实名要求与数据市场

台湾没有一部叫做「实名制」的法律，却有一整排各自立法的规定，要你在办手机号、开电子支付账户、刊登网络广告、使用虚拟资产服务时出示身份。绑定完成之后，位置、连接与消费三类记录开始持续累积，不需要你做任何操作，也没有单独关掉的开关。

接下来发生的事分成两边。国家那一边靠《通讯保障及监察法》调取，2025 年共 487,353 线，经过法院核发的占 2.2%，而八成七的调取没有通知当事人的规定。商业那一边靠「去识别化」这三个字把同一批记录变成商品，政府自己卖、业者自己卖、广告联盟卖，开放数据再免费补上缺的字段。

两边共用一个结构。该由你决定的事情，默认值全部设在「继续」，而且没有人被要求来问你。本页把这个结构拆开来看，四十九个公开来源、五个年度的官方统计、十五万笔自行重算的数据，最后回答一个问题，这些默认值是谁设的，又该由谁来改。

三个环节的默认值都是继续，退出要自己去找

这件事与言论自由可以同时成立。Freedom House 的《Freedom on the Net 2025》给台湾 79 分，全球第七、亚洲第一，其中「用户动员、组成社群与发起倡议的条件是否受阻」拿满分²⁸。同一份报告里，「国家对网络活动的监控是否侵害用户隐私」与「服务提供者与科技公司对用户数据的监测与收集是否侵害隐私」各拿一半，三组分数合计是取用障碍 24 分（满分 25）、内容限制 29 分（满分 35）、用户权利的侵害 26 分（满分 40）²⁸。说话这件事在台湾受到的保障接近满分，说话的人是谁、留下什么记录、记录被谁取走，同一份评比只给一半。本页处理后面那半边。

本页的依据与写作时间

本页写于 2026 年 9 月。法规条文读自全国法规数据库与法务部主管法规查询系统，调取统计取自法务部法务统计资讯网的公务统计表，五个年度各自导出核对。业者这一端读自中华电信、台湾大哥大与悠游卡公司各自公告的个资收集告知声明，以及业者发布的新闻稿。制度结论读自内政部《电信信令人口统计之建置、分析与应用》、《内政部电信信令人口统计资料收费标准》与《电信事业使用指定数据库核对用户身份查询办法》。人口分布的数字由本页自行计算，数据取自政府数据开放平台，计算方式写在文末，任何人都能重新算一次。

要出示身份的地方

四种常见场景，各自有不同的法源与不同的查核对象。

场景	依据	查核内容	起始
申办手机号	业者依主管机关要求订定的证件查核规定，2024 年起另依《诈欺犯罪危害防制条例》第 19 条第 3 项	本人到柜台、双证件正本48。2024 年起加查户政、警政与移民署三个政府数据库	双证件查核行之有年，数据库查核自 2024-11-19
刊登网络广告	《诈欺犯罪危害防制条例》第 30 条至第 33 条与四项子法	委托刊播者与出资者的身份，可采 FIDO、凭证、行动身份识别或亲临验证	2025-01-01 起分阶段
开立电子支付账户	《电子支付机构身份确认机制及交易限额管理办法》第 4 条、第 5 条	身份数据真实性，并向金融联合征信中心查询	现行
使用虚拟资产服务	《虚拟资产服务法》，见台湾 VASP 法 2026	依洗钱防制规定的客户审查	过渡期中

中华电信的预付卡申办页写明「本人持指定双证件正本及指定文件至中华电信各地营业窗口及神脑特约服务中心办理」⁴²。预付卡在许多国家是免身份的入门选项，在台湾与月租型走同一套查核。

广告那一项的规范重点由数位发展部列成四面向，包含「导入广告委托刊播者及出资者身份验证，并每年发布透明度报告」，以及境外业者须指定我国境内法律代表⁴⁴。验证方式有四种，FIDO 的生物特征、主管机关许可凭证机构签发的数字签名、行动身份识别与一次性密码等加密机制，或亲临出示国民身份证或护照⁴³。初期适用高风险广告客户，例如公众人物广告与投放大量广告的广告商⁴³。

这四条规定各自回应不同的问题，前两条是防诈，后两条是洗钱防制。没有任何一条的立法理由是要创建一份全民清单，累积的效果仍然是每一个账号都对得回一个人。

先看一道题

2024-05-27，一位政党政策幕僚在政论节目表示，根据手机信号比对，5 月 24 日聚集在立法院外的群众有六成年龄介于 20 岁至 40 岁之间，而且是全新的一群人，与 5 月 19 日另一场活动、以及更早一场选前之夜的群众都不同。隔日他受访说明，数据通过民间朋友取得，内容包括手机号拥有者取得手机号时的年龄或当时登记的地址²¹。台北地方检察署签分他字案侦办，被告不详，案由为通讯保障及监察法与个人资料保护法²²。三大电信业者向 NCC 陈述时都表示没有对外提供相关信息²¹。侦查结果的公开记录没有查到。

他实际使用的是什么数据，属于侦查认定的范围，这里不做判断。那段话适合当一道练习题，因为它把一次人流推论需要的条件列得很完整。本页后面查到的东西，可以一项一项拿来对照。

要支撑那段话，需要四个条件。

条件	那段话需要的
空间	立法院周边的几个街廓
时间	2024-05-24 那一个晚上
属性	在场的人各自几岁
个体关联	在场的人与另外两场在场的是不是同一批

第四项的门槛取决于结论要多严谨。严格认定同一批人需要跨日期的个体层级关联，只是要在节目上说出「是全新的一群人」，比对两场的人数规模与年龄结构差异就够。

这道题的主角是立法院外的一群人，同一套数据落到人少的地方会更精细。全国被切成 157,933 格，其中 10,513 格住着个位数的人。一个十户上下的格子，住户早上外出晚上回来，那种作息会反映在数字的起伏上。你住的地方如果就是这样的格子，后面〈这些单元实际上有多小〉整节说明的就是它。

价格也在法规里。一格两千元，任何有中华民国国籍的人都能申请，整个台湾买下来是三亿一千五百万。这四项里，有几项可以用那两千元从政府手上买到，其余的又散在哪里，本页后面逐一拆开。先说结论的一半，其中一项是免费的，而且不必申请。四个地方各自检验自己交付的那一份，没有一个会问申请人手上已经有什么，那才是这道题真正的答案。对照表在〈回到那道题〉。

身份绑上去之后，记录分三种

手机号、支付账号与广告账号开通之后，记录开始产生。依照产生的地方分成三类。

类别	谁持有	内容
你在哪	电信业者机房	哪支手机号在哪个时间靠近哪座基站
你连了哪里	电信业者与设置公众电信网络者	连接时间、域名、IP、用量、应用服务类型
你买了什么	电子票证与电子支付机构	交通旅程、小额消费、绑定的设备与浏览轨迹

三类都由服务本身产生，不需要你做任何操作，也没有单独关掉的开关。

你在哪

手机只要开着，就算你没有在通话、没有在滑手机，它也会固定和附近的基站互相报到。网络要先知道你落在哪一座基站的范围里，有电话打进来的时候才送得到你手上。这些为了让连接成立而交换的控制消息，电信业界称为信令（signaling），与通话内容、消息内容走不同的路径。

信令属于 Metadata 那一类，也就是信封外面那一圈。不拆信也能累积出一份「哪支手机号在哪个时间靠近哪座基站」的清单，电信业者的机房长期握有的就是这份记录。

同一件事在台湾有两套说法。官方文件写「信令」，内政部那份产品的全名就是《电信信令人口统计之建置、分析与应用》，法规名称、采购案名与本页引用的条文都跟着用这个词。一般报导多半写「手机信号」，2024 年那次争议的新闻标题用的就是这个说法。两者是同一批记录，本页沿用官方用语，方便读者对照原始文件。

中华电信的个资收集告知声明以行动宽带服务为例，列出九项特定目的与对应的法定代号²⁴。与信令衍生产品有关的是其中三项。

代号	特定目的	声明里的说明
133	经营电信业务与电信加值网络业务	提供与本服务相关之电信服务
040	营销	提供本服务之产品、资费及优惠包装等客户权益提醒信息
157	调查、统计与研究分析	运用统计与分析客户使用本服务之数据，规划最适切之资费及产品，提供客户适用本服务之资费及优惠方案建议

收集的个资类别分七类，第五类是位置信息，第六类帐务信息里含通信记录，两类都是信令会产生的部分。第四类网域浏览信息写的是上网时间、数据量、网域与信号状态。

第三类值得单独看。声明里的文字是「网络使用信息：您使用电信服务后，公众电信网络所产生之通信设备识别数据、互联网地址与位置信息、通信时间、连接用量与封包数量、域名、应用服务类型及协定等」²⁴，其中从「公众电信网络所产生之」到「应用服务类型及协定」这一长串，与《通讯保障及监察法》第 3 条之 1 对网络流量记录的定义逐字相同²⁹。同一份字段清单在法律那一侧是业者必须保存一年以供调取的标的，在契约这一侧是业者向你收集的项目，后面〈你连了哪里〉会回到这件事。

同一份声明第十条第三款标题是「无从直接识别个人之数据处理及利用」，底下两点。第 1 点写明处理方式与对象²⁴：

我们会在客观上依当时存在之技术方法，将您的个人数据处理为依其呈现方式已无从直接识别特定自然人之形式，并使用去识别化或其他数据最小化技术(详参本告知声明十一)，使数据以统计数据、趋势分析或其他无从直接识别个人之结果呈现。前述结果得提供给企业客户、内容提供者，或依法经主管机关许可之创新实验单位等，作为商业判断或科技发展的依据(例如：让内容提供者了解消费者之点阅状况、消费者年龄/性别分布等)。

