歐洲發展智慧電網對資訊安全與隱私保護之現況
歐盟執委會於2011年4月發布的「智慧電網創新發展」（Smart Grids: from innovation to deployment, COM(2011) 202 final），在有關資訊安全與隱私的部分指出，應建立消費者（consumer）隱私的保護規範，促進消費者的使用意願並瞭解其能源的使用狀況；在資訊交換的過程中，亦須保護敏感的商業資訊，使企業（companies）願意以安全的方式提供其能源使用訊息。
歐盟保護個人資料指令（Directive 95/46/EC）是保護個人資料的主要規範，同時也適用在智慧電網個人資料的保護上，但此時則需要去定義何謂個人資料，因為在智慧電網的發展中，有些屬於非個人資料。若為技術上的資訊而不屬於個人資料的範圍，能源技術服務業者（energy service companies）則不須經同意即可讀取該些資訊以作為分析使用。考慮將來廣泛建置智慧電網後，各會員國可能遭遇如何認定是否為個人資料及其保護的問題，因此目前傾向採取「privacy by design」的方式，亦即在系統設計之初，即納入資訊的分類，而不做事後的判斷。
對於此，歐盟執委會於2012年3月發布「智慧電表系統發展準備建議」（COMMISSION RECOMMENDATION of 9.3.2012 on preparation for the roll-out of smart metering systems），對於相關定義、資料保護影響的評估（例如各會員國必須填寫並提交執委會提供的評估表格，且提交後則必須遵循相關規範）、設計時的資料保護及預設（例如在系統設計時一併納入對資料的保護，使之符合資料保護的相關法規）、資料保護的方式（例如會員國必須確保個人資料的蒐集、處理及儲存是適當的並且具有關連性）、資料安全（例如對於資料偶然的或非法的破壞、或偶然的喪失等情形，亦應予以規範）、智慧電表的資訊與透明化（例如在蒐集相關個人資料後，仍應依規範提供資料主體相關的訊息）等方面提出建議，供各會員國於制訂相關規範時的依據。
日本個人資料保護法啟動修法--放寬AI開發的本人同意要件 資訊工業策進會科技法律研究所 2026年06月18日 日本政府於2026年4月7日經閣議決定，提出由個人資料保護委員會（個人情報保護委員会，下稱PPC）研擬之《個人資料之保護等相關法律部分修正法律案》（個人情報の保護に関する法律等の一部を改正する法律案，下稱修正草案），並送請第221回特別國會審議；眾議院本會議已於同年5月26日表決通過，目前由參議院續審，預計於本會期內完成立法[1]。 壹、背景摘要 日本個資法於2020年修正時，於附則第10條明定政府應於施行後每三年檢視國際動向、資通訊技術進展及個人資料新型應用之發展，必要時採取必要措施[2]。PPC據此自令和5年（2023年）起展開檢討，歷經團體意見聽取、中間整理意見徵集，並於今年1月9日公布「三年一度檢討之制度改正方針」，4月7日內閣會議決定提出「個人資料保護法等之一部修正法律案」[3]。 此修正案之提出，主要源自於日本人工智慧基本計畫~以「可信賴AI」實現「日本再起」（令和7年12/23閣議決定）所提出的政策--就可整理為統計編製等之AI開發等所涉之本人同意方式、規範遵循之實效性確保等加以檢討，力求及早將「個人資料保護法」修正案提交國會[4]。 貳、重點說明 本次修正案之主要修正分為「適正(即正當)資料利用之推進」、「因應風險之妥適規範」、「不適正利用等之防止」及「法遵實效性確保之規範」四大面向。依據PPC前述「關於《個人資料之保護等相關法律部分修正法律案》(個人情報保護法等の一部を改正する法律案について)」之說明，有關放寬AI個資取得部分之重點如下： 一、就統計編製鬆綁第三人提供與要配慮個人資料取得之同意 依日本現行個資法規定，要配慮個人資料（信仰、病歷、犯罪歷等可能導致歧視之資訊）之取得（§20Ⅱ）、個人資料之第三人提供（§27Ⅰ）等，除符合例外規定外，原則需本人同意。為因應「多事業者共享資料、橫向解析以編製統計」之需求升高，且產出是統計、無法回頭對應到某個特定個人，對當事人權益的侵害風險較低，因此修正草案（§30之2、§31之3）於統計資訊等編製（含可整理為統計編製之AI開發等）的條件下，允許將個人資料提供第三人、取得已公開要配慮個人資料，得免本人同意；行政機關等保有之個資亦同。但為擔保資料僅用於統計編製，必須公告取得者、提供者與接收者之姓名名稱、擬進行之統計編製內容等一定事項；提供者與接收者須以書面約定僅以統計編製為目的；取得者及接收者禁止此目的外利用及再提供予第三人[5]。 二、不違反本人意思、明顯不害本人權利利益者免除同意 現行日本個資法就個人資料提供第三人（§27Ⅰ），原則需取得同意。此次修正草案規定：個人資料提供第三人（含§18Ⅲ目的外利用、§20Ⅱ要配慮個資取得；上開免同意例外分別定於修正草案第18條第3項第7款、第20條第2項第7款、第27條第1項第8款），於依取得狀況觀之，可認不違反本人意思因而明顯不害本人權利利益之情形，免本人同意。