徹底淘汰身份證影印｜推動零副本數碼新治理

數碼港逾 400 GB 包含員工與求職者身份證、銀行賬單等極端敏感資料被黑客盜取並在暗網兜售的醜聞，以及浸會大學伺服器遭入侵導致數以萬計學生與教職員個人資料外洩的嚴重事故，歷歷在目、記憶猶新。然而血淋淋的教訓擺在眼前，體制上下卻依然如盲人摸象般無動於衷。

明明政府早推行了「智方便」（iAM Smart），耗費龐大公帑建立起數碼身份基礎設施，各大公營機構、法定機構與大專院校卻棄之不用，頑固地沿用數十年前的原始行政陋習——強迫求職者與員工遞交身份證副本、實體學歷影印本與銀行月結單截圖作「身份核實」。正是這種盲目收集、長期儲存明文資料的陳腐流程，親手為黑客築起一座又一座待宰的「數據蜜罐」。

他山之石：全球城市的現代化「無副本、重憑證」實踐

國際先進智慧城市早已徹底揚棄「複印留底」的過時做法，全面轉向 API 授權與去中心化驗證架構：

新加坡（Singpass + Myinfo）：機構聘用員工或核對身份，全部經由手機 App 授權調用政府 API。系統僅回傳加密驗證權杖（Token）與必要欄位，機構端完全不得留存任何身份證或護照影像。
愛沙尼亞（X-Road 與 Once-Only 原則）：法律嚴格禁止政府與機構重複索取市民已提交過的資料。招聘審核只透過分散式數據交換層調取即時核驗狀態（例如「合法工作資格：有效」），資料不落地、不留本地備份。
歐盟（EUDI 數碼身份錢包與零知識證明 ZKP）：採用可驗證憑證（Verifiable Credentials）。機構只需確認求職者具備合法工作權限且年滿 18 歲，系統透過密碼學證明返回「是/否」，機構後台根本無需知悉其身份證號碼與精確出生日期。
英國（Share Code 系統）：內政部為求職者生成單次有效的查驗碼，僱主憑碼登入官方門戶核實工作權限，完全免除掃描或存檔護照與簽證文件。
澳洲（Digital ID 與 Open Banking）：利用 myGovID 進行多重認證，並透過消費者數據權利（CDR）架構由銀行直接回傳賬戶所有權加密校驗，徹底淘汰收取存摺與月結單影本的舊規。

香港改革方案：以數碼基建取代「副本存檔」

全面接軌「智方便」（iAM Smart）API：公營機構人事與招募系統全面強制串接「智方便」API，透過生物認證完成強認證（MFA）與即時身份核實。系統後台僅存儲雜湊授權碼（Hash Token），嚴格明令禁止再上載任何身份證掃描檔。
直連可驗證數碼學歷及專業證書平台：大專院校與專業團體之證書全面升級為微憑證（Micro-credentials），發證機構透過非對稱加密簽署。招聘端直接對接驗證真偽，既杜絕假學歷，更免除收集紙本證書影本。
串接轉數快（FPS）與商業銀行 Open API：出糧與薪酬報銷系統直接經由銀行開放 API 驗證戶名與賬號的一致性，徹底廢除收取銀行存摺或月結單封面的危險做法。

五年發展規劃：特區政府推動路徑

由數字政策辦公室（數字辦）牽頭，訂立五年階段性推進目標：

第 1 年（頂層規範與法規指引）：數字辦聯同個人資料私隱專員公署發布全新行政指引，明確將公營機構與大學留存身份證副本定性為「高風險且非必要行為」，確立智方便 API 查驗為法定招聘標準通道。
第 2 年（公營機構全面推行 API 身份認證）：所有政府部門、法定機構、公營事業及大學之人事系統全面完成智方便 API 對接，新入職流程全線停收紙本與電子身份證副本。
第 3 年（建立統一數碼證書與學歷驗證網絡）：教育局聯同八大院校及主要專業協會，建立跨機構數碼憑證交換層，入職學歷核查全面實現發證端直連驗證。
第 4 年（金融 Open API、數碼港元與港元穩定幣應用閉環）：金管局推廣企業端轉數快核對通道與開放銀行 API，並進一步引進數碼港元（e-HKD）與合規港元穩定幣（HKD Stablecoin）的可編程支付場景。公營機構出糧、津貼發放及項目報銷系統，可經由智能合約直接綁定經「智方便」核驗的數碼錢包地址，實現「身份即賬戶」的點對點資金結算，徹底取消銀行存摺及月結單副本流程，更從根本上杜絕銀行賬戶被盜用的風險。
第 5 年（法定推廣至全港私營企業）：修訂《個人資料（私隱）條例》，借鑒公營機構成功經驗，在法例層面原則性禁止私營企業以日常行政為由留存市民身份證影像副本，完成全港數碼治理轉型。

這套以「智方便」為核心的五年發展規劃，能從技術架構與法規根源上徹底切斷個人敏感資料被盜的鏈條。一旦機構端不再留存任何身份證掃描檔、學歷影本與銀行單據，伺服器內便不再堆積任何明文個人隱私；縱使黑客未來再次入侵系統，面對的也僅是一串串無法逆向破解的加密授權碼，從根本上杜絕市民個人敏感資料遭竊取與兜售的嚴重隱患。

作者:Emil Chan 陳家豪
Unwire Pro 特約編輯