多维TW／New eID是如何夭折的？「数位」依旧无法粉饰的信任问题
●《多维TW》／谭英瑛、黄奕霖
编按：2021年1月21日，行政院正式拍板决议暂停数位身分证（New eID）的换发，更表示将待相关专法通过，政策取得社会共识后再行推动，形同New eID政策正式按下「刹车」。该政策原被视为是政府推动「服务型智慧政府」基础，如今落得「暂缓」局面，此文或能解释为何规划多时的New eID政策，不论是学界、公民团体，甚至是民进党立委都砲声连连。
▲即便曾请出唐凤出来释疑，但数位身分证终究逃不了「暂缓」的命运。（图／翻摄自Facebook／内政部）
当代各国政府均致力于数位化政府的建置，像是新加坡、澳洲、欧盟、德国均曾端出与数位政府相关的各式政策，台湾也不自外于这股浪潮，先是行政院于2017年启动「数位国家・创新经济推动方案」，国发会也以此陆续推动「服务型智慧政府推动计划1.0」、「服务型智慧政府推动计划2.0」等政策，走上以「资料」连结政府与民众的治理模式，其中电子身分证（New eID）的落实，更被视为台湾「智慧政府行动方案」的基础架构。
但这项政策显然命运多舛，除了「晶片化」的相关配套广受资安界及公法学界质疑外，连同为执政党的民进党立委也多不买帐，继第九届民进党团立委冻结New eID的部分换发计划的预算之后，多位绿委公开表明对New eID的质疑与不安，甚至直指在台湾法治、资安监管、个资隐私、专责保护机关等方面均严重不足的情况下，New eID恐将成为「中国渗透破口」。
「进步性」象征 正持续流失
部分绿委对New eID的批判好似不留情面，却也借着New eID点出当前政府在推动数位化政策的不足与弊病。
民进党立委洪申翰便认为，New eID不是不能做，但此议题牵扯到当前政府「资料治理」与「风险管理」的体质，而台湾社会对于科技伦理的讨论并不充足，民众不清楚个人数据将被如何使用，对于哪些个资应该被保护也没有概念，政府在数位发展的同时，对于技术保护、监管分责及相关法令更未与时俱进。在体质欠佳的情况下，若只追求科技进步的方便性，在资安和人权保障方面当然有重重疑虑。
▲New eID的政策，不仅公民团体强烈反弹，连绿委都不太买单。（图／记者屠惠刚摄）
此外，在「数位化」便形同「方便」、「进步」的观念下，对于「数位政策」究竟要达成何种目的，政府似乎也有欠考量。以目前备受争议的New eID的换发为例，民进党立委钟佳滨认为，身分证最主要的功能应是「确认本人」，而政府为了要给予人民福利、惩罚或义务，如：人民领福利金、领选票或是遭到政府处刑，就必须正确识别人民的身分。要验证个人身分，一来是依靠国家对个人的「社会关系」，再者则是配合个人的「容貌」、「指纹」、「DNA」、「虹膜」等生物特征进行对比。
过去政府每10年进行一次人口普查，来确保身分证上生物特征「容貌」的真伪，新式身分证也借此一同换发，而此次New eID数位身分证并非透过法律授权换发，而是政府认为既然要换发新身分证，那不如从「纸本」变成「晶片」，但除此之外，似乎并未发挥「确认本人」的功能。
「身分证要做的重点不是晶片，而是要借由生物特征的搜集来确认你的身分是否为本人，那才是根本，不做生物特征搜集，做其他的干嘛？国家跟人民的关系，就是确定本人而已。」
▲事前行政院拟采小范围试办的方式，试图以此消除民众疑虑，但像是政党光谱系属泛绿的台湾基进依旧不买单，最后新竹市政府也出面「喊卡」。（图／记者陈凯力翻摄）
钟佳滨强调，台湾的身分识别做得不好，已无法满足现在国家对人识别的需求，新版的eID虽然在晶片中放了许多资料，让身分证变成一把个人的专属钥匙，将所有个人帐号和资讯进行整合，但在方便之余，也使风险倍增。而关键在于，这对促进国家确认民众的身分识别上，其实毫无帮助。
「除非你告诉我，这次换发的照片有特别规格，要现场拍摄，然后能取走我的虹膜进行辨别，否则就识别功能而言，New eID与先前的纸本有什么差别？」钟佳滨指出，采集生物特征并非不能触碰的禁地，而是政府进行身分识别时的必要措施，但前提是要符合比例原则、依法而行，且对民众的个人资讯、足迹做到最小侵害。但New eID在筹划时似乎没有想清楚身分证数位化的根本目的，只是如同惯性般，认为新技术必然比纸本更加「先进」。
