無所不在的間諜軟體
G7第四屆資料保護與隱私圓桌會議揭示隱私保護新趨勢 資訊工業策進會科技法律研究所 2025年03月10日 七大工業國組織（Group of Seven，下稱G7）於2024年10月10日至11日在義大利羅馬舉辦第四屆資料保護與隱私機構圓桌會議（Data Protection and Privacy Authorities Roundtable，下稱圓桌會議），並發布「G7 DPAs公報：資料時代的隱私」（G7 DPAs’ Communiqué: Privacy in the age of data，下稱公報）[1]，特別聚焦於人工智慧（AI）技術對隱私與資料保護的影響。 壹、緣起 由美國、德國、英國、法國、義大利、加拿大與日本的隱私主管機關（Data Protection and Privacy Authorities, DPAs）組成本次圓桌會議，針對數位社會中資料保護與隱私相關議題進行討論，涵蓋「基於信任的資料自由流通」（Data Free Flow with Trust, DFFT）、新興技術（Emerging technologies）、跨境執法合作（Enforcement cooperation）等三大議題。 本次公報重申，在資通訊技術主導的社會發展背景下，應以高標準來審視資料隱私，從而保障個人權益。而DPAs作為AI治理領域的關鍵角色，應確保AI技術的開發和應用既有效且負責任，同時在促進大眾對於涉及隱私與資料保護的AI技術認識與理解方面發揮重要作用[2]。此外，公報亦強調DPAs與歐盟理事會（Council of Europe, CoE）、經濟合作暨發展組織（Organisation for Economic Co-operation and Development, OECD）、亞太隱私機構（Asia Pacific Privacy Authorities, APPA）、全球隱私執行網路（Global Privacy Enforcement Network, GPEN）及全球隱私大會（Global Privacy Assembly, GPA）等國際論壇合作的重要性，並期望在推動資料保護與建立可信賴的AI技術方面作出貢獻[3]。 貳、重點說明 基於上述公報意旨，本次圓桌會議上通過《關於促進可信賴AI的資料保護機構角色的聲明》（Statement on the Role of Data Protection Authorities in Fostering Trustworthy AI）[4]、《關於AI與兒童的聲明》（Statement on AI and Children）[5]、《從跨國角度觀察降低可識別性：G7司法管轄區對匿名化、假名化與去識別化的法定及政策定義》（Reducing identifiability in cross-national perspective: Statutory and policy definitions for anonymization, pseudonymization, and de-identification in G7 jurisdictions）[6]，分別說明重點如下： 一、《關於促進可信賴AI的資料保護機構角色的聲明》 繼2023年第三屆圓桌會議通過《關於生成式AI聲明》（Statement on Generative AI）[7]後，本次圓桌會議再次通過《關於促進可信賴AI的資料保護機構角色的聲明》，旨在確立管理AI技術對資料保護與隱私風險的基本原則。G7 DPAs強調許多AI技術依賴個人資料的運用，這可能引發對個人偏見及歧視、不公平等問題。此外，本聲明中還表達了擔憂對這些問題可能透過深度偽造（Deepfake）技術及假訊息擴散，進一步對社會造成更廣泛的不良影響[8]。 基於上述考量，本聲明提出以下原則，納入G7 DPAs組織管理的核心方針[9]： 1. 以人為本的方法：G7 DPAs應透過資料保護來維護個人權利與自由，並在AI技術中提供以人權為核心的觀點。 2. 現有原則的適用：G7 DPAs應審視公平性、問責性、透明性和安全性等AI治理的核心原則，並確保其適用於AI相關框架。 3. AI核心要素的監督：G7 DPAs應從專業視角出發，監督AI的開發與運作，確保其符合負責任的標準，並有效保護個人資料。 4. 問題根源的因應：G7 DPAs應在AI的開發階段（上游）和應用階段（下游）找出問題，並在問題擴大影響前採取適當措施加以解決。 5. 善用經驗：G7 DPAs應充分利用其在資料領域的豐富經驗，謹慎且有效地應對AI相關挑戰。 