論數位環境下個人資料保護法制之發展與難題－以「 數位足跡」之評價為核心
郭戎晉
副主任兼應研組組長 編譯整理
歐洲理事會修訂「保護個人有關個人資料處理及自由流通規則（一般資料保護規則）」（Proposal for a Regulation of the European Parliament and of the Council on the protection of individuals with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation), GDPR），該草案內容包括行政罰鍰三審制（three-tiered system）。凡故意或過失違反歐洲資料保護基本權之企業，情節重大者，可能招致鉅額行政罰鍰，草案之裁罰性措施將讓從業者更加重視資料保護法益。 是否對違反GDPR之侵權行為裁處罰鍰，會員國政府有裁量權限；已受刑事制裁者，政府亦得免除罰鍰以避免重複處罰。資料保護主管機關（data protection authorities, DPAs）依三審制判斷，確保所裁處罰鍰具有效性、比例性及嚇阻性。三審制包括：第一審，是否對資料當事人之資料要求延遲、變更回應；第二審，是否對資料當事人、DPAs盡資訊透明義務；第三審，各種具體侵權行為，包括對於資料取得缺乏法律依據、未能即時告知資料違反情事，或未採取適當安全防衛措施於歐盟以外區域傳遞資料等。 依草案，DPAs審酌罰鍰額度時，應依下列計算罰鍰： (1) 企業故意或過失未能於一定期間內，回應資料當事人之資料查閱請求者，裁處上一會計年度全球總年營業額0.5%罰鍰。 (2) 企業故意或過失未能提供任何或所有符合資料當事人要求之必要資訊；或未能對消費者充分揭露個人資料蒐集、處理的目的者，裁處上一會計年度全球總年營業額1%罰鍰。 (3) 企業故意或過失未能維護消費者權益，更正或刪除消費者資料，違反GDPR所保障之消費者「被遺忘權」者，裁處上一會計年度全球總年營業額1%罰鍰。 (4) 企業故意或過失處理個人資料，行為不具適法性、違反法規、沒有對當事人通知資料違反或將個人資料傳遞自歐盟以外區域，該區域沒有適當安全資料保護者，就企業上一會計年度全球總年營業額裁處2%罰鍰。 六月中旬，歐盟各部長將就歐洲議會、歐盟理事會的提案，就罰鍰額度進行最後協商，未來將持續關注草案協商後續發展。
印度邁向個資法制新里程公布數位個資保護規則印度於2025年11月13日公布《數位個人資料保護規則》（Digital Personal Data Protection Rules，下稱DPDP規則，位階近似於我國個人資料保護法施行細則），作為2023年8月制定《數位個人資料保護法》（Digital Personal Data Protection Act，下稱DPDPA）之配套規範。DPDPA為印度首部全面性個資保護立法，並與DPDP規則採三階段施行。第一階段自2025年11月13日起，重點包括定義規定、印度資料保護委員會（Data Protection Board of India, DPBI）之設立與權限。第二階段自2026年11月13日起，聚焦於印度特有之「同意管理人（Consent Manager）」制度。第三階段自2027年5月13日起，全面施行資料處理者（Data Fiduciary，意涵近似於歐盟一般資料保護規則（GDPR）所稱資料控管者，惟更強調對資料主體負有信賴義務與善良管理責任）一般義務、兒童資料保護、重要資料處理者制度、當事人權利、跨境傳輸及適用除外等規定。其制度重點如下： 一、明確化告知與同意規範：DPDP規則要求資料處理者於取得資料主體同意前，須以獨立且易懂之方式提供告知，清楚說明個人資料類型、利用目的及所提供之商品或服務，並提供同意撤回、權利行使及申訴之管道。 二、建立同意管理人制度：此制度使資料當事人得透過第三方集中管理其對不同資料受託者之同意狀態，並隨時檢視或撤回其同意。DPDP規則就其資格、義務、登錄程序及監理機制加以規範，並賦予DPBI對其進行調查與裁罰之權限。 