括号里的例子把能力写得很清楚，消费者的年龄与性别分布是可以交付给企业客户的结果之一。同一款的第 2 点是停止条款²⁴：

倘您欲停止我们以前述无从直接识别方法，处理及利用您的个人数据，您得依本告知声明八之联系方式，通知我们停止；但您请求停止前，我们已为之利用或处理，或法令另有规定者，不在此限。

退出的管道存在，位置在第十条第三款第 2 点，默认是持续进行，要当事人主动通知才会停止，而且只对通知之后的处理生效。怎么通知写在文末的〈读者可以做什么〉。

台湾大哥大的个资告知事项列出同一组特定目的代号，第十条第三款那两点的文字与中华电信逐字相同²⁵，连括号里的举例与「(详参本告知声明十一)」这个内部交互参照都一样。两家独立公告的文件在同一段出现逐字相同的措辞，代表这是业界共用的范本。第十一条的方法清单则两家各写各的，中华电信列抑制、拟匿名化、泛化、随机与汇集五种，台湾大哥大列假名化、遮罩、哈希化与抑制编修四种，并附了例子，例如仅保留身份证字号后六码。要改变共用范本那一段的做法，对象是整个产业与主管机关，单一业者的客服改不动。

中华电信 2024-05-30 就手机信号定位事件发布的说明另有一种措辞²⁶：

本公司所提供之「大数据人潮分析服务方案」系在大数据进行分析前，即予以去识别化处理，经处理后之数据仅为单纯之人潮数量及轮廓分布统计数据，无法直接或间接识别任何特定之自然人个人。

同一家公司的告知声明用的是「无从直接识别」，没有「间接」两个字。个资法施行细则第 3 条定义的间接识别，指的正是需要与其他数据对照、组合、链接才能识别的情形，后面〈去识别化这个词做了多少事〉一节会回到这个分别。公关稿主张通过了比较严的那个标准，契约文件承诺的是比较宽的那个。

你连了哪里

2024-07-31 公布的《通讯保障及监察法》修正条文，在既有的两类记录之外添加了第三类。三个定义写在第 3 条之 1²⁹：

本法所称通信记录，指用户或电信使用人使用电信服务后，公众电信网络所产生之发送方、接收方之电信号码、通信时间、使用长度、地址、服务型态、信箱或位置信息等记录。

本法所称通讯使用者资料，指用户或电信使用人姓名或名称、身份证明文件字号、地址、电信号码及申请各项电信服务所填列之数据。

本法所称网络流量记录，指用户或电信使用人使用电信服务后，公众电信网络所产生之通信设备识别数据、互联网地址与位置信息、通信时间、连接用量与封包数量、域名、应用服务类型及协定等未涉及通信内容之记录。

第三类就是你连了哪些网域、什么时候连、用了多少量。条文明文把通信内容排除在外，保留下来的部分足以描述一个人一天的作息与兴趣。

同一次修法增订第 14 条之 1，把保存这件事写成电信业者的义务²⁹：

电信事业及设置公众电信网络者，有保存及协助执行调取通讯使用者资料、通信记录之义务。

电信事业及设置公众电信网络者经通讯监察之建置机关指定者，有保存及协助执行调取网络流量记录之义务。

保存多久由子法决定。《网络流量记录管理办法》2024-12-27 发布，第 4 条写明字段与期限³⁰：

电信事业及设置公众电信网络者保存之网络流量记录应包含通信设备识别数据、互联网地址与位置信息、通信时间、连接用量与封包数量、域名、应用服务类型及协定等未涉及通信内容之记录，其具体项目由建置机关会同电信事业及设置公众电信网络者协商后指定之。

前项网络流量记录之保存期间，自记录发生时起算至少一年。

「至少一年」只写了下限。同办法第 5 条要求业者设专用受理单位，一般案件 72 小时内回复，紧急案件 24 小时内回复³⁰。

这份字段清单前面出现过一次。中华电信个资收集告知声明的第三类个资「网络使用信息」，从「公众电信网络所产生之」到「应用服务类型及协定」与法条逐字相同²⁴。同一组字段因此同时具备两种身份，对执法机关是保存一年以供调取的标的，对业者是收集目的涵盖营销 040 与统计分析 157 的自有数据。业者端的去识别化统计可以提供给企业客户，适用的仍然是第十条第三款，包含默认打开的停止条款。

拿走这些记录有三条路

第 11 条之 1 把三类记录分成不同的取得门槛²⁹。

数据	谁可以要	要不要法院
通讯使用者资料	检察官、司法警察官	不必，第 1 项写「得调取之」
通信记录、网络流量记录	检察官	要，第 2 项规定声请法院核发调取票
通信记录、网络流量记录	检察官依职权或司法警察官经检察官许可	不必，第 4 项列了一份罪名清单

第 4 项那份清单包含最轻本刑十年以上有期徒刑之罪，以及强盗、抢夺、诈欺、恐吓、掳人勒赎、妨害电脑使用、脱逃，并违反人口贩运防制法、枪砲弹药刀械管制条例、惩治走私条例、毒品危害防制条例、组织犯罪防制条例、废弃物清理法、儿童及少年性剥削防制条例、洗钱防制法、国家安全法、反渗透法、总统副总统选举罢免法、公职人员选举罢免法、农会法与渔会法的特定条文²⁹。

2014 年版的第 11 条之 1 也有一份同性质的清单，诈欺当时就在里面。这次修法改变的是另外两件事。通讯使用者资料从「与通信记录一起需要调取票」改成第 1 项的迳行调取，清单本身则添加了妨害电脑使用、脱逃、废弃物清理法、儿少性剥削防制条例、洗钱防制法、国家安全法、反渗透法、两部选罢法，以及农会法与渔会法的特定条文。

实际走了哪一条

法务部每年公布调取票统计，按声请人、罪名与调取类别分成三张表。把五个年度各自导出之后，可以算出经过法院的比例³¹。

年度	调取线路数合计	其中经法院核发	比例
2021（民国 110）	285,294	14,575	5.1%
2022（民国 111）	279,728	21,071	7.5%
2023（民国 112）	291,240	17,830	6.1%
2024（民国 113）	272,288	16,283	6.0%
2025（民国 114）	487,353	10,702	2.2%

2025 年是修法后第一个完整年度。总量比前一年多了 79%，经过法院的线路数同时降到五年最低，两个方向相反。以件数计算的话，该年度总计 165,001 件，其中声请法院核发与补行声请 2,981 件，占 1.8%。

法院这一栏包含驳回的部分，2025 年核准 9,715 线、驳回 987 线。前面三个字段里的「声请检察官同意」由检察官决定，「检察官依职权」连声请都不需要。

同一年度按调取类别拆开之后，四类的差别很清楚³¹。通信记录 379,663 线占 77.9%，网络流量记录 62,518 线占 12.8%，用户数据 43,542 线占 8.9%，其余归在「其他」。用户数据那一类最能看出修法的效果，经法院核发的线路数从 2023 年的 3,536 线降到 2025 年的 321 线，降幅九成，对应的正是第 1 项的迳行调取。

2025 年按调取类别的完整数字

类别	线路数	占比	其中经法院
通信记录	379,663	77.9%	8,215（2.2%）
网络流量记录	62,518	12.8%	1,953（3.1%）
用户数据	43,542	8.9%	321（0.7%）
其他	1,630	0.3%	213

网络流量记录 2023 年还不存在这个类别，2024 年出现 5,340 线，2025 年 62,518 线。跨年比较要留意同一张表的「其他」栏，统计表的说明写着该栏自 108 年 8 月起增列，系指 IP、Line 等其他通信，数量从 2023 年的 56,564 线降到 2025 年的 1,630 线，一部分是重新归类到新字段。两栏合起来看，2023 年 56,564 线、2024 年 37,575 线、2025 年 64,148 线。

按罪名拆开之后，最大宗的事由很明确³¹：

罪名	线路数	占全年	其中经法院
诈欺罪	266,514	54.7%	320（0.12%）
毒品危害防制条例	101,934	20.9%	193（0.19%）

反诈占了 2025 年调取线路数的一半以上，而这一半里面经过法院审查的比例是千分之一点二。诈欺列在第 11 条之 1 第 4 项的清单上，走的是不必调取票那一条，数字与条文一致。

同一部《诈欺犯罪危害防制条例》也是台湾目前国家级 DNS 停止解析的法源。刑事警察局在开放数据的说明里写明，停止解析涉诈网站依据的是该条例第 42 条²⁰，TWNIC 另以透明度报告公布 RPZ 拦截的年度统计⁴⁷。这三件事写在不同的条文里，各自有各自的立法过程，共同点是都以防制诈欺为立法目的。网络层的网域处置、电信业者查询政府身份数据库，以及诈欺列在免调取票的清单上，三者相加之后涵盖的范围有多大，目前没有任何一份公开文件一并评估过。本页把三条并列，指出的是这个未被合并查看的状态，并不主张它们出于同一个规划。

