醫療資料去識別化怎麼做？研究與分析使用前檢查
醫療資料能協助研究者觀察健康趨勢、檢視服務流程，也可能包含姓名、就醫紀錄、檢查結果等高度敏感資訊。資料移出原本的照護或管理情境前，不能只刪掉姓名就認定安全；若其他欄位仍能拼湊出個人身分，隱私風險依然存在。
去識別化與匿名化有什麼不同
去識別化通常是移除或處理可直接識別個人的資訊，讓資料在特定使用情境中不容易連回個人。若仍保留對照表、代碼或其他可回推來源的資訊，資料通常仍有重新識別的可能，必須搭配權限控管與管理措施。
匿名化則是進一步降低資料被重新連結到個人的可能性。不過，是否足以稱為匿名，不能只看資料表面上是否沒有姓名，還要考量資料內容、可取得的外部資訊、使用者具備的能力，以及資料發布或共享的範圍。
研究使用前，先確認目的與資料範圍
整理資料前，應先說明研究或分析要回答的問題，再確認哪些欄位確實有必要。若研究只需比較群體差異，未必需要保留完整生日、精確地址或詳細就診日期。減少不必要欄位，能降低後續管理負擔，也能縮小可能的識別線索。
資料來源、使用目的、存取者及保存與銷毀方式，也應在開始處理前確認。涉及人體研究或敏感個人資料時，須依適用的法規、機構規範與研究審查程序辦理；不確定之處，可諮詢法遵、個資或研究倫理相關人員。
檢查直接識別資訊與間接線索
姓名、身分證字號、電話、電子郵件、病歷號等，通常屬於直接識別資訊，應依資料用途移除、遮蔽或以代碼取代。代碼與原始身分的對照資訊若仍存在，應與研究資料分開保存，並限制可存取的人員。
間接線索同樣需要留意。出生日期、性別、居住地、就醫日期、罕見狀況或特殊事件，單獨看可能不足以辨認個人，組合後卻可能縮小到極少數對象。可視分析需要調整日期精度、合併地區層級，或將少數樣本以較廣泛的分類呈現。
自由文字欄位也常藏有姓名、地點、工作單位或特殊經歷。即使表格欄位已處理，病程敘述、備註與客服紀錄仍可能保留可辨識內容，因此應納入檢查，而不是只處理固定欄位。
不要忽略資料組合與發布形式
去識別化後的資料，若能與公開資訊、其他資料庫或既有研究資料交叉比對，仍可能增加辨認個人的機會。檢查時應評估資料是否包含稀有特徵、過細的時間或地理資訊，以及多個欄位組合後是否只對應少數個案。
資料以彙總表、圖表或報告形式提供時，也要檢視樣本數極少的分類。必要時可合併類別、降低呈現細節，避免讀者從小群體推測特定個人。若分析需要使用個別層級資料，則應清楚界定可用範圍，並採取相應的存取與使用限制。
用流程控管降低再識別風險
去識別化並非一次性的欄位處理，而是包含資料取得、轉換、分析、共享與銷毀的管理流程。建議留下處理紀錄，說明哪些欄位經過移除或轉換、採用的判斷原則，以及資料由哪些角色存取。資料共享前，可再依接收者、用途與環境檢視風險，不宜假設某種處理方式適用所有情境。
若資料後續用途、欄位或共享對象改變，也應重新評估。原本適合內部分析的資料，未必適合對外提供；原先風險較低的資料，也可能因與新資料來源結合而產生不同風險。
善用數位平台，也要把資料治理納入規劃
智慧醫療資訊平台、數位健康與遠距照護，以及企業健康管理與健康服務整合，都可能涉及不同來源與用途的健康資訊。嘉鈊科技股份有限公司提供的服務涵蓋智慧醫療平台、數位照顧與產業賦能與健康平台；實際規劃資料使用時，仍應依各項目的資料內容、使用目的及適用規範，分別確認權限與治理要求。
