面對數位轉型浪潮席捲全球，5G、物聯網、人工智慧技術蓬勃發展，電信事業不再侷限於提供電信服務，且由於消費者行為與需求多元化等因素加乘，促使電信事業應用資料進行創新，推出個人化服務。另一方面，近年全球受到疫情嚴重衝擊，公私部門協力推出資通訊科技工具協助民眾防災，電信事業也因擁有民眾使用電信過程中生成的資料，而成為重要協力方。無論在國家社會公益領域或商業領域，電信事業資料創新，皆是持續帶動整體環境數位轉型的核心，因此，先進各國皆持續關注相關環境面整備的議題，以期能妥善支援電信事業之資料活用，發展出多元、跨域之創新解決方案。
本文首先定義電信事業資料的範疇，分別陳述電信事業資料於國家安全公共利益領域及商業領域服務創新的應用情形，並觀察所涉法規或政策的調適方向；其次，將探討現行先進國家主要倡議的資料活用機制套用於電信事業之可行性；最後綜整提出建議，以作為我國相關主管機關擬定施政之參考。
本文所稱電信事業資料創新，是指電信事業就營運電信服務過程中所產製、蒐集或管理的資料(以下簡稱電信資料)，予以加值利用並藉以從事創新活動。電信事業所管理用戶及使用行為端相關資料，可分為「 用戶資料 」、「 通信紀錄 」及「 因利用電信服務所產生的其他資料 」等三種。
用戶資料屬於個人資料而受到個人資料保護法之保護，固無疑問，其包含電信用戶姓名或名稱、身分證或營利事業統一編號、地址、電信號碼等資料，並以用戶申請各項電信業務所填列之資料為限(電信事業用戶查詢通信紀錄作業辦法第3條第4項)。
通信紀錄則涵蓋得間接識別個人之資料，如電信系統所產生發信方、受信方之電信號碼(指電話號碼或用戶識別碼)、通信日期、通信起訖時間等紀錄，並以電信系統設備性能可予提供者為原則(電信法第2條第8款)。 另外，通信紀錄尚包括位址、服務型態、信箱或位置資訊等紀錄(通訊保障及監察法第3-1條第1項)。
至於，因利用電信服務所產生的其他資料，參照美國電信法第222條規定，係指用戶在電信服務關係中的電信使用行為所生，且由電信事業所蒐集、近用的資料，包含使用電信所涉及的用量、技術組態、型態、總量等資料，此於我國現行法中雖無特別定義，但諸如資料下載速率、流量等資訊(行動寬頻業務服務品質規範實施要點第四點)可認為屬此類資料。
固有電信事業配合國家執行公權力的模式，係對於調查或蒐集證據，並依法律程序查詢電信之有無及其內容者，提供相關電信通信紀錄(第二類電信事業管理規則第27條)，此模式所涉及之資料，具有個人針對性，攸關民眾隱私權及個人資料保障課題，在法治國家則須以法律保留為之。
近年來，因應新興資通訊技術應用，電信業者配合公部門協助民眾減災防災，所蒐集或提供的資料，講求可呈現群體性的民眾活動，資料來源具有普及性，主要為行動定位資料(mobile positioning data, MPD)的應用。與傳統透過人口普查獲得的統計資料相較，MPD可以顯示區域單位內人群及監測區域間人流移動狀況，且能精準到每小時更新。BuildERS是歐盟展望2020科研計畫所資助的計畫，除了利用MPD的即時特性，也累積歷史性的MPD用於災害預防，有助於風險評估及提供更正確的資料供參考，以擬定疏散路線及庇護場所，也可以用來規劃避開人群的物資運送路線，大大增進擬定國家層級或區域層級計畫參考基礎的準確度。愛沙尼亞的IT技術聞名世界，愛沙尼亞救援委員會(Estonia Rescue Board)與BuildERS計畫合作，以官方與產學合作方式建置MPD儀表板，呈現包括人群居住、工作或觀光等聚集場所、不同區域間人流狀況及擁有第二居所人口之數量，且上開資料可每日、每週及每季更新，透過這些資料，可掌握人流移動行為，以備災害發生時訂定妥當的疏散計畫。另外一例，則是BuildERS與印尼政府合作建置MPD儀表板，印尼以眾多天然災害著名，MPD資料主要用於協助外國觀光客的急難救助，可補足既有旅客急難救助系統(旅客需要自行註冊填寫資料)的不足，透過知悉進出災害區域人口的資料狀況，讓政府可以掌握需要救助的人口數，駐外館處也可以藉此推知有多少該國民眾受困災區1。
