民主進步黨・新北市第2選舉區發言紀錄
- 林委員淑芬
（12時23分）委員長午安，你知不知道僑委會是用什麼方式在做差勤管理的？
- 主席
請僑務委員會童委員長說明。
- 童委員長振源
您是指僑委會的員工嗎？
- 林委員淑芬
對。
- 童委員長振源
目前應該都是用人工智慧的人臉辨識。
- 林委員淑芬
我們去看了僑務委員會彈性上班實施要點，第二點規範「本會職員之差勤管理除委員長、副委員長、主任秘書、參事及各處、室主管或經委員長核准外，其到（退）勤『應一律』以臉型辨識上下班時間」，我們也去查了中央各部會其他單位的差勤管理狀況，老實說只有僑委會是這樣硬性規定的，除了主管級的員工以外，一律要用臉型辨識進行差勤管理，算是領先各部會。但是委員長，以生物辨識進行差勤管理，依照個資法的規定，這是須經當事人同意的，在實施臉部辨識的差勤管理之前，你們有沒有向職員說明制度的規範？
- 童委員長振源
報告委員，因為這個制度已經實施一段時間了，並且是在我來之前就開始的，所以我是不是可以請人事室向委員說明？
- 林委員淑芬
應該不用，因為我問過你們的同仁。之前是沒有這個制度的，所以請問你們有沒有取得職員書面同意書？雖然你說這是你來之前就做的，不是你首創的……
- 童委員長振源
對，之前就有了。
- 林委員淑芬
所以我告訴你，「沒有」。請問個人的生物辨識資料是否有專責人員或部門保管？這是很個資的、很敏感的，全世界都同意個人的生物特徵辨識資料是非常機敏的個資，但你們也沒有專責人員或部門在保管。你們能不能保證絕對不會有遺失、遭竊或被濫用的風險？也沒有。你們是不是有提供替代方案，諸如刷磁卡、電腦打卡等？也沒有，因為你們在要點中就是要求一律使用人臉辨識。另外，職員離職後會不會刪除職員的生物辨識資料？事實上我們不得而知。
- 童委員長振源
報告委員，對於相關細節，我回去會再查一下，再把剛剛委員詢問的問題……
- 林委員淑芬
對於剛剛講的那幾個問題，除了最後一個問題外，我可以告訴你前面幾個問題的答案100%就是沒有，我都問過你們的同仁了。
- 童委員長振源
我會再看看要怎麼進行適當地補強。
- 林委員淑芬
個資法第二條指出這些都是個資，司法院釋字第603號有解釋，雖然個資法規範的是「指紋」，但「指紋」也不是只有指紋而已，個資法裡面的指紋具有人體各部位終生不變的特性，所以具備高度人別辨識的功能，諸如生物特徵裡的臉部特徵、虹膜等都在個資法保護的範圍裡面。
對於人家個資的蒐集、處理、利用要符合三個要件，一定要有必要的範圍、一定要經過當事人同意，而且要對當事人的權益無侵害。我想你們在利用、處理這些個資的時候最終還要符合特定目的，你的特定目的需要法律明文規定，或與當事人建立契約，要有類契約的關係，並取得當事人的同意始得為之。
用生物特徵作為差勤管理的唯一標準，因為你們的要點就是規定「應一律」，但你們當初在訂定這個規定的時候為什麼委員長、副委員長、主秘等主管都不用？委員長為什麼覺得這些人不用，而長官以下的卻統統都要？
- 童委員長振源
我覺得委員的提醒可以帶回去檢討。
- 林委員淑芬
所以你知道了嗎？
- 童委員長振源
很多細節的部分，我覺得剛剛委員應該是適當地關切。第二個部分，因為我們主管人員不用打卡，所以就不必做臉部辨識……
- 林委員淑芬
沒有，因為還包括了「主任秘書、參事、各處室主管或經委員長核准之外」，你們在實施要點寫這幾個字，老實說我真的聽不下去。
- 童委員長振源
我們回去會再檢討看看。
- 林委員淑芬
委員長可以特殊核准某些人不用，你們的參事或各處室主管、主秘，副委員長也不用，他們有隱私，但其他員工也有隱私啊！如果以生物特徵作為差勤管理的唯一方式，即使不是你開的頭，但老實說，你上任後還做這樣的事，就應該把它修掉。像民間早就想這麼做了，但為什麼沒做？法務部有函釋指出，「基於人事管理及場所進出安全管理之特定目的，以蒐集員工指紋建檔方式」管制員工出勤之措施符合規定。雖然我對法務部的函釋不是很同意，但也代表不是完全不行，只是函釋的重點在後面的但書「但是否以蒐集指紋為唯一管制員工出勤之方式、有無其他方式給予當事人選擇等」，代表要考慮這是不是最後的手段，難道沒有其他手段了嗎？否則就要衡量個資法第五條的比例原則。
個資法第五條規定「個人資料之蒐集、處理或利用，……，不得逾越特定目的之必要範圍，並應與蒐集之目的具有正當合理之關聯」，其實就是規定管制員工出勤的目的，跟你的手段要符合比例原則，所以你們雖然有蒐集員工個資的權利，但目的和手段要優先考量，而不是雇主想怎樣就怎樣。所以個資的蒐集利用大概有三個大原則，一個是「適當性」，採行的手段要符合期待的目標，但也要符合「必要性」，如有不同的手段可用，就要採取損害最小的手段；最後還要符合「狹義比例原則」，此係指手段和目標要衡平，不能為了小目標而損害到大利益。
