大马通讯及多媒体委员会（MCMC）近日因被爆出曾要求电讯公司提供今年首三个月的通话与上网记录，而引发轩然大波。MCMC随后迅速发表声明回应，数家电讯公司也对这个名为“手机数据”（Mobile Phone Data，简称MPD）的项目发表声明。
昨天，MCMC举办了一场与媒体成员的说明会，现场也有电讯公司代表和马来西亚统计局（DOSM）出席，直接回应有关MPD的争议。虽然并非我们的所有问题都得到明确解答，但以下是说明会上获得的一些重点信息：
为何MPD未进行公开征询？
普遍民众是上周透过《南华早报》的报导，才第一次听说MPD计划的存在。于是，不少人都质疑，为何官方没有事先征询公众意见？
MCMC解释说，公开征询将在后期进行。尽管该项目早在2023年4月就获得内阁批准，并被DOSM定为国家大数据工程，但根据MCMC的说法，目前该计划仍属初期阶段。
DOSM国家大数据分析中心高级主管Jamaliah Jaafar也在说明会上补充，MPD计划将在2025年进入试行阶段，并持续至2026年。
MCMC副总执行长Zulkarnain Mohd Yasin 表示：
“现在没有公开征询，是因为目前阶段是让电讯公司准备就绪，确定如何执行数据处理、评估他们的准备情况，最重要的是，我们如何共同保护这些数据。我们正进行的，是与相关持份者的接洽，之后才进入公开环节。所以我们要先确保系统就绪，确保隐私与安全措施到位后，才向公众征询意见。那时公众可以放心这些问题都已纳入考量。”
电讯公司提交的数据长什么样？
MCMC强调，MPD项目要求的数据是“匿名化”的，不含个人可识别信息（PII）。为了加强说明，MCMC在说明会上公开了一份MPD的数据样本，列出他们向电讯公司索取的8项资料。
我们来看前7笔属于MSIDN编号“xty2pvgl”的数据。虽然这编号已被打乱，难以直接辨认出背后用户身份，但数据依旧显示了该用户所连接的电讯塔位置。
此外，从样本可见，该用户常在凌晨12点至清晨4点56分进行通话。虽然不知道名字和住址，但已能大致判断此人活动区域与作息习惯。
因此，这些数据其实并非真正“匿名化”，而更倾向于“假名化”（pseudonymisation）——仍存在被间接识别的可能。MCMC也透露，电讯公司可选择“匿名化”或“假名化”方式处理数据，只要在交付前做好处理。
值得思考的是，MCMC声称匿名化MPD不属于2010年《个人资料保护法》所界定的“个人资料”，那假名化的数据又属不属于？
用户无法选择退出MPD
若你对MPD项目感到不安，哪怕数据无法直接识别你，是否可以选择不让电讯公司提供你的资料？
答案是——不能。以下是说明会上的说法：
“这是内阁的决定。我们进行此计划，是为了国家发展，同时也是监管要求，电讯商必须配合。”
——MCMC副总执行长 Zulkarnain Mohd Yasin
“其实在1998年的《通讯及多媒体法令》中，就已赋予我们权力索取这类数据，以改善基础设施。但我们仍依据国际基准与惯例来执行。”
——MCMC委员 Derek John Fernandez
目前只有3家电讯公司在内部完成匿名处理
MCMC早前表示，电讯商可选择在自己的系统内完成数据匿名化处理，也可交由MCMC处理。说明会进一步揭露，目前只有Celcom、Digi和Maxis三家公司在内部完成了匿名化。
其余公司则选择让MCMC代为处理。MCMC强调，其首选仍是由电讯公司内部完成，并称这些公司已朝这方向努力。
数据储存在哪里？谁有权限访问？
说明会也谈及数据储存与访问权限。MCMC委员Derek表示，MPD数据并非储存在云端，也未委托任何外包公司处理。
所有数据均储存在MCMC总部，由MCMC内部团队处理。Zulkarnain补充说，MCMC有严格的资料存取规定：
“我们有非常严谨的管理制度，只有特定的数据团队能接触这些资料，不是1700位职员都能看到。我们有内部标准与控制机制，只有获授权的少数员工能接触这些资料。MCMC也设有一套全面的IT安全政策，包括信息保安、资产管理、存取控制、加密、实体与环境安全、操作安全、通讯安全、事故处理、合规性与业务持续管理下的信息安全等。所有内部存取也必须遵守安全协议。”——MCMC副总执行长 Zulkarnain Mohd Yasin
至于统计局，Jamaliah表示，DOSM被授权可使用这些数据进行检索，但数据依然由MCMC保管。她强调，统计局受《1965年统计法令》监管，所有个别资料均属保密，仅能公布汇总数据。
MCMC预计将保留MPD数据最多3年，不过也暗示未来或会缩短数据保存时限。
总结：MCMC 的MPD项目，目前为止
总体而言，这是MCMC首次公开就MPD计划向媒体释疑，主要目的是向公众传达其在个人资料保护方面的努力。MCMC和DOSM也说明了MPD对国家发展的潜在价值，尤其在资料搜集和政策制定效率方面。
但令人遗憾的是，公众是在“外泄”后才首次知晓MPD的存在。其实，哪怕没有完整资料架构，也应在初期就让人民知道政府正研究一个涉及全民数据的计划。
虽然2010年《个人资料保护法》不将“匿名化数据”列为“个人资料”，但这类资料仍是从个人资料中生成的。若MCMC一开始就举办类似说明会，公众的观感或许会大不相同。
尤其考虑到，马来西亚近年来在个人资料保护方面的记录，并不太理想。
