美國競爭法主管機關發布反托拉斯執法與智慧財產權報告
美國司法部（Department of Justice, DOJ)及聯邦貿易委員會（Federal Trade Commission, FTC)於今（2007）年4月中旬，公布了眾所矚目的「反托拉斯執法與智慧財產權報告」（Antitrust Enforcement and Intellectual Property Rights, Antitrust-IP Report）。本報告綜整歸納DOJ與FTC於2002年所舉行的一系列名為「知識經濟時代之競爭與智慧財產權法制政策」（Competition and Intellectual Property Law and Policy in the Knowledge-Based Economy）公聽會重點，以及來自於不同利益團體與產業代表之看法。
DOJ與FTC於1995年曾公布「智慧財產授權之反托拉斯指導原則」（Antitrust Guidelines for the Licensing of Intellectual Property，以下簡稱1995年指導原則），基本上，甫公布的「反托拉斯執法與智慧財產權報告」的內容，重申DOJ與FTC過去依1995年指導原則的執法實務與政策，報告也特別針對幾種經常引起疑義的智慧財產運用態樣，諸如搭售（tying）：專屬交易（exclusive dealing）、特殊授權條款、專利聯盟（patent pools）、交互授權（cross-licenses），肯認其亦有加強競爭並有利於消費者的效果，故DOJ與FTC將會依合理原則（rule of reason）評估個別契約的合法性，而不會逕認其係本質違法（per se unlawful）。所謂合理原則，係指由法院及競爭法主管機關，就特定協議之有利於競爭效果與反競爭效果間進行權衡，以判斷其對整體市場競爭與消費者福祉所產生之影響。
此外，DOJ與FTC也針對個別的行為，如單方拒絕授權（unilateral Refusals to License）、標準制定（standard setting）、交互授權（cross-licenses）、專利聯盟（patent pools）、使專利期間延長於法定保護期間之外（extending patent rights beyond the statutory term）等，於報告中揭示其所持的一般管理政策。
本文為「經濟部產業技術司科技專案成果」
歐盟執委會（European Commission, EC）於2023年6月13日發佈「環境、社會與治理（ESG）評鑑透明度與誠信的規則草案（Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on the transparency and integrity of Environmental, Social and Governance (ESG) rating activities，下稱本草案）」，以健全歐盟永續金融市場。 ESG評鑑係指評鑑機構向投資者和金融機構提供有關ESG的投資策略和風險管理等關鍵資訊，在歐盟永續金融市場扮演重要角色。因此本草案提出評鑑機構治理與利益衝突防免的規範，確保ESG評鑑機構誠信營運、提升評鑑的可靠性和透明度、並協助投資者作出更明智的永續投資決策。本草案要點如下： （1）授權許可：ESG評鑑機構原則上須取得歐洲證券與市場管理局（European Securities and Markets Authority, ESMA）的授權許可，始得於歐盟境內經營ESG評鑑業務。如為第三國ESG評鑑機構，則須申請取得同等認定（equivalence decision）後始得在歐盟經營ESG評鑑業務 （2）評鑑機構內部治理：要求ESG評鑑機構確保其獨立性、建立申訴處理機制、限制評鑑機構兼營金融與稽核業務等 （3）提升評鑑透明度：要求ESG評鑑機構公開揭露方法論、模型、主要假設與技術標準等 （4）授予ESMA監管權力：ESMA得要求評鑑機構與相關人士提供資料、詢問評鑑機構代表或職員、甚至實地查核等措施；就違反規定的評鑑機構，ESMA亦有要求暫停營運、課予罰鍰以及撤銷經營許可的權力