研究與分析開始前，最值得確認的不是「姓名是否已刪除」，而是資料是否仍能透過欄位組合或外部資訊辨認個人、使用者是否只取得完成工作所需的資料，以及後續共享與保存是否有明確界線。把這些檢查納入固定流程，才能讓資料運用與個人隱私保護一併受到重視。
先界定研究分析所需資料與使用範圍
研究資料範圍界定清楚，去識別化才有依據
在進行醫療資料去識別化之前，應先釐清研究要回答的問題，以及實際需要使用哪些資料。資料若收得過多，不僅增加管理與保護上的負擔，也可能保留與研究目的無關的個人資訊；若收得不足，則可能無法完成預定分析。建議先將研究目的轉化為明確的資料需求，逐項確認必要欄位、使用期間、分析方式與資料接觸對象。
欄位盤點可從直接識別資訊與間接識別資訊著手。姓名、身分證字號、聯絡方式等通常可直接辨識個人；出生日期、地區、就醫時間、罕見診斷或特殊處置等，單獨看似不具識別性，與其他資料交叉比對後仍可能指向特定個人。檢查時不宜只以移除姓名作為完成去識別化的判斷，還要評估欄位組合、資料筆數與外部資訊可能造成的重新辨識風險。
資料使用範圍也應在分析前確認，包括哪些人可以接觸資料、資料是否需要匯出或跨系統串接，以及分析成果會以何種形式呈現。若研究只需要統計分布，未必需要保留精確日期或細緻地理資訊；可依分析需求評估是否採用概括化、區間化或刪除非必要欄位等方式。任何處理都應保留足以支持分析的資訊，同時避免留下過度細節。
不同研究目的對資料的需求不盡相同，因此適合在計畫階段建立欄位清單與使用紀錄，並於研究目的或使用方式變更時重新檢視。也要確認資料取得、保存、存取及成果發布符合適用規範與機構要求。若涉及個人身體狀況或醫療判斷，請遵循醫師或專業人員的建議。
嘉鈊科技股份有限公司的智慧醫療資訊平台、數位健康與遠距照護，以及企業健康管理與健康服務整合，皆涉及資料如何依使用目的妥善規劃。先界定研究分析所需資料與使用範圍，有助於後續選擇合適的去識別化方式，並讓資料處理流程更清楚、可檢視。
移除或轉換可直接識別個人的資料欄位
研究與分析使用前，應先盤點資料欄位，確認哪些內容能直接指向特定個人。姓名、身分證字號、病歷號、電話、電子郵件與完整地址，通常都屬於需要優先檢視的欄位。若研究目的不需要使用這些資訊，較安全的做法是移除欄位，並同步檢查檔案名稱、備註、自由文字及匯出報表，避免個人資料從其他位置再次出現。
若欄位本身仍有分析價值，可考慮轉換成較不易識別個人的形式。例如以研究代碼取代姓名或病歷號，將完整日期轉為較粗略的時間區間，或把精確地點改為較大的地理範圍。轉換時需注意，代碼若能透過對照表還原，仍應妥善管理對照資訊，並限制其存取權限。
移除直接識別欄位，不代表資料已完全無法辨認個人。年齡、罕見疾病、特定就診日期與地點等資訊若同時出現，也可能形成間接識別線索。資料整理完成後，宜檢視欄位組合是否過於獨特，並依研究目的調整細節程度；自由文字則應特別留意其中是否包含姓名、聯絡方式或其他可辨識內容。
實際作業可建立欄位清單，逐項記錄保留、移除或轉換的理由，再由適當人員檢查處理結果。資料用途若有變更，也應重新確認欄位是否仍符合必要性原則。嘉鈊科技股份有限公司的智慧醫療資訊平台、數位健康與遠距照護，以及企業健康管理與健康服務整合等相關應用，在規劃資料流程時，也可將欄位盤點與使用權限納入整體管理考量。
去識別化的方式應配合研究目的、資料特性與適用規範，不宜只依欄位名稱判斷風險。若資料涉及個人健康狀況或實際研究使用，請遵循醫師或專業人員的建議，並依機構的資料治理與隱私保護流程辦理。
