會議：立法院第10屆第7會期交通委員會第2次全體委員會議（2023-03-08）
議程：邀請數位發展部部長唐鳳列席報告業務概況，並備質詢
發言委員：林俊憲

林委員俊憲：（10時9分）部長好。我們延續剛剛幾位立委同仁所關心的個資問題，部長第一次到我們委員會來備詢的時候，我當時就有問你個資的問題，我說到底我們政府對於個資有沒有要訂定一個專責機關，或者是有一個法律，我記得當時部長是跟我說各自大概有相關部門。
主席：請數位部唐部長說明。
唐部長鳳：委員好。憲法法庭已經要求獨立了。
林委員俊憲：就是各個部門會自己去管，但是由你剛剛答詢幾個個資外洩的事件，我們可以發現這個問題最後還是繞回來到數發部這裡，也就是個資跟資安是不能切開的，我看你當時好像是讓大家各自管理個資。
唐部長鳳：小規模的個資不一定是資安事件，10萬筆當然是資安事件。
林委員俊憲：其實不只是iRent的個資外洩，華航也個資外洩，還有民間一家百貨公司也個資外洩，所以基本上我認為個資外洩就是一個資安的問題，是不是應該這樣子？因為很多業務管理的部門，它有責任，可是沒有那個能力去維護，個資外洩該怎麼辦？像公總嘛！你們數發部是有能力，但是你們沒責任，譬如iRent是租車業者，發生客戶資料外洩的狀況，不關數發部的事……
唐部長鳳：是我通報的。
林委員俊憲：我知道，是因為國外駭客發現，他去告訴你，你來協助處理，所以我說最後還是跑回來你這裡嘛！以後是不是只要個資外洩，一樣都丟回來你們這裡處理嗎？
唐部長鳳：先跟委員報告小規模的，就是用記的或者用紙筆抄出去的那種個資外洩，一次兩、三筆的，那也是個資外洩，只是它不經過電腦系統，所以不會是資安事件，但您剛剛提到的都是幾十萬筆、十幾萬筆，那個當然一定經過電腦系統，就會是資安事件了，所以重大的個資外洩一定是資安事件，那部分我們責無旁貸。
林委員俊憲：在數位電子化時代，我們現在關心的，你也知道嘛！基本上所謂個資外洩都是電子……
唐部長鳳：大規模、重大的……
林委員俊憲：大規模電子檔案的個資外洩。
唐部長鳳：是的。
林委員俊憲：那麼就以iRent來看，後來iRent怎麼處理？
唐部長鳳：所以就像剛才……
林委員俊憲：不是你怎麼處理，是公總怎麼處理，公總就給它罰20萬？
唐部長鳳：剛才委員所說的，就是去行政調查，要求它改善，如果不改善就罰20萬，若還不改善就一直罰。
林委員俊憲：對啦！要求和泰汽車交一份資安的維護計畫？
唐部長鳳：對，那個也是……
林委員俊憲：那個資安維護計畫，以後誰去follow？誰再繼續監管它有沒有改善、它的維護計畫到底有沒有用？還是公總嘛！
唐部長鳳：但是公總……
林委員俊憲：公總有能力嗎？公總就沒有能力啊！怎麼辦？
唐部長鳳：它只要有能力打電話給資安院就可以了。
林委員俊憲：最後還是回到你們這裡來啊！
唐部長鳳：是，因為依法，行政檢查權在個資法裡面真的是在各部會，所以就會變成行政調查時是各部會帶頭，再由資安院統籌各種技術的專家來幫它。
林委員俊憲：這樣你們要有一個SOP啊！
唐部長鳳：有。
林委員俊憲：因為現在變成該管業務的單位有責任，但是它沒能力，當發生個資外洩，它事先也沒有能力稽核。我們政府單位有一個數位稽核，對不對？
唐部長鳳：對，當然這是資安署，政府要……
林委員俊憲：那是公家單位有，民間單位根本沒有在做這個事情，或者是它有做或沒做，我們公部門也沒有一個對口，就是業務主管單位也沒有能力去管它有沒有做數位稽核。
唐部長鳳：如果是上市櫃公司，現在按照金管會要求要設置資安長跟專責的人員，所以這部分慢慢有建立。如果不是上市櫃公司，現在就是用各目的事業主管機關來輔導。
林委員俊憲：對啦！但是主管機關根本沒有能力，問題在這個地方，或者是目前的法律對於民間單位要配合我們來辦理這種資安稽核，因為沒有罰則，你看它都沒有做或是做不好，一般都是事情發生再來處理，你說再嚴重也只罰20萬，其實造成的傷害都沒有辦法彌補了，因為事先也沒有罰則，所以我覺得這個部分恐怕要再檢討一下。
唐部長鳳：我其實同意委員的講法。
