隱私設計：分享試算表之前，先想清楚誰看得到哪些欄位

一份會員表有會員編號、地區、手機、生日、本月消費。老闆想讓各店店長看每個地區的消費，你把檢視權限給了店長們，過了一陣子才想到：手機和生日也在同一份檔案裡，店長一打開就看得到。

問題出在分享的單位是整份檔案，沒辦法只給某一欄。所以隱私要在建檔時設計，下面是我會把它拆成的樣子。

← 左右滑動看完整的圖，點圖可放大

圖：店長看得到的欄位，就是分析檔裡有的欄位，手機和生日根本不在那份檔案裡。

分享的單位是整份檔案

檢視者能看整份檔案所有分頁的所有欄位，這一點跟權限等級怎麼選無關。四種權限等級的差別在 共用與保護 有講，這篇只留一個重點：給了檢視權限，這份檔案裡的東西就是對方看得到的。

所以第一個該問的是：這一欄要不要放進這個檔案？姓名、手機、Email、地址、身分證字號、銀行帳號這類能指到某個人的欄位，我一律先當成要留在個資檔。能用會員編號代替的，分析檔就只放編號。

保護範圍擋不住檢視

很多人設了「資料」>「保護工作表和範圍」就覺得欄位鎖住了。保護範圍管的是誰能編輯，已經有檢視權限的人照樣看得到。

← 左右滑動看完整的圖，點圖可放大

圖：只有把敏感欄位放在另一個檔案，別人才既改不到也看不到。

隱藏分頁或隱藏欄也一樣，只是不顯示，有編輯權限的人可以直接取消隱藏。保護範圍適合用來防誤改，設定方式在 保護試算表不被誤改。想擋住「看」，辦法只有兩個：不給權限，或是不把那一欄放進這個檔案。

拆成兩個檔，只匯需要的欄位

回到最上面那張圖。三層架構入門是把原數據層、計算層、呈現層放在同一份檔案的三個分頁，這裡多走一步，把含個資的原數據層獨立成另一份檔案，見 三層架構入門。

做法有三步：

1. 個資檔放會員編號、地區、手機、生日，只用個別分享給少數負責人，我不會對這種檔案開連結分享。
2. 分析檔用會員編號記錄每個人的本月消費，店長打開的是這一份。
3. 分析檔需要地區，就用 IMPORTRANGE 從個資檔匯進來，只匯會員編號和地區這兩欄。

IMPORTRANGE 的權限怎麼運作，用下面這張圖看：

← 左右滑動看完整的圖，點圖可放大

圖：授權是由你這個目標檔的編輯者完成的，其他人只是打開目標檔。

這裡的來源檔是個資檔，目標檔是分析檔。你要先對個資檔至少有檢視權限，才能按下「允許存取」。按完之後，分析檔就可以去讀個資檔。其他人打開分析檔時，看到的是匯入進來的資料，不需要自己也有個資檔的權限。

這也代表：匯進分析檔的欄位，所有能打開分析檔的人都看得到。所以只匯需要的欄位，並且把分析檔的人數當成這幾欄的可見人數來想。

要顯示手機的時候

客服核對訂單時可能需要看手機，但不需要看完整號碼。這時可以用 REPLACE 把中間三碼換成星號：

假設手機在 B2，公式是：

手機欄要先設成純文字，不然開頭的 0 會不見，數字也就對不上位置了。

遮罩只改顯示，原始手機如果還在同一份檔案，遮罩就等於沒有。它適合放在分析檔這類沒有原始號碼的地方，原值只留在個資檔。

比遮罩更徹底的是代碼。分析檔裡只出現 M012 這種會員編號，要知道 M012 是誰，得到個資檔查對照表，而那份檔案的權限和分析檔是分開的。

取捨

拆檔換來權限乾淨：個資檔只有少數人，分析檔可以放心給更多人看。代價有三個：IMPORTRANGE 要逐一授權、跨檔出錯時兩邊都要找、會員編號對不上就接不起來。

整份檔案只有你自己用，或裡面本來就沒有個資欄位，就不用拆。多一份檔案就多一份要管的權限，沒有需求不必自找麻煩。

成品與維護

新增會員時，先在個資檔加一列、編號往下接，分析檔再用同一個編號記消費。換人接手時，我會在個資檔放一個「說明」分頁，寫下哪些檔案有連到這裡、各自分享給誰。

設定分享權限的細節，接著看 共用與保護 吧。我是喜特先生，Mr. Sheet，我們下個教學見！