把生物廢棄物變黃金—英國智庫建議政府應提供更多的財務協助當前科學家正極力從廢棄的生物物質（biomass）中，尋找可以做為燃料使用的資源（biofuel）。使用生物燃料的概念與全球氣候變遷以及石油價格一再攀高有關，生物燃料是指在不影響食物供應的前提下，使用木材、稻桿或麥桿、庭園廢棄物等作為第二代的燃料來源。不過在鼓勵發展生物燃料之餘，發展此一領域之技術卻亦有不可忽略的問題有待解決。 以英國為例，英國法律規定在2010年以前，英國政府必須確保所有公路運輸使用的燃料中，至少有5％是使用生物燃料；而最近英國的能源檢視報告則建議，在2015年前，此項生物燃料使用的門檻值應達10％。英國國家非食用作物研究中心（National Non-Food Crops Centre, NNFCC)近期也提出報告，指出英國每年農作收成後皆剩餘大量的小麥、甜菜，若能輔以更多的政府促進措施，例如租稅減免，則達成2010年5％的門檻指標，並非難事。不過若想要達成2015年10％的指標，英國政府則必須另外從國外進口生物燃料。 生物廢棄物的利用指的是把各地方的廢棄物以及非食用作物拿來轉化成為生物燃料。使用生物燃料最大的缺點是建置成本（start-up costs）過高，舉例來說，使用甜菜或黃豆來生產生質柴油（biodiesel）的成本，每英噸約為700至800歐元，其中把生物廢棄物液態化的過程（biomass to liquids (BTL) process），約需每英噸450至500歐元；而要建置一個第一代生物燃料廠乃至運作，其投資費用高達5千萬歐元，第二代生物燃料的生產所需建置成本，則可能為前述數字的五至十倍。有鑑於此，NNFCC透過經濟模式的運算，建議英國政府應對第二代生物燃料廠提供每公升至少35％的租稅減免優惠（目前英國政府僅給予每公升20％的租稅減免優惠），始能鼓勵民間部門進行相關投資。 另一項發展生物燃料的隱憂則是，由於生物燃料與食物的來源都是取自於自然界的同一資源，發展生物燃料是否反而可能造成食物與燃料的爭戰中，侵蝕自然界的資源，最後反而導致各種價格的上升。
世界運動禁藥管制機構預計於 2027 實施新個人資料保護國際標準（ISDP）世界運動禁藥管制機構預計於 2027 實施新個人資料保護國際標準（ISDP） 資訊工業策進會科技法律研究所 2026年07月25日 世界運動禁藥管制機構（World Anti-Doping Agency，下稱 WADA）於 2025 年 12 月 1 日至 5 日在韓國釜山舉行第六屆世界運動禁藥管制大會，通過《2027 年世界運動禁藥管制規約》及配套的各項國際標準。大會將 2009 年施行的《隱私與個人資訊保護國際標準》（International Standard for the Protection of Privacy and Personal Information，下稱ISPPPI）更名並改版為《資料保護國際標準》（International Standard for Data Protection，下稱ISDP），預計於 2027 年 1 月 1 日生效[1]。 壹、事件摘要 ISDP 是 WADA 世界運動禁藥管制計畫下的強制性國際標準，其第 1.0 條「導論與範圍」載明，本標準由 WADA 專家參考小組納入經濟合作暨發展組織（OECD）1980 年《隱私保護及個人資料跨國流通指導綱領》、歐洲理事會《個人資料自動化處理之個人保護公約》（第 108+ 號公約）、亞太經濟合作（APEC）隱私保護綱領、《歐洲聯盟基本權利憲章》、歐盟《一般資料保護規則》（General Data Protection Regulation，下稱 GDPR），以及其他國際與區域資料保護規範及判例所擬定[2]。其目的在確保運動禁藥管制組織（Anti-Doping Organization，下稱 ADO；我國為財團法人中華運動禁藥防制基金會〔Chinese Taipei Anti-Doping Agency，CTADA〕）及其第三方代理人處理個人資料時，對運動員與運動員輔助人員採取適當、充分且有效的隱私保護。 貳、重點說明 ISDP 全文分為兩部分，第一部分為導論與範圍、規約相關條文及解釋，第二部分為個人資料處理標準，計第 4 條至第 12 條共九條，並附「附件 A：保存期間」。以下依規範定位、隱私始於設計、法律依據、資料分享與委外、安全維護，以及告知、保存與當事人權利六個層次，說明本次改版的重點與差異。 一、規範定位：以較嚴者為準 ISDP 就其與內國法的關係採「較嚴者為準」，要求高於 ADO 所在地資料保護法時，ADO 仍須遵循 ISDP（第 4.1 條）；反之內國法要求更高時，ADO 應確保其處理符合所有適用法律（第 4.2 條）。問責面向則要求 ADO 能證明其個資處理確依本標準辦理，並以相應的內部政策與程序作為證明方法（第 4.3 條）；另須指定專責人員負責遵循本標準及所有適用的隱私與資料保護法令，並將其聯絡資訊主動提供予當事人（第 4.4 條）。相較 2021 年 ISPPPI 僅要求當事人請求時提供該人員姓名與聯絡方式（2021 年版第 4.5 條），本次改版轉為主動揭露，並與第 8 條告知義務相互銜接。 二、隱私始於設計原則之操作化 本次改版新增第 5 條「落實隱私始於設計」（Implementing Privacy-by-Design），將散見的紀錄、風險評估與資料正確性義務整併： 1.