單獨識別

「單獨識別」是歐盟《一般資料保護規則》（GDPR）在前言第26條中確立的匿名化評估標準之一，意指從一個資料集中，挑出或分離出某特定個人的能力。它與「連結性」（linkability）和「推斷性」（inference）共同構成判斷資料是否已真正匿名化的三大支柱。若資料處理技術無法防止攻擊者從群體中「單獨識別」出特定個體，即使姓名等直接識別碼已被移除，該資料集仍被視為個人資料，受個資法規管轄。例如，一個「匿名」的醫療資料庫中，若存在一位110歲的男性病患，這個獨特的屬性組合就可能使其被單獨識別出來。在風險管理體系中，評估單獨識別的可能性是資料去識別化專案的第一步，用以判斷資料的殘餘風險等級，確保企業的匿名化措施符合法規要求，避免因「假名化」被誤認為「匿名化」而導致的合規風險。

企業應用「單獨識別」風險管理通常包含三步驟。第一步為「資料盤點與風險評估」，識別含有準識別碼（如郵遞區號、出生日期）的資料集，並利用k-匿名（k-anonymity）等模型評估是否存在可被輕易挑出的獨特屬性組合。第二步為「去識別化技術導入」，根據評估結果採用「概化」（如將特定年齡改為年齡區間）或「抑制」（刪除異常值）等方法，確保資料集中任何屬性組合都至少有k筆相同紀錄。第三步為「有效性驗證與持續監控」，模擬攻擊者情境進行重新識別攻擊演練，驗證措施有效性並文件化。例如，某跨國電商為符合GDPR，將用戶郵遞區號概化至城市層級，達成k=5的匿名標準，使其分析專案的合規率提升至99%以上，順利通過內部審計。

台灣企業在導入「單獨識別」風險管理時面臨三大挑戰。首先是「法規認知模糊」，台灣《個資法》未如GDPR明確定義匿名化標準，企業常將「假名化」誤認為「匿名化」。其次是「技術與人才不足」，執行k-匿名等評估需兼具資料科學與法律知識的專才，中小企業普遍缺乏。最後是「資料應用與隱私保護的衝突」，業務單位追求數據精準度，與法遵要求的資料概化產生矛盾。克服之道為：一、建立內部教育訓練與匿名化標準作業程序（SOP），可尋求外部專家協助，預計30天內完成指南。二、導入自動化去識別化評估工具或顧問服務，降低人才依賴，預計60天內完成評估。三、針對高風險專案試行差分隱私（Differential Privacy）等技術，在保護隱私下兼顧分析價值，預計90天內啟動先導計畫。