Reservation Policy 日前Youtuber小玉運用深偽技術（deepfake），將台灣知名女性藝人、實況主的臉移花接木套用到色情影片上，並藉以牟利，掀起軒然大波，社會大眾與政治人物同聲譴責濫用科技侵害他人權利之行為。所謂深偽技術，即透過人臉辨識、機器學習及人工智慧等技術，合成特定人物說話、行動之影像、音軌，將影像竄改之擬真程度提高至另一級別，可謂真假難辨。小玉案所牽涉之法律議題複雜，舉凡深偽技術加劇之不實訊息（disinformation）傳播情形、個資利用、性隱私、言論自由等，皆引起大眾高度討論熱潮，亦突顯現行法律面對新興科技涵蓋有所不及之規制難題。法務部為解決類似問題，日前推出刑法修正草案，增訂「製作或散布他人不實性影音罪」、「製作或散布他人不實活動、言論、談話影音罪」，惟除刑事法修訂討論外，本案是否構成個資濫用及隱私侵犯，以及現行個資法對於深偽影片是否有因應之道，亦為大眾廣泛關注之重點。
現行個資法罰則規範於第41條及42條，於本案之情形，或可適用第41條加以處罰。第41條規定，意圖為自己或第三人不法之利益或損害他人之利益，違法蒐集、處理、利用個資，足生損害於他人者，應予處罰[1]。私人照片或影像可直接識別特定個人，應屬於我國個資法所規範個人資料之一種，蒐集照片或影像並以深偽技術合成色情影片，縱未有為自己或第三人謀取利益之意思，亦係意圖損害他人之利益而符合第41條之構成要件；且蒐集照片或影像係為合成色情影片用途，應難認屬於個資法上合於特定目的之蒐集，更屬於非法妨害個人資料檔案之正確而足生損害於他人之情況，應處罰之。易言之，運用深偽技術合成色情影片，應落入個資法保障之範圍，而可透過相關罰則予以處罰。
然而，即使小玉案濫用個資之事實可透過個資法予以處罰，仍無法忽視現行個資法有關資料蒐用之規範與新興科技應用個資之情況有所脫節之情形；諸如個資應用於人臉辨識以及演算法等技術時應如何處理，於我國個資法均未有專文規範。進一步言，小玉所蒐集用於深偽技術之個人資料可能係來自於當事人已公開於網路之照片影像，或網際網路直接搜尋之「一般可得之來源」，而合於個資法第19條第1項第3款及第7款之特定情形[3]，最終只能以「不合於特定目的」之情況認定該蒐集個資之情形為違法，而以第41條個資法罰則相繩。
然而，以上判斷係由於本案蒐集個人資料係用於侵權製作色情影片，無論如何難謂屬於正當目的之蒐用，方使「不合於特定目的」及「損害他人之利益」之判斷較為容易且直覺。有關個資法上之「特定目的」，法務部雖有公告「個人資料保護法之特定目的及個人資料之類別」，然而此特定目的類別亦僅屬例示性質，無法涵蓋個資蒐用之廣泛態樣。換言之，若蒐用資料者蒐用照片、影像等相關個人資料之目的並非用於合成色情影片，而係其他演算法樣態之利用，而無法輕言判斷「不合於特定目的」及「損害他人利益」時，現行法僅以「特定目的」做為判定個資利用違法之最後防線，是否有鞭長莫及之處？且個資法19條單純要求蒐用資料者設定「特定目的」並符合「特定情形」時屬於合法處理利用個人資料，於演算法之利用情況，顯然尚不足以保障當事人充分理解其個資受利用之情形，而不足保障當事人之個資權益，應考慮增列使當事人得理解資料運用情形之相關權利條款。除此之外，個資法第19條第3款及第7款之要件方面，是否有可再反省之處，採取更重視當事人資訊自主權之規範方式，重新檢討「自行公開、一般可得之來源即屬於可利用之個資」此一標準於演算法盛行之今日是否合理？又，演算法利用個資之特性在於大數量、大規模之利用，與傳統蒐用個資之方式已不可同日而語，對當事人之侵害程度亦今非昔比，我國立法者實有必要考量新興資訊科技之進展，而重新反省現行個資法之框架，參考國際有關新興科技之個資立法，訂定可行之保護規範。
深偽科技之應用已有數年，此次因小玉案牽涉眾多知名女性受害者而首度震驚台灣社會，亦突顯我國法律於新興科技應對方面，整備尚有不足之處，本案或許可作為反省契機，使立法者重新思考大數據及人工智慧等技術來勢洶洶時，應如何整頓法規框架予以因應，方能充分落實人民之個資權利及各項基本人權保障。
[1] 個人資料保護法第41條：「意圖為自己或第三人不法之利益或損害他人之利益，而違反第六條第一項、第十五條、第十六條、第十九條、第二十條第一項規定，或中央目的事業主管機關依第二十一條限制國際傳輸之命令或處分，足生損害於他人者，處五年以下有期徒刑，得併科新臺幣一百萬元以下罰金。」
[2] 個人資料保護法第19條第1項：「非公務機關對個人資料之蒐集或處理，除第六條第一項所規定資料外，應有特定目的，並符合下列情形之一者：
一、法律明文規定。
二、與當事人有契約或類似契約之關係，且已採取適當之安全措施。
三、當事人自行公開或其他已合法公開之個人資料。
四、學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或經蒐集者依其揭露方式無從識別特定之當事人。
五、經當事人同意。
六、為增進公共利益所必要。
七、個人資料取自於一般可得之來源。但當事人對該資料之禁止處理或利用，顯有更值得保護之重大利益者，不在此限。
八、對當事人權益無侵害。」