通知义务只盖到其中一类

修法同时在第 15 条加了一段²⁹：

前六项规定，于依本法规定调取他人网络流量记录之情形，亦准用之。但实施第十一条之一第四项调取网络流量记录之情形，应由执行机关通知。

也就是网络流量记录被调取之后，当事人应该收到通知。《网络流量记录管理办法》第 11 条依取得途径分成三种期限³⁰。经法院核发那两条，检察官一个月内陈报法院通知受调取人，司法警察官十五日内报由检察官陈报法院审核后由法院通知。免调取票的第 4 项那一条，检察官与司法警察官都是一个月内由执行机关直接通知，中间没有法院。2025 年的 62,518 线网络流量记录里，走第 4 项的有 60,565 线，占 96.9%，所以实务上适用的多半是最后那一种。

同一条的末段留了两种无须通知的情形，其中第一款是这样写的³⁰：

检察官、司法警察官依本法调取通信记录，如部分所得数据，属于网络流量记录。

调取的名目是通信记录，回传的数据里夹带了网络流量记录，通知义务就不发生。通知绑的是申请时填的类别，与实际取得的内容脱钩。

通信记录与通讯使用者资料本身没有任何通知规定。以 2025 年的线路数看，落在有通知设计那一类的占 12.8%，其余 87.2% 完全不在通知范围内，而那 12.8% 还要扣掉上面这个例外。

你买了什么

电子支付账户的开立要经过身份确认，《电子支付机构身份确认机制及交易限额管理办法》第 4 条要求电子支付机构认识用户身份、留存身份数据并确认真实性，第 5 条要求注册时向财团法人金融联合征信中心查询四类数据并留存记录³²。储值卡记名作业适用同一条。

完成记名之后产生的记录，范围比一般人预期的宽。悠游卡公司的个资告知事项把收集的个人数据类别写成一长串，其中一段是³³：

您访问本公司网站(含社群软件官方账号)或本公司行动应用程序（APP）之在线浏览行为相关信息（包含不限于：如移动设备标识符、 行动设备位置、社群网络信息、互联网协定(IP) 地址、站内外互联网浏览轨迹、Cookie等）

移动设备标识符、行动设备位置与站内外浏览轨迹同时出现在一张电子票证公司的清单上。同一份文件列出的特定目的包含营销业务 040 与调查、统计与研究分析 157，与前面中华电信那一份是同一组代号³³。

悠游卡公司 2024-01-12 发布的新闻稿说明了这些记录的去向³⁴：

悠游卡公司服务全台八成以上各类交通运具，拥有多元且精确的交通旅程数据，近年推出悠游付进入电子支付市场，已累积272万会员。在悠游卡1.09亿张流通卡的基础下，持续推动悠游付成为悠游卡数字服务平台

同一份新闻稿写明合作方式³⁴：

Vpon威朋通过大数据和AI演算，以去识别化的方式，将交通数据和小额消费数据结合Vpon威朋的人群数据和POI (Point of Interest) 兴趣点数据，从商圈、捷运站点、零售店家等不同维度，整合分析不同客群的偏好，在对的时间、地点提供会员优惠消息

这段话把四份数据接在一起，交通旅程、小额消费、第三方的人群数据、兴趣点座标。同一份新闻稿里另有一句描述目标，「如何将既有数据结合数字轨迹及外部信息，对不同用户族群的消费行为快速洞察及分析应用」³⁴。结合外部信息这个动作写在官方新闻稿上，用的形容词是去识别化。

这门生意的四个窗口

前面三节看起来是三件事，实名要求、国家调取、业者收集。把它们接起来的是同一批字段与同一个词。中华电信收集的第三类个资与通保法第 3 条之 1 对网络流量记录的定义逐字相同，同一份清单在法律那一侧是保存一年供调取的标的，在契约那一侧是可以去识别化之后提供给企业客户的自有数据。接下来要看的是后面那一侧。

三类记录产生之后，有四个地方可以把它们换成商品。四个窗口的申请方式、价格与审查方式都不同，共同点有两个，都用「去识别化」说明自己没有问题，也都不需要先问过当事人。

窗口一，政府自己卖

内政部与三大电信合作产制电信信令人口统计资料，收费标准的法源是政府资讯公开法第 22 条第 2 项¹。产品规模由内政部自己描述²：

原始数据市占率超过 85%，范围涵盖台澎金马，全国 22 县市、368 乡镇市区、7,760 村里，及 15 万 7,933 个最小统计区，每个地点的 8 个时段(平日/假日、早晨/中午/午后/晚上)，2 种人口统计值(人数与旅次)，为全国性大规模办理之统计作业中，唯一发布如此细致时空统计项目者。

引文里的 85% 是三家业者的行动用户占全国行动用户的比例，用来说明采样基础有多广，并非指全国有 85% 的人被追踪。八个时段乘以人数与旅次两种值，一个最小统计区因此有十六个数字。

价目表写在法规里⁷。

申请人	服务费	代收权利金	合计（每单元）
自然人	500	1,500	2,000
法人	500	9,000	9,500

一个单元是一个最小统计区或一个村里。县市与乡镇市区层级免费开放下载，村里与最小统计区层级付费。申请资格限政府资讯公开法第 9 条所定身份，具有中华民国国籍并设籍之国民及其所设立之本国法人、团体，持中华民国护照侨居国外之国民亦同⁷。申请页面的数据时间字段有两个选项，109 年 11 月与 112 年 11 月⁷，各是一个月的统计结果。相隔三年的两份同格数据可以并排比较，价格是 4,000 元。

费用按单元计算，所以范围越大越贵。

范围	单元数	自然人费用
单一最小统计区	1	2,000
一个中位数规模的乡镇市区	323	646,000
全国	157,933	315,866,000

大范围的普查在经济上并不划算，盯着单一地点则相当便宜。这个不对称未必出于设计，效果是取用成本随范围放大而快速上升，随范围缩小而趋近于零。

成本那一端的数字可以对照。内政部向三家业者逐年发包，开放标案数据记载 114 年台湾大哥大与远传两案的招标金额各为 3,450,000 元，决标日期分别是 2025-09-30 与 2025-09-26⁴⁵。两案合计 690 万元，中华电信该年度是否有对应案件与金额多少，本页没有查到。对照组是同一批数据整份卖给一位自然人的定价，三亿一千五百万。

买方也不只内政部。以厂商决标记录回查，下面两笔可以逐案对上²⁷。

机关	案名	得标
台北市政府资讯局	111-112 年度台北市政府电信信令数据服务案	中华电信企业客户分公司
交通部公路局	应用手机网络信令探侦（CVP）技术提升交通资讯服务计划后续扩充	中华电信企业客户分公司

业者之外还有一条平行的委托。内政部的方法论文件写明另委由台北大学团队整合三家业者提供的信令数据²，后面〈聚合这个动作由谁执行〉会引到那一段。

市政与交通两个领域因此都有采购记录可查。公告标题只写得出案名，各案实际取得什么形态的数据没有对外说明。本页先前的版本还列了观光、医疗与学术三笔，逐一回查厂商决标记录都对不上，已经撤下，详见〈本页的限制〉。

聚合这个动作由谁执行

逐笔信令有没有离开电信业者的机房，决定了风险落在哪里。方法论文件写明分工²：

本部累积 106-108 年研究经验（…），于 109 年委托三家电信业者，依据本部提供之演算逻辑及抽样方法，确实执行 109 年 11 月之电信信令数据处理工作，使数据处理符合一致性规范，并提供验证样本及统计结果。

演算逻辑由内政部给，执行留在业者端，所以交到内政部手上的已经是聚合过的统计结果，这一段的设计是合理的。同一段接着写²：

另委由台北大学团队整合三家电信业者提供的电信信令数据，借此推估全国静态人口现况，包括夜间停留、日间活动人口及特定区域旅次，并运用验证样本用户之信令数据，内部研究人口动态移动行为。

验证样本采以 ID 为基础的抽样，三家业者合计约 247 万户，占行动用户的一成。这批样本是以用户为单位的信令数据，用途写的是研究人口动态移动行为，执行者是受委托的大学团队。文件另记载更早的 107 与 108 年「收集单一电信业者原始数据后，利用原始点位推估双北市人口现况」²，那个阶段取得的是原始点位。

对外贩售的产品确实是业者端聚合后的统计结果，整套研究过程里则存在过以用户为单位的样本数据与原始点位。这批数据保存多久、由谁保管、研究结束后如何处置，公开文件里没有写。

窗口二，业者的商用服务

政府那一份有法规订的价目表与固定的两个数据时点。业者直接卖的版本没有这些限制。

台湾事实查核中心 2024-06-04 的查核报告引述中华电信人潮客群分析平台的介绍，该平台统计大范围、每月、每日、每小时的特定地区人潮流量及客群轮廓，报告里的一个例子是框住新北耶诞城广场范围、取 12 月 24 日晚间 6 至 9 时的用户位置数据推算人数²¹。指定日期、指定时段、指定一块地，在商用服务里是常规操作。

同一份查核报告另记载两件事，含 UID 的起点到终点信令数据可以分析用户行为，以及业界常见的广告投放作法，向与电信业者合作的数据业者指定特定年龄、性别、曾去过特定场所的目标群众，当这些人进入特定范围时发送推播短信²¹。

在线那一侧也有对应的商品。2017-07-05 的报导记载中华电信数据通信分公司推出「中华大数据」，与意蓝资讯的第三方人群数据库 PeopleView 合作³⁷：

「中华大数据」结合电信大数据与意蓝资讯原有PeopleView人群数据库，将在线数据(如民众浏览所留下的数字足迹)，利用语意技术与机械学习，辨识网页内容，为浏览者粘贴不同兴趣、生活型态之标签，再与线下数据(如实体地理的人潮信息)相互串联，描摹出明确的客群区隔

