在英國種植基因改造作物可能無法可管
英國衛報（ The Guardian ）指出，英國對種植基因改造作物之管制規範存在著漏洞。 1998 年歐盟曾經允許一批基因該造玉米在歐盟境內種植，將之列入歐盟的一般性種子目錄（ the EU common catalogue of seeds ），該玉米由孟山都生技公司所研發，被稱為 MON 810 ；當時基因改造作物尚未受到大眾的注意，更未引起各國政府對基因改造作物的反省。對此，英國的環境食品農業事務部（ Department for Environment, Food and Rural Affairs, Defra ）指出對於這批歐盟所允許的基因改造作物，目前並沒有任何的規範可阻止其進口到英國境內，贊成或熱衷種植基因改造作物的人士，也可在不需通知主管機關或鄰近土地之所有人的情況下，合法種植自己希望的基因改造作物。農民只需在銷售或生產此種玉米時，遵守歐盟所頒佈之基因改造溯源與標示相關規則即可。對此，目前英國的環保團體與農民關心的焦點在於，英國目前並沒有區隔基因改造作物與非基因改造作物，及非基因改造作物受到污染時，計算賠償金範圍及數額等之規定，並呼籲英國政府重視此問題。
本文為「經濟部產業技術司科技專案成果」
劉憶成
法律研究員 編譯整理
http://www.guardian.co.uk/gmdebate/Story/0,2763,1544733,00.html (2005/8/11)
德國聯邦及各邦獨立資料保護監督機關（unabhängige Datenschutzaufsichtsbehörden）共同於2019年4月3日，召開第97屆資料保護會議通過哈姆巴爾宣言（Hambacher Erklärung，以下簡稱「Hambacher宣言」）。該宣言指出人工智慧雖然為人類帶來福祉，但同時對法律秩序內自由及民主體制造成巨大的威脅，特別是人工智慧系統可以透過自主學習不斷蒐集、處理與利用大量個人資料，並且透過自動化的演算系統，干預個人的權利與自由。 諸如人工智慧系統被運用於判讀應徵者履歷，其篩選結果給予女性較不利的評價時，則暴露出人工智慧處理大量資料時所產生的性別歧視，且該歧視結果無法藉由修正資料予以去除，否則將無法呈現原始資料之真實性。由於保護人民基本權利屬於國家之重要任務，國家有義務使人工智慧的發展與應用，符合民主法治國之制度框架。Hambacher宣言認為透過人工智慧系統運用個人資料時，應符合歐盟一般資料保護規則（The General Data Protection Regulation，以下簡稱GDPR）第5條個人資料蒐集、處理與利用之原則，並基於該原則針對人工智慧提出以下七點個資保護之要求： （1）人工智慧不應使個人成為客體：依據德國基本法第1條第1項人性尊嚴之保障，資料主體得不受自動化利用後所做成，具有法律效果或類似重大不利影響之決策拘束。 （2）人工智慧應符合目的限制原則：透過人工智慧系統蒐集、處理與利用個人資料時，即使後續擴張利用亦應與原始目的具有一致性。 （3）人工智慧運用處理須透明、易於理解及具有可解釋性：人工智慧在蒐集、處理與利用個人資料時，其過程應保持透明且決策結果易於理解及可解釋，以利於追溯及識別決策流程與結果。 （4）人工智慧應避免產生歧視結果：人工智慧應避免蒐集資料不足或錯誤資料等原因，而產生具有歧視性之決策結果，控管者或處理者使用人工智慧前，應評估對人的權利或自由之風險並控管之。 （5）應遵循資料最少蒐集原則：人工智慧系統通常會蒐集大量資料，蒐集或處理個人資料應於必要範圍內為之，且不得逾越特定目的之必要範圍，並應檢查個人資料是否完全匿名化。 （6）人工智慧須設置問責機關進行監督：依據GDPR第12條、第32條及第35條規定，人工智慧系統內的控管者或處理者應識別風險、溝通責任及採取必要防範措施，以確保蒐集、處理與利用個人資料之安全性。 （7）人工智慧應採取適當技術與組織上的措施管理之：為了符合GDPR第24條及第25條規定，聯邦資料保護監督機關應確認，控管者或處理者採用適當的現有技術及組織措施予以保障個人資料。 綜上所述，Hambacher宣言內容旨在要求，人工智慧在蒐集、處理及利用個人資料時，除遵守歐盟一般資料保護規則之規範外，亦應遵守上述提出之七點原則，以避免其運用結果干預資料主體之基本權利。
