加拿大提供App開發供應商指導方針解決因隱私保護所引發之問題。
App已成為多數人每日不可或缺之夥伴，其應用層面廣及食、衣、住、行、育、樂等生活領域；不過用戶可能多未意識到，在App程式的下載及安裝過程中，開發供應商會記錄或接觸使用者手機中如電話簿、照片、影音檔案、簡訊、密碼記錄等其他資訊之可能。根據華爾街日報報導，56%的應用程式在用戶不知情的情況下，手機ID會發送給廠商；47%的應用程式會透露用戶的所處位置，使得個人隱私蕩然無存。
加拿大當地的隱私法規要求企業在追求創新及企業精神時必須將隱私保護納入考量；而在行動裝置應用環境中，無論是開發商、服務供應商、應用平台或是廣告商，只要有接觸用戶個人資訊之可能，就有遵守法規之義務。但考量App這樣一個嶄新又快速發展的科技生態，在實踐隱私保護精神之初可能會面臨到新的衝擊與挑戰。因此，加拿大隱私權主管機關（Office of the Privacy Commissioner of Canada，簡稱OPC）乃會同加拿大境內的阿爾伯特及不列顛哥倫比亞兩省各自之地方主管機關（其分別為Office of the Information & Privacy Commissioner of Alberta及Office of the Information & Privacy Commissioner for British Columbia）撰寫指導文件，希望能提供當地App開發供應商建議方案。
該項建議方案促使行動軟體開發供應商在設計與開發App應用程式時必須顧及使用者隱私之保護，並提供協助方式與預防原則，提高使用者隱私受保護之程度；除必須使用清晰且易懂之方式告知用戶的個人資料將進行何種用途外，在使用者下載前亦應告知被蒐集之資料類別及原因、資料儲存位置或地點、資料分享之可能及其原因、資料保存之期限、及其他可能影響用戶隱私之事件；倘若廠商必須變更隱私政策與規定，則應使用明確易懂之方式事先通知所有使用者了解進行何項變更，以強化用戶隱私與個人資料保護意識。
- Complaints under the Personal Information Protection and Electronic Documents Act (the “Act”), OFFICE OF THE PRIVACY COMMISSIONER OF CANADA,Jan. 15, 2013
- Privacy Commissioner launches privacy mobile application, OFFICE OF THE PRIVACY COMMISSIONER OF CANADA, Jan. 28, 2013
- Sumedha Jalote, App Helps Citizens Protect Privacy in Canada, ASIA PACIFIC, Jan. 30, 2013
- Seizing Opportunity: Good Privacy Practices for Developing Mobile Apps, OFFICE OF THE PRIVACY COMMISSIONER OF CANADA, Oct. 24, 2012
美國國家情報體系（United States Intelligence Community）係於1981年依據行政命令第12333號（Executive Order 12333）所建立，其任務為蒐集、分析與提供外國情報與反情報資訊美國國家領導人，服務對象包含美國總統、執法單位以及軍事單位。其於2020年6月提出「情報體系人工智慧倫理架構」（Artificial Intelligence Ethics Framework for the Intelligence Community），為人工智慧系統與訓練資料、測試資料之採購、設計、研發、使用、保護、消費與管理提出指引，並指出人工智慧之利用須遵從以下事項： 一、於經過潛在風險評估後，以適當且符合目的之方法利用； 二、人工智慧之使用應尊重個人權利與自由，且資料取得應合法且符合相關政策與法規之要求； 三、應於利用程序內結合人類判斷與建立問責機制，以因應AI產品之風險並確保其決策之適當性。 四、於不破壞其功能與實用性之前提下，盡可能確認、統計以及降低潛在之歧視問題。 五、AI進行測試時應同時考量其未來利用上可預見之風險。 六、持續維持AI模型之迭代（Iteration）、版本與改動之審查。 七、AI之建立目的、限制與設計之輸出項目，應文件化。 八、盡可能使用可解釋與可理解之方式，讓使用者、審查者與公眾理解為何AI會產出相關決策。 九、持續不定期檢測AI，以確保其符合當初建置之目的。 十、確認AI於產品循環中各階段之負責人，包含其維護相關紀錄之責任。
