合成資料與匿名化經常被當成同一件事，但它們的來源與風險完全不同：一個從頭產生，另一個從真實資料加工而來。以下說明幾種常見處理方式的差別、為什麼刪掉姓名仍然可能指向特定的人，以及測試環境該選哪一種。
四種處理方式的核心差別
| 方式 | 做了什麼 | 能不能還原 | 適合用在哪 |
|---|---|---|---|
| 合成 | 從頭產生，不取自真人紀錄 | 無從還原 | 測試、示範、教育訓練 |
| 匿名化 | 移除可識別性且不可逆 | 原則上不能 | 統計分析、公開資料集 |
| 假名化 | 更換識別欄位並保留對照 | 可以 | 需要跨時間追蹤的內部作業 |
| 遮罩 | 部分字元以符號取代 | 可能可以 | 顯示與客服介面 |
這張表最重要的訊息是：能不能還原決定了風險等級。假名化與遮罩都保留了某種連結能力，因此仍然需要存取控制與保存期限；合成資料則沒有這個問題，因為它本來就不對應任何人。
選擇時要先問資料的用途。若只是要驗證表單、流程與排版，合成資料就足夠；若真的需要真實的分布特性，才需要考慮其他方式，並承擔相應的保護成本。另一個要問的問題是資料要用多久：合成資料沒有保存期限的壓力，其他方式則必須先想好刪除的時點。
為什麼刪掉姓名不等於匿名化?
因為姓名只是最容易辨識的欄位，不是唯一的。移除姓名之後，出生日期、郵遞區號、證件號的部分數字與性別等欄位仍然存在，而這些欄位的組合往往足以把範圍縮小到極少數人。
有些欄位單獨看幾乎無害，例如罕見的職業加上特定的居住區域。這正是匿名化困難的原因：風險不取決於單一欄位的敏感程度，而取決於整筆紀錄在真實世界中的稀有程度。
若資料集來自一個本來就很小的人群，例如某家公司的員工或某個偏鄉社區，匿名化的難度會顯著提高。此時降低欄位精度（例如只保留出生年份而非完整日期）通常比刪除欄位更有效。
組合欄位為什麼能重新識別一個人?
只要存在另一份可以交叉比對的資料，重新識別就有可能。公開的社群資料、選舉名冊、商業資料庫或另一份未完全處理的內部資料，都可能提供足夠的線索，把看似無害的欄位接回一個具體的人。
這也是為什麼只處理單一檔案沒有意義。若同一批人出現在多個系統中，而其中一個系統保留了完整欄位，那麼其他系統的匿名化就形同虛設。評估風險時要看整體環境，而不是只看手上這份資料。
實務上的檢查方式很單純：把一筆紀錄攤開，問自己這些欄位放在一起能縮小到多少人。如果需要動用額外資料才能識別，風險較低；如果只靠這筆紀錄就能鎖定，那它就還沒有被妥善處理。
哪一種適合測試環境?
測試環境幾乎總是合成資料勝出，理由有三個：它不受保存期限限制、可以任意複製與刪除、也不會因為一次外洩而牽連真人。例外很少，通常是必須以真實分布驗證統計或模型行為的情境。
匿名化資料在測試環境裡還有個隱藏問題：它看起來像真的，於是大家忘記它仍然來自真人，進而放寬了存取限制。合成資料沒有這個誘因，因為它本來就沒有對應的本人。
遮罩則容易被高估。遮罩後的資料在畫面上看似安全，但若對照關係固定，重複出現的同一個遮罩值本身就成為一種識別碼。要拿它當測試資料，就必須確認它不會被用來還原。同樣的邏輯也適用於雜湊：若沒有額外的祕密值，同一個輸入永遠得到同一個輸出，只要對方手上有一份可對照的清單，就能反查出原本的內容。
給開發者：可重現的產生與驗收
- 產生器提供種子值，同一組種子產生同一批資料。
- 分布可以合理，但不得由真實紀錄推導或抽樣。
- 產生邏輯與樣本一起進版控，讓資料集的來源可追溯。
- 驗收時明確檢查資料中不含任何來自正式環境的欄位。
- 刪除流程涵蓋備份、快取與搜尋索引。
- 文件寫明資料集為合成，避免後人誤以為它是去識別化的真實資料。
本站的身份產生器產生的姓名、證件號、生日與地址都是合成的，可以在測試與示範環境取代真實個資；這些內容只供測試使用，不能用來冒充任何真人，也不具備通過實名驗證或開設帳號的效力。相關的原則整理在 GDPR 測試資料與地址資料隱私。
怎麼證明資料裡沒有真人?
驗收時最有效的做法不是抽樣檢查，而是檢查來源。確認資料是由產生器造出、種子與程式版本有紀錄、且流程中沒有任何一步讀取正式環境的資料，比事後翻找資料集可靠得多。
其次可以檢查稀有性：統計每筆紀錄的欄位組合是否在全庫中唯一，若每筆都獨一無二，代表它們在真實世界中也很容易被指向特定的人。合成資料可以刻意讓部分組合重複，反而降低這種風險。這項檢查也能當成產生器的品質指標：若某個國家產生的紀錄組合幾乎都不重複，通常代表可用的欄位範圍太窄。
最後把結論寫進文件。若沒有留下「這批資料是合成的」這個事實，下一個接手的人只能憑外觀猜測，而猜測通常會往安全的方向出錯：把它當成真的來保護，或更糟，當成無害的來處理。
分布要像真的到什麼程度?
合成資料不需要複製真實世界的比例，只需要在測試真正依賴的特徵上保持一致。例如證件號的位數分布、生日落在哪些年齡區間、姓名的長度範圍，這些會影響驗證邏輯與介面排版，就值得讓它合理。
不需要跟真實世界一致的部分包括各地區的人口比例、實際的姓名頻率與完整的郵遞區號涵蓋率。刻意複製這些細節，反而會提高某些欄位組合的稀有程度，讓資料更容易指向特定的人，也讓產生邏輯更難維護。
比較穩健的作法是讓產生器提供幾個可調參數，例如國家、年齡區間與欄位長度上限，由測試自行決定要造出什麼樣的分布，而不是把某一組真實比例寫死在產生邏輯裡。
下一步
確認目前的測試資料是產生而來還是加工而來；若是後者，規劃一次替換，並在驗收清單加上「不含正式環境來源」這一項。需要新樣本時，先從合成資料開始，只在無法滿足時才考慮其他方式。