Telenor 缅甸用户数据案的诉讼与侦查

Telenor 的缅甸子公司在 2021 年 2 月政变后把用户数据交给军方，挪威母公司 Telenor ASA 因此面对集体诉讼。瑞典非营利组织 Justice and Accountability Initiative（JAI）4 月 8 日在挪威的 Asker and Bærum 地方法院提起诉讼，代表数据被交出的缅甸客户，每人索赔 9,000 欧元。法院 9 月 17 日驳回 Telenor 的程序异议，允许案件以集体诉讼的方式进行，这项裁定还没有判断 Telenor 有没有责任。挪威警方另外对 Telenor ASA 展开两项刑事侦查，挪威政府持有 Telenor 约 54% 的股份。

依另一个支持诉讼的组织开放社会正义倡议（OSJI）的新闻稿，政变后军方经常要求 Telenor 的缅甸子公司提供特定用户的数据，原告已知至少 1,253 个号码的数据被交出。原告主张 Telenor ASA 没有阻止，或明知风险仍授权子公司交出数据，要为此负责。依同样支持诉讼的荷兰跨国企业研究中心 SOMO 的说明，集体诉讼采用默认纳入、可以退出的方式，数据被交出的客户除非主动退出都在索赔范围内。

挪威警方 9 月 15 日公布两项侦查，Telenor ASA 在两案都被列为犯罪嫌疑人。国家刑事调查局（Kripos）侦查涉嫌参与危害人类罪，期间从政变到 2022 年 3 月 25 日出售完成，背景是这段期间子公司多次把客户的历史通信记录交给军方。警察安全局（PST）侦查出售时是否一并转移受制裁的监控设备、且没有取得外交部许可。依 Telenor 的新闻稿，没有个人被列为犯罪嫌疑人。

到 10 月 23 日，没有查到起诉的消息。

Telenor 2021 年 7 月宣布以 1.05 亿美元把缅甸业务卖给 M1 Group，2022 年 3 月 25 日完成。依 Telenor 2021 年 9 月的公告，继续留下必须启用供缅甸当局使用的拦截设备，也就是让当局监听通信的系统。这些设备受挪威与国际制裁约束，启用对 Telenor 无法接受。Telenor 2022 年 2 月的文章提到依法必须保存通信记录、不能要求员工删除，出售之外没有好的替代方案。

导读观点

依 Telenor 2021 年的说明，电信运营商依法保存的通信记录包括通话双方、时间、时长与通话经过的基站，不含通话内容。本文的推论是，单凭 Telenor 列出的这些字段，不必听到内容就能看出一个人和谁联系、大约在哪一带。

Telenor 的新闻稿提到，员工拒绝军方的命令可能面临监禁、酷刑或死刑，公司没有真正的选择。Telenor 说明诉讼的页面也提到，公司认为本案没有责任的基础，数据是依当地法律必须提供。原告律师在 OSJI 的新闻稿表示，握有总部团队在部分案例明确建议交出数据的证据，起诉文件也提出数件要求曾上报到挪威总部的风险评估团队。

挪威政府依经济合作与发展组织（OECD）准则设立的国家联络点（NCP）受理企业行为的申诉，它不是司法机关，不能命令赔偿。缅甸 474 个民间团体 2021 年通过 SOMO，对 Telenor 撤出缅甸的方式提出申诉。

NCP 2025 年 12 月最终声明的结论是，Telenor 在撤出时识别并减轻了部分严重风险，保护员工的生命与安全也是企业尊重人权责任的核心。同一份声明也认定，系统性地把员工这一组权利人放在优先，不符合《OECD 跨国企业负责任商业行为准则》的期待。Telenor 回应表示不同意这项结论。

Telenor 回应时同意企业应在进入不稳定市场前规划负责任的撤出，但也提到这在 2022 到 2023 年才正式纳入国际人权框架。NCP 的结论是，Telenor 进入缅甸时的尽职调查如果就涵盖被迫撤出等最严重的风险，Telenor 降低风险的能力很可能比实际大。NCP 没有判定准则是否严格要求进入时就要有撤出策略。

