試析歐盟法上假名化資料是否屬個人資料之認定標準

隨著數位經濟之興起，如何在資料流通與個資保護間取得平衡，已成當代核心議題，而假名化技術即為其關鍵解方。惟現行GDPR針對「附加資訊」之定義及「合理可能使用方法」之標準，仍有模糊空間。本文旨在透過分析歐盟最新「假名化指引」及歐盟法院指標性判例填補此一解釋缺漏。本文發現，判定是否構成「合理可能使用方法」，關鍵在於再識別風險，或者審視各方當事人間之關係，例如持有假名化資料者，是否具備透過法律途徑向第三方取得附加資訊之能力。然而，該標準本身缺乏特定或可量化指標，將導致法律上不確定性，也因為人工智慧等科技發展導致個人資料認定愈加複雜，因此本文認為未來歐盟應發布更具體之標準，亦應依照技術發展之狀況定期檢視個資之認定。