何建明／中央研究院資訊科學研究所研究員、呂忠津／清華大學電機工程學系教授、李育杰／交通大學應用數學系教授、廖宜恩／中興大學資訊科學與工程學系教授
生活在數位時代，安全和便利往往不能兩全，例如，當前在註冊新服務時，時常得通過多重身分驗證，正是當代生活不便利的重要特徵之一。此外，安全與隱私也時常有扞格，越安全的服務，往往越要求精準的身分認證，從而個人相對於服務提供者，就越無隱私可言。在當代數位社會中，安全、便利與隱私雖不必然是互斥的概念，但當它們無法兼顧時，則人民至少應保有選擇的自由，而非任由政府以有義務便民為名，強迫人民接受特定類型的制度。
政府在換發數位晶片身分證時，宣稱其「有義務」提供人民更安全及便利的選擇，就是一個數位社會中，政府剝奪人民自由，打算嚴控人民的惡劣示範。
在面對安全、便利與隱私的考量時，政府與其不斷以「提供人民更安全及便利的選擇」為說詞，我們更期待政府在宣揚安全的時候，說清楚eID政策給人民帶來的風險。例如政府應向人民說明，依《戶籍法》第56條強制個人隨身攜帶這張形同個人全副家當的eID卡滿街跑時，萬一遺失而導致身分被冒用，該如何善後？過去是由政府櫃臺人員負責，確認身分，幫忙處理補發申辦作業和更新資料。未來，不須透過櫃臺人員，個人得以憑證，自動辦理行政流程，萬一身分被冒用（例如遺失eID，密碼被破解）而衍生風險和損失，在欠缺周密配套的法律規範下，究竟如何妥善處理？
又或者，當政府恐嚇人民，只要不取得eID就不能行使《憲法》保障的投票權時，試問政府是否也應一併向人民交代，選擇使用eID、並享用各種線上服務的「便利」的同時，又將會承擔哪些風險？例如在台灣這個習慣把身分證件交給別人代為處理事務的社會裡，使用eID，是否也就交出了個人資料被閱讀和修改的可能性，還是政府要不顧人民的生活習慣，堅持要人民自己承擔風險？
此外，eID一張卡將直通16項原本由不同政府部門分別管理的政府資料庫。這些政府不同單位所管理的資料庫們，本來不必然須用同一支鑰匙開啟，但發放eID後，只剩一隻鑰匙將是完全可預期的事。資料庫涉及諸多個人資產和權利等敏感資料，自然也將同步開啟這些資產和權利受到損害的風險 。
也因此，我們完全無法苟同內政部「政府有義務』的說法。政府的便民服務，本不該強迫人民接受。更何況，身分驗證制度縱有便民之處，亦同時有監控之實，政府在未能落實個資和資安法定保護義務的情況下，何來勇氣侈言義務？「政府有義務」的說法，充其量只是偷渡威權萬能政府時代的恩典邏輯，痲痹人民的思考能力。政府若真重視個人隱私和資安保障，何以不顧一切要仿效中國政府的治理模式，強迫人民接受追蹤個人隱私的eID？這種說法既矛盾且不合邏輯。
即使單就資訊安全層面而言，內政部只關心晶片必須符合FIPS 140-2 level 4、 ISO 29115、ICAO等技術規範，也是完全不合格的作法。除了晶片安全等級外，通信網路、IaaS、PaaS、SaaS、甚至AI大數據分析軟體等等，都有可能在開發過程，出現安全漏洞或被植入後門。倘若在境外不友好國家地區開發，則又更提高資安和國安風險。
再者，管理營運若有疏失、使用者若有不安全使用行為等等，也更容易衍生資安風險威脅。有鑑於晶片身分證所打算實現的，是一站式連通所有政府機關資料庫的服務，前述環節若存在任何一處缺失，政府就形同於自己的各資料庫中安插病毒，這絕非行政機關及全體國人所樂見。我國近期才發生2000萬筆資料外洩的事件，行政機關完全無力補救，還不引以為鑑嗎？
內政部過去反覆宣示《戶籍法》已經授權其可以自行制定身分證的格式，但根本的問題卻是，《戶籍法》第51條僅規定「國民身分證用以辨識個人身分，其效用及於全國」，並沒有說國民身分證的身分識別功能，是用以開啟其他數位應用功能的前提。夾帶晶片和自然人憑證數位身分證eID，已經超越《戶籍法》範圍之外。法治國家的行政機關，豈能任意憑藉主觀意志曲解法律和機關職權？