二、《關於AI與兒童的聲明》 鑒於AI技術發展可能對於兒童和青少年產生重大影響，G7 DPAs發布本聲明表示，由於兒童和青少年的發展階段及其對於數位隱私的瞭解、生活經驗有限，DPAs應密切監控AI對兒童和青少年的資料保護、隱私權及自由可能造成的影響程度，並透過執法、制定適合年齡的設計實務守則，以及發佈面向兒童和青少年隱私權保護實務指南，以避免AI技術導致潛在侵害兒童和青少年隱私的行為[10]。 本聲明進一步闡述，當前及潛在侵害的風險包含[11]： 1. 基於AI的決策（AI-based decision making）：因AI運用透明度不足，可能使兒童及其照顧者無法獲得充足資訊，以瞭解其可能造成重大影響的決策。 2. 操縱與欺騙（Manipulation and deception）：AI工具可能具有操縱性、欺騙性或能夠危害使用者情緒狀態，促使個人採取可能危害自身利益的行動。例如導入AI的玩具可能使兒童難以分辨或質疑。 3. AI模型的訓練（Training of AI models）：蒐集和使用兒童個人資料來訓練AI模型，包括從公開來源爬取或透過連線裝置擷取資料，可能對兒童的隱私權造成嚴重侵害。 三、《從跨國角度觀察降低可識別性：G7司法管轄區對匿名化、假名化與去識別化的法定及政策定義》 考慮到個人資料匿名化、假名化及去識別化能促進資料的創新利用，有助於最大限度地減少隱私風險，本文件旨在整合G7成員國對於匿名化、假名化與去識別化的一致理解，針對必須降低可識別性的程度、資訊可用於識別個人的程度、減少可識別性的規定流程及技術、所產生的資訊是否被視為個人資料等要件進行整理，總結如下： 1. 去識別化（De-identification）：加拿大擬議《消費者隱私保護法》（Consumer Privacy Protection Act, CPPA）、英國《2018年資料保護法》（Data Protection Act 2018, DPA）及美國《健康保險可攜性及責任法》（Health Insurance Portability and Accountability Act , HIPAA）均有去識別化相關規範。關於降低可識別性的程度，加拿大CPPA、英國DPA規定去識別化資料必須達到無法直接識別特定個人的程度；美國HIPAA則規定去識別化資料須達到無法直接或間接識別特定個人的程度。再者，關於資料去識別化的定性，加拿大CPPA、英國DPA認定去識別化資料仍被視為個人資料，然而美國HIPAA則認定去識別化資料不屬於個人資料範疇。由此可見，各國對去識別化規定仍存在顯著差異[12]。 2. 假名化（Pseudonymization）：歐盟《一般資料保護規則》（General Data Protection Regulation, GDPR）及英國《一般資料保護規則》（UK GDPR）、日本《個人資料保護法》（個人情報の保護に関する法律）均有假名化相關規範。關於降低可識別性的程度，均要求假名化資料在不使用額外資訊的情況下，須達到無法直接識別特定個人的程度，但額外資訊應與假名化資料分開存放，並採取相應技術與組織措施，以確保無法重新識別特定個人，因此假名化資料仍被視為個人資料。而關於假名化程序，日本個資法明定應刪除或替換個人資料中可識別描述或符號，歐盟及英國GDPR雖未明定具體程序，但通常被認為採用類似程序[13]。 3. 匿名化（Anonymization）：歐盟及英國GDPR、日本個資法及加拿大CPPA均有匿名化相關規範。關於降低可識別性的程度，均要求匿名化資料無法直接或間接識別特定個人，惟可識別性的門檻存在些微差異，如歐盟及英國GDPR要求考慮控管者或其他人「合理可能用於」識別個人的所有方式；日本個資法則規定匿名化資料之處理過程必須符合法規標準且不可逆轉。再者，上述法規均將匿名化資料視為非屬於個人資料，但仍禁止用於重新識別特定個人[14]。 參、事件評析 本次圓桌會議上發布《關於促進可信賴AI的資料保護機構角色的聲明》、《關於AI與兒童的聲明》，彰顯G7 DPAs在推動AI治理原則方面的企圖，強調在AI技術蓬勃發展的背景下，隱私保護與兒童權益應成為優先關注的議題。與此同時，我國在2024年7月15日預告《人工智慧基本法》草案，展現對AI治理的高度重視，融合美國鼓勵創新、歐盟保障人權的思維，針對AI技術的應用提出永續發展、人類自主、隱私保護、資訊安全、透明可解釋、公平不歧視、問責等七項原則，為國內AI產業與應用發展奠定穩固基礎。 此外，本次圓桌會議所發布《從跨國角度觀察降低可識別性：G7司法管轄區對匿名化、假名化與去識別化的法定及政策定義》，揭示各國在降低可識別性相關用語定義及其在資料保護與隱私框架中的定位存在差異。隨著降低可識別性的方法與技術不斷創新，這一領域的監管挑戰日益突顯，也為跨境資料流動越發頻繁的國際環境提供了深化協調合作的契機。