浏览记录经过语意分析变成兴趣标签，再与位置数据串起来。这段描述发表于 2017 年，本页没有查到这项服务目前的营运状态，PeopleView 仍然列在意蓝资讯网站的产品清单上。

悠游卡公司与威朋的合作前面已经引过，交通旅程与小额消费在那一条路在线。三个例子的共同结构是同一个，一方出数据、一方出比对技术，产出以群体轮廓的形式交付。

窗口三，广告标识符

前面两个窗口的数据都来自你跟某家公司的契约关系。第三个窗口不需要契约。

操作系统会为每台设备产生一组广告标识符，iOS 的叫 IDFA、Android 的叫 GAID，用途是让不同 App 认出同一台设备。这是软件产生的值，不是出厂固化的硬件序号，两个平台都给了用户处理它的方法，作法差很多。

iOS 自 2021 年的 App Tracking Transparency（ATT）起，App 要跨 App 追踪必须先取得同意。EFF 记载这项改变之前约有两成用户选择退出，改成要主动同意之后，绝大多数用户选择不允许追踪⁴⁶。Android 走的是相反的默认，2022-04-01 起读取广告标识符需要声明权限，但不会跳出窗口询问，Android 12 之后用户可以自行永久删除⁴⁶。

台湾这一端的业者怎么用这组识别码，报导留下了记录。威朋依赖第三方 Cookie 与广告 ID 整合用户数据，并另外开发了集团内使用的 Vpon ID³⁵：

专注于行动设备数据分析的大数据集团威朋（Vpon），过去一直靠第三方Cookie或广告ID来整合用户数据，通过将用户分群、描绘出群组的轮廓，再以此对个人投放广告。

数据源不只一种。该公司首席执行官在一篇由该公司出资刊登的媒体内容里说明第三方数据库的组成，这是业者的自我描述，不是第三方查证³⁶：

除了通过 App 广告联盟收集数据， Vpon 亦以电子发票数据为基础，并结合政府开放数据，扩大数据收集的维度，使数据库涵盖线下消费倾向、地理位置、族群轮廓、兴趣偏好、App 使用行为等多元面向。

App 广告联盟、电子发票、政府开放数据，三种来源合在一份数据库里。同一篇采访记载该公司的隐私立场³⁶：

Vpon 从一开始就坚持不收集用户的姓名、电话或其他可识别个人身份的数据，数据库内仅有匿名化的设备使用行为数据

主张与前面内政部、中华电信那两份文件是同一个形态，去掉姓名与电话，剩下的部分声明为匿名。出资刊登的内容里说自己不收集什么，读者要打折看待，不过这段话本身仍然是业者对自家产品组成的公开描述。

美国联邦贸易委员会（Federal Trade Commission，FTC）2024-01-09 对数据中介 X-Mode Social 与其后续公司 Outlogic 作成处分，随附的新闻稿对同一类主张写了直接的认定³⁸：

The raw location data that X-Mode/Outlogic has sold is associated with mobile advertising IDs, which are unique identifiers associated with each mobile device. This raw location data is not anonymized, and is capable of matching an individual consumer's mobile device with the locations they visited. In fact, some companies offer services that help companies match such data to individual consumers.

白话是，与广告标识符绑在一起的原始位置数据并未匿名化，足以把某台设备对应到它去过的地点，而市面上本来就有帮忙把这种数据对应到个别消费者的服务。同年 1 月 18 日 FTC 另对 InMarket Media 作成处分，禁止其贩售或授权精确位置数据³⁹。

这个判断可以用外泄事件检验。位置数据中介 Gravy Analytics 于 2025 年 1 月发生外泄，报导记载攻击者宣称窃得 17TB 数据并威胁公开，牵涉的 App 有 3,455 个，报导点名的类别包含游戏、交友与影音下载工具⁴⁰。外泄的数据能被用来还原个人的居住地与行程，这件事本身就是那批数据在外泄之前处于什么状态的证据。

台湾没有针对这类业者的登记制度。加州的《Delete Act》要求数据中介逐年登记，并自 2026-01-01 起加入集中式的删除请求平台 DROP，仲介业者自 2026-08-01 起必须处理这些请求，且至少每 45 天检查一次⁴¹。台湾的对应位置目前是空的，既没有名单，也没有一个地方可以一次要求全部删除。

窗口四，免费的开放数据

前三个窗口都要付钱或谈合约。第四个窗口不用。

政府数据开放平台的统计区人口统计，最小统计区层级的字段是户数、人口数、男性人口数与女性人口数⁴。同一个平台的统计区人口指标，同一层级、同一个 CODEBASE 字段，发布的是性比例、户量、人口密度、扶养比、扶幼比、扶老比与老化指数²³。两份都是免费下载，不必申请。

扶幼比是零至十四岁人口除以十五至六十四岁人口，扶老比是六十五岁以上除以同一个分母。有了总人口与这两个比值，三段年龄的人数是三个未知数对三个方程序，可以直接解出。

本页用花莲县的 4,632 个最小统计区实际算过一次，3,797 个还原后三段加总与总人口相差在一人以内，其余 835 个因为户籍人口为零或十五至六十四岁组为零而无法计算，没有一个还原结果与总人口矛盾。对户籍人口只有个位数的统计区，还原出来的就是那几户人家的性别组成与老中少三段结构。

最小统计区代码是一把公用的键。窗口一卖的是按这把键编排的人数与旅次，窗口四免费送的是按同一把键编排的性别与年龄结构。内政部文件里「完全不含个资数据(如性别、年龄、地址等)」那句话描述的是产品的字段表，不是买家取得数据之后的实际状态。

去识别化这个词做了多少事

四个窗口的说明各自写了一次同样的意思。内政部的方法论文件写「完全不含个资数据」，中华电信的事件说明稿写「无法直接或间接识别任何特定之自然人个人」，悠游卡公司的合作新闻稿用的是「以去识别化的方式」，威朋首席执行官的受访内容写「数据库内仅有匿名化的设备使用行为数据」。四个主体、四种数据、同一个词。

门槛写在《个人资料保护法施行细则》第 17 条¹⁵：

个人数据以代码、匿名、隐藏部分数据或其他方式，无从辨识该特定个人者

代码被明列为合格方法之一，条文没有任何数量门槛或方法要求。为每个用户指定一组编号之后主张该批数据已非个人数据，依这行文字站得住。

同一部施行细则第 3 条处理的是另一面¹⁵：

本法第二条第一款所称得以间接方式识别，指保有该数据之公务或非公务机关仅以该数据不能直接识别，须与其他数据对照、组合、链接等，始能识别该特定之个人。

白话是，一批数据单独看不出是谁，需要与其他数据对照、组合、链接才认得出特定的人，那批数据仍然是个人数据。对照、组合、链接三个动作写在条文里，位置在第 3 条。

两条的差别在检验对象。第 17 条看单一批数据，第 3 条看这批数据与别的数据放在一起之后还认不认得出人。四个窗口的说明都只回答了第 17 条那一面。

欧盟把分界点放在另一个位置，GDPR 前言第 26 点¹⁶：

Personal data which have undergone pseudonymisation, which could be attributed to a natural person by the use of additional information should be considered to be information on an identifiable natural person.

白话是，经过假名化的个人数据，只要能借由额外信息归属到某个自然人，就仍然算是可识别自然人的信息。判断标准是 all the means reasonably likely to be used, such as singling out，也就是看有没有合理可能的手段把某一个人从群体里单独指认出来，并要求考量成本、时间与当时可得的技术。FTC 对 X-Mode 的认定走的是同一个方向，看的是市面上有没有人提供把数据对回个人的服务。

国家标准确实存在，CNS 29100、CNS 29191 与 CNS 29100-2 涵盖隐私权框架、部分匿名与不可链接鉴别，以及去识别化过程管理系统的要求事项¹⁷。三者属自愿性验证，不是法定义务。

门槛有多宽，从内政部方法论文件描述业界能力的方式看得出来²：

台湾大哥大长期投入大数据分析工作，通过去识别化之电信数据，成功替客户找出消费者轮廓…利用基站对用户每秒的移动轨迹进行分析，定义各类运动族群，使营销效益最大化。

每秒移动轨迹的分析被称为去识别化，与绝无个资疑虑的结论写在同一份文件里。两句话并存并不矛盾，因为在现行条文下两者都成立。

聚合到底保护了什么

窗口一的产品把个别记录聚合成统计值，这确实是有效的隐私手段，成立的条件是每一格里有够多人。格子里只有几户的时候，数字的升降反映的就是那几户的在与不在。所以这套产品安不安全，取决于格子能有多小。

官方文件对那份产品的结论是绝对的²：

完全无揭露个资疑虑：3 大电信业者交付之人口统计数据，仅为按空间统计单元(县市、乡镇市区、村里、最小统计区)及时段别(假日/平日、早上/中午/下午/晚上)分之「统计数据」，完全不含个资数据(如性别、年龄、地址等)，绝无个资疑虑。

推论创建在两件事上，数据是聚合的统计结果，字段不含性别、年龄与地址。中间没有任何一步处理格内人数。

规则里没有最小人数

内政部另一份文件写明最小统计区的设计动机³：

国土资讯系统推动创建一套有系统地长期固定性小型区域或特定区域，作为统计专用之最小空间单元，以保障个案数据隐私。

保护手段既然是这个空间单元，划设标准就决定了保护的下限。三种地区各有一组规则，共同结构是人口少还不够，要再满足第二个条件才会动作，而第二个条件各地区不同。山区与乡区看面积也要小，城区看 GIS 门牌数也要少。所以人口很少而面积不小的山区或乡区统计区，以及人口很少而门牌数不少的城区统计区，都符合各自那条规则，不会被合并。另有一条「人口数为 0 人者，面积需大于 1 公顷」，明文容许零人口的统计区存在。

