爲了抑制冠病疫情擴散，其中一項防疫措施是追蹤密切接觸者。
大數據在許多國家成爲重要的防疫工具，新加坡也不例外，研發和推出“合力追蹤”（TraceTogether）應用及SafeEntry訪客登記系統，以加強追蹤工作的效率。
其中，合力追蹤應用記錄手機用戶接觸其他人的數據，引起有關侵犯隱私的討論。
最近一項調查顯示，對于跟當局分享與病患接觸過的信息，122名受訪者中超過半數認爲毫無問題，但仍有不少人覺得隱私被侵犯。
從法律角度來看，民衆在疫情面前是否完全失去了個人隱私權？
政府所掌握的個人數據是否有足夠的法律保障？
本期《說法識法》邀請瑞德律師事務所（Dentons Rodyk & Davidson LLP）知識産權與科技部高級合夥人梁清龍律師、立傑律師事務所（Rajah & Tann）科技、媒體和通訊部副主管兼合夥人陳慶裕律師，以及英國倫敦智庫戰略網絡空間與國際研究中心亞太區執行副總裁張潤才探討。
爲了更好地對抗像冠病這樣的傳染病，法律賦予政府一定的權力要求民衆配合抗疫工作。受訪律師和網絡安全專家認爲，合力追蹤應用的設計和推行兼顧了個人隱私、數據保護和追蹤工作的需要。
瑞德律師事務所高級合夥人梁清龍律師受訪時說，這個應用屬于自願性質，用戶注冊後即表示同意應用收集數據。
他說，盡管法律不強制政府收集數據時取得民衆同意，這段期間又有傳染病法令授權，衛生部還是征求用戶的同意，才把數據上傳到政府伺服器。“雖然對應用的擔憂可能不是毫無根據，但是政府似乎正采取步驟確保個人數據獲得妥善處理。”
網安專家張潤才認爲，應用數據都經過加密，如果沒有從衛生部取得正確解密鑰匙，即使黑客獲取數據也不能解密。“這項措施避免閑雜人等任意讀取你的資料，或自己在玩弄手機時不小心泄密。”
關注私人機構阻斷措施前 如何收集與保護訪客數據
合力追蹤應用記錄的身份數據只有用戶手機號碼和匿名的用戶名，立傑律師事務所合夥人陳慶裕律師認爲，這顯示政府非常謹慎，盡可能在絕對必要時才收集個人數據。
他反而更加關注私人機構在病毒阻斷措施實行之前如何收集訪客的個人數據，以及所采取的數據保護措施。
張潤才說，這世上沒有完美的解決方案，合力追蹤應用是應景而生，是當疫情已進展至社區感染的橋頭堡。“它主要的功能是識別個人的社交和朋友圈，基本上是公開隱私，問題是民衆是否在意他人知道自己的朋友圈。”
梁清龍指出，當局還是給予民衆相當大的主動權，允許用戶隨時通過電郵撤銷同意；當局一旦根據要求刪除數據，該用戶的手機之前與其他手機交換的數據就會失效，無法再追蹤到用戶。
張潤才認爲，目前美中不足的地方是，經過新加坡保健服務集團網襲事件，衛生部的網安能力備受爭議。不久前，衛生部因電腦系統測試故障，誤發確診短信給357名病患，是另一個讓人無法放心的理由。
“雖說須得到用戶同意，衛生部才能提取數據，但是應用是沒辦法防禦有心竊取者或者黑客的入侵。”
歐洲國家用戶掌控個人隱私權
此外，傳染病法令規定，確診病患必須配合當局的追蹤工作。這也意味著與病患接觸過的人，如果手機安裝了合力追蹤應用，衛生部將讀取他們的資料，這些人的個人隱私也由不得自己管控了。
張潤才說，有關安全措施都是由衛生部啓動和控制，相比之下，在意隱私保護的國家如歐盟，都偏向把控制權交給用戶而不是有關當局。“當地專家建議，建造任何系統的策略是越分散越理想，把控制權歸還給用戶。”
