本文為「經濟部產業技術司科技專案成果」
澳洲隱私保護辦公室(Office of the Australian Information Commissioner, OAIC)於2019年11月發布「2018-2019年數位健康年報」,其中針對「我的健康紀錄系統」(My Health Record System)日前發生資料外洩事件提出檢討及隱私建議。 「我的健康紀錄系統」於2012年開始由澳洲數位健康局(Australian Digital Health Agency)負責維運,所有健康報告以電子形式通過網站存檔或讀取,包括處方藥紀錄、醫生診療記錄、影像檢查以及其它測試紀錄等,所有資訊將置於網路並授權醫療專業人員,例如醫生、藥劑師、醫院工作人員和專職醫療人員(例如護士或物理治療師),均可登錄查詢。 「我的健康紀錄系統」原先以民眾自願選擇加入模式運作,以選擇性線上註冊方式概括同意健康資料存取。隨後為促進醫療產業發展,澳洲政府宣布「我的健康紀錄系統」全國適用並提供退出機制至2019年1月31日。而2018年澳洲修訂「我的健康紀錄法」(My Health Records Act 2012)強化個人資料管理相關規範,例如:提供永久刪除權、不得適用於保險目的、違反關鍵隱私保護而增加民事和刑事處罰等。 「2018-2019年數位健康年報」指出,隨著「我的健康紀錄系統」於2019年2月從選擇性註冊模式變為退出模式,關於隱私疑慮的查詢和投訴大幅增加。2018年至2019年OAIC收到57件投訴案,OAIC更對數位醫療產業中的受監管企業進行隱私評估,包括私人醫院、藥房等。為解決民眾疑慮,「我的健康紀錄法」修訂賦予永久刪除權,使投訴數量開始遞減,OAIC亦為醫療服務提供者發布有關保護患者個人健康資料相關指引,並與衛生部門組織合作,促進良好的隱私保護觀念,以增進健康服務提供者對預防和應對資料外洩的理解。
歐盟個人資料保護委員會提出關於資料主體接近使用其個人資料權利之指引歐盟《一般資料保護規則》(General Data Protection Regulation, GDPR)第15條為「資料主體之接近使用權(Right of access)」,其第1項規定「資料主體有權向控管者確認其個人資料是否正被處理」,資料主體並得知悉其個資處理之目的、所涉及之類型等事項。該條係為使資料主體在獲得充分、透明且容易接近之資訊,使其得更輕易的行使如資料刪除或更正等權利。 因條文在文字上具抽象性,就具體內涵仍須有一定基準,故歐盟個人資料保護委員會(European Data Protection Board, EDPB)於2022年1月18日,針對GDPR中之接近使用權提出指引(Guidelines 01/2022 on data subject rights - Right of access),闡明在不同的情況中,資料主體應如何向資料控管者(Data Controller)主張接近使用權,並且說明資料控管者針對此項權利之義務內涵。 就具體內容,該指引包含:接近使用權之範圍、資料控管者應向資料主體提供之資訊內容、資料主體請求資訊之格式、資料控管者應如何提供資訊、GDPR第12條第5項所稱「資料主體之請求明顯無理由或過度者」之概念為何。指引並製作流程圖,以便利資料主體輕易的了解向資料控管者主張權利之步驟。 而對於資料控管者,指引亦說明其應如何解釋與評估資料主體之請求、應如何回覆特定請求、限制接近使用權之例子。該指引旨在從各方面分析接近使用權,經由舉例與設想特殊情形,以求為該權利提供更精確之指導。
