如何判定是否为个人资料？
新修正个资法针对个人资料之定义为自然人之姓名、出生年月日、国民
身分证统一编号、护照号码、特征、指纹、婚姻、家庭、教育、职业、病历、
医疗、基因、性生活、健康检查、犯罪前科、联络方式、财务状况、社会活
动及其他得以直接或间接方式识别该个人之资料。
何谓可间接识别之个人资料？依据法务部所提出之立法说明，由于社会
态样复杂，有些资料虽然没有直接指名道姓，但是一经揭露后，仍可能识别
出某一特定人，则仍属于可间接识别之个人资料。个资法施行细则针对间接
方式识别之定义为仅以该资料不能识别，须与其他资料对照、组合、连结等，
始能识别该特定个人者。
所谓“得以间接方式识别”之个人之资料是用来补强“得以直接方式识
别”的不足。而当要判断该个人资料是不是属于个资法所保护之“得以间接
方式识别”之个人资料，必须判断这个资料是不是可借由资料持有者所保有
之其他资料互相对照、组合、连结然后指涉到某个特定的人。
例如，线上游戏的情形，玩家通常会注册ID并使用暱称在虚拟世界里活动，
而仅以 ID与暱称通常无法识别出特定之人，但是，透过对照、组合、连结
（如游戏公司的数据库内有 ID或暱称使用者之真实姓名），可以特定出个
人时，此时，ID就会是个资法所称的可间接识别之个人资料。
想请问各位懂法律的大大
合购版第九大项的板规，要公布ID及ID所属人的购物清单
请问这个行为是合法的吗?
真的很好奇这个问题
感谢大家的意见