印度隱私權制度下兒童資料安全的保護現狀印度電子資訊產業技術部（MeitY）2022年11月在網站上公布了個人資料資訊保護法草案（Digital Personal Data Protection Bill,以下簡稱該法案），並於2023年7月提交議會審查。目前印度民法不承認未成年人(未滿18歲者)具有自主簽訂契約的能力。因此，取得的兒童同意不具有法律效力，必須徵得父母或是監護人的同意才能合法蒐集兒童個人資料。 根據印度2022年個人資料資訊保護法案草案，任何未滿18歲的人都被歸類為「兒童」。該法案中同時限制專門向兒童發送的廣告，並且監管任何追蹤兒童行為的情況。目前國際隱私法(例如：歐盟通用資料保護條例 (GDPR)、加州消費者隱私法(CCPA)等)的兒童定義多在13至17歲之間。但考慮到兒童個人資訊的敏感性和潛在危害，印度政府採取了較保守嚴謹的路線。政府也已被授權制定有關處理兒童個人資訊的細則，特别是確保資料使用人不可使用可能對兒童造成傷害的個人資料。 根據社會發展狀況，兒童若每次在網路平台上進行活動時都需經過父母或是監護人同意不甚妥適，且根據前述說明，兒童界定年齡為18歲以下，若依照統一年齡範圍進行控管，實際執行上面臨窒礙難行之處。故修法者在對於該法案修改意見中，引用了其他國家隱私法中的不同年齡分類限制，以求降低年齡門檻限制，或是根據用戶的年齡制定差異化的授權要求。 另一個產生的爭議為，該如何驗證父母或是監護人的同意表示。法條中目前無明確規範何為「有效之同意表示」，現行各平台使用不同的方法獲得父母或是監護人的同意，目前有兩種方式，包括點選「同意」按鈕，或是在用戶條款中表示若使用服務等同於監護人同意。 關於兒童年齡之界定，是否將參考其他國家規範進行差異化設定，目前暫無明確定論(包括如何調整、年齡級距設定)，根據資訊使用的普及，兒童年齡的界定可以預期的將會進行調整；關於如何有效驗證父母或是監護人的同意表示，目前在技術上大多服務商都偏好透過會員註冊時的同意按鈕或是用戶條款中列明若使用服務即代表同意這兩種方式認定，在這兩種方式之後，系統是否有設定驗證機制，以及需要何種驗證方式才可以認定父母或是監護人的同意表示是符合法律效力的，都需後續再進行研擬。
Nokia 出售125項專利價值120億美元美國NPE公司Pendrell Corporation日前宣布從Nokia收購了125項專利。根據Pendrell Corporation之發言可知，前揭125項專利當中，共有81項專利為關鍵專利（essential patent）。主要涉及領域包括運用於智慧型手持裝置、桌上型電腦、MP3播放器等電子設備的多種基礎記憶體技術，其中尚包括以SD卡為主之嵌入式快閃記憶體技術。 市場分析師預估上開技術的全球市場在今年（2013）將有超過120億美元的價值，若僅論及SD卡市場，其價值甚至在2018年將超過210億美元。 依據雙方契約內容可知，為延續Nokia位於芬蘭之研發投入，Pendrell Corporation亦已成立一名為赫爾辛基記憶體技術(Helsinki Memory Technologies，HMT)之子公司。Nokia有權使用HMT未來所收購及所開發之所有專利。又，前揭專利之授權金收入均將運用於進一步之研發活動。 Pendrell Corporation之智財長Joseph Siino則指出，將購自Nokia之125項專利與該公司原有之其他智財組合結合後，除可提供持續性創新之用以外，亦可以公平合理的價格出售給全世界對其感興趣的公司。 赫爾辛基當地律師事務所之合夥律師Jan Lindberg表示大公司將更積極於出售已非其核心資產之專利資產。但應注意對專利之鑑價時有變化。以本件為例，便應考量Nokia之在赫爾辛基交易所之市值僅餘123億美元。
