近期，新加坡国会就身份证号码使用和隐私保护问题进行了讨论。新加坡数码发展及新闻部长杨莉明在1月8日的国会会议上发表声明，强调政府不打算将身份证号码广泛公开。
以下内容为新加坡眼根据国会英文资料翻译整理：
杨莉明（新加坡数码发展与新闻部长）在国会上表示，总共有51个议会问题（PQs）针对国民登记身份证（NRIC）的政策及会计与企业管制局（ACRA）在Bizfile门户上披露NRIC号码的情况提出，她和财政部第二部长英兰妮女士分别发表部长声明，以回应这些问题。两人的声明将涵盖之前议程和未来会议上提出的相关问题。
核心要点：
2025年1月26日，杨莉明部长的此次声明主要回应了公众对NRIC政策的关切，特别是在会计与企业监管局（ACRA）Bizfile门户网站中披露NRIC号码的事件后，公众对政府可能改变NRIC号码披露政策的担忧。部长强调，政府并没有意图广泛披露NRIC号码，且现有的NRIC使用政策和数据保护规定不会发生根本改变。以下是部长声明的主要要点：
1. 对公众关切的回应
杨莉明部长首先对公众的关切表示理解，并强调Bizfile事件是一个不幸的事故。这一事件可能使公众误以为政府正在改变政策，允许大规模披露完整的NRIC号码。部长明确指出，政府并没有这个意图，NRIC号码依然被视为个人数据，只能在有必要的情况下收集和使用。对这一错误的发生，政府深感抱歉，并表示将采取措施确保类似事件不再发生。
2. NRIC号码的隐私与安全
部长强调，NRIC号码是个人身份的唯一标识符，虽然它并非完全保密（类似于名字），但它也不应被广泛披露。NRIC号码只能在某些特定情况下披露，例如：法律要求、雇主、诊所或在注册手机号码时等情况。长期以来，NRIC号码已被广泛使用，不仅仅是作为身份标识符，甚至有些组织错误地将其作为认证工具或密码，三观使用其部分数字（如后四位）作为安全手段，这给人以错误的安全感。杨莉明强调，这种使用方法不恰当，必须予以停止。
3. 对NRIC号码误用的回应
部长提到，虽然NRIC号码设计为身份标识符，但它不应被作为认证或密码使用。过去，某些组织会要求提供完整的NRIC号码来确认身份，甚至有些个人会将其作为密码使用，这种做法是不恰当的。特别是，随着网络算法的进步，部分NRIC号码（如最后四位数字）可以被轻易还原为完整号码，从而带来信息泄露的风险。
部长进一步指出，政府已经意识到这一问题，并决定采取行动，停止将NRIC号码作为认证工具或密码使用。政府将在公共部门开始实施这一变化，并计划将其推广到私营部门。通过这些措施，政府希望能够消除NRIC号码被滥用的风险，提升个人数据保护的水平。但现阶段仍可收集部分号码作为识别用途。未来计划与公众和私营部门展开广泛咨询，以更新指导原则。
4. Bizfile事件的反思
部长承认，由于不同政府部门间缺乏协调，ACRA在Bizfile门户网站的“人员查询”功能中错误地披露了完整的NRIC号码。这一失误并非政府意图的结果，部长强调，政府在推进去除NRIC号码屏蔽功能时，应当明确说明，在某些情况下，不是所有的NRIC号码都应该披露，尤其是完整的NRIC号码。此事发生后，政府决定更审慎地处理这些政策变化，确保此类错误不再发生。政府计划开展大规模公众教育，强调NRIC号码的安全性及正确用法；个体需立即更改使用NRIC号码作为密码的习惯，以避免身份盗用或其他风险。
5. 下一步的措施与时间表
部长强调政府对数据保护的重视，提到公共部门需遵循《公共部门（治理）法》（PSGA）及内规，数据保护标准不低于《个人资料保护法》（PDPA）。ACRA因未能协调好相关流程而泄露NRIC号码，政府对此进行严格审查并加强未来预防措施。部长透露，政府已经指示各公共机构停止将NRIC号码用作认证工具或密码，并逐步废除现有的NRIC号码屏蔽使用方式。这一转变预计将需要一定的时间，但政府决定在问题相对可控的情况下率先推动这一改革。
对于私营部门的改革，部长指出，政府并未立即启动相关工作，因为私营部门存在长期的惯例和实践，改变这些做法可能需要更长的时间。政府的初步计划是先从公共部门入手，积累经验后，再逐步引导私营部门进行改革。针对私营部门使用NRIC号码的现状，政府已经开始向相关企业提供指导，要求其停止将NRIC号码用作认证工具或默认密码。
6. 应对私营部门的建议
针对私营部门的情况，杨莉明部长提出了两个具体建议：一是私营部门应尽快停止使用NRIC号码作为身份认证或密码；二是对于仍在使用部分NRIC号码（如最后四位数字）作为识别工具的企业，可以继续使用这一做法，但未来将考虑根据公众意见更新相关规定。部长还提到，政府将开展与私营部门的广泛咨询，听取企业的意见，进一步完善相关政策。
7. 公众教育与数据保护
为了防止NRIC号码被错误使用，政府还将加强公众教育，帮助公众和企业了解NRIC号码的正确使用方式。部长特别强调，NRIC号码仍然是个人数据，企业在收集和使用NRIC号码时，必须履行保护责任，遵守法律规定，确保数据安全。此外，政府还将继续审查并强化数据保护措施，确保所有公共机构和企业都能遵循严格的数据保护标准。
8. 与私营企业的协作与计划
杨莉明部长还补充道，政府已经开始向私营部门提出相关要求，尽管这类改革可能需要更多时间才能完成。政府计划在未来与私营部门密切合作，帮助企业识别出现问题的领域，并提供指导，逐步过渡到更安全、更符合数据保护要求的做法。
9. NRIC号码与个人身份保护
在声明的最后，杨莉明部长提醒公众，要清楚认识到NRIC号码是个人身份的关键标识符，但它也并非完全保密的。公众应保持警惕，特别是在接到不明身份的电话或邮件时，不应轻易相信他们，因为这些人可能只知道公众的NRIC号码，而非其他身份信息。此外，公众应定期检查自己是否曾将NRIC号码用作密码，并及时更换这些密码，以确保个人信息安全。
10. 总结
政府非常重视NRIC号码的安全使用。尽管当前已有相关的数据保护法律和规定，但由于不当使用NRIC号码的现象仍然存在，政府决定采取进一步措施，以保障公众个人信息的安全。未来，政府将加强与公众和私营部门的合作，推动改革，并在此过程中确保个人信息得到应有的保护。
通过这一系列的改革措施，政府希望能够提高公众对NRIC号码使用的认知，避免其被误用或滥用。同时，政府也向社会各界传递了一个重要的信息，即数据安全和个人隐私保护将继续是政府的优先事项，公众和企业应共同努力，确保这一目标的实现。
以下是英文质询内容：
The Minister for Digital Development and Information (Mrs Josephine Teo): Mr Speaker, Members have filed a total of 51 Parliamentary Questions (PQs) on the National Registration Identity Card (NRIC) policy and the disclosure of NRIC numbers on the Accounting and Corporate Regulatory Authority's (ACRA's) Bizfile portal. Second Minister for Finance Ms Indranee Rajah and I will be making Ministerial Statements to address the issues raised. Our Statements will address Question Nos 1 to 37 for oral answer in yesterday’s Order Paper; Question Nos 3 to 8 and 39 to 44 for written answer in yesterday’s Order Paper; Question No 52 for oral answer in today’s Order Paper, and related questions that have been filed for subsequent Sittings.