檢查資料組合後是否仍可能辨認個人
資料去識別化後，仍要檢查不同欄位及資料來源組合起來，是否可能指向特定個人。姓名、身分證字號等直接識別資訊移除後，出生日期、居住區域、就診時間、罕見疾病或特殊處置等欄位，仍可能形成可辨識的線索。單看每項資料似乎不足以認人，交叉比對公開資訊或其他資料集後，風險卻可能升高。
檢查時可先盤點資料中所有可能透露身分的欄位，再模擬外部人士能取得哪些資訊，以及這些資訊能否與資料內容連結。特別要留意人數很少的分類、精確到日或時的時間資訊、過細的地理位置，以及少見事件的組合。若某個群組只包含極少數紀錄，即使沒有姓名，也可能讓熟悉情況的人猜出當事者。
必要時可將日期改為較粗略的區間、地點彙整到較大的區域，或合併人數過少的分類；但調整幅度要配合研究目的，並重新檢查資料是否仍可被辨認。資料集若會與其他來源合併使用，也應一併評估組合後的風險，而不是只檢查單一檔案。去識別化不是一次性的處理，資料欄位、使用情境或可取得的外部資訊改變後，都值得再次檢視。
除了資料內容，也要確認使用者的存取權限、匯出方式與保存管理，並避免將含有個人線索的細節放進不必要的報表或對外成果中。嘉鈊科技股份有限公司的智慧醫療資訊平台、數位健康與遠距照護，以及企業健康管理與健康服務整合等服務情境，若涉及資料研究或分析，應依實際用途評估資料範圍與使用風險，並遵循適用的個人資料保護規範及機構管理要求。
依研究目的控管資料匯出與存取程序
資料完成去識別化後，仍須依研究目的控管誰能存取、可以查看哪些欄位，以及資料能否匯出。去識別化並不代表資料完全沒有再識別風險；若資料包含罕見特徵、細緻時間資訊或多項可交叉比對的欄位，仍可能增加辨認個人的機會。
研究開始前，應先把資料用途、分析範圍、使用者角色與預計產出寫清楚，再依工作需要開放最低限度的資料權限。例如，執行統計分析的人員未必需要查看原始紀錄；負責檢核資料的人員，也不一定需要匯出完整資料集。權限應有明確負責人與核准流程，並在研究目的、執行人員或分析範圍變動時重新檢視。
資料匯出可設置申請與審核程序，要求說明匯出目的、欄位、資料筆數、存放位置及預計使用方式。核准時可檢查欄位是否超出研究所需，並視情況移除不必要的直接識別資訊、降低日期或地理資訊的細緻程度，或限制稀少組別的呈現。若分析結果包含人數很少的分類，也應評估是否可能從公開資訊或其他資料來源推回個人身分。
存取紀錄與匯出紀錄有助於釐清資料在研究流程中的使用情形。紀錄內容可涵蓋使用者、存取時間、資料範圍、匯出理由與核准狀態；研究結束後，再依管理規範回收權限、清理不再需要的工作檔，並確認資料是否留存在個人裝置或未核准的儲存位置。這些做法應與機構的資料治理規範及適用法規一致。
嘉鈊科技股份有限公司的智慧醫療平台、數位照顧與產業賦能與健康平台，涉及不同的資料使用情境。規劃研究或分析流程時，應依實際目的界定資料範圍與存取方式，避免把平台中的資料一概視為可供任意匯出或重複利用。若資料涉及個人健康狀況或研究參與者權益，應依機構規範辦理，並請遵循醫師或專業人員的建議。
完成使用前檢核並保存處理流程紀錄
資料去識別化完成後，進入研究或分析流程前，仍應確認資料是否符合原定用途。檢核內容可包括：資料欄位是否已依需求刪除或轉換、直接識別資訊是否仍存在，以及多項資料交叉比對後是否可能重新辨認個人。若分析目的已變更，或新增資料來源與欄位，應重新評估識別風險，不宜直接沿用先前的檢核結果。