在設計或改版階段及個人資料生命週期全程，評估處理活動是否符合 ISDP 第二部分各項標準，並就評估所發現的風險採行必要或適當的減輕措施，包括額外的安全控制與資料最少化等技術及組織措施（第 5.1 條）； 2.維持並更新處理活動紀錄，載明處理目的、個人資料類型、當事人類別、可能受領人類別、ADO 與受領人的角色，以及所適用的技術與組織安全措施（第 5.2 條第 a 款）； 3.評估並於必要時檢視處理所生的風險，並採行措施降低個人資料侵害及其他資料保護風險（第 5.2 條第 b 款）； 4.處理特種個人資料時，應依適用隱私與資料保護法令及本標準所定特別保障或程序辦理（第 5.3 條）； 5.採行措施確保所處理個人資料正確、完整並保持更新，對知悉不正確或不準確的個人資料應儘速更正或修正（第 5.4 條）。 三、處理的法律依據：同意非唯一，亦非絕對 ADO 處理個人資料的前提，是具備有效的法律依據，包括履行法定義務、執行公益任務、基於重大公共利益或公共衛生之必要、履行契約，或保護當事人重大利益（第 7.1 條第 a 款）；於許可範圍內亦得以當事人同意為依據（第 7.1 條第 b 款）。而且除有依據之外，處理須限於相關且相稱的目的範圍；以同意為依據者，並有其要件與例外： 1.ADO 僅得於相關且相稱的範圍內，為《規約》或各項國際標準所許可的目的，或於法律、強制法律程序所要求，或為行使、防禦法律請求所必要時，處理個人資料（第 6.1 條）；明文所列以外的處理並非一律禁止，但須進行資料保護風險評估，衡酌該處理對反禁藥工作的有效性，並採行所辨識的風險減輕措施後，始得為之（第 6.2 條）；此為 2021 年 ISPPPI 所無的新增關卡。 2.以同意為依據者，該同意須屬知情、自願、特定且明確（第 7.1 條第 b 款）；且應告知當事人拒絕同意可能招致的不利後果（第 7.2 條第 a 款）。 3.為展開或進行疑似違規的分析或調查、進行或參與相關程序、確立、行使或防禦法律請求，或遵循法律或強制法律程序所必要者，縱當事人拒絕或事後撤回同意，ADO 對其個資的處理仍可能屬必要，除適用法律另有禁止外不受影響（第 7.2 條第 b 款）。 4.以同意作為處理特種個人資料的依據時，須取得明示同意（第 7.3 條）。當事人因年齡、心智能力或法律承認的其他正當理由無法自行同意者，得由法定代理人、監護人或其他有權代理人代為同意，並代為行使第 12 條所定權利（第 7.4 條）。 四、資料分享與委外控制 ISDP 將 ADO 得與他人分享個人資料的情形限於三種：依《規約》或各項國際標準所許可的目的、依第 7 條取得當事人明示且有效的同意且不違反適用法律，或法律、強制法律程序所要求，或為確立、行使及防禦法律請求所必要（第 9.1 條）。除符合三種情形之一外，ADO 仍須遵守其他各項標準，特別是以受分享之人具知情必要、具備有效法律基礎且個人資料安全獲確保為前提，此並明文及於與執法機關、政府或其他機關的分享（第 9.2 條）。2021 年 ISPPPI 原僅就對其他 ADO 的揭露，要求受領方能證明其取得個資的權利、權限或需要（2021 年版第 8.2 條），本次改版將知情必要、法律基礎與安全確保三項要件一體適用於所有分享對象，並明文納入執法與政府機關，屬既有條文的增修與擴充。 於委由第三方代理人處理時，ISDP 要求 ADO 應選擇能就技術性與組織性安全措施提供充分保證的代理人（第 9.3 條第 a 款），並以適當的控制，包括契約與技術控制，保護所分享的個人資料，並確保代理人僅為 ADO 或在其受託、委任範圍內處理個資（第 9.3 條第 b 款）。 五、安全維護：知情必要與特種個資的更高門檻 ADO 應採行實體、組織、技術、環境等一切必要的安全保障措施，以防止個人資料侵害事件發生（第 10.1 條）；就個人資料的內部管理，ISDP 並具體要求： 1.確保近用個人資料的人員符合知情必要、與其角色職責相稱，受完全可執行的契約或法定保密義務拘束，並已就保密必要與 ADO 的政策程序接受資訊提供及訓練（第 10.2 條）； 2.安全措施應反映所處理個資的敏感程度，對特種個人資料採更高層級的安全措施，以對應其侵害對當事人所生的較高風險（第 10.3 條）； 3.發生可能重大影響個人權利利益的侵害事件時，應於知悉侵害細節後不遲延告知受影響當事人，說明侵害性質、可能的負面後果與已採或將採的補救措施，並通知依第 4.4 條指定的專責人員，並保存侵害事件、其影響與補救作為的紀錄（第 10.4 條）。 六、告知、保存與當事人權利 ISDP 於告知、保存與當事人權利面向，課予 ADO 相當細膩的義務： 1.告知事項（第 8.1 條）：涵蓋蒐集個資的 ADO 身分與依第 4.4 條指定人員的聯絡方式、可能處理的個資類型、利用目的、可能受領人類別（含 WADA 等 ADO 及可能位於運動員參賽、訓練或旅行所在他國的第三方代理人）、於適用法律許可下可能公開揭露的情形與情境（如違規處置的公開）、當事人依本標準或其他法律所享權利及行使方法、依第 12.5 條提出申訴的程序及向資料保護主管機關申訴的可能、儲存期間或其判斷標準，以及為確保處理公平所必要的其他資訊。 