案例09｜GDPR 與 Analytics：Consent、Explanation、PII 與 Bias

1. 案例定位

整理原書 Regulation、General Data Protection Regulation (GDPR) 與 GDPR and Analytics 對 Business Analytics Practice 的要求。

2. 學習目標

理解 Consent、Personally Identifiable Information (PII)、Automated Decision Explanation、Anonymization 與 Bias／Discrimination Accountability。

3. 案例情境

原書指出 GDPR 於 25 May 2018 生效，規範 Organizations 如何 Collect、Store、Process EU Citizens 的 PII；適用於處理 EU Citizens Data 的企業，不限企業所在地。

4. 開始資料

原書項目	內容
GDPR effective date	25 May 2018
Data focus	Personally Identifiable Information (PII)
Dinsmore (2017) Area 1	Limits on data processing and consumer profiling
Area 2	Right to an explanation
Area 3	Accountability for bias and discrimination in automated decisions

5. 分析方法

先辨識 Analytics 是否涉及 PII，再檢查 Consent、Access Control、Anonymization、Model Use of PII、Explanation 與 Bias／Discrimination Risk。

6. 計算結果

原書此部分沒有固定數值計算；25 May 2018 為原書提供日期。

7. 結果分析與管理解讀

原書沒有宣稱 GDPR 使 Business Analytics 無法進行；它指出許多 Analytics 不涉及 Personal Data，另一些可能使用無法識別個人的 Anonymized Data。對涉及 PII 的 Machine Learning，則需要更嚴格的治理。

8. AI Prompt

依指定 Analytics Use Case，標示是否涉及 PII、Consent Evidence、Anonymization、Automated Decision、Explanation Requirement 與 Bias Risk；未提供 Legal／Data Facts 時不得自行判定 Compliance。

9. 思考／What-if

**問題：**若模型完全不使用 Personal Data，是否仍應直接套用本案例所有 PII 處理步驟？

**參考解答：**不能機械套用。原書明確指出許多 Big Data Analytics 並不涉及 Personal Data；應先確認 Data Type 與 Use Case。