▲原定的数位身分证样板。（图／翻摄自内政部官网）
然而，若台湾早几年施行该政策，或许还能称之为进步，但现在呢？撇除新颖性外，New eID显然已不具备原有的优势与必要性，要带动数位智慧发展，是否必然要捆绑身分证？不无疑义。
eID的换发只是数位政策的其中一块，但其所引发的争议，也反映出随着科技的日新月异，政府虽然在数位发展上极力跟上脚步，在方向与目的上却未臻明确，反而略显盲目地追求「先进」，在资安技术、相关法规、监管分责及使用伦理上，仍未与时俱进。
中央研究院法律学研究所资讯法中心曾于11月发表了《数位时代下的国民身分证与身分识别政策建议书》，认为内政部目前规划的New eID欠缺宪法的法治基础，与New eID一同推出的「跨机关业务资料共享与整体智慧政府计划」也尚缺可课责性的设计。其意见似乎也说明了，为何政府的数位政策总会被外界质疑，不受社会大众信赖。
官民资讯素养 犹然不足
内政部长徐国勇先前曾表示，这次New eID是由向有「护国神山」美誉的台积电所生产，故民众无须就资安疑虑过度担心，但在科技业者出身的民众党立委高虹安看来，晶片只是资安环节的一部分，重点应在于晶片设计、晶片作业系统与应用程式开发、写入设备与资讯应用软体，并非只聚焦于晶片由谁生产；在业者听来，徐国勇的说法只让人感到「不可思议」。
高虹安认为，以资安角度来看，现行已有很多方法能进行强化，像是安全认证、架构、机构等，但重点仍在于政府的外包管理能力，并不是任何一间厂商外包，政府都可以轻易信任，例如专门研发国防武器装备，而握有许多军事机密的中山科学研究院，便遭媒体揭露在网路储存伺服器采购招标时，将中国大陆的百度云（Baidu Cloud）作为备份端的选项，而没有明确排除这项云端服务，而还验收通过。原因在于，采购人员不懂如何写标案的规格，厂商写什么，政府就照单全收，这都显示政府人员在资讯科技认知的不足。
▲台湾受到恶意软体与勒索软体攻击的比率都高出全球平均，是资安的风险地区。（图／微软提供）
此外，台湾人权促进会、开放文化基金会等民团的反对声浪，大多强调应先就New eID设置专法与个资独立机关，再行推动New eID政策，也就是强调该政策的「配套措施」；高虹安也认为，当前台湾将资安规定散落在《资通安全法》、《电子签章法》、《个人资料保护法》等不同法律规章，确是于分散；再者，《个人资料保护法》的订定与罚则轻微，实对于泄漏资料者无吓阻作用，而以New eID这案例来说，一旦政府搜集了人民的使用数据直接进行相关应用，其间却无专责机关对此进行把关，民众对于政府的资料使用自然有所忧虑。
设置独立个资机关，旨在提供民众一个资料服务回溯机制，或用于审议民间、政府对于各项民众个资数据使用的「公益性」，但目前既有的行政院资通安全处，主责资讯政策与制度面的设置，而国发会则仅有个资保护专案办公室专研个资法，都不足以因应当前数位政策对个资保护或应用的需求，例如医疗AI等业者很难拿到客户资料，亦没有明确游戏规则可供遵守，相较之下，电商平台、人力银行等掌握大量使用者数据，目前个资法规的松散，也不见得能督促平台尽到妥善管理个资的义务。
▲内政部于21日表示，专法草案提出并无时间表，也会与政务委员罗秉成沟通，制定专法。（图／记者李毓康摄）
不论是大方向上的「数位化国家」、「智慧政府」，或是较为个别政策面New eID的执行，法规的健全度均影响民众对该类政策的看法，就如钟佳滨所言，每个人都有维护安全的方法，但当人民将资料交给国家，究竟人民要如何知道国家是否为人民值得信任的「枕边人」？其中促进信任的关键为有健全的法规与相应制度，毕竟，「国家不可能是枕边人，不能因为感情而信任」。
热门点阅》
► 林忠正／北京从制裁澳洲得来教训：十年内中国经济依旧仰台湾鼻息
► 军事家／解放军机频入侵 谈台日两国机型识别
► 王志鹏／退将林勤经泄密案 不谈追不回的退俸 而谈军人的道德操守
● 本文获授权，转载自《多维TW》月刊062期，原标题为「数位ID：一票玩到底的『个资悠游卡』？」，以上言论不代表本网立场。欢迎投书《云论》让优质好文被更多人看见，请寄editor88@ettoday.net或点此投稿，本网保有文字删修权。