中國製導航軟體「高德地圖」自去年（2025）年中開始更新台灣地圖，並開放以台灣手機門號註冊會員後，逐漸形成網路話題，並同時擠進App Store和Google Play「導航類」軟體下載排行榜，但因其運作受到中國法律監管，始終爭議不斷。

今年（2026）4月23日，數位發展部依《資通安全管理法》禁止公務機關使用。5月27日數發部再針對高德地圖等4款中國製軟體發表資安檢測報告，說明高德地圖被列為「危害國家資通安全產品」的原因，並呼籲民眾減少使用。

在數發部提供的簡報中，高德地圖於Android系統的手機上共出現「於關閉狀態下對外傳輸資料、將資料傳輸到中國境內伺服器、讀取使用者裝置的識別碼」等11種具有資安風險的行為，在iOS系統上則是8種，不過數發部並未詳細解釋檢測結果的細節。

實測完成後，我們將抓取的封包檔案拆解分析時，發現高德地圖針對多數請求的內容皆有做二次加密，為了完整還原，我們使用以下方法試圖還原高德地圖的封包內容。

以上實驗資料總計取得三款導航軟體共8,713次請求資料，其中高德地圖4,130次、Google地圖3,454次、導航王3D為1,129次。

我們接著將所有收集的封包資料轉為相同、可閱讀的編碼格式後（Google地圖資料皆以Protobuf格式編碼），分析其中「非下載圖資，且有上傳使用者位置資料」的請求，作為分析基礎。

不過，我們的實驗僅能夠監測從本機端送出的流量以及上傳資料內容，無法進一步解析其應用程式內部發送邏輯，或伺服器端在接收到資料後的應用或儲存方式。

實際在同一時段、同一路徑、同一網路環境使用三廠導航軟體後，我們發現：

經採訪專家後得知，像高德地圖如此高頻率地上傳資料，應該不是導航軟體的正常情況──這些運算通常在本機端完成，只有在需要伺服器提供新路線規劃時，才應該上傳較大量的匿名資料。

此外，與Google地圖和導航王3D相比，高德地圖還會每分鐘上傳一次完整的裝置GPS與多個手機傳感器資料，包含氣壓計、陀螺儀、環境光感應器、加速度感應器等，這些原始資料通常也僅供本機端計算，用以輔助GPS位置準確度，以及使用者的所處環境、移動路徑預測。

在分析三款導航軟體上傳的封包差異時，我們進一步發現，高德地圖每次上傳時都會夾帶一個叫做「CAID」的代碼，由具有中國政府官方性質的中國信息通信研究院和中國廣告協會發明，用來識別使用者。

為了實驗CAID是否形成跨App追蹤，我們接續多次格式化三支手機，同時安裝高德地圖、百度搜尋與淘寶，並用相同方式抓取封包，分析上傳資料中是否出現相同的CAID。結論顯示，這串號碼在高德地圖上傳所有資料的時候幾乎都會出現，且在同一個裝置上無論測試幾次，重新安裝後也一樣，只有在裝置格式化之後才會產生新的CAID。

此外，我們進一步發現，百度搜尋上傳的封包中也存在和高德地圖相同的CAID。以其中一次測試結果為例，高德地圖和百度搜尋向中國境內伺服器上傳的封包中，皆出現「bf150b7f1c297e4871d48cfdf17b6fd2」和「77012737da522ebb20fc018a3bc9d29f」兩串相同的代碼，並各自搭配「20250325」和「20230330」兩組數字，根據CAID官方技術文件，這是代碼的版本編號。

依此可推測，就算使用者未在高德地圖註冊會員並登入，只要同一個裝置上面有曾經登入過的百度搜尋，或者其他使用CAID代碼的應用程式，便可能從本串CAID回溯識別出資料的主人身分。

高德地圖綁定的CAID碼，甚至是一安裝便存在，軟體未詢問使用者是否同意；百度搜尋則是會先徵求使用者同意後，才會埋入這串代碼。

在專家眼中，高德地圖的運作有何特別之處？

台灣數位安全發展協會理事長劉彥伯表示，導航軟體「上傳」封包通常是在設定目的地，以及自動更新位置資訊當下。他舉例，假設一名駕駛要從台北車站開車到淡水，當它按出「規劃路徑」按鈕時，系統便會向伺服器聯繫，並推算出各條可能路徑後供手機下載。

此時導航軟體畫面上雖只呈現「最佳路線」，但駕駛的手機內已經存進多條路徑，當駕駛轉錯路，或希望換另一條幹道前進，系統便會自動切換，或重新向伺服器要求存取資料。劉彥伯說明，大部分的即時運算都靠著手機內部的感測器運作，「即使沒有網路，手機也能感受到我轉彎了、我移動了。」

