人工智慧與法律規範學術研究群
第三年期（2020-2021）
第五次會議
2020年11月26日（星期四）
主持人：李建良（中央研究院法律學研究所特聘研究員兼所長）
主講人：張志偉（銘傳大學公共事務學系助理教授）
◎ 整理：洪于庭
壹、問題提出與論述步驟
人工智慧的脈絡此議題在國內談及多，各樣的商業活動及運用已經幾乎想像不到哪個領域是不需要資料、不需要人工智慧技術。包括每日必需的牙刷或是車載的電子系統透過物聯網、網路連結蒐集個人的敏感性資料，或是一般個資，故可以做得部分是十分廣闊。因此，德國聯邦憲法法院於1983年提到人被解譯的危險性，以現今而言是十分有可能，如娛樂或電影已經逐步展現，這是個資保護上的疑慮。有些人認為個資保護與自己十分遙遠，不像如同一般的民事、刑事訴訟的侵權有如此深刻的感受，我認為個資保護是將人格權的保護往前挪，個資尚未被侵害的情況下，事先課予責任人。「責任人」的用語，我個人與國內一般用語不太一樣，國內一般是使用控管者、管控者、控制人的角度，這是從英文翻譯而來。惟於德文原文中「Verantwortlich」，是從責任角度，如各位對於資訊行政法在德國的發展，其實是與警察法有很密切的相關。故在警察法上的概念是被理解為責任人，這是我於翻譯上的想法。
談及人工智慧時，不免會提到「ABC」。A即演算法（algorithm），演算法的部分法律人很難理解，惟於資訊科學而言是很關鍵的，在資訊科學上會傾向於使用學習系統、認知計算取代大數據的用法。在演算法中，我認為較重要的是如何得知，知道如何得知的情況下才能行使個資權利。B即大數據（Big data），大數據即為今天關注的重點。C即雲端運算（cloud computing），在雲端運算部分，於個資法中GDPR沒有特別提及，基本上我們會將雲端提供者界定為資料的受託處理人，只要是單純儲存。這三個我認為是在談及人工智慧時不可或缺的部分，一般而言，人工智慧是指使電腦展現出像人類行為的科技，是透過感知學習、推理、協助決策幫助人類解決問題。他的學習來源就是資料，這也就是我們在提及第三波人工智慧會大躍進的原因，因為我們搜集處理資料的能力已經大幅提升。無論是質與量上，都不是以往能想像得到的。故於此集中重點主要還是法律面向的討論，核心的關懷會放在大數據與個人資料保護的面相討論。此面向上會發現悖論的感覺，談人工智慧或機器學習必須要有大量資訊作為基礎，如收集資料越來越多，對於人的圖像掌握、解譯的可能性會升高。表示人工智慧會隨著資料量更深入學習，對個人資料的資料保護更大挑戰，我認這部分是具有衝突的部分。可以看到大部分在談人工智慧影片或是書籍，只要不是法律學門來看，多半會歌頌需要資料收集，許多報紙上投書也是如此。在健保資料的案例上也是如此，我們在強調健保資料庫的運用應更彈性、更開放，背後個資疑慮於企業界中會認為只是杞人憂天。在此面向上主要討論重點要如何探討既有法規範，是否可以或是如何有適應能力問題，要如何解決大數據所提出的問題，在此以歐盟的GDPR做為對照的對象，原因除因為是最新個資立法外，另一部份是表現出歐洲對於個資基本的立場，故以此故部分作為探討。
貳、大數據與個資保護
一、大數據運用特徵
可以看到於大數據運用上指涉與人工智慧有很大重疊地放在於，使用巨量資料，透過巨量資料分析技術彙整出，透過分析發現及預測揭露人類行為模式或是各種趨勢，以便於生成新的知識，回饋各個產業的理解。這樣的分析脈絡，與過去不同的是，於一般統計中，原則上希望找到因果關係，惟於大數據運用上，反而強調如何找出不同特徵的關聯性。我們要如何一步一步的去理解，首先要先分析的是資料是否為個人資料，如為個人資料才會落入個資法的討論中。當中也會有非個人資料的部分，非個人資料原則上是指涉事實資歷、匿名資料、法人資料。原則上共通的定義，非個人資料就是無法或是無從識別個人，這也就是匿名與個資很大的區別所在，我發現國內對於「匿名化」，大家的理解好像不太一樣。有些學者理解為假名化，只要有代碼就是匿名化，此部分我認為德國法對於GDPR的了解是有落差的。以大數據的特徵而言，被美稱為智慧資料，主要是因為有四個結構性特徵：巨量、資料來源多樣性、分析速度、對於商業、公部分十分高的價值影響。此四個結構性特徵，界定出大數據的特徵。大數據運用的目的有許多態樣，一開始可以界定幾種可能性。第一個是預測群體的行為模式，如針對特定契約的徵信評估、徵信評分的方式，或是從無關聯的資料中累積成個人的數位人格剖析，特定要素長期累積的觀察，如健康狀態、愛好、信用程度，即個人化的大數據運用。數據挖掘或是資料倉儲之用，乃至於科技的偵查措施、追蹤方式，這也是大數據常見的運用方式。
德國學者Schulz的分類方式，是將大數據分為以下這三大類，分類方式可以凸顯並不是每一樣大數據都以個人資料為主。
- 非個人的模式建構：目的是預測模式、模擬或智能聯網，此類大數據利用之目的並不在於識別出特定個人，因此重點在於如何將投入利用之前將資料匿名化，以及必須投入避免再識別化保障的措施。
- 用以識別及揀選可得特定之自然人：尤其用以犯罪行為的揭露目的、詐騙預防、保險或財務會計的異常性揭露。就此正當性顯有疑慮：區分公、私部門有別。公部門需另立特別法；私部門詐騙的預防或會計上異常性的揭露，私部門必須投入技術與組織上的要件。在歐盟對於預測犯罪預防性警務人工智慧的使用是有疑慮的，會造成對特定族群或是移民有惡化、標籤化的情形。公部門與私部門在此脈絡下有些不同，如是公部門，會特別要求另立特別法，這是做科技偵查立法的緣由。另一方面，對於私部門，在基本規則前言中，有提到為了要防止詐騙的正當利益，故私部門投入個別、個人的大數據運用，是認為有其正當性。不過做篩選時，是要透過組織上、技術上的框架與條件，還有合法性要求，並且希望做第三方假名化作為基礎，在這些要件下，會肯認私部門也可以做個別化的揀選或是識別。