三种地区的划设标准逐条对照

同一份文件载明的划设标准如下³。

地区	人口规则	小值调整条件
山区	理想上限 450 人	人口小于 50 人且面积小于 10 公顷者需调整
乡区	理想上限 450 人，门牌理想上限 150	人口小于 50 人且面积在 10 公顷以下者需调整
城区	理想上限 450 人，门牌理想上限 200	面积小于 0.1 公顷者全数检核，且人口数小于 100 人及 GIS 门牌数小于 100 者合并

山区与乡区的门槛是人口小于 50 人，城区是人口小于 100 人且门牌数小于 100，面积小于 0.1 公顷则是另一条独立的全数检核规则。

城区的设计是一格的门牌理想上限 200 个、面积理想上限 20 公顷，换算成街廓大约是一两个街区。乡区的面积下限 5 公顷、理想上限 30 公顷。要查自己住的地方属于哪一格，内政部的统计区地图可以放大查询。

450 人是上限，下限不存在。方法论文件与收费标准也都没有补上这一层，两份文件全文都没有出现最小人数门槛、小值遮蔽或统计揭露管制的规定。

这些单元实际上有多小

既然规则没有下限，实际分布只能自行计算。数据取自政府数据开放平台的统计区人口统计，涵盖 22 个县市的最小统计区层级，时间为 2024 年 12 月⁴。

算出来的全国最小统计区共 157,933 个，总人口 23,390,517。个数与内政部文件写的 15 万 7,933 个完全相同，两条独立管道互相验证。

零人口的统计区要先分开。全国有 17,297 个统计区的户籍人口是 0，占 10.95%，那些格子没有住户，不构成隐私问题。把它们并进低人数的统计会高估风险，所以下表把零人口单独列一行，其余各行都从 1 人起算。

条件	统计区数	占全国
户籍人口 0 人	17,297	10.95%
户籍人口 1 至 9 人	10,513	6.66%
户籍人口 1 至 20 人	17,876	11.32%
户籍人口 1 至 99 人	56,819	35.98%

中位数是 110 人，只算有住户的统计区则是 131 人。多数格子的规模足以让聚合发挥作用，问题在那 10,513 个住着个位数人口的格子。

一个十户上下的统计区，在平日与假日各四个时段都会有数字。住户在工作日早上大多外出、晚上回来，这种作息会反映在那十六个数字的起伏上。多一个人长期留在家、少一个人周末不回来，格子小到这个程度时就有机会从数字看出来。这一段是从样本数与变异的常识推出来的，本页没有取得实际的活动人口数值做验证，下一节会说明这条界线。

落差集中在东部与嘉义

聚合的保护力随格内人数下降，所以住得越分散的地方保护越弱。按县市拆开之后会发现，人口密度最低的县市未必就是保护最弱的县市，因为稀疏有两种，一种是格子里没有人，一种是格子里住着几个人，只有后者构成隐私问题。

范围	统计区数	人口中位数	0 人比例	1 至 9 人比例
本岛 19 县市	155,289	111	10.6%	6.6%
离岛 3 县	2,644	29	33.3%	7.8%
连江县	422	0	76.5%	3.8%
台东县	4,812	8	36.5%	14.4%
花莲县	4,632	37	18.0%	15.0%
嘉义县	5,593	42	22.0%	12.8%

连江县的统计区有七成六没有住户，若只看「人数很少」这个条件，它会是全国比例最高的县，实际上住着个位数人口的格子只占 3.8%，低于本岛平均。地广人稀与住得极度分散是两件事。

落差真正明显的是台东县与花莲县，住着一到九人的统计区占 14.4% 与 15.0%，是本岛平均 6.6% 的两倍以上，嘉义县 12.8% 也偏高。同一套规则、同一个价格，在这些地方卖出去的东西，颗粒比都会区细得多。把固定的空间单元套在密度不均的人口上，必然产生这种落差，并非政策刻意选择的结果。官方的零风险结论则对全国一体适用，没有区分这个落差。

国际上的做法有这一层

聚合统计设最小显示人数是官方统计的常规做法，称为小值抑制或 k 匿名（k-anonymity），意思是每一格至少要有 k 个人，不足的格子就留空或与相邻的格子合并。

欧盟统计局在处理电信业者数据的案例文件里写明，国家统计机关收到的应该是「non-personal aggregate data (fulfilling some k-anonymity condition)」而非原始数据⁵。该文件没有指定 k 值。实务上的门槛依领域而定，美国疾病管制与预防中心的癌症统计采用的抑制门槛是 15⁶。

台湾这套产品没有对应的规定，公开文件里查不到 k 值，也查不到有没有做抑制。

这些数字能说明什么，不能说明什么

上面算的是户籍人口，产品发布的是信令衍生的活动人口，两者是不同的量。算出来的是空间单元的规模。某个时段实际有多少人停留在格子里，本页没有取得那份数据。

住宅型、户籍只有几人的统计区，深夜的停留人口不太可能远高于户籍人口，这种情况下两个数字会接近。台东与花莲是观光县，假日午后的活动人口可能因为游客涌入而远高于户籍人口，那种时段的格子反而人多。两者都是常识推论而非实测。

产品给的是各时段的计数，字段设计没有提供跨格子串连同一个人的键值，所以能做的是推测特定几户在不在，不是掌握某个人去了哪里。设计上没有键值与实际拼不出来并不相同，前面引的 GDPR 与 FTC 判准都把持有者手上的其他信息计入。依这个判准，一个十户的格子配上持有者手上的其他信息之后还剩多少距离，是一个应该被检验的问题。本页没有检验它，也没有取得任何一份实际交付的数据，所以这里停在「判准要求评估，而公开文件里没有人做过这个评估」，不对拼接的可行性下判断。

即使把这两层都搁置，官方推论本身的缺口仍然成立，只凭聚合与字段不含个资就下结论，中间没有任何关于格内人数的检验。

回到那道题

前面四个窗口的规格都看过了，现在把四项逐一对照。

两千元那份数据，四项里符合几项

一项。

条件	对照结果	原因
空间	符合	最小统计区就是街廓的尺度，一格平均住一百多人
时间	不符合	只有 109 年 11 月与 112 年 11 月两个版本，各是一个月的汇总，时段字段是平日假日乘上早中午晚
属性	不符合	字段只有人数与旅次两种值
个体关联	不符合	聚合之后没有留下能跨日期串起来的编号

四项里符合的是空间，也是整套产品最精细的部分。其余三项的字段在这份产品里不存在，同一个申请项目加购再多单元也不会多出这些字段。

方法论文件用两章写这份数据的设计用途，公共部门是资源配置、风险管理、绩效评估与建置规画，民间部门是市场营销、人力安排、商业选址与置产出租²，全部属于挑地点的问题。用一个代表月份描述常态分布，对挑地点足够，对重建某一个晚上不足。

缺的三项散在另外三个窗口

年龄不必向电信业者买。窗口四那份免费的统计区人口指标，还原出来就是每一格的性别组成与三段年龄结构。前面算出的那 10,513 个户籍人口只有个位数的统计区，每一个的年龄结构都已经在公开数据里。

年龄这一项内政部自己也做出来过，方法论文件第二章记载 106 年的高雄市前期研究²：

本节以高雄市为例初探电信信令数据样貌，研究通过 3 家电信业者收集高雄市 106 年 9 月至 10 月选择周一至周日，7 个统计日的手机电信信令点位，并将网格信息对应至内政部划分之最小统计区中，再依据收集时间、登记信息及在籍情形，计算并汇整成次级数据后提供本处研究。

登记信息是用户办手机号时填写的数据，该步骤把用户属性接到了信令点位上。成果是同一份文件的表 2-3，高雄市活动人口电信信令信号交叉分析表，按行政区、性别与五个年龄组交叉列出人数，全市平均活动人口 1,508,177 人²。表 2-3 与同一份文件「完全不含个资数据」的说法并不冲突，前者是 106 年高雄市的前期研究，后者指 109 年交付的全国产品。把性别与年龄接到信令上的那一步由业者执行，能力落在业者端。

文件对这批数据的品质另有一段说明。该段写在常住人口那一节，常住人口取的是凌晨 2 至 3 时的信号，与表 2-3 的活动人口是同一次研究的两个时段²：

性别及年龄组别占比皆与户籍登记人口有明显差异，可能受用户登记习惯影响，例如多数未成年子女手机系登记在父母名下，而老年人口多由子女代为申办之情形

同一节记载高雄市常住人口的在籍率为 36.8%。文件对活动人口只写了一句「性别及年龄组别占比皆与常住人口相似」²，偏误因此经由这一句传递到活动人口那一侧。年龄字段带有已知方向的偏误，未成年人的信号被算进父母那一组，老年人的信号被算进子女那一组。以这类数据说明年龄分布的结论，都继承同一个偏误。

时间与个体关联两项落在窗口二与窗口三。指定日期、指定时段、指定一块地是商用人流服务的常规操作，含 UID 的起讫点信令与依「曾去过特定场所」投放广告的作法都记载在同一份查核报告里²¹。报告同时指出手机信令并非唯一路径，分析社群平台打卡信息与现场摄影机，活动当日即可粗略得知参与者人数与大约年龄²¹。

