主講者：理律法律事務所 曾更瑩律師 （簡報下載）

曾更瑩律師的引言報告主要介紹智慧音箱服務在台灣個資法的適用性，她首先提到當前國內各大電信公司陸續上市的智慧音箱服務，顯示國內市場相關產品的多樣性，在業者大力推銷下，很可能愈來越普及。接續她簡要說明智慧音箱運作原理與涉及的技術，大概包括語音辨識、自然語言處理、大數據分析、深度學習、雲端運算以及物聯網等，並強調智慧音箱的服務還擴及大量家庭智慧裝置同時連網，透過大量聲音資料的蒐集，在雲端環境中的分析與判讀，以回應用戶所下達的指令。

曾律師舉出2個近兩年來媒體披露的智慧音箱安全案例，包括使用者在家中的對話被智慧音箱錄下又寄送給辦公室同事的事件、以及法院要求業者提供命案現場智慧音箱的錄音資訊做為辦案用途。這兩個案例均彰顯出人們對於智慧音箱侵害隱私的擔憂，甚至有人質疑，智慧音箱的錄音資料有沒有可能未來成為不利於自己的呈堂證供？

接續逐項說明智慧音箱業者適用於國內個資法的相關規定，首先確認聲音到底屬不屬於個人資料？她認為，法規提到可以直接或間接方式識別該個人之資料的定義，來說明聲音是有可能被列為個資的；當前也有一些金融機構採用戶的聲紋作為鑑別個人身分之途，以啟動如網路銀行業務鑰匙，如此更為明確說明聲音是屬於個人資料。她又對照了歐洲GDPR的規定，認為聲音若被認定為生物特徵資料，則GDPR認定其屬於特種資料，在蒐集、處理與利用上則有更嚴謹的規範，且規範程度比台灣個資法更嚴格。

智慧音箱業者如何符合個資法? 曾律師從個資的蒐集、處理與利用法規要件，以及當事人權利、資訊安全義務等面向，逐項說明智慧音箱業者可能面對的問題，例如服務提供業者透過合約方式來與客戶約定聲音資料的蒐集，但多應用在家庭的智慧音箱，要如何取得所有使用者的同意；例如刪除個資的當事人權益，業者是否可以以AI應用仰賴大數據運算方能作用為理由，來做為拒絕消費者要求刪除個資的依據等。她也提到，目前國內似無智慧音箱業者適用的個資檔案安全維護及處理辦法，亦無當出現個資問題向主管機關通報的相關規定。

除個資法外，曾律師進一步提出智慧音箱的大宗使用者 – 兒童的隱私保護問題，她指出有越來越多的服務提供業者在研究有關辨識兒童自然語音的技術，在兒童尚未有隱私概念使用智慧音箱的情況下，可能會造成更多的隱私侵害問題。美國已有相關法規保護13歲以下的兒童，國內是否有需要研議相關法規? 最後她也提到物聯網發展趨勢下的資安風險提高，也是重要的待解決議題。

白明憲教授首先概要說明智慧音箱的運作流程，其提到，通常智慧音箱服務的啟動會有喚醒詞，且是針對特定使用者的聲音，一旦啟動才開始連網。連網後的運算在雲端處理，技術上要理解語音的意涵，此即涉及自然語音的處理並給予適當的回應。智慧音箱硬體本身只會收音與提供回應內容，其他都在雲端處理。廣義來說，智慧音箱服務業者蒐集到的資料不只是聲音，還包括語音的實際內涵，包括像是消費習慣等。

微軟公司楊千旻法務協理則以微軟為例，說明其智慧音箱產品是特定人的聲紋才能夠喚醒音箱，實作上，業者會透過合約來取得當事人及其他會使用到音箱服務家人的同意，就當事人所提供的資料進行AI大數據分析等處理。其他如提供當事人資料刪除或修改權利之要求，微軟目前則可透過自動化工具或客服人員兩種管道，讓消費者行使這些權利，甚至可以讓客戶選擇資料存放的數據中心位置。

楊協理也提到雲端服務在個人隱私保護的難處，以過去美國FBI要求微軟提供存放在愛爾蘭資料中心的客戶資料為例，強調跨國企業在面對這類情況時，會因為公權力單位與資料存放地區分屬於不同國家，而發生法規適用的衝突。業者當然不希望自己的技術被用在犯罪之途，也很願意配合政府公權力單位提供相關資料，因此期待跨國執法單位之間能有更好的協議或合作架構，使讓業者得以配合。

國家通訊傳播委員會（NCC）蘇思漢簡任技正說明，國內包括手機在內的資通設備或物聯網設備在資安要求方面，目前是沒有強制性的，NCC已制定技術檢測規範，由設備商自主送測。因應立委要求，NCC也已請轄下法人電信技術中心擬定智慧音箱技術檢測指引，目前該指引仍在草案階段，但已針對設備的實體安全、系統安全、通訊安全、身分鑑別與授權機制、隱私保護、應用程式等部分訂定安全檢測標準，希望在年底可透過相關協會推動方式，成為產業標準，再進一步推動成為國家標準。