- 藉由既有資料的累積、聚集與評價，或連結其他資料，重新生成關於已屬個別化之自然人新的特殊資訊。如個別化的保險模式、遠距醫療或線上購物的助理、車輛追蹤、定位等。著重在後在使用個資時的合法性要件，如同各位熟知的，在第六條中要求首要即需當事人同意，沒有當事人同意的情況下就必須符合第二款至第六款其他的合法事由。需特別提醒的是，在此面向上使用階段上就會有合法性疑慮，故會強制需有有效的假名化措施，並且有透明化的要求，即當事人權利，特別是當事人的異議權，透過此保障當事人。
二、個資保護基本原則與大數據
在此部分有的出發點會與有些學者不同的是，我認為個資的保護是強調資訊自決權而非資訊的隱私權。我對於司法院釋字第603號解釋的理解，與國內學界有些出入。該號釋字明白強調的是資訊隱私權，如觀至行文，定義基本上是1983年人口普查案的定義，強調其實是自我決定。據此，這兩者的差別在於，強調隱私不可迴避的是必須有合理隱私期待，惟無論在歐盟或是我國的個資法中，資料的定義並未要求要有任何的隱私期待。所有可以識別出、可得特定的個人資料都是個資，未有隱私期待或是需有隱私的理解的要求。我自己的理解是，個資保護的憲法基礎傾向於理解成人格權下的資訊自覺，而非資訊隱私，這是我個人基於德國法理解的方式。
接下來會進入基本規則的保護面向，在第五條的部分與過去不同是，在歐盟的立法而言，基本規則是直接有效的法規範，指令必須透過轉換的方式達成，與指令不同基本上直接成員國可以適用。因此，在第五條一般個資保護的基本原則，不將之理解僅為為指示性、指引性，應為實體的合法性要件。本身即有拘束個人責任人的基礎，如依照第五條第二項的規定，責任人必須對於遵守第一項的，負有責任且糸須舉證證明。被認定為，第五條一般原則是界定為實現歐盟運作條約第十六條及基本權利憲章第八條第六項、人權公約的具體化規定，具有獨立性意義在於，當事人在第十五條到第二十二條明文列舉的權利主張外，還可以補充援引第五條主張客觀法效力，違反第五條的情況會導致監督機關措施，以及第八十三條第五項A款的罰鍰規定，以下列為六款事由，一一探討會與大數據有衝突之處。
（一）合法性、公正及透明化
第一款的部分份成三種，這此第一個合法性要件所指為個資處理必須合法為之。於此有廣狹不同的兩種含義，狹義的解讀方式是個資的處理必須要有第六條第一項所定的法律基礎，即必須有當事人同意，或是有第二款至第六款的其他合法事由。廣義的理解是不只是第六條，尚包括所有涉及個資處理所要遵守的義務或要求，如資訊提供義務。多數見解是認為，於此的合法性僅指第六條，因廣義理解欠缺清楚的架構，且相較於基本權利憲章及德國法上的文義都是支持狹義見解。違反資料提供的義務，個資處理並不會因此導致不合法，最多衍生刪除義務、監督措施等問題。故在此將合法性理解成為必須取得第六條法令基礎，如使用德國法用語，第六條規定意指附許可保留的禁止，禁止處理個人資料，例外在第六條的要件下，可以為個資處理。另外，我們將公部門與私部門原則上於基本規則上視作等同處理，我認為這是一個很特殊之處，一般我們會理解基本權在公部門的適用會指向國家性，在私部門的部分會強調，基本權在私人之間至多是間接的第三人作用，惟於此，個資的保護鑒於私部門責任人的地物或是掌握程度不亞於國家，故將公司部門等同處理的構想，是個資法的特徵，也是具有水平效力基本權規範的意涵。第二個公正部分，於德文上是誠實信用，我認為誠實信用的理解上，德國學者認為與民法的誠實信用是不一樣，將之理解為截堵構成要件。當個資處理所受到的不利益，會變成是影響當事人與責任人之間整體地位的平衡關係時，會被認為是違反公正義務的要求。德國學者有特別提到是使用負面表列案例方式掌握有違誠信不公正的行為，如使用隱密的技術、間諜軟體、不比例的個資處理。原則上在此理解下功能較弱，是截堵構成要件為出發點。
在第一款的第三個要素－透明化，所指是個人資料的處理之任何資訊或通知應易於取得、易於理解且應已清楚簡易之語言為之。在此是大數據運用中很大的挑戰，透明化這個部分，大數據的特徵是盡可能沒有目的、廣泛搜集、蒐集的時間長，且能夠利用原先搜集目的外利用更方便，能夠隨之產出價值越高。一開始的搜集目的沒被確定下，而後要透明的告知個資主體就會有困難。在此部分，如何讓個資主體能掌握個人資料如何被處理，是大數據運用上很大的挑戰。此處會認為，越是資料量越大可以創造的價值越多，也會變成結構上越來越難以透明，導致告知後同意的機制很難運作。此情況下，這樣的主張會延伸出的問題是，當事人如請求知悉個人資料是在何種運用法下被掌握、被得出，當事人應如何行使。這樣的主張，如當事人知悉個人資料被大數據運用、分析，可以找到責任人，要求揭示個人資料如何被操作。另外一方面，在私部門而言會認為演算法、科技設計有營業秘密、投資保障，在德國法上強調會有企業秘密的問題，在此初步的解決方式，德國學者建議引進秘密審理程序，兼顧個資法的審查與透明性的要求，這是第一個基本原則上的討論。
（二）目的拘束原則
強調個資只能在特定、清楚且合法目的下始得被蒐集，且不得為與此目的不相容的方式再行處理。此具有直接效力，在比例原則上，在此目的匡限出的必要範圍內，才能為個資處理，即手段目的關係，資料最小原則即屬下位概念。此一目的必須於蒐集個資之時點即已確定，且不侷限於蒐集階段，而是直到目的實現為止。目的既已實現，原則上即可刪除，此即儲存限制性原則。從條文觀之目的變更原則上不得為之，目的外利用僅得於相容性審查下，始得為之。且責任人必須負有告知義務，俾使個資主體行使權利。
