金融業數位身分驗證指引之法制研析
個人資料保護法;洗錢防制法;資恐防制法;金融控股公司及銀行業內部控制及稽核制度實施辦法;保險代理人公司保險經紀人公司辦理網路投保業務及網路保險服務管理辦法
僅供委員問政所需參考
                        

                        
                            不代表本院意見或立場
                        

                    
                

            
        

        
              編號：2292
        

        
            議題研析
        

        1、 
            題目：金融業數位身分驗證指引之法制研析
        

        
            二、議題所涉法規
        

        個人資料保護法、洗錢防制法、資恐防制法、
金融控股公司及銀行業內部控制及稽核制度實施辦法、保險代理人公司保險經紀人公司辦理網路投保業務及網路保險服務管理辦法

        
            三、背景說明
        

            依金融監督管理委員會（下稱金管會）網站新聞稿指出：在數位環境下，為提供民眾便利、快速、安全的金融服務，並且協助金融服務業運用數位身分驗證機制時，採取適當技術驗證客戶的身分，降低潛在的風險，金管會於2023年10月24日發布「金融服務業辦理數位身分驗證指引」（下稱本指引），做為金融服務業辦理數位身分驗證時的準據
。

        
            四、探討研析
        

        （1） 
            外國立法概況
        

            數位金融服務發展較成熟之歐美，針對數位身分認證之立法概況略以：

        1. 歐盟執委會（European Commission）於2021年6月3日公布關於建立歐盟數位身分框架的第910/2014號規則修正案（Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL amending Regulation （EU） No 910/2014 as regards establishing a framework for a European Digital Identity）
，修正2014年關於歐盟境內電子交易之電子身分認證及信賴服務規則（The Regulation on electronic identification and trust services for electronic transactions in the internal market，eIDAS Regulation）。此修正案建立歐盟數位身分框架，所有歐盟公民、居民和企業都可透過數位身分錢包（Digital Identity Wallet）使用該框架，也為歐盟安全使用公共服務和進行線上跨境交易奠定基礎
。eIDAS立法形式為Regulations (規則)，與Directives（指令）不同，具有普遍適用性，對全體會員國具有拘束力，無須經過內國法轉換程序，直接適用於各會員國
。

        2. 隸屬美國商務部之國家標準技術機構（National Institute of Standards and Technology，NIST）於2017年推出數位身分指引（Electronic Authentication Guideline），目的主要係為實施數位身分服務之機構提供技術層面之要求。本指引涵蓋身分證明、註冊、身分驗證、管理過程、驗證協議等，根據不同風險訂定保證水準（Level of assurance），上述機構可使用本指引作為風險評估之一部分，選擇適合其需求之保證級別
。

        3. 澳洲於2021年10月1日提出受信任數位身分法案（Trusted Digital Identity Bill），以法律層次明定不同參與者之功能、義務與認證程序。澳洲公民原可透過數位身分機制使用至少80項政府服務，澳洲政府希望透過上述法案，擴大數位身分認證系統之涵蓋範圍及於私部門
。

        （2） 
            現行法制缺失
        

            有別於英美海洋法系之「功能型監理」，我國對金融業之監理模式為「機構型監理」，數位身分驗證相關規範散見於各金融服務業別之法令中（分屬法規命令、行政規則、自律規範等不同位階），且各業別規範密度寬嚴不一，欠缺一個
            較上位，
            可跨業規範之法律制度
。金管會本次訂定共通性指引，其效益之一即是有助於跨業別規範趨於一致（本指引第1點第2項規定
及其說明欄第1點參照）。
        

        （3） 
            指引性質為行政指導，非法令，亦不具強制力
        

            金管會於前述新聞稿中表示，本指引
            性質為行政指導，目的是針對金融服務業辦理數位身分驗證時，具有共通性、一致性的應用原則。考量各業別有各自業務特性，也不是都訂有數位身分驗證規範，加上金融科技變化快速，如各業別針對數位身分驗證
            目前並未訂定規範，或
            所訂規範未包含新式數位金融服務應用場景或新式數位身分驗證方式，業者可依本指引規定，以風險基礎為原則，採用新的應用場景或新的身分驗證方式。如各業別現行已訂定數位身分驗證規範，則可
            參考本指引，評估調整規範之內容。
        

