當事人要求查詢個資時，身分驗證怎麼做才不會變成另一個風險

個人要求企業提供自己被保存的資料，看起來像客服作業，實際上卻同時牽涉資料安全、當事人權利和服務流程。企業如果不驗證身分，可能把會員資料、交易紀錄或健康資訊交給冒名者；如果一律要求身分證正反面、自拍照、戶籍資料和一堆額外文件，又可能為了確認一個請求而蒐集更多高風險個資。

真正要處理的問題不是「要不要驗證」，而是「在這個請求的風險下，需要驗證到什麼程度」。驗證方法應該和資料敏感度、請求管道、帳戶既有登入狀態、代理關係以及企業是否真的對這個人有既存識別資料相稱。這也是企業把法規要求落成流程時，最容易失去判斷力的地方。

本文聚焦在個人要求查詢或取得個資時的身分與授權驗證，不討論完整的資料搜尋、第三人資訊遮蔽或各產業的特殊拒絕事由。不同法域和產業仍須個別確認適用規範。

...