大數據在此也會有很大的挑戰，基本上我們會希望大數據的搜集是目的開放的，目的開放的情況下，能夠保存越久，日後可能想像的處理手段、演算法的程式能夠分析出的產值也會越高。大數據的分析原本就不希望有目的拘束存在，希望係以結果開放的方式預先儲存資料，亦即不特定之目的。如車輛辨識系統用作辦案工具即屬之。此理解與目的拘束原則是背道而馳的，會導致原本的使用脈絡偏離，以犯罪偵查的例子，會希望以辨識系統為辦案之用，在基本規則中並未有對於大數據運用有明確規範。簡單而言，基本規則對於物聯網、雲端運算、大數據都沒有規定，包括人工智慧。有提到的部分是目的變更的可能性，於此第六條第四項舉出三種目的變更的可能性。此為德國學者在探討目的變更與大數據運用上可能的解決模式。第一是個資主體的同意，第二是特別利用，於此為歐盟法或成員國法的法規。第三是相容性測試，必須與原先目的為相容的情況下。另外於第五條第一項B款有提到，基於公益所為之檔案目的、學術或歷史研究目的及統計目的，符合個資的目的拘束原則，也有學者認為大數據運用是符合此的統計目的之用。我個人持懷疑的看法，是否所有的大數據利用都可以被認為是統計目的利用，統計與大數據的分析有些差異，統計基本上是從既有的規則中找出，惟大數據運用不限於要從既有的規則中找出關聯性。
（三）資料最小原則
此原則與德國法上所說的資料節約或是資料避免原則是相仿的，此強調個人資料處理必須是適當、明顯並且限於處理目的所必要者。此原則是目的拘束原則的下位概念，另一方面，需收集時即為確定收集目的，同時於目的實現時，原則上即可被刪除，即處理目的限制了處理權限。目的本身其不僅要求處理之資料數量必須減少，同時也及於資料使用之數量；資料節約原則也適用於，所涉及之當事人數量應儘可能地降低。亦即「資料禁欲」。這部分與大數據資料運用也有相當程度的衝突，解決之道於德國法上希望透過技術上的資料保護措施，如去連結化（假名化）與匿名化措施，透過第25條及第32條的立法要求，回應大數據運用在資料最小原則的挑戰。
（四）正確性
當事人的個人資料必須實體上正確且必要時，須為最新的狀態；並可採取一切適當措施，就其資料處理之目的而言屬不正確時，可立即刪除或更正資料。這樣的正確性原則課予責任人義務，即必須要積極檢視正確性。責任人透過大數據分析或預測，剖析個人時，必須採取適當之技術或組織的保護措施，修正不正確的個資，並降低此等錯誤的風險，也會連結到第25條及第30條的部分。還包括在個資主體可於知悉的前提下，拒絕責任人或受託資料處理人所為之自動化決定（基本規則第22條）、更正或刪除資料。
（五）儲存限制原則
此原則指的是時間面向，只要目的達成時，原則上就應該解消。得以識別個人之個資只能就其處理之目的而言，有必要之時間內，始得儲存。依此，儲存限制原則係目的拘束原則與比例原則在時間面向上的具體化。技術上的資料保護措施：去連結化(假名化)與匿名化；第25條及第32條的立法要求。
（六）完整性與秘密性
必須透過適當之技術與組織之措施予以處理，以保障免於未經授權或不合法之處理、以防止非預期的洩漏、破壞或損害。此即「資料安全」之一般形式。除基本規則第25條及第32條外，尚及於第33條「個資侵害時通報監督機關」之規定及第34條「個資侵害時通知資料主體」之規定。
三、大數據分析中的合法性事由
合法性要件較特殊的是，與個資法不同，不區分搜集的是第15條或是第19條，或是目的外利用是在第16條或是第20條的方式。基本上在歐盟法上，僅在處理的概念下，沒有區分不同階段。即該合法性要件不只是處理時須遵守，要在整個處理的過程都需遵守。第二點是與我國法不同的是，並未區分公務機關或非公務機關，原則上皆須遵守，在具體要件設計上會有些差別。第三點是沒有區分不同階段，只是在處理的概念中。在第六條的合法性要件外，德國學者的討論上是窮盡且列舉的合法性要件，除了第九條特別針對敏感性個資，原則上合法性要件都是回到第六條。故第六條的要件設計上，與一般針對各種不同個資處理的態樣分別規定不同，使用概括條款試圖作為合法性要件，立法方式上是沒有區分特殊用途，這是一個很大的不同之處。
問題與討論（敬稱省略）
陳弘儒：
窮盡且列舉的意思是，除了該條所提及的六款外，不能再從其他方式導出合法性要件？
張志偉：
是，當然排除敏感性個資還有第九條。就我的理解，在歐盟法下整個處理階段都必須符合第六條規定。
續上討論
在法釋義學上還是可以找出兩個不同之處，因一個為公部門、一個為私部門，故在公部門部分受到的是禁止原則的要求，如要援引第C款及第E款，需有內國法的法源基礎，後面會再提及。第六款的一般利益衡量要件公部門也無法援引，可以看出有些差別。故在合法性要件適用各個階段，較不同的是第二款至第六款的合法性要件必須符合必要性原則，即符合比例原則，同意即無必要性原則的規定。另外，強調合法性事由是等價的，並不位階關係。即無需先取得當事人同意為優先的想法。最後一款的一般利益衡量，也並非為最後手段的規定，對於企業而言較有可能使用的是第一款、第二款、第六款，這部分可以分別觀之。
（一）同意
第一款是同意，當事人同意是資訊自決最典型的展現，當事人同意必須建立在，當事人已經獲知許用目的與責任人的前提之下。同時，被告知的時點必須是於同意前。另外，需符合自願性要求，必須符合當事人自主意識，在個案中受充分告知下，明確的指示下自願為之始屬之。故單純的沈默、預測選項為同意或不為表示，都不是同意。如有選項預設即為同意，必須要點選不同意，這是不行的。必須要明白表示同意，在個資法上才會被認為符合同意要件。原則上無時間上限制，同意後利用個資都是有效的，除非撤回同意。撤回後合法性要件即不存在，即不可為後續的資料處理。故目的達成或是目的解消時，是向未來失其合法性，另外於私部門常見的是，如同個資同意條款，如保險中的各種條約、用途，一長串條約內容，最後需點選同意。在這種定型化契約約款的個資同意上，會伴隨不同意即不給付，德國法上會認為可以援引定型化契約約款的審查，我國民法上也有類似規定，透過定型化契約約款的審查，確保同意性。在德國電信法中有提到連結禁止，如當事人沒有其他管道獲得等價的契約給付或其他管道對於當事人是不具期待可能性，就不能將給付提供與個資同意連結，在德國電信法上是有特別規定的。