如果只是一個考勤制度或出勤紀錄而已，不過就是法律規定雇主要有勞工出勤紀錄的法定義務，但最主要也最核心的是，雇主要置身人事管理的考評，要看員工有無遲到早退。所以基本上，公務機關也是規定要準時上下班，所以你們考核勤惰的管理制度在這種狀況下，其實也都是以雇主的利益為優先。像出勤紀錄的製作，就不是以職員的目的為出發，而是從雇主的利益出發在擷取人家的生物特徵，所以你們在做這件事之前也必須取得人家的同意。但我也要跟你講，你們整個過程既沒有說明，也沒有得到人家的同意，你們的系統也不知能不能保證絕對安全，或是盡量做到極致的安全、有沒有專門管理的人，以上事實上都沒有。
在這種狀況下，我要跟委員長分享的是，歐盟在一般資料保護規範（GDPR）中，就絕對強調生物特徵、生物辨識的資訊是非常敏感的個資，蒐集、管理的限制會以其法律第九條明定的那些項目為依據，只要是第九條規定的都不可以，就算是員工同意，只是在做差勤管理，照歐盟的規定，只要不符合第GDPR第九條的規定就是不被允許，因為勞雇之間權力不平衡，員工的同意一般也不會被視為自主意願的同意。
我要再跟你分享舊金山的例子，舊金山在2019年5月成為美國第一個禁止利用人臉辨識的城市，不是只有民間禁止利用，政府機關、警察機構統統都不能夠利用。其他的城市也在陸陸續續跟進，禁止的理由是人臉辨識系統所依據的辨識資料庫準確性相當低，且該技術的使用與共享缺乏一致性的標準，這對侵犯個人隱私的疑慮是非常高的。
你以為人臉辨識很好管理，但事實上是錯的，出差勤時只要拿一張照片取代真正的人臉就可以通過人臉辨識了，不然你去看你的Apple手機，拿一張當事人的照片去做人臉辨識，它就開機了，這是真的。你們以為它是最OK的，但其實它也不一定是最OK的，我不曉得當初僑委會為什麼會這麼做？老實說，生物辨識科技被用來確認一個人的生理特徵，驗證其身分會有一個非常大的風險，因為那會有不可規避及不可竄改的特性。也許你覺得那樣很OK，但相同地，如果資料遭人入侵或被人拿去利用的話，它不像密碼，只要改掉密碼就可以保證帳戶的安全，或是保障個人所有相關權利的安全，因此當資料遭駭後將造成不可逆的風險。要是生物特徵被人竊取使用了，對方一輩子、終生都不能更改，所以歐盟一般資料保護規範（GDPR）原則上除規定這些東西不得被蒐集、處理、利用以外，第九條還規定特定例外的才能處理，而且還要進行資料保護的影響評估。因此我真的不瞭解，僑委會怎麼會去做這種事情，在全國公部門裡，所有中央部會你們是第一個，而且還是唯一的一個，請問你們在使用的時候怎麼會這麼粗糙呢？
雖然你說不是你開始的，但你現在知道這個問題有多嚴重了，你們也沒有能力去保護這些資料。事實上我們也知道公務單位管理個人資通訊的風險非常大，你們公部門防密保密措施的問題也很多也都很大，所以我要求除立刻修訂以外，委員長對於過去已經發生的與現在正在進行的、且已利用這麼久的資料，是不是也應該要立即採取什麼手段，以防止這些東西讓員工的權利受損？
- 童委員長振源
非常謝謝委員的提醒和指教，我回去之後會儘快檢討，看看在法規上、技術上及員工同意權上是不是要再評估可以怎麼做……
- 林委員淑芬
委員長，不是這樣，而是你不應該這麼做，因為有其他的手段及工具可以代替你的差勤管理，所以沒必要擷取生物特徵，因為一旦遭到入侵和使用就有一輩子不可逆的風險。
- 童委員長振源
我瞭解了，也非常清楚委員的關切和……
- 林委員淑芬
你們為了差勤管理，就利用生物特徵進行辨識，這是手段和管理目的不平衡。
- 童委員長振源
我想我們會儘快做適當地檢討，該怎麼做就怎麼做。
- 林委員淑芬
不是要他們補同意書，而是不應該用這種手段，而且你們還規定這是唯一手段。
- 童委員長振源
我們會儘快檢討，如有必要，我們會做適當處理。
- 林委員淑芬
應該要立即停止，而且還要把過去的資料保護好，不要讓員工因為這些生物特徵而致權益受損。你們現在就應該要立即改變差勤管理的方法，看要怎麼做，而且還要列為最優先處理的事。
- 童委員長振源
非常謝謝委員，我們會立刻檢討。
- 林委員淑芬
這樣非常侵犯人權，而且你們還沒有法律依據，到目前為止，你們還處在違法的狀態，要立即停止使用臉部辨識來打卡這種有違個資法的措施。
- 童委員長振源
好，謝謝，我們一定會檢討。
- 主席
其實前兩年我們在審查國防部的預算時，國防部也曾經要大規模地建置人臉辨識的營區管理，預算也被我們刪掉了，後來就沒有做。
- 林委員淑芬
他們以這個措施管理好多年了。
文字取自立法院公報，由 LYAPI 對齊至影片片段。講者無法確定的句子不列為林淑芬本人的發言。