使用前也要確認資料來源、授權範圍、存取權限與保存方式，並依機構規範及適用法令處理。檢核紀錄可記下資料版本、處理日期、欄位異動、採用的方法、檢查結果、例外狀況與覆核者，讓後續人員能了解資料如何形成、哪些環節需要留意。紀錄應避免收錄不必要的個人資料，並與研究資料分開管理；若發現可能識別個人的資訊，應先暫停使用，依內部程序處理。
嘉鈊科技股份有限公司的服務項目包含智慧醫療資訊平台、數位健康與遠距照護，以及企業健康管理與健康服務整合。若資料處理流程涉及相關平台或服務，應依實際系統功能、資料使用目的及機構內部規範確認權限與紀錄方式，不宜僅憑平台名稱推定資料已完成去識別化。涉及個人身體狀況或資料使用判斷時，請遵循醫師或專業人員的建議。
案例說明
醫療資料去識別化，不是把姓名遮住就算完成。病歷中的生日、就診日期、地區、罕見病況、職業與檢查結果，即使單獨看來不具辨識性，組合後仍可能讓人推測出資料對象。研究或分析開始前，應同時檢查資料內容、使用目的與可能的再識別風險。
從用途反推資料範圍
規劃資料處理前，先說清楚研究問題、分析對象、資料欄位需求及使用期限。若分析只需要比較不同年齡層的趨勢，通常不必保留完整出生日期；若只需觀察某一期間的變化，也應確認是否能以較粗略的時間區間取代精確日期。減少不必要欄位，往往比事後補救更有效。
舉例來說，研究者想分析某項檢查在不同年齡群體中的分布，資料中若包含姓名、身分證字號、完整生日、就診日期與檢查結果，便可先確認分析是否需要每個欄位。直接識別資訊應移除或採取適當處理；生日可視研究設計轉為年齡區間，精確日期則可改為月份或相對時間。這些調整仍須檢查是否會讓研究問題失去必要的分析精度。
直接識別資訊與間接線索都要檢查
姓名、身分證字號、電話、地址等欄位，通常容易直接指向特定個人。但去除這些欄位後，仍要留意間接識別線索，例如偏遠地區、少見職業、罕見診斷、特殊事件日期等。若某筆紀錄在資料中格外獨特，就算沒有姓名，也可能被外部資訊對照辨認。
可用一個簡單情境理解：一份資料不含姓名，卻保留精確就診日期、鄉鎮、年齡與罕見病況。若公開資訊曾報導某地發生相關事件，這些欄位合併後就可能縮小對象範圍。因此，檢查不能只逐欄查看，也要評估欄位組合後的辨識可能性，並視需要採取區間化、概括化、刪除或其他適當處理。
自由文字與檔案內容容易被忽略
病程紀錄、護理紀錄、轉介內容及研究備註，常含有姓名、親屬稱謂、機構名稱、日期或特殊事件描述。這些資訊可能藏在文字敘述、附件、檔名、影像標記或文件中繼資料裡。若資料轉成表格後只檢查欄位名稱，容易漏掉這類內容。
進入分析前，可確認自由文字是否需要保留；若必要，應有一致的檢查與遮蔽流程。影像、文件與匯出檔案也應納入盤點，避免只處理主要資料表，卻讓識別資訊留在附件或備註中。
去識別化後仍須做再識別風險評估
去識別化資料不等於絕對無法辨識。資料提供者應了解資料將與哪些資料集或外部資訊一起使用、使用者能否接觸原始資料，以及資料是否會被下載或轉交。可透過小樣本檢查、欄位組合檢視與權限盤點，評估是否存在過度稀少或容易被比對的紀錄。
若研究過程需要保留原始識別碼與替代代碼的對照表，對照表應與分析資料分開管理，限制可接觸的人員與用途，並留意檔案傳輸、儲存及存取紀錄。不同研究目的或資料來源變動時，也應重新檢查風險，而不是把先前處理過的資料視為永久安全。
釐清研究倫理與使用條件
