政府近日突然宣佈與阿里巴巴簽署戰略夥伴關係協議，說要促進澳門智慧城市建設的步伐，長遠將澳門發展成一個「以數字引領科技，智能服務民生」的智慧城市。到底，我們真的準備好成為「智能城市」了嗎？現有的《個人資料保護法》，是否足以令澳門市民安心支持政府推行大數據項目？
根據政府發言人辦公室的講法， 似乎特區政府已經對現有法律， 以及資料管理的守則完備程度， 有着不少的信心，認為在大數據時代來臨的時代，一切都準備就緒，更一直重申，現行的《個人資料保護法》符合歐盟的高標準，對個人資料及私隱有充份的保障，且無論在資料的收集、處理、使用、保存、互聯互通等方面，已有詳細的規範，又一再強調，服務供應商不會觸碰特區的數據，有關數據亦不會離境，政府會依法管理數據，保護市民資料。
從系統設計着手保護私隱
事實是，雖然《個人資料保護法》在制訂時確是跟隨歐盟的做法，但該法立於2005年，即12年前，當時業界還未有大數據的概念。今時今日，資訊科技一日千里，放眼世界，各國亦在不斷完善法律以保障私隱。例如將於明年全面實施的歐盟資料保護規則（General Data Protection Regulation， 以下簡稱GDPR），就包括了因應大數據而修訂的條文及守則，旨在讓公民和居民回復對其個人資料的控制，例如擴大的權利，如72小時內的違規通知以及「被遺忘權」。當中更要求要有通報機制，即機構的核心活動如果需要處理大量個人資料，將需要一位專人負責資料保護，目的是降低資料外洩的情況，如果一旦發生資料外洩，機構有義務在72個小時之內進行報告。同時，GDPR亦特別明文規定要從設計方面着手保護隱私 （Privacy by Design），即數據保護的程序必需要從新系統的設計的階段便加入，例如：
- 應化被動為主動，並防患於未然，而非事後亡羊補牢。識別和預防入侵事件的措施應在資料外洩事件發生之前已經完備；
- 所有的個人資料應預設受到保護，而不需要額外採取人手的行動；
- 隱私保護的機制，應該在主系統中就已經具有，而不需額外使用第三方工具幫助；
- 數據生命週期安全， 意味著所有數據應根據需要安全保留，並在不再需要時被銷毀。
近年來歐盟、美國的立法趨勢均與Privacy by Design理念呼應，可見在系統研發設計階段及在問題出現之前，先一步着手保護隱私的重要性。事實上，香港立法會資訊科技及廣播事務委員會在簡介發展智慧城市時，亦提到需要參考國際上的做法，並以Privacy by Design理念去訂立相關的政策和指引。然而，我們的特區政府至今對此隻字不提。我們即將會在促進旅遊、交通、醫療保健上迎來新的雲計算系統。到底這些構成智能城市重要部分的系統會否從設計伊始，就着手保護私隱？值得社會共同關注。
「匿名」亦可還原 傳輸需要加密
另外，政府或機構在應用大數據時保障私隱的做法之一，是採用適當的匿名化技術處理有關資料，使之不能直接或間接識別到個人身份。然而，使用去識別化的資料，即沒有姓名及其他個人身份代號的資料，就可以保障私隱的推斷值得商榷。因為，大數據可以增加身份再識別的可能。例如個人資料如名字、出生日期都被刪除或替換，在大數據的年代， 只需按部分已知條件，使用其他數據源就可以推敲到原來的資料紀錄，亦即「匿名」的資料可被人透過其他渠道取得的數據，用作關聯 ，然後資料就可以被立即還原。所以萬一資料外洩，即使只是部分資料，後果亦可以十分嚴重。
是以， 在數據管理上，大數據的儲存和傳送是否使用加密算法、在未經許可的存取情況下， 所有個人資料都必須是人類看不懂的亂碼、亂碼只能用特定的算法解密，這些值得我們密切留意。
根據《世界人權宣言》第13條，「任何人的私生活、家庭、住宅和通信不得任意干涉，他的榮譽和名譽不得加以攻擊。人人有權享受法律保護，以免受這種干涉或攻擊。」而在大數據時代，個人資料更是無處不在，如何保護私隱成為發展智慧城市的關鍵。當中涉及大量細節安排，並非一句「會依法保障」就足以交代清楚，安定人心。倘若我們的特區政府真的有決心將智能城市辦好， 好好保護市民的私隱的話，實應好好諮詢業界意見，參照國際標準，及時修正不合時宜的法規，制訂良好的業界標準，使澳門真正成為「智慧城市」，造福市民。
