民眾檢舉平台的個資怎麼保護？
檢舉人身分保密、欄位最小化與保存期限的設計

民眾檢舉平台的個資保護，要在設計階段回答四個問題：收哪些欄位、誰看得到檢舉人是誰、資料存多久、到期怎麼刪。加密與防火牆處理的是「資料不要被外人拿走」，這四個問題處理的是「資料在系統裡面被誰用、用到什麼時候」。後者答不清楚，系統再安全，一份不小心匯出的試算表、一封附上檢舉人姓名的回覆信，就足以讓檢舉人暴露在被報復的風險裡。

這篇不談表單好不好填、退件率怎麼降（那是民眾檢舉平台退件率怎麼降的範圍），也不談違規證據要怎麼保存才經得起救濟（見交通違規證據鏈要保存什麼）。這裡只談一件事：檢舉平台蒐集到的個人資料，從進來到消失的每一段，系統要怎麼設計才守得住。

民眾檢舉平台的個資有兩種：檢舉人與被檢舉人要分開管

一件檢舉進到系統，裡面至少混著兩群人的資料。很多平台把它們放在同一張資料表、套用同一組權限，結果是承辦人為了看違規影像，順便就看到了檢舉人的手機號碼。首要的設計決定，是把兩類資料在結構上分開。

資料類別	典型內容	主要風險	處理原則
檢舉人資料	姓名、聯絡電話、電子郵件、帳號資訊、送出時的連線紀錄	身分外洩後被報復或騷擾；長期累積成「誰常檢舉誰」的名單	獨立存放、欄位加密、預設遮罩，只有受理與審核角色看得到
被檢舉人與第三人資料	影像中的車牌、駕駛與路人的樣貌、查驗車籍後取得的車主資料	未成案的影像與車籍資料留在系統裡沒有目的；影像外流	未成案就依期限刪除；對外提供影像時評估遮蔽無關第三人
附檔中的隱藏資訊	照片的拍攝位置、拍攝時間、手機型號等嵌入資訊	檢舉人的住處或常去地點可從照片座標推回	保留證據需要的時間地點，對外輸出的副本去除其餘嵌入資訊

照片的嵌入資訊是否作為證據的一部分，依機關的受理與審核規定決定；原始檔與對外輸出的副本可以分開處理。

分開之後，兩類資料的生命週期也不同：檢舉人資料的目的是「受理與回覆」，回覆完成、救濟期間過了，目的就結束了；被檢舉人資料的目的是「舉發與救濟」，要跟著案件走完整個程序。放在同一筆紀錄裡，就只能用同一個期限，結果不是檢舉人資料存太久，就是證據刪太早。

法規面的出發點是個人資料保護法：公務機關蒐集個資要在執行法定職務的必要範圍內，並且不得逾越特定目的的必要範圍；特定目的消失或期限屆滿時，原則上應主動刪除；保有個資檔案的機關要指定專人辦理安全維護事項。檢舉平台如果是委外建置與維運，廠商就是受委託處理個資的一方，這些義務要透過契約落到系統規格上。條文的適用與例外，以機關法制單位的解釋為準；系統端要做到的，是讓每一項原則都有對應的欄位、權限或排程可以驗。

欄位最小化：哪些必收、哪些不該收？

判斷一個欄位該不該收，只問一句：少了它，這件檢舉能不能受理、能不能回覆？答案是「能」的欄位，就不要放進表單。下表是一般交通違規檢舉表單常見的欄位，以及建議的處理方式；實際必填項目要以機關的受理規定為準。

欄位	用途	建議
姓名	受理規定要求具名時的身分辨識	依規定必填；後台列表預設遮罩，例如只顯示姓氏
手機或電子郵件	補件聯絡、回覆處理結果	擇一必填即可，不必兩者都收
身分證字號	規定要求核對身分時才需要	規定沒要求就不收；要收則加密儲存、後台遮罩、調閱完整號碼需填理由
通訊地址	以紙本回覆時才需要	預設不收；只有檢舉人選擇紙本回覆時才出現這個欄位
出生日期、職業、性別	與受理無關	不收
違規時間、地點、車牌、違規項目	構成檢舉的事實	必收；屬於案件資料，不屬於檢舉人資料
照片或影片	違規證據	必收；原始檔留存，對外輸出時另產副本
補充說明	描述影像看不出的情節	選填並設字數上限，旁邊註明不要填寫個人資料

欄位最小化常被忽略的三個地方，都不在表單上：

1. 連線與裝置紀錄。為了防止濫用而記錄的來源位址與瀏覽器資訊，也是個人資料。要訂出保留天數，到期刪除，而且不要和檢舉人資料表直接關聯。
2. 系統日誌。錯誤日誌與除錯紀錄很容易把整筆表單內容原封不動寫進去，日誌又常常沒有保存期限。規格要寫明：日誌只記案號與事件，不記姓名、電話與證號。
3. 測試環境。拿正式資料匯入測試機做壓測或除錯，是個資外洩的常見來源。測試環境一律使用假資料或經去識別化的資料，並把這條寫進維運規範。

