Google個資隱私權政策違反歐洲資料保護指令，六國將聯合採取法律途徑
2012年3月Google將世界各地總共60個相異的個人資料隱私權政策統一後，即受到歐盟個人資料保護機構「第29條工作小組」的關注，該小組認為Google修訂後的個人資料隱私權政策違反歐洲資料保護指令（European Data Protection Directive (95/46/CE)），將難以讓使用者清楚知悉其個人資料可能被利用、整合或保留的部分。同時，Google亦可能利用當事人不知情的情況下，大量利用使用者個人資料。因此，2012年10月歐盟要求Google在4個月內對該公司的個人資料隱私權政策未符歐盟規定者提出說明，惟至今Google仍無回應。因此，歐洲6個國家，包括法國、德國、英國、義大利、荷蘭及西班牙的個資監管機構，將聯合審視Google的個人資料隱私權政策是否違反各國的法律，並依據各國法律展開後續措施，如鉅額罰款等。法國之資訊自由國家委員會（Commission nationale de l'informatique et des libertés，簡稱CNIL）率先表示，若Google於4月11日前未改善其資料隱私權政策，法國將首先採取法律行動。然Google對此僅簡單回應，表示其資料隱私政策尊重歐盟的法律，且可以讓Google提供更簡單、更有效率的服務。
- Six EU nations challenge Google on privacy, TECH2, April 04 2013
- Privacy update - EU launches enforcement against Google, LEXOLOGY, April 03 2013
- EU threatens ‘substantial toll’ for Google data breaches, TRAVOLUTION, April 03 2013
- Google and privacy: 6 EU countries take action, BLOOMBERG BUSINESSWEEK, April 02 2013
- Google must defend privacy policies to 6 European agencies, TECHHIVE, April 07 2013
- Six EU Countries Take Legal Action Against Google Over Privacy, INTELLECTUAL PROPERTY WATCH, April 04 2013
我國近年來對智財權保護不遺餘力，政府除祭出各種方案使智慧財產之觀念深入人心外，相關修法動作也持續進行，今年度經濟部智慧財產局更展開大規模的修法，並分別就各修正議題舉辦多場之法案公聽與說明會。諸此種種努力逐漸獲得國際間的肯定，美國政府也釋出善意，在今年初公布之二００五年三０一報告書中，特別將我國從「特別三０一優先觀察名單」中，調降為一般觀察名單。 據美國商會表示，台灣投資環境近年最大的改善，莫過於對智慧財產權的重視，以及落實智財權保障的有效執法機制。不過美國商會也認為，網路盜版猖獗及智財權案件審理費時冗長，將是台灣未來智財權保護的兩大挑戰。尤其在網路盜版方面，保智大隊前幾年查獲的案件中，只有2％與網路侵權有關，但今年到十一月底，比例上升80％，顯示網路盜版加劇，因此建議我國應加速規範P2P傳輸業者的立法，以遏止下載未經授權的音樂、影片，或其他受著作權保障的作品。 美國商會呼籲，為維持得來不易的成績，立法院應儘速在本會期通過智慧財產法院組織法草案、智慧財產案件審理法草案，及在著作權法新增技術立法，以規範P2P（網路點對點傳輸）業者等智財三項法案；與此同時，美國商會也建議未來智財法院的法官，應具備技術背景並體認國際投資競爭、偽藥及假農藥等公共衛生議題對於生技等創新產業發展之重要性。