数位发展部 2024-06-03 向立法院交通委员会提出的书面报告写明，技术上的确可能运用手机信号分析用户的个人数据，而一般民众、公司可同时取得「基站服务的用户号码」及「电信事业客户数据库」，以分析特定区域用户年龄层的可能性极低²¹。可能性极低衡量的是取得机会，描述谁有机会接触到两份数据，没有回答接起来之后是否被允许。

这道题的答案

那段推论可以用买得到的数据重建，只是四个条件分散在不同的窗口。

条件	来源	取得方式
空间	窗口一，电信信令人口统计最小统计区层级	向内政部统计处书面申请，一单元 2,000 元
属性	窗口四，统计区人口统计与人口指标	免费下载，CODEBASE 对接
时间	窗口二，电信业者的商用人流分析服务	商业采购
个体关联	窗口二与窗口三，商用服务与广告投放	商业采购

四个窗口分别是纸本申请、开放数据下载、业者的业务洽谈与广告平台的受众设置，各自检验自己交付的那一份，没有一个窗口会问申请人手上已经有什么。决定风险高低的是有几份数据能被同一个人同时取得，单独查看任何一份的字段表都无法得出这个判断。

组合这件事在台湾的条文里有规定，缺的是把第 3 条用上去的那一步。GDPR 前言第 26 点的差别落在判断主体与范围，它要求考量数据控制者或任何其他人所有合理可能使用的手段，并计入成本、时间与当时可得的技术。数位发展部那句话把范围收在一般民众与公司，施行细则第 3 条的文字没有这个限缩。

查核在绑定之后仍然持续

出示证件是一次性的动作，对身份的查核则是持续的。这一段的两件事都发生在你办完手机号之后。

电信业者查政府的数据库

2024 年通过的《诈欺犯罪危害防制条例》第 19 条第 3 项授权订定《电信事业使用指定数据库核对用户身份查询办法》，2024-11-19 发布⁸。该办法第 3 条指定三个数据库供电信事业查询核对用户身份，内政部户政信息系统的国民身份证领补换数据查询作业、设置于内政部警政署的防诈联合风险管理系统数据库、内政部移民署的云端查询服务。

查询时机明定四种，受理申请电信服务时、被通知服务有诈欺犯罪之虞时、提供电信主管机关公告之境外高风险电信事业的国际漫游服务前、提供预付卡服务予非本国籍用户时。办一张手机号就会触发查询，漫游那一项只限主管机关公告的特定境外业者。

条文课予电信事业七项资通安全义务，没有一条要求告知用户查询已经发生。

NCC 2024-10-16 另通过高风险用户的公告，三年内遭司法机关通报停断话达三次者列为高风险用户，自列管之日起三年内至多申请一门用户号码，其他业者知悉后应同样列管⁹。电信业者另行公告自 2025-12-30 起，申请 SIM 卡换补卡须同时出示旧卡或其他足以证明身份的数据，SIM 卡遗失则须先向警察机关报案并取得报案证明¹⁰。高风险用户那一项的门槛落在遭司法机关通报停断话，有罪判决并非必要条件，效果则是跨业者共用的名单与三年期的申办限制。

机构查你的手机号状态

台湾网络认证与三大电信合作的 MID Plus 于 2026-07-01 上线，采 GSMA Open Gateway 统一规格，首波导入机构包含第一银行、玉山银行与台湾中小企业银行¹¹。

API	回传内容
SIM Swap	该手机号近期有无更换 SIM 卡
Device Roaming Status	该手机号目前是否在国外漫游
Number Verification	输入的手机号与设备当前连接的手机号是否相符
KYC Match	送进来的身份数据与电信业者的记录是否相符

三大电信规划的 API 总数是 14 支，目前上线 4 支¹²。2018 年起的旧版 MID 由用户主动发起，流程是输入身份证字号与手机号、选择电信业者，再经移动网络连接验证¹³，用户知道有一次查核正在发生。添加的 SIM Swap 与 Device Roaming Status 性质不同，查的是某个手机号的状态，机构端发动即可完成。

CAMARA 的规格把授权模型分得很清楚，两方令牌的流程里没有用户这个角色，系统既不验证用户也无法取得或查核其同意，所以只能用在不处理个人数据的 API 上。涉及个人数据的 API 应采三方授权，由用户经 OIDC 或 CIBA 流程参与¹⁴。台湾这一侧采用哪一种，公开数据里没有写。

CAMARA 对两方令牌的原文限制

Two-Legged Access Token: an access token that involves two parties, the Authorization Server (operated by the Operator or Aggregator), and the client (the ASP's Application); the Two-Legged Access Token does not include a Resource Owner (User). The Authorization Server does not authenticate a User, nor can User Consent be captured or validated for Two-Legged Access Tokens; therefore Two-Legged Access Tokens must only be used for CAMARA APIs that do not process Personal Data.

查看过的来源包含四家媒体的报导、台湾网络认证的产品页与 MID 手机号认证说明页、CAMARA 的身份与同意管理文件，以及 GSMA Open Gateway 的 API 说明。本页停在查不到，不推论业者规避规格。

五类信息的共同缺口

法律位阶的门槛宽松，代表现行做法没有违反个资法。宪法对信息隐私权的内容另有规定，那是更高位阶、也是另一组标准。

释字第 603 号解释于 2005-09-28 作成，依宪法第 22 条保障隐私权，并就信息隐私权的内容写明¹⁸：

保障人民决定是否揭露其个人数据、及在何种范围内、于何时、以何种方式、向何人揭露之决定权，并保障人民对其个人数据之使用有知悉与控制权及数据记载错误之更正权。

白话是，你有权决定自己的数据要不要给、给到什么程度、什么时候给、给谁，也有权知道它被怎么使用。决定权与知悉权在解释文里是两项独立的保障，以这两项查看本页盘点的三类记录与两种查核，结果如下。

你的什么	你知道它正在发生吗	你能拒绝吗
你在哪	信令持续产生，没有任何提示。告知声明公告在网站上，第十条第三款写了统计结果会提供给企业客户	信令本身开机就会产生。去识别化之后的处理与利用可以要求停止，管道在第十条第三款第 2 点
你连了哪里	保存是法定义务，没有告知设计。被调取时，网络流量记录有通知规定，通信记录没有	保存不能拒绝。业者的去识别化利用可依同一款要求停止
你买了什么	告知事项公告在网站上，列出的收集类别含设备识别码、位置与站内外浏览轨迹	个资法第 11 条的停止请求权限于数据正确性有争议、收集目的消失或违法收集三种情形，但书另保留业务所必须者
你是谁	办手机号时知道要查验身份，查了哪几个数据库、何时查，办法里没有告知规定	不办手机号才能不被查
你的手机号状态	同意模型未公开，不确定当事人会不会收到通知	未知

五类的能力都已经建成并且在运作。决定权有对应安排的是前三类，后两类没有查到。五类的确定程度差很多，「你在哪」已经可以依公开数据算出影响范围，「你连了哪里」有五年份的官方统计可查，「你的手机号状态」则停在同意模型查不到，上表最后一格写「未知」就是这个意思。

释字 603 声明违宪的对象是强制全民按捺指纹这个特定手段，依据的是比例原则的个案审查，要处理目的正当性、手段必要性与有无侵害较小的替代方案。本页没有做那样的审查，也不主张上述任何一项违宪。指出的是另一件事，宪法把知悉与决定写进信息隐私权的内容，而目前对应得上的环节默认都是关闭的。聚合统计数据还算不算个人数据、要不要适用同一套审查框架，学理上也仍有争议。

业者的停止条款值得单独看一眼。它写在一份十二条的告知声明第十条第三款里，适用对象是已经去识别化的统计处理，默认是持续进行，需要当事人主动通知才会停止，而且只对通知之后的处理生效。两家电信业者的这一段逐字相同，代表它是产业共用的写法。

所以问题不在有没有环节，在那个环节被放在什么位置、默认值是什么、涵盖范围到哪里。一套持续产生个人行踪与连接记录并且对外贩售衍生产品的系统，把退出写成需要自己去找的条款，该不该改成默认询问，是公共讨论要回答的问题，落点在制度而非个别机关的操守。

默认值是谁设的，又该由谁来改

开头那个问题到这里可以回答。默认值散在不同的地方，各自有对应的机关与依据，所以要改也要分开改。下表把本页查到的缺口整理成可以递出去的形式，每一列的依据都在前面的章节里。

对象	缺口	依据	可以要求什么	先后
内政部统计处	收费标准、方法论文件与划设标准都查不到最小显示人数门槛，也查不到交付的数值有没有做过取整或扰动	政府资讯公开法第 10 条	公开遮蔽与合并的规则，若无规定则参照欧盟统计局与美国疾管中心的做法订一个下限	最先做。单人即可递件，法定十五日内要回复，三种答复都有用
法务部与立法院	通知义务只及于网络流量记录，2025 年 87.2% 的调取线路不在范围内，且以通信记录之名附带取得流量记录时不必通知	通保法第 15 条、网络流量记录管理办法第 11 条	把通知义务扩及通信记录与通讯使用者资料，并处理附带取得那个例外	影响面最大，需要修法，时程以会期计
三大电信业者	去识别化统计提供企业客户默认打开，第三人营销默认关闭，两者方向相反	告知声明第十条第三款	把两项的默认值拉齐，并公开停止条款的使用件数与回复时间	不必修法，是契约范本问题，适合先做舆论施压
NCC 与数位发展部	MID Plus 采两方或三方授权没有公开	CAMARA 对两方令牌的限制	要求公开授权模型，涉及个人数据的 API 不使用两方令牌	题目单一、答案是或否，适合当第一则追问
个人资料保护委员会	施行细则第 17 条检验单一数据集，第 3 条的组合识别没有对应的检验程序	个资法施行细则第 3 条、第 17 条	订定组合识别的判断准则，要求同时持有多份数据集者自行评估	机关尚未正式成立，时程最不确定
主管机关未定	台湾没有数据中介的登记制度，也没有一次要求全部删除的管道	加州《Delete Act》与 DROP 平台的对照	研议登记制度与集中删除机制，先从盘点市场上有哪些业者开始	需要先确定主管机关，属长线

