Note 1：應邀稿，刊於行政院國家發展委員會發行之《國土及公共治理》第三卷第四期，2015年12月號。刊行之 PDF 版本與此版本在標點使用、關鍵詞、以及部份文句（如本文最後一句）的表達略所不同。另，國家發展委員會印製的紙本期刊，本文的「參考文獻」部份編排錯誤。
Note 2：本文刊出後，台灣的《個人資料保護法》於2015年12月30日再次修法，修正第6～8、11、15、16、19、20、41、45、53、54條條文。修正條文的施行日期，「由行政院定之」。
Note 3: The English abstract and keywords are new to this edition.
莊庭瑞 Tyng-Ruey Chuang 中央研究院 資訊科學研究所 副研究員 資訊科技創新研究中心、人文社會科學研究中心 合聘副研究員 Associate Research Fellow Institute of Information Science, Academia Sinica with joint appointments at CITI & RCHSS 定稿 2015-11-05 text finalized 勘誤 2015-12-31 errata corrected
含有眾人的個人資料、活動紀錄、以及異動歷程的資料集，無論來自政府部門或是商業團體，本文中我們概稱為公眾資料。公眾資料源自公眾，理想中自當也可被公眾所用。一般認為，公眾資料經處理後，若已不含有可直接或間接識別特定人的個人資料，就可以釋出使用，但在實務與學理上，卻有各種議題需要探究。本文概略回顧個人資料以及公眾資料的議題與事件，對台灣所處的情境以及新近發展，進行觀察與評論，並提出建議。
We use the term Public Data to refer to data — whether it in the hands of government agencies or commercial entities — that is drawn from the general public and in which may include people's personal data, activity records, or trails of data transaction. As Public Data is sourced from the public, ideally it shall be usable by the public. It is generally considered that, once a set of public data ("public dataset") has been processed so as it not longer includes identifiable — either directly or indirectly — personal data, the public dataset can be released for reuse. However, in practice and in theory, there is much to be discussed about processing public datasets. In this article, we survey several issues and notable events related to personal data and the use of public datasets. In particular, we observe and comment on the development in Taiwan, emphasizing the unique context where she situates. Several suggestions for remedies are offered.
