◆ 主 題 : 元宇宙大軍壓境 歐盟數位身分皮夾(Digital Identity Wallet)帶來的啓示
◆ 主辦單位 : 新世代金融基金會、國立臺灣大學社會科學院共同主辦
◆ 時 間 : 110年 12 月24 日 九點到十二點
◆ 地 點 : 國立臺灣大學梁國樹國際會議廳
背景說明
2021年6月3日歐盟執委會，提出其創建數位身分皮夾(Digital Identity Wallet)的架構，除為自然人及企業提供身分辨識，並確定各類個人屬性(如護照、駕照、文憑、銀行帳戶、健康資料及DNA等)，及提供廣泛的應用服務。更勁爆的事實是，FB創辦人祖克柏深信「元宇宙(Metaverse)」是臉書的未來，因此將FB公司名稱於本年10月28日更名為Meta。元宇宙發展的概念是透過虛擬實境(VR)及擴增實境(AR)進入虛擬世界，因而產生社交、購物、金融、運動等各項活動，其所生的法律關係，是否會透過殺手級應用在實體世界，實現法律效果? 將為個人實體的身分與線上的分身所面臨的法律關係成為一項重要的課題。
歐盟推動的「數位身分皮夾」以個資保護為基礎，為歐洲民眾提供各項線上的服務，該服務除提供個人所需的身分證明文件及其他各種的身分認證服務(包括身分或分身)，並可搭配各種不同的應用系統，在行動裝置儲存各項個人屬性文件資料或特定交易的服務(如銀行帳戶開設或貸款申請)。這一數位身分皮夾，符合歐洲個資保護規定(GDPR)，歐洲人可完全追蹤、掌控其所分享的數據去處，也可以剔除不願納入皮夾的個資。歐盟執委會除了提供監督管理的功能外，並計畫於2022年9月前建立一款「通用工具箱」（common toolbox），內含技術架構（technical architecture）及實施的標準與指南。
歐盟數位身分皮夾以法律、安全、信任及標準化為基礎，整合相關的個人身分證明文件，讓歐盟所有居民能使用電子身分證（Electronic Identity, eID）在會員國間很方便地作線上跨境活動，包括進入公部門取得公共服務，或儲存文件及金融交易業務等…。但其法制基礎仍在GDPR (The General Data Protection Regulation個人資料保護通則)及eIDAS (electronic IDentification, Authentication and trust Service 電子簽章法規) ，為歐盟各會員國相互接受電子身分認證和簽名，提供一致的法律架構。
我國1998年曾計劃發行身分證結合健保卡之國民卡，並考慮融入金融卡、信用卡及電子轉帳，可惜並未實施，2000年推動金融憑證，在2003年時以IC卡的模式推行健保卡及發行自然人憑證。2015年內政部發想推動晶片國民身分證，亦不順利，直到2019年行政院核定數位身分識別證(New eID)國民身分證換發計畫，又因搭建國發會的T-Road資料庫，引發各界在個資未設專責機關及資訊安全信任的擔憂，行政院2021.1.21因之暫緩推動。未來數位身分證應仍繫於個資保護是否會被不當運用或洩漏、資安技術基準能否被信任等問題，以金管會推動金融EDI的參加銀行，目前僅17家，是否也同樣對金融憑證的安全有所顧慮 ?
