數據監視

Dataveillance（數據監視）是1984年由David Fowle提出的術語，指透過數位資料（如瀏覽紀錄、交易行為、位置資訊、社交媒體互動）對個人進行自動化、大規模的監控與分析。與傳統監視（Surveillance）不同，Dataveillance不需實體跟蹤，而是透過資料流實現遠端、持續性的個人描繪（Profiling）。在國際法規框架下，GDPR第22條特別針對「自動化決策」及「個資處理產生法律效果」的行為設定限制，要求企業必須提供人工介入機制。台灣個資法第19條亦要求個資處理應符合比例原則，避免過度蒐集。此概念在ISO 27701（隱私資訊管理系統）中被納入風險評估的考量範疇，企業需評估其數據處理活動是否構成對個人基本權利的侵害。對於企業而言，Dataveillance是雙面刃：一方面可提升營運效率與風險偵測能力，另一方面若缺乏透明度與合法基礎，將面臨高額罰鍰與聲譽損失。建議企業建立明確的資料處理目的（Purpose Limitation）與最小化原則（Data Minimization），以符合ISO 27701及GDPR的合規要求。

Dataveillance在企業風險管理（ERM）中的應用可分為三個具體階段：第一階段為「資料盤點與分類」，企業需依照ISO 27701要求，識別所有涉及個人行為追蹤的資料流，包括員工考勤、客戶交易行為及網站互動數據。第二階段為「風險評估與控制設計」，針對高風險的自動化決策（如AI招募篩選、信用評分）進行DPIA（資料保護衝擊評估），確保符合GDPR第22條及台灣個資法第19條之規定。第三階段為「持續監控與審計」，建立監控指標（KPIs）如：資料存取異常率、個人資料處理請求回應率等。實務案例：某跨國電商企業透過分析客戶購買行為預測流失率，雖提升了15%的客戶留存率，但因未事先告知並提供選擇退出（Opt-out）機制，在GDPR框架下面臨最高4%年營業額罰款。建議企業設定「資料處理透明度指標」，目標為100%高風險處理活動皆有DPIA紀錄，並將個人資料處理率降低20%以降低暴露風險。

台灣企業在導入Dataveillance時面臨三大挑戰：首先是「法規認知落差」，許多中小企業對GDPR第22條及台灣個資法第19條的自動化決策限制缺乏具體理解，導致合規設計不足。其次是「技術與人才雙重缺口」，導入AI驅動的Dataveillance需要具備資料科學與法規知識的複合型人才，目前市場供應嚴重不足。第三是「員工與客戶的信任危機」，過度監控可能引發勞資爭議及客戶流失。克服策略如下：第一步，建立「Privacy by Design」原則，在系統設計階段即嵌入隱私保護機制，而非事後補正；第二步，建立「人機協作機制」，確保所有自動化決策均有人工覆核（Human-in-the-loop），符合GDPR第22條要求；第三步，建立透明的隱私政策與溝通機制，明確告知資料蒐集範圍與用途。建議企業在導入前，優先完成ISO 27701認證，以建立國際公信力，並設定90天導入期，分階段實施，首季聚焦高風險處理場域，次季擴及全體業務流程。