近期，新加坡國會就身份證號碼使用和隱私保護問題進行了討論。新加坡數碼發展及新聞部長楊莉明在1月8日的國會會議上發表聲明，強調政府不打算將身份證號碼廣泛公開。
以下內容為新加坡眼根據國會英文資料翻譯整理：
楊莉明（新加坡數碼發展與新聞部長）在國會上表示，總共有51個議會問題（PQs）針對國民登記身份證（NRIC）的政策及會計與企業管制局（ACRA）在Bizfile門戶上披露NRIC號碼的情況提出，她和財政部第二部長英蘭妮女士分別發表部長聲明，以回應這些問題。兩人的聲明將涵蓋之前議程和未來會議上提出的相關問題。
核心要點：
2025年1月26日，楊莉明部長的此次聲明主要回應了公眾對NRIC政策的關切，特別是在會計與企業監管局（ACRA）Bizfile門戶網站中披露NRIC號碼的事件後，公眾對政府可能改變NRIC號碼披露政策的擔憂。部長強調，政府並沒有意圖廣泛披露NRIC號碼，且現有的NRIC使用政策和數據保護規定不會發生根本改變。以下是部長聲明的主要要點：
1. 對公眾關切的回應
楊莉明部長首先對公眾的關切表示理解，並強調Bizfile事件是一個不幸的事故。這一事件可能使公眾誤以為政府正在改變政策，允許大規模披露完整的NRIC號碼。部長明確指出，政府並沒有這個意圖，NRIC號碼依然被視為個人數據，只能在有必要的情況下收集和使用。對這一錯誤的發生，政府深感抱歉，並表示將採取措施確保類似事件不再發生。
2. NRIC號碼的隱私與安全
部長強調，NRIC號碼是個人身份的唯一標識符，雖然它並非完全保密（類似於名字），但它也不應被廣泛披露。NRIC號碼只能在某些特定情況下披露，例如：法律要求、僱主、診所或在註冊手機號碼時等情況。長期以來，NRIC號碼已被廣泛使用，不僅僅是作為身份標識符，甚至有些組織錯誤地將其作為認證工具或密碼，三觀使用其部分數字（如後四位）作為安全手段，這給人以錯誤的安全感。楊莉明強調，這種使用方法不恰當，必須予以停止。
3. 對NRIC號碼誤用的回應
部長提到，雖然NRIC號碼設計為身份標識符，但它不應被作為認證或密碼使用。過去，某些組織會要求提供完整的NRIC號碼來確認身份，甚至有些個人會將其作為密碼使用，這種做法是不恰當的。特別是，隨著網絡算法的進步，部分NRIC號碼（如最後四位數字）可以被輕易還原為完整號碼，從而帶來信息泄露的風險。
部長進一步指出，政府已經意識到這一問題，並決定採取行動，停止將NRIC號碼作為認證工具或密碼使用。政府將在公共部門開始實施這一變化，並計劃將其推廣到私營部門。通過這些措施，政府希望能夠消除NRIC號碼被濫用的風險，提升個人數據保護的水平。但現階段仍可收集部分號碼作為識別用途。未來計劃與公眾和私營部門展開廣泛諮詢，以更新指導原則。
4. Bizfile事件的反思
部長承認，由於不同政府部門間缺乏協調，ACRA在Bizfile門戶網站的「人員查詢」功能中錯誤地披露了完整的NRIC號碼。這一失誤並非政府意圖的結果，部長強調，政府在推進去除NRIC號碼屏蔽功能時，應當明確說明，在某些情況下，不是所有的NRIC號碼都應該披露，尤其是完整的NRIC號碼。此事發生後，政府決定更審慎地處理這些政策變化，確保此類錯誤不再發生。政府計劃開展大規模公眾教育，強調NRIC號碼的安全性及正確用法；個體需立即更改使用NRIC號碼作為密碼的習慣，以避免身份盜用或其他風險。
5. 下一步的措施與時間表
部長強調政府對數據保護的重視，提到公共部門需遵循《公共部門（治理）法》（PSGA）及內規，數據保護標準不低於《個人資料保護法》（PDPA）。ACRA因未能協調好相關流程而泄露NRIC號碼，政府對此進行嚴格審查並加強未來預防措施。部長透露，政府已經指示各公共機構停止將NRIC號碼用作認證工具或密碼，並逐步廢除現有的NRIC號碼屏蔽使用方式。這一轉變預計將需要一定的時間，但政府決定在問題相對可控的情況下率先推動這一改革。
對於私營部門的改革，部長指出，政府並未立即啟動相關工作，因為私營部門存在長期的慣例和實踐，改變這些做法可能需要更長的時間。政府的初步計劃是先從公共部門入手，積累經驗後，再逐步引導私營部門進行改革。針對私營部門使用NRIC號碼的現狀，政府已經開始向相關企業提供指導，要求其停止將NRIC號碼用作認證工具或默認密碼。
6. 應對私營部門的建議
針對私營部門的情況，楊莉明部長提出了兩個具體建議：一是私營部門應儘快停止使用NRIC號碼作為身份認證或密碼；二是對於仍在使用部分NRIC號碼（如最後四位數字）作為識別工具的企業，可以繼續使用這一做法，但未來將考慮根據公眾意見更新相關規定。部長還提到，政府將開展與私營部門的廣泛諮詢，聽取企業的意見，進一步完善相關政策。
7. 公眾教育與數據保護
為了防止NRIC號碼被錯誤使用，政府還將加強公眾教育，幫助公眾和企業了解NRIC號碼的正確使用方式。部長特彆強調，NRIC號碼仍然是個人數據，企業在收集和使用NRIC號碼時，必須履行保護責任，遵守法律規定，確保數據安全。此外，政府還將繼續審查並強化數據保護措施，確保所有公共機構和企業都能遵循嚴格的數據保護標準。
8. 與私營企業的協作與計劃
楊莉明部長還補充道，政府已經開始向私營部門提出相關要求，儘管這類改革可能需要更多時間才能完成。政府計劃在未來與私營部門密切合作，幫助企業識別出現問題的領域，並提供指導，逐步過渡到更安全、更符合數據保護要求的做法。
9. NRIC號碼與個人身份保護
在聲明的最後，楊莉明部長提醒公眾，要清楚認識到NRIC號碼是個人身份的關鍵標識符，但它也並非完全保密的。公眾應保持警惕，特別是在接到不明身份的電話或郵件時，不應輕易相信他們，因為這些人可能只知道公眾的NRIC號碼，而非其他身份信息。此外，公眾應定期檢查自己是否曾將NRIC號碼用作密碼，並及時更換這些密碼，以確保個人信息安全。
10. 總結
政府非常重視NRIC號碼的安全使用。儘管當前已有相關的數據保護法律和規定，但由於不當使用NRIC號碼的現象仍然存在，政府決定採取進一步措施，以保障公眾個人信息的安全。未來，政府將加強與公眾和私營部門的合作，推動改革，並在此過程中確保個人信息得到應有的保護。
通過這一系列的改革措施，政府希望能夠提高公眾對NRIC號碼使用的認知，避免其被誤用或濫用。同時，政府也向社會各界傳遞了一個重要的信息，即數據安全和個人隱私保護將繼續是政府的優先事項，公眾和企業應共同努力，確保這一目標的實現。
以下是英文質詢內容：
The Minister for Digital Development and Information (Mrs Josephine Teo): Mr Speaker, Members have filed a total of 51 Parliamentary Questions (PQs) on the National Registration Identity Card (NRIC) policy and the disclosure of NRIC numbers on the Accounting and Corporate Regulatory Authority's (ACRA's) Bizfile portal. Second Minister for Finance Ms Indranee Rajah and I will be making Ministerial Statements to address the issues raised. Our Statements will address Question Nos 1 to 37 for oral answer in yesterday’s Order Paper; Question Nos 3 to 8 and 39 to 44 for written answer in yesterday’s Order Paper; Question No 52 for oral answer in today’s Order Paper, and related questions that have been filed for subsequent Sittings.