2.告知時點與方式（第 8.2 條、第 8.3 條）：原則上應於蒐集前或蒐集時告知；自第三方而非直接自當事人取得個資者，除他方已告知外，應儘速且不遲延告知。告知可能危及反禁藥調查或損及反禁藥程序完整性者，得例外遲延或暫停，但須適當記載理由，並於合理可行時儘速提供。告知並須以當事人易於理解的方式與格式、清晰淺白的用語為之，並斟酌其年齡、相關障礙及當地慣行與具體情境。 3.保存期間（第 11 條及附件 A）：附件 A 以「模組／資料類型」、「保存期間」、「說明」三欄呈現，並就基本與身分資料、行蹤申報、治療用途豁免（TUE）、檢測、實驗室與運動員生物護照管理單位（APMU）紀錄、結果管理、調查、教育八類紀錄模組訂定最長保存期間；落在附件 A 範圍外者，ADO 應自訂明確的保存期間或判斷標準（第 11.2 條）。個人資料一旦不再具正當理由即應刪除、銷毀或匿名化，特種個資的保存須具更強而有力的理由（第 11.3 條），並應訂定安全保存及最終銷毀或匿名化的計畫與程序（第 11.4 條）。保存期間僅於法律明文許可、法律或強制法律程序要求、有繫屬或可合理預期的違規、調查或其他法律程序、當事人明示有效同意，或附件 A 另有規定等情形，始得延長（第 11.5 條），且決定延長者須另行評估資料保護風險並採行減輕措施（第 11.6 條）。 4.賦予當事人查閱與申訴權利：當事人有於一個月內取得複本的權利（第 12.1 條），並得請求更正、封鎖或刪除（第 12.4 條）；ADO 拒絕近用應儘速以書面告知理由（第 12.3 條）；已將個資揭露予另一 ADO 者，應將更正等變更告知該組織；當事人得向 ADO 提出申訴，ADO 須訂有公平公正處理申訴的書面程序；未能妥適解決者，得通知 WADA，由 WADA 依《簽署方規約遵循國際標準》處理，且不排除當事人向有權的資料保護主管機關提出申訴，ADO 並應配合該機關調查（第 12.5 條）。 參、事件評析 運動產業的高度敏感運動員個人生物資料，正因數位科技的運用而快速累積，國際運動組織自訂資料治理規範已成常態。國際職業足球員協會（Fédération Internationale des Associations de Footballeurs Professionnels，FIFPRO）早於 2022 年 9 月即與國際足球總會（FIFA）合作發布《球員資料權利憲章》（Charter of Player Data Rights），以 GDPR 為基礎，列舉職業球員就其表現、健康及生物特徵資料所享的知情、近用、撤回同意、限制處理、可攜、更正、申訴與刪除八項權利[3]。ISDP 雖只拘束我國 CTADA 的禁藥檢測，卻是國際運動組織對標 GDPR 與最新國際個資保護規範的近期共識，適可作為運動部提供運動產業個資管理指引的藍本。 尤其，近期運動治理場域接連出現運動員個資爭議事件，歐盟法院於 2026 年 7 月 14 日就 C-474/24 案作成判決，認於網路公告違規運動員姓名、禁賽期間及理由，雖原則上不牴觸 GDPR，但公告機關須於公告前就相關利益個別權衡並符合比例原則，尤其公告期間的長度；運動員並須能於公告前向資料保護主管機關提起預防性申訴[4]；加拿大隱私專員公署（Office of the Privacy Commissioner of Canada，OPC）就 WADA 所轄運動員個資被用於性別審查一案進行調查後，於 2026 年 3 月與 WADA 簽訂合規協議，WADA 雖未承認違法，仍承諾自 2027 年 1 月 1 日起將 ADAMS 系統的運動員個資限於反禁藥目的[5]；國際奧會則於 2026 年 3 月通過女子組資格政策，自 2028 年洛杉磯奧運起，採以一次性 SRY 基因篩檢認定資格[6]。這三起爭議，分別指向告知未涵蓋公開揭露、目的外利用僅設限制而無事前風險評估、基因雖列特種個資卻缺乏依風險決定是否事前把關的機制。ISDP 所要求的隱私始於設計、處理風險評估、目的限制與分享控制，恰可作為避免同類問題的工具。 ISDP 雖是禁藥組織所訂標準，但內容面向完整、接軌國際，其隱私始於設計、處理活動紀錄、就處理風險所課予的評估義務（含《規約》與各項國際標準明文所列以外的處理及延長保存期間時的風險評估），以及附件 A 依八類紀錄模組分列保存期間與理由的保存排程，均有對應的規範。我國《人工智慧基本法》已於 2025 年 12 月 23 日經立法院三讀通過，全文 20 條，並自 2026 年 1 月 14 日總統公布日施行。該法第 4 條揭示政府推動 AI 研發與應用應遵循的七項原則，其中第 3 款要求應妥善保護個人資料隱私，尊重企業營業秘密，避免資料外洩風險，並促進非敏感資料的開放及再利用[7]。