因應嚴重特殊傳染性肺炎(COVID-19)疫情全球爆發，各國政府利用各種措施阻止疫情擴散，MPD亦顯示了流行病學上的意義。歐盟執委會要求行動網路營運商(mobile network operators)提供自願性的匿名化、群集化行動資料(anonymized and aggregate mobile data)，以增進歐盟層級疫情趨勢預測的準確性，並有助於擬定未來控制措施，且此種應用不需要揭露任何個人資料2。
另值得一提是，疫情當前，各國也透過公私協力方法開發接觸者追蹤程式供民眾使用，例如愛沙尼亞開發的COVID-19應用程式HOIA、英國NHS開發的NHS COVID-19 APP，以及日本開發的COCOA。此類應用以鼓勵民眾自主下載使用為主，且為取得民眾信賴，最小化蒐集民眾資料，不會蒐集民眾的位置資料3，其運作方式係透過藍芽傳輸，使有一段時間以上短距離接觸的行動裝置相互交換裝置代碼，當APP使用者中有通報染疫時，曾與其有接觸的其他APP使用者將獲得警示提醒通知。
從MPD用於國家、區域防災及疫情控制的實例可知，即便以國家安全或公共利益為目的而蒐集、利用資料，亦不能無限上綱而漫無限制擴張資料蒐集範圍，反而應恪守資料蒐集最小化的原則。歐盟資料保護委員會(European Data Protection Board, EDPB)在針對嚴重特殊傳染性肺炎(COVID-19)疫情爆發之位置資料及接觸者追蹤工具使用之指導原則中指出，位置資料的主要來源之一係電信事業提供電信服務過程所蒐集4，依據歐盟電子隱私指令(ePrivacy Directive)規定，位置資料僅在匿名(anonymous)的狀況，或在當事人充分知悉的範圍內才能被處理5，亦即，電信事業必須將位置資料匿名化後始能傳輸予第三方，或者須經過當事人知悉同意後，始能將其裝置內位置資料傳輸予第三方。
另外，由於國家安全及公共利益為不確定的法律概念，難以被明確指明界線，在我國個人資料保護法中，以「 為維護國家安全或增進公共利益所必要 」作為公務機關將個資進行目的外利用的條件(個人資料保護法第16條)，亦以「 為增進公共利益所必要 」作為非公務機關蒐集、處理及利用個資的條件(個人資料保護法第19條)，以及目的外利用個資的條件(個人資料保護法第20條)，但對於如何判定其內涵，卻缺乏相關操作標準，具有操作上相當不確定性，故鮮少適用或被引用。實務上若遇有爭議情形，也將訴諸個案判斷。
綜上亦可發現，在以國家安全及公共利益脈絡下由電信事業所為之資料應用、提供或揭露狀況，鮮少由電信事業自主發動，而是由業者基於配合角色，依具有資料蒐集、處理或利用之特定目的機關的指示，配合進行資料的處理。在此情境下，業者是歐盟GDPR所稱的資料處理者(Data processor)，主導資料利用目的機關則是資料控制者(Data controller)，由資料控制者主導整體服務設計，並擬訂服務提供之相關規則，電信事業配合遵循之。如本文所列因應嚴重特殊傳染性肺炎(COVID-19)疫情之電信資料運用情形，係由當地國之衛生醫療執法部門主導及擬訂相關法規、指引等規範。
近年來，電信事業開始投入發展大數據資料庫，透過各種大數據分析成果，發展多元商業模式，將資料創新應用於交通運輸、觀光人流分析、廣告行銷、身分認證、金融服務如保險、貸款評估等領域，可參考表1所整理。
| 愛沙尼亞 | |
|---|---|
| 應用案例 |
|
| 涉及法規 |
