開啟小鈴鐺通知

檢舉內容

參加冬奧入境中國，被要求下載「冬奧通」APP；在台北市圖書館借本書，被要求下載「台北通」APP，可以這樣作為交換條件嗎？

日前有新聞報導至中國參加北京冬奧的選手或隨行人員必須在入境14日前，下載一款名為「冬奧通MY2022」的APP，主要作為防疫為目的所用，這款APP中提供旅遊建議、Covid-19相關的健康監控與GPS定位導航等功能，以作為使用者在中國境內的導引。但這款APP傳出有其資訊安全的風險，尤其是個人資料外洩的風險。

報導指出，此款APP會大量搜集使用者的敏感性健康與旅遊個資（例如護照資訊及病歷等），但在資料加密與傳輸缺乏該有的安全保護措施，經常無法驗證SSL憑證，傳送資料時亦沒有加密保護的安全措施，所以除了無法驗證相關資料傳輸的去向外，亦容易遭到惡意攻擊者輕易地攔截APP傳送的資料。

此款APP有其資安風險的存在，若可以修復或解決上述問題，風險即可降低，但其關注的重點在於「強制下載」此款APP，參加冬奧的選手與隨行人員若是拒絕，恐無法入境，而下載了又必須輸入個人資料，實質上是剝奪了欲入境者選擇上的自由，遭強迫、非自願地被蒐集個資。打著防疫的標題下，其實亦有其他手段可供選擇，例如入境前出具檢測的醫療證明、打過疫苗的證明等，即可控管入境者的健康狀況。而在入境後，亦可進行隔離、採檢等措施，判斷其有無染疫。而下載APP就可以取代以上所有措施嗎？更何況要求下載APP背後的目的可能涉及其言論、行動等監控，才是更令人匪夷所思的。

在我國也有相類似的情況，即「台北通」APP的爭議，該爭議在於台北市民使用公共服務如公立托嬰、圖書館、親子館等，必須下載並註冊使用台北通APP，才能進一步去使用公共服務，若無，將遭拒絕提供該公共服務。如此一來，下載台北通APP似成為使用公共服務前的條件之一，而此對台北市民所加諸的限制有其法源依據嗎？還是機關主管說得算，只要今天我想限制就限制，明天我開心就開放不需要下載APP呢？在法治國原則下，當然不行這樣搞！

在個人資料取得的限制上應秉持「個人資料的蒐集應存在適當的限制，進而以合法且公平的方式取得，並且透過適當的方法知會資料來源或者主體，再進一步取得同意」原則，而在我國個人資料保護法第15條規定：「公務機關對個人資料之蒐集或處理，除第六條第一項所規定資料外，應有特定目的，並符合下列情形之一者：一、執行法定職務必要範圍內。二、經當事人同意。三、對當事人權益無侵害。」

若是公務機關以提供公共服務與下載APP被搜集資料作為交換條件，本質上就架空了「經當事人同意」的規範目的，人民的「同意」不盡然都是由衷的，很可能是不得已的，且又不是該公務機關法定職務必要範圍內，所以此種作為很難被認定完全合法而無疑慮。更遑論公務機關對於所蒐集來的個人資料利用是否符合個人資料保護法第16條的規定了。

除此之外，台北市政府面對諸多疑慮，更應對於「個人資料應與其使用目的相關，並且在必要的範圍內，確保資料的準確性以及完整性，並隨時更新」、「資料取得的目的應於蒐集資料時就清楚說明，並且在使用資料時，如果沒有通知來源主體，不得應用在和當初目的不相關的用途上」、「除非經資料主體或法律授權，否則不得將個人資料用於原始或者特定目的以外之目的」等原則，加以說明清楚，否則應停止其蒐集市民之個人資料，更不可以對之加以利用。

節錄其司法院大法官釋字第603號解釋中的一段「國家基於特定重大公益之目的而有大規模蒐集、錄存人民指紋、並有建立資料庫儲存之必要者，則應以法律明定其蒐集之目的，其蒐集應與重大公益目的之達成，具有密切之必要性與關聯性，並應明文禁止法定目的外之使用。主管機關尤應配合當代科技發展，運用足以確保資訊正確及安全之方式為之，並對所蒐集之指紋檔案採取組織上與程序上必要之防護措施，以符憲法保障人民資訊隱私權之本旨。」是其當初對於強制按捺指紋以換取請領身分證的戶籍法規定，大法官對於人民資訊隱私權所採行的立場，在這般的規定下，將被認定為違憲，更何況是在台北市政府目前的狀況，畢竟連法源依據都沒有了！