「先后」那一栏是依递件成本与回复确定性排的，不是依重要性。前两列的差别在于一个人就能递出去，与需要一个会期才动得了，两者不必二选一。

这张表的主词要放对。现行做法没有违反个资法，宽松的是法定门槛本身，所以要求的对象是订规则的人，不是照规则做事的业者。说成业者违法，对方只要回一句符合施行细则第 17 条就站得住。

数位凭证皮夹那一篇的结论是技术做到哪一步取决于有没有人要求。实名与数据市场这一端的差别在于，本页查过的公民团体声明、学者评论与媒体报导里，没有看到针对电信信令人口统计或网络流量记录保存提出对应诉求的记录。查证范围限于公开的中文数据，不排除有本页没有找到的讨论。

可以自己查证与追问的事

这一节处理的是稽核与究责，做完不会改变你的暴露程度。个人层次的自我防卫另外写在一般人平常该做到什么，包含向电信业者请求停止的逐字稿、广告标识符怎么关，以及那些动作各自涵盖到哪一条管道。

自己重算一次

这是全篇唯一不必花钱、不必等任何机关回复、当天就能自己确认的事。文末〈计算方式〉写了完整的重算路径，数据集代号、字段名称与公式都在里面。把政府数据开放平台的两份 XML 抓下来，用 CODEBASE 对接，你可以算出自己住的那一格有几户人、性别组成与三段年龄结构是什么。本页全部的原创数字都是这样算出来的，任何人重新执行一次都应该得到同一组结果。算出来的人数如果是个位数，前面〈这些单元实际上有多小〉整节说明的就是你住的地方。

县市与乡镇市区层级的统计结果在内政部社会经济数据服务平台免费下载，智能人流统计应用指标查询系统另外提供公共部门 12 项与民间部门 6 项的应用范例¹⁹。不必花钱就能看出这套产品的形态。

调取的统计每年更新，法务部法务统计资讯网的通讯监察统计专区可以直接导出³¹。同一份表格每年多一个年度，自己算一次比例是可以持续进行的观察。

向内政部问那个承重问题

本页查遍收费标准、方法论文件与划设标准，都找不到最小人数的遮蔽规则。这件事可以用政府资讯公开法直接向主管机关申请说明，不必付那 2,000 元。依该法第 10 条，申请以书面载明申请人姓名、出生年月日、身份证统一编号、设籍或通信地址与联系电话，所需政府信息的内容要旨与件数、申请用途，以及申请日期，寄给持有该信息的机关，本件的机关是内政部统计处。

问法可以分成两题。第一题是电信信令人口统计资料在交付时，对统计值过低的空间单元是否采取遮蔽或合并处理，依据为何。第二题是交付的数值为原始计数，还是经过取整、四舍五入或其他扰动处理。

第二题比第一题更关键。本页关于小格子看得出作息的推论，成立的前提是交付的数字是原始计数，如果那些值经过取整或加了杂讯，推论的强度会大幅下降。内政部的方法论文件全文没有提到取整、四舍五入或扰动，也没有提到小值抑制，所以目前无法从公开数据判断是哪一种。这个问题只有主管机关答得出来。依同法第 12 条，机关应于受理后十五日内处理，必要时得延长十五日。

向业者与金融机构追问

电子票证与电子支付的记名不能回避，那是法规要求。个资法第 11 条给的停止与删除请求权有适用条件，并非一般性的退出权⁴⁹。

情形	依据	可以请求
数据正确性有争议	第 11 条第 2 项	停止处理或利用
收集的特定目的消失或期限届满	第 11 条第 3 项	删除、停止处理或利用
违反本法规定收集、处理或利用	第 11 条第 4 项	删除、停止收集处理或利用

前两项的但书都保留了业务所必须或经书面同意的情形。想单纯表达「我不要被拿去做营销分析」，现行条文没有对应的一般权利，这一点与 GDPR 第 21 条的反对权不同。

依个资法，当事人对自己的个人数据有查询及请求阅览的权利。想知道自己的手机号被查询过几次、查了哪些数据库，可以向电信业者提出查询请求。如果你是银行或电商的客户，可以向往来的金融机构询问是否使用 MID Plus、采用哪一种授权模型、查询时是否通知当事人。

上面几类的问题，答案目前都不在公开数据里，所以任何一份答复都是添加的公开信息。取得答复的读者欢迎通过社群服务页的管道告诉我们，本页会更新并注明来源。

本页的限制

这一节是给要引用本页的人看的，逐项写明哪些是查证过的事实、哪些是推论、哪些查不到。

十一项未竟之处与查不到的来源

活动人口的实际计数没有取得，与户籍人口的关系没有实测，详见前面〈这些数字能说明什么，不能说明什么〉一节。

本页逻辑链上最关键的未查证项目是交付数值的形态。小格子看得出作息这个推论，前提是那些数字是原始计数，如果经过取整或扰动，推论就不成立。内政部方法论文件全文没有提到取整、四舍五入、扰动或小值抑制，本页也没有取得任何一份实际交付的数据，所以这件事目前是开放问题，不是已经确认的前提。〈读者可以做什么〉里的申请范本已经把这个问题写进去。

调取统计的三个字段来源不同。统计表自己注明，检察官依职权调取案件的数据源为法务部资讯处，另外两栏依各检察署统计室登录结案日期统计，跨栏相加得到的合计因此带有方法论上的落差。同一张表另注明网络流量记录自民国 114 年 2 月起建置，该栏在 113 年度的依职权部分为空值，跨年比较已在内文说明。线路数与件数是两种单位，一件可含多线，本页的比例以线路数为主、件数为辅，两者都列出。

NCC 的官方网站在机器人防护之后，从本机、无头浏览器与位于台湾的主机三种路径都无法取得内容，因此高风险用户公告与管理机制指引的条文只能引用媒体报导，原始文号未能核对。数位发展部主管法规共用系统对自动化取用回 403，网络广告平台业者的两项子法只读到名称与媒体整理的内容，条文逐字未能核对。

先前版本的买方表格列了客家委员会的桐花祭旅游产值分析案、台大医院云林分院的云林县信令大数据分析案，以及国立交通大学的两件旅执行为分析案。查核时以三家电信业者相关分公司的完整决标记录逐一回查，都找不到对应案件，网络搜索也查不到这几个案名，因此全部撤下。同一轮撤下的还有台北市政府研究发展考核委员会 2026 年那件两次无法决标的委托研究，以及整合案的年度与得标者细节，理由相同。若有读者握有这些案件的案号或决标公告链接，欢迎回报，本页会补回并注明来源。

产品的数据时间有 109 年 11 月与 112 年 11 月两版、两份合计 4,000 元这两项，来自内政部社会经济数据服务平台的付费申请清单。该清单由前端动态加载且需要请求码，本页无法以自动化方式重现，仅能从静态页面确认 109 年 11 月那一版。

业者这一端只取得中华电信、台湾大哥大与悠游卡公司的告知声明，远传的公开隐私权政策里没有找到对应的特定目的代号清单与第十条那两款。采购金额取自开放标案网站记载的招标金额，未与政府电子采购网的决标公告逐笔核对，中华电信该年度的对应案件也没有查到金额。各案实际交付的数据形态同样无从核对。

商用人流分析服务的规格取自查核报告与业者的公开介绍，没有取得任何一份产品规格书。中华大数据与 PeopleView 的合作描述来自 2017 年的报导，该服务目前的营运状态与交付内容没有查到公开说明。威朋的数据库规模、收集同意流程与电子发票数据的取得管道，本页只读到该公司对媒体的说法，没有独立佐证。

三段年龄的还原在户籍人口上验证过，没有把还原结果与实际交付的信令数值并排比对过，两者的关系仍是推论。MID Plus 的同意模型没有结果。2024 年那件争议的侦查结果查不到公开记录，本页对该事件只写到侦查阶段的公开事实，并略去当事人姓名，具体人事见所引的查核报告与通信社报导。

本页没有就这些发现向内政部、法务部、NCC、数位发展部或任何一家业者提出询问并取得回复，所有官方与业者立场都引自既有的公开文件。

计算方式

人口分布的数字可以重现。统计区人口统计的数据集在政府数据开放平台，22 个县市的最小统计区层级各有一份 XML，字段 CODEBASE 为最小统计区代码、P_CNT 为人口数、H_CNT 为户数。把 22 份并起来计算分位数即可得到本页的表格。乡镇市区的归属取 CODEBASE 的前缀，分组后得 368 个，与官方文件记载相符。离岛的比较取澎湖县、金门县与连江县三份。零人口与低人口的比例分开计算，P_CNT 等于 0 与介于 1 至 9 之间各自成组，混在一起会高估低人口统计区的占比。区间的上界不含端点，「1 至 99 人」排除刚好 100 人那一组。乡镇市区的最小统计区个数中位数精确值为 322.5，表格取整数 323。