少收一個欄位，就少一個要加密、遮罩、稽核與刪除的對象。欄位最小化不是額外的保護措施，而是讓後面每一道保護措施的工作量都變小。

檢舉人身分保密：誰看得到、看到什麼？

檢舉人身分保密靠的不是承辦人的自律，而是系統的權限設計。原則是：預設看不到，需要時看得到最少的部分，看過要留下紀錄。下表是一組權限矩陣的寫法範例，實際角色名稱與分工依機關的作業流程調整。

角色	檢舉人資料	違規影像與事實	車籍查驗結果
受理人員	遮罩顯示；補件聯絡時可檢視聯絡方式，留紀錄	可檢視	不需要
審核員警	預設不顯示；有必要時填理由後檢視，留紀錄	可檢視	可檢視
主管	同審核員警	可檢視	可檢視
統計與報表	不可檢視，只取去識別化的統計值	不需要	不需要
系統維運廠商	不可從操作介面檢視；資料庫層級的維護作業需申請、限時、留紀錄	同左	同左

權限矩陣之外，下面四個環節是檢舉人身分最容易「從旁邊漏出去」的地方，建置時要逐一確認：

技術層面的保護同樣要到位：傳輸全程加密、檢舉人資料欄位加密儲存、金鑰與資料庫分開保管、管理介面限制來源位址並使用多因素驗證。這些要求與機關的資安責任等級直接相關，上雲情境下怎麼對應，整理在警政系統上雲安全嗎。

保存期限與到期銷毀：三種期限、一份刪除紀錄

保存期限的難處不在於訂一個數字，而在於不同資料的期限起點與長度都不一樣。把整個檢舉平台設成「保存 N 年」，結果通常是未成案的檢舉人資料與影像，陪著成案案件一起存了好幾年。建議至少分成下面三類，各自訂期限：

資料類別	期限起點	期限依據	到期動作
成案案件的證據與相關資料	案件結案或救濟程序終結	舉發與救濟相關期限、機關檔案保存年限，取涵蓋範圍大者	依檔案管理程序辦理銷毀或移轉
未受理、未成案的檢舉及其附件	作出不受理或不舉發決定，並回覆檢舉人	機關自訂的保留天數，保留到可能的查詢與申訴期間結束即可	系統排程自動刪除，產生刪除紀錄
檢舉人聯絡資料	最後一次回覆完成	跟隨所屬案件；未成案者與附件同步刪除	刪除或去識別化，統計只留不含身分的數值

各項法定期限請以現行條文與機關的檔案保存年限區分表為準；本表只示範分類方式，不代表任何機關的實際設定。

到期銷毀要寫進規格的，還有三件常被漏掉的事：

1. 備份裡的副本。正式資料刪了，備份裡還在。規格要寫明備份的輪替週期，例如「每日備份保留 30 天」，那麼正式資料刪除後，備份裡的副本最遲在 30 天後隨輪替消失。這句話要能被驗證：抽一筆已刪除的案件，確認輪替週期過後的備份中查不到。
2. 刪除紀錄本身。刪除紀錄只記案號、資料類別、刪除時間與依據，不記被刪掉的內容。刪除紀錄不留，就無法證明資料是照規定刪的，還是被人刪掉的。
3. 暫停刪除的機制。案件進入申訴或其他程序時，要能對個別案件標記「暫停刪除」，程序結束後再恢復排程。沒有這個機制，自動刪除會在最需要資料的時候把它刪掉。

這五句話要能在驗收當天實際操作驗證：用受理人員帳號登入確認遮罩、匯出一份清單確認沒有檢舉人欄位、檢視一筆檢舉人資料後到稽核紀錄裡找到自己。規格書怎麼寫成驗得到又不綁標，見科技執法標案規格書怎麼寫；驗收當天的實測腳本，見科技執法系統驗收怎麼驗。

瑪尼國際成立於 2004 年，深耕資訊服務逾 20 年、服務逾 500 家企業，並以協力廠商身分參與全台多個縣市警察局交通隊的入案系統建置與維運。做科技執法與民眾檢舉系統時，我們把個資的分類、權限與期限當成資料結構的一部分，在建置期就決定，而不是上線後再加一層遮罩。系統主機放在中華電信光纖機房，由我們負責網站代管與維運；檢舉平台前台的網頁設計也可以一併規劃。從表單、資料庫到主機由同一組人負責的一條龍服務，好處是一筆個資從進來到刪除，每一段都找得到負責的人。

常見問題