法官吹哨「簡訊實聯制」遭不當利用，問題在於台灣防疫蒼白的法制面

台中地院張淵森法官於6月19日投書〈我必須成為吹哨者：「簡訊實聯制」資訊遭利用，指揮中心請儘速反應〉，文中質疑「簡訊實聯制」的資訊使用範圍，並指出警方在執行通訊監察時，透過簡訊實聯制發送的簡訊來鎖定被告行蹤，等於將該制度蒐集之資訊作為防疫以外的目的使用，恐怕違反中央流行疫情指揮中心（下稱指揮中心）只供防疫使用的承諾，而有資訊不當利用之疑慮，更可能破壞人民對政府的信任。

事實上，在張法官的投書之前，便有警方透過「實聯制」所留資訊調查竊盜等刑事案件的新聞報導，在法律實務與警察圈內引起一些正反意見不一的討論。

筆者認為，不論是簡訊或紙本實聯制所引發的法律爭議，問題關鍵均在於指揮中心公布的《「COVID-19（武漢肺炎）」防疫新生活運動：實聯制措施指引》，以及透過記者會、臉書粉專圖文一再保證「僅限作為疫調使用」等「承諾」的法律授權依據與定性不明。此外，也是在建置個資蒐集的科技系統時忽略了資訊蒐集與保存的法制面建設，法制面蒼白而帶來一片混亂的惡果。

有IT大臣但沒有法務大臣的「實聯制」

行政院自5月19日推出「簡訊實聯制」，旋即經媒體一面倒地報導諸如「天才IT大臣三天就開發出來」、「日網友跪喊：天才IT大臣助日本吧」等新聞。據筆者在台灣的親友觀察發現，自5月底起迄今，幾乎所有商家都配合政府政策，要求顧客在消費前先發送實聯制簡訊——當然也包含販售民生必需品的賣場。

透過實聯制簡訊，可以描繪出一個人日常生活出入公共場所與消費的痕跡，其實涉及人民高度的活動隱私。如果人民不願意暴露隱私，那麼可能付出的代價便是無法進入商店進行消費、進入公共場所參與活動，對於基本生活、自由權利都會受到重大的影響。與其說人民自願暴露生活軌跡，不如說是「不得不」之下的選擇，因此此一政策涉及隱私權、自由權等限制，本應要有完善的法制配套措施，特別是明確的法源、規範內容、（不配合的）法律效果等。

類似的政策，在其他經歷一年疫情的國家，其實早已設計出周延並符合個資法規範（包含歐盟個資規範）的機制，例如筆者在德國出入學生餐廳曾經使用的「DARF_ICH_REIN」QR Code掃描登入系統，進入餐廳時掃QR Code，填寫同意登入手機資料，離開時登出。該系統是巴伐利亞邦數位處理機構（Anstalt für Kommunale Datenverarbeitung in Bayern，AKDB ）和巴伐利亞飯店和飯店協會（DEHOGA Bayern）根據法律要求而開發並提供的系統，除該邦外，其後也為其他邦的餐飲服務、公共場所等領域所援用。

為了符合德國個資法以及歐盟規範，該系統資料處理程序繁雜，並且有安全機制，更重要的是──資料不會交給政府統一蒐集或儲存運用。亦即中央、地方政府以及其他機構均無法恣意取得甚至運用資料。主管機關只能在疫情必要時，依法向AKDB調取資料。AKDB本身也無法任意讀取或運用民眾的個資，因為AKDB只儲存加密後的資料，需要私鑰才能解密，也就是設有分權與監督機制。資料在登入後28日自動刪除，用戶端的日誌紀錄（Kontakttagebuch）可以看到資料是否刪除。此外，該資料登錄是從網路登入，不需要傳送簡訊，因此不會產生簡訊遭到攔截或監視的問題。

然而遺憾的是，我們只看到外國有QR Code實聯制的「表象」，攻錯他山之石的時候卻未通盤觀察他國的法規與運作方式，在急就章之下號稱三天內推出簡訊實聯制度。發送簡訊看似免費實則耗費電信資源（編列數億元的「電信業者報銷成本」），將儲存民眾個資的任務交給各電信業者，然而卻沒有中立的監督機構，法源依據、是否「排除目的外利用」與其監督機制、法律效果等卻曖昧不明，引發法界與民眾質疑。

最令人百思不解的是，在指揮中心一年多的「超前部署」期間，以上涉及隱私權、個人資訊保護以及自由權利限制的政策，並沒有完整明確的法規規範，只見指揮中心於5月29日網路公布的《「COVID-19（武漢肺炎）」防疫新生活運動：實聯制措施指引》。然而這份「指引」中並沒有看到法律位階的授權基礎，其法律定位與定性為何、違反或不符合指引要求的法律效果如何？並不清楚。而指揮中心記者會的各種保證與說明，在法律上又有什麼意義？恐怕也會引起爭議。

縱然衛福部於5月28日以衛授疾字第1100200495號發文公告「因應COVID-19第三級疫情警戒相關措施及裁罰規定表」，稱依《傳染病防治法》第36條「配合接受主管機關之檢查、治療、預防接種或其他防疫、檢疫措施」、第37條「其他經各級政府機關公告之防疫措施」概括授權條款授權該公告，要求全體民眾「配合實聯制」，否則將處新臺幣3,000元以上15,000元以下罰鍰，然而，從該文義似乎也只能推導出對於全民以簡訊或紙本等方式配合實聯制的要求，關於隱私權保障、主管機關的監督、如何避免濫用等細節，依舊付之闕如。