Mr Speaker: Please go ahead.
Mrs Josephine Teo: Sir, let me start by acknowledging the concerns raised by the public over NRIC policy. The Bizfile incident is unfortunate.
Without intending to, it may have led the public to believe that the Government is changing its policy to allow full NRIC numbers to be exposed on a wide scale. This is not the case. We take the public's concerns very seriously and are very sorry that the mistake has caused them much anxiety.
I want to reassure the public that NRIC numbers remain personal data. NRIC numbers can only be collected when there is a need to do so. Organisations that collect NRIC numbers also have a duty of care. Subject to applicable law, they must notify and seek consent on use, and ensure protection of the data. These are existing guidelines that will not change.
However, there are also some incorrect uses of the NRIC number today. Our plan was to stop these incorrect uses while the problem is relatively contained. Doing so will better protect everyone and allow us to use NRIC numbers with confidence.
In this regard, my Statement today will address two issues: the current incorrect uses of NRIC numbers and why we need to change; and what our next steps will be.
Sir, when we interact with others daily, we are identified by our names. However, our names may not be unique. For organisations that deal with many people, say, a hospital with several patients named John Tan, they need a better way to uniquely identify them. Their NRIC number is a useful unique identifier in such situations. When the hospital needs to perform an operation or dispense medication, the doctor or nurse must make absolutely sure that it is the right John Tan they are dealing with and they should ask you, "What is your NRIC number?"
Since the NRIC number's purpose is to be a unique identifier, it cannot be a secret, just as our names are not secret. I should emphasise, however, that while your NRIC number is not a secret, it is not meant to be widely disclosed. This is the concern echoed in Mr Lim Biow Chuan's question.
We would only disclose our NRIC number under certain circumstances, for example, when required by law. Some examples include disclosing our NRIC number to our employers, at the clinic or when we subscribe to a mobile telephone line. Because we do have to disclose our NRIC number to others for such purposes, we must assume that at least some people know our NRIC number.
Over time, however, NRIC numbers have become increasingly used as more than an identifier. Previously, organisations would require seeing my physical NRIC card to confirm that I am who I claimed to be. However, some organisations assume that if someone can cite my NRIC number, that person must be me! This is clearly wrong.
On the assumption that this person is indeed me, some organisations may go further to give the person access to privileged information or services. When used this way, my NRIC number is no longer just an ID, or identifier, but a key to unlock more information or services. In such situations, the NRIC number is being accepted as an authenticator, or proof of who a person claims to be. This is clearly inappropriate.