問題與討論（敬稱省略）
陳為政：
當事人可以撤回同意，如果撤回同意即需將資料消除。如以人工智慧訓練一個模型，使用該當事人的資料訓練，當事人撤回，但我已經使用其資料訓練完畢，但是訓練出的參數仍在，是要重新訓練該模型嗎？還是可以保留訓練出的參數？
張志偉：
就我的理解，如可將個人連結消除，也就是你所得出的資料處理結果，不見得是可以還原、連結到特定個人，我認為即以達成刪除目的。也就是，我將同意撤回，故可以請求刪除的是原本個資，惟藉由此個操作出的成果，假使只要能夠刪除，個資成果無法再回復至特定個人，我認為這樣即可。至於技術上如何做，我沒有把握。
陳為政：
我的想像是，不太可能刪除後重新運作一個模型。
張志偉：
如果只是特定個人刪除，如撤回同意。
陳為政：
訓練完成後，我可以刪除你的個資，往後無法再使用資料訓練未來的模型。
張志偉：
我好奇的是，已經訓練出的模型還可以連結到特定個人嗎？
陳為政：
通常狀況下，是不太可能。
張志偉：
如果我要求要刪除原本儲存的資料？
陳為政：
原始資料可以刪除。
張志偉：
原始資料刪除的情況下，還有辦法從人工智慧處理結果得出原始資料是誰嗎？如不行，其實已經達成撤回同意要做的事。
何之行：
就我的理解，撤回同意應該是從撤回開始往後的時點，才會發生撤回效果，不會溯及既往。有個問題是如果今天，資料已經使用，做出的結果應該不會有問題。
陳為政：
比方說我使用你的資料，發了一篇論文，從論文是不可能連結到個人，如果你撤回同意我不可能從寫一篇論文吧。
李建良：
我較不清楚技術面問題，以人作為比喻。經過你的同意我檢視你的資料，檢視完資料後我學習到了，事後你撤回同意將資料拿走，惟該資料仍在我腦中。該撤回的意義只有在於，如果我尚未完全消化，撤回後就無法繼續使用。惟已經學到的東西，是沒辦法消除的，還是是需要消除的？即，撤回對於已經訓練出的結果到底有沒有辦法產生影響？
陳弘儒：
如建模完成，撤回同意的人要求將建模使用的資料拿出，這時建模全部的結果都會改變？
陳為政：
會改變。在大數據的情況下，一個人將資料拿走不會有太大的影響，惟如法律的要求是不能使用且是溯及既往的，等於所有的模型都必須重新運作。
陳弘儒：
因建模並非為0與1的過程，設定條件，靠經驗調整，在此過程中如果發現使用我的資料而未經過我的同意，要求除去我的資料，這是可行的嗎？即還在開發的過程中，並未開發完成，而我主張應該我的數據集全部拿出，假設每個人都這樣主張，不知是否可行？
蘇凱平：
我們最近經歷一個類似的事件，我與師大邵軒磊老師合作司法院刑事廳量刑計畫。司法院說因種種原因有幾個案件要抽掉，即我們的模型都已建置完成。具體影響在我們的案例中，依據兩個因素，一個是該類型的犯罪有多少樣本數，如果樣本數小，操作出的結果就會受到較大的影響，因為有些類型只有一千個案子。如果抽到兩個或三個案子，目前看起來影響不大。如果該類型案子只有一、兩百個，受到的影響就會較明顯，但看不出是什麼具體案件的影響。第二個是原本的偏差值有多大，原本所建立出的模型有些是較偏差的，如果抽掉幾個案子後，對於那條軸線的影響不大。如果原本在該線上，樣本數不大，又連續抽掉好幾個樣本在軸線上的，軸線的斜率便會有變化。
陳弘儒：
在法律上是否能這樣主張，如果我要求抽掉，對於你建立模型會有影響，我拿否這樣主張。
張志偉：
這邊的同意當然是限於同意取得個資，很多時候資料搜集不見得是同意取得的合法性要件，可能是透過其他第二款到第六款的事由，如果是這樣，與此沒有相關。一定是基於個資主體的同意下所取得的個資，事後撤回同意，事後向未來生效。我認為，已經操作出的結果理論上，在法律上不會有法律效果。對於大數據操作出的結果是否會有影響，我認為是運算上需要考慮的問題，這並非法律部門要解決的問題。
續上報告
（二）契約和前契約措施
債之關係下所必要的個人資料處裡，原則上我們在歐盟法上也會認為這樣是符合合法性要件。因爲締約或是締約前，類似前行為義務的個資資料處理，也會當作是符合的，在此包括所有與契約衍生出的債之關係，包括主給付義務、服附隨義務，可能推展的進程也算。在學理上較有討論的部分是，如果只是單方的債之關係，如懸賞廣告、中獎獲利，或是民法上好意施惠關係，在這種情況下是否能使用這款事由，容有討論之處。如不去深究細節，基本上這款事由要求必須要有必要性，必須符合、貼近契約目的以實現為必要，即個資處理與債之關係有實質聯繫。契約的給付或是內容必須仰賴一定資料處理時，才可以收集個資。這款事由我們會認為在古典契約樣態上不太會有爭議，惟新型態的服務是長期性，如智慧型電視，是長期個資處理問題，此部分會較難解釋是否符合這款事由，在此也會要求必要性原則必須更嚴格，因為使用時間是長期。
（三）法定義務
第三款是法定義務，責任人依法所旅行的法定義務亦可作為資料處理之合法性要件。在此非獨立合法性要件，必須有歐盟法或是其他成員國的法律基礎。這款在學者間的討論會認為有指令性質，必須透過其他法規範連結，可以想像在德國法連結上，包括像是交通許可或最低工資法。這款也要求必要性，法定義務的範圍內才可以為個資使用。
（四）生死攸關之利益
第四款是生死攸關之利益，如果看萬國翻譯是翻成重大利益。惟視德國的討論，照字意翻譯是生死攸關或對於生命重要的利益。參其舉例態樣，大部分都是與個人生命、身體有密切相關，我會較傾向翻成生死攸關，較凸顯出這款的特徵。這款事由較重要與天災人禍有密切相關，在這種情況下的個資索取，當事人不見得有能力同意。援用這款的情況，當事人可能已經無法表達同意，此要件有點類似於推測同意的態樣。限制上，有學者認爲援用必須是非敏感性個資，且當事人無能力行使自主決定權，即無其他合法性要件，才可使用這款事由，必須要符合推測同意內涵。
（五）公益或執行公權力
