开放文化基金会(25)日公布第一份民间版“配合政府执法，数位平台该交出民众资料吗？”政府向媒体平台索资调查报傲图：翻拍自开放文化基金会网站
开放文化基金会今(26)日公布第一份民间版“配合政府执法，数位平台该交出民众资料吗？”政府向媒体平台索资调查报。除了有业者表示，有关机关会一年向他们索资2千多份，也有机关在各种闭门的沟通场合，以其他平台为例施压，例如质问：“对岸的微信都可以提供资料，为什么你们不可以？”或称“其他业者都配合，为什么你不配合？”的集体气氛，孤立坚持隐私原则的业者。
报告分文7个单元，包括“引言、隐私与执法拉锯下的“数位索资”难题”、“壹、台湾索资争议的缩影：Dcard案”、“贰、平台业者：索资实务中的风险与两难”、“参、被排除的当事人：索资后的通知与救济困境”、“肆、索资治理的下一步：来自现实面的挑战”、“伍、索资治理的下一步：改革方向的建议”、“结语：走向三方皆赢的数位治理”。
报告直切入，当执法机关为了侦查犯罪，要求平台业者提供资料（索资）时，核心难题随之浮现：身为公民，我们是否有权利了解政府调取私密资料的状况？持有资料的业者，是否有权代替我们决定交出资料？最关键的是，当个人隐私与调查／执法需求产生冲突时，该如何衡平两者需求？
开放文化基金会表示，他们也深度访谈4家业者、2个政府主管机关、1个法律专家、与1个人权团体代表，盘点索资的实务挑战与治理结构问题。此外，为了尝试厘清台湾执法机关索资的现况，也向台湾高等检察署、法务部调查局、廉政署、内政部刑事警察局申请政府资讯公开，希望取得过去两年向平台业者索资的统计数据。
当平台业者收到机关提出索资，首先得评估索资的样态。索资可依照提出的机关和提出请求的形式，大致分为以下四类：
司法令状：由法院核发（如搜索票、扣押裁定）。司法令状的特殊之处在于，犯罪侦查机关不能自行决定索资——必须先向法院提出申请，由与案件调查无利害关系的法官独立审查索资是否确有必要、其范围是否造成不相称的隐私侵害。但也因程序较繁琐，犯罪侦查机关除非情况特殊（如资料储存于第三国、需要更强的调取正当性），通常不会主动选用令状途径。
刑事公函：法院／检察／警察／调查单位基于犯罪侦查或诉讼审理需求，向业者发出的正式书面索资请求。
行政公函：各级行政机关（如卫福部、税务单位、地方政府）基于行政调查需要（例如厘清裁罚对象身份），向业者发出的正式书面索资请求。
非正式：实务中，机关可能以电子邮件、电话等管道提出索资。
为了确保程序正当并保存正式凭据，平台业者原则上仅接受令状、公函作为索资凭据，对于非正式提出的索资要求，通常不予受理。除了审查请求形式是否合于正式受理要件外，平台也会进一步辨识机关要求提供的资料类型。就单一使用者账号而言，常见的索取资料大致可分为以下几类：
注册资讯：使用者ID、联络电话、显示名称、绑定E-mail及注册日期等。这些资讯是连结虚拟账号与实体身份的关键，机关可据此在现实世界中进一步查找使用者的真实身份。
中继资料（Meta Data）：使用者IP、登入时间、使用装置的识别码等。这类资讯可用于追踪使用者登入的时间与地理位置，透过长期累积的足迹，足以拼凑出一个人的生活作息与移动规律。
交易纪录：买卖双方的交易内容、金额与时间。这类资料直接揭露了使用者的经济现况与消费习惯，甚至能推导出特定的生活偏好。
使用者间通信内容：使用者与他人的私密对话纪录。这是隐私权最核心的地带，涉及最真实的个人思想、情感与人际网络。重视隐私的业者通常会采用端对端加密（end-to-endencryption）技术，意味着就算是业者也无法获取实际的通讯内容。
痛点：机关索资量大且广，业者行政量能难以负荷