日本發布《首席AI長指引》與《實務手冊》，強化資料來源可溯，引導企業將AI風險納入資料治理框架2026年3月1日，日本人工智慧（AI）安全研究所（Japan AI Safety Institute, J-AISI）發布《首席AI長指引 1.00版》（Chief AI Officer Guidebook (Version 1.00)，下稱指引）與《首席AI長設置與AI治理實施實務手冊 1.00版》（Practical Manual for Establishing a Chief AI Officer and Implementing AI Governance (Version 1.00)，下稱實務手冊）。兩份文件旨於促進AI時代下的永續企業經營（sustainable business operations），提升產品與服務品質、建立客戶與使用者的信任。 一、指引與實務手冊概覽 指引內容包含設立「首席AI長」（Chief AI Officer, CAIO）職位之目的、職責。實務手冊內容則進一步指出一種組織模式，其中首席AI長為獨立的高階主管，直接向執行長匯報，並在首席AI長下設立AI治理辦公室，以及建議設立一個「跨部門AI指導委員會（Company-wide AI Steering Committee）」，成員包括首席AI長、首席資料長、首席資訊長、首席技術官、首席資訊安全官、法律合規部門、資料保護官、人力資源部門以及關鍵業務部門。各業務部門與系統所有者應依照既有標準運作，並向人工智慧治理辦公室和資料治理組織提供必要資訊。 二、將AI特定風險納入資料治理框架：降低幻覺與偏見之具體作法 在AI系統的生命週期中，資料品質影響決定模型效能、可解釋應與透明度。 首席AI長的職責為整合AI、資料與技術策略，於確保企業信任與風險管理之基礎下，驅動企業創新與數位轉型，並最大程度提升企業價值。因此，首席AI長應與首席資料長、法務部門協調，規範資料的生命週期、設定品質指標（Quality Metrics），並嚴格核實第三方素材授權（licenses for third-party materials）。 以下介紹文件建議之AI資料生命週期（資料蒐集）之管理作法： （一）區分資料用途：針對每個使用案例與模型，區分（1）AI模型訓練用資料；（2）AI訓練完成後，用於驗證與評測模型產出品質的評估資料（evaluation data），此類資料不參與模型的優化調整，僅客觀確認模型的準確度；（3）於AI模型運行過程中，使用者輸入的資料（data entered during inference），包含提示詞、上傳的文件及系統日誌（Logs）。 （二）資料分類：企業應依資料機敏程度進行分類，如機密、個資、內部及公開資訊等分類，以便加以定義資料之蒐集方式、儲存方式、資料遮罩要求（masking requirement，包含去識別化），以及控管資料傳輸至外部AI服務之權限。 （三）落實可追溯性與透明度文件：應透過實務手冊18.3之資料表（Datasheets）進行標準化記錄，包含 1. 基本資訊，如資料及名稱與版本；資料所有者；資料建立日期、最後更新日期等。 2. 目的與使用範圍，如資料集的用於訓練、評估、優化等；資料使用範圍限內部，或可對外提供等。 3. 組成與範圍，如記錄資料筆數與特徵概況；目標期間、區域與族群，如年齡、產業；資料格式，如文字/影像/音訊等。 4. 資料來源與蒐集方法，包含資料來源（內部系統、客戶提供的資料、公開資料、供應商提供的資料等）；資料蒐集方法（日誌、調查、網路爬蟲等）；是否取得資料主體同意等。 5. 資料品質與預處理（preprocessing），包含：紀錄去識別化等資料轉換流程；規範資料標記之品質管理機制。 6. 代表性與偏見，如列出AI預期使用情境與目標客群的一致性；特定性別、年齡、地區是否存在代表性不足的偏差等。 7. 隱私與法源依據，如資料是否包含個人資料或敏感資訊；資料處理之法律依據，如資料主體同意、契約等；採取之隱私保護措施，如去識別化等。 8. 授權、權利與資料反覆使用之條件：使用條件，如授權條款、是否允許商業使用等。 9. 安全性與存取控制：儲存位置，如資料中心、雲端或本地以及是否加密；資料之存取權限，如控管檢視、編輯、匯出等權限。 10. 資料保存與銷毀：記錄訓練資料、評估資料、輸入資料等不同類型資料之儲存期限，並規定如儲存期限過後，需以不可回復之方式銷毀資料，或必要時，應匿名後歸檔等規定。 三、接軌國內實務：企業可參考EDGS規範健全AI風險管理需求 面對AI資料生命週期管理，建議我國企業可參考資策會科法所創意智財中心發布之《重要數位資料治理暨管理制度規範（EDGS）》。EDGS同樣強調數位資料歷程管理，從資料生成、保護到維護的管理流程，有效強化資料的完整性。透過導入EDGS，企業不僅能提升內部創新、數位轉型，更能在面對AI糾紛時，提供歷程紀錄，從源頭端落實首席AI長所要求的循證治理目標。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
