假名化（Pseudonymization）是一種資料管理和去識別化過程。該過程透過使用人工識別符號或假名取代原始資料記錄內的個人身份資訊 實現了在不影響資料分析和資料處理的前提下做好個人隱私資訊保護工作。 歷史 假名這一概念在計算機加密中最早在 1981 年由 David L Chaum 在描述一種使電子郵件接收者無法追蹤發信人的論文中提出，文中作者提出了一種透過公私鑰生成的數字化假名代替真實名稱來進行不記名的工作（如投票計數）的方法。 2000 年，Andreas Pfitzmann 在題為《匿名性、不可觀測性和偽 假名性ーー一個術語學建議》一文中，首次對名詞 假名 及其動詞形式 假名化 做了正式定義 假名是一種可以識別某一主體的識別符號，而該主體被稱為假名的持有者。 文中舉例：在一個互發訊息的場景下，沒有假名時，傳送者和接收者都在使用其可以聯絡到真實世界個人的個人資訊進行交流，而應用假名後，傳送者透過長時間使用同一個假名，可以做到與接收者建立聯絡的同時，隱匿自己的真實個人資訊，從而做到對個人資訊的保護。 2008 年，ISO 組織在 ISOTS252372008 Health informatics Pseudonymization 標準中提出了在醫療健康領域資訊處理過程中，如何使用假名化技術在國內或跨境通訊中保護患者個人隱私的方法。標準中提出了假名化相關的一系列定義： 假名化：刪除識別資料集和資料主體之間關聯的過程 假名資料：資訊接收者無法識別患者真實身份的資料 假名識別符號：無法明確識別自然人的人類識別符號 發展 隨著計算機技術和網際網路的發展，網際網路服務迅速擴張，其對個人身份資訊的索取、儲存和應用的訴求也隨著其規模擴大而迅速擴大。由於資料洩露導致的公民資訊洩露事件頻發，各國監管機構因此提出了一系列資料保護相關法律法規，其中對 假名化儲存個人身份資訊提出了不同的要求。 國家或地區 法律法規 生效時間 描述（原文） 描述（譯文） 歐盟 GDPR Art4 5 2018 年 5 月 25 日 pseudonymisation means the processing of personal data in such a manner that the personal data can no longer be attributed to a specific data subject without the use of additional information provided that such additional information is kept separately and is subject to technical and organisational measures to ensure that the personal data are not attributed to an identified or identifiable natural person 假名化 指處理個人資料的方式，令資料在缺乏可識別資訊的情況下無法被歸屬於特定自然人，且該些可識別資料須與處理後的資料分開儲存，並須遵循組織與技術規範，以確保安全；美國加州 CCPA 1798140aa 2018 年 10 月 aa Pseudonymize or Pseudonymization means the processing of personal information in a manner that renders the personal information no longer attributable to a specific consumer without the use of additional information provided that the additional information is kept separately and is subject to technical and organizational measures to ensure that the personal information is not attributed to an identified or identifiable consumer 假名化 指處理個人資料的方式，令資料在缺乏可識別資訊的情況下無法被歸屬於特定自然人，且該些可識別資料須與處理後的資料分開儲存，並須遵循組織與技術規範，以確保安全；中國大陸 GBT 379642019 2019 年 8 月 30 日 假名化技術是一種使用假名替換直接標識 或其它敏感標記識符 的去標識化技術。