            依行政程序法規定，所稱行政指導，謂行政機關在其職權或所掌事務範圍內，為實現一定之行政目的，以輔導、協助、勸告、建議或其他
            不具法律上強制力之方法，促請特定人為一定作為或不作為之行為。相對人
            明確拒絕指導時，行政機關
            應即停止，並不得據此對相對人為不利之處置（行政程序法第165條、第166條第2項規定參照）。
        

            查行政程序法之行政指導係源自於日本法制，而在日本法上，行政指導原則上被認為是一種事實行為
，並非法令。本指引既非法令，不具法律強制力，無法凌駕於現行法規命令、行政規則之上，而參酌本指引第2點之說明欄，本指引亦僅適用於現行法規命令、自律規範、規章等「未規定」處，能適用之範圍似乎相對有限。

        （4） 
            規範模式之建議
        

            承前所述，訂定指引此種模式優點係對主管機關較為便利，但缺點是並非法令、不具強制力，在與其他現行法律或法規命令衝突時，將無法適用，而仍可能徒增爭議
。

            直接在法律位階制定一個跨業別的身分驗證法制，有助於提供明確法源基礎與強化其強制性，然立法有其法定程序，衡酌法制化之成本與期程，若能在法規命令層次規範，金管會可享有調整規範內涵之彈性，又能兼顧法效力，似是較理想之模式。而實踐上，必須先在各業法中針定該業種之營運範圍（身分驗證）賦予授權之依據，透過這些跨業別母法之授權，由主管機關訂定單一的法規命令以為規範，例如境外結構型商品管理規則即是來自於信託業法第18條之1第2項、證券交易法第44條第4項、第62條第2項、保險法第144條第1項及第146第6項規定之授權
；
銀行辦理高資產客戶適用之金融商品及服務管理辦法則是依據銀行法第3條第22款、第28條第1項、第45條之1第4項及第72條之1、信託業法第18條之1第2項、國際金融業務條例第4條第1項第6款及第11款規定而訂定，上開法規命令之授權體例或可參照。

        撰稿人：方華香

        � 金融監督管理委員會網站首頁/公告資訊/新聞稿，〈金管會訂定「金融服務業辦理數位身分驗證指引」〉，2023年10月24日，網址：https://www.fsc.gov.tw/ch/home.jsp?id=2&parentpath=0&mcustomize=news_view.jsp&dataserno=202310240003&dtable=News，最後瀏覽日期：2023年11月10日。


        � 資訊工業策進會科技法律研究所，〈歐盟數位身分框架政策之相關推動措施概要〉，2021年8月30日，網址：https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8721，最後瀏覽日期：2023年11月13日。


        � Council of the EU，〈Council and Parliament strike a deal on a European digital identity (eID) 〉，2023年6月，網址：https://www.consilium.europa.eu/en/press/press-releases/2023/06/29/council-and-parliament-strike-a-deal-on-a-european-digital-identity-eid/，最後瀏覽日期：2023年11月13日。


        � 王泰銓，〈關於歐盟法規範的名稱翻譯、條款引用與適用上的問題〉，臺灣歐洲聯盟研究協會，2019年2月，網址：https://www.eusa-taiwan.org.tw/europe_detail/65.htm，最後瀏覽日期：2023年11月13日。


        � 陳俐伶，《論數位身分制度於銀行業之應用與管理法制》，國立政治大學國際經營與貿易學系研究所碩士論文，2020年7月，頁20-21。


        � 	臧正運，〈	數位金融服務管理規範的制度框架思考〉，《臺灣法律人》，	第10期，2022年4月，頁133-134。


        � 	臧正運，同前註，頁134-136。


        � 其規定為：「本指引所稱金融服務業係指『金融監督管理委員會組織法』第2條第2項之金融服務業。」


        � 戴凡芹，〈	回顧日本行政指導之發展脈絡：兼論疫情之緊急事態宣言〉，《	萬國法律》，第244期，2022年8月，頁87-88。


        � 	臧正運，同註6，頁139。


        � 	臧正運，同註6，頁138。


        


        
            1