個人資料、公眾資料、治理、台灣、個人資料保護、開放資料、公部門資訊、去個人識別、網際網路、資訊服務、身分證、健保資料庫、通訊監察、台灣人權促進會。
Personal Data, Public Data, Governance, Taiwan, Personal Data Protection, Open Data, Public Sector Information, De-identification, Internet, Information Services, National Identity Card, Health Insurance Databank, Communication Surveillance, Taiwan Association for Human Rights.
「公眾資料」（Public Data），意指因眾人活動而產出的資料彙集。公眾資料一詞中的公眾，有兩種意涵：「眾人」與「公共」。一方面，這些資料彙集自眾人。另一方面，常是因為公共事務而產出了這些資料。公眾資料的產出、彙集與使用，其議題討論與決策，自然需考量眾人的主體性以及資料的公共性兩方面。主體性，意指個體在自身相關資訊上的自主權利；而公共性一詞，在於表達這些資料來自眾人，應該是眾有的資源，可用以增進眾人福祉。公眾資料常含有個人資料，也就是該資料彙集內含有可為個人識別的各類屬性資料。許多公眾資料因其本質，例如彙集自電子運輸票證使用紀錄的資料集，而含有眾人（可直接或間接識別）的個人資料與活動紀錄。含有個人資料的公眾資料，如何而能被再次使用，而能顧及個人隱私與公共利益，是數位時代的難題。
台灣是高度數位化的社會。在寬頻網路以及有線電視普及率、行動電話門號數量、電子商務（如股票線上交易以及網路購物環境）、小額支付工具（如悠遊卡以及一卡通）等方面的進展非常快速，競爭十分激烈。對於新型態的數位產品和服務，台灣民眾樂於嘗試，喜歡其所帶來的各種便利。「臉書」（Facebook）在台灣的使用情形就是個例子。在台灣，幾乎人人都有臉書帳號，一些政府部門以及民間團體甚至以臉書為重要的訊息發送管道。臉書以及「谷歌」（Google）所提供的服務在台灣廣受歡迎，兩家公司儲存處理眾多使用者的個人資料，但他們並不是台灣公司。台灣也沒有可相比擬的本地資訊服務企業（對比於對岸的微信與百度）。
「開放資料」（Open Data）是近年來眾人琅琅上口的熱門詞，意指將原本只做內部使用，或僅供特定人並限定使用的資料集，以開放使用的方式提給公眾自由下載、散布、混用，而且不限制其使用目的。一般認為，資料的開放使用，更能發揮其潛在的經濟與社會價值。提供開放資料的主體可以是商業公司、研究機構、非營利團體、以及公部門。政府部門和公有企業因為本身在運轉經營上的需要，會持續生產大量的資料與文件。這些資料包括地理空間資料、人口統計、社會經濟指標等，一般稱為「公部門資訊」（Public Sector Information）。公部門資訊常是因為公共行政事務而產製，或是源自公共出資的研究機構或計畫。因為這些資訊的普遍價值，許多國家持續推廣它的使用。[1, 2]
「開放政府資料」（Open Government Data）是這幾年來非常受到重視的話題。公部門資訊的釋出使用，除了經濟與社會效益的議題，對於政府資料的公共性，以及其開放與否的決策過程，更是眾人關注的焦點：公部門的資料開放措施，是否進而達到了公民政治參與，透明化政府治理的作用？但不是所有公部門產出的資料集都屬於公眾資料的性質。一些公部門的資料產出，例如地理空間、氣象水文、環境觀測等資料，不含有個人資料，也不是彙集自眾人的活動紀錄。這些資料「是否」以及「如何」開放的議題，相對上比較容易，本文不另作討論。