美國廠商使用之DMCA侵權調查正確性遭質疑一項由華盛頓大學所發表的研究聲明指出，媒體工業團體正使用有瑕疵的方式調查peer-to-peer網路文件共享中侵害著作權的問題。包括M.P.A.A.、E.S.A.、R.I.A.A等團體，不斷寄出逐年增加的DMCA侵權移除通知（takedown notices）給各大學和其他的網路業者。許多大學會在未經查證的情況下直接將侵權移除通知轉寄給學生，R.I.A.A.甚至跟進其中的一些侵權報告並將之寫入財務報告中。 但在2008年6月5日由華盛頓大學的助理教授等三人所發表的研究中認為這一些侵權移除通知應該更審慎檢視之。研究指出，這些團體在指控檔案分享者的調查過程中有嚴重的瑕疵，可能使對方遭受不當的侵權指控，甚至可能來自其他網路使用者的陷害。在2007年5月及8月的兩次實驗中，研究員利用網路監控軟體監控他們的網路流量，實驗結果顯示即使網路監控軟體並未下載任何檔案，卻仍然接收到了超過400次的侵權警告信。 該研究結果顯示執法單位的調查過程中只查詢了網路分享軟體使用者的I.P.位址，卻未真正查明使用者正在下載或是上傳的實際檔案為何，在這種薄弱的搜查技巧跟技術方式之下任何使用網路文件分享軟體的使用者都可能被告，不論其所分享的檔案是否侵權皆如此。
歐盟資料保護工作小組修正通過個人資料侵害通報指引歐盟資料保護工作小組修正通過「個人資料侵害通報指引」 資訊工業策進會科技法律研究所 法律研究員 李哲明 2018年3月31日 壹、事件摘要 因應歐盟「通用資料保護規則」（The General Data Protection Regulation，或有譯為一般資料保護規則，下簡稱GDPR）執法即將上路，針對個人資料侵害之通報義務，歐盟資料保護工作小組（Article 29 Data Protection Working Party, WP29）特於本（2018）年2月6日修正通過「個人資料侵害通報指引」（Guidelines on Personal data breach notification under Regulation 2016/679），其中就GDPR所規範個資侵害之定義、對監管機關之通報、與個資當事人之溝通、風險及高風險評估、當責與紀錄保存及其他法律文件所規定之通報義務等，均設有詳盡說明與事例。 貳、重點說明 一、何謂個資侵害？個資侵害區分為哪些種類？ 依據GDPR第4條（12）之定義，個資侵害係指：「個人資料因安全性之侵害所導致意外或非法之毀損、喪失、修改、未經授權之揭露、存取、個資傳輸、儲存或其他處理。」舉例來說，個人資料之喪失包括含有控制者（controller）顧客資料庫的備份設備之遺失或遭竊取。另一例子則為整份個資的唯一檔案遭勒索軟體加密，或經控制者加密，但其金鑰已滅失。依據資訊安全三原則，個資侵害之種類區分為： 機密性侵害（Confidentiality breach）：未經授權、意外揭露或獲取個人資料。 完整性侵害（Integrity breach）：未經授權或意外竄改個人資料。 可用性侵害（Availability breach）：在意外或未經授權之情況下，遺失個人資料存取權限或資料遭銷燬。 二、何時應為通知？ 按GDPR第33條（1）之規定，當個資侵害發生時，在如果可行之情況下，控制者應即時（不得無故拖延）於知悉侵害時起72小時內，依第55條之規定，將個資侵害情事通報監管機關。但個資侵害不會對自然人之權利和自由造成風險者，不在此限。倘未能於72小時內通報監管機關者，應敘明遲延之事由。 三、控制者「知悉」時點之判斷標準為何？ 歐盟資料保護工作小組認為，當控制者對發生導致個人資料侵害的安全事件達「合理確信的程度」（reasonable degree of certainty）時，即應視為其已知悉。