淺談個人資料跨境傳輸之管理淺談個人資料跨境傳輸之管理 科技法律研究所 2013年04月03日 由於資訊科技與全球商務型態之快速發展，企業將個人資料為跨境處理或利用的情況已相當的普遍，例如因人員的調動而傳輸個人資料至位於他國境內的關係企業、因作業委外對象位於他國境內而將個人資料傳輸至境外…等。然而，企業將個人資料為跨境處理或利用時，時常因為各地法令之不一，而面臨阻礙，進而影響其商務活動的進行。我國為一海島型國家，長年倚賴國際通商，是以，有關於個人資料跨境傳輸之課題，為有關當局所不能忽視者。本文擬就世界主要國家及機構之個人資料跨境傳輸國際合作機制精要說明，並提出我國公務機關可能採取之作法建議。 壹、事件摘要 對於個人資料跨境傳輸議題的管理，涉及了多個面向的課題，其中包括了對於各國國家主權的尊重、各國個人資料法令的不一致對於商務活動的影響、個人資料保護與國家利益的平衡…等。觀察各國與國際組織之動態，其基於政治以及經濟上利益，皆致力推動與調和國際間個人資料保護原則。 以歐盟為例，因對於人權的尊重與個人隱私的重視，歐盟所建立的跨國個人資料傳輸規範較為嚴格，而此舉對企業為個人資料之跨境處理或利用造成困擾，阻礙個人資料的自由流動。為此，歐盟採納了個人資料跨境傳輸時所需遵守之標準契約條款，以及具有拘束力之合作規則，以克服個人資料難以自由流動之困難。另一方面，觀察APEC之個人資料保護指令的內容，可以發現個人資料保護之課題受到重視係為了促進區域內電子商務活動之發展。 上述之說明更彰顯了國際組織或其他國家對於個人資料國際傳輸之重視不外乎為了經濟利益的追求、商務活動的進行，故其作法或可為重視國際通商的我國所參考。 貳、重點說明 一、歐盟對於個人資料跨境傳輸議題的管理 （一）標準契約範本之提出 歐盟執委會依歐盟個人資料保護指令第26條第4項提出標準契約範本（the Contractual Model and Standard Contractual Clauses），此標準契約範本之起草精神為，會員國簽訂標準契約後，即可不需徵求該國個人資料保護機關之准許，增進個人資料跨國傳輸之效率以及速度。雖然，此標準契約範本仍有發展空間，但國際上已有相當多國家利用該標準契約處理個人資料跨境傳輸。 目前歐盟已發展三套標準契約範本供會員國於跨境傳輸個人資料時參考，分別是2001/497/EC、2004/915/EC及2010/87/EU之標準契約附錄。依標準契約範本之內容，資料傳送者將個人資料傳輸至第三國時，縱使個人資料接收國已經採取合適的個人資料保護措施，個人資料的傳輸國仍必須採取額外的個人資料保護措施。其中，2001/497/EC與2004/915/EC主要針對會員國之資料管理者將個人資料傳輸至非會員國之資料管理者，而2010/87/EU除了針對會員國之資料管理者將個人資料傳輸至設立於非會員國之資料處理者之情形外，亦賦予當事人更廣泛之契約求償權利，亦即個人資料受侵害之當事人可採取法律行動先向個人資料傳送者請求損害賠償，若個人資料傳送者無賠償能力或發生逃避損害賠償責任之情形時，當事人可以向受個人資料進口者委託者（sub-processor）提出請求，要求就其責任範圍負擔損害賠償責任。 標準契約範本的起草與形成其實就是歐盟隱私保護原則的契約化，是以，該契約範本所定之要件過於嚴格又缺乏彈性，同時增加個人資料跨境傳輸之行政費用負擔，故傳輸以及接收個人資料之雙方不願意以標準契約條款作為其約定之內容。對於跨國傳輸個人資料之跨國企業而言，造成標準契約條款缺乏彈性的主要原因為實務上企業跨國傳輸個人資料時，不見得會設立完整傳輸系統，時常運用郵件交換、內部資料庫查詢以及內部網路等工具跨國傳輸個人資料，而標準契約條款並無法完全因應現況，故產生難以適用之情形。 （二）共同約束條款（Binding Corporate Rules）之提出 如前所述，歐盟執委會已體認到模範契約範本適用上之問題。考量到企業營運之利益，歐盟執委會增加了共同約束條款（Binding Corporate Rule, BCR）機制。BCR為歐盟工作小組依循歐盟個人資料保護指令之精神所提出，為跨國企業、團體以及國際組織於跨境傳輸個人資料至其位於其他未設有妥善個人資料保護法制制度之國家的分公司或子機構時，得以遵循之規則。 BCR建立乃是為了減少跨國組織簽署契約條款之行政負擔支出，並可以更有效率地於其集團內跨境傳輸個人資料。但，BCR僅適用在組織內部跨境移轉個人資料之情形，若是不同公司、企業或組織跨國傳輸個人資料情形時，則不適用BCR。 （三）安全港協議之簽署 為了犯罪偵查機關執行公務之目的，政府間時有合作跨傳輸個人資料之需求。以美國與歐盟為例，二者間成立高度密切聯絡小組(the High Level Contact Group)以統合處理歐盟會員國與美國政府機關就協議事項之協調事宜，同時，亦設定個人資料跨境傳輸保護之相關標準，以供歐盟及美國政府遵循之。 對於個人資料的保護，美國採取分散式之法律規範模式，此與歐盟各會員國之作法不同。此外，因為美國並未被歐盟執委會認定為具備充分（adequate）之個人資料保護措施地區，因此於個人資料跨境傳輸時，依歐盟個人資料保護指令，歐盟內之個人資料似不能傳輸至美國，除非符合其他例外情形。