第五款是公益或執行公權力，這款是公部門資料處理的核心，與第三款類似，即必須有具體的歐盟法或是成員國法才能連結此款作為合法性要件，故此款也會有指令性質的特徵。在此重點是公務的履行，因此這款事由並沒有要求供行政機關，如果是私人處於委託行使公權力的情況下也可以援用此款。重點是內容，而非身份別，包括職業工會、私法人都可以援用此款作為要件。在德國法上的政黨、宗教團體也是可援用的要件。
（六）責任人或第三人之正當利益
第六款是概括事由，指涉的是必須為利益衡量。個資處理是必須為資料人的正當利益所必要的情況下，只要個資利益沒有優先於責任人或第三人正當利益，就可以援用。是非常廣的，德國學理上會認為是核心的衡量條款。優點是彈性，因為指示操作利益衡量。而缺點是在於優點，因為太彈性。第六款的這些要件底下，第六款是窮盡列舉的性質，不可避免地會有概括條款，否則無前面幾款的合法性事由時，就要放棄個資運用，可能會對於個資資料流通有疑慮。故在此款會要求必須做私人利益與私人利益的衡量，為何沒強調公私利益，因機關履行公任務是無法援用此款，是典型的古典衡量法上的要件。限制是不能是機關在執行行政任務所為的資料處理，如機關是以私人主體的身份參與法律事務時，可以適用，如行政法上私經濟行政，即可援用。不拘泥於身份類別，而是視其任務型態。
四、大數據應用在個資法上的總體評價
在此的立法模式不是針對特定情境或是特別領域資料處理之實質合法性規定，是以抽象方式，所謂一體的方法適用合法性要件的立法模式。故會造成法律適用者的挑戰，德國學者也有批評，對於法適用機關是很大的挑戰，因伴隨很大的裁罰，解釋上的不安定性應盡可能排除。個資的監理機關必須提出對於個資立法上的解釋，類似解釋性行政規則的理解方式。在大數據的運用上，也強調必須遵守一般的個資保護的法規與具體個別的特別法。故也適用在個資法上的一般禁止原則，即原則上禁止蒐集、處理、利用和儲存個人資料。如個別領域有大數據運用的需求時，可以另訂合法性要件。在德國學者介紹上，認為很多個吃討論的熱門議題沒有處理，是較簡化的立法，是第五條與第六條所遇到的質疑。我認為是，但立法模式並非用在特別情境，可以想像在德國個資法或反觀台灣個資法，也是類似情形，即使用抽象構成要件體現合法性要求。
適用上可能面臨的問題在於，與基本權所衍伸的衝突，如目的拘束、資料最小、資料匿名、資料節約與透明原則等扞格之處。故會導致，如使用同意作為合法性要件，目的外變更時，很難再找到當事人在要求重新取得同意。另外，有規範大數據運用是在第89條提到，基於公益的檔案目的、學術研究、歷史研究或是有統計目的的例外條款，會涉及較簡易的認定目的外利用、目的變更情況，或是儲存時間會變長，或是請求刪除的權利會加以限制。這是基於學術研究、檔案目的或統計目的的特性，而給予的特權或優惠。類似疑慮在我國個資法也會有同樣問題，大數據運用時責任人無法履行告知義務，同時搜集目的消失後不得持有、處理、利用的規定，很難想像與大數據連結。另外，特定目的運用上很難配合，很難為拒絕權，其他當事人權利在大數據運用上也很難貫徹。
參、可能的解方
一、匿名化或假名化作為解方
這裡會有的疑慮是，是否能透過匿名化、假名化的方式做，取決於對於這些概念的掌握。在法條中都是以「無識別可能性」、「無從識別」為規範，惟「無從識別」觀法務部的相關資料，其實是大數據運用提供給其他公務機關或是學術研究機關，重點是研究成果發表時依其呈現或揭露方式無從識別。內部的傳輸、交流或是傳遞給私部門，都沒有要求須匿名化，而是在最後的階段成果發表時才要求要阻斷識別可能性。這樣的理解會與匿名化要求差很多，法務部只要求成果發表時無從識別即可，頂多是去連結化的假名化措施，並沒有達到匿名化的要求。我認為國內在討論去識別化、匿名、去連結、編碼、加密、假名化，這些概念每一個用語的使用是不夠精確。有個學者提到去連結就理解成為匿名資料，對照前面提及個人資料的理解，個人資料的相對概念是匿名資料，也就是匿名資料是沒有適用GDPR的。如只是連結或代碼，惟既沒有分開儲存，也沒有同一個當事人間，同一個責任人是否可同時持有連結或代碼符號，這甚至連假名化都達不到，我們似乎認為將之圈選之即為匿名資料。我認為並非正確，但我們也沒有照敏感程度區分資料層級、不同的保障程度、去識別化技術設計不同層次，這我認為也是有疑慮的。實務上對於匿名化、假名化的使用非常腐爛，但對其實沒有定義的，這是很大的問題，我對於第一個解方是有疑慮的。
問題與討論（敬稱省略）
何之行：
我可以理解去識別、假名化完全沒有達到匿名化的程度，關於去連結在台灣法律的規定中，有人會認為去連結就已經像是歐盟定義下。去連結與去識別的標準在於去連結必須做到已經沒辦法直接或間接使用，人體生物資料庫管理條例是說已非連結的方式保存。
張志偉：
只要還有連結可能性我們會認為還是不足夠。
何之行：
如果是已經將資料處理到所謂去連結，他們有共識是這樣的資料有點像是匿名化資料。
張志偉：
但是他的回復可能性有多高？再連結化的可能性有多高。
何之行：
台灣規範不像美國HIPAA那麼清楚，不管技術上做不做得到，規範就認為是，也未清楚規範假名化的個資還是個資。我們是使用去識別化，卻不知道如何做。
吳全峰：
我認為是術語問題，因為美國使用deidentification，可是美國的deidentification與之行說的一樣，HIPAA是十八個，可是不同的法律下規定，去除的變量不一樣多，故他們使用deidentification。可是他們另外有一個術語是delink，台灣翻譯成去連結，但delink在美國的定義是永久無從連結，但是有「永久」，類似台灣人體生物資料庫管理條例的規定是永久無法回復的狀態。假設照該定義理論上用語anonymization是類似的，惟歐盟的anonymization也並未走到如此極端，因為歐盟的anonymization不認為有永久無法識別這件事。故歐盟的anonymization認為是時間、資源允許的情況下，是無法再回去識別。台灣的狀況是人體生物資料庫管理條例有界定delink，可是在細則中的delink又認為編碼可以達成delink的效果。在實務操作上常使用編碼，就認為達成delink的效果，與之行所說的一樣，衛福部針對此是沒有任何的解釋的，當一個研究者拿一個編碼問是否有達成delink的效果，我們無法認為沒有，問題在這。