「個人資料」（Personal Data），根據台灣的《個人資料保護法》，係指「自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料」。政府部門以及商業公司因為行政業務或經營管理上的需要，維持大量個人資料以及其異動紀錄，這些原始資料可以整理彙總為統計資料，幫助這些部門與經營者瞭解其業務現狀，對一般大眾及研究者也有用處。隨著開放資料的趨勢，資料持有者也逐漸考慮將保有的資料集另行整理後，整批釋出給特定人或是公眾使用。
含有眾人的個人資料、活動紀錄、以及異動歷程的資料集，無論來自政府部門或是商業團體，在本文中概稱為「公眾資料」。公眾資料源自公眾，理想中自當也可被公眾所用。一般認為，公眾資料經處理後，若已不含有可直接或間接識別特定人的個人資料，就可以釋出，自由為眾人所使用，但在實務與理論上，卻又有各種作法跟學說，限制了公眾資料的使用。對於大眾資料的使用以及治理，以下概略回顧這些議題，並專注於台灣的情境，提出建議。
關於個人的一些資訊如財務狀況、健康情形、住所地址、交友網絡、閱讀紀錄、信件日記等，一般認為是個人隱私，除非個人自願或有必要，他人不需要知曉。「是否」以及「如何」揭露關於自己的個人資訊、更正檔案中關於自己的錯誤個人資料、以及去除不必要的個人資料紀錄，被認為是個人的資訊自主權利。沒有個人資訊自主，不僅個人處於被窺視狀態，無法自在，也會侵害個人在表達和通訊的自由。商業、社會、政治體系的順利運行，也需仰賴對個人的隱私保障：買保險套不需記名，參加教會不需報備，選總統不需要亮票。個人資料保護，在歐盟被視為基本人權議題。於 2009 年 12 月生效的《歐盟基本權利憲章》，第 8 條，個人資料之保護：「一、人人有權享有其個人資料之保護。二、這些資料僅得於特定目的，且在其個人同意或法律正當依據下，公平地被處理。人人有權取得對其個人所蒐集的資料，並有權更正之。三、這些規定的遵循需有獨立的機關監察之。」[3]
然而，彙集自眾人的個人資料或活動紀錄的公眾資料，常有經濟以及社會上的價值。一般認為，如果這些資料處理後，其中已不含「可為個人識別的資訊」(Personal Identifiable Information)，那就可不受個人資料保護的限制，作特定目地外的使用，因為這些處理過後的資料已經不是個人資料。所謂「可為個人識別的資訊」，一般認為是姓名、身分證統一編號（在美國的話，社會安全號碼）、住所地址、個人電話號碼等可以直接用以連結個人身分的資訊。然而許多案例告訴我們，這不是周全的作法。1997 年美國麻州州長 William Weld 將州政府雇員的保險醫療紀錄彙集，經「去個人識別」（de-identification）後釋出供研究使用。MIT 研究生 Latanya Sweeney 卻以州長的生日、性別、住所郵遞區號三項資訊組合，指出資料中屬於州長本人的保險醫療紀錄。美國資訊服務業者 AOL 於 2006 年釋出 650,000 名使用者在三個月內的搜尋紀錄，雖然該資料已經「去個人識別」（改用代碼來標示使用者），不過仍可經由推理，揭露某些特定個人的搜尋紀錄。只遮蔽公眾資料中與個人識別資訊有關的欄位，並不能保證不能經由其他欄位資訊組合，或是經由參照其他資料集，而能辨識出特定人的個人屬性資料。[4]