對此，為了弭平兩區域間因個資法規範不同所造成個資無法跨國傳輸之情形，美國商務部與歐盟執委會協議採取安全港架構，此安全港架構提供欲跨境傳輸個人資料之組織可自行評估並決定是否加入安全港架構的機制。 二、APEC亞太經濟合作組織對於個人資料跨境傳輸議題的管理 （一）資訊隱私開路者合作計畫之提出 APEC透過亞太經濟合作組織資訊隱私開路者合作計畫（APEC Data Privacy Pathfinder Projects）建立多邊隱私保護認證機制。開路者計劃之內容包含了自我評估、承諾審查、互相承認與接受、爭議解決與執行…等九項子計畫，期能夠在符合APEC隱私保護綱領之原則下，推動APEC跨境隱私保護規則（Cross-Border Privacy Rules, CBPRs）。總結來說，開路者計劃透過設計一連串的制度，提供企業經營者得以建立其內部之跨境資料傳輸規則，並且透過認證機制（Accountability Agents）之建立，使企業得以提供消費者可信之標章。 （二）APEC跨境隱私執行機制之提出 為使會員經濟體間個人資料之跨境傳輸更為流通，並且調合各國因個人資料保護法令要件不同而產生扞格之情形，APEC跨境隱私執行機制（APEC Cross-Border Privacy Enforcement Arrangement, CPEA）因應而生，而目前己加入本機制之會員經濟體，包括澳洲、加拿大、香港、紐西蘭以及美國。 （三）與其他區域之合作與整合 APEC已開始思考除了亞太地區之個人資料跨境機制之加強外，也思考如何與其他區域之跨境隱私機制進行合作或者整合，以歐盟為例，APEC思考如何將CBPRs機制與歐盟之共同約束條款作調和，以促進全球間之個人資料跨境傳輸。 2012年，APEC將依透明化、流通化、以及低成本化之目標建置更為完善之跨境傳輸個人資料制度。除了加強區域內各國對於跨境隱私系統之認識外，也希望區域內之會員經濟體可踴躍參與跨境隱私機制。 三、經濟合作與發展組織對於個人資料跨境傳輸議題的管理 經濟合作與發展組織（Organization for Economic Co-operation and Development, OECD）於1980年公佈「個人資料保護準則以及跨國資訊傳輸準則」（Recommendations of the Council Concerning Guidelines Government the Protection of Privacy and Trans-Border Flows of Personal Data），列出七項原則，包括： （一）通知（Notice）：當個資被收集時，應通知當事人。 （二）目的（Purpose）：資料僅得以說明之目的為使用，不得作為其他目的之使用。 （三）同意（Consent）：未獲得當事人之同意時，不得揭露當事人之資訊。 （四）安全保障（Security）：需保障被蒐集之資料被濫用。 （五）揭露（Disclosure）：當事人應被告知誰在蒐集他們的資料。 （六）查閱（access）：當事人應可查閱其個人資料並且可改正任何不精確之個人資料。 （七）責任原則（Accountability）：當事人須被通知須負起個人資料蒐集使用以及管理責任者為何人。 個人資料保護準則以及跨國資訊傳輸準則表達各國整合個人資料保護原則之共識，亦可了解OECD各會員國對於消除各國間對於個人資料保護差異以及建立更有效率之跨國個人資料傳輸制度有一致性的想法。 參、事件評析 我國目前已加入APEC跨境隱私規則機制之實驗小組，希望能透過國際參與之方式，推動個人資料跨境傳輸活動，並符合國際組織之隱私保護要求。由於我國並未被歐盟執委會認定為具有合適個人資料保護措施之地區。因此，我國企業如欲從歐盟會員國之地區接收個人資料時，必須注意援用其他之機制，例如與資料傳輸者簽訂模範契約條款或者是使用共同約束條款。另外，我國可比照美國與歐盟間所建立之安全港模式，與歐盟會員國簽訂安全港協議，以符合歐盟隱私權保護指令之要求。 在國際間，我國政府除了持續參加APEC所建立之跨境傳輸機制外，對於非APEC會員經濟體之地區，建議公務機關可透過雙邊擬定安全港架構或者簽訂合作備忘錄之方式，建立與他國間之個人資料傳輸跨境合作。透過安全港架構以及合作備忘錄之簽訂，可確保雙邊之合作內容、擬定跨境傳輸之必要注意原則、建立聯絡窗口等相關機制之健全，亦可使國內須要進行個人資料跨境傳輸之企業、組織以及個人有明確之法規範可依循。