個人敏感資訊

個人敏感資訊（Personally Sensitive Information）是指涉及個人基本權利與自由的特殊類別個人資料，其不當洩漏可能導致歧視、不公平待遇或對當事人造成重大損害。根據歐盟GDPR第9條（特別類別個人資料）及台灣《個人資料保護法》第6條規定，此類資訊包括：性傾向、性生活資訊、健康檢查紀錄、基因或生物辨識資料、犯罪前科、宗教信仰、政治傾向及政黨會員資格等。在ISO 27701個人隱私資訊管理體系中，這些資料被列為高風險處理項目，要求企業建立專屬的處理基礎（如明確同意）、最小化原則及加密存取控制，以降低資料外洩事件的衝擊。相較於一般個人資料（如姓名、電話），敏感資訊的處理需符合「必要性」與「比例原則」，是企業資訊安全治理的最高優先等級。

企業應採取系統性方法管理敏感資訊風險，建議導入以下三個步驟：第一步，資料盤點與分類（Data Inventory & Classification），依據ISO 27701要求將資料標記為「敏感」或「非敏感」，並建立資料處理活動清冊（DPIA）。第二步，實施技術性與組織性控制措施，包括資料加密（Encryption at Rest/Transit）、存取權限最小化（Least Privilege）、以及存取日誌（Access Logging）的完整記錄。第三步，建立資料主體權利回應機制，確保個人可隨時查詢、修正或要求刪除其敏感資料。實務上，金融機構處理客戶身分驗證（如生物辨識）或醫院處理病歷資料時，需每年度進行一次隱私衝擊評估（DPIA），並將風險等級量化為KRI（關鍵風險指標），目標是將敏感資料外洩事件發生率降低至年度零事件，並確保GDPR或台灣個資法合規率達100%。

台灣企業在處理敏感資訊時面臨三大挑戰：首先是法規適應性挑戰，台灣個資法第6條雖已列舉敏感資訊，但與GDPR第9條的細節要求仍有差異，跨國企業需同時符合雙重標準。建議採取「最高標準原則」，以GDPR要求為基準建立統一管理框架。其次是技術能力不足，特別是生物辨識資料的加密與儲存技術，企業應優先投資加密存取控制與資料脫敏（Data Masking）技術。第三是組織文化挑戰，員工對處理敏感資料的意識不足，建議透過年度隱私意識培訓（目標覆蓋率100%）及模擬資安演練來強化。建議企業在導入初期設定90天為基礎建設期，完成資料分類與風險評估，第180天前完成技術控制措施部署，以確保在監管機構稽核前達到合規狀態。