受访业者普遍反映处理能量已达临界点。对人力规模有限的台湾在地业者而言，更是难以负荷。有在地业者曾短暂开放电子公文的管道，结果被爆量的机关索资请求淹没，最后只能选择再次关闭，退回纸本公函的流程，以控制机关发起请求的频率。有受访业者表示，公司仅有2-3位法遵人力，一年却需处理超过2,000件索资要求；LINE官方透明报告亦揭露，单在2025年上半即接获953件索资要求。
反对“搭便车”式的身份反查：业者极力反对机关将平台视为自动化身份比对工具。例如机关常因《洗钱防制法》有资料留存规定，便要求业者在无明确法律义务的状况下，进行大规模资料比对与筛选。执行资料反查，恐让业者落入目的外利用个资、侵害使用者个资的风险。
受访业者说：（机关）可能透过其他平台、或是资料来源，拿到手机号码之后，想试试看可以从哪里捞到更多个人资料，（机关）就会拿手机号码来问我们，可不可以确认这属于哪个用户、提供他的资料过来。
在台湾现行法律中，《通讯保障及监察法》对国家取得人民通讯内容与通讯资料设有最精细程序要求（发动要件、调取资料类型），主要规范电话监听、调取通联纪录及通讯使用者资料等行为，并在2024年修法后将网络流量纪录资料纳入规范范围。然而，其适用对象仅限于电信业者，数位平台并不在列，使最敏感的数位足迹反而落入规管薄弱的法治地带。目前，机关向数位平台索资所援引的程序性法源，可分成刑事搜索／扣押、以及一般性的调查权两类。
一般性调查权：无论是犯罪侦查还是行政机关，都会援引依程序性法律授予的调查权，向平台业者索取使用者个资。常被引用之法条如下：
●犯罪侦查机关经常援引《刑事诉讼法》第229、230、231或247条（检察官与司法警察有侦查、搜集证据之职权）。
●行政机关则会援引《行政程序法》第39、40条（授权行政机关为查明事实，可要求第三方提供必要资料或文件）。
●也有机关会援引《个人资料保护法》第15、16条，主张其基于执行法定职务或公共利益需要，得向平台索取（搜集）资料，本质上仍是用机关的调查权来赋予索资行为的合法性。
整体而言，台湾对于索资的规管密度极低，但可索取的资料类别极为广泛，且未设“机关何时可以发动索资”的实体要件、索取范围限制或救济机制，平台实务上几乎没有拒绝或裁量索资范围是否合理的空间。这造成了“不对等”的现状：法规赋予机关广泛的调取权限，却未建立让平台判断索资合理性的制度基础。
缺乏具体事实资讯与明确法遵指引，平台难以实质把关平台作为使用者个资的持有者，在交付资料前仍有《个人资料保护法》上的把关义务，至少需检视机关是否具备法律依据、调取目的与资料内容是否具有合理关联、范围是否过广等，避免让机关浮滥取得使用者资料。尽管平台试图兼顾使用者隐私与回应执法需求，但业者在实务上几乎没有拒绝的空间与权利。
这种无力感主要来自以下三个面向：
业者缺乏事实资讯：机关在索资时，通常仅提供简短案由（如：侦办诈骗案件），并未说明具体调查事项为何、为何需索取该人个资、以及该资料如何满足调查需求等。资讯的缺乏，导致业者难以进行比例原则的衡量，被迫成为国家行使调查权时的“延伸手脚”，不仅需要承担合法风险，也可能承受因资料提供而引发的隐私侵害争议。
机关缺乏原则规范：资料调阅的正当性原应由执法机关依法律授权判断，但现行制度多仰赖程序性法规。即便是实体法，也仅规定了业者的配合义务，或广泛列出可调取的资料类型，没有先就机关发动索资的实体要件建立统一规范，例如须具备何种事实基础、应说明哪些理由、以及调取范围如何受到必要性与最小化原则拘束。于是，平台在面对索资时，只能依赖内部流程与个案状况自行判断，也让索资过程中的隐私保护存在业者间的不一致性。
机关施压：机关有时会动用各种管道与手段，包括正式与非正式，来迫使业者更加配合索资要求。