英國推動「公共緊急警報：行動通訊預警試驗」實證服務為試驗導入智慧防救災各項新興技術與機制，英國國民緊急事務秘書處 (Civil Contingencies Secretariat, CCS) 於2013年秋天分別對北約克郡 (North Yorkshire)、格拉斯哥 (Glasgow) 和薩福克郡 (Suffolk) 三地區進行共三次的「公共緊急警報：行動通訊預警試驗」(Public emergency alerts: mobile alerting trial)。由於英國已有92%民眾具有行動電話，並以隨時得接收訊息為出發點，進行有別於傳統預警系統之公共緊急預警系統試驗。此試驗由國民緊急事務秘書處與O2、Vodafone和EE三間行動網路業者 (mobile network operators) 和地方政府應變單位合作，雖係以行動電話為試驗主軸，但試驗重點則以政府或地方政府應變單位「不知道」民眾個人電話，亦不要求民眾簽署才能取得此次試驗訊息為主。 此三次試驗手段有二，包括「小型區域廣播服務」 (cell Broadcast service, CBS)，係以單點對多點發送緊急簡訊，以及「以地區為基礎的簡訊」 (location-based SMS messaging)，以群組方式發送簡訊至指定地區用戶，二種發佈緊急訊息的方法為試驗。 北約克郡 (North Yorkshire)主要與EE進行發送緊急水災警報系統，對於廣播訊息發送的時間或調整時間長短以供傳送「泡沫警報」(表訊息多寡)到地域寬廣或數個地區而言，是有效的手段。格拉斯哥 (Glasgow)地區為蘇格蘭最大城市，與O2業者進行最大型的試驗，發送數千緊急訊息給民眾。而薩福克郡(Suffolk)則是由於該區不僅於市中心具兩個火車站，遊客也眾多，因此試驗場域以住商混合住宅區及處於該區的人民為主。除小型區域廣播服務和以地區為基礎的簡訊外，薩福克郡也與社交網路Twitter合作，共傳送三種訊息試驗。 透過上述試驗，公共緊急警報：行動通訊預警試驗計畫報告也提出針對隱私與對於電信服務業者於災害發生當下之通訊服務義務未來應制訂相關規範，以及應統一發送訊息之通訊警報協定標準等建議。
德國與愛爾蘭對於個人資料處理是否須明示同意之見解不同德國與愛爾蘭資料保護局對於資料保護指令所規定個人資料（以下簡稱個資）的處理（process），是否須取得資料當事人明示同意，表示不同的見解。德國資料保護局認為臉書網站所提供之人臉辨識（預設加入）選擇退出（opt out consent）的設定，並不符合資料保護指令（Data Protection Directive）對於同意（consent）的規範，且有違資訊自主權（self-determination）；然而，愛爾蘭資料保護局則認為選擇退出的機制並未牴觸資料保護指令。 德國資料保護局委員Johannes Caspar教授表示，預設同意蒐集、使用與揭露，再讓資料當事人可選擇取消預設的作法，其實已經違反資訊自主權（self-determination）。並主張當以當事人同意作為個人資料處理之法律依據時，必須取得資料當事人對其個資處理（processing）之明示同意（explicit consent）。對於部長理事會（Council of Ministers）認同倘資料當事人未表達歧見（unambiguous），則企業或組織即可處理其個人資料的見解，Caspar教授亦無法予以苟同。他認為部長理事會的建議，不但與目前正在修訂的歐盟資料保護規則草案不符，更是有違現行個資保護指令的規定。 有學者認為「同意」一詞雖然不是非常抽象的法律概念，但也不是絕對客觀的概念，尤其是將「同意」單獨分開來看的時候，結果可能不太一樣；對於「同意」的理解，可能受到其他因素，特別文化和社會整體，的影響，上述德國和愛爾蘭資料保護局之意見分歧即為最好案例。 對於同意（consent）的落實是否總是須由資料當事人之明示同意，為近來資料保護規則草案（The Proposed EU General Data Protection Regulation）增修時受熱烈討論的核心議題。資料保護規則草案即將成為歐盟會員國一致適用的規則，應減少分歧，然而對於企業來說，仍需要正視即將實施的規則有解釋不一致的情況，這也是目前討論資料保護規則草案時所面臨的難題之一。