報章專欄

《個人資料匿名化入門指南》
今年六月，個人資料私隱專員公署（私隱專員公署）聯同亞太區八個私隱或資料保障機構發布《個人資料匿名化入門指南》（《匿名化指南》），就如何將個人資料匿名化向機構提供實用的指引。《匿名化指南》可於以下連結下載：
https://www.pcpd.org.hk/tc_chi/resources_centre/publications/files/appa_anonymisation_guide072025.pdf。
 
「匿名化」一般是指將個人資料轉化為無法用作識別個人身分的資料。如果資料已完全匿名化，以至在合理地切實可行的情況下，無法直接或間接從該資料確定一名個人的身分，該資料則不再構成《個人資料（私隱）條例》（《私隱條例》）下的「個人資料」。因此，處理此類匿名化資料不受《私隱條例》的規管。
 
現時市面上有多種匿名化技術，而這些技術的主要目的是要降低再識別風險（即將匿名化資料與個別人士作出關連的可能性），同時可保留資料在重要應用上（例如用作統計和研究用途）的實用價值。
 
從保障個人資料私隱角度而言，匿名化在減少個人資料數量用於人工智能（AI）模型中具備關鍵作用，尤其是在定製及使用AI模型的階段。正如私隱專員公署去年發布的《人工智能（AI）：個人資料保障模範框架》所述，我鼓勵機構作為資料使用者，在處理資料整個周期的不同階段採用匿名化技術，以保障它們所持有的個人資料。
 
舉例來說，《私隱條例》的保障資料第3原則訂明，個人資料不得用於與當初收集資料時的目的或直接有關的目的不一致的用途。因此，如果使用個人資料訓練及／或定製AI模型與當初收集資料時的目的不相符，機構便應向資料當事人取得明確及自願的同意，或在將個人資料輸入至AI模型作該些用途前，先進行匿名化處理。
 
私隱專員公署於今年年初進行的循規審查顯示，八成機構已在日常營運中使用AI，當中，五成表示會透過AI系統收集及／或使用個人資料。有見AI在本港的使用越來越廣泛，匿名化可以為機構在保障個人私隱時，同時保留資料實用性提供一個可行方案。
 
《匿名化指南》的重點內容
《匿名化指南》介紹匿名化的基本概念，並概述機構進行匿名化處理個人資料的五個建議步驟，包括：
 
第一步：了解你的資料
機構在進行匿名化處理前，須識別有關資料的類型，包括：

• 直接標識符：可直接識別個人身分的資料，例如姓名及香港身份證號碼；及
• 間接標識符：雖然資料本身未必具有獨特性，但與其他資料結合後可識別個人身分，例如出生日期及性別。

 
第二步：移除直接標識符
在將資料分門別類後，機構應從數據集中移除直接標識符，例如姓名。
 
第三步：採用匿名化技術
機構應採用匿名化技術處理間接標識符，以防止他人透過結合間接標識符及其他資料確定個人的身分。
 
選擇適用於數據集並與資料使用目的相符的技術至關重要。機構如欲尋找合適的匿名化技術，可以參考ISO/IEC 20889等廣受認可的國際標準。
 
第四步：評估再識別風險
機構應該評估已匿名化的資料是否仍存在識別相關個人身分的風險，並根據評估結果判斷匿名化是否足夠。如未能符合相關要求，機構可能需要重複以上步驟或調整它們的匿名化技術。
  
第五步：管理再識別風險
最後，為應對採用匿名化技術後仍可能存在的風險，機構應採取相應的風險緩減措施，例如限制資料用途及僅限授權人員存取資料等。
 
現今時代，數據等同一種新的貨幣，機構在日常營運中往往需要處理大量個人資料。它們的責任不再單單只是合規，而是要符合公眾對機構確保數據安全和AI安全以及它們所肩負的責任的期望。隨着機構爭相使用AI及其他新興科技，它們在管理潛在私隱風險的責任亦不斷增加，機構必須採取有效措施加以應對相關風險。雖然匿名化只是眾多可行的降低私隱風險措施之一，但我仍鼓勵機構積極踏出第一步，採用匿名化技術，令它們在營運中使用或定製AI模型時，可以移除或減少所涉及的個人資料。