本文為「經濟部產業技術司科技專案成果」
有鑒於智慧聯網IoT環境下,許多智慧型手持裝置及行動通訊裝置,大量蒐集消費者資訊之隱私權暨資訊安全考量,美國國會於2013年5月10日提出「應用軟體隱私暨資訊安全保護法草案」(Application Privacy, Protection, and Security Act of 2013, APPS Act of 2013, H.R. 1913)進行審議。「應用軟體隱私暨資訊安全保護法草案」草案針對應用軟體(Application)在蒐集消費者資訊前,如何落實「同意」機制,乃強制行動通訊裝置應用軟體開發商(developer)應:(1)提供使用者個人資料蒐集、使用、儲存及公開之通知(notice),而該通知含括所蒐集個人資料之種類、使用目的、有償公開第三者之類別及資料儲存等;(2)取得使用者之同意(consent);消費者依據該草案亦有權撤銷其「同意」(withdrawal of consent)。此外,草案乃強制要求該行動通訊裝置應用軟體開發商,就非法近取之個人資料及經去識別化應用軟體蒐集之個人資料,應採取合理及適當之防衛措施(security measures on personal data and de-identified data)。 並且,針對網路環境下隱私權保護議題,更早之前,美國國會於2013年2月28日提出「線上禁止追蹤法草案」(Do-Not-Track Online Act of 2013) 進行審議。「線上禁止追蹤法草案」草案乃要求聯邦貿易委員會(FTC),就透過個人線上活動追蹤,以蒐集、使用個人資料之行為態樣,進行管制。該管制模式謹據以要求如下:(1)被搜集資料個人應收到簡單、明確、並載明資料使用目的之通知(clear, conspicuous and accurate notice and use of such information),而個人就該通知應予明白之同意(affirmative consent);(2)FTC未來在訂定標準規範時,應(shall)考量所被搜集之資料,是否在匿(隱)名基礎上處理之,遂該資料無法有效被聯結(指認)到特定個人或裝置上;此外,消費者當享有資料不被蒐集的權利(expressed preference by individual not to have personal information collected)。該草案並就違反之個人,設定最高15,000,000美元損害賠償規定。
美國通過《非自願私密影像移除法》 以遏止利用AI深偽技術之性犯罪2025年5月19日美國總統川普簽署《非自願私密影像移除法》(Tools to Address Known Exploitation by Immobilizing Technological Deepfakes on Websites and Networks Act, TAKE IT DOWN Act),該法散播未經同意之親密影像,如深偽色情(deepfake porn)和報復性色情(revenge porn)視為犯罪行為。 長久以來非自願私密影像(Non-Consensual Intimate Image, NCII)所造成的傷害一直無法被有效處理,AI深偽技術出現之後讓問題變得更加複雜。美國目前僅有20個州對深偽影像設有專法,但各州對 NCII 的定義、刑責與處理方式差異甚大,受害者亦難以在第一時間快速將影像移除,導致二次創傷。 為解決前述問題,共和黨與民主黨展現高度共識,眾議院於2025年4月28日以409票同意、2票反對,壓倒性通過《非自願私密影像移除法》,並於同年5月19日獲川普總統簽署生效,此為眾議院首部管理人工智慧引發危害的重大立法。 《非自願私密影像移除法》重點與相關討論整理如下。 一、散布未經同意的私密影像屬刑事犯罪 依據《非自願私密影像移除法》,任何人若透過互動式電腦服務(interactive computer service)故意揭露或威脅散布可辨識個人之親密影像即構成刑事犯罪。親密影像包含真實私密影像(Authentic intimate visual depictions)或數位偽造影像(Digital forgeries)兩種情形,後者係指透過軟體、機器學習、人工智慧,或任何其他電腦產生或技術方式所創建之親密影像,包括改編、修改、操弄或變造真實影像,且從整體上來看,一般人難以與真實影像區分者。 二、受規範平台(covered platforms)應即時協助受害者移除相關影像 受規範平台係指係向公眾提供服務之網站、線上服務或行動應用程式,且該服務主要是提供一個平台,讓用戶得以分享其自行產製之內容(user-generated content),如訊息、影像、音訊、遊戲等;若該服務涉及發布、策劃、託管或提供未經同意的私密影像,亦屬本法所規範之平台。 受規範平台應自《非自願私密影像移除法》頒布日起一年內,建立一套機制供受害者或其代理人申請移除未經同意散布的私密影像。平台在收到移除請求後,應於48小時內移除該影像,並在合理範圍內努力搜尋並刪除所有明顯為該影像之複製品。