对于转移的内容，Telenor 这一方的说法是当地法律要求保存数据、不能删除。Telenor 也表示缅甸子公司没有启用拦截设备，政变后则被迫停止披露政府要求的范围。Telenor 的说明针对的是启用，警方的新闻稿则没有说明 PST 所指的监控设备是否就是这批设备。NCP 的结论是缅甸当局要求买方找当地伙伴当多数股东时，Telenor 应该重做风险评估。

专门评比科技公司人权表现的 Ranking Digital Rights 主张，拦截系统不该当作一般设备随出售转移，并提到缅甸的买方改名 ATOM Myanmar 之后停止了所有透明度报告。联合国人权事务高级专员办事处 2023 年文件的建议是，企业出售时应考虑接手者的人权承诺，引导出售给较负责的买方。

台湾的《电信管理法》要求电信事业保存并保密通信记录，并有依《通讯保障及监察法》协助通讯监察、调取通信记录与使用者资料的义务。台湾读者可以向电信运营商查询自己的通信记录与账务记录，运营商依法应予提供，这些记录仍由运营商保存、机关可以依法调取。取得无线电频率或市场占有率达四分之一的电信事业转让全部或主要部分的营业须经国家通讯传播委员会核准，审查因素包括维护用户权益与国家安全，条文没有写用户数据如何转移。

中华电信、台湾大哥大与远传这三家都在可持续发展报告或 ESG 页面披露政府调取的件数。依各家的披露，中华电信 2025 年 247,032 件、远传 2025 年 253,731 件、台湾大哥大 2024 年 270,578 件。三家的年份、统计单位与计算方式各自不同，中华电信 2025 年起也调整了计算方式，所以不能直接比较多寡。

运营商面对政府调取时，中国大陆的《中华人民共和国电信条例》（2016 年修订版）保护电信用户依法使用电信的自由和通信秘密。因国家安全或追查刑事犯罪的需要，公安机关、国家安全机关或人民检察院可以依法定程序检查电信内容。条例保护通信秘密的这一条里，允许检查、禁止运营商擅自提供的对象都是电信内容，没有写到通话记录这类不含内容的数据。台湾的《电信管理法》则在条文里明列通信记录与使用者资料的调取。

同样是运营商面对政府调取的义务，2025 年修正的《中华人民共和国网络安全法》要求网络运营者为公安机关、国家安全机关维护国家安全和侦查犯罪的活动提供技术支持和协助。同法把网络运营者定义为网络的所有者、管理者和网络服务提供者，电信运营商落在这个范围内是本文的理解。

在政府调取件数的披露上，中国移动 2025 年可持续发展报告的数据安全与客户隐私一章写的是治理架构与数据泄露的处置流程。本文 10 月 23 日以执法、调取、公安等词搜索全文，没有找到政府调取用户数据的件数，中国电信与中国联通的报告本文没有查阅。前面台湾的三家运营商公开了件数，Ranking Digital Rights 提到的 ATOM Myanmar 则在改名之后停止了所有透明度报告。

出售时用户数据的转移，中国大陆的《中华人民共和国个人信息保护法》要求因合并、分立等原因转移个人信息时，告知个人接收方的名称和联系方式。接收方变更处理目的要重新取得同意，条文没有给个人拒绝转移的程序。台湾则由国家通讯传播委员会在核准营业转让时考量用户权益，条文没有写数据如何转移。《个人信息保护法》的这项规定写的是合并、分立等情形，Telenor 出售的是子公司 100% 的股权，本文没有查证规定是否适用于出售子公司股权的交易。

数据被交出的缅甸客户默认纳入集体诉讼，想退出的人要主动表示，其他读者不必做任何事。

这起案件可以从三个问题比较各方的标准。一是子公司交出数据的行为母公司要不要负责，Telenor 称依当地法律必须提供，原告主张母公司明知风险仍授权。二是电信运营商面对政府的要求时，保护员工与保护用户的责任如何取舍。三是撤出与留下各有什么代价，用户数据与监控设备是否应该跟着出售，Telenor 称当地法律要求保存、不能删除数据。

依 SOMO 与 OSJI，Telenor 对 9 月 17 日裁定的上诉期是一个月，约到 10 月 17 日。到 10 月 23 日，没有查到上诉的消息。之后可以留意法院的开庭时间，以及两项侦查是否起诉。