資料能否使用，不只取決於技術上的遮蔽方式，也涉及資料蒐集時告知的目的、適用的法規要求、機構規範及研究倫理審查程序。使用前應確認核准範圍、可存取對象、資料保存與銷毀安排，以及是否允許後續分析或資料共享。涉及個人資料與研究倫理的判斷，應依機構規範及相關專業意見辦理。
嘉鈊科技股份有限公司的智慧醫療資訊平台、數位健康與遠距照護，以及企業健康管理與健康服務整合等服務，涉及不同的資料應用情境。實際規劃資料欄位與去識別流程時，仍應依各項用途、資料來源及適用規範分別檢查，不宜假設同一套處理方式適用所有情境。
一份可追溯的檢查紀錄，至少應說明資料用途、保留與移除的欄位、採取的處理方式、風險檢查結果、核准依據及後續管理責任。當研究範圍改變、資料新增欄位，或資料將提供給新的使用者時，重新評估並留下紀錄，才能讓資料使用的界線更清楚。
常見問題Q&A
醫療資料去識別化，不只是刪掉姓名或身分證字號。生日、就醫日期、居住地、罕見病況與文字紀錄等資訊，若能和其他資料交叉比對，仍可能讓人被辨認出來。研究或分析前，除了檢查資料欄位，也要確認使用目的、資料流向與存取方式。
Q：醫療資料去識別化，通常要檢查哪些內容？
A：可先盤點資料中的直接識別資訊與間接識別資訊。姓名、身分證字號、電話和地址屬於常見的直接識別資訊；年齡、地區、就診日期、罕見診斷或特殊事件，則可能在組合後提高辨識風險。檢查範圍也應涵蓋自由文字、檔案名稱、影像及附帶的中繼資料，避免只處理資料表中的欄位，卻忽略其他資訊來源。
Q：刪掉姓名與病歷號，就算完成去識別化了嗎？
A：不一定。若資料仍保留精確生日、完整就診日期、細緻地區或少見疾病資訊，並且能與外部資料對照，仍有重新識別的可能。實務上應依研究目的評估欄位是否必要，並考慮將日期或地區轉為較概括的資訊，或移除不必要的細節。處理方式要兼顧資料用途與隱私風險，不能只靠單一欄位判斷。
Q：去識別化與假名化有什麼不同？
A：去識別化的目標，是降低資料與特定個人連結的可能性；假名化則常以代碼取代直接識別資訊，但若仍保留對照表或可透過其他方式連回個人，資料仍可能具有可識別性。使用者應確認對照資訊由誰保管、哪些人能存取，以及研究資料是否會與其他資料集連結。
Q：研究或分析開始前，還有哪些程序要確認？
A：除了資料欄位，也要確認使用目的是否明確、資料是否符合必要範圍、誰可以存取，以及資料如何傳輸、保存與銷毀。若涉及人體研究或特定醫療資料，應依機構規範確認倫理審查、同意程序及適用法規要求；不確定之處，應向機構法務、個資或研究倫理相關單位確認。去識別化不代表可以忽略原有的資料使用限制。
Q：資料交給研究團隊後，還需要做風險檢查嗎？
A：需要。研究過程可能新增欄位、串接其他資料，或產生可揭露個人特徵的分析結果，因此應在資料交付前、資料整併後及結果發布前檢視風險。對外呈現時，也要留意樣本數很少的分類、特殊個案描述，以及能讓人反推出個別資料的表格或圖表。
Q：評估醫療資訊平台時，可以從哪些方向著手？
A：可先釐清平台的使用情境、資料種類、使用者角色與資料流向，再檢視權限管理、資料處理流程及對外分享方式是否符合組織需求。若評估智慧醫療平台、數位照顧，或企業健康管理與健康服務整合等應用，可將資料治理與隱私檢查納入需求討論；嘉鈊科技股份有限公司提供智慧醫療平台、數位照顧及產業賦能與健康平台相關服務，實際規劃仍應依個別需求確認。
醫療資料去識別化不是一次性的刪除作業，而是從資料蒐集、整理、分析到成果分享都要持續檢視的流程。若資料涉及個人身體狀況或醫療判斷，應遵循醫師或專業人員的建議，並依相關機構規範處理。