即便公眾資料已處理為統計資料，確實不能用以識別任何人的個人屬性資料，該項統計資料可能仍然揭露特定群體的獨有特質，而可作為差別待遇使用。例如：假設經由健保醫療資料統計顯示，某偏鄉人口患有重大疾病比率遠高過全國平均值，如果醫療保險公司知道某被保險人戶籍設在該鄉，自可推論其將患有重大疾病的機率高過常人，而給予差別保險費率。事實上，這種對個人或群體的「描繪」(profiling) ，其過程之中對於可為個人識別資訊的蒐集處理，並不是絕對需要的環節，而是對該個人或群體進行系統性監控，用以建立其行為模式，而能預期其未來活動。的確，眾多網路資訊服務業者以置入「小幫手」(cookie) 在使用者瀏覽器的方式，聯合紀錄使用者的瀏覽歷程，用來精準投放個人化的線上廣告。也就是，眾人的個人活動紀錄，被商業公司蒐集處理，分析後用以對付自己。這些例子指出公眾資料在治理以及倫理上議題。[5][6][7]
「治理」(Governance) 意指形式或非形式的組織，透過成員互動以及問題決策的程序，以解決集體的問題。例如，政府、部落、或是人際網絡，透過法律、常規、或是權力關係，以管理眾人共有的資源。公眾資料依其集成於眾人活動紀錄的性質，若視為眾有資源，就非單一個人可以獨斷，其管理使用便是眾人的問題。眾有的實體資源，如眾人使用的灌溉水道系統，政治經濟學家 Elinor Ostrom 同時也是諾貝爾獎得主指出，其治理體制可有多種型態，但有一些設計的原則，如：清楚的界線（資源範圍以及使用群體），以及適應於當地條件的資源生產以及使用規則。對於知識、環境、資訊等非實體的眾有資源，其治理體制的形成也可參照這些原則。[8][9]
不過資訊服務提供者，目前多以單方的「使用條款」(Terms of Use) ，要求使用者同意後才能使用其服務，並同時取得蒐集處理其個人資料的權利。但資訊服務提供者也同時配合政府要求，在某些情況下提供使用者的個人資料給政府單位。這些情形直到 Edward Snowden 揭露美國國家安全局要求知名的資訊服務提供者，直接提供大量的使用者的活動紀錄，才為一般大眾得知。美國電信業者，也整批提供給美國國安局可能是所有用戶所傳送簡訊的「電信後設資料」(telephony metadata)。這類後設資料雖然不包含通訊內容本文，但卻包括收發兩方的電話號碼（電子信箱）、通訊時間、訊息長度與樣態等資訊。這種事前「無所不收」 (collect it all)、事後永久保存的作法，已超出常人對政府通信監察的認知。其後還關聯到一項個人資料移轉境外的訴訟，簡述如下。[10][11]
2011 年起，奧地利青年 Max Schrems 認為美國網際網路服務業者（如臉書），在處理歐盟境內使用者的個人資料時，不符合歐盟法規，持續提出訴訟。Snowden 事件揭露臉書未能告知歐盟境內使用者，就將其個人資料提供給美國國安局。Max Schrems 認為這種情形已違反歐盟與美國雙邊關於個人資料移轉境外的「安全港」協定，要求臉書歐洲總部所在國愛爾蘭的個人資料保護專署介入調查，但卻不被受理，遂提出訴訟。歐盟法院認為歐盟各國的個人資料保護專署必須介入調查這類投訴。這類事件指出，個人資料的蒐集處理，尤其當涉及境外移轉使用時，將是雙邊貿易協定重要的一環。而國家勢力對於公眾資料的監控作為，因為不透明的性質難以治理，而且將影響跨境經貿活動的正常發展。[12]
公眾資料在台灣的使用以及其治理議題，有其特有的情境。以下就身分證制度與資訊系統、個人資料保護、通訊保障與監察、以及大眾認知與公民行動等四面向，概略回顧與評論。
台灣的行政部門一直以來以「電子化政府」（e-Government）的願景，持續推動各項「多用網路、少用馬路」的線上服務。這些線上服務包含政府文書的申請辦理、法規資訊的線上查詢、以及民眾意見反映與回覆等作業層級的項目，基本上以「便民服務」為考量，簡化縮短作業流程。另一方面，政府沿用日治時期建立的戶政系統，再加以一人一號的身分證制度，使得每位公民的基本資料與身分查證等工作，可由各政府機構的資訊系統互通處理，維持公民個人資料的一致性與可連結性質。