目前大部分設備屬國外廠商，NCC也已認知到這是推動安全檢測的難題，未來或可經由公布通過安全檢測廠商或設備的資訊，讓消費者在採購設備時可參考，以此作為設備商送檢測的誘因。如果是政府採購，則可透過契約方式來規範。

經濟部工業局林俊秀組長補充，產業標準一旦成為國家標準，政府採購便可以指定設備應送檢測，也可透過採購方的壓力讓供給方願意取得驗證。林組長也把資安視為一個機會，其認為，台灣是硬體大國，相對於其他國家，我國的產品具備更高的吸引力，由政府帶動在國際場合推動標準，希望能夠帶動取得驗證的商機。不過因為物聯網產品價格不高，驗證費用可能過高的問題，工業局過往已有IP camera 檢測標準推動的類似經驗可以作為因應。

智慧音箱一直在聆聽，似乎與竊聽無異，即便沒有上傳到網路上，仍有違反通訊保障及監察法的疑慮？曾律師回覆此問題提到，通保法中說話的當事人有對隱私的合理期待之前提，此前提下的竊聽行為受通保法規範。原來通訊保障及監察法目的是針對公權力單位，希望他們在監聽之際要先取得法院許可，但因法規提到所有情況適用的，因此變成規範全民的法規，而一般民眾根本沒有辦法向法院申請監聽。智慧音箱通常在家庭中使用，使用者確實會存有對隱私之期待；但因為音箱在蒐集聲音資料前已與每一個使用者建立合約關係，在雙方合意情況下錄音，也就不受通訊保障與監察法的規範。

因此重點變成，使用者是否對於自己同意要提供給業者的資料範圍，是否有清楚的認知? 白教授也強調，使用者的自覺度很重要，他也建議智慧音箱只用在家庭環境，避免在辦公環境使用。

NII的王俊凱執行長則關心智慧音箱的兩大使用者族群，包括像是長者與兒童，其對於智慧產品的操作或對於隱私的概念相對薄弱，應該要如何保障此一族群的使用者? 微軟楊協理表示，盡量讓合約內容採取白話敘述方式，而非法律用字；或者改變作法，不是只有在第一次使用音箱服務時要求用戶同意所有的授權事項，而是在使用服務的過程中取得同意，例如當需要叫車時，跳出告知使用者將會蒐集地理位置資訊警示，並請求同意。如此或許可因此提高使用者的認知。美國已經有對兒童使用智慧裝置的法規，相關產品在美國也有使用年齡的限制。

曾律師表示，台灣的法規基本上可適用在所有台灣境內的活動，所以國人在台灣使用如中國的智慧音箱產品，是可以受到台灣個資法規範的。從法律條文來說，國內的個資法並未說明其不適用境外業者，而是要透過一連串的解釋來達到效果，例如行政罰法提到，行為與結果當有一個處在台灣時，台灣就擁有管轄權。主要問題是執行力，亦即如何將個資法的規定執行到境外業者? 實際狀況是，主管機關對境外業者的裁罰並不容易。

曾律師補充，我國個資法也沒有禁止國際傳輸，只有在特定狀況下，例如接收國對個資保護不夠周延，或者為規避國內法規國際傳輸才會有限制。目前國內也只有 NCC 針對電信業有限制資料不能傳輸到中國。值得一提的是，目前國家發展委員會是朝向符合GDPR適足性要求的方向，也可能國內的個資法在國際傳輸部分也許會修法，以滿足GDPR要求，或許這是智慧音箱業者未來要考量的問題。

小米的智慧音箱服務是否會受國際傳輸的限制，端視其是否為 NCC 定義的通訊業者? 蘇簡正則回應，只有電信事業屬於特種的電信事業，業者佈建的設備有國家安全等方面考量時才因此受限制；政府目前不會限制消費者端的通訊產品購買(如手機等)，也無法規範消費者的資料被國外業者使用的方式，要靠消費者自行判斷相關風險。

TWNIC黃董事長最末提出有關安全與隱私的互斥概念，他說明，多數人將資安與隱私混唯一談，但資安強調的是機密性、完整性與可用性，而個人資料強調的是個資的蒐集、處理與利用，兩者重疊處只有個人資料因為沒有保護好而遭到外洩，這只是個資保護的一個小環節。而隱私強調的相關概念與樣態，例如被遺忘權，有很大的程度也與網路安全是有衝突的。網路安全強調的是強制性的管制措施，而隱私權是一種人權，是探討言論的自由度與可移動的自由度。到底要保護資訊安全或保護隱私，其實不能混為一談。

其以國際組織IETF或ICANN組織欲於相關標準或組織營運規範中納入訂出有關隱私或人權考量為例，這兩個組織發現執行上有困難，因為隱私或人權並非技術課題，而是法律框架問題是定不出明確規範的。

照片集錦