何之行：
不只翻譯問題，每個用法都不一樣，我們沒在規範上像是HIPAA或是GDPR給予一個清楚的線，或是技術上可以做到，但是規範上定義，我們都沒有這樣做。
劉靜怡：
我會認為有些基本規定，故接下來的施行細節或是指導原則本來就有很好的機會，將這件事釐清，但是主管機關故意混淆，問題是在這。
吳全峰：
以個資法的規定而言，是無從直接識別或是間接識別當事人，這是法律的規定。如無從直接或間接識別當事人，事實上與GDPR的規定是非常類似的，GDPR的anonymization的定義也是無從識別當事人。可是GDPR下並未給出如何達成的方法，HIPAA的十八個也有可能是這種方式。到了其他法律時，好像變成只有HIPAA才是去識別。狀況是，HIPAA的去除十八的identifiers不一定在所有狀況下都是無從直接或間接識別當事人。假設是資料量夠大時，說不定十八個是不夠的。故歐盟是一個概念匡列無從直接或間接識別當事人，我從其他方式檢驗是否可達成該要求。美國的去識別化較類似給予一個標準，如達成該標準及回deidenfication。台灣的概念混淆，在個資法規定無從直接或間接識別當事人，要達成時又將如十八個方法套入，而未給予風險值。我會認為台灣的狀態是硬是湊在一起導致這個縫隙。
李建良：
我有個方法論的問題，前面都提及GDPR，而後進入可能的解方。可能的解方的第一個問題是匿名化或假名化，這個的問題設定是放在歐盟的法秩序下，卻切換到台灣的法秩序，問題是如何從第一個問題就切入至我國的個資法？所謂術語的問題基本上是涉及特定法秩序，在該法秩序下理解後再去評價，做為問題解決是否能達到目的。可能在順序上，應先談匿名化或假名化在歐盟的GDPR體系中，是否可以作為一種解方。我們的規定是在GDPR之前所訂定，故使用GDPR的規定看我國的個資法，只能夠談是否遵循或是繼受的問題。
劉靜怡：
較合理的比較點是，比較1996年的EUW。我們在第二個版本的個資法，嘗試想要模擬該精神，事實上立法者修改，加上行政機關施行細則與解釋將之扭曲。
李建良：
在GDPR的法秩序下，還是一個問題。即二分，如是匿名化或假名化不在GDPR的適用範圍，將之切斷，惟切得沒辦法完全斷。不是百分之百完全不可能，這個規定在歐盟法秩序下可能就是一個問題。在歐盟的法秩序下不會是解方的情況下，我們要引進或做對照時，是否有可能做得比歐盟更好，如果我們繼受歐盟的規範，可能也會將問題繼受。如果真的要比較這個部分，應比較1996年，惟1996年與現今GDPR又有進展。
劉靜怡：
較公平的比法是，將現行的個資法比1996年的EUW，個資法修正草案拿來與GDPR比較。
林勤富：
現在看到很多的名字，其實有些是法律規定的結果，有些詞如編碼、加密是達到某種結果的方法，有可能達不到該結果。現在將之混用，施行細則將用了這個手段，是為符合該結果，會有錯誤的配對，是因為法規制定包含GDPR，其實都不了解技術的極限或是技術了厲害。如將結果規定在法律中，永遠沒辦法達到該結果，因永遠都有辦法回溯識別該人。如法律不管技術，要規定該結果是永遠無法識別該人，該結果是沒有用的。除非如同美國使用手段，符合一定程度，對他們而言即為符合HIPAA規定。會變成，第一不能將手段與結果混合，否則將會產生現在這種情形。另外是從技術層面，將結果、想要達成狀態訂定在法律當中，也許在技術上是不可行或是沒有用，如果還是要將結果訂定在法律中，執行上會有問題。
劉靜怡：
可以想像為何會這樣做，立法者說不得直接或間接識別個人，目標是這樣，無論實際上是否得達成。於是，行政機關在編施行細則時，開始自行想像、拼湊，如果這樣就已經等於不可以直接或間接識別，但這並不是。所謂不可以直接會間接識別個人，基本上可能是要維護資訊自主權，即無法識別個人，自主權就有一定的保障程度。施行細則、函釋的內容，其實是行政機關自行填充後的結果，行政機關不知道可以找到何種東西是百分之百無法識別出的。除非行政機關自行承認技術有限，但他們並不會這樣做。又被逼著必須有那些不可及的技術，可能在立法架構下就是要去修改，因為這樣的架構必然會產生問題。反而大家在細節或是末端想盡辦法要解開結的結，結果是往上掏空搶想要追求個資保護的目標，函釋的結果就會是，所有東西都可以不是個資。
何之行：
有個規範上的問題是，美國HIPAA的好處是規範上定義很清楚。但他其實在大數據時代開始後被批評得十分厲害，因為完全無法處理reidentify，而且有很多案例發現HIPAA很容易被reidentify。立法上應追求規範上讓實務可以很清楚操作，還是應反映技術是一直在革新。歐盟提出隱私風險評估，反而是希望是透過此處理這個問題。
李建良
就上述討論可以得知，這可能不是一個好的解方，不管是哪個國家或是法體系。
吳全峰：
後來美國與歐盟事實上並沒有差得太多是因為，以美國HIPAA而言，是有決定空間的。不是HIPAA十八個手段是死的，而後還要風險評估。美國專家當初決定該十八個時，是有做過風險評估的。做完的問題是沒辦法選「值」，故後來選出十八個是某種程度在不得已的情形下，故是有風險評估的。歐盟在匿名化的部分，實際上是假設某工具在風險評估上可以達成某效果，即可以認同該方式是可以的。又以編碼而言，台灣的編碼以身分證字號編碼，基本上很容易被編碼。惟如編碼加上後面二十個選項後，編碼又可能容易被破解。編碼是工具，不是結論。去連結在人體生物資料庫管理條例中規定，在細則中提到去連結可以以編碼方式達成，理論上是以編碼方式達成去連結的法律定義，但在操作上變成，既然想要編碼，即編碼，但不會再檢視與法律本身去連結定義的連結。