以具體事例而言，下列情況均屬所謂「知悉」： 在未加密個人資料的情況下遺失USB密鑰（USB Key），通常無法確定是否有未經授權者將獲致存取資料權限。即使控制者可能無法確定是否發生機密性侵害情事，惟仍應為通知，因發生可用性侵害之情事，且已達合理確信的程度。 故應以控制者意識到該密鑰遺失時起為其「知悉」時點。 第三人通知控制者其意外地收到控制者的客戶個人資料，並提供該揭露係未經授權之證據。當侵害保密性之明確證據提交控制者時，即為其「知悉」時點。如：誤寄之電子郵件，經非原定收件人通知寄件者之情形。 當控制者檢測到其網路恐遭入侵，並針對其系統進行檢測以確認個人資料是否遭洩漏，嗣後復經證實情況屬實，此際即屬「知悉」。 網路犯罪者在駭入系統後，聯繫控制者以索要贖金。在這種情況下，控制者經檢測系統並確認受攻擊後，亦屬「知悉」。 值得注意的是，在經個人、媒體組織、其他來源或控制者自我檢測後，控制者或將進行短暫調查，以確定是否發生侵害之事實。於此調查期間內所發現之最新侵害情況，控制者將不會被視為「知悉」。然而，控制者應儘速展開初步調查，以形成是否發生侵害事故之合理確信，隨後可另進行更詳盡之調查。 四、共同（聯合）控制者之義務及其責任分配原則 GDPR第26條針對共同控制者及其如何確定各自之法遵義務，設有相關規定，包括決定由哪一方負責遵循第33條（對主管機關通報）與第34條（對當事人通知）之義務。歐盟資料保護工作小組建議透過共同控制者間之契約協議，約明哪一方係居主要地位者，或須負責盡到個資侵害時，GDPR所定之通知義務，並載於契約條款中。 五、通報監管機關與提供資訊義務 當控制者通報監管機關個資侵害情事時，至少應包括下列事項 （GDPR第33條（3）參照）： 敘述個人資料侵害之性質，包括但不限於所涉之相關個資當事人、個資紀錄及其類別、數量。 傳達資料保護長（DPO）或其他聯絡人之姓名與聯絡方式，俾利獲得進一步資訊。 說明個資侵害可能之後果。 描述控制者為解決個資侵害業已採取或擬採行之措施，在適當情況下，酌情採取措施以減輕可能產生之不利影響。 以上乃GDPR要求通報監管機關之最基本事項，在必要時，控制者仍應盡力提供其他細節。舉例而言，控制者如認為其處理者係個資侵害事件之根因（root cause），此時通報並指明對象即可警示委託同一處理者之其他控制者。 六、分階段通知 鑒於個資事故之性質不一，控制者通常需進一步調查始能確定全部相關事實，GDPR第33條（4）爰設有得分階段通知（notification in phases）之規定。凡於通報時，無法同時提供之資訊，得分階段提供之。但不得有不必要之遲延。同理，在首次通報後之後續調查中，如發現該事件業已受到控制且並未實際發生個資侵害情事，控制者可向監管機關為更新。 七、免通報事由 依據GDPR第33（1）條規定，個資侵害不會對自然人之權利和自由造成風險者，毋庸向監管機關通報。如：該遭洩露之個人資料業經公開使用，故並未對個人資料當事人構成可能的風險。 必須強調的是，在某些情形下，未為通報亦可能代表既有安全維護措施之缺乏或不足。此時監管機關將可能同時針對未為通報（監管機關）或通知（當事人），以及安全維護措施之缺乏或不足，以違反第33條或（及）34條與第32條等獨立義務規定為由，而依第83條4（a）之規定，併予裁罰。 參、事件評析 一、我國企業於歐盟設有分支機構或據點者，宜指派專人負責法遵事宜 揆諸GDPR前揭規定，當個資侵害發生時，控制者應即時且不得無故拖延於知悉時起72小時內，將個資侵害情事通報監管機關。未能履踐義務者，將面臨最高達該企業前一會計年度全球營業額之2%或1千萬歐元，取其較高者之裁罰。我國無論金融業、航運業、航空運輸業、電子製造業及進出口貿易業者等，均或有於歐盟成員國境內或歐洲經濟區（European Economic Area）當地設立子公司或營業據點。因此，在GDPR法遵衝擊的倒數時刻，指派具瞭解GDPR規定、當地個資隱私法遵規範、擅長與隱私執法機構溝通及充要語言能力者專責法遵業務實刻不容緩。蓋此舉可避免我國企業母公司鞭長莫及，未能及時處置而致罹法典之憾。 