歐盟公布人工智慧白皮書歐盟執委會於2020年2月19日發表《人工智慧白皮書》(White Paper On Artificial Intelligence-A European approach to excellence and trust)指出未來將以「監管」與「投資」兩者並重,促進人工智慧之應用並同時解決該項技術帶來之風險。 在投資方面,白皮書提及歐洲需要大幅提高人工智慧研究和創新領域之投資,目標是未來10年中,每年在歐盟吸引超過200億歐元關於人工智慧技術研發和應用資金;並透過頂尖大學和高等教育機構吸引最優秀的教授和科學家,並在人工智慧領域提供世界領先的教育課程。 而在監管方面,白皮書提到將以2019年4月發布之《可信賴之人工智慧倫理準則》所提出之七項關鍵要求為基礎,未來將制定明確之歐洲監管框架。在監管框架下,應包括下列幾個重點:1.有效實施與執行現有歐盟和國家法規,例如現行法規有關責任歸屬之規範可能需要進一步釐清;2.釐清現行歐盟法規之限制,例如現行歐盟產品安全法規原則上不適用於「服務」或是是否涵蓋獨立運作之軟體(stand-alone software)有待釐清;3.應可更改人工智慧系統之功能,人工智慧技術需要頻繁更新軟體,針對此類風險,應制定可針對此類產品在生命週期內修改功能之規範;4.有效分配不同利害關係者間之責任,目前產品責任偏向生產者負責,而未來可能須由非生產者共同分配責任;5.掌握人工智慧帶來的新興風險,並因應風險所帶來之變化。同時,白皮書也提出高風險人工智慧應用程式的判斷標準與監管重點,認為未來應根據風險來進行不同程度之監管。執委會並透過網站向公眾徵求針對《人工智慧白皮書》所提出建議之諮詢意見,截止日期為2020年5月19日。
《2022年保護美國智慧財產法》公布至今,所造成的影響仍有待觀察繼2023年1月5日美國總統拜登(Joe Biden)簽署《2022年保護美國智慧財產法》(Protecting American Intellectual Property Act of 2022)並生效後,至今尚未見任何根據該法規展開行動的報告,不過各界仍相當關注該法案的動向,因為其與過往的經濟制裁措施有著顯著的差異。 《2022年保護美國智慧財產法》與其他經濟制裁措施之差異包括: 1.僅針對營業秘密之重大竊盜,不包括其他智慧財產權如專利、著作權等; 2.未要求行為人主觀是為他國政府之利益而竊取營業秘密; 3.法規中使用到關鍵術語的標準及定義較少; 4.某些制裁措施具有強制性; 5.制裁的對象不僅包括竊取美國營業秘密者,也包括從他人竊取美國營業秘密中獲利者; 6.營業秘密盜竊行為須有合理可能性或已經對美國國家安全、外交、經濟、金融穩定構成重大威脅。 雖然《2022年保護美國智慧財產法》即將成為重要的政府工具,以解決營業秘密損失及其對國家安全之影響,且允許當事人面臨營業秘密訴訟或威脅時,將制裁措施武器化,但仍有部分問題有待解決,包括: 1.營業秘密受各州法律管轄,各州之管理機構是否會制定自己的營業秘密定義標準? 2.若在訴訟進行期間實施制裁措施,將產生甚麼影響? 3.是否產生《經濟間諜法》(Economic Espionage Act)之待審案件?美國司法部(US Department of Justice)是否必須參與? 4.判斷是否制裁的標準與美國司法部所採用的《經濟間諜法》之標準是否相同?若不同,則差異為何? 5.當事人或法院是否知道判定營業秘密盜竊行為時該適用什麼證據標準?(法規僅規定由總統決定) 6.法院能否將此類制裁措施作為其決策的一部分? 儘管《2022年保護美國智慧財產法》所衍生的問題及將產生的影響尚有待觀察,但建議企業採取下列合規措施,以避免成為美國新制裁措施的目標,包括: 1.制定並實施合規的營業秘密保護政策與程序; 2.對員工進行教育訓練,使其瞭解有關《2022年保護美國智慧財產法》的基礎知識以及對營業秘密之管理要求; 3.對有可能被盜竊營業秘密的流程進行稽核審查。 本文同步刊登於TIPS網站(https://www.tips.org.tw)。