容交換
例：將2筆資料之年齡交換
柒、重新識別PII之要求
77
重新識別係將已去識別化資料與PII當事人重新建立連結之過程。此將增加去識別化過程之複雜度
組織需重新識別PII當事人之理由可能包括：
－對資料完整性之檢驗
－檢查是否有疑似重複之資料
－加入新資料
－連結至額外研究變量
－符合性稽核
－重大發現需通知PII主體或相關單位
－進行後續進一步研究
－法律要求
組織有重新識別需求時，應符合CNS 29191所有要求事項
柒、重新識別PII之要求
78
要求事項(7.1)：經匿名(或擬匿名)處理後資料之接收者應僅能鑑別PII當事人之資料屬性，而無法識別出PII當事人
經匿名(或擬匿名)處理後之資料不得提供任何可用以識別出資料之PII當事人，但必要時可允許資料接收者查證經匿名(或擬匿名)處理後之資料(或其屬性)
是否真實
要求事項(7.2)：同一PII當事人之經匿名(或擬匿名)
處理後之不同資料，不得提供具有聚合後能連結至該PII當事人之資訊
資料接收者取得之經匿名(或擬匿名)處理資料，不得包含可據以連結PII當事人之間接識別資料
柒、重新識別PII之要求
79
要求事項(7.3)：資料經可逆之擬匿名處理後，應可由PII控制者重新識別PII當事人
PII控制者應備有重新識別PII之程序，規定所使用方法、所需資訊、授權及啟動流程
應定期審查重新識別PII之程序的有效性
為使PII控制者之後能重新識別PII當事人，將資料經可逆之擬匿名處理後產生之紀錄單，應提供足以識別PII當事人之必要資訊
PII控制者對將PII資料經可逆之擬匿名處理所產生之紀錄單及重新識別所需之必要資料，應妥善加密，持續保存
實作指引：於適當情況下， PII控制者可使用其他資訊以重新識別PII當事人
柒、重新識別PII之要求
80
要求事項(7.4)：PII控制者應提供能正確重新識別PII
當事人之證據
為避免PII控制者之不誠實宣稱， PII控制者應提供正確履行重新識別PII當事人之程序的證據
重新識別PII當事人資料之過程應留下紀錄、全程受監督(例：全程錄影)，且其紀錄應無法竄改
驗證業務現況
81
驗證單位：目前為「台灣電子檢驗中心(ETC)」1家
證書有效期限3年，每年需追查(follow-up)
取得驗證證書單位：財政部財政資訊中心「綜合所得稅核定資料」共720萬筆資料，於104年11月底取得
認證單位：全國認證基金會(TAF)未介入，由標準檢驗局承擔
輔導單位：財政資訊中心係由工研院巨量資料中心與資策會科法所聯合輔導
可能之驗證範圍
82
個人資料去識別化過程
適用於「開放資料」
CNS 29100(隱私權框架)
適用於「個資保護」
CNS 29191(部分匿名及部分去連結鑑別之要求事項)
適用於「巨量資料」
可能之驗證情境
83
依據法務部意見，將個人資料去識別化後之資料即不受個資法之約束
為因應「政府資料開放」及「巨量資料」之推動，需驗證各單位及公司之個人資料去識別化的過程是否妥善，以在可能之法庭個資訴訟中站在有利位置
多數政府單位及民間企業資訊能力不足，故資訊業務許多委外
大多數單位個人資料去識別化驗證輔導會委外 困難點在去識別化技術及PIA方法
個人資料去識別化業務(含重新識別之測試)可能委外
定期重新識別之測試亦可能委外
對個人參與網路活動之建議
84
參與網路活動時，若要輸入任何個人資料，建議先確認活動網站的隱私權政策，若網站未提供相關隱私權政策，或者要求填入的資訊太過私人、與活動無直接相關，最好不要填寫
儘量避免在社群網路、聊天室、或論壇等公開網站上提供個人資料
在不同網站使用不同密碼，同時最好每30天就更改一次密碼
對舉辦網路活動之建議
85
舉辦網路活動時，對網站需先做資安檢測
先確認建立活動網站的隱私權政策及同意機制
盡量不要收集或減少收集個人資料之欄位及數量
不要收集與活動無直接相關之資料
確認收集之個人資料安全儲存
不要使用個人資料當帳號及(預設)通行密碼，並強迫要求定期更改通行密碼
預設通行密碼需於第一次登入後強迫更改
謝 謝
敬請指教