數位皮夾能解隱私疑慮？ 學者：法規模糊才是台灣資料治理根本問題

繼先前「數位身分證」引發隱私疑慮而喊停後，數發部去年底推出「數位憑證皮夾」，可供身分驗證使用。民間團體台灣人權促進會在7月1日舉辦「政府資訊公開大進擊：數位身分與資料交換的治理與隱私權挑戰」座談會，會中專家學者直言，台灣缺乏明確的法律框架，以致資料即便分散各部會卻常輕易被串接使用，是當前資料治理的根本問題。

從數位身分證到數位皮夾 隱私保護的難題

網購到貨了，以往到超商領包裹得拿出身分證「證明是本人」，不論店員、監視器或身旁其他顧客都可能不小心瞥見身分證字號、生日、甚至是婚姻狀態。去(2025)年底數位發展部推出「數位憑證皮夾」服務，目前可透過加入電信門號憑證、在不洩漏多餘個資的狀況下完成身分驗證；未來此服務預計可整合駕照、學生證、畢業證書等證件，讓生活應用場景數位化。

類似政策願景也出現在2015年啟動、最後胎死腹中的「數位身分證」。為邁向數位國家、智慧政府發展，政府規劃從紙本身分證換發成晶片身分證、甚至加上NFC得以無線感應讀取資料，同時規劃整合自然人憑證、駕照、健保卡等「一卡多用」功能，引發外界擔憂「萬能鑰匙出問題將衍生很多問題」、「駭客可無線攻破並讀取當中個資」，最終在2021年宣告暫緩換發。

相比於「數位身分證」是強制換發、集中保存於政府發行的實體卡片中，如今「數位皮夾」特別強調資料自主管理、分散式儲存、選擇性揭露等保障，民眾可自由決定要添加哪些憑證到手機，並搭配臉部或指紋的生物辨識把關，看似弭平諸多隱私疑慮。

然而中研院法律所資訊法中心主任吳全峰卻強調，在缺乏明確法律框架下，「去中心化」的安全保障恐怕只淪為形式。他解釋，目前資料雖都分散儲存於勞保局、健保署等機關，但政府常在缺乏法律規範與授權的情況下得以串接使用，且未保留調取紀錄以供問責，實際上難以達成「去中心化」想保護個資隱私的理想目標。

吳全峰說：『(原音)數位皮夾的狀況變成又把不同的證件放在那個皮夾裡面，然後你可以用那個皮夾拿來當作身份認證的東西。政府講說「你們之前反對身份證eID的原因是你強迫大家去換身份證，那我就不要強迫你，你把所有證件資料放到那個數位皮夾上面去，那你自己同意去用這個東西」，可是問題是剛剛講的法規問題有解決嗎？沒有，問題還在那邊。』

中研院法律所資訊法中心主任吳全峰，也是台權會的執行委員。(饒辰書 攝)

假的去中心化？資料分散各部會 彼此卻相互串接

律師黃昱中指出，內政部有戶籍資料、財政部有納稅資料、交通部有車籍資料、衛福部有健保資料、勞動部有勞保資料，這些資料看似獨立存放在不同政府機關內，但實際上透過「自然人憑證」即可全部串接起來。他進一步分析，要取用這些資料除了機關申請外，依據學術目的或發包委託的案件，「第三方單位」也可在政府授權下接觸並使用這些資料。

黃昱中強調，雖然各部會取用資料時有依循內部「辦法」或「要點」，「但那都是行政命令位階，不是法律位階」，恐有違法律保留原則。他說：『(原音)前陣子開放文化基金會有做一個訪談跟研究，問說「政府機關之間互相存取、調取個人資訊的法律依據在哪裡？」，其實政府機關直接回答他「我們目前沒有法律依據」。請記得這件事，它(政府)直接告訴你目前沒有法律依據。其實之前好像有立委去質詢，它(政府)就會搬出個人資料保護法第15條說「因為我要執行我的法定職權義務」，那我覺得很不可思議，因為這個授權對我們來講是太廣泛、非常模糊。』