在全球日益關注資料保護與隱私的趨勢下，我國個人資料保護委員會籌備處於2024年12月20日公告《個人資料保護法》修正草案，要求民間業者設置個人資料保護長及稽核人員、強化事故通報義務，並針對高風險行業優先實施行政檢查等規定，以提升我國在數位時代的個資保護水準。 最後，本次圓桌會議尚訂定《2024/2025年行動計畫》（G7 Data Protection and Privacy Authorities’ Action Plan）[15]，圍繞DFFT、新興技術與跨境執法合作三大議題，並持續推動相關工作。然而，該行動計畫更接近於一項「基於共識的宣言」，主要呼籲各國及相關機構持續努力，而非設定具有強制力或明確期限的成果目標。G7 DPAs如何應對數位社會中的資料隱私挑戰，並建立更順暢且可信的國際資料流通機制，將成為未來關注的焦點。在全球共同面臨AI快速發展所帶來的機遇與挑戰之際，我國更應持續關注國際趨勢，結合自身需求制訂相關法規以完善相關法制，並積極推動國際合作以確保國內產業發展銜接國際標準。 [1]Office of the Privacy Commissioner of Canada [OPC], G7 DPAs’ Communiqué: Privacy in the age of data (2024), https://www.priv.gc.ca/en/opc-news/news-and-announcements/2024/communique-g7_241011/ (last visited Feb 3, 2025). [2]Id. at para. 5. [3]Id. at para. 7-9. [4]Office of the Privacy Commissioner of Canada [OPC], Statement on the Role of Data Protection Authorities in Fostering Trustworthy AI (2024), https://www.priv.gc.ca/en/opc-news/speeches-and-statements/2024/s-d_g7_20241011_ai/ (last visited Feb 3, 2025). [5]Office of the Privacy Commissioner of Canada [OPC], Statement on AI and Children (2024), https://www.priv.gc.ca/en/opc-news/speeches-and-statements/2024/s-d_g7_20241011_child-ai/ (last visited Feb 3, 2025). [6]Office of the Privacy Commissioner of Canada [OPC], Reducing identifiability in cross-national perspective: Statutory and policy definitions for anonymization, pseudonymization, and de-identification in G7 jurisdictions (2024), https://www.priv.gc.ca/en/opc-news/news-and-announcements/2024/de-id_20241011/ (last visited Feb 3, 2025). [7]Office of the Privacy Commissioner of Canada [OPC], Statement on Generative AI (2023), https://www.priv.gc.ca/en/opc-news/speeches-and-statements/2023/s-d_20230621_g7/ (last visited Feb 3, 2025). [8]Supra note 4, at para. 11. [9]Supra note 4, at para. 18. [10]Supra note 5, at para. 5-6. [11]Supra note 5, at para. 7. [12]Supra note 6, at para. 11-15. [13]Supra note 6, at para. 16-19. [14]Supra note 6, at para. 20-25. [15]Office of the Privacy Commissioner of Canada [OPC], G7 Data Protection and Privacy Authorities’ Action Plan (2024), https://www.priv.gc.ca/en/opc-news/news-and-announcements/2024/ap-g7_241011/ (last visited Feb 3, 2025).
