手機軟體(APP)辨識來電號碼之法律問題
科技法律研究所
102年03月25日
壹、事件摘要
我國自2005年開始推展行動電話「號碼可攜」服務,允許使用者將行動電話號碼申請移轉至另一業者。當號碼進行移轉時,為降低通話路由資訊傳遞之延遲、避免業者間轉換作業之延宕,通傳會指導各業者共同建立集中式資料庫,整合業者號碼管理資源,增進號碼可攜服務之效率。
日前有某非屬電信事業之業者,設計一款應用軟體,提供智慧型手機使用者下載、安裝後,可自行上傳通訊錄內之電話號碼,並透過電信事業之「號碼可攜集中式資料庫」,確認並辨識通訊錄內電話號碼所屬電信業者,將資訊回傳於使用者之智慧型手機。由於電話號碼屬於使用者個人資料之一環,本文以下分析「非電信事業與電信事業合作,於號碼可攜目的外,對資料庫內之資料進行蒐集、處理與利用是否違反個資法」之疑義。
貳、重點說明
「號碼可攜集中式資料庫」之設立主要目的在使不同業者間能準確的完成通訊的連接。然而,通傳會於96年10月亦有要求各電信業者設置查詢系統,提供用戶查詢欲致電之受話方是否係屬同家業者,進而協助用戶瞭解可能之通訊資費計算。換言之,通傳會認為辨識電信號碼屬於網內/外,屬於消費者規劃、理解其電信資費之權益。而目前亦有手機軟體可輔助消費者查詢相關資訊。
那麼,可否允許消費者進一步查詢致電對象所屬的業者呢?是否違反個人資料保護法的規定呢?
如前所述,通傳會認為使消費者瞭解電信號碼屬於網內/外,有助於資費理解之權益。我們更進一步說,允許查詢號碼所屬門號,不僅消費者可知悉資費之數額計算以決定是否致電,尚可決定是否使用相同電信業者之服務來打電話。我國行動電話普及率早已超過120%,有相當比例之消費者擁有二個以上之門號,若可揭露致電號碼所屬電信業者,使消費者可刻意選擇以網內門號致電,無疑具有相當實益。因此我們認為電信業者提供消費者以手機軟體查詢門號所屬業者,並不違反個資法上針對電信服務規範之「特定目的」(第133項:經營電信業務與電信加值網路業務)。一般的行動電話用戶,可透過電信業者查詢其所致電對象之門號所屬業者,則居於輔助地位的APP軟體,與用戶直接向業者查詢相比,實則無任何不同,應視為用戶之合理行為。
參、事件評析
個資法修正後,對於個人資料之保護更加的完善,但科技之發展使得個人資料之利用呈現多樣性,難以釐清某些利用行為是好是壞,然而本文基於鼓勵科技發展以及創新研發的立場,當面對某些個資利用情狀產生疑義時,應加以釐清其運用之情狀,避免在情境不明時,過度的擴張個資保護的界線,對市場發展以及消費者權益而言,並非好事。
當然另一方面而言,濫用科技便利的情形是存在的,如同2012年12月甫結束之ITU國際電信大會(WCIT2012),多國所簽署之修正電信管制規則第5B條所示,要求各國應努力採取必要措施,防止未經許可之濫發電子訊息,以減少對國際電信業務之影響。由於網路無遠弗屆,具騷擾性、浮濫發送之訊息,已從早期之垃圾電子郵件,擴及網路即時通訊軟體,不但時常造成使用者之困擾,甚至造成詐騙橫行。而這些狀況,光依靠個資法也是不足的,尚須主管機關對於濫用電信資源加以管制,從個人資料與電信資源等層面多管其下,方能維護良好之產業環境。
歐盟執委會(European Commission, EC)於2020年4月8日發布新聞稿,說明歐盟將制定紓困計劃,投入資金支援全球盟國對抗新冠肺炎。歐盟的行動將側重於解決急迫的衛生問題以及人道主義需求,加強盟國的健康、供水和公共衛生環境,及協助盟國發展對抗流行病的研究和準備能力,減輕疾病對國家經社之影響。 此次計劃立基於「Team Europe」,「Team Europe」是歐盟執委會因應疫情採取全球及跨境協調的紓困方案,強調整併來自歐盟、歐盟成員國及金融機構──特別是歐洲投資銀行(European Investment Bank, EIB)和歐洲復興開發銀行(European Bank for Reconstruction and Development, EBRD)──的資金,提供全球盟國立即而精準的援助,目前已投資超過156億歐元的資金。而在此次全球紓困中,歐盟短期面提供盟國資金,長期面則協助解決盟國因疫情引發的社會經濟問題。 