就在歐盟數位身分皮夾不斷向前之時，我們應頓足旁觀，抑或應積極迎頭趕上？
會議重點
陳冲(新世代金融基金會董事長、願景工程基金會董事長)：
歐盟於2021/6/3提出digital ID wallet的架構，現在的確是在數位時代，不應該再使用石器時代的方法。辦這個研討會，希望引進新的觀念，因數位身分皮夾除了技術的問題，也包含個資保護、應用、資安的問題，期望這次研討會能作為一個切入點，引發大家的注意。我們不一定要用歐盟的方法，但是可以了解制度，從中獲得啟發。
第一場次
蘇宏達(台灣大學社會科學院院長、台灣歐洲聯盟中心主任)：
一周前跟友人談到梅克爾，在數位化方面，德國和歐洲似乎比較落後。數位化分成工程技術和消費法規兩個部分，在歐洲的概念上，其實工程技術沒有落後，但在消費和使用上，歐洲相對謹慎，也就是法規不健全下，不會貿然推動，唯恐變成控制人民的工具。
張仁炯(微軟台灣研發中心總經理)：
台灣其實不算是有軟體業，因為台灣過去一直以硬體為重，政府政策造成軟體業無利可圖，而在做軟體政策時，也不能做的太粗暴(如中國直接控制人民)，如何平衡國家與私人企業及人民，這是個法律政策層面的問題。
從資安角度到資訊保護的角度，國內一直有over engineering的問題，如區塊鍊，其實在我看來，沒有一件事情是在除了區塊鍊以外的科技不能辦到的，那為什麼一定要用區塊鍊？如果現在用了區塊鍊，未來無法改，怎麼辦？
新科技主要還是來自需求，而需求究竟在哪裡？我們要做的是「解決需求(問題)而不是應用科技」，過去20年，國內在雲(cloud)、大數據、AI的步伐很緩慢，但沒有雲、沒有AI，就不會有元宇宙。我國比較弱勢的是我們無法與其他國家簽訂數位主權協定，例如澳洲與紐西蘭間的協定，可以很安心的將資料放在另外一國使用。
除此之外，資安是台灣現在面臨的另外一個問題。台灣現在面對資安問題，好比我們知道我們在打世界大戰，派了一群狙擊手，卻委任他們當大將軍。國內資安問題其實非常嚴重，全世界正在經歷一場最大的資安事件，但台灣的新聞幾乎沒有提到，或僅可在專業的報章雜誌上看到。
資料是一切的基礎，有了資料才能做重要及對的決定，但要如何運用，才能合理合法去交換資料？這依賴軟體的API和protocol，但目前API和protocol的定義來自政府和法規的解釋，工程師不能自行認定API和protocol是什麼樣子，導致軟體業無所適從。今天要有非常明確的法規，工程師才能就法規去定義protocol，知道資料如何交換，何種的資料可以交換。
台灣人習慣看著眼前的事情做決定，不是想著二十年、五十年後來做決定。而我們的方向究竟是什麼？目前而言，國內沒有任何政府機關有CIO，政府組織應針對數位和IT做一個決策，若缺少此前提，其他討論都是多餘。我們應先看清需求在哪，無論是硬體、軟體、資安，無論是政府還是企業的投資。目前政府在軟體IT的投資非常少，僅約3%，這是一個警訊。
近期目標，我們應讓所有組織理解資料交換的原則及重要性，中期須開始建立資料交換的能力，並在政府的投資上加速。台灣疫情控制得好，反而是個危機，因在國外疫情的前三個月，政府及企業大量投資在IT，三個月相當於其兩年的進步，而我們還是零，整個國家數位能力沒有進步。
凡事都應過分準備，希望可以建立機制讓政府和民間可以有效交換資料，明確規範何種資料民間可以拿，何種資料必須要政府主導，何單位負責哪類的資料，這些皆是複雜數據工程的問題。仍建議各級政府都要有CIO，資訊單位將人分組後再開始規劃。
軟體工程天天都有disaster，但遇到危機有能力指揮，協調以及復原，這都是基本功。台灣在這方面的能力很弱，缺乏指揮系統及工具。時間會很漫長，但有些東西我們還是可以馬上開始。
范姜真媺(東海大學法律學院教授)：
若人民和政府的信賴沒有建立，一切都是零。
歐盟數位身分皮夾，人民可以決定要分享什麼資料，而民間和政府機關之間也可以整合，主要問題在於安全性疑慮，因數位身分證後面連結每個人的資料，可能會有洩漏或冒用的風險。國際上推行數位身分證，愛沙尼亞和新加坡是由政府主導，瑞典和英國是官民聯合(英國是失敗的例子)。瑞典是政府資訊公開做得最好的國家，人民和政府間的信賴非常的高，因政府將成本和風險都清楚告知人民，英國因沒有告訴人民風險和監督機制，導致人民不信任，最終失敗。
台灣在推行晶片身分證時，政府無法告訴人民是否安全，又好比1922實聯制的資料庫是永久的，究竟誰在監督？人民的足跡傳到哪個雲端？資料如何使用？資料庫又是如何建立？這些政府都沒有說清楚。除此之外，還有output-out的問題，亦即人民日後是否可以選擇退出資料系統且不需要說明。