Mr Speaker: Please go ahead.
Mrs Josephine Teo: Sir, let me start by acknowledging the concerns raised by the public over NRIC policy. The Bizfile incident is unfortunate.
Without intending to, it may have led the public to believe that the Government is changing its policy to allow full NRIC numbers to be exposed on a wide scale. This is not the case. We take the public's concerns very seriously and are very sorry that the mistake has caused them much anxiety.
I want to reassure the public that NRIC numbers remain personal data. NRIC numbers can only be collected when there is a need to do so. Organisations that collect NRIC numbers also have a duty of care. Subject to applicable law, they must notify and seek consent on use, and ensure protection of the data. These are existing guidelines that will not change.
However, there are also some incorrect uses of the NRIC number today. Our plan was to stop these incorrect uses while the problem is relatively contained. Doing so will better protect everyone and allow us to use NRIC numbers with confidence.
In this regard, my Statement today will address two issues: the current incorrect uses of NRIC numbers and why we need to change; and what our next steps will be.
Sir, when we interact with others daily, we are identified by our names. However, our names may not be unique. For organisations that deal with many people, say, a hospital with several patients named John Tan, they need a better way to uniquely identify them. Their NRIC number is a useful unique identifier in such situations. When the hospital needs to perform an operation or dispense medication, the doctor or nurse must make absolutely sure that it is the right John Tan they are dealing with and they should ask you, "What is your NRIC number?"
Since the NRIC number's purpose is to be a unique identifier, it cannot be a secret, just as our names are not secret. I should emphasise, however, that while your NRIC number is not a secret, it is not meant to be widely disclosed. This is the concern echoed in Mr Lim Biow Chuan's question.
We would only disclose our NRIC number under certain circumstances, for example, when required by law. Some examples include disclosing our NRIC number to our employers, at the clinic or when we subscribe to a mobile telephone line. Because we do have to disclose our NRIC number to others for such purposes, we must assume that at least some people know our NRIC number.
Over time, however, NRIC numbers have become increasingly used as more than an identifier. Previously, organisations would require seeing my physical NRIC card to confirm that I am who I claimed to be. However, some organisations assume that if someone can cite my NRIC number, that person must be me! This is clearly wrong.
On the assumption that this person is indeed me, some organisations may go further to give the person access to privileged information or services. When used this way, my NRIC number is no longer just an ID, or identifier, but a key to unlock more information or services. In such situations, the NRIC number is being accepted as an authenticator, or proof of who a person claims to be. This is clearly inappropriate.