二、全面檢視個資業務流程，完備個資盤點與風險評鑑作業，掌握企業法遵現況 企業應全面檢視業務流程，先自重要核心業務中析出個資作業流，搭配全面個資盤點，並利用盤點結果進行風險評鑑，再針對其結果就不同等級之風險採行相對應之管控措施。此外，於全業務流程中，亦宜採行最小化蒐集原則，避免蒐集過多不必要之個人資料，尤其是GDPR所定義之敏感個資（如：種族、民族血統、政治觀點、宗教信仰、哲學信仰、工會會員資格等個人資料，及遺傳資料的處理，用於識別特定自然人之生物識別資料、健康資料、性生活、性取向等）或犯罪前科資料，俾降低個人資料蒐集、處理、利用、檔案保存及銷燬之全生命週期流程中的風險。此舉亦契合我國個人資料保護法第5條所揭櫫之原則。 三、立法要求一定規模以上之企業須通過個資隱私法遵第三方認（驗）證，並建置認證資訊公開平台 鑒於國際法遵衝擊以及隱私保護要求之標準線日漸提升，我國企業除自主導入、建置並維運相關個資保護與管理制度以資因應，更有賴政府透過法令（如：修正個人資料保護法）強制要求一定規模以上之企業通過第三方專業驗證，俾消弭風險於日常準備之中。蓋我國具一定規模以上企業，無論其係屬何種業別，一旦違反國際法遵要求，遭致鉅額裁罰，其影響結果將不僅止於單一企業，更將嚴重衝擊該產業乃至於國家整體經貿發展。職是，採法律強制要求企業定期接受獨立、公正及專業第三方認（驗）證，咸有其實益性與必要性。
美國財政部制裁向俄羅斯運送伊朗製無人機之空運業者及製造商美國財政部外國資產管制辦公室（Office of Foreign Assets Control，簡稱OFAC）根據《防止大規模殺傷性武器擴散與恐怖主義》（Preventing Weapons of Mass Destruction Proliferation and Terrorism, 50 U.S. Code Ch. 43）聯邦法律之授權、第13382號總統行政命令（Executive Order，下稱行政命令）以及第14024號行政命令，於2022年9月8日將向俄羅斯運送伊朗製無人機（Unmanned Aerial Vehicles，簡稱UAVs）之空運業者納入制裁清單；另將3家公司與1位參與無人機及其零組件研究、開發、生產與採購之個人納入制裁清單，避免非來自伊朗及俄羅斯之實體支持伊朗製無人機之研發，或向俄羅斯出售任何用於對付烏克蘭的軍事裝備。 此次列於清單中之空運業者Safiran Airport Services，總部位於伊朗德黑蘭，其將伊朗製無人機、人員和相關設備從伊朗運送到俄羅斯。根據情報顯示，俄羅斯軍隊打算將伊朗製無人機與俄羅斯無人機運用在對烏克蘭的戰爭中，故OFAC依據第14024號行政命令，將該空運業者納入制裁清單。另針對無人機製造商，以Paravar Pars為例，其參與伊朗Shahed-171無人機研發和生產，故OFAC依據第13382號行政命令，將其列入制裁清單。 上述空運業者及製造商在遭受制裁後，可能會受到的影響包括： （1）在美國或由美國籍公民或企業所有或控制的所有財產和財產利益皆被凍結；禁止與美國籍公民或企業交易；或禁止與在美國境內被制裁對象的任何財產或利益交易（如金流過境美國的交易）；與前述列為清單對象進行交易之人，亦可能會被列為清單對象。 （2）任何外國金融機構故意與前述列為清單制裁對象，促成重大交易或提供重要金融服務，都可能受美國相應的制裁或對「支付過渡帳戶」（payable-through account）的制裁。而此「制裁」不限於凍結帳戶，參考OFAC官網中的第36則FAQ之說明（https://home.treasury.gov/policy-issues/financial-sanctions/faqs/topic/1601），某些案例中之交易應該被禁止，但該交易沒有可凍結的利益時（如該帳戶已為制裁清單所列對象或已被凍結的個人或政府），OFAC會以「要求美國金融機構拒絕非制裁以外的第三國企業間的交易」或以「透過禁令使美國金融機構拒絕處理該交易且退回款項予匯款人，除非有得到事前個別授權」等方式處理。