一切資料的蒐集、處理、利用都要「透明化」。建議一定需先立法，做完風險評估並告知人民取得同意後，才可推數位身分證(信賴度的建立)。
愛沙尼亞的eID也有提供人民監督政府的能，和建立保護隱私的獨立機關，民眾如果認為自己的資料被不當使用，可以申訴。資料保護監管機關是獨立的，可以代表民眾向各機關要求資料使用的說明，也可以協助民眾利用法律來對侵害其隱私的人進行權利救濟。台灣目前缺乏第三人獨立監督機關，在申請歐盟認證時會面臨困難，因GDPR中有明文規定需有獨立監督機關。
新加坡則有國家數位憑證（National Digital Identity, NDI），在2018年推出「電子政府密碼手機應用程式」(Singpass Mobile)，新加坡公民和永久居民可透過輸入密碼或指紋、臉部等生物識別方式直接登錄政府網站。新加坡普及率很高，因人民對政府的信賴度高。
瑞典Bank ID，主要也是建立在人民對於政府的信任上。功能上，與台灣的Pay類似。英國曾在2006年立法推展ID卡，後遭廢除，顯示國民之信任乃成功與否之關鍵。
導入Digital ID的問題：
- 技術面：安全維護之強化(需要privacy impact assessment，且向人民說明，2年需重新評估)、得識別特定個人之識別因子存在涉及個資法規範、安全性與便利之衡平問題
- 社會面：隱私權保護以及社會之全面性涵蓋(數位落差，造成未利用Digital ID之人被排除於公共服務或數位化社會下帶來之便利性服務之外)
- 運用面：給人民利用的動機、政府機關間認證系統之統一→資料可攜權(portability)
- 運用規範之制定：由誰配賦共同編號，運用之要件及領域為何、安全標準、信賴由何人擔保，違反者的法律責任是什麼？
我國若要推動晶片身分證，政府應充分盡其說明責任，對人民清楚說明。
第二場次
楊岳平(國立臺灣大學法律學系副教授)：
今天的主題，將從三個點做切入。
首先，針對歐盟數位身分的背景以及啟發，我們可以探討為何歐盟要推動？而為何是如此重視個資保護的歐盟來推動？
第一，歐盟是個擁有準國家身分的特殊經濟體，其會員國間有許多跨境服務、跨境流通的數位活動，必須要有一個數位身分來做高度整合，其次，在數位時代的交易、流通，若有eID會方便許多，最後核心的理由，則是數位產業的競爭，因為現今大部分的大數據公司多是美商，歐盟變成數據輸出國，資料都輸出到美國電商平台，而歐盟反而沒有可以與美國抗衡的公司。
歐盟不是只是一味保護數據，歐盟其實是想要有秩序的運用數據，而資料應用和保護應該要並重。台灣其實也是高度輸出數據，若從整個產業來思考，也許更能了解台灣政策該如何推動。
第二，想探討關於「身分」的問題。開發一個權威身分認證機制後，誰要用？為什麼要用？
也許政府部門會使用，但若只有公部門使用，恐是小題大作。歐盟的數位皮夾中不斷提及「線上平台」，亦即要擴及不同領域，但為何大家要使用這樣的東西？例如，直接開設臉書帳號即可，為何要改用一個eID來開設一個臉書的帳號？大方向而言，也許需要實名制的場域會有使用eID的需求，其他場域較難想像使用的動機，當某個數位服務越強調實名制時，越有機會使用eID。網路上「匿名」會衍生許多問題，我們可從中思考哪些數位服務的領域需要實名制？這將影響數位皮夾的推動。
最後，是關於「皮夾」的討論。歐盟數位身分皮夾可以儲存個人資料，例如醫院病歷，金融資料，但皮夾還是須連結到中央資料庫，這將創造一個資料集中者，即皮夾業者，造成風險。皮夾業者，應是經許可的業者，而誰來監管皮夾業者也是個問題，我們需要一整套的監管架構，重心著重在資料使用及安全。除此之外，皮夾還會帶來一個法律問題，即是資料可攜權的重要性。人民作為主體，可以決定將資料分享給第三人，資料主體的同意是促進有秩序資料流通的前提，而台灣目前沒有相關的立法。
楊建綱(異康股份有限公司董事長)：
這20年，0和1改變了世界，而現今台灣的人工智慧、演算法加上光學(神經奈米光學、超表面光學)，相機速度可比之前快上3000倍。低軌道衛星加上光纖、無線網路，可以提供全面覆蓋的網路服務，這是一個新時代的來臨。
Data center加上網路的服務，就有了transaction dispatch solution，像是電動車，發現危險時可閃避，如果有了皮夾，只有這個實名制的人，可以發動車子，行車紀錄也只有他可以保管。元宇宙是在實體世界創造出來的，永遠都與實體世界連在一起，但實體世界有法律，虛擬世界沒有法律，在元宇宙可以扮演任何身分，有很多的分身存在，所以存在分身和身分的問題。