|
| 美國 | |
| 應用案例 |
|
| 涉及法規 |
|
| 德國 | |
| 應用案例 |
|
| 涉及法規 |
|
| 英國 | |
| 應用案例 |
|
| 涉及法規 |
|
| 日本 | |
| 應用案例 |
|
| 涉及法規 |
|
| 我國 | |
| 應用案例 |
|
| 涉及法規 |
|
資料來源：本文彙整編製（ 2022 ）。
如何於鼓勵產業利用資料時，兼顧個人資料保護及隱私保障，為目前各國積極面臨的課題，在法制面亦有相關對應措施。美國由產業協會(無線通訊產業貿易協會CTIA)發布位置服務開發部署指南，定義價值鏈中各角色(程式創建者、位置資料蒐集及供應網路位置資料營運者)之作法，主要為電信領域資料可能與其他領域資料搭配互用的情境、如何使資料當事人知悉同意原蒐集目的外之資料處理利用、如何滿足當事人請求權利(請求閱覽、補充、更正、停止蒐集、處理或利用、請求刪除)、電信事業如何與外部單位分工負責以確保資料安全性等事項，以及創新服務上架前進行影響衝擊評估等具體作法。德國近期修改電信現代化法，希望保持服務可近用性和安全性，同時提高共同合作及投資的意願，並增加終端使用者的利益，另亦進行電信、電子媒體資料與隱私保護法修法，解決電信法、電信媒體法與歐盟GDPR適用法律狀況。日本近期亦對個人資料保護法制進行重大修正，使全國、地方政府與民間適用統一之個人資料保護規範，亦納入促進資料流通的觀點。而美國各州也紛紛針對消費者隱私保護有明確的規範。英國以國家資料戰略推動，輔以Smart Data計畫促進資料賦權，使消費者掌握自己的資料，其中電信也是推動的重點領域之一。
在商業領域服務創新之資料應用，倘涉及個人資料且資料應用將超越資料蒐集原始的特定目的時，最為正本清源方法，係獲得資料當事人的知悉同意，且告知當事人的內容需具完整性，使當事人便利行使權利。實務上，日本電信業者訂定資料憲章(NTT Docomo個人資料憲章－革新創造行動準則)6，揭示在保護當事人個資前提上進行資料利用，可作為參考範例。另可考量結合技術應用，發展動態同意機制，落實以當事人同意為核心的資料活用。
倘電信事業所蒐集資料自始並非個人資料，則無個人資料保護法的適用，合先敘明。惟當資料原始為個人資料，係經過特定方式處理、刪除、遮蓋或代換，使之無法單獨識別特定個人，或以統計方式呈現，在我國個人資料保護法的適用脈絡之下，將個人資料進行上開處理使其無從識別特定個人，或使其以統計方式、群集化方法呈現，由於定性為資料的「 處理 」，必須依據原先蒐集時之同一合法事由為之(參照法務部法律字第10703512280號書函)。換句話說，將資料進行去識別化或群集化等「處理」，不在原先蒐集時之特定目的內，除非符合法定目的外利用的事由，否則應重新獲得資料當事人的知悉同意。現行個人資料保護法規範下，並無可供電信事業適用的法定目的外利用事由，致使欲於原蒐集目的外將電信資料進行去識別處理或群集化處理，需重行獲得資料當事人同意，在對當事人顯無傷害且無其他不利益情形時，此等法律適用狀況無異徒增資料應用成本。
近年來各產業領域資料活用倡議趨勢中，資料中介機制受到廣泛討論，此機制是指：組織可透過不同活動及治理模式來促成更多的資料近用及資料分享，中介的形態相當多元，個人資料管理制度(personal information management system, PIMS)或託管予第三方的產業平臺等作法，皆可涵蓋於中介機制之範疇。此外，資料中介機制之運作，除以促進資料分享為目標，也重視到個人資料保護及隱私保障，甚至超越法規要求一併將倫理議題納入考量。
