 |
| Photo by Adli Wahid on Unsplash |
中午時間，我在查詢相關資料，回覆信件後，回頭問自己：「為什麼自己在查詢資料時，總是先從歐盟的資料著手？很多人會反應為什麼要查歐盟或 OECD 的資料而不先使用國內的資料？其他國家的研究資料不能用嗎？」
這幾年的心得是，在歐盟和 OECD 的報告裡會提供研究方法，公開告訴每個人，他們的數據來源、取得方法、怎麼推估、根據什麼政策框架，有什麼研究限制，這些公開的研究條件，都經得起外界審視和質疑，所以在檢查其合理性後，可以使用這些報告。
以區塊鏈技術運用在身分識別用途來說好了，在 GDPR 公布後，裡面的條件都規範了資料使用和流通的限制，對於喜歡不經告知就擅自挪用、交易的企業來說，使用資料的成本與門檻都提高許多，許多科技業者也質疑，在需要資料發展創新科技，如 AI 和區塊鏈，或是自主駕駛車輛，也需要大量的地理交通資訊，在 GDPR 這麼嚴謹的限制條件下，要如何發展新科技？
曾經我也是這麼質疑著。沒有資料，區塊鏈技術也只是一種工具，就像 3D 列印機缺乏設計圖、設計資料，也只是一部工具而已。
歐盟在區塊鏈應用的相關法規、發展與研究
 |
| ESSIF 在區塊鏈應用的情境圖，來源：European Self Sovereign identity framework |
歐盟在 2018 年 2 月，歐盟委員會和歐洲議會成立了 European Blockchain Observatory and Forum，不僅針對區塊鏈技術與 GDPR 的研究，同時也有針對區塊鏈的可擴展性、資料可攜性、在政府與公共服務應用的建議、在歐洲國家的發展，還有大家最常討論的身份識別應用，總共五本報告，在網站上公開下載；為了鼓勵公私合作，在 2018 年 4 月成立了 International Association for Trusted Blockchain Applications (INATBA)，一個以多方利害關係人為基礎的單位，有政府、研究單位、區塊鏈應用的研究機構，包括來自台灣的 BiiLabs。
在 European Blockchain Observatory and Forum網站中的其中一本報告：「Blockchain and Digital Identity」利用了短短的 27 頁解釋了相關的應用、注意事項、法律規範，也提出了建議：
- Support the role of government as an issuer of verifiable credentials.
支持政府作為發放該證明的角色。 - Clarify the relation of blockchains to eIDAS.
澄清區塊鏈的數位身份識別與 eIDAS 之間的關係。 - Clarify open issues around decentralised identity and the GDPR.
澄清圍繞在去中心化的身分識別和 GDPR 之間的關係。 - Clarify other potential regulatory issues.
澄清其他潛在的法規議題。 - Continue the work of exploring a European Self-Sovereign Identity framework as part of the European Blockchain Services Infrastructure (EBSI).
持續探索歐洲自我主權身份框架，並納入歐洲區塊鏈服務基礎設施的一部分。 - Support the broad use of digital identity in cities.
支持在城市之間廣泛的數位識別身份應用。
documents。
在 (5) 提到的歐洲自我主權身份框架 (European Self-Sovereign Identity framework，簡稱ESSIF) ，裡面就有提到了潛在的運用，也納入歐洲區塊鏈服務基礎設施 (European Blockchain Services Infrastructure，簡稱 EBSI) ，這是一個由歐盟成員國成立的合作框架，在 2018 年 10 月已有 26 個國家加入，EBSI 的目的是要進行跨境數據的傳輸，把 ESSIF 納入 EBSI 也顯示歐盟成員國的居民身份資料是可跨境流通的，至於用途，各有優缺點，目前 ESSIF 在區塊鏈應用的部份也完成第一階段 (Phase 1)，也只是案例和第一次實施的對象，來定義 ESSIF 中有哪些是可以納入 EBSI 之中的元件，2020 至 2021年則研究、設計、建立初次的 ESSIF 實施框架，目的是要能夠支援多方連結，2021 至 2022 年則大規模實施。