巴西基因改造科技管理法制簡介 促進生物材料商業流通之OpenMTA促進生物材料商業流通之OpenMTA 資訊工業策進會科技法律研究所 方玟蓁 法律研究員 2019年3月 隨著全球老年人口的增加，使得心血管和骨科疾病的患者數量攀升，進而提高了市場對於生物材料的需求。根據Grand View Research報告指出，到2025年，全球生物材料市場規模預計將達到2504億美元[1]。 生物材料的類型包括載體、質體、噬菌體、病毒、細菌等[2]。為了生產出具理想性能之生物材料，往往需耗費龐大的研發時間與費用，因此，透過生物材料移轉合約 (Material Transfer Agreement，以下簡稱MTA)，將有利加速生物技術的開發。 過去公開了幾種類型的MTA[3]，允許學術界或慈善機構的研究人員能更輕鬆地在各研究單位間共享這些生物材料，其中最常使用的就是1995年由美國國家衛生研究院(National Institute of Healthcare)所發佈的統一生物材料移轉協議(Uniform Biological Material Transfer Agreement，以下簡稱UBMTA)[4]。UBMTA一直是被視為首選的通用定型化生物材料移轉合約，其提供了統一MTA模板，並進而促進研究用途的生物材料流通。 UBMTA的標竿性條款內容包括： 材料提供的使用目的在於教學與學術研究。 材料接受者於實施或發表過程中應註明其材料來源。 材料提供者擁有該材料所有權，即使是該材料被合併使用的情況下。 材料接受者擁有改良方法及其生產物質之所有權；惟屬於材料提供者的原材料相關專利及其他無形財產權，並不經由MTA而當然授權予材料接受者。 對於材料接受者於材料使用、儲存或保管所造成的一切有形與無形的損害，均不可歸責於材料提供者；材料提供者亦不提供材料接受者或任意第三方因材料研究、保存、運輸等行為而造成的損害補償。 材料提供者無償提供材料予接受者進行使用，而材料接受者除了需補償材料提供者於材料配送及準備中的必要費用外，材料提供者不應向材料接受者請求任何額外費用。 材料提供者不擔保任何材料使用過程中可能造成的第三方專利權、商標權或其他所有權的侵權問題。 除了上述被廣泛接受的內容外，UBMTA還包含了其他用來保護材料提供者對於被轉移材料的商業實施權及其所有權，這些內容包括: 材料接受者散佈該材料及其修飾物之對象，僅限非營利組織供教學或研究用途，且該非營利組織需先與材料提供者另行簽定UBMTA，始得取得材料。 若材料接受者對於該材料或該材料之修飾物具有商業行為之意圖，材料接受者應與材料提供者商討商業使用條件。 材料使用者可就其使用材料過程中之任何發現申請專利，惟其應將該行為通知材料提供者。 UBMTA雖然保障了材料接受者能夠無償使用該材料進行研發，但其對於被移轉材料的二次移轉，有嚴格的限制，造成許多材料接受者欲進行材料流通以及成果商業化的障礙。其中較具爭議的部分在於： 材料接受者不能是以營利為目的之研究單位。 材料接受者不可自行決定並散佈該材料、該材料之後代(如病毒所繁衍之後代)、未經修飾之衍生物(具有原材料功能之子單元，例如純化或部分的原材料子集合、由原材料DNA所組成的蛋白質)、單純修飾之物(具有或合併原材料之物質)。 在以上UBMTA的限制條件下，材料被限制為僅能單純提供作為學術研究使用，且材料提供者對於被轉移的材料及其衍生物具有絕對控制權，就材料接受者研發成果商業化的需求與角度來看，前述的UBMTA內容過度保護了材料提供者對於其材料流通範圍、使用目的、及其後續的任何商業利用。 2018年，生物科技的權威期刊Nature Biotechnology中，也提到許多生物技術研發常用到的材料例如病毒及細菌，其個體或樣本本身的經濟價值較低，且一般MTA之材料後續流程鮮少被監督，故UBMTA對於材料二次移轉的相關限制，徒增材料轉移的障礙，而缺乏實質限制效果[5]。由於生物技術之研發大多須以樣本本身作為基礎，進而研發其衍生物質及其用途相關成果；惟UBMTA對於材料移轉研發後續商業行為之限制，使得眾多學術界的材料接受者難以基於其初步研發之成果，接續尋找合適的合作者進行商業實施。 此外，身為市場上最大型且主要的生物材料共享組織Addgene[6]，其亦基於材料公開與分享的立場，使用UBMTA作為預設MTA，即便許多Addgene提供的材料本身並不具有特定商業價值，UBMTA亦排除了商業機構之研究人員使用Addgene所提供之材料資源進行相關研究。 