林委員俊憲：所以個資法到底是要修、要訂定罰則、要嚴厲要求？雖然是民間企業，但是做生意累積很大部分客戶的私密個人資料，那麼它必須要有一定的安全維護。
唐部長鳳：是，跟委員報告，現在的個資法看起來是沒有改善就只罰20萬，確實這個上限很低，但是其實也可以罰它不能夠再蒐集、處理、利用個資，就是等於停業了，現在問題是……
林委員俊憲：地方不會罰到這樣啦！
唐部長鳳：中間要有一個級距。
林委員俊憲：一般不會罰到這樣啦！我們的個資法應該要規定，因為政府單位比較不用擔心，我們都非常警覺這方面的狀況，所以都有一定的數位稽核機制，是否適用於民間機關，目前法令上並沒有很清楚的界定，或者是我們應該抽選指標性的大型企業，再來做一個外部稽核，針對那麼大的一個公司，它的資訊安全到底做得好不好，目前都是自己管理自己，並沒有外部稽核，是不是這樣？
唐部長鳳：剛剛有提到上市櫃公司，現在金管會會輔導他們加入我們TWCERT的會員，這部分的量能是有在建立的。
林委員俊憲：還沒有建立，是不是這樣？
唐部長鳳：沒有……
林委員俊憲：我記得陳建仁院長好像有提到考慮要修法成立一個專責單位，對不對？
唐部長鳳：獨立的個資會。
林委員俊憲：院長是不是有提出這樣的想法？
唐部長鳳：而且這是憲法法庭的要求，所以就是往這個方向來做。
林委員俊憲：所以未來我們對於個資安全的維護會設立專責單位？
唐部長鳳：對，會有一個獨立的個資會。
林委員俊憲：如果有一個專責單位，相關法令也一定是跟著修法。
唐部長鳳：當然個資法一定就是它管。
林委員俊憲：我們希望這個部分加速，好不好？
唐部長鳳：當然！
林委員俊憲：否則三不五時就看到個資外洩的重大事件，好嗎？
唐部長鳳：這個當然，我們全力協助。
林委員俊憲：另外大家也關心到一些所謂的AI，現在AI技術突飛猛進，部長知道哪一張圖是假的嗎？根本看不出來！
唐部長鳳：Stable Diffusion去辦了測試，結果50%的機率，等於大家都看不出來。
林委員俊憲：對，根本看不出來。譬如這張照片，根本沒有這個人，這是AI憑空創造出來的，可是太像了，所以我看現在這個技術實在是突飛猛進。
唐部長鳳：對。
林委員俊憲：我們現在都在討論未來AI的應用充滿著一片光明前景，我看我們臺灣大部分討論都到這裡，但是像歐盟大概是全世界腳步最快的，歐盟已經訂定了相關AI風險的法律，因為歐盟已經注意到如果這些AI用來作為犯罪，恐怕會產生什麼樣的嚴重問題，它最早訂定相關法律，而且最近又要再修了，我看2021年歐盟就通過AI法了。
唐部長鳳：它對於高風險的部分是有一些管制，不過像ChatGTP到底算不算高風險？關於這個部分，他們現在也在非常熱烈的討論。
林委員俊憲：例如現在AI的技術，聽說只要擷取你的聲音，大概二十秒、三十秒，它就可以創造，可以用你的聲音去造假，國外收費只要五塊美元，我只要擷取幾十秒唐部長的聲音，我就可以去造假了。
唐部長鳳：是，我自己有用過。
林委員俊憲：你自己用過，對不對？
唐部長鳳：是。
林委員俊憲：你看！已經這麼便宜了，這可能用在詐騙，甚至也可能影響到政治事件、選舉的介入，都有可能嘛！製作影片、聲音，之前Deepfake已經造成一定的社會關注，所以我想未來類似這樣的一個AI風險管控，我們政府必須要提早面對。
唐部長鳳：有，行政院有專門的小組來做這個。
林委員俊憲：對於相關的法律，目前好像沒有一定的法律可以管嘛？連AI是什麼，剛才你自己也有提到，像ChatGTP算不算是高風險的東西？歐盟的AI法是先定義AI是什麼，現在大家對這個部分還很模糊，我說的是在法律面，歐盟也把AI分級，以它的風險評估去把它分級，我認為臺灣應該要有相關的法令。
唐部長鳳：我完全同意，而且像剛剛的獨立個資會一樣，這跟個資法完全是連動的，所以關於剛剛委員關心的這兩件事情，我們都會全力協助。
林委員俊憲：好，謝謝部長。
唐部長鳳：謝謝委員。
主席：謝謝。稍後李委員昆澤、陳委員雪生、許委員智傑質詢完畢，休息10分鐘。請李委員昆澤發言。