劉彥伯認為，除非發生意外，車輛理論上不可能離開道路，因此導航軟體可以依地圖資料預測使用者的可能路徑，再透過上述資料預測移動方向、速度的「慣性」。也因為上傳、下載位置需要夠迅速，又得節省使用者的網路流量，因此劉彥伯判斷，「應該不會隨時傳送，通常會累積一定的資料量後再和伺服器連線。」

高德地圖的精準度，其一應來自於大量上傳使用者資料，其二或許是「圖資」準確度較高。劉彥伯指出，圖資不只道路地圖，還包含3D模型、地標、商家、交通號誌位置等資料，每種「資料圖層」都是一筆高額成本，因此導航廠商通常不會全買，而是依其軟體預設的經營方向和客戶需求進行選配。

以Google地圖和高德地圖為例，它們除了單純交通導航外，更致力於建構使用者「生態系」，成為民眾日常生活的必備品。一名曾在Google地圖任職的後端工程師Miles（化名）向《報導者》透露，Google的最大目標就是讓使用者「都下載它們的軟體，停留時間愈久愈好」。

Miles說，Google地圖的設計非常在意「地標準確度」，用意是建立使用者的信任度，讓他們搜尋地標時覺得夠方便，願意主動新增、訂正資料、發表評論，甚至以成為Google地圖認可的「在地嚮導」為榮。

這種讓志願者協助軟體商的經營策略稱為「群眾外包」（crowdsourcing），劉彥伯認為，高德地圖在中國擁有極高市占率，目前更希望進軍海外，其中一做法就是參考Google目前已成熟的群眾外包概念。

與高德地圖和Google地圖相比，本次《報導者》團隊實測的第三款導航軟體、台灣自製的「導航王」系列經營策略則完全不同。開發導航王3D、導航王TM的勤崴國際科技副總經理林映帆解釋，旗下用戶以計程車、遊覽車、貨運司機等「職業駕駛」為主。

導航王上傳使用者資料的頻率遠低於高德地圖、Google地圖，原因是它幾乎全程在手機內部運算，僅有搜尋地標且按下規劃路徑時，才會上傳一次索取資料的封包。林映帆表示，職業駕駛比起普通民眾，更常在網路不穩的地區移動，再加上導航王從「車用導航機」領域發跡，因此軟體功能強調純交通用途。

例如貨運司機需要在短時間內前往數十個地點送貨，導航王便有「路順」功能，依司機需求計算出最適合送貨的路線。在精準度之外，如何打造自家產品和競爭者「差異化」，是導航界的存活法則。

在各類導航功能中 ，高德地圖引起關注的另一創舉便是「預測紅綠燈秒數」。雖然《報導者》團隊實測後發現，台北市內支援此功能的路口仍非常少，並且導航軟體上的數據和現實狀況偶有誤差，不過此功能的確讓高德地圖一度成為網路熱議話題。

根據「高德軟件公司」於2021、2022年向中國國家知識產權局申請的〈CN114463969B〉、〈CN114999143B〉兩份專利資料，在高德地圖無法串接台灣政府數據庫的情況下，它們應是靠使用者手機端幾乎不間斷上傳的各類資料進行估算。

劉彥伯認為，此功能在中國十分精準，然而目前在台灣實用度不高，仍是吸引更多用戶下載、促成群眾外包的行銷手法。林映帆則透露，導航王曾經有類似計畫，在鄉鎮區實測卻發現有困難，由於導航王3D為「買斷制」，因此無法單獨讓都會區實現，其餘使用者卻感到差別待遇，但在高德地圖掀起台灣導航界動盪後，已研擬繼續推動此功能上線。

勤崴國際除了導航王，本業以販賣圖資起家。據了解，Apple Maps至今仍和勤崴國際合作，Google地圖則購買基礎圖資，其他如店家資訊、街景服務是自己建立。目前高德地圖的各國圖資是向荷蘭地圖商HERE technologies、TomTom等購買授權，其中以韓國為特例，是使用源自英國的「開放街圖」（OpenStreetMap）。

軍事作家李志德說明，由於韓國長期和朝鮮處於軍事對峙狀態，且雙方陸地直接相連，首都首爾離「南北韓軍事分界線」（俗稱38度線）車程僅有1小時，因此韓國訂立《空間資訊管理法》，對圖資採取嚴格控管。

Google地圖直到今年2月才被韓國政府允許使用「1：5,000」比例尺的高精度地圖，在此之前，未有任何外國導航軟體可在韓國正常運作，就連韓國本土的導航軟體Naver Map也常被使用者抱怨資訊簡陋。

由於OpenStreetMap是允許商業使用的開源計畫，因此如Apple、Amazon等跨國企業在韓國提供服務時，也都使用OpenStreetMap進行定位。不過高德地圖近期便遭韓國媒體《亞洲經濟日報》（아시아경제）揭露，未對韓國政府機關、軍事營區所在地進行模糊處理。