例如：訂房網站A依訂房利用契約，將訂房者姓名等提供予飯店B，或匯款來源金融機構C受託對D付款，將匯款人資訊提供予匯款目的金融機構D[6]。此外，就為保護生命、身體、財產，或為增進公眾衛生、推進兒童健全成長而處理個人資料之情形，於現行「難以取得本人同意時」之外，增列「有相當理由而未取得本人同意時」亦得免同意（第18條第2項第2款、第3款，第20條第2項第2款、第3款，第27條第1項第2款、第3款）。另草案並將「學術研究機關等」之學術研究例外，擴及以提供醫療為目的之機關或團體（如醫院，第16條第9項），俾醫學與生命科學研究得據以進行[7]。 參、事件評析 日本此次修正草案最具產業意義者，係將「可整理為統計編製等」之AI開發所需情況，明文納入免同意之第三人提供與要配慮個人資料取得範圍，直接回應AI開發對大量訓練資料之需求。有關已公開或既有個人資料得否用於AI訓練的合法依據，觀察近年國際動向明顯有朝向提供同意以外之合法路徑，並搭配保障措施例如當事人退出權的趨勢。 韓國個人資料保護委員會（PIPC）於2024年7月發布之指引，明確確認公開之個人資料得據以用於AI訓練，惟須符合正當利益存在、處理必要性、且該利益「明顯優越於」當事人權利之要件，並落實查證資料來源、產出過濾等技術措施，以及保障當事人權利行使之機制[8]。歐盟資料保護委員會（EDPB）於2024年12月17日通過第28/2024號意見，確認一般資料保護規則（GDPR）第6條第1項第f款之「正當利益」得作為AI模型開發與部署階段之合法依據，惟須逐案通過「正當利益之認定—處理必要性—與當事人基本權利之權衡」之保障措施[9]。 我國個資法並未如GDPR、韓國PIPA設有概括之「正當利益」合法事由，係規定一般個人資料之蒐集或處理個人資料可取自一般可得來源之依據，除非當事人對該資料之禁止處理或利用顯有更值得保護之重大利益[10]。但已取得的個人資料已無從識別特定當事人，可基於公共利益為統計或學術研究目的利用的，亦限於公務機關或學術研究機構[11]。而且取自一般可得來源的事由亦不適用於特種個資為學術研究目的所為蒐集處理，限於醫療、衛生或犯罪預防，範圍亦較一般個資為窄[12]。 相較韓、歐、日相繼就AI訓練的個人資料取得，提供明文之合法路徑並配套退出等保障機制，我國現行路徑要件若能進一步參考納入概括的正當利益或明文目的做有限豁免，並配套日本規範透明化、當事人退出與權利行使之配套，應有助於填補現行規範不足之缺口。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://keid.nat.gov.tw/tips/） [1]〈悪質業者に「課徴金」 個人情報保護法改正案、衆院通過〉，時事通信，2026年5月26日，https://www.jiji.com/jc/article?k=2026052600074&g=pol（最後瀏覽日：2026年6月11日）。 [2]個人情報保護委員会事務局，《個人情報保護法等の一部を改正する法律案について》（令和8年4月），頁1，https://www.ppc.go.jp/files/pdf/260407_kisyahaifusiryou.pdf（最後瀏覽日：2026年6月11日）。 [3]個人情報保護委員会事務局，前揭註2，頁1（「これまでの検討経緯」）。 [4]個人情報保護委員会事務局，前揭註2，頁2-4。（最後瀏覽日：2026年6月11日）。 [5]同前註，頁6。 [6]同前註，頁7。 [7]修正後第16條第9項明定「學術研究機關等」含以提供醫療為目的之機關或團體（如醫院）；其學術研究目的之目的外利用（修正後第18條第3項）、受保護個人資料取得（修正後第20條第2項）及第三人提供（修正後第27條第1項）之學術研究例外亦隨之適用；個人情報保護委員会事務局，前揭註2，頁9。 [8]대한민국 개인정보보호위원회（韓國個人資料保護委員會，PIPC），《인공지능(AI) 개발·서비스를 위한 공개된 개인정보 처리 안내서》（人工智慧〔AI〕開發・服務之公開個人資訊處理指引），2024年7月17日公開，明示個人資料保護法第15條第1項第6號「正當利益（정당한 이익）」為AI學習、服務蒐集利用公開個資之實質適法依據，https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=10362（最後瀏覽日：2026年6月11日）。 [9]European Data Protection Board, Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models，https://www.edpb.europa.eu/system/files/2024-12/edpb_opinion_202428_ai-models_en.pdf（最後瀏覽日：2026年6月11日）。 [10]個人資料保護法第19條第1項第7款；個人資料保護法施行細則第19條規定，：「本法第19條第1項第7款所稱一般可得之來源，指透過大眾傳播、網際網路、新聞、雜誌、政府公報及其他一般人可得知悉或接觸而取得個人資料之管道」。 [11] 我國人資料保護法第 20 條第 1 項第 5 款。 [12] 我國人資料保護法第 6 條第 1 項第 4 款。
