個人資料管理系統要求事項標準化及其實作初論：根基於歐盟《一般資料保護條例》（GDPR）之驗證與資料去識別化的議題

Personal Information Management System Requirement Standardization and Implementation: Based on General Data Protection Regulation (GDPR) Certification and Data De-Identification Issue

樊國楨(Kwo-Jean Farn) ； 蔡昀臻(Yun-Chen Tsai)

《前瞻科技與管理》 8卷1期 (2018/08) Pp. 21-54

https://doi.org/10.6193/JATM.201808_8(1).0002

摘要

《個人資料保護法施行細則》第17條闡明：「……所稱無從識別當事人，指個人資料以代碼、匿名、隱藏部分資料或其他方式，無從辨識該特定個人者」亦即通知「去識別化」（De-identification）之議題，自2014年11月17日法務部法律字第10303513040號函的函釋：「去識別化之個人資料依其呈現方式已無從直接或間接識別該特定個人者即非屬個人資料」起，其「驗證」（Certification）成為我國標準化工作項目的優先項目。根基於此，本文探討包含前述「去識別化」之歐盟《一般資料保護條例》規範的「個人資料管理系統」驗証，其實作遵循之國際標準組織（International Organization for Standardization, ISO）於此議題的標準化作業之脈絡及前景。

關鍵字

個人可識別資訊 ； 個人資料管理系統 ； 資訊安全管理系統 ； 標準化 ； 驗證

並列摘要

Enforcement Rules of the Personal Information Protection Act Article 17 states that ＂the Act shall mean the personal information processed by ways of code, anonymity, hiding parts of information or other manners so as to fail to identify such a specific person,＂ so as call the ＂Deidentification＂ issue. Since 2014, Nov 17th the Ministry of Justice has explained that ＂De-identified personal information cannot identify directly or in-directly a specified individual.＂ certification has become our standardization primary issue. Thus, we discuss EU's General Data Protection Regulation including ＂De-identification＂ mention before in ＂Personal information management system＂ certification, whose implementation follows International Organization for Standardization (ISO) standardization.

並列關鍵字

personally identifiable information (PII) ； privacy/personal information management system (PIMS) ； information security management system (ISMS) ； standardization ； certification

參考文獻

行政院，2012年9月26日，〈99年5月26日修正公布之「個人資料保護法」，除第6條、第54條外，其餘條文自101年10月1日施行〉，行政院臺法字第1010056845號令。

行政院，2015a，〈我國個人資料保護法有關去識別化之標準〉，院臺科字第1040144764號函（附件1）。

行政院，2015b，〈個人資料去識別化過程驗證要求及控制措施〉，院臺科字第1040144764號函（附件2）。

行政院資通安全辦公室()。

吳江泉、林憲祥，2002年9月18日，〈破獲偽卡集團　勾結內賊盜取百萬筆資料獲利35億　資料得手後由北中南大盤賣出製卡再盜刷　財部所屬財金公司三工程師聲押〉，《中國時報》，版3。