病歷遮住姓名就安全嗎？AI怎麼看資料線索

你看到病歷遮住姓名，可能以為資料已經安全。可是日期、地點和少見病史放在一起，仍可能讓人猜回同一個人。

醫院可能想讓 AI 學習這些資料。AI 是人工智慧的英文縮寫，指能從大量資料找規律的電腦工具。

所以，資料交出去前，不能只看姓名有沒有消失。還要找出其他可能指向你的線索。

只擦掉姓名，為什麼還不夠

台灣有一部保護個人資料的法律，叫《個人資料保護法》。大家常把它簡稱為「個資法」。

個資法第 2 條列出姓名、生日、病歷和健檢資料。它也保護能間接認出人的資料。

姓名、身分證字號和電話很容易連到你。這些是「直接識別資訊」，也就是資料本身就寫著你的身分。

出生月份、居住地區和看診時間，單看不像姓名。但是多項放在一起，可能只剩一個人符合。

這些從旁透露身分的欄位，叫做「間接識別資訊」。去識別化就是同時處理這兩種線索。

資料要怎麼處理，才不只是一格塗黑

法務部的說明抓住一個重點：處理後不能再直接或間接認出特定的人。

法務部說，去識別化要讓兩種身分線索都失去作用。只遮住姓名，還不能算完成。

團隊先看資料要做什麼，再留下真正需要的欄位。例如完整生日可以改成出生年份，詳細地址可以改成較大的地區。

如果要追蹤同一人的資料，可能用代碼代替姓名。這叫「假名化」，因為保管對照表的人仍能連回本人。

若在合理可取得的資料和方法下都認不出本人，才可能稱為「匿名化」。這個判斷要看資料和使用環境。

外面的資料，可能把人找回來

想像一份資料只寫「某月在某地看診」。如果新聞或社群貼文也有線索，兩邊就可能對上。

把處理過的資料再連回本人，叫做「重新識別」。風險不只藏在一張資料表裡。

美國衛生及公共服務部的英文縮寫是 HHS。它負責美國的健康事務。

HHS提醒，去識別化資料仍可能被認回本人。風險可能很小，但不是零。

HHS也說，沒有一個數字適合所有資料。接收者能找到哪些外部資料，也會改變風險。

時間變久後，公開資料和電腦能力都可能改變。所以一次檢查通過，不代表永遠安全。

這跟你有什麼關係

你在家裡用手機整理學校的健康檢查通知時，可能會把檔案傳給家人。檔名也許寫著你的名字，照片裡還可能看得到學校名稱、日期或班級。這些線索放在一起，別人就比較容易猜出資料屬於誰。

如果你想請 AI 幫忙讀一段報告，先把手機拿給爸爸、媽媽或老師看。大人可以一起確認服務會把資料交給誰、保存多久，以及能不能刪除。不要只用貼紙遮住姓名，就以為其他線索也消失了。

台灣要查法律規定，可以到法務部的全國法規資料庫搜尋《個人資料保護法》。你也可以請大人查看醫院或學校的正式通知，問清楚資料要拿來做什麼。找不到答案時，先不要上傳整份檔案。

誰處理資料，誰來檢查

去識別化不能只靠做資料的人說安全。另一個人要試著找出漏掉的線索。

臺北市政府的流程要求，處理和檢驗不能由同一人兼任。臺北市政府說，檢驗人員還要定期查看洩漏風險。

流程會先問資料要拿來做什麼，再挑出必要欄位，最後測試處理後的風險。

這套流程管的是臺北市政府所屬單位。其他醫院不能直接把它當成全台灣的統一規定。

保護隱私，也要留下能用的資料

拿掉越多資訊，資料可能越難認出人。但是 AI 也可能看不到研究需要的差別。

美國國家標準與技術研究院的英文縮寫是 NIST。NIST建議先看使用目的、分享方式和可能風險。

因此，團隊要同時檢查兩件事。資料要保護人，也要留下完成工作所需的內容。

資料處理成功，不能證明 AI 一定答對。資料品質和 AI 的表現，還要另外檢查。

如果畫面請你上傳健康資料

有些 AI 服務會請使用者上傳健檢報告。孩子不該自己決定要不要交出這些資料。

如果你遇到這個畫面，先請大人一起看。要找出誰收資料、保存多久，以及能不能刪除。

遮住姓名只能少掉一種線索。日期、醫院名稱、條碼和檔名，也可能透露身分。

服務真的需要整份檔案嗎？有時它只需要大人整理後的一小段問題。

如果資料要拿來問病情，請大人帶著報告問醫師。不要自己照著 AI 的回答處理身體問題。

讀完可以記住三件事

第一，姓名消失，不代表所有身分線索都消失。日期、地點和少見組合也要一起看。

第二，誰會拿到資料同樣重要。公開分享和只讓少數人查詢，風險不同。

第三，安全判斷會隨外部資料改變。一次通過，不代表永遠不用再檢查。

去識別化要檢查資料還能不能認出人。資料能不能教好 AI，是另一個要驗的問題。