劉靜怡：
施行細則於我而言即已超出母法的授權。
張志偉：
歐盟法在法條上，本身只有匿名與假名，甚至匿名根本沒寫，GDPR中找不到匿名這個字。但學理上、實務上都認為匿名資料就不是個資，所以只有規定假名化，假名化方式可以編碼、加密等達成，這個部分也沒有這麼多概念在條文中。令一點是，強調這樣的假名化方式使用代碼或編碼操作，應是要分開保管，組織上保存技術，實際上情況運作如何我不清楚，惟我國連分開保管都沒有要求，這是我認為達成的風險本身是滿高的。
續上討論
二、透過科技形塑以及對資料保護友善之預先措施
在歐盟法上有很多討論的是，透過預設著手保護，透過設計著手保護，及在前階段就進行保障，要求義務人要採取適當技術性及組織性措施確保。實際實務上是否能達成是另一件事，這是我認為應努力的方向。
三、由資料負責人與監督機關負起個資保護責任
第三是要求由資料負責人與監督機關負起個資保護責任，要求公司具有一定規模是有資料保護專員，保護的後果影響評估、定型化約款的審查。我國學者有提到，在演算法結構上、認定上要討論，演算法的要求是否有符合個資法，原則在監督機關的理解上，只要事後控制即可，有特別提到針對敏感性個資演算法的審查，認為需事前審查。最後驗證與驗證機構制度，我看到我國翻譯上都翻譯成認證，如果看原文，將像是公私部門協力的機制，故我認為應以驗整理解。
四、當事人權利的強化
強調在基本規則第22條有自動化決定的自決權，此部分是在歐盟法上談論大數據、演算法上很重要的一環。要求如個人資料是被自動化處理而做成，對於當事人具有法律效果或是顯著影響時，可以有拒絕權。拒絕權實際上如何操作，是下一步我想要研究的部分。當事人之資訊請求權、更正權、刪除權、限制處理權、資料可攜權，都是歐盟法下想要強調個人自主的空間。
肆、結論
我認為個資法應配合修正，因之前參考的對象並非現今的GDPR，要爭許適足性、認證時，我認為有再修法必要性。另一方面，專業法規上的授權條款也是必要的，個資保護不會只有在個資法中達成，需要其他專業法規的授權條款，更嚴密、詳細的合法性要件的審查，這部分我認為是可以降低大數據影響下的個資侵害的風險。
問題與討論（敬稱省略）
李建良：
第一個，現今真的適用GDPR的案例有多少？產生的案例似乎少。第二個，規範是對各成員國有直接拘束力，真的要適用時還是必須要轉換成內國法，如同剛所提及第六條，如何轉換成真的各成員國可以適用的規定，都還是需要轉換成內國法。那些案例是否是因內國法產生？美國就有不等的案例，因為範圍較清楚，主要是在醫療方面，惟談及GDPR時，似乎只是在學說上全是該規定。
劉靜怡：
有個網站為GDPR Enforcement Tracker，我不確定他追蹤到多完整的案件內容，該網站將每個國家、時間、裁罰對象、裁罰金額、適用GDPR哪條規定整合，該網站更新最近的日期是11月。歐盟有使用GDPR進行裁罰，至於案件樣態需進一步分析。
林勤富：
我有方法論上的問題是，志偉是以法釋義學角度解讀報告，在GDPR條文的解釋上，許多部分都以德國法作為基礎，並非比較，而是以德國法進行解釋，是有任何特別之處嗎？因為我對歐盟法不熟悉，是有任何方法論上的考量嗎？
張志偉：
一部分是因為德國的個資保護較早發展，擁有全世界最早的個資立法、最早的憲法裁判。德國學者也談及德國對於歐盟的影響，與歐盟對於新的個資法立法影響的反饋。我手邊的註釋書都是德國，這是基礎的限制。另一方面，觀GDPR對德國的影響，與德國學者討論GDPR與德國法的差異，基本上參與立法及其影響，我認為德國在整個GDPR的立法過程中是扮演很重要的角色。我的理解是基於德文的掌握及德國立法本就是歐盟立法的參考對象之一，在德國學者的討論中，註釋書是分兩個部分，前面是德國學者寫有關GDPR，後面是德國學者寫德國個資法，所以在GDPR的討論上會反覆援引相同或類似概念，在德國的個資法上要怎樣的規範、不同之處。我藉由比較，更掌握在GDPR的適用與德國內國法適用的差異。
林勤富：
比較可以理解，但以之解釋GDPR，可能需要較多的證據有關GDPR在立法過程中是如何參考德國法。
李建良：
補充兩點，第一個，剛剛志偉提到GDPR受德國影響很大，在立法過程中扮演重要角色，而後呈現出的條文可能看不出來。第二個是，GDPR通過後，德國修改其國內的個資法。德國的個資法與GDPR幾乎一樣，條文幾乎複製，對照GDPR在許多地方是無法直接操作，尤其是第六條，如果要有可操作性，必須轉換。既使如此，德國個資法中的文字與GDPR的規定，經修法後很大部分雷同。
劉靜怡：
剛剛報告使用德國法原有的觀念解釋GDPR，可以想見，應是GDPR的立法過程中德國或是受歐陸法治教育的學者的眾多參與。如果看英文的註釋書，即英國的註釋書，因為是英國學者，故會用許多英國的個資法上的概念詮釋，我認為是無可厚非的事。我好奇的是，歐陸在GDPR施行後，有無學者研究是否有帶動歐陸國家修內國法、個資法的風潮，如何修訂？這對於台灣而言是有幫助的。
張志偉：
從GDPR第一條就有提出人格權保障是GDPR的保護核心，此人格權的概念次從德國法發展而來的，德國法在舊的個資法就是列出人格權保障，人格權保障是德國個資立法上很重要的核心。這就是歐陸與英美法上理解的不同之處，歐陸以我熟知的德國法是強調避免人格被掌握的人格權保障作為個資保護的前提。故我認為其實是將人格權的保障前移，移到人的個資被掌握時，就已介入規範。另外，成員國的部分，GDPR中有一個開放條款，即開放給各個成員國要立有別於GDPR的規範時，必須修內國法。
劉靜怡：
因為沒有使用該開放條款，會變成GDPR所有規定都必須適用，對於成員國而言會是滿大的災難。
