數發部和內政部這幾天聯手對高德地圖按下禁用鍵，老實說，這一下該打，而且早就該打。阿里巴巴旗下的高德，每天調用北斗衛星定位量超過 9000 億次，導航精準到能算出你面前紅綠燈還剩幾秒，3D 街景模型細到讓 Google Maps 看起來像上個時代的產品。一個應用程式做到這個地步，就已經不是導航軟體了，它是一台攤在每個使用者口袋裡的行為模式掃描機。
用這種掃描機的代價，是你的每一次移動、每一個常去地點、每一段通勤路線，全部傳回中國伺服器。依《國家情報法》第七條，阿里巴巴沒有拒絕把這些資料交給中國政府的法律空間——在中國境內，拒絕配合情報工作是刑事罪。所以這不是「會不會被傳」的問題，是「已經在傳、而且必然會被調取」的問題。數發部把它認定為危害國家資通安全產品、禁止公務機關使用，這個決定沒什麼爭議。
但真正的問題在於：公務機關不能用，跟一般民眾不能用，是兩件完全不同的事。
這幾天媒體報導都在講「政府禁用高德」，但仔細讀一下就會發現，被禁的是公務機關和國軍——依據的是 2019 年行政院核定的《各機關對危害國家資通安全產品限制使用原則》，以及 2022 年修法過的《資通安全管理法》。這兩部法規的射程範圍寫得很清楚：中央政府機關、地方政府、公營事業、行政法人、公立學校，加上關鍵基礎設施提供者。
民間企業？不在裡面。一般消費者？也不在裡面。
換句話說，現在的法律結構是：你是公務員，手機不能裝高德；你是公立學校老師，手機不能裝；但你是計程車司機、外送員、做兩岸生意的業務員、每天通勤的上班族——政府只能「呼籲」你不要裝。這是林宜敬部長和卓榮泰院長在立法院被問到時的標準回答：建議民眾降低使用頻率。建議，不是禁止。
這不是誰的疏失，是台灣的法律工具箱本來就沒有針對消費性 App 的管制條款。《資通安全管理法》管的是政府資安，民間那塊從來不在它的業務範圍內。要管民間，理論上最接近的工具是《個人資料保護法》第 21 條，授權中央目的事業主管機關在四種情況下限制國際傳輸個資——包括「涉及國家重大利益」、「接受國對於個人資料之保護未有完善之法規」、「以迂迴方法向第三國傳輸個人資料規避本法」。
第 21 條理論上完全能用來擋高德。中國作為接受國，對個資保護「不完善」是國際公認的事實；高德把台灣用戶的定位資料全傳回中國，「涉及國家重大利益」也站得住腳。但這條法律從 2012 年個資法修正以來，幾乎沒被主管機關拿來開過槍。它寫得模糊、要件抽象、而且是「個案限制」不是「類別禁止」——每禁一個產品都要走一次行政處分程序。用這種工具處理高德這種等級的風險，像是拿水果刀砍樹。
所以高德被禁是對的，但擋下高德之後，問題其實才剛開始。
國際上已經做到哪裡了
這種法律工具箱的缺口，不是只有台灣有。美國、歐盟、印度、日本這幾年都在處理同一個問題，而且各自給出了不同的答案。
歐盟走的是規模門檻路線。
2022 年通過的《數位服務法》（DSA）建立了一個叫 VLOP（Very Large Online Platform）的類別，定義是歐盟境內月活躍用戶超過 4500 萬人——也就是歐盟人口的 10%。踩到這條線的平台要承擔風險評估、演算法透明、獨立稽核、資料存取權給研究者等一整套義務，罰則是全球年營收的 6%，違規持續的話每天再罰 5%。目前被指定的 VLOP 有 23 家，包含 AliExpress、TikTok、Temu、Shein 這些有中國背景的平台，也包含 Meta、Google、X、LinkedIn 這些美國公司。
歐盟這套設計最漂亮的地方是它表面完全中性。規則不提中國、不提俄羅斯、不提任何國家名字，只談規模和義務。但因為中國平台的結構性問題（母公司受中國國安法管轄、資料無法真正切割），它們在履行 DSA 義務時會比歐美平台困難得多。歐盟 GDPR 的跨境傳輸規則也是同樣邏輯——要求「接收國的法律不得強制企業交出個資給政府」，中國《國家情報法》第七條結構性地無法符合這個要求。這叫「中性規則、差別效果」，WTO 告不了，政治上也站得住。
美國走的是硬脫鉤路線。
2019 年商務部把華為列入實體清單，2024 年工業與安全局發布《連網車輛資訊和通訊技術禁令》，直接禁止搭載中國軟硬體的車輛在美國銷售，車載導航系統被明確列為受管制的關鍵系統——這等於間接把中國地圖服務擋在美國汽車市場外。TikTok 強制剝離案走的是《保護美國人免受外國對手控制的應用程式法》，國會直接立法點名 ByteDance。這套的優點是速度快、政治動員力強，缺點是每次都要立一部新法、每次都會被告違憲、而且被點名國家會反彈。
印度走的是最激進的路線。
