再用暴雪事件，談防衛性提供個資的重要性
法律保障的，往往就是我們最缺乏的
如果沒有預期自己的個資會被不當利用，提供個資時做好防衛性的準備，很容易就落入跟這次暴雪事件一樣的尷尬情況，或許不要刪除帳號還比較好。
註冊時提供身分證字號，刪除時卻要身分證照片
有鄉民在刪除暴雪帳號的討論串中提出一個論點：刪除帳號時提供的個資不能比申請時還要多。
正常來說，不應該要求註冊時未提供的資料作為佐證，這會造成收集資料的疑慮。
當你註冊時提供多少資料，要求變更時最多就是需要那些資料。
因此要求身分證明文件這點是否合理，須看註冊時是否有要求輸入相關資訊。
https://www.ptt.cc/bbs/C_Chat/M.1570683044.A.954.html
我們可以來看一下此例的狀況是什麼。
便利申請與嚴格認證的兩難
首先，申請暴雪帳號的確需要身分證字號，但只需要「字號」而非完整身分證認證，因此使用者可以隨便用身分證字號產生器就矇騙過關。
一般遊戲公司會這樣做的理由是不想讓申請帳號的體驗太複雜，否則就會讓玩家卻步，降低註冊人數與營收，但又保留了日後身分認證的可能。
現在來看刪除帳號需要的資料，需要你將身分證影本黏貼上去。
問題在於註冊時提供的是「字號」，刪除時要提供的是「圖片」，裡面有更多的資訊，最明顯的就是照片了，當然還有父母配偶出生地等等，都是註冊時不會提供的。
刪除帳號需要嚴格認證，畢竟誰都不希望被別人冒名刪除帳號，但跟「申請帳號時的方便」結合起來的結果，直接導致刪除時必須得提供比註冊還要更多的個人資料。
當然，我們可以遮蔽某些部分，只讓身分證字號露出，但暴雪要不要採用又是另一回事了。
更麻煩的是，就像我前一篇所說的，「請求刪除資料」並沒有保證事實上一定會被刪除，因為你沒有任何手段要求檢查暴雪的每一個資料庫，只能期望某些知情人士爆料之後還你一個公道，如果沒有的話，恐怕永遠沒人能知道真相。
這就是為什麼我要提到「防衛性提供個資」，要了解「防衛性提供個資」，先從防衛性駕駛開始談起。
防衛性駕駛
有鑑於台灣駕照取得門檻太低，守法的駕駛常常還會被其他不守法的駕駛危害到生命安全；換句話說，要保障自己的安全，就一定得了解防衛性駕駛的重要。
防衛性駕駛的定義：「在無法控制周圍環境以及其他人行為的情形下，保障生命、時間及金錢的駕駛方法」
白話一點來說，就是假設會有其他違法（或不注意）駕駛的情況下，保護自己的方法，比如假設巷口會有車子突然衝出來、假設砂石車轉彎看不到內側車道、假設別人會闖紅燈等等，因此我們必須時常保持警覺。
防衛性提供個資
我們不希望等到車禍發生之後才用法律討回公道，而是盡量讓交通事故不要發生；同樣地，在無法控制他人行為的前提下，保障個人隱私甚至生命安全的資料提供方法，就是防衛性提供個資。
由於查證困難，GDPR 在執行面上並不能指望太多，因此：
GDPR 對於企業來說是必須遵守的法律，但對於個人來說，更像是個資保護的「指引」：它告訴我們哪些是重要的，我們必須自己保護這些資料。
預期不可刪除、預期會被洩漏、預期會被剖析
GDPR 有所謂「被遺忘權」，也就是刪除資料連結、副本，或是再製的權利。
然而，雖然歐盟人民有要求企業刪除的權利，但並沒有要求企業把所有資料庫公開給你檢查的權利，所以除非相關人士爆料，否則外部不可能查到內部偷偷備份的情事。
也就是說，我們在給出資料的同時，就必須假設對方會「假刪除、真備份」。
同樣地，雖然企業有「外洩立即通知義務」，但除非相關人士爆料，否則外部不可能查到資料洩漏走向；雖然我們有「拒絕被頗析權」，但也不可能知道你的資料被做成什麼模型使用。
預期不可攜帶
GDPR 明訂資料要能被攜帶到不同服務商，但並沒有規定格式以及轉移成本、時間。
比如暴雪可以半年才回覆你的需求，並且收費一萬美金，最後給你非常難以處理的非結構化檔案（比如圖片或 PDF），你必須自己做文字辨識才能使用。
當然，這可能牽涉到消保法之類的議題，但至少以上行為並沒有違反 GDPR。
預期會被迫接受歧視
GDPR 表示，企業不可以以各種方式歧視特定族群（性傾向、宗教、種族、收入、年齡等），必須告知使用者用什麼樣的評分標準，使用者也有權力拒絕這個標準。
但事實上，沒有人可以審核那些公開的標準是否跟內部演算法完全一致，即使一致，使用者能拒絕的能力也很有限，就像我們都會按下臉書同意條款一樣，在很多時候使用者不想被排擠在朋友圈之外，就必須接受這個遊戲規則。
可以做的事情非常有限
GDPR 雖然短期內無法保護好我們的資料，也無法直接還給我們資料的權利，但它明確地告訴我們，哪些是「應該要有」的權利。
至少我們可以做的是：不要隨便提供資料、隨時做好資料轉移的準備、清楚意識到演算法一直都在做差別化，自己有被歧視的風險，並持續了解它。
下一次註冊帳號之前，先想想它會帶來的嚴重後果吧。