「任何會揭露使用者位置的數據，在科技業界都是最高隱私，」李志德說，高德地圖作為商業產品，理所當然要和他廠競爭，每家業者都會盡量提升其產品的使用者體驗，但在商業競爭以外，不能忽略中國透過法規監管，甚至有權命令科技業者配合中國的國家安全、情報作戰和「反分裂」需求。

不過西方國家的情況也並非毫無爭議。2018年Facebook公布13封來自美國聯邦調查局（FBI）的公文，揭露FBI在2014至2017年間，曾因為國家安全調查為由，私下要求調閱用戶資料。

同樣是2018年，英國政治公關公司「劍橋分析」被揭露長期在Facebook上透過一款心理測驗收集填寫問卷的用戶個資，再利用系統漏洞抓取用戶「好友」資料，在未經同意下得到全球至少5,000萬人個資。

隨後，劍橋分析透過大量個資建立心理學模型，在2016年美國總統大選、英國脫歐公投期間，為客戶精準投放具有煽動性，甚至造假的政治廣告與新聞，操控選民投票意向。案發後，該公司於2018年5月宣布破產，Facebook則因為監管不力，遭美國聯邦貿易委員會（FTC）罰款50億美元（約新台幣1,540億元），創下科技公司違反隱私規定的最高開罰紀錄。

當個資成為商品，使用者、科技公司、國家間相互拉扯不斷，21世紀後發生的大小案例也逐漸催生2016年歐盟《一般資料保護規則》（GDPR）和2020年美國《加州消費者隱私法案》（CCPA）立法，改變了民主國家與集權國家面對數據的「相對」立場。

中央研究院民族所副研究員李梅君長期研究數位科技與民主制度如何互動，她認為，科技巨頭將數據、使用者數據和注意力作為商品，形成了當代的數位資本主義（Digital Capitalism），在此基礎上，歐美相比中國最大差異仍是以「商業目的」為主要考量，較少牽涉國家安全，法規監管也較有保障。

資策會科技法律研究所跨域整合中心組長王德瀛也說明，歐盟GDPR包含蒐集資料最小化（Data minimization）、知情同意（Informed consent）等原則，而且管轄權依據並非基於「國籍」，是以「人所在的位置」為準，「只要一間公司提供的數位商品、服務，是針對歐盟境內的資料主體（一名可供識別的人類）販售，即使公司不位於歐盟境內，仍會被納入管轄。」

「歐洲國家經歷二次大戰後，（因納粹德國的教訓）對政府擴權有非常嚴肅的反省，因此對監控或標定個人非常敏感，尤其是種族、宗教、位置等特徵，」王德瀛解釋，GDPR在人權面確立了全球隱私權保護的新標準，商業面也讓他國企業進入歐盟市場前的成本上升，是一體兩面。而美國在加州CCPA上路後，已有超過20州各立州法（State Law），雖仍缺乏更上位階且統一的聯邦法（Federal Law），但個資保護也較過往成熟。

王德瀛表示，目前全球隱私權可分為美國、歐盟、中俄三大陣營，前兩者雖有立場衝突，隱私權法規的細節差異也讓企業界十分頭疼，然而面對中俄陣營的強硬風格，其餘國家近年正逐漸結盟，以日本推動的DFFT（Data Free Flow with Trust）為例，DFFT希望確保成員國間「可信任資料互相傳輸」，最後形成隱形防線，促成區域內的科技與經濟自由流通。

這仍不代表非中國製軟體也完全可信，李梅君強調，關鍵仍是民眾對「隱私」的重視程度，例如歐美科技業曾發生的多項資安事件，都是由科技業的內部員工出面吹哨，他們願意向外部揭露政界、企業界的不當手段，這種「由下而上」的主動揭弊，在東亞仍較為罕見。

中國製科技產品暗藏的「極權基因」平時不會被觸發，但在特殊條件下，它們恐成為政治工具。

曾經深入研究新疆集中營的《華爾街日報》（The Wall Street Journal）記者李肇華（Josh Chin）與林和（Liza Lin）在共同著作《監控國家：中國全力打造的數位烏托邦》中也定義：

「面對隱私保護的需求，中國領導人採取了新措施。他們會選擇性詮釋隱私的概念，並對其重新定義：它不再是一個抽象的個人權利，轉而和國家安全（以及中共本身的安全）的集體概念鍛接在一起。」

李梅君表示，中國對台灣的灰色侵擾愈來愈頻繁，「雙方長期以來因為經貿往來與民間互動，科技與通訊產業的聯繫非常密切。」雖然多數中國企業在發展初期也不具政治風險，然而，「中國政府的手什麼時候會伸進企業？什麼時候要求企業對『黨』效忠？我們永遠無法預測。」李梅君說：「無法預測，才是討論這件事最困難的地方。」