三、強化資安措施與侵害通報：DPDP規則明定資料受託者應採取安全維護措施，其最低標準包括加密、存取控制、日誌保存、監控、備份及資料處理相關契約管理等。另建立個資侵害通報制度，要求即時通報資料當事人及DPBI，並於72小時內補充完整資訊。 四、加重大型平台與特定資料保護機制：DPDP規則要求大型電子商務、線上遊戲及社群平台於三年未互動且無保存義務時刪除個人資料；並就18歲以下兒童及受法定監護者，要求取得可驗證之法定代理人同意。另中央政府得指定「重要資料處理者（Significant Data Fiduciary）」，課予定期影響評估、稽核及設置資料保護長之義務。 五、規範權利行使、跨境傳輸與除外規定：DPDP規則要求資料受託者及同意管理人於其網站或應用程式中，清楚揭示權利行使方式及身分驗證程序；跨境傳輸採「原則開放、例外限制」模式，由政府另行指定限制國家或對象；另就研究、保存及統計目的之資料處理，DPDP規則明定在未造成個人權益之影響下，且資料受託者已採取適當技術與組織措施，始得適用除外規定。
美國新能源法案預定於2010年前興建新核電廠美國總統布希於本（ 8 ）月 8 日簽署能源法案，法案目的除減少對國外能源依賴外，另亦授權興建一座新核能發電廠。布希政府希望於 2010 年前開始建造核能廠。 儘管核能爭議大，但現今國際油價已飆高達每桶 63 美元，在美國參眾兩院日前通過、布希總統今簽署的能源法案中，同意興建的新核電廠，是美國自 1979 年三哩島事件以來，第 1 座預定興建的核能廠。 能源法案的通過，被視為是布希政府一大勝利，也是相關利益團體石油公司的勝利。布希自 2001 年上台即大力鼓吹此法案，經 4 年多爭議，眾參院才分別在 7 月 28 、 30 日通過。 除新建核電廠外，能源法案內容還包括：准許在海岸探勘石油與天然氣，這項鬆綁引起環保人士質疑；提供美國能源公司超 10 年 145 億美元的減稅優惠，這項優惠讓華府輿論質疑，減稅是「肥了石油公司，苦了消費者與納稅人」；另外，鼓勵開發新的潔淨能源、再生能源，提供 18 億美元的獎助，這項具有環保意義、找尋替代能源的條文，也被質疑資助少得可憐。
美國FDA公布醫療器材上市前審查指令510(k)美國食品藥物管理局（The Food and Drug Administration，簡稱FDA）於今年（2014）7月更新並公布了醫療器材上市前審查（premarket notification）的指令（guidance）（該指令名稱為510(k) Program: Evaluating Substantial Equivalence in Premarket Notification，以下簡稱510(k)），針對醫療器材業者將其生產製造的醫療儀器申請上市的過程做了新的調整及規範。此指令主要是讓業界及FDA人員了解FDA在評估醫療器材申請過程中所評估的因素及要點，並藉由FDA在審查醫療器材的實務規範及審查標準來當作標準並訂定510(k)修正，以提高510(k)評估的可預測性、一致性及透明度，讓業界有一定的遵循標準。雖然FDA的指令文件並不受法律強制規範，但可供醫材藥廠清楚FDA所重視的審查程序及內容。 510(k)審查的內容主要規範於美國藥物食品化妝品管理法第513(i)條，其重點規範包括定義FDA評估實質上相同的標準：實質上相同指新醫材在技術上特點（technological characteristics）與比對性醫材相同；若該新醫材的技術特點在材料設計等和比對性醫材不盡相同，其需證明該儀器的資訊包括臨床試驗或是實驗數據等，與比對性醫材的安全及有效性性質並無歧異。以下為FDA在進行510(k)審查過程中，主要的評估內容： 1.說明欲申請上市新醫材在技術上的特點。 2.比較新醫材及比對性醫材在器材技術上特點的異同。欲申請510(k)的製造商需比較新醫材及已上市的醫材在功能上的異同。 3.決定技術特點的差異是否會影響新醫材的安全及有效性。