Facebook在2018年3月中公告因「劍橋分析」(Cambridge Analytica)公司及其關係企業「戰略溝通實驗室」(Strategic Communication Laboratories, SCL)過去數年間利用串接Facebook平台的心理測驗程式，違法取得使用該心理測驗及其朋友圈使用Facebook的資料，超過5千萬用戶受到影響。引起喧然大波的原因，還是在於透過對這些社群使用資料的分析與利用，甚至可能影響一國的總統選舉結果，這已經遠超出政府與民眾所能容忍的範圍。Facebook從自己也是被害者的立場，轉向Facebook確實應該為個資遭過度蒐集、濫用等行為負責，似乎隨著祖克伯在美國國會舉行的聽證會中四平八穩的表現及強大的公關能力過關了。但網路個資濫用的風暴就此終結了嗎？由祖克伯在公聽會的回答中，或許可以觀察到劍橋分析所引暴的個資風暴，恐怕只是開端，遠未終結。
一、參議員，我們賣廣告
祖克伯聽證會中順利過關，許多評論家認為平均年齡過高的「科技文盲」議員是主要原因，而84 歲的參議員海契（Orrin Grant Hatch）詢問：「如果用戶都不需付費，你如何延續商業模式？」佐克伯面露微妙的笑容回答：「參議員，我們賣廣告。」大概是其中最經典的對話。然而，這簡單到任何人都可以回答的對話，正好點出網路個人資料風暴的本質。你我的個人資料是網路企業經營者存續基礎的財產，應用這些無形財產獲取廣告或其他商業利益，以支撐你我愛用的網路服務，正是「數據經濟」最重要的核心。百度的李彥宏公開表示：「中國人對隱私問題比較開放，或者說沒有那麼敏感，如果通過交換隱私，獲得便利、效率及安全。在很多情況下，他們是願意這麼做的。」這樣的發言雖然被罵慘了，但也赤裸裸地揭示企業端是如何看待「個人資料」。
個人資料保護法第1條規定，「為規範個人資料之蒐集、處理及利用，以避免人格權受侵害，並促進個人資料之合理利用，特制定本法。」立法理由很明確地揭示將個人資料作為一種資訊隱私權，以人格權的方式保護其避免侵害，但又不得不承認「促進」個人資料合理利用的社會需求，這種兩難正是此次網路個人資料風暴的本質。個人資料作為企業的營運財產，最佳的策略就是極大化的利用，而作為人格權的一環，則應該限制任何可能的侵害行為，最佳的策略則是極小化的蒐集與利用。劍橋分析的事件，正是個人資料法制威嚇不了企業利用大數據操弄人心的致命吸引力。只要個人資料的經濟價值存在，就難以完全阻絕企業利用甚或是濫用的風險。
二、Facebook沒有販賣用戶資料？
面對Apple公司庫克對於Facebook藉由販售用戶資料獲利的批評，祖克伯多次強調「Facebook沒有販賣用戶資料」。從商業經營的角度，我們其實可以相信Facebook並不會「販賣」用戶的個人資料予其他廠商，因為個人資料是「數據經濟」時代的金礦，大型網路公司自行掌握發展的命脈才是合理的商業決策。但Facebook自行利用個人資料的深度與廣度，其影響並不會比「販賣」予他人來得低。
此外，沒有「販賣」用戶資料，並不代表第三人無法自Facebook取得用戶個人資料。Facebook透過API機制，允許第三方合作廠商-如劍橋分析，在一定的條件下取得用戶資料，而Facebook卻沒有適當的審核與控管，導致第三方合作廠商可能蒐集超出用戶想像（或同意）範圍外資料。例如：用戶可能覺得只是做一個心理測驗，但第三方合作廠商可能藉著用戶一個很簡單的同意動作，就針對使用該心理測驗的結果蒐集相關按讚、留言的朋友的資訊，再循線蒐集該等朋友在Facebook上的活動資訊。這類的行為早已超出用戶同意的範圍，Facebook未能有效控管該等過度蒐集的行為，也使Facebook在這次個資風暴中難以再以一個也是「被害者」的形象面對。
目前Facebook決定暫時關閉第三方可以透過API存取相關用戶資料的管道。此舉突顯出網路業者在面對個資的議題時，難以如過去著作權或其他法律議題以僅是「平台業者」作為免責的依據，包括Apple公司的iOS或Google公司Android這樣高度依賴第三方廠商開發應用程式的業者，都必須要重新檢視其App上架的流程或規範，加強對於透過App蒐集個人資料的控管，否則，恐怕難以避免被App開發商牽連。
本文刊登於會計研究月刊第390期，2018年5月