張志偉：
故真的要掌握成員國法與歐盟法之間的差異，從開放條款的列表分析授權為何，這是可以努力的方向。
吳全峰：
結論中提及剛開始同意時沒有具體目的，可能難以達成，此處會造成問題。我好奇的是，GDPR中是否有規定在同意時需有特定目的嗎？還是是廣泛同意？如是廣泛同意，應不會構成在應用上的困難。
何之行：
因為GDPR有很寬的科學例外條款，對於科學研究的目的擁有很寬的空間。
張志偉：
在GDPR第89條中也有規定。
李建良：
目的拘束原則是GDPR中的核心概念，第一個問題是目的何人設定？第二個問題是，如果目的的設定可以很廣泛，目的拘束原則如何實踐？
蔡政宏：
如果要有特定的目的，需目的開放，因為我想要將人工智慧為最廣運用。限制這麼多會讓數據難以使用，故目的開放，剛剛有個儲存限制就是無限，不停搜集，將來需要使用時即可使用。這是為達到數據最好利用，在此情況下，是否都滿足了剛剛所說的這些原則？
張志偉：
我認為這樣是會違反的。大數據運用上雖有這樣的需求，但在GDPR第五條與第六條並沒有放棄，針對大數據運用即開放。故大數據運用必須還是要符合剛剛所說的目的拘束與資料最小要求，只是會有例外條款，如學術研究、檔案目的等。接著，例外條款的解釋上輻射範圍可以多寬？我認為是需要討論的問題。必須回到這些例外條款當初設計的目的，為何有別於其他目的討論。如讓我評價大數據運用在GDPR下的影響，我認為較可容許的部分是例外條款的部分，另外還要取得同意，這也是可行的方式，但我認為有些困難。以大數據的運用而言不太可能，或都是制式同意。
蔡政宏：
這會連結到剛剛李老師所問的問題，目的有無實質、形式、抽象的？
張志偉：
目的拘束一般而言，都會是收集個資的責任人需界定，或是法定事由，也就是援引的是第六條的哪一款。如第一條是同意，即就同意範圍界定，如是債之關係，就是依債之關係。如是執行公務，即為公務所需，不會延伸。
劉靜怡：
且該公務所需，必須有授權的公務，有特定的法律規定，即一定要有作用法。這就是為何會說不可以個資法作為基礎，因個資法並非作用法。
林昕璇：
一、張老師有提到個人資料與非個人資料的區分，想請問，在美國的通訊電信上會使用content data與non-content data界定資料類性，content data 及指涉通訊的內容，non-content data指涉通訊的時間、地點與方式。這會連結到metadata的概念，content data與non-content data在通訊電信或是個資的脈絡下，或是metadata這種法律術語的使用，在德國文的文獻或是在歐陸法是否有對應的法律體系。
二、基本權利憲章與GDPR與內國法歸，最近新南威爾斯法院有針對人臉辨識的判決，該判決援引的法律依據，首先就提及歐洲人權法院公約，接著援引英國的Data Protection Act，似乎沒有在判決中提及GDPR或是基本權利憲章。我不確定在歐盟系統下，法律位階次序是如何區分的？
三、目前歐陸在公私部門在處理個資保護的合法性要件時都有區隔的現象，美國法是會將私部門比喻成如同Google、Facebook那樣有準政府的地位，或是透過國家私法行為類比成私人科技巨擘已經形同政府的地位。在歐陸法對於公私部門混同或是公私部門協力，為何可以直接推論對於私部門的管制應該要達到如同公部門的強度，而非如同美國法仍有次序、位階上的區隔。
張志偉：
在我所知，如只是掌握通訊中的時間、地點、方式，還是可以連結到是特定個人，還是會被歸類在個人資料。這邊所說非個人資料的部分是事實資料，比方天氣、地理位置是非個人資料，如是通話還是可以連結到是誰，該電信法上的資料還是個人資料。
第二個部分，人權公約在德國法的理解上是國際法，並非歐盟法。在德國會將歐盟法與國際法區分，而新南威爾斯的判決不知道是否表示不受到GDPR的限制，還是引人權公約？
林昕璇：
似乎是因為英國已將GDPR內國法化，我不知道是否是因為這樣忽略援引GDPR？
張志偉：
如果只是談權利位階，GDPR較多是在組織程序、當事人權利、合法性要件上討論，在第一條立法目的上只有概括的提到人格權保障，反而沒有做太多的基本權上的證例或是論述，可能也有這樣的背景也不一定。第三個公私部門的部分，德國學者有提出在個資保護上基本上公私部門都要納入管控，但是也不是完全沒顧及到私部門之間的差別，在私部門時會提到微型的企業體、遵守要件、組織程序、技術上措施等，就沒有如同公部門般強力要求。如個資保護專員的設立，就沒有規定每一個私部門無論規模都必須設立個資保護專員，是透過合法性要件。但是在細部的要件設計要求上會做調整。
何之行：
我原以為新南威爾斯的個資法可以做為作用法，後發現其實是用警察法作為人臉辨識的法源。
李建良：
上述提及第六條的合法性原則，以公法思維，合法性原則必須區分為幾個層次。第一，是否有法律依據。第二，與法律規定是否相符合。第三，法律是否有直接課予特定義務。看起來似乎都在第六條當中，新南威爾斯的問題似乎為是否合法的問題？依據為何。這裏沒辦法直接引用GDPR，該法院認為是可以的，警察法規定可以包羅警察在大型廠合作的人臉辨識。問題在於，有無法律規定，這個部分似乎沒必要拉到第六條討論，法律保留的問題不是第六條最主要的規範。
張兆恬：
GDPR第二條有排除GDPR適用範圍，包括公部門為了犯罪偵查、預防等。會不會是人臉辨識被當作是犯罪偵查、預防之用。
張志偉：
我的理解是，因為有特別立法，故在GDPR中沒有規範。或是在歐盟法上有特殊犯罪追訴的指令，故未在GDPR規範，不是因為已經符合其他規定，而是基於分工。
劉靜怡：
不同指令之間分工，而並非排除犯罪偵查的適用。因為難以想像，如解釋上是這樣，國家可以大幅度膨脹犯罪偵查的需求。
李建良：
而且並非只是犯罪偵查，可能是預防性措施。 問題還可以繼續討論與延伸。感謝志偉老師的演講與各位的發言。