當運動與健康數據結合 AI 分析、敏感度益增，運動部作為運動產業目的事業主管機關，可循 ISDP 重點為運動員敏感生物資料建立風險導向、產業共通的個資保護制度準繩，既接軌國際標準，落實個資法監督非公務機關的要求，也呼應我國 AI 治理原則。 本文著作權屬財團法人資訊工業策進會科技法律研究所所有，如需引用或轉載，請註明出處。 本文同步刊登於TIPS網站（https://keid.nat.gov.tw/tips/） [1]World Anti-Doping Agency, 2027 International Standard for Data Protection (ISDP), at 2 (2025)（前置說明頁載明 ISPPPI 更名為 ISDP、自 2027 年 1 月 1 日生效），https://www.wada-ama.org/sites/default/files/2025-12/2027_international_standard_for_data_protection_isdp.pdf（最後瀏覽日：2026 年 7 月 25 日）；ISDP 於 2025 年 12 月 1 日至 5 日韓國釜山第六屆世界運動禁藥管制大會通過，見 WADA, 2025 World Conference on Doping in Sport, https://www.wada-ama.org/en/2025-world-conference-doping-sport-busan（最後瀏覽日：2026 年 7 月 25 日）。 [2] 同前註 1，ISDP 第 1.0 條「導論與範圍」（Introduction and Scope）；所列參考規範包含 OECD 1980 年《隱私保護及個人資料跨國流通指導綱領》、歐洲理事會第 108+ 號公約、APEC 隱私保護綱領、《歐洲聯盟基本權利憲章》、GDPR，以及歐洲人權法院 2018 年 1 月 18 日 FNASS and others v. France 判決等。 [3] FIFPRO, Charter of Player Data Rights Launched for Professional Footballers (Sept. 19, 2022), https://fifpro.org/en/supporting-players/competitions-innovation-and-growth/player-performance-data/charter-of-player-data-rights-launched-for-professional-footballers/（最後瀏覽日：2026 年 7 月 25 日）。 [4] Judgment of the Court of Justice of the European Union of 14 July 2026, Case C-474/24, NADA Austria and Others；並見 Court of Justice of the European Union, Press Release, The online publication of the names of professional athletes who have infringed anti-doping rules may be compatible with EU law (July 14, 2026), https://curia.europa.eu/site/upload/docs/application/pdf/2026-07/cp260103en.pdf（最後瀏覽日：2026 年 7 月 25 日）。 [5] Office of the Privacy Commissioner of Canada, Compliance Agreement Between the Privacy Commissioner of Canada and the World Anti-Doping Agency (Mar. 17, 2026), https://www.priv.gc.ca/en/opc-actions-and-decisions/investigations/investigations-into-businesses/2026/2026-wada-ca/（最後瀏覽日：2026 年 7 月 25 日）。 [6] International Olympic Committee, International Olympic Committee Announces New Policy on the Protection of the Female (Women's) Category in Olympic Sport (Mar. 26, 2026), https://www.olympics.com/ioc/news/international-olympic-committee-announces-new-policy-on-the-protection-of-the-female-women-s-category-in-olympic-sport（最後瀏覽日：2026 年 7 月 25 日）。 [7] 人工智慧基本法，2025 年 12 月 23 日經立法院三讀通過，總統中華民國 115 年 1 月 14 日華總一義字第 11500001671 號令制定公布，全文 20 條，自公布日施行；條文見全國法規資料庫，https://law.moj.gov.tw/LawClass/LawAll.aspx?pcode=H0160093（最後瀏覽日：2026 年 7 月 25 日）。
印度政府公告個人資料保護法草案2018年7月27日印度電子及資訊科技部（Ministry of Electronics and Information Technology, MeitY）公告個人資料保護法草案（Protection of Personal Data Bill），若施行將成為印度首部個人資料保護專法。 其立法背景主要可追溯2017年8月24日印度最高法院之判決，由於印度政府立法規範名為Aadhaar之全國性身分辨識系統，能夠依法強制蒐集國民之指紋及虹膜等生物辨識，國民在進行退稅、社會補助、使用福利措施等行為時都必須提供其個人生物辨識資料，因此遭到人權團體控訴侵害隱私權。最高法院最後以隱私權為印度憲法第21條「個人享有決定生活與自由權利」之保護內涵，進而認為國民有資料自主權，能決定個人資料應如何被蒐集、處理與利用而不被他人任意侵害，因此認定Aadhaar專法與相關法律違憲，政府應有義務提出個人資料專法以保護國民之個人資料。此判決結果迫使印度政府成立由前最高法院BN Srikrishna法官所領導之專家委員會，研擬個人資料保護法草案。 草案全文共112條，分為15章節。主要重點架構說明如下： 設立個資保護專責機構（Data Protection Authority of India, DPAI）：規範於草案第49至68條，隸屬於中央政府並由16名委員所組成之委員會性質，具有獨立調查權以及行政檢查權力。 對於敏感個人資料（Sensitive personal data）[1]之特別保護：草案在第4章與第5章兩章節，規範個人與兒童之敏感個人資料保護。其中草案第18條規定蒐集、處理與利用敏感個人資料前，必須獲得資料主體者（Data principal）之明確同意（Explicit consent）。而明確同意是指，取得資料主體者同意前，應具體且明確告知使用其敏感個人資料之目的、範圍、操作與處理方式，以及可能對資料主體者產生之影響。 明確資料主體者之權利：規範於草案第24至28條，原則上資料主體者擁有確認與近用權（Right to confirmation and access）、更正權（Right to correction）、資料可攜權（Right to data portability）及被遺忘權（Right to be forgotten）等權利。 導入隱私保護設計（Privacy by design）概念：規範於草案第29條，資料保有者（Data fiduciary）應採取措施，確保處理個人資料所用之技術符合商業認可或認證標準，從蒐集到刪除資料過程皆應透明並保護隱私，同時所有組織管理、業務執行與設備技術等設計皆是可預測，以避免對資料主體者造成損害等。 指派（Appoint）資料保護專員（Data protection officer）：散見於草案第36條等，處理個人資料為主之機構、組織皆須指派資料保護專員，負責進行資料保護影響評估（Data Protection Impact Assessment, DPIA），洩漏通知以及監控資料處理等作業。 資料保存之限制（Data storage limitation）：規範於草案第10條與第40條等，資料保有者只能在合理期間內保存個人資料，同時應確保個人資料只能保存於本國內，即資料在地化限制。 違反草案規定處高額罰金與刑罰：規範於草案第69條以下，資料保有者若違反相關規定，依情節會處以5億至15億盧比（INR）或是上一年度全球營業總額2%-4%罰金以及依據相關刑事法處罰。 [1]對於敏感個人資料之定義，草案第3-35條規定，包含財務資料、密碼、身分證號碼、性生活、性取向、生物辨識資料、遺傳資料、跨性別身分（transgender status）、雙性人身分（intersex status）、種族、宗教或政治信仰，以及與資料主體者現在、過去或未來相連結之身體或精神健康狀態的健康資料（health data）。