三段年龄的还原用统计区人口指标的同一批 CODEBASE，扶幼比与扶老比的分母都是十五至六十四岁人口，设该组为 B，总人口为 P，则 B 等于 P 除以一加扶幼比加扶老比，零至十四岁与六十五岁以上再由两个比值乘回去。花莲县 4,632 个最小统计区里有 835 个的分母为零或户籍人口为零而无解，其余 3,797 个的还原结果与总人口相差都在一人以内。

调取统计的数字取自法务部法务统计资讯网通讯监察统计专区的三张表，list_id 分别为 1355（按声请人类别分）、1356（按罪名别分）与 1357（按调取类别分），民国 110 至 114 年各年度以页面上的导出功能取得 ODS 后解析。每一年的线路数合计等于三个声请途径的字段相加，各年度合计与调取类别、罪名别两张表的总计互相核对过，四舍五入前均相符。经法院的比例以「声请法院核发及补行声请案件」的总计栏除以三栏合计，该栏包含核准与驳回。

延伸阅读

• 台湾个资法 2025 修法
• 数位凭证皮夹保护了什么
• 监控能力
• 在地脉络

---

1. 内政部电信信令人口统计资料收费标准 - 全国法规数据库，2022-07-27 修正 ↩

2. 电信信令人口统计之建置、分析与应用 - 内政部，链接见该页附件 ↩↩↩↩↩↩↩↩↩↩↩↩

3. 最小统计区在统计领域之应用 - 内政部统计处。另见 统计区分类系统 ↩↩

4. 统计区人口统计 - 政府数据开放平台，数据时间 113Y12M。空间图资见 最小统计区图 ↩↩

5. Eurostat: Processing of longitudinal mobile network operator data - UN Global Working Group on Big Data，2023-02-09 更新 ↩

6. Privacy guarantees for personal mobility data in humanitarian response - Scientific Reports，内文记载美国疾病管制与预防中心癌症统计采用的抑制门槛为 15 ↩

7. 电信信令人口统计资料 - 内政部社会经济数据服务平台，申请资格与申请方式 ↩↩↩

8. 电信事业使用指定数据库核对用户身份查询办法 - 全国法规数据库，2024-11-19 公布，依诈欺犯罪危害防制条例第 19 条第 3 项订定 ↩

9. NCC祭电信服务三振条款全力防诈 高风险用户3年内限办1手机号 - 中央社，2024-10-16 ↩

10. 打诈？扰民？接下来想补发 SIM 卡，请你先跑趟警局 - 科技新报，2026-01-02。该篇处理的是 SIM 卡换补卡，手机号变更不在其叙述范围内  ↩

11. 告别单一静态验证！台网携手三大电信与银行推出「MID Plus」认证服务 - mashdigi ↩

12. 三大电信开放 API 串联金融业 TWCA 建构行动身份认证生态 - CIO Taiwan ↩

13. MID 手机号认证 - 台湾网络认证 ↩

14. CAMARA API access and user consent - CAMARA Project ↩

15. 个人资料保护法施行细则 - 全国法规数据库，第 3 条与第 17 条 ↩↩

16. Recital 26, General Data Protection Regulation - EU ↩

17. 扩大开放数据广度的关键下一步，个资匿名和去识别化也有国家标准 - iThome，2015-10-03。该报导记载 CNS 29100 于 2014-06-04 公布、CNS 29191 于同年报导所称的「今年 6 月 10 日」即 2015-06-10 公布，并载明国家标准没有强制性。CNS 29100-2 于 2019-09-24 公布，不在该报导范围，见 开放个人信息去识别化过程管理系统之认证服务 - 财团法人全国认证基金会 ↩

18. 释字第 603 号解释 - 司法院，2005-09-28 ↩

19. 智能人流统计应用指标查询系统 - 内政部 ↩

20. 165反诈骗咨询专线_遭停止解析涉诈网站 - 内政部警政署刑事警察局，数据集说明载明依诈欺犯罪危害防制条例第 42 条停止解析 ↩

21. 【事实厘清】王义川说「可用手机信号分析在立法院外的群众年龄、比对参与者」、「产业界市场分析常用手机信令进行人流特性分析」？ - 台湾事实查核中心，2024-06-04 ↩↩↩↩↩↩↩

22. 手机信号分析群众惹议 北检传唤王义川说明 - 中央社，2024-06-11。来源标题照录，内文的叙述略去姓名 ↩

23. 统计区人口指标 - 政府数据开放平台，内政部统计处，数据时间 113Y12M。最小统计区层级字段含扶幼比 A0A14_A15A65_RAT 与扶老比 A65UP_A15A64_RAT ↩

24. 中华电信个资收集告知声明 - 中华电信，行动宽带服务版本，页面标示 2026-07-30 版 ↩↩↩↩↩

25. 个资告知事项 - 台湾大哥大 ↩

26. 中华电信就近日手机信号定位及电信大数据分析应用服务事件说明 - 中华电信，2024-05-30 ↩

27. 政府电子采购网 - 行政院公共工程委员会。本页列出的两笔以镜像站 开放政府标案 的厂商决标历史页逐案回查，中华电信企业客户分公司名下可查得台北市政府资讯局与交通部公路局两案。官方站的关键字查询需要维持 session 状态，本页没有重现成功 ↩

28. Taiwan: Freedom on the Net 2025 Country Report - Freedom House，评估期间 2024-06-01 至 2025-05-31，总分 79，分项 A 24/25、B 29/35、C 26/40 ↩↩

29. 通讯保障及监察法 - 全国法规数据库，2024-07-31 修正公布，第 3 条之 1、第 11 条之 1、第 14 条之 1、第 15 条 ↩↩↩↩↩↩

30. 网络流量记录管理办法 - 法务部主管法规查询系统，2024-12-27 发布，依通讯保障及监察法第 14 条之 1 第 6 项订定 ↩↩↩↩

31. 通讯监察统计 - 法务部法务统计资讯网，调取票声请案件三张统计表，民国 110 至 114 年 ↩↩↩↩

32. 电子支付机构身份确认机制及交易限额管理办法 - 全国法规数据库，第 4 条、第 5 条 ↩

33. 悠游卡股份有限公司收集处理及利用个人数据告知事项 - 悠游卡公司，页面标示 2025-06-30 修订版次 3 ↩↩

34. 悠游卡携手威朋 用AI大数据助力打造无现金生态圈 - 悠游卡公司新闻稿，2024-01-12 ↩↩↩

35. 【业界对策：行动广告大数据分析商威朋】布局内容比对技术与新算法，威朋还发集团专用ID - iThome，2021-09-14 ↩

36. 用数据串起亚洲市场，Vpon 为品牌打开跨境成长新航线 - 数位时代，2025-10-29。该页标示 sponsored by VPON，页面中继数据亦标记 is_ads 为 1、编辑署名为 VPON，属业者出资刊登的内容 ↩↩

37. 中华电/意蓝资讯合推大数据新应用 助沟通效益最大化 - MoneyDJ，2017-07-05 ↩

38. FTC Order Prohibits Data Broker X-Mode Social and Outlogic from Selling Sensitive Location Data - Federal Trade Commission，2024-01-09 ↩

39. FTC Order Will Ban InMarket from Selling Precise Consumer Location Data - Federal Trade Commission，2024-01-18 ↩

40. Massive breach at location data seller - Malwarebytes，2025-01-09，Gravy Analytics 外泄事件。原文记载攻击者宣称窃得 17TB 数据，涉及 3,455 个 App ↩

41. Data Broker Registry - California Privacy Protection Agency。《Delete Act》（SB 362）的删除请求平台 DROP 自 2026-01-01 开放消费者提交，仲介业者自 2026-08-01 起应处理 ↩

42. 预付卡新申请 - 中华电信网络门市，申请方式载明本人持指定双证件正本到柜台办理 ↩

43. 「广告实名制」2025上路打诈 如何验证广告主身份？怎么防冒名？ - 公视新闻网 ↩↩

44. 有关民众于社群平台连署要求广告平台实名制，已于打诈专法订定网络广告实名制规范 - 数位发展部数字产业署，2024-05-19，四面向规范重点出自此篇。四项配套子法于 2024-11-28 发布、2024-11-30 生效，依 数位发展部强化纳管网络广告平台业者落实防诈责任四项子法上路（原住民族委员会转载数位发展部新闻稿）记载，分别是《数位发展部协助产业创新活动补助奖励及辅导办法》部分条文修正、《网络广告平台业者验证身份技术方式及诈欺防制计划透明度报告格式内容》、《网络广告资讯揭露基准及作业办法》与《诈欺犯罪危害防制条例第三十二条第一项第一款之通知期限》。与广告主身份验证直接相关的是第二项与第三项，第一项处理的是补助奖励，依据的条文不在第 30 条至第 33 条之列。验证身份那一项的名称与生效日见 数位发展部行政公告。另有《一定规模之网络广告平台计算基准》于 2024-09-16 先行发布 ↩

45. 114年台湾大哥大电信信令数据处理委外服务案 - 开放政府标案，数据源为政府电子采购网。远传同名案件案号 114YH080604 ↩

46. How to Disable Ad ID Tracking on iOS and Android, and Why You Should Do It Now - Electronic Frontier Foundation ↩↩

47. RPZ 恶意域名拦截服务：2025 年度透明度报告更新与历史区上线 - 财团法人台湾网络信息中心 ↩

48. 证件查核规定 - 中华电信网络门市。双证件查核的起始年份本页没有查到可引用的官方记录 ↩

49. 个人资料保护法 - 全国法规数据库，第 11 条 ↩