綠色管制風潮與挑戰 經濟部中小企業處推動輔導計畫歐盟於2003年通過WEEE及RoHS兩項環保指令，分別為有關「廢電子電機產品回收」（Waste from Electronic and Electrical Equipment, WEEE）及「禁用物質防制」（Restriction on the Use of Hazardous Substances, RoHS）兩項指令，明確規定行銷歐洲市場之電機電子產品，自去（2005）年8月及今年7月起，必須符合WEEE及RoHS禁用六項有害物質(鉛、鎘、汞、六價鉻、PBB及PBDE) 兩指令之規定，才能進入歐洲市場。簡單來說，WEEE係為確保在產品到達壽命終結時，其廢棄的零組件不致污染環境，同時部分材料還要能回收再利用；RoHS旨在規範產品的上游設計及中游製造段必須符合嚴格的環保規範，此兩項環保指令勢必對台灣每年輸往歐洲的電機電子產品，產生相當程度的衝擊，若是產品不符合相關規定，最嚴重將遭受到產品下架的處分。 對此，經濟部擬訂了「我國產業因應歐盟環保指令行動方案」，以今年6月底前輔導輸歐產值80%廠商符合RoHS指令要求為目標，而為了協助台灣中小企業因應新規定，中小企業處將輔導320家中小企業進入綠色材料與供應鏈體系，並與國際綠色供應鏈接軌，提高中小企業綠色競爭力。
臺積電於美國專利訴訟勝訴纏訟四年後，臺灣積體電路製造股份有限公司及其北美子公司（臺積電），在與美國Ziptronix公司之專利訴訟中獲得勝訴判決。 同為半導體公司的Ziptronix於2010年起訴主張臺積電所製造，主要用於智慧型手機相機的背照式CMOS影像感測器晶片，侵害該公司9項專利及超過500項申請專利範圍。 依據美國專利法第271條（a）項，除該法另有規定外，於專利權存續期間，未經許可於美國境內製造、使用、要約銷售，或銷售已獲准專利之發明產品，或將該專利產品由外國輸入至美國境內，方屬侵害專利權。因此本案中，臺積電即以美國專利法不適用於美國境外之製造、銷售為由，向法院聲請駁回原告Ziptronix公司之訴。承審法官同意臺積電簡易判決（summary judgment）的聲請，並於10月底作出判決。 臺積電於訴訟中成功主張涉訟晶片的製造及銷售交貨行為皆在臺灣完成。承審法官更指出，縱使如原告Ziptronix公司所言，臺積電相關契約皆於美國境內協商及簽訂，但因為該等契約本來就計畫於海外履行，因此臺積電的涉訟晶片仍非於美國境內銷售。
新加坡個人資料保護委員會針對企業蒐集、使用、揭露永久居留證(NRIC)號碼提出新的諮詢指引考量各行各業的從業習慣及民眾對企業蒐集、使用、揭露永久居留證(National Registration Identification Card, NRIC)號碼之看法，新加坡個人資料保護委員會(Personal Data Protection Commission, PDPC)於2017年11月提議修改個人資料保護法的諮詢指引(Advisory Guidelines on the Personal Data Protection Act )，明確界定企業蒐集、使用、揭露NRIC及其號碼之範圍。 依據舊的諮詢指引，新加坡個人資料保護法允許企業在基於合理特定目的並依法獲得當事人有效同意之情況下，蒐集、使用或揭露NRIC號碼。因此，不少企業活動習慣蒐集利用民眾的NRIC號碼，包括零售商店所舉辦的抽獎活動。然而，在PDPC提出新的諮詢指引後，企業可蒐集利用NRIC號碼的情況受到大幅限縮。 由於NRIC號碼與個人資訊息息相關且具不可取代性，無差別地蒐集利用將增加資料被用以從事非法活動之風險，故新的諮詢指引闡明，原則上企業不應蒐集、使用或揭露個人NRIC號碼或複印NRIC，除非有下列兩種例外情況之一：(一)法律要求；(二)為確實證明當事人身分所必要。第一種例外情況，雖因法律要求無須取得當事人同意，但企業仍應踐行告知義務，使當事人知悉NRIC號碼被蒐集、使用或揭露之目的，並確保企業內已採行適當安全措施，防止NRIC號碼被意外洩漏。第二種例外情況則仍須就NRIC號碼的蒐集、使用或揭露取得當事人同意，除非符合個人資料保護法規定下毋庸取得當事人同意之例外(如急救等緊急狀況)。 此外，PDPC針對得蒐集、使用或揭露NRIC號碼或複印NRIC的情況，以情境案例方式於諮詢指引中說明供企業參考，另給予12個月的審視期間，使企業得修正組織內部政策並尋找可行替代方案。