基於上述UBMTA產生的材料流通性限制，BioBricks基金會[7]和OpenPlant[8]合作制訂了OpenMTA[9]，並於2018年發佈，其係建立於UBMTA的基礎上，惟更強化了材料移轉後材料接受者對於材料及其衍生物之商業上使用、散佈的可行性。OpenMTA主要的特色在於： 材料可取得性(ACCESS)：除了準備與配送等必要開銷費用之外，基於OpenMTA所提供之材料不需任何移轉費用。 材料歸屬(ATTRIBUTION)：材料接受方需依照材料提供者的要求具名材料來源。 材料再利用性(REUSE)：可基於OpenMTA所提供的材料進行修改，進而開發出新物質。 材料重新分配(REDISTRIBUTION)：OpenMTA不限制任何一方出售或贈送材料(包括其後代、未修改的衍生物)。 材料移轉之其非歧視原則(NONDISCRIMINATION)：OpenMTA支持各類機構研究人員之間的材料移轉，包括學術、工業、政府和社區實驗室的研究人員。 OpenMTA與UBMTA相比，其具兩點主要差異： 材料接受者可在未經材料提供者允許情況下，自行散佈於該材料使用過程中所產生之物質，所述物質包含原材料之後代、未經修飾之衍生物、以及單純修飾之物，而MTA中可另行要求材料接受者在進行此散佈行為時，需告知材料提供者。 材料接受者可以使用該材料進行任意符合法律之行為，其中亦包括商業相關之行為。 在這樣材料所有權開放的合約條款中，卻也引起了潛在風險問題： 材料本身可能具有危險性，若任其散佈，恐造成大範圍公共安全危險與傷害。 可供商業化使用的條款，將允許材料接受者可提供樣本給商業公司，使其可直接複製並進行販售，恐影響材料提供者的商業利益。 BioBricks基金會對於前述質疑之回覆分別為： 材料接收者可自行散佈之生物材料範圍，不適用數量有限、或受到嚴格生物安全法規限制之生物材料。 OpenMTA適用於個體價值低、或複製容易之材料，對於商業上有價值的材料樣本，材料提供者有可能具有適當修改並隱藏其材料中之新穎或秘密部分的能力，在這樣的情形下，材料提供者可以提供適當修改或加密後的樣本，以避免因開放流通而遭受商業上損失。 於OpenPlant的研究報告中，進一步提到現今的DNA合成技術已可於了解DNA資訊的情形下，使用極低的價格合成出與原DNA相同的DNA樣本，於此情況下，材料資訊的商業價值是比材料本身還要高，而材料的二次移轉也不會造成材料提供者嚴重的商業上損失[10]。然而，不論是UBMTA還是OpenMTA，其對於材料本身及其用途所包含的智財權利，均明訂不會隨著MTA而當然授權給材料接受者，故材料提供者所擁有與材料相關的智財權，亦應成為材料提供者於商業實施上的主要權利保護方式。 對於我國的相關學術單位來說，可善用OpenMTA取得生物材料，將有利於進行後續商業上試驗開發使用，惟不論是使用UBMTA還是OpenMTA，皆需釐清依附於生物材料上之相關智財權利，並須確保告知承接研發成果的企業，以免該企業在進行後續商業上行為時面臨智財侵權的風險。 [1] GRAND VIEW RESEARCH, Biomaterials Market Size Worth $250.4 Billion by 2025 l CAGR: 14.7%, November 2018, https://www.grandviewresearch.com/press-release/global-biomaterials-market (last visited March 10, 2019). [2] 智慧財產局，<何謂生物材料？>，專利Q&A， https://www.tipo.gov.tw/ct.asp?xItem=503975&ctNode=7633&mp=1 (最後瀏覽日：2019.03.10)。 [3] OpenPlant, Comparison of features and terms for standard MTAs, https://www.openplant.org/openmta (last visited March 10, 2019). MTA模板類型包含UBMTA、SLA、Science Commons、以及2018年發佈之OpenMTA。 [4] NIH, Forms and Model Agreements, https://www.ott.nih.gov/resources#MTACTA (last visited March 10, 2019). [5] Linda Kahl, Jennifer Molloy, Nicola Patron, Colette Matthewman, Jim Haseloff, David Grewal, Richard Johnson , Drew Endy, Opening options for material transfer, Nature Biotechnology volume 36, 923–927 (2018), available at https://www.nature.com/articles/nbt.4263 (last visited March 10, 2019). [6] Addgen, https://www.addgene.org/mission/ (last visited March 10, 2019).Addgen係一全球性非營利性存儲庫，旨在幫助科學家共享質粒。