假名化技術為每一個人資訊主體建立唯一的識別符號，以取代原來的直接標識或敏感識別符號。 假名化技術是一種使用假名替換直接標識 或其它敏感標記識符 的去標識化技術。假名化技術為每一個人資訊主體建立唯一的識別符號，以取代原來的直接標識或敏感識別符號。 在歐盟，假名化是遵守歐盟新出臺的《通用資料保護條例》 （GDPR）對個人資訊安全儲存要求的一種方式。 透過新增可重新識別個人的資訊，可以將假名資料恢復到原始狀態。相反， 假名化是為了防止重新識別資料集內的個人。歐盟委員會透過的實施決定 EU 2021914 第 18 條第 4 模組腳註 2要求以某種方式將資料 假名化，使個人不再被任何人識別 並且該過程是不可逆的。 違反這一要求可能導致網際網路服務商遭受 2000 萬歐元或全球營收 4（取較大者）的罰款。 施姆雷斯案判決的影響：如何進行假名化 2020 年，活動人士施姆雷斯向愛爾蘭資料保護機構舉報稱，FaceBook 將歐洲個人資料傳輸到其美國總部的做法違反 GDPR 要求，使得歐洲對個人隱私保護的努力付之一炬。儘管歐盟與美國之間簽署的《資料隱私框架協議》載明美國實體 可以將個人資料傳輸美國，但在 20 年歐洲法院的判決中，歐洲法院認為 Facebook 違反了 GDPR。此事發生後，歐盟多次就如何合規安全的向歐盟外傳輸資料提出要求。2021 年 12 月 9 日，歐洲資料保護監督機構 EDPS 強調，假名化是遵守施姆雷斯案判決的首要技術補充措施。 不到兩週後，歐盟委員會強調，韓國也需要如同美國一樣遵守假名化要求。 2021 年 6 月，歐洲資料保護委員會 EDPB 和歐盟委員會強調，符合 GDPR 的假名化要求是在符合歐洲法院施姆雷斯案裁決下使用部署在非歐盟地區伺服器時持續合法使用歐盟個人資料的最新技術補充措施，這顯著提高了符合 GDPR 要求的假名化的重要性。 根據 GDPR 和最終的 EDPB Schrems II 指南， 術語 假名化 要求一種新的受保護的資料 狀態，從而產生以下受保護的結果： （1）保護直接、間接、準個人識別符號，以及特徵和行為； （2）為了使得資料在任何地方，包括在使用過程中都能得到保護，保護措施應設定在記錄（資料條目）和資料集級別 而不僅僅是在欄位級別 （3）透過在不同時間為各種目的動態分配不同的令牌來產生高熵（隨機）水平，防止透過馬賽克效應進行未經授權的重新識別。 假名化的做法、弱點和與匿名化的區別 假名化對資料攜帶的資訊量是有損的 通常這會導致資料資訊量減少。因而企業在進行假名化處理中需要謹慎選擇需要假名化處理的資料欄位。 選擇對哪些資料欄位進行假名化在一定程度上是主觀的。某些看起來不具有識別性的資料一般也被要求進行處理，如出生日期或郵政編碼 因為它們通常可從其他來源獲得，透過組合其他資訊使得整條記錄更易關聯到特定個人。然而，將這些不太具識別性的欄位進行假名化會消除其大部分分析價值，因此實踐中通常將其替換為更不具識別性的資料 例如出生年份或更大的郵政編碼區域。 那些不太具識別性的資料欄位，例如出勤日期，為了不損失統計價值通常不會被假名化。這當然是有風險的，例如，只要預先知道幾個出勤日期，就很容易透過僅選擇具有該日期模式的人來在假名資料集中識別某人的資料。這是假名化的弱點之一 推理攻擊：一個著名的例子是美國線上搜尋資料醜聞。 在此事件中，儘管 AOL 的資料集不包含任何明文個人識別資訊，但是其中包含的使用者搜尋歷史資料經過分析仍能將假名化儲存的使用者名稱指向現實世界的個人。 在保證假名資料無法被重新關聯到個人的同時保護假名資料的統計價值需要： 完善的資訊安全基礎 控制分析師、研究人員或其他資料工作者造成隱私洩露的風險 相比完全無法追溯來源的匿名化資料，假名化資料可以追溯到其來源： httpdudinftudresdendeliteraturAnon_Terminology_v031pdf Anonymity Unlinkability Undetectability Unobservability Pseudonymity and Identity Management A Consolidated Proposal for Terminology 在匿名化中，所有允許回溯的與個人相關的資料都已被清除。 另見 臨床資訊系統 動態資料遮蔽 Framework for Log Anonymization and Information Management 隱私 參考 Category 資料管理 Category 隱私 Category 網路安全