以身分證制度為基底，台灣建立了強制性的全民健康保險制度，並搭配單一保險機構中央健康保險署。健康保險憑證（健保IC卡）號碼，就是身分證統一編號；保費歸戶計算，也與戶政資訊相關。台灣的綜合所得稅申報制度，也依存於戶政系統以及身分證制度。內政部製發的自然人憑證也依存於個人的身分證統一編號，目前已使用於多項跟個人密切相關的資訊服務，如所得稅申報以及個人金融事務。台灣公民的個人資料已大量、持續、廣泛的儲存於公部門資訊系統。這種情形眾人或許認可，但對於這些資料的再次與交互使用，並沒有廣泛的認知，也少有機會及場合，表達意見或是深入討論。
身分證統一編號除了使用於公部門，也密集使用於個人金融以及各種日常生活。開設銀行帳戶、申辦信用卡、求職和薪資作業都需要身分證；電信服務門號、行車與駕駛執照、高速公路電子收費等，這些事務跟個人的通訊與行動自由高度相關，申請辦理也都需要身分證。在台灣，個人的身分證統一編號可以用來串連靜態的個人背景資料（如所擁有的車輛種類以及車牌號碼），查詢動態的個人活動資料（如該車輛經過的高速公路電子收費和時間），並回溯分析個人歷程資料（如個人或家庭歷年綜合所得稅申報資料）。這些涉及個人資料的資訊系統，有些是政府部門因為公共行政目的而設置，有些是私部門為商業或其他目的而建立，而有些是由特許事業所建立維持。資訊系統之間的互通取用，以及資料集的釋出使用，也就需要考量該有的原則與界線，以保障個人的隱私與權益。
台灣於 1995 年始立法制定《電腦處理個人資料保護法》全文 45 條。2010 年立法修正名稱為《個人資料保護法》，全文 56 條。總統府於同年 5 月 26 日公布新法，但其施行日期，由行政院定之。延遲到 2012 年 9 月 21 日，行政院才發布除第 6 以及 54 條條文外，其餘條文自同年 10 月 1 日施行。未能施行的《個人資料保護法》 第 6 條內容為：「有關醫療、基因、性生活、健康檢查及犯罪前科之個人資料，不得蒐集、處理或利用。」但亦列有四款例外情形，不在此限。未能施行的第 54 條內容：「本法修正施行前非由當事人提供之個人資料，依第九條規定應於處理或利用前向當事人為告知者，應自本法修正施行之日起一年內完成告知」，未告知而處理或利用者，並有罰則。[13]
《個人資料保護法》區分公務機關或非公務機關，分別規範於個人資料蒐集、處理、利用時，對當事人應有之作為。第 5 條：「個人資料之蒐集、處理或利用，應尊重當事人之權益，依誠實及信用方法為之，不得逾越特定目的之必要範圍，並應與蒐集之目的具有正當合理之關聯。」不過第 16 條以及第 20 條，卻也分別列出「得為特定目的外之利用」情形七項，分別適用於公務機關與非公務機關。只要適用其中一項情形，就可為特定目的外之利用。其中共同適用的情形包括以下三項：「為增進公共利益」、「學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人」、以及「經當事人書面同意」。
何種情形可視為「增進公共利益」，各方看法可能不同。資料要如何處理或揭露才「無從識別特定之當事人」，也難有絕對或是一致性的判定標準。本文已舉例多項個案，說明資料持有一方，盡管事先已作必要處理，認為所釋出的資料集不含特定人的個人資料，但研究者或是有心人士經由與可公開取得的資料集比對後，常能篩選出特定人的個人屬性資料。至於「經當事人書面同意」這項例外情形的爭議在於，當事人可能並不清楚所簽下的同意書，是同意了對方哪些使用權利？這些權利的確切範圍，以及當事人有無撤回同意的權利。常見的情形是當事人不加思索，簽下無所不包的個人資料的利用與移轉同意書。《個人資料保護法》第 6 條明訂不得蒐集、處理或利用的醫療、基因、健康檢查等資料。此條雖暫未施行，若一旦施行，且「經當事人書面同意」後，這些敏感性個人資料，是否即可以為任意目的處理或利用？其間顯有扞格之處。