問及面對大流行病或恐怖襲擊等重大事件，民衆配合政府的工作，是否意味著保護個人隱私變得次要？他說：“凡事不能兩全其美，只有你更想要的是什麽。凡事往往不得已而求其次，我們也不必鑽那個牛角尖。”
張潤才也發出警惕，不管疫情是否已結束，相關數據如果涉及隱私問題，最好不要隨便列入公衆數據庫以供研發或企業使用。“是否過度收集數據的問題，或者事後把應用和數據導入不同的用處，我們是沒辦法控制和監管的。主要還是那一句話，你相信你的政府嗎？”
“合力追蹤”手機應用
“合力追蹤”是一個手機應用，用途是協助當局進行追蹤工作，以減少對個人記憶的依賴。衛生部在追蹤過程中，如果聯系上一名手機用戶，他就能夠把應用收集到的資料傳給衛生部。
應用通過手機藍牙信號，把不同用戶何時接觸彼此記錄下來。它沒有收集位置數據，並且需要兩台或以上手機持續30分鍾維持在兩米距離內，手機才會互換手機藍牙信號。
另外，應用只記錄用戶在過去21天近距離接觸過的人，而數據會以加密形式存儲在手機內，不會自動上傳到政府伺服器。
私人機構企業在哪些情況可使用個人數據
個人資料保護法令（簡稱PDPA）是我國保障個人數據的主要法律，但公共部門不受這項法令管制。
換句話說，政府未經個人同意而收集、使用和披露個人資料並不違法。傳染病法令也授權衛生部醫藥服務總監及有關官員要求任何人提供所知範圍內的任何信息，或提供文件和記錄等，以讓當局調查疫情，阻斷病毒蔓延。
至于私人企業和機構，根據PDPA，合法使用個人數據的條件是取得當事人的同意，而且只有在非常有限的例外情況不受管制，包括出于國家利益的需要，以及應付威脅個人或他人性命、健康或安全的緊急情況。
冠病疫情符合這兩種情況，因此購物中心和商店等可爲追蹤接觸者的工作，不用征得對方的同意。
公共部門受政府條規約束
陳慶裕說，主要數據保護法僅適用于私人機構的做法，新加坡並不是唯一這麽做的國家，而政府的規章彌補了這一空白。公共部門還是受到公共部門（治理）法令（Public Sector（Governance）Act，簡稱PSGA）和政府指導手冊（Instruction Manual 8，簡稱IM8）等條規的約束。
公共部門（治理）法令將公務員未經官方許可披露個人數據、濫用數據的行爲定爲刑事罪。梁清龍指出，若有關數據已用作追蹤接觸者的用途，可被視爲“官方信息”，而同時觸犯官方機密法令。
如果觸犯公共部門（治理）法令，將由總檢察署決定是否提控，當事人無法起訴政府。
不過，政府去年11月全盤接受公共機構數據安全檢討委員會的建議，提升公共部門數據安全後，最近設立了舉報數據泄露事故的中央平台，讓個人可以行使追索權。
受訪律師指出，我國隱私體系在個人享有保護數據的權利，以及組織收集、使用和披露個人數據的需求之間取得微妙平衡。
梁清龍說，正如檢討報告所指出的，這個制度還有可改進的空間。“政府接受這些建議，並會爭取在未來一到三年內落實，顯示政府願意不斷評估和完善新加坡的數據保護機制。”
陳慶裕也說，本地的數據保護法規將繼續發展，不久將對PDPA進行修訂，目前在征詢公衆意見。其中一個重要的修改內容是制定強制性的大型數據泄露事件通報機制，以更好地保護個人數據。
張潤才認爲，歐美是全球兩大隱私保護領航者，但是他們的基本理念和對隱私的诠釋有所不同。“這是受風俗、文化及法規等因素影響，沒有所謂最好的，只有最適合的法規。我們的隱私保護法規甚至體系，必須考慮天、地、人的因素而與時俱進。”