數位身分證上路前,疑慮要解決
內政部宣稱數位身分證使用的晶片卡加密等級是軍方的安全規格。
其實從晶片到讀卡機都可能潛藏資安風險,
悠遊卡、自然人憑證的憑證金鑰系統有多次被破解、竄改的記錄。
讀卡機也不一定安全,連接裝置、設備連網、社交工程、軟體本身或作業系統的弱點,都可能被不肖業者或駭客植入木馬病毒和惡意程式。
數位身分證是身分證加自然人憑證,兩卡合一的產物,其晶片可以儲存比原本身分證更多的資料。
其他部門想存取加密區的資料,必須經內政部同意。
但是一卡在手,這些加密區的個資,會不會被政府或有心人士「沒經過民眾同意」就使用這些資料?
數位身分證不只儲存民眾多項個資,還包括高解析度照片,足以透過人臉辨識加上AI的分析辨識技術,侵犯民眾隱私。
隨處留存的數位足跡,讓民眾在網路上、街頭攝影機前的蹤跡無所遁形。
數位身分證上路前,政府必須盤點、測試所有環節可能的弱點和風險;每個系統設計,都必須做到隱私與資安設置,並建立防禦系統。
麗文已經送出「數位權與個人資料保護委員會組織條例」、「個人資料保護法部分條文修正草案」。
參照歐盟GDPR的規範,設立個資保護專責獨立主管機關,執行個資保護相關事宜。
賦予民眾個人資料使用權、更正權、刪除權、限制處理權、資料可攜權及拒絕權,確保當事人對資料的權利,並建立個人資料處理、利用規範,以利個人資料流通。
#個資保護
#資安風險
#民眾權利
gdpr條文 在 律師談吉他 Facebook 的最讚貼文
【Google的被遺忘權,在台灣可沒有】
今年韓國大劇「WWW請輸入檢索詞」,講述網路搜尋引擎業者能否刪除搜尋記錄的大爭議。碰巧的是,Google最近在歐盟判決取得一項勝利,「被遺忘權」有地區界線,只有歐盟地區的使用者請求刪除資料時,Google需要配合,其他地區則無需刪除。到底什麼是被遺忘權?台灣會不會受到影響?有沒有其他辦法請Google刪除呢?
🎸什麼是被遺忘權?
被遺忘權,源自於歐盟的資料保護規範(General Data Protection Regulation,GDPR),第17條保障個人資料的主人在特定情況下,可以要求資料持有人把相關的個人資料移除。
舉例來說,我的家庭資料、地址或電話,被公布在某網頁上,只要符合特定情況,我可以要求這個網頁這下來。
特定情況,包含現況已經不符合當初取得資料的目的,或是資料本來就是不合法取得,這時候都可以請求對方移除資料。
例如,我的地址電話是被不法洩漏的,我就可以請求移除。
綜合這些,讓我的資料不再被記錄於網路上、不再被他人搜尋到,讓我能夠從網路世界裡「被遺忘」,這就是所謂的被遺忘權。
🎸歐盟區有被遺忘權,但其他地方不一定
其實「搜尋引擎」到底要不要配合刪除資料,在更久以前就有爭議,他們覺得自己只是提供搜尋資料,又不是把個資真的上傳到網路上的人,沒有責任配合刪除。但在之前的歐盟判決裡,已認定搜尋引擎也有責任要實現被遺忘權。
(可以看歐盟法院C‑131/12這個案子,Google與西班牙政府之間的爭議)
今年的判決,則是針對遺忘權的實現範圍產生爭議,到底Google有沒有必要把全世界的搜尋紀錄都進行遮蔽或刪除,以保護個人資料。
法院判決是認為,被遺忘權畢竟是源自於歐盟的法律,因此在歐盟區內勢必要依照歐盟的法制進行遵循;但在歐盟之外,則應視各地法規如何規定,搜尋引擎沒有一定要在其他地區配合被遺忘權的實施。
(請看歐盟法院C‑507/17這個案子)
因此,遺忘是一定要遺忘,只是怎麼被遺忘、在哪個區域被遺忘,並不是個舉世皆然的標準。
🎸那台灣呢?台灣有被遺忘權嗎?