英國資料倫理與創新中心(Centre for Data Ethics and Innovation, CDEI)於2021年7月提出關於「釋放資料的價值：探索資料中介的作用」之研究報告7，該報告中整理關於「 可能阻礙最佳化資料共享的議題 」(Issues that may prevent optimal data sharing)如表2，並指出這些是可藉由資料中介機制予以克服的課題。
| 缺乏共享動力 | |
|---|---|
| 說明 | 資料提供者沒有足夠動力共享或將資料提供他人近用。(因為資料分享需要許多成本與工夫，但分享者卻無法從中獲益) |
| 資料中介潛在作用 | 採行付費模式(pay to play)，僅於資料取用方也貢獻資料時，才能近用更多的資料。 |
| 缺乏認知 | |
| 說明 | 資料提供者可能對其資料潛在用途缺乏了解，而資料使用者則不了解哪些資料可用與如何用。 |
| 資料中介潛在作用 | 使特定資料集易於被發現，使資料提供者可從資料挖掘價值，並讓資料使用者可以找到潛在應用。 |
| 商業、道德和聲譽風險 | |
| 說明 | 預想可能失去競爭優勢、或因為資料使用破壞他人信任而蒙受信譽風險、或允許在道德上有問題的資料使用等風險因素，都可能阻礙資料近用及風險。 |
| 資料中介潛在作用 | 向資料主體和持有人確保資料僅會在特定目的下提供經核准的組織或個人近用。 |
| 法律和監管風險 | |
| 說明 | 預想可能違反資料保護、智慧財產權，或監管要求及相關風險也可能會阻止分享。 |
| 資料中介潛在作用 | 提供法律專業觀點和共通資料標準，以促進合法資料共享。 |
| 資料共享成本 | |
| 說明 | 缺乏資料共享所需的共同基礎建設和技術，且建置成本可能過高。 |
| 資料中介潛在作用 | 提供資料共享環境，可有效運用科技，包括適用強化隱私技術(privacy-enhancing technologies)。 |
| 錯失資料於公益領域的應用 | |
| 說明 | 資料共享可能帶來經濟和社會效益。 |
| 資料中介潛在作用 | 在受信任的研究環境中，以公共利益研究為目的，提供敏感性資料的近用。 |
資料來源：本文彙整編製（ 2022 ）。
電信事業資料之應用，也需要納入更多不同資料集的串聯，才可能挖掘資料的各面價值。主要挑戰為，電信事業資料一旦涉及個人資料，勢必要以建構民眾可信賴的環境為基礎，並考量整體技術面、治理面的議題。觀諸前揭觀測國外促進電信事業資料應用的作法及相關法制政策環境，本文提出於我國可行的短中長期解決方案相關規劃建議，如圖1所示。短期目標為建立網路公眾意見諮詢平臺，透過平臺回應民眾關注資料創新應用涉及的個人資料保障或隱私保護議題；中期目標為主管機關或產業自律訂定指引作為電信事業應用資料的參考，主要包含如何強化當事人權利行使的作法(如：動態同意的規劃)，在規劃資料創新服務過程要求應予進行隱私衝擊評估，充分對消費者揭露資訊等透明化作法，以及在資料過程中如何適用我國的去識別化國家標準(CNS29100-2)等；長期目標則著重於政策面思考，電信事業主管機關、個人資料主政機關及推動數位發展等有關部會可以共同規劃發展資料中介機制，促成資料的跨域應用。
現階段我國已有推動開放銀行的經驗可資對照，國外Open Banking的機制亦已行之有年，以當事人同意為前提，讓不同機構間屬同一當事人的資料可以流通之運作，已具相當成熟度，能夠促成不同類型資料混搭，且具有發展異業結合服務的潛力。另外，亦有探討可利用沙盒機制，讓各種有助於資料應用的創新機制(如資料中介機制)獲得試行機會，此亦呼應國外倡議資料沙盒的趨勢。
資料來源：本文彙整編製（ 2022 ）。