有關歐盟數位身分皮夾，63%居民希望擁有單一安全的數位身分，72%居民希望掌握自己的個資用途，其規劃重點希望建立通用的共同標準，可在智慧型手機app及其他裝置使用，且安全可靠。其核心精神為My Data My Duty My Right，且可連結所有東西(eHealth, Fintech等)，不分貧富貴賤，男女老幼。
在推行數位身分皮夾時，首先要綑綁GDPR，要有可攜權(Right to data portability)、被遺忘權(Right to be forgotten)等，建立一個安全的銅牆鐵壁，包含個資保護、權限控管、資訊安全等項目。而歐盟2030年數位羅盤計畫，期望達到100%全面數位化政府，100%歐盟公民使用電子病歷，80%歐盟公民使用數位身分，並希望80%以上的歐洲居民具備基礎數位技能，並加強擴大融資規模，讓獨角獸創新產業數量翻倍，此外，扶持尖端半導體產業，讓所有地方都可以享受5G Gigabit服務。
歐盟數位羅盤是策略計畫的指標，而數位身分皮夾是他實施的手段。
台灣在民國87年，李國鼎時代曾有「邁向二十一世紀科技島」，內容提到「國民卡專案」，國民卡專案目標就已經包含：建立全國整體電子商務應用之環境、彙整身分及健保資料利用IC卡儲存應用，建立電子認證、資訊安全、收付系統等。
黃乃寬(元大期貨股份有限公司獨立董事)：
政策的推動，背後必定有一個系統。
Gartner曾針對已推動數位身分的國家做出研究。圖中，左半邊是政府主導，右半邊是企業主導，上半部其憑證是中央集權式，下半部的國家，中央則以協調為主。
通常富有的國家較能推動，但右上角波羅地海的smart ID為一個例外。愛沙尼亞很早即推動，且滲透率非常高，98%國民有數位ID，甚至使用區塊鍊做為投票的工具，小國寡民能推動，一方面是政府願意推動，一方面則是因背後有美國的公司願意幫他設計相關軟體(當然，這也牽涉數位主權的問題)。
從人口來看，左半邊人口多，右半邊人口少，唯一的例外是荷蘭，其人口1700萬，為政府主導，且算是成功的，推測因人口少加上政府主導下，使其滲透率較高。
最後，針對國家是否本來即有現存身分證的制度來探討，可發現此因素的影響較小。
另外，從實行的成效來看可發現由政府主導的，成效較差，而憑證採中央集權且又是政府主導的，成功案例甚少。
怎麼做才是好的方式？網路報稅方法很多種，今年首次增加「行動電話認證」這個方式，在手機上輸入身分證和健保卡號碼，電信公司確認雙證件後即可取得所得資料，完成報稅。據統計，今年首次推行即吸引140萬人使用。每年全台約有640萬戶報稅，網路約440萬戶，而網路報稅有1/3都使用行動電話報稅，相較之下，推行十幾年的自然人憑證報稅僅約20%，Fido更是不到1%。由此可見，方便性或使用者體驗是非常重要的成功因素，因其符合數位生活的習慣。數位身分皮夾，以現在來說其載體為手機，未來可能不是手機，但一定是每天數位生活中最方便使用的東西。
若要有成功的數位身分皮夾，需要安全又方便，且有彈性(根據不同情境，使用不同工具，提供不同強度的身分認證)，例如：網路報稅的身分認證可能在中間等級，因很少人會去幫別人報稅，遭到冒用的安全問題很低，以手機就可以完成，但若牽涉大量金錢轉移，可能需嚴謹的數位憑證。除此之外也須公私部門合作，政府及企業可分工，政府以制定法規為主，企業則提供多元工具，而使用者的個資如何使用是可以追究的(究責)，要分享多少東西出去，皮夾持有者也是可以主控的(自主)。
陳董事長綜合四點結論，供各界參考：
- 2016年歐盟早已通過領先全球的GDPR(個資保護規範)，不僅取得數位經濟的話語權，而且在個資保護、資料運用、數位監管方面，已建立良好法律環境，最重要的是取得歐洲民眾的信賴。
- 2021/6/3，歐盟執委會宣布數位身分皮夾的架構，不僅提供歐洲企業及居民安全、可靠的身分認證，而且皮夾內容豐富，人民可檢索、取得、儲存、分享有關資料(包括醫療、財產等)，享受公私領域的服務，接受GDPR的保障。
- 2021/3/9歐盟執委會提出的2030 Digital Compass (數位羅盤)的構想。規劃出2030年數位轉型的願景，就Skills，Infrastructure，Business，Government四大面向，分別訂出細項具體的量化目標：數位人才、電子病歷、數位身分、量子電腦等。
- 目前台灣，政府行政，立法、司法、考試、監察，如臂使指，怕的是沒有羅盤，沒有方向，如墮五里霧中，不妨參考歐盟數位身分皮夾，最重要的是要有個Compass才能作細部規劃有條不紊，次第推出，建立我們的數位社會。