歐盟判決說歐盟以外不用遺忘,要看各地法規。
以台灣來說,確實是有跟被遺忘權類似的權利。例如我國個資法第11條規定,當事人在「個資蒐集目的消失」或是「蒐集期限屆滿」的時候,可以請求對方刪除、停止處理或加以利用你的個資;除此之外,違反個資法所蒐集到的資料,也可以請對方刪除。而第19條也規定,即便是公開取得的個資,當事人有重大利益值得保護時,也可以請求刪除。
這些規定,某程度上來說算是一種被遺忘權,只不過可能跟歐盟的規定不太一樣,歐盟是有一條規定特別處理當事人的刪除請求,而我們是四散在各條文去處理刪除請求,這一點,可能也會導致臺灣的被遺忘權跟國外實施情形產生不同。
話雖如此,但我國其實還沒有被遺忘權的判決出現,曾經有一個當事人去提告,但法院並沒有具體討論到被遺忘權該怎麼使用的問題,真的很可惜。
對我來說,被遺忘權除了是一種法律爭議以外,更是一種價值的取捨。
以「WWW請輸入檢索詞」韓劇的劇情為例,到底主角所任職的網路公司,可不可以在某件社會爭議的風頭上,刪除某個特定關鍵字、新聞,讓人民搜尋不到呢?(這不是暴雷,不要緊張)
刪除的理由,可以是希望保護當事人、避免謠言流傳;不刪除的理由,可以是資訊的流通自由、人民的資訊權利。
如果某人有個誹聞、醜聞在網路上流傳,你覺得這個消息該不該留著?
如果換成是你,你覺得這個消息又該不該留著?或是該留多久呢?
你怎麼看?
https://tw.iqiyi.com/a_19rrhsmnr5.html
gdpr條文 在 以專業實踐幸福-鄭秀玲 Facebook 的精選貼文
【內政委員會】新式數位身分識別證-停、看、聽! 質詢稿
鄭秀玲 委員
2019/09/25
在數位化趨勢下,世界上已有越來越多國家採用數位身分識別,例如德國和愛沙尼亞。而我國則由國發會規畫。內政部辦理全面性的「數位身分識別證」換發作業,計畫整合報稅、各種政府補助、車籍資料、勞健保等各種橫跨財政部、內政部、交通部、衛福部等各個不同部會的服務作業。
但在參考歐盟執行經驗,以及考量我國推動現況上在法令與技術層面仍有需要加強之處,我希望數位身分識別證在補強後再予以發行。說明如下。
一、歐盟經驗
歐盟推動eID上,訂定〈電子身分認證與信賴服務法〉(the EU electronic identification and trust services (eIDAS) Regulation)規範,而在該法中明定主管機關要與個人資料機構合作,並要確保符合個資相關法令,亦即〈歐盟一般資料保護法〉(EU General Data Protection Regulation, GDPR)。
以愛沙尼亞為例,根據法律由各相關部會如資訊部、內政部、經濟事務與通傳部等,隨時機動因應。他們的eID本身並未存取任何資料,並建立備援機制。
在我國目前New ID的規劃裡,雖然內政部表示並沒有保留全民數位痕跡,也就是紀錄留存僅於提供服務的機關,並且依法不得作「目的外之利用」,內政部也沒有蒐集紀錄。
但國內對於發行New ID,仍對「現行法規完備程度」,以及「隱私保護與資安防護」有所疑慮。
二、 現行法規不夠完備
現行法制對可能發生的損害,無法提供令人滿意的答案。例如〈戶籍法〉並無明確條文限制身分證及身分證在公、私領域的使用範圍與條件。若個人資料遭公部門以個資法為名進行目的外利用,而人民亦不具有退出「目的外利用」的「拒絕權」,讓該法喪失保障人民資訊安全的精神。除此之外,我國並未設立〈個資法〉保護專責機關的安全閥,而〈個資法〉對於每人每一事件又僅有最高2萬元賠償。
二、隱私保護與資安防護疑慮
正當國發會正為歐盟GDPR適足性修〈個資法〉,根據GDPR,對個人自由權利可能帶來重大風險的資訊作為,在採行之前應進行「隱私影響評估」。政府推動New eID是否完成隱私影響評估與建立因應措施?
再者,以數位身分識別證進行政府跨部門的各個網絡服務的憑證,「方便性」確實讓人心動,但是這種集中式設計所帶來的單點失效資安風險,使得數位身分識別證將可能成為造成國家級的資訊安全風險。也就是說,當單一民眾的數位資產受到駭客攻擊、竊取,受害的可能不只是單一個人,當然也為國家級駭客滲透竊取全國民眾的個資隱私開啟便利門。
為消除上述疑慮,我建議政府應速採取下列補強措施:
首先,進行小規模發行與測試(如當年於澎湖測試健保卡),確認資安風險與管理面問題再全面實施New eID 。其次為釐完善法源,或參酌歐盟作法,發展專責法規與成立獨立專責機構,以回應國人疑惑。
面對數位科技的創新發展,我們肯定政府積極推動國家數位轉型與發展的用心與努力、積極規劃為民服務之創新作為,但是必須基於完善的法規與堅強的資訊安全基礎之上,才有可能達成智慧政府的目標、提升民眾滿意度與國家競爭力。
gdpr條文 在 控管者增補條款 - Facebook 的推薦與評價
本《控管者增補條款》明訂Facebook Ireland 和您履行GDPR 所規範共同處理相關 ... 如果《控管者增補條款》中有任何條文無法執行,其餘部分仍將維持完整效力及作用。 ... <看更多>