CH6.1 數據隱私安全與合規
數據隱私安全與合規
數據隱私風險三分類（直接識別/間接識別/再識別）→ 風險評估流程（資料盤點分類 → 隱私影響評估 PIA → 風險矩陣與風險等級 → 再識別模擬與滲透測試）→ 隱私強化技術（基礎：遮蔽/雜湊/泛化/分桶/隨機擾動；進階：K-匿名/聯邦學習/同態加密）→ 企業合規實務建議（合法同意、資料最小化、去識別化、透明度、跨境傳輸規範）。
1. 常見數據隱私風險分類
| 風險類型 | 定義 | 例子 |
|---|---|---|
| 直接識別風險 | 資料中含足以「直接」辨識個人的欄位，屬於個人識別資訊（PII） | 姓名、身分證號碼、電子郵件、電話、金融帳號 |
| 間接識別風險（準識別資訊） | 單一欄位無法辨識個體，但多項資訊交叉比對可能推導出身分 | 性別、出生年月、職業、地理位置、消費習慣（Quasi-identifiers） |
| 再識別風險 | 已去識別化的資料，仍可能因外部資料豐富性而被重新還原身分 | 匿名化資料集與其他公開資料交叉比對後被還原 |
直接識別資訊（PII）是「單獨」即可辨識特定個人的資料（如姓名、身分證號）；間接識別資訊（準識別資訊）需結合其他資訊才能推導出身分（如出生年月+性別+地區）。網站 Cookie ID、IP 位址雖屬識別符號，但單獨通常不被視為直接可指向特定個人的 PII，而是間接識別資訊。
2. 隱私風險辨識與評估流程
(1) 資料盤點與分類
建立資料清冊（Data Map），記錄資料來源、處理流程、欄位型態、接觸單位、流通路徑、儲存位置、保留期限；並依開放層級（公開/非公開）與敏感度層級（一般/機密/個人/高度敏感個資）進行分類管理。
(2) 隱私影響評估（隱私影響評估, Privacy Impact Assessment, PIA）
PIA 執行流程五步驟：資料流程盤點 → 風險辨識 → 影響程度分析 → 策略擬定 → 治理責任分工。
(3) 風險矩陣與風險等級
風險矩陣（Risk Matrix）交叉評估「發生機率（Likelihood）」與「影響程度（Impact）」，常見 3×3 或 5×5 格式：
| 風險等級 | 因應方式 |
|---|---|
| 低風險（Low Risk） | 可接受，可監控 |
| 中風險（Medium Risk） | 需規劃因應對策 |
| 高風險（High Risk） | 應優先處理，必要時迴避或延後導入 |
(4) 再識別模擬與滲透測試
透過交叉比對測試（利用公開/商業資料還原匿名化個體身分）與欄位組合分析，驗證去識別化措施的有效性；若再識別風險偏高，應強化匿名化程度、調整資料釋出範圍，或審慎評估是否適合對外公開。
3. 隱私強化技術
(1) 基礎資料匿名化技術
| 技術 | 定義 | 優點 | 限制 |
|---|---|---|---|
| 遮蔽（Masking） | 以符號替換敏感欄位部分內容（如「王○○」） | 實作簡單、保留資料格式 | 僅隱藏部分資訊，搭配其他資料仍可能被還原 |
| 雜湊處理（Hashing） | 單向雜湊（如 SHA-256）產生固定長度不可逆字串 | 不可逆、支援一致性比對，安全性高 | 原始資料種類有限易受彩虹表攻擊；不適合數值分析 |
| 泛化（Generalization） | 降低資料精度（如出生日期泛化為「1980 年代」） | 保留分佈特性，簡單有效 | 精度降低可能影響分析準確度 |
| 分桶（Bucketing） | 連續數值轉換為區間（如收入轉為「50K-60K」） | 保留數據趨勢，減少個體識別風險 | 分桶過細仍可能造成再識別風險 |
| 隨機擾動（Noise Injection） | 為數值加入隨機噪聲（如高斯噪聲） | 保留整體統計特性（平均數、標準差） | 噪聲幅度需精心設計，過大影響分析、過小難以保護 |
(2) 進階隱私強化技術（PETs）
| 技術 | 定義 | 應用場景 | 限制 |
|---|---|---|---|
| K-匿名（K-匿名, K-Anonymity） | 每筆紀錄至少與其他 K-1 筆紀錄在準識別欄位上相同 | 公開數據集、醫療研究 | K 值過大可能降低資料精度；對非結構化資料適用性有限 |
| L-多樣性（L-Diversity） | K-匿名基礎上要求每群組敏感欄位至少有 L 種不同值 | 避免屬性推測 | 計算複雜度較高 |
| T-接近性（T-Closeness） | 要求群組內敏感欄位分佈與全體資料集相近 | 防止因分佈偏差推測個體特徵 | 計算複雜度高 |
| 聯邦學習（Federated Learning） | 模型在各客戶端本地訓練，只將模型參數更新傳回中央伺服器 | 醫療聯盟跨院建模、手機鍵盤輸入預測 | 通訊成本高，可能面臨參數逆向推導攻擊 |
| 同態加密（Homomorphic Encryption） | 允許在加密資料上直接運算，解密後結果與明文運算相同 | 雲端 AI 訓練、金融風控外包運算 | 計算效能較低，完全同態加密（FHE）需高效能硬體 |
