# 慟!!實聯制?!我們交出去的個資跑到哪裡去了no? - Vic Huang, Joy Ho

{%hackmd @HITCON/rkYm1whdY %}

## 技術層面
實名制 vs. 實聯制
* 實名制：真實姓名與聯絡方式
* 實聯制：可以聯絡的方式即可

常見的實聯制設計
* 民間：掃表單/身分證/會員卡
* 開源
* 縣市政府
* 1922：掃場所代號>SMS2>電信公司

實聯制資安風險 [HITCON ZERO DAY](https://zeroday.hitcon.org/)
https://zeroday.hitcon.org/vulnerability/ZD-2021-00260
https://zeroday.hitcon.org/vulnerability/ZD-2021-00274

QR code存在的風險
* 遭置換或利用--連到其他惡意網頁、檔案、高資費電話、~~高簡訊費~~

> 服務本身的資安強度是一個顧慮：服務中儲存的資料本身是個人資料、商家存取的必要性、不良的開發/不透明的系統架構、權限管控

---
## 法律層面
[法官投書：刑事警察局可否用搜索票聲請實聯制資訊鎖定嫌疑犯？](https://opinion.udn.com/opinion/story/120701/5542571)

> 1. 實聯制資料拿來偵查犯罪是合法的嗎？
> 2. 誰可以決定實聯制資料的使用目的？誰應該當責？
> 3. 當我發現我的資料遭到不當使用時，我有哪些主張我權利的手段？

指引：行政指導、宣導、勸戒，不是法律是建議，背後沒有罰則
**實聯制指引提出資料以疫調為目的，但只要符合個資法，資料可以有其他目的使用**

### 合法的目的外利用 vs. 違法的目的外利用

> 第 20 條
非公務機關對個人資料之利用，除第六條第一項所規定資料外，應於蒐集之特定目的必要範圍內為之。但有下列情形之一者，得為特定目的外之利用：
一、法律明文規定。
二、為增進公共利益所必要。
三、為免除當事人之生命、身體、自由或財產上之危險。
四、為防止他人權益之重大危害。
五、公務機關或學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或經蒐集者依其揭露方式無從識別特定之當事人。
六、經當事人同意。
七、有利於當事人權益。
非公務機關依前項規定利用個人資料行銷者，當事人表示拒絕接受行銷時，應即停止利用其個人資料行銷。
非公務機關於首次行銷時，應提供當事人表示拒絕接受行銷之方式，並支付所需費用。

* 合法的目的外利用
* 需有明確目的、明確告知
* 目的外利用屬於例外，應符合個資法第20條
* 違法的目的外利用
* 例：醫療目的提供資訊，被拿去交朋友

###### tags: `HITCON2021`,`HITCON`