若平台未能遵守此一規範,會被視為違反《聯邦貿易委員會法》(Federal Trade Commission Act)所定義之「不公平或欺騙性商業行為」,並適用該法的相關處罰機制,例如民事懲罰(civil penalty)等。 三、執法單位是否能有效執行是關鍵 《非自願私密影像移除法》授權聯邦貿易委員會(Federal Trade Commission, FTC)作為執法單位,然而由於川普政府近期大幅刪減聯邦機構的開銷與人力,FTC能否在48小時內移除相關私密影像備受質疑;亦有論者擔憂這項機制被濫用,恐成為政府打壓言論自由的政治工具,川普總統即公開表示他會利用這部法律來審查批評者的言論。此外,《非自願私密影像移除法》未設立反濫用條款,任何人都可要求平台刪除影像內容,加上平台有時間壓力可能會預防性刪除內容而非實質審查,形同變相限縮言論自由的空間。 《非自願私密影像移除法》是一部試圖回應數位性暴力與AI深偽技術新興威脅的里程碑式立法,反映出立法者對於保障隱私與防止科技濫用的高度共識。然而,該法利益良善但仍需面臨現實端的檢驗,能否公正且有效率的執法將成為成敗的關鍵。
德國2015年12月3日通過數位健康法(e-Health Gesetz)德國聯邦議會於2015年12月3日通過「健康制度安全數位通訊與應用法」 (下稱數位健康法,Gesetz für sichere digitale Kommunikation und Anwendungen im Gesundheitswesen, e-Health-Gesetz),本法無須經過聯邦參議院同意,最快將於2016 年初生效。 該法係以患者的權益和隱私為中心而制定。其中安全的數位基礎設施將改善健康照護、加強病患的自我決定權。數位健康法要求於全德範圍內,從2016 年中期開始至 2018年中,依法定之資訊技術基礎設施的時間表引進相關技術與設施,在醫療診所和醫院之間全面進行電信基礎設施的連結。 本法案要點摘要如下: • 最新一代的主資料管理(Stammdatenmanagement) (被保險人主資料(Versichertenstammdaten)的測試及更新) 將提供醫生最新資料和防止醫療給付濫用。這個數位健康卡第一個線上應用,將在2018 年中全面引進。而 2018 年 7 月 1 日起未參加線上被保險人主資料驗證之醫生,其補貼亦將削減。 • 醫療用緊急資料(Notfalldaten)應從 2018 年開始依被保險人意願在數位健康卡上儲存,以避免危險藥物的交互作用。因此,從2016 年 10 月開始,使用三種以上藥物患者,將收到藥物治療計畫(Medikationsplan)。而藥劑師自始即有義務在被保險人變更處方時更新之。從 2018 年開始,用藥計畫可以以電子傳輸方式從數位健康卡卡中檢索。 • 數位健康法將促進電子病歷(Arztbriefe)的推動。病患可以對其主治者告知其最重要的健康資料,並以數位資料形式儲存使用。另外,病患的權益和自主決定是本法重點,患者不僅可自行決定何種醫療資料應以卡片儲存,並可決定誰有權查閱。病患亦得提取卡片中儲存之資料。如血糖測量值、從可穿戴裝置或隨身手圈所量測的資料。 • 為提倡遠距醫療(Telemedizin),從 2017 年4 月開始遠距 x 光診斷評估和從 2017年7 月起,線上視訊諮詢時段納入醫療合約給付中。使病患更易獲取醫療訊息,同時在預後諮詢和監控諮詢中亦能得到醫療服務。 • 為進入遠端醫療時代,必須確保各種 IT 系統可以進行溝通,故須在 2017 年 6 月 30 日前提出互通性指引(Interoperabilitätsverzeichnis),使衛生部門不同的 IT 系統所採用的標準簡明化。 • 智慧手機和其他行動裝置使用健康APP已漸普及,到 2016 年底前應確認,被保險人是否可以使用相關設備來行使他們的醫療資料存取權限以及資料是否能夠相互連結進行傳輸。
任意丟棄客戶資料 英國銀行因而違法有鑑於英國14家銀行及金融公司被發現有任意丟棄客戶個人資料而違反「資料保護法」(Dada Protection Act)的情形,英國資訊官辦公室(Information Commissioner´s Office,ICO)於2007年3月17日要求其中11家銀行及金融公司簽署一份承諾書,保證其將來在處理客戶資料時必當遵守資料保護法的規定。 資訊官辦公室次長表示,銀行及金融公司應該以嚴肅的態度來處理客戶資料安全性的問題,否則,他們不但要接受資訊官辦公室更進一步的資訊安全審核,而且還會失去客戶對其之信賴。再者,若這些組織仍不遵守其簽署的承諾書,除了可能對遭到行政罰外,甚至還可能需要負擔違反資料保護法的刑事責任。 除了資訊官辦公室,英國的金融服務局(Financial Services Authority,FSA)亦有權針對違反資料保護法規定之金融公司加以執法。今年2月,英國房屋抵押貸款協會(Nationwide Building Society)便在金融服務局的資訊安全審核中,因為其使客戶資料暴露在可能遭竊的風險下而被處以1百萬鎊的罰金。