另一個例子則是警用電腦「M-Police」，黃昱中解釋，此系統可以查閱人民的犯罪紀錄、車籍與戶籍資料，「你可能只是騎摩托車紅燈右轉被攔下來，警察就可以知道你『祖宗十八代』做了哪些事情」，然而該系統運作10多年來卻缺乏嚴謹法律授權。

透過M-Police系統，警方得以直接在攔檢現場比對遠端資料庫的身分證照片、進而確認真實身分。雖然政府聲稱這有利因應不配合盤查或偽造身分的民眾，但東海大學法律學系退休教授范姜真媺對此深感震驚並直言「非常荒謬」，他說：『(原音)那時候我第一句話就是問「請問內政部你為什麼會把這些照片建立這個資料庫？你的法律依據在哪？」，然後在我第二輪我就問「那你這樣子利用、建立這個資料庫，你告訴人民了嗎？你有沒有公告過你們有建立這個資料庫、有這樣一個基礎的存在？」他們完全答不出來。』

東海大學法律學系退休教授范姜真媺以M-Police系統為例說明政府使用人民個資存在嚴重疑慮。(饒辰書 攝)

M-Police系統的「人臉辨識」功能已於2021年底暫停使用，不過學者們強調，這些例子一再凸顯當台灣社會缺乏完善法律框架規範、加上政府缺乏對資料使用與隱私保護的意識時，恐讓人民在無從知曉的狀態下蒙受侵害。

缺乏完善法律框架 學者：制度與民眾意識須並進

吳全峰分析坦言，台灣在巨量資料應用或AI發展當中，政府偏向從效率或技術觀點切入，所以它們把「去中心化」當成是純粹的技術問題，「就是資料保存在不一樣的地方」；卻沒有相應建立起技術背後搭配的「法規範」，最終結果即為「資料實際上串來串去」、未能實現技術上的理想目標。

以2004年從紙本換發成晶片健保卡為例，當初因為擔心晶片保存太多敏感的隱私資訊，所以嚴格限制只能作就醫用途；然而近年來政府又鬆綁內部規範，逐漸開放報稅、疫情期間領口罩、領取振興券等無關用途。他強調，由此可知若要完善資料與隱私保護，建構經民意監督與制衡的「法律層次規範」是至關重要的一環。

范姜真媺表示，日本近年推動數位身分證「My Number Card」雖在國內也遭受不少質疑聲浪，但是其法律框架設計相當細緻，像是哪些機關單位之間可以連線、基於什麼目的查詢哪些資料等等都有詳細規範，值得台灣借鏡。

另外，日本也特別強調「目的限制原則」，意即機構在使用個人資料時理應框限在最初承諾的目的及範圍，不應擴大解釋或挪作他用。學者們觀察，台灣的政府機關常寬鬆解釋《個資法》第15條及第16條，聲稱基於「執行法定職務必要範圍」等理由，以致怠於保護民眾個資。

吳全峰說：『(原音)所以重點就在於說，政府願不願意依照原來法律的精神去做這些事情，相對來講比其他事情更重要。所以它不是單純說要從哪一個法律去突破的問題，而是你(政府)願不願意照著原來各自法定的精神去做。只要你(政府)願意好好的照那個原則下去執行，基本上很多問題都能夠解決。』

除了制度層面外，提升「台灣民眾資料自主及隱私保護意識」亦是一大關鍵。黃昱中舉例，律師公會便在未取得全體會員同意的情況下換發悠遊卡，讓第三方單位取得姓名、身分證字號、執業狀態等個人資訊。范姜真媺表示，當大眾沒有意識到個資的重要性，相關法律建設自然難以邁向完備。

於是，未來在持續訴求完善法律制度之餘，也應同步強化民眾對個資隱私的重視，才有機會在善用數位科技的同時，仍確保對人民權益的保障。

延伸閱讀

不只法規真空 英學者：真正掌控隱私資料的是科技巨擘 政府也得低頭