报章专栏

《个人资料匿名化入门指南》
今年六月，个人资料私隐专员公署（私隐专员公署）联同亚太区八个私隐或资料保障机构发布《个人资料匿名化入门指南》（《匿名化指南》），就如何将个人资料匿名化向机构提供实用的指引。《匿名化指南》可于以下连结下载：
https://www.pcpd.org.hk/tc_chi/resources_centre/publications/files/appa_anonymisation_guide072025.pdf。
 
「匿名化」一般是指将个人资料转化为无法用作识别个人身分的资料。如果资料已完全匿名化，以至在合理地切实可行的情况下，无法直接或间接从该资料确定一名个人的身分，该资料则不再构成《个人资料（私隐）条例》（《私隐条例》）下的「个人资料」。因此，处理此类匿名化资料不受《私隐条例》的规管。
 
现时市面上有多种匿名化技术，而这些技术的主要目的是要降低再识别风险（即将匿名化资料与个别人士作出关连的可能性），同时可保留资料在重要应用上（例如用作统计和研究用途）的实用价值。
 
从保障个人资料私隐角度而言，匿名化在减少个人资料数量用于人工智能（AI）模型中具备关键作用，尤其是在定制及使用AI模型的阶段。正如私隐专员公署去年发布的《人工智能（AI）：个人资料保障模范框架》所述，我鼓励机构作为资料使用者，在处理资料整个周期的不同阶段采用匿名化技术，以保障它们所持有的个人资料。
 
举例来说，《私隐条例》的保障资料第3原则订明，个人资料不得用于与当初收集资料时的目的或直接有关的目的不一致的用途。因此，如果使用个人资料训练及／或定制AI模型与当初收集资料时的目的不相符，机构便应向资料当事人取得明确及自愿的同意，或在将个人资料输入至AI模型作该些用途前，先进行匿名化处理。
 
私隐专员公署于今年年初进行的循规审查显示，八成机构已在日常营运中使用AI，当中，五成表示会透过AI系统收集及／或使用个人资料。有见AI在本港的使用越来越广泛，匿名化可以为机构在保障个人私隐时，同时保留资料实用性提供一个可行方案。
 
《匿名化指南》的重点内容
《匿名化指南》介绍匿名化的基本概念，并概述机构进行匿名化处理个人资料的五个建议步骤，包括：
 
第一步：了解你的资料
机构在进行匿名化处理前，须识别有关资料的类型，包括：

• 直接标识符：可直接识别个人身分的资料，例如姓名及香港身份证号码；及
• 间接标识符：虽然资料本身未必具有独特性，但与其他资料结合后可识别个人身分，例如出生日期及性别。

 
第二步：移除直接标识符
在将资料分门别类后，机构应从数据集中移除直接标识符，例如姓名。
 
第三步：采用匿名化技术
机构应采用匿名化技术处理间接标识符，以防止他人透过结合间接标识符及其他资料确定个人的身分。
 
选择适用于数据集并与资料使用目的相符的技术至关重要。机构如欲寻找合适的匿名化技术，可以参考ISO/IEC 20889等广受认可的国际标准。
 
第四步：评估再识别风险
机构应该评估已匿名化的资料是否仍存在识别相关个人身分的风险，并根据评估结果判断匿名化是否足够。如未能符合相关要求，机构可能需要重复以上步骤或调整它们的匿名化技术。
  
第五步：管理再识别风险
最后，为应对采用匿名化技术后仍可能存在的风险，机构应采取相应的风险缓减措施，例如限制资料用途及仅限授权人员存取资料等。
 
现今时代，数据等同一种新的货币，机构在日常营运中往往需要处理大量个人资料。它们的责任不再单单只是合规，而是要符合公众对机构确保数据安全和AI安全以及它们所肩负的责任的期望。随着机构争相使用AI及其他新兴科技，它们在管理潜在私隐风险的责任亦不断增加，机构必须采取有效措施加以应对相关风险。虽然匿名化只是众多可行的降低私隐风险措施之一，但我仍鼓励机构积极踏出第一步，采用匿名化技术，令它们在营运中使用或定制AI模型时，可以移除或减少所涉及的个人资料。