本次紓困計畫區分為三大部分,分別為: 5.02億歐元用於應急行動(Emergency response actions):包括提供資金生產個人防護設備和醫療設備、降低各國出口障礙以確保供應鏈完整(特別是基本醫療用品和藥品的供應鏈)及支援聯合國和世衛的相關應對政策等; 28億歐元用於支援社會研究、衛生系統與供水系統:支援盟國建立反應快速的衛生和社會保護體系、對疫情嚴重國家進行疫苗配送與補貼、專家培訓和流行病學監測(epidemiological surveillance),並且強化非洲、拉丁美洲、加勒比海地區以及亞太地區的區域衛生組織發展。 122.8億歐元針對疫情後經濟和社會影響進行紓困:提供盟國直接預算和優惠資金、由歐洲投資銀行提供盟國公部門貸款(特別是醫療保健設備用品之貸款)以及透過國際貨幣基金組織(International Monetary Fund, IMF)對西巴爾幹地區及鄰國提供金融援助等。
FCC通過許可有線電視系統對基本電視服務進行加密,以對抗盜接訊號美國聯邦通信委員會(FCC)批准,有線電視業者可對其基本電視服務進行完全加密,有線電視用戶將需要向有線電視業者租用機上盒或使用CableCARD的技術,以繼續收看有線電視。在本項新規則發布之前,有線電視業者被禁止在基本服務加密,有線電視用戶不需租用額外設備便能收看基本電視服務內容。業界人士表示,據估計目前約有近5%非法盜接的服務,造成每年約5億美元的收入損失,此一新規則有助於對抗訊號盜接的問題。 同時隨著數位有線電視普及程度的提高,大多數有線電視用戶已經透過機上盒或CableCARD技術收看有線電視,僅少部份用戶可透過特殊裝置接收數位電視基本服務,但因為此種接收方式無須加密,因此存在有盜接的問題,因此有線電視業者希望FCC能夠放寬規定,使業者可將整個有線電視系統均加密傳輸,避免訊號盜接的問題。 然而相對的,一些第三方公司所生產的設備將因為有線電視系統業者的加密,而無法提供低成本的替代裝置,有線電視用戶將必須向有線電視公司租用機上盒,部份第三方公司生產的機上盒具有DVR功能,如果系統業者完全加密他們的內容,這些第三方設備的生產將必須花費額外的成本與時間與系統業者協商。有線電視業者如Comcast自然是抱持樂觀其成的看法,全系統加密使業者可在遠端管理電視訊號之播送,而無須至消費者家戶進行,可節省人力與成本。
加拿大將神經資料列為敏感資訊以提升個資保護強度加拿大隱私專員辦公室(Office of the Privacy Commissioner of Canada, OPC)於2026年2月10日,更新《個人資訊保護與電子文件法》(the Personal Information Protection and Electronic Documents Act, PIPEDA)的解釋公告(Interpretation Bulletin),於該解釋公告中OPC將「神經資料」(neural data)與健康、財務、基因及生物識別資料並列,正式納入PIPEDA意義下的敏感資訊(sensitive information)清單中,賦予更高程度的保護。 其中,神經資料被列為敏感資訊的可能原因為以下: 1.深度私密性:神經資料有深度私密性,其可能揭露當事人不自知或不預期揭露的健康狀況、認知狀態或情緒反應。 2.不可變更性:不同於密碼可以重置或信用卡號可以更換,大腦的神經模式一旦外洩無法重置或輕易更換。 神經資料被列為敏感資訊後會有更高程度的保護要求包括: 1.強化同意要求:在加拿大PIPEDA的架構下,資料的敏感性直接決定了蒐集方式。對於神經資料,組織必須獲得更充分且具實質意義的明示同意,不能僅依賴默示同意,為獲得有意義的同意,組織必須嚴格定義使用目的。 2.提升安全防護的等級:法律要求安全防護措施必須與資料的敏感度成正比。由於神經資料被列為高度敏感,組織必須採取較高等級的安全保護措施。 3.風險評估標準:在發生資料外洩時,資料的「敏感性」是評估是否構成「重大損害風險」的關鍵因素。將神經資料列為敏感資訊,意味著涉及此類資料的外洩事件將面臨更嚴格的通報與法律責任。 總結而言,加拿大將神經資料列為敏感資訊,標誌著法律監管從傳統個資延伸到了人類的意識領域,要求相關科技企業在開發監測專注力、疲勞或情緒的消費性產品時,必須承擔與醫療紀錄同等的法律責任與保護義務。
資通安全法律案例宣導彙編 第1輯