台灣的個人資料保護法制還有一明顯缺失：沒有專責獨立的個人資料保護機構。歐盟國家皆設有個人資料保護專員公署或是專責機構，且多獨立於行政部門，以保護公民的個人隱私不被政府機關或是商業團體侵害。香港《個人資料（私隱）條例》在 1995 年8 月制定，不過要等到 1996 年 8 月成立了「香港個人資料私隱專員公署」之後，該條例才於 1996 年 12 月正式生效。新加坡政府於 2012 年 12 月通過《個人資料保護法》之後，隨即於隔年一月成立「個人資料保護專署」（Personal Data Protection Commission），該專署委員五名由新加坡通訊與資訊部聘任，並設有指導委員會，成員包括民間與學界人士。[14][15][16]
台灣於《電腦處理個人資料保護法》時代，法務部為協調聯繫機關，修法為《個人資料保護法》後，法務部也於 2012 年 09 月修訂《個人資料保護法施行細則》。但對於個人資料檔案的「安全維護、業務終止資料處理方法、國際傳輸限制或其他例行性業務檢查」，實由中央目的事業主管機關或直轄市、縣（市）政府執行（《個人資料保護法》第 22 條）。對於新興議題，如公部門釋出公眾資料涉及個人資料保護的時候，其法律依據與作業程序，也由持有資料的機關認定，而無獨立的個人資料保護機構進行監察，而只能依靠民權團體發聲警示。對於《個人資料保護法》後續修法，公眾資料處理為不可為個人識別的標準採用以及品質認定，以及身分證晶片卡化等高度政策性議題，目前的情形常是，行政院政務委員、國家發展委員會、內政部、經濟部以及其他部會，各有意見但失之零碎修補，而未能以全觀角度提出完備政策。若能有專責獨立的個人資料保護機構，除了可推展個人資料保護的公眾認知，處理投訴主動調查，在公眾資料釋出的政策層面，也可制衡現行自行作為的行政機關。
台灣的《通訊保障及監察法》於 2014 年 1 月修正，第二條明示：「通訊監察，除為確保國家安全、維持社會秩序所必要者外，不得為之。前項監察，不得逾越所欲達成目的之必要限度，且應以侵害最少之適當方法為之」。 該法所稱通訊，包含：「利用電信設備發送、儲存、傳輸或接收符號、文字、影像、聲音或其他信息之有線及無線電信；郵件及書信；言論及談話」。個人使用電信服務，產生通信紀錄存於電信服務業者，而眾人通訊紀錄的彙集，也是本文所稱的公眾資料的一種。基於營運需要，電信業者在一定期限內會保存使用者的通信紀錄（為計費帳務等需要）。《通訊保障及監察法》第 14 條卻也要求，「電信事業之通訊系統應具有配合執行監察之功能，並負有協助建置機關建置、維持通訊監察系統之義務」。[17]
《通訊保障及監察法》第 3-1 條：「通信紀錄者，謂電信使用人使用電信服務後，電信系統所產生之發送方、接收方之電信號碼、通信時間、使用長度、位址、服務型態、信箱或位置資訊等紀錄」。依此定義，通信紀錄的性質跟一般所說的「電信後設資料」類同，雖然不包含通信內容本體，但這些紀錄揭露了使用者的通訊時間、位置、與對象。分析特定群體的通信紀錄歷程，可得知其間聯繫密切程度、信息傳遞網絡、以及是否同時地出現。
通信紀錄無疑是個人隱私，但 Edward Snowden 揭露了美國國安局要求電信業者和資訊服務商的配合，長時間保留所有使用者的電信後設資料，以為情報分析之用。《通訊保障及監察法》第 7 條，「綜理國家情報工作機關首長得核發通訊監察書」；第 11 條，檢察官有事實足認「通信紀錄及通信使用者資料於本案之偵查有必要性及關連性時」，「應以書面聲請該管法院核發調取票」。同法第 16 條雖然要求，「通訊監察執行機關、監督機關每年應製作該年度通訊監察之相關統計資料年報，定期上網公告並送立法院備查」，不過對於台灣電信業者有無長時間留存用戶的通訊紀錄，以配合台灣政府進行情報分析或是犯罪偵查，一般大眾並不清楚。