茲將電信事業資料於不同領域應用之不同關注點，整理如圖2。當電信事業之資料利用涉及公權力高度介入，其資料具針對性(指向特定個人)，應有法律依據且依正當法律程序提供或揭露之。在公權力行使範疇外之國家安全、公共利益目的之電信事業資料利用，以MPD為代表，係追求資料來源的普及性及群體性，以達到訂定施政方向的參考基礎，通常以電信事業配合提供匿名化資料，或透過鼓勵方法由當事人同意自主提供資料。在商業領域服務創新之資料利用，若以提供個人化服務、協助個人滿足生活需求為主，則電信事業所蒐集、利用之資料，須由當事人充分知悉同意後自主提供。
資料來源：本文彙整編製（ 2022 ）。
觀諸前述國外以防疫為目的之各項電信資料應用，如位置資料蒐集，具有公共利益，也與廣泛的國家安全意義相通，但未見有任何實際案例以此為由，「 強制 」民眾加入特定電信服務，亦未發生無法源依據而強令調取特定民眾電信資料之情事。絕大多數例子，係以不指向特定個人的資料蒐集方法，進行資料的蒐集及利用，以愛沙尼亞利用MPD為例，係電信事業提供群集化資料供政府掌握人流動向、擬定防災對策；再以歐盟利用民眾位置資料擬定疫情控制政策為例，係電信事業提供匿名化位置資料供主政機關參考。倘若特定服務涉及蒐集或利用民眾個人資料時，須向民眾告知完整的服務資訊供民眾自由選擇加入，給予選擇退出權利，且由民眾自主決定是否允許該服務存取位置資料等電信資料，以獲取民眾自主信任及利用。
電信事業之資料應用實務亦遵行「 資料最少蒐集原則 」，係指限於資料利用目的而蒐集必要的資料，此原則是個資保護的普世價值，如我國個人資料保護法中所規定「 特定目的之必要範圍 」等語，即揭示此一原則。對照國外將電信資料運用於防疫防災目的之實例，確實體現了資料最少蒐集原則，即便是在充分給予當事人自由選擇是否加入該服務的狀況下，其服務設計及提供，也是儘可能以不觸及當事人其他資料為原則，避免蒐集多餘資料。
當前全球主流趨勢以構築當事人信賴環境作為活用資料的基礎，電信事業從事資料創新應用服務時，尤需重視內部資料治理議題，需盤點內部所保管具有廣泛創新應用可能性的電信資料類別，此些資料型態各異，所對應的業法規定可能涉及不同的保管規則及期間等內容。於涉及個人屬性等資料時，皆需遵守個人資料保護法的要求，須於特定目的下進行處理、利用且不得逾越必要範圍(個人資料保護法第5條)，若欲進行特定目的外之利用，則必須符合法定條件。
另一方面，政府也肩負整備資料創新應用環境的任務，在電信產業領域，本文建議政府端可訂定指引作為電信事業發展創新服務運用數據資料的具體依循，由於我國現行規範架構對於資料如何應用尚缺乏細部依循，且電信資料實際具有配搭其他產業領域資料、合為利用的需求，如何與其他產業部門分工負責，確保資料利用過程中符合個人資料保障及資料安全等要求，亦無細部依循，爰建議可透過訂定指引，做為業者於設計資料創新服務時的依循。本文亦建議政府端可訂立定型化契約範本確保資訊透明化，依據電信管理法第17條：「 …電信事業應訂定定型化服務契約條款，載明與用戶之權利義務關係。前項定型化服務契約條款，應包含下列事項：…用戶個人資料蒐集、處理與利用之限制及條件。… 」據此，主管機關可考量擬訂定型化契約範本，引導業者於契約中完整揭示如何使用資料、使用資料條件、在何種情況下將使用何種方法重行獲得當事人知悉同意，以及在何種條件下將配合公權力揭露資料，並清楚使消費者知悉可以行使權利的管道，賦予消費者充分的選擇權(選擇進入、選擇退出)，以及明瞭退出後效果等，藉以強化消費者對於業者利用資料的信賴，避免因不了解而產生抗拒情形。此外，亦建議政府可評估針對群集化及去識別(匿名)資料之利用給予法源基礎，特別就資料群集化或匿名化利用對當事人權益無侵害或無其他不利益之情境，於電信相關法律(電信法或電信管理法)中予以明訂，使之成為個人資料保護法的特別規定，讓電信事業運用群集化或去識別化資料獲致穩固的法源基礎。