質粒是生命科學中常用的基於DNA的研究試劑。當科學家發表研究論文時，他們將相關的質粒存放在Addgene，然後，當其他科學家閱讀該出版物時，他們可以從Addgen取得未來實驗所需的質粒。在Addgene之前，科學家的任務是重複向每位新請求的科學家發送質粒。現在，科學家只需一次性的將他們的質粒運送到Addgene，即可交由Addgene負責質量控制、MTA合約、運輸和記錄保存。 [7] BioBricks, https://pansci.asia/archives/149977 (last visited March 10, 2019). BioBricks基金會係一公益組織，創立於2006年，其創立了一個開放的DNA標準環節資料庫。這類經細緻修改的環節能相互拼組，就像樂高方塊一樣。「拼組」係指萃取出的基因及基因開關組成一條條 DNA 鏈，兩端已經模組化，以便按正確的生物定向連接起來。當研究所需，就可以從資料庫調出各種基因環節，附著於小張試紙上運送至世界各地。要是添加溶劑，DNA便會漂移，如積木般與下一個環節結合。 [8] OpenPlant, https://www.openplant.org/openmta (last visited March 10, 2019). OpenPlant是劍橋大學John Innes中心與Earlham研究所聯合倡議，由BBSRC和EPSRC資助，是英國合成生物學促進增長計劃的一部分。合成生物學為重新編程的生物系統提供了改進和可持續生物生產的前景。儘管該領域的早期努力是針對微生物，但植物系統的工程設計提供了更大的潛在益處。 [9] BioBricks Foundation, Open Material Transfer Agreement, March 15, 2018, https://biobricks.org/openmta/ (last visited March 10, 2019). [10] OpenPlant , Towards an Open Material Transfer Agreement, at 9, 2018, https://static1.squarespace.com/static/54a6bdb7e4b08424e69c93a1/t/5a81a054e4966bb7ff8a6885/1518444640740/OpenMTA+Report.pdf (last visited March 10, 2019).
美國聯邦交通部公布自駕車4.0政策文件美國交通部（Department of Transportation）於2020年1月8日公布「確保美國於自動駕駛技術之領導地位：自駕車4.0」（Ensuring American Leadership in Automated Vehicle Technologies : Automated Vehicles 4.0）政策文件，提出三個核心原則及相對應的策略規劃： 一、 使用者與社會的保護： 整合自動駕駛技術之安全性，包括防堵對自駕車性能之詐欺或誤導行為，以強化民眾對此新興技術的信心。 與自駕車技術開發商、製造商及服務商合作，預防與降低惡意使用自動駕駛技術所造成的公共安全威脅及犯罪，如制定網路安全標準、於運輸系統之資料傳輸媒介及資料庫設計能夠防止、反應、偵測潛在或已知危險之可行作法。 要求製造商於設計和結合相關自動駕駛技術時，採取具整體風險考量之方式，以確保資料安全性與公眾隱私保護，特別是針對駕駛者與乘客，以及第三人資料存取、分享及使用。 支援與協助自動駕駛技術研發，並透過提供多樣化商品和服務，滿足消費者需求並增加自駕車的普及性，使國人能使用安全且能負擔的移動載具。 二、 保障市場效率： 採取靈活及技術中立政策，由大眾選擇具經濟及有效率的運輸方案。 透過相關智慧財產法規，保護相關技術，並持續推動經濟增長之政策及提升國內技術創新競爭力。 收集與研擬國內外法規資料，並使自動駕駛技術產品及服務能夠與國際標準接軌。 三、 促進與協調各方合作： 積極協調全國自動駕駛技術研究、法規和政策，以利有效運用各機構資源。 參考國際間自動駕駛技術標準及監理法規，並與各州政府及業界共同研擬與整合自動駕駛技術至現行運輸系統標準與相關法規。