另一方面，《通訊保障及監察法》僅明訂「電信事業」之通訊系統應具有配合執行監察之功能。「電信事業」跟據《電信法》定義，為「經營電信服務供公眾使用之事業」，而「電信服務」則定義為「指利用電信設備所提供之通信服務」。臉書、谷歌、以及眾多網際網路上的營運者所提供的資訊服務，一般認為非屬於電信服務。這些資訊服務者也難認定需為《通訊保障及監察法》所規範。的確，當政府單位跟網際網路資訊服務業者要求調閱使用者個人資料以及其通訊紀錄，其必要的法律依據以及程序究竟為何？這是資訊服務業者經常面對，需要解決的問題，也是近年來民權團體極為重視的議題。
維護自身的個人隱私、重視自己的個人資料，是數位時代眾人共有的認識。然而，對於個人動態資料被廣泛蒐集處理的情形，一般大眾可能不甚清楚。例如，隨身的行動電話，隨時通報給電信業者（有時還包括通訊監察機關）自己的所在。從個人手機的位置、移動、及使用歷程，可以推算出住家與工作地點，通勤路線，是否出國，上班或是休假，以及誰是密友等資訊。一般人也會填報個人資料以換取免費貨品、服務、或是參加抽獎活動。不多思索使用了免費的網路資訊服務，卻也同時自願揭露了鉅細靡遺的個人資訊給服務提供者，如經常上網的位址、個人瀏覽習慣、自己的人際網絡等等。也接受了業者投放的個人化廣告。對於資訊服務業者的使用條款，亦或是個人資料使用的書面同意書，也不常細究其實質內容。
至於眾人的個人資料、活動紀錄、異動歷程，彙集成為政府部門或商業團體持有的公眾資料，其所關聯的公共性議題（例如，資料可否開放使用）、商業利益（例如，是否作目的外使用）、亦或是數位公民權利（例如，能否促進透明治理），這些跟個人沒有直接利害關聯的諸多議題，一般台灣民眾的認知和態度，本文認為這需要進一步探究。如果一般大眾對這些議題沒有基本的認知，各界就無從對話，進行討論。如果行政部門不瞭解大眾對這些議題的意見取向，便難以擬定可推展的政策。以下以電子收費車輛的行駛歷程為例。國道高速公路局在保留收費起訖時間與地點資訊，但去除車牌個人資料之後，目前已經每日彙集這些資料，定時發布，並開放各界使用。
對於公眾資料使用的認知與態度，就這個例子，我們可以問：眾人可否理解，這項公眾資料的使用，有公共性（以眾有資源增進眾人福祉）與主體性（維護個人的資訊自主權利）兩方面？眾人是否認知，這些資料在商業使用上的潛能，以及其可能受惠的團體？眾人能否知道，這些資料的分析，有助於檢驗不同路程資費模型的效用與差異？在明瞭大眾對這些議題的認知（及落差），以及對這些議題的意見傾向（與分歧），資料持有者國道高速公路局也就較能研擬能被接受的公眾資料使用政策。舉例來說，如果多數人重視資訊自主權利，那就應該提供「退出」（opt out）的內定選項，讓電子收費車輛的擁有者，能夠退出（除電子收費）目的外的任何資料利用。同樣的，如果眾人看重這些資料的商業潛能，或許這些資料就應該作商業授權，而且收益可以用於補貼路程資費。如果公眾認為這些資料應該用來檢驗路程資費模型，那就該如此進行。[18][19]
台灣人權促進會長期關注隱私權議題，1998 年與眾多民間團體反對身分證健保卡兩卡合一的「國民卡」計畫，該計畫最後以停止與委外廠商議約告終。台權會也引領民間意見，促成立法院於 2005 年提出關於《戶籍法》第八條的憲法聲請書。《戶籍法》第八條於 1997 年增修為：「人民年滿十四歲者，應請領國民身分證，請領國民身分證時，應捺指紋並錄存，請領國民身分證，不依前項規定捺指紋者，不予發給。」大法官會議於 2005 年 9 月 28 日以釋字第 603 號令解釋，「戶籍法第八條第二項、第三項強制人民按捺指紋並予錄存否則不予發給國民身分證之規定，與憲法第二十二條、第二十三條規定之意旨不符，應自本解釋公布之日起不再適用。」[20]
