隱私敏感資訊

Privacy-Sensitive Information（隱私敏感資訊）是指個人資料中具有高度敏感性的子集，一旦外洩將對當事人造成實質性損害。根據GDPR第9條（特殊類別資料）及臺灣《個人資料保護法》第6條規定，這類資訊包括種族、民族、政治意見、宗教信仰、性傾向、健康狀況、性生活資訊及基因、生物辨識資料。在ISO 27701的框架下，這些資料被歸類為高風險資料，需要專屬的技術與組織控制措施。與一般個人資料（如姓名、地址）不同，敏感資訊的處理必須具備更明確的法律基礎，通常需要當事人的明確同意，並進行高階的加密與存取控制。企業若未能識別並隔離這些資料，將面臨最高2000萬歐元或年營業額4%的GDPR罰款風險。因此，在風險評鑑階段，正確定義敏感資訊的範圍是建立PIMS（隱私資訊管理系統）的基礎步驟。

實務應用可分為三個核心步驟。第一步是資料盤查與分類：企業應建立資料資產清冊，依ISO 27701附錄A.5.12（資料分類）將敏感資訊標記為最高機密等級。第二步是實施技術性控制：針對敏感資訊，必須採用端對端加密（如AES-256）、資料去識別化（De-identification）技術，並實施存取最小權限原則（Principle of Least Privilege）。第三步是建立監控與應變機制：針對敏感資料的存取需進行即時日誌記錄與異常行為偵測。以臺灣某大型電信業者為例，其客戶健康數據（電信業者可能收集的敏感資訊）需符合臺灣個資法第6條規定，實施存取控制與存取紀錄保存至少三年。導入這些措施後，企業可將敏感資料外洩風險降低60-80%，並在ISO 27701認證審核中獲得完整合規證明。

臺灣企業在處理敏感資訊時面臨三大挑戰。首先是法規適應挑戰：臺灣《個人資料保護法》第6條雖已規範敏感資訊，但與GDPR的定義範圍仍有差異，跨國企業需同時滿足雙重標準。建議採用ISO 27701作為統一管理框架，以同時滿足臺灣個資法與GDPR要求。其次是技術資源挑戰：中小企業缺乏處理大數據敏感資訊的技術能力，可透過委託專業雲端服務商（如AWS、Azure）的加密服務與資料防洩漏（DLP）方案來降低建設成本。第三是內部文化挑戰：員工對敏感資料處理規範的認知不足，需透過定期教育訓練與模擬演練建立意識。建議企業在90天內完成現況評估、6個月內完成技術控制導入、1年內達成ISO 27701認證，以系統性克服這些挑戰。