2020 年加勒萬河谷衝突之後，依《資訊科技法》第 69A 條一口氣禁 59 個中國 App，後來擴大到 200 多個。直接點名「中國 App」，法律上幾乎是明文歧視，能這樣做是因為印度不在乎 WTO 訴訟、也不在乎跟中國的關係惡化——換作大部分國家沒辦法這樣玩。印度做法的真正問題不是法律程序，是執行落差：App 被禁但 VPN 翻牆一樣能用，中國公司換個殼名字重新上架，禁令形同裝飾。
日本走的是產業政策路線。
2022 年通過《經濟安保推進法》，把地圖定位、半導體、AI、量子運算、網路安全等 11 項列為「特定重要物資」。法律上沒有明文禁中國產品，但透過政府採購、補貼本土業者（Zenrin、NavTime）、要求關鍵基礎設施業者優先採購國產，變相把中國服務從基礎設施市場排擠出去。這條路徑在法律上最乾淨，完全沒有歧視性規定，效果卻明顯。
四種路徑各有代價，但共同點都是：
這些國家已經意識到，消費性數位服務不能用舊的貿易法、產品安全法、個資法那套工具去管，必須建立一套新的監理框架。
台灣在這件事上，仍停在 2012 年個資法修正的那個版本。
台灣還缺什麼
把前面拆的拼起來，台灣的法律漏洞其實可以分成四層：
第一層：沒有民間監理入口。
《資通安全管理法》只管公務機關和關鍵基礎設施，民間完全裸奔。這一層需要的不是修《資通安全管理法》——那部法的立法目的本來就不是管民間。真正該做的是立一部新的《數位平台管理法》或《數位服務法》，把民間消費性平台納入監理。
第二層：沒有規模分層。
台灣現在的邏輯是「全有或全無」——要嘛整個禁（像高德），要嘛完全不管（像一般民間 App）。但一個 App 月活 1 萬和月活 500 萬是完全不同等級的風險，不該用同一套規則對待。歐盟 DSA 分三層（一般平台、大型平台、超大型平台）的設計值得直接抄——小型新創壓力小、合規成本低，大平台無差別嚴管。用台灣 2300 萬人口推算，參考歐盟 10% 門檻，最嚴那層大約落在月活 230 萬。
第三層：沒有資料流向揭露義務。
現行法律下，一家平台在台灣營運，完全可以不告訴政府也不告訴使用者「你們的資料存在哪個國家、備份在哪、誰有存取權限」。高德這次被禁是因為它太明顯——阿里 100% 持股、資料回傳中國，證據充分。但如果是一家結構比較複雜、帳面上不是中國公司、但資料路徑實際穿過中國的平台呢？現行法律基本上查不到。這一層需要強制揭露義務加上獨立稽核權，參考歐盟 DSA 的設計——平台自行公告、主管機關隨時介入查核。
第四層：沒有基礎設施層的管制。
政府機關 2019 年就禁用中國雲端服務，但這個禁令從來沒擴張到民間。這個漏洞比 App 層級的風險更底層、更難事後補救——App 被禁用戶換一個就好，資料被放進中國雲之後要遷出來是以年為單位的工程。這一層的細節我留到下一篇再展開，它值得單獨一篇文章。
該反的是管轄，不是血統
我想把這篇文章的核心判斷講清楚
反中反到位的唯一判準，是中國國安法的管轄範圍，不是公司的血統。
《國家情報法》第七條管的是「組織和公民」，屬人兼屬地。一家中國註冊的公司、一個在中國境內有營運實體的組織、一個持中國護照的公民（不管人在哪個國家），全部在它的射程內。只要一個服務實際上會被這條法律管到、而且規模大到有系統性影響，在台灣就應該嚴格管制。反過來，即使帳面上有中資背景，只要中國國安法管不到它的台灣用戶資料，就用一般的資料保護和反托拉斯框架去審，不需要動用國安大旗。
用這個判準去看各種複雜的混血平台——新加坡註冊但中國運維、美國上市但騰訊大股東、東南亞品牌但早期拿過滴滴的錢——答案其實會比「看股權猜中資」清楚得多。但這些個別案例怎麼判，下一篇我再分別拆開講。這篇只想把一件事講清楚：沒有穩定的判準框架、沒有規模分層的監理規則、沒有強制揭露義務、沒有基礎設施層管制，我們就會一直停留在「每次等熱門新聞逼出行政處分」的零售治理模式。
最後
禁高德這件事，說到底是一個觸發點，不是終點。它暴露出台灣現有法律工具箱的極限——公務機關可以管、民間管不到。每次等到某個中國 App 爆紅到新聞上，媒體壓力逼出行政處分，然後一直熱到下一個爆紅的再來，這種零售式治理不是治理，是救火。
歐盟花了四年把 DSA 從提案走到上路，日本經濟安保推進法兩年多完成立法，印度在一次邊境衝突之後兩天內禁了 59 個 App。台灣如果認真想做，用一年半到兩年把一部《數位服務法》立出來絕對不是難事。缺的不是時間、不是專業、不是國際範本，是政治意志——願不願意在高德這波熱度還沒冷卻之前，把法律漏洞一次補好。
這個窗口不會開太久。冷了就沒了。
文章來源：作者臉書發文