2012 年 6 月，台灣人權促進會以及關心隱私權的團體及個人，對於衛生福利部及所屬中央健保署，在聲稱已進行去個人識別處理後，將全民健保資料整理釋出到「健康資料加值應用協作中心」，作為「全民健保研究資料庫」，表示無法接受，並以存證信函主張行使退出這項健保資料庫的目的外利用，但遭到健保署拒絕。對此台灣人權促進會提起訴訟，但於 2014 年 5 月經台北高等行政法院駁回。經台權會上訴至最高行政法院，最高行政法院以原判決適用法律有誤且事證尚有未明，廢棄原判決並發回台北高等行政法院再為調查。目前該案還在審理中。[21][22][23]
除了以司法程序挑戰行政機關對於所持有公眾資料的處理利用情形，台灣人權促進會也關注國家對公民的通訊監控情形，認為應當遵守合法性、符合比例原則、需有正當法律程序、必要性、告知當事人等原則，更強調監督機制的重要性。自 2014 年中起，台權會開始執行「台灣網路透明報告」，透過這個計畫，呈現台灣政府向網際網路資訊服務業者索取使用者個人資料，以及要求移除內容的現狀。藉由正式公文要求這些案件的統計資料，促成政府機關提出標準作業流程及法令依據，讓公眾瞭解政府網路監控的實際狀況。[24] [25]
目前《個人資料保護法》第 6 條（醫療、基因等個人資料不得蒐集、處理或利用）以及第 54 條（修法前已處理或利用非由當事人提供之個人資料，應為告知者，應自施行起一年內完成告知），行政院一直未能施行，也沒有提出預計施行的時程，而是採取讓立法院自行提出修法的拖延策略，讓原本應該受到法律保護的公眾及其個人資料，持續處於保護狀態不明的情況。這種情況需要立即解決。台灣沒有專責獨立的個人資料保護機構，以至於公務機關在蒐集處理公眾的個人資料的時候，欠缺制衡的一方。公務機關對其所持有的公眾資料，常在自行聲明已「去個人識別」處理後，便轉為特定目的外的利用。但這些聲明背後的實際作為，以及其法律依據是否堅實，並未得到該有的監察檢視。若有獨立的個人資料保護機構，就可以督察這些作為。對於來自民眾的投訴，無論是對於公務機關或是非公務機關，獨立的個人資料保護機構，也更能專注於這些事務的監理與調查。
目前公眾資料的釋出，多是由資料蒐集一方單獨決定資料是否釋出以及其釋出方式，包括資料釋出的時程與頻率，資料格式與後設資料描述、去個人識別的方法以及資料檢核程序。台灣的公部門機關推行開放政府資料，雖然設有開放資料委員會，邀請民間人士參與討論，不過對於公眾資料進行「去個人識別」的處理，這方面似乎並沒有既定的程序，可以讓公眾檢驗其處理方法。以中央健保署所釋出，聲稱已去個人識別的健保醫療紀錄為例，中央健保署並沒有揭露其所採用的方法，民間團體無從驗證其說法。以隱晦的方法，並不能達到保密的效用（隱晦的方法一旦洩漏，再無挽救機會），反而應該以公開周知的方法進行資料的去個人識別處理，並邀請眾人查驗是否達到宣稱的效果。對於公部門蒐集處理個人資料的程序、彙集為公眾資料的程式、以及其它關於公民權益的數值計算，也應該公開這些程式的原始碼，讓眾人能夠檢視是否有漏洞，或是有系統性的偏差。電子收費里程計算程式，國民年金資率模式以及搭配的人口估算資料等，都應該公開，走向透明治理的方向。
《個人資料保護法》第 21 條，規範非公務機關在國際傳輸個人資料的作為。若有下列情形之一，中央目的事業主管機關得限制之：「一、涉及國家重大利益。 二、國際條約或協定有特別規定。 三、接受國對於個人資料之保護未有完善之法規，致有損當事人權益之虞。 四、以迂迴方法向第三國（地區）傳輸個人資料規避本法。」目前台灣民眾常用的資訊服務，如臉書、LINE、微信等，許多是境外公司，在台灣並無法人代表，若有或僅是廣告業務代理性質。這些商業公司大量蒐集處理台灣民眾的個人資料，但似乎沒有看到政府部門進行例行性業務檢查，確保這些公司遵守《個人資料保護法》。這些資訊服務業者必然傳送台灣民眾的個人資料到其他國家，而某些國家（如海峽對岸）對個人資料之保護以及基本人權之保障，實有令人非常憂心之處。台灣政府在這方面，目前並沒有作為。