由此可知，我們的防疫措施，始終圍繞在造神與崇拜之中，卻欠缺務實與完整的詳盡法制制度規劃。我們或許有「天才IT大臣」，但「法務大臣」卻缺席了。

通訊監察的執行實務：簡訊內容當然可能看光光

以上被媒體大肆吹捧「只花3天」開發出來，並讓指揮中心不斷掛保證「僅限作為疫調使用」（甚至將質疑「侵害個人隱私」、「監控人民行蹤」等不同意見均指摘為「假訊息」¹）的簡訊實聯制，卻忽略了電信業者資訊蒐集與保管的法律依據與監督機制，更忘記了偵查實務上通訊監察的運作也包含對於簡訊的監察，因此引發了張法官一文中所觀察到的現象。而該文所描述的現象，依照筆者過去執行通訊監察的實務經驗來判斷，恐怕不是個案、反而應該是通案。

在通訊監察執行實務上，偵查機關依照《通訊保障及監察法》向法院聲請令狀（通訊監察書或調取票）而常見的通訊監察方式，包含：

1. 通訊內容之監察：對於通話內容的監聽、簡訊等文字或圖畫的監看，如有必要時，也可能即時現譯監聽通話、截獲簡訊文字或圖畫。
2. 通信紀錄及通信使用者資料的即時鎖定或事後調取：當我們手機開機並發送訊號到基地台時，就會有基地台位置的紀錄，而我們上網時，也會行動上網歷程記錄，偵查實務上時常透過這些紀錄來鎖定特定被告的移動軌跡。

而「簡訊實聯制」的制度，恰恰好促使民眾不得不發送簡訊，因此不但歷程記錄、上網基地台位址等會被電信業者記錄，如果其恰好是檢警通訊監察之對象，那麼簡訊內容當然也會被監視，因此，這些都是有可能被偵查機關查得的個人隱私資訊。難道我們的指揮中心、簡訊實聯制開發者在設計制度之初、保證「僅供防疫目的使用」之時，沒有想到這麼基本的常識嗎？對於此一問題，在急就章開發出科技制度時卻沒有想到法律實務問題，是一個現代進步的法治國家應有的態度嗎？

對於基本權的限制，紓困條例第7條不是尚方寶劍

筆者進一步質疑，一個進步的法治國，在沒有法制先行的情況下，急就章設計出的簡訊實聯制，竟然還能廣為媒體稱頌。最後在法律實務上發生問題、引發民間爭議後，主管機關仍然不檢討法制的問題，反而繼續透過媒體踢皮球、給出法律意義曖昧不明的交代，例如：「指揮中心今天也請警政署通令所有警察機關，主動不使用因通訊監察獲得的簡訊實聯制內容，避免造成外界不必要的誤解」、「NCC重申，簡訊實聯制是重要科技防疫措施，嚴謹遵守限定防疫目的、最小化蒐集、保留28天即刪除等原則，會再督促電信事業於受理任何用戶資料調取時，遵守法律相關規定」。

問題是，指揮中心到底依照什麼法律與安全機制一再開支票保證「簡訊實聯制」的安全性、又憑什麼「請警政署通令所有警察機關不使用特定資訊」、NCC要以何種行政行為具體的「督促電信事業」？如果警政機關、電信業者「不配合」上開新聞稿的內容，法律效果又將如何？這些措施，是否需要更完備的法制與周延的監督呢？

更讓人心生疑問的是，《刑事訴訟法》規定的偵查主體為檢察機關，指揮中心又依照什麼法源取代檢察機關指揮警察？

種種問題的癥結，其實就是一開始法制面的蒼白。

誠如彰化地檢署檢察官陳宗元日前語重心長指出：「混亂的時代有如照妖鏡，一個國家是偉大還是虛有其表，一照便知！」我們自詡為民主法治的先進國家，然而，在全球疫情一年多過後，國內疫情轉為嚴峻之時，我們明明有那麼多先進國家的教訓與經驗可以學習，然而面對涉及人民基本權限制的決策，卻是手忙腳亂。

筆者也不僅一次提及，主政者似乎把《嚴重特殊傳染性肺炎防治及紓困振興特別條例》第7條的概括條款當成尚方寶劍揮舞，所有的政策彷彿都不需要完善的法律與專業思辨討論，都是「日日直播」、「小編製圖」說了算。然而，記者會中政治人物的各種保證與承諾、粉專的圖文，到底屬於什麼樣的法律位階、屬於何種行政行為？恐怕沒有多少法律或各該領域專家能夠幫指揮中心與各相關主管機關說得清楚。

而新北地檢姜長志檢察官早在一年多前便投書點出的「那些被我們遺忘在清朝末年的法律部隊」依舊沉睡，法律部署落後的代價，便是不斷被犧牲的少數人權，以及爭議頻仍的行政措施。如果問題一再重演，最後引發的不信任，便是執政者要自食的惡果。

• 指揮中心在5月23日的記者會宣稱：「臉書流傳『簡訊實聯制侵害個人隱私，政府藉機監控人民行蹤』為不實訊息，民眾若散播假訊息將構成犯罪，最高三年有期徒刑或併科三百萬罰金。」對該記者會的不同意見，參見台灣人權促進會：〈【聲明】 是誰稽核簡訊實聯制系統？ 公共討論不應打為假訊息！〉