T-接近性是為了降低「機率分佈差異」造成的識別風險——K-匿名只確保準識別欄位重複出現 K 次，L-多樣性確保敏感欄位有足夠多樣性，但若某群組的敏感屬性分佈仍與整體差異過大，仍可能被推測特徵，T-接近性正是為了解決這個進階問題。三者是遞進強化的關係：K-匿名 → L-多樣性 → T-接近性。
聯邦學習：「資料不出門，模型跑出去」；同態加密：「資料全程蒙眼運算，解密才看得懂結果」。兩者都是「資料不需集中或不需解密」即可完成運算的進階隱私技術，但實現原理截然不同（前者是分散式訓練架構，後者是密碼學運算）。
4. 企業合規實務建議
| 面向 | 重點 |
|---|---|
| 合法來源與告知同意 | 同意須具備自由性、明確性與具體性、可撤回性；若無法取得同意，須符合履行契約、法定義務或正當利益等其他合法依據 |
| 資料最小化與目的限制 | 僅收集實現目的所需的最低限度資料，不得挪作未告知的其他用途 |
| 去識別化或匿名化處理 | 對外共享前應優先去識別化，並結合再識別風險測試驗證效果 |
| 透明度與紀錄保存 | 建立完整資料處理紀錄，定期內部稽核與政策檢視 |
| 跨境傳輸規範 | 如 GDPR 規定歐盟居民個資移轉至歐盟以外國家，需符合足夠保護措施、標準合約條款或其他合法機制 |
📝 章節考題自測（先作答，再點開解答）
Q1. 在個人資料保護法規的框架下，下列哪一組資訊單獨使用時，最明確地被歸類為「直接識別個人身份資訊（PII）」？
(A) 出生日期、郵遞區號、職業 (B) 網站 Cookie ID、設備 IP 位址、地理定位資訊 (C) 姓名、電子郵件地址、身分證字號 (D) 網路行為模式、匿名化統計數據、加密後的密碼雜湊值
解答與解析
參考 Ans: (C) 姓名、電子郵件地址和身分證字號單獨即能指向一個特定且唯一的人，是典型的直接識別資訊；(A) 屬於準識別資訊，需結合其他資訊才具識別性；(B) 通常歸類為間接識別資訊；(D) 屬於非直接識別資訊。
Q2. 以下哪一種資料處理方式屬於「隨機擾動（Noise Injection）」？
(A) 把姓名改成代號 (B) 將薪資加入隨機誤差 (C) 將地址改成縣市級別 (D) 以星號遮蔽身分證號
解答與解析
參考 Ans: (B) 隨機擾動是為數值資料加入隨機噪聲（如高斯噪聲），使單筆數據難以精準推算，同時保留整體統計特性；(A) 屬於代號化、(C) 屬於泛化、(D) 屬於遮蔽。
Q3. T-接近性（T-Closeness）技術主要是為了降低什麼風險？
(A) 機率分佈差異造成的識別風險 (B) 資料重複風險 (C) 訓練時間過長 (D) 演算法震盪問題
解答與解析
參考 Ans: (A) T-接近性要求群組內敏感屬性的分佈需與全體資料集分佈相近，以防止透過分佈偏差推測個人特徵，是 K-匿名、L-多樣性之後更進階的隱私保護技術。
Q4. 若企業希望在不將原始資料傳送到中央伺服器的前提下，仍能利用多個機構的資料共同訓練模型，最適合採用下列哪一種技術？
(A) 遮蔽 (B) 聯邦學習（Federated Learning） (C) 分桶 (D) Label Encoding
解答與解析
參考 Ans: (B) 聯邦學習讓模型在各客戶端本地訓練，只將模型參數更新（如梯度）傳回中央伺服器，避免原始資料集中存放或傳輸，適合醫療聯盟跨院建模等場景。
Q5. 下列哪一項技術允許在「加密狀態下」直接對資料進行運算，且解密後結果與明文運算相同？
(A) 雜湊處理 (B) K-匿名 (C) 同態加密（Homomorphic Encryption） (D) 泛化
解答與解析
參考 Ans: (C) 同態加密允許在加密資料上直接執行運算，解密後結果與在明文上運算相同，確保計算過程中資料全程保密，但計算效能較低，是進階隱私強化技術。
Q6. 隱私影響評估（PIA）的執行流程，下列排序何者正確？
(A) 策略擬定 → 風險辨識 → 資料流程盤點 → 影響程度分析 (B) 資料流程盤點 → 風險辨識 → 影響程度分析 → 策略擬定 → 治理責任分工 (C) 治理責任分工 → 資料流程盤點 → 策略擬定 → 風險辨識 (D) 風險辨識 → 治理責任分工 → 策略擬定 → 資料流程盤點
解答與解析
參考 Ans: (B) PIA 的標準流程為：資料流程盤點 → 風險辨識 → 影響程度分析 → 策略擬定 → 治理責任分工，是一套系統性分析資料處理活動對隱私影響的治理工具。
Q7. 若企業計畫將歐盟居民的個人資料移轉至歐盟以外的國家，須特別留意符合下列哪一項法規的跨境傳輸規範？
(A) PDPA (B) GDPR (C) CCPA (D) HIPAA
解答與解析
參考 Ans: (B) GDPR（歐盟通用資料保護規則）規定若將歐盟居民個資移轉至歐盟以外國家，需符合足夠保護措施、標準合約條款或其他合法機制，是跨境資料傳輸的重要合規依據。
Q8. K-匿名（K-Anonymity）技術的核心概念為何？
(A) 將所有資料加密後才能使用 (B) 確保每筆紀錄至少與其他 K-1 筆紀錄在準識別欄位上相同 (C) 將資料集分為 K 群進行訓練 (D) 對資料集進行 K 次交叉驗證
解答與解析
參考 Ans: (B) K-匿名確保每筆紀錄至少與其他 K-1 筆紀錄在準識別欄位（如年齡、性別）上相同，降低個體識別風險，但 K 值過大可能導致資料精度降低。