●动用舆论：机关可能会向媒体释出“平台不协助侦查、包庇犯罪”的消息，利用公众对社会安全的需要来迫使业者降低把关程度。
●司法程序威胁：例如2023年Dcard因拒绝提供资料遭警方大举搜索。这类透过合法程序产生的经营干扰，具备强烈的寒蝉效应。亦有受访业者表示，曾因机关认为业者处理索资的效率太差，开传票给董事长；或者曾因拒绝配合索资，遭机关扣押电脑而无法营业。
●诉诸集体压力：机关在各种闭门的沟通场合，以其他平台为例施压，例如质问：“对岸的微信都可以提供资料，为什么你们不可以？”或在跨部会协调会议中，利用“其他业者都配合，为什么你不配合？”的集体气氛，孤立坚持隐私原则的业者。
受访学者说：目前的法规都是赋予主管机关执法权力，非常少赋予平台业者裁量或拒绝的权利，因此平台是很难拒绝被索资的。
受访业者说：因为没有充分的工具可以抵抗索资，消极的方式是以行政作业量能为理由提高行政机关索资的成本，减少索资的数量。
本次受访业者大多花费1至2周处理一案（包括回函）。当机关要求调取“与嫌疑账号互动过的所有账号清单”时，平台必须提取大量纪录（如共同群组、频道或交易）。机关看似针对单一对象索资，背后却是牵连出数千甚至数万笔关联资料，导致调取极为耗时。
但《诈欺犯罪危害防制条例》要求业者须于收到通知3日内提供资料。机关常以“侦办急件”要求业者在24至72小时内回复。机关只求行政效率，隐私风险却由平台承担快，还要更快；多，还要更多。在索资制度缺乏隐私风险评估与优先级设计的情况下，机关往往只追求行政效率，要求平台加速提供更多资料，实质上却将隐私、声誉与营运风险全面转嫁给业者。
受访业者说：（我们）是社群为主的服务，希望保护使用者的言论自由，但同时也是有一些配合政府的义务。变成给资料会被骂－－你们要好好保护使用者的隐私；不给也会骂说－－你有助于犯罪的事。我们一直都是陷在这两难，腹背受敌。
在现行制度下，法律广泛赋予机关索资权限，却未同步建立清楚的实体要件、审查标准与课责机制，使平台被迫承担实质隐私把关责任。目前各机关依据执行各自业务的条文请求资料，不仅造成沉重的行政负担，更让平台缺乏判断请求合理性的法理依据。这宛如一场没有裁判的球赛：机关投出的每一球，平台都必须被迫挥棒接招。平台没有不击球的权利，任何拒绝都可能被判定为不配合执法的失分。
机关倾向“先拿资料再说”：执法机关通常以效率为首要考量，倾向在侦查阶段尽可能收集资料再进行筛选。这种逻辑极易模糊比例原则，导致无辜民众的数位足迹在不知情下被纳入监控。
平台资讯不对称、难以实质把关：平台常因机关主张“侦查不公开”而无法得知索资的真正理由。在缺乏案情资讯、法源标准不一的压力下，平台难以在第一关进行有效的程序评估。
受访业者说：（索取的资料）是非常深的，因为你把这个人过去某段时间发的每一个讯息的IP利用三角定位，在地图上显示，就可以看到他实际移动的轨迹是什么，以及他在哪些IP出现的热点特别的高。
事后：你无法得知，公民社会也无从监督
政府机关是发动索资的主体，通知当事人的程序保障原则上也应由国家承担。至于业者是否在侦查保密需求消灭后配合通知，仍有赖制度提供明确的分工与时点。然而，在现行实务中，资料一旦交付，通常不会有任何一方主动告知当事人，使用者对自身个资去向处于“无感”状态，甚至不知道这件事曾经发生。
无透明度义务：国内目前无法律要求平台业者或政府机关公布索资量体、案由、接受比率等统计数据的“透明度报告”。
以“资讯不存在”或“侦查不公开”回避监督：OCF针对索资现况发函询问多个关键机关，然而并无任何单位愿意提供实质的统计纪录。各机关拒绝提供的法律理由摘要如下：
●法务部廉政署、调查局：均表示未办理该项统计作业，或相关统计资讯在客观上“并不存在”，因此无法提供。这显示机关对自身索资行为与规模，未必建立完整的统计与追踪机制，更遑论进一步评估其隐私风险与比例原则。