如果上述的(2)、(3)、(4) 都能回答和澄清的話，(5)、(6) 才能實現，也才會讓人民有信心去支持 (1)。
歐盟並未反對區塊鏈或 AI 研究，而是透過自己歐盟境內的發展政策、法規，打造一個資料可以自由跨境流通的區域，因為他們很清楚的了解當資料可以自由流通，才能為歐洲國家帶來經濟效益，而我們區部看到的法令限制，除了對非歐盟成員國的門檻外，其實也可感受這些法律能讓人民做決策、擁有自己資料的控制權，而不是任由政府取用、調查、監控，或是讓企業把使用者資料當作商品交易、惡意曝露使用者隱私或不善盡其保使用者資料的責任。
最後，要提到歐盟在第一階段 (2011-2015) 電子化政府行動綱領裡就有規範，在「個人資料透明度」上，以五個等級來判斷一個電子化政府服務的「透明」與「成熟」程度：
- 成熟度0：民眾完全無法掌握個人資料被誰查詢、或是查詢目的。
- 成熟度1：民眾只能掌握自己的資料是否被查詢過。
- 成熟度2：民眾可以掌握自己的資料是否被查詢過、在什麼時候被查詢過。
- 成熟度3：民眾可以掌握自己的資料是否被查詢過，以及在什麼時間、被誰查詢過。
- 成熟度4：民眾可以掌握自己的資料是否被查詢過，以及在什麼時間、被誰、以什麼目的被查詢過。
整體看下來，其實歐盟是循序漸進的從研究、設計應用場域、法規框架、日程，都是很完整的有所依循，也很難因為「改朝換代」而中止或廢止整個計畫。
台灣政府的規劃
台灣政府很容易因為「改朝換代」而做出中止、廢除、刪減前朝預算的行為。
儘管實際執行的團隊不變，卻會因為預算被刪除而無法繼續，甚至無法做到最初的標準，草草結案，最後又是一個蚊子館或無人看守的計畫蚊子網站。
 |
| 資料來源：T-Road入口網規劃說明 PDF |
 |
| 資料來源：20181227(簡報)國家發展委員會：「智慧政府規劃」報告 |
 | |
|
如果說自然人憑證是依循電子簽章法，而國發會的簡報第 8 頁中得知，未來的數位身分識別證是新版的自然人憑證，主管機關是內政部，但是該依循「電子簽章法」還是「國民身分證及戶口名簿製發相片影像檔建置管理辦法」？因為我們也自媒體報導知道，它其實也具有電子簽章的功能。
附帶一提的是，在「國民身分證及戶口名簿製發相片影像檔建置管理辦法」第 21 條註明了，身分證上記載了 25 項資訊、內政部的簡報表示紙本卡上有 11 條資訊，對於推廣數位身分識別證的人來說，他們會以未來的身分證卡面會減少曝露的資訊為理由作為正向的推廣原因。但是，為什麼不修改這部管理辦法，發行新的、不要結合手機、不要結合個人財務金融資訊的身分證，也不要把這麼多資訊揭露在卡面上呢？有次我去便利超商兌換中獎的 200 元發票，我才知道，原來超商可以用他們的掃描機來掃瞄現行身份證背面左下角的一維條碼，即個人的身分證字號，記錄在兌換記錄裡，也許是連結到財政部的相關資料庫，但也因為必須出示我的身分證，於是又讓第三人知道我的出生日期和居住地。
政府數位化的規劃應該是結合人民的需求、業務執行者的工作角度、管理者的需求，從各面向著手整合政府內部流程，再視需要的憑證需求來規劃新型態的憑證，而不是把刀子丟給人民，讓人民直接和第一線業務執行人員發生衝撞，增加第一線人員的挫折感和工作負擔。這件事情在 Open (Gov) Data 時代已經發生過很多次了，現在依然上演著同樣的戲碼。
目前這些問題也還未釐清，但目前看似都由內政部、行政院、國發會承擔下來了，在未澄清相關問題前，也無法支持相關的政策。
結論
回到文章最初，歐盟在制訂相關的應用、策略都是有跡可循，也能讓我們從歐盟的網站上取得豐富的發展過程、發展規劃、研究計畫，甚至公開向全球徵求計畫。我也許不夠了解區塊鏈，但在歐盟的應用發展歷程裡，我所注意到的是政策實行的合理性與合法性。
每個政府都有讓人垢病的地方，每個執政者都有自己的包袱，每個執行者都有其困難點，研究者也一定有研究方法和研究限制。
但我實在不知道因為「改朝換代」而做出中止、廢除、刪減前朝預算行為的政府，要如何與人民建立「信任」，我希望專卡專用、不要揭露那麼多資訊在這張卡片上，除了主管機關和相關的法源外，我也看到內政部簡報裡提到的第三方獨立及驗證，這不是各位理想中的去中心化吧？委託第三方或是第 N 方，而非點對點的認證，已經違反了去中心化的原則。這些問題，還是先請台灣政府把基礎的政府數位化權責相關問題釐清吧！
前篇閱讀：對台灣即將更換的數位身分識別證的幾個疑問，也可以閱讀刊登於吐納商業評論的版本。
前篇閱讀：對台灣即將更換的數位身分識別證的幾個疑問，也可以閱讀刊登於吐納商業評論的版本。
您好，在研究ESSIF时无意中搜索到您的blog，意外的发现有许多共同关注的事物，比如区块链、CBDC等等，感谢分享！
回覆刪除