●内政部警政署刑事警察局：主张相关资讯涉及《政府资讯公开法》第18条，认为相关统计若公开，将妨害犯罪侦查或侵害企业营业权益，故拒绝提供。但我们认为，若资讯仅以年度总量、案由类型与接受比率等聚合统计方式呈现，既无法识别个案身份，也难以推知个别业者在特定案件中的配合方式或审查标准。更何况现行制度下亦已有通讯监察统计的定期公开机制，显示公开此类统计并非不可行。
●台湾高等检察署：仅提供现有针对电信业者的“通讯监察统计”网址，并声明除此之外针对数位平台业者索资并无统计资料。
既有稽核难以防堵权力滥用：以前台北市派出所长叶育忻泄密案为例，叶员曾利用职权泄漏个资给诈骗集团高达17次。尽管台北市警察局强调每月皆依规定稽核，但面对单月高达3,150万余笔的庞大查询纪录，现行稽核仍可能流于形式，难以主动发现异常或防堵权力被恶意滥用。
外部难以检验，问责无从落实：更根本的是，即使机关宣称设有稽核机制，外界通常仍无从确认其实际内容、执行频率与成效。这不仅是机关究竟调取了多少资料的问题，也包括调取资料是否确实
索资治理的下一步：来自现实面的挑战20有助于调查、是否搜集了不必要的资料而逾越比例原则、是否被用于他案查察或建置数据库等目的外利用、取得后如何保存并控管存取权限，以及案件结束后是否确实删除或销毁。当从调取理由到后续管理的整个过程都无法被外部检验时，“机关自律”便容易停留在书面宣称，而难以形成实质问责。
跨境法源不明引发业者法遵疑虑：缺乏明确法规的现状下，业者常面临母国法律与台湾执法惯例的冲突。以受访平台业者为例，其母公司所在国隐私保护法规较严，因此原则上需台湾法院的令状才能提供使用者个资。经磋商后，双方目前采取折衷方案，仅限法定刑三年以上的重罪及有共识的个案，方可凭“搜索票”索资；另针对《诈欺犯罪危害防制条例》议定特别程序，允许机关以公文调阅使用者的注册资料。但这些安排仍欠缺稳定且明确的合法性基础，使业者持续承担违反母国法律的风险。
访谈中，业者普遍指出，“案由不明确”是索资实务中最核心的困扰。机关则担忧，若程序过度细致，将影响执法效率。这样的张力或许难以完全消除，但在效率与权利保障之间，至少应建立一套明确、可遵循的最低程序标准，使平台不再于模糊地带独自承担判断风险。
借镜美国《云端法案》（CLOUD Act）：该法案的核心机制是“双边执行协议”，两国政府允许执法机关得以直接向对方境内的服务业者发出索资命令，无须经由传统司法互助条约的繁冗程序。协议设有明确限制——请求须针对具体对象、限于严重犯罪，并须受独立机构监督——索资治理的下一步：改革方向的建议以此在执法效率与隐私保障之间取得平衡。目前美国已分别与英国（2022年）、澳洲（2024年）建立协议，显示此框架具备实践先例。台湾可以此模式为蓝本，与平台母公司所在国家建立类似的双边资料调取框架，为跨境索资建立明确、可预期的法律依据。
落实利害关系人咨询：订定跨境传输限制或法规时，政府应充分咨询相关领域，以避免规范脱离实务。以卫福部过去研议限制资料传往中国为例，因忽略国际新药研发的临床试验需求，最终被迫加入大量例外条款。因此，跨境治理规范若要达成隐私保障目的，必须建立在对既有传输结构与产业运作逻辑的理解之上，方能避免落入“法规补丁”的窘境。
推动公私协力治理：政府应邀集民间科技社群与公民团体共同讨论比例原则与资料保存细节，透过多方长期对话与滚动式讨论，才能在快速变迁的数位环境中，寻找比单一法条更合适、更能兼顾隐私与执法的解决方案。
培力专业人才：好的制度还需搭配专业人才来落实。建议政府设立专门职系培育个资保护专才，并提升公部门与大众对于数位隐私及外泄风险的认知。
