美國對於智慧聯網 IoT 環境隱私保障展開立法工作
有鑒於智慧聯網IoT環境下，許多智慧型手持裝置及行動通訊裝置，大量蒐集消費者資訊之隱私權暨資訊安全考量，美國國會於2013年5月10日提出「應用軟體隱私暨資訊安全保護法草案」（Application Privacy, Protection, and Security Act of 2013, APPS Act of 2013, H.R. 1913）進行審議。「應用軟體隱私暨資訊安全保護法草案」草案針對應用軟體（Application）在蒐集消費者資訊前，如何落實「同意」機制，乃強制行動通訊裝置應用軟體開發商（developer）應：（1）提供使用者個人資料蒐集、使用、儲存及公開之通知（notice），而該通知含括所蒐集個人資料之種類、使用目的、有償公開第三者之類別及資料儲存等；（2）取得使用者之同意（consent）；消費者依據該草案亦有權撤銷其「同意」（withdrawal of consent）。此外，草案乃強制要求該行動通訊裝置應用軟體開發商，就非法近取之個人資料及經去識別化應用軟體蒐集之個人資料，應採取合理及適當之防衛措施（security measures on personal data and de-identified data）。
並且，針對網路環境下隱私權保護議題，更早之前，美國國會於2013年2月28日提出「線上禁止追蹤法草案」（Do-Not-Track Online Act of 2013） 進行審議。「線上禁止追蹤法草案」草案乃要求聯邦貿易委員會（FTC），就透過個人線上活動追蹤，以蒐集、使用個人資料之行為態樣，進行管制。該管制模式謹據以要求如下：（1）被搜集資料個人應收到簡單、明確、並載明資料使用目的之通知（clear, conspicuous and accurate notice and use of such information），而個人就該通知應予明白之同意（affirmative consent）；（2）FTC未來在訂定標準規範時，應（shall）考量所被搜集之資料，是否在匿（隱）名基礎上處理之，遂該資料無法有效被聯結（指認）到特定個人或裝置上；此外，消費者當享有資料不被蒐集的權利（expressed preference by individual not to have personal information collected）。該草案並就違反之個人，設定最高15,000,000美元損害賠償規定。
新加坡資料共享法制環境建構簡介 資訊工業策進會科技法律研究所 2019年12月31日 壹、事件摘要 如何有效運用資料創造最大效益為數位經濟（Digital Economy）重點，其中資料共享（data sharing）是有效方法之一。新加坡自2018年以來推動「資料共享安排」機制（Data Sharing Arrangements, 下稱DSAs）與「可信任資料共享框架」（Trusted Data Sharing Framework），建構資料共享環境，帶動國內組織[1]資料經濟發展與競爭力。 貳、重點說明 自從2014年新加坡政府推行「2025智慧國家（Smart Nation）」以來，即積極鋪設國家數位經濟建設，大數據資料分析等數位科技發展為其重點，預估2022年60%國內生產總值將與數位經濟有關[2] 。其中，希望透過資料共享促進組織、政府、個人三方間資料無障礙流通，降低蒐集、處理與利用成本，創造更多合作機會進行創新應用，因此從法制面、環境面與技術應用層面打造完善的資料共享生態系統（data sharing ecosystem）[3]。 然而依據《個人資料保護法》（Personal Data Protection Act 2012，下稱個資法）第14條以下規定，組織蒐集、處理與利用個人資料應取得當事人同意，除非符合第17條研究目的等例外情形。由於資料共享強調可將資料進行多節點快速傳遞近用，使資料利用價值最大化，因此若依據個資法規定每次共享皆須事前獲得當事人同意，將使近用成本增高並間接造成資料流通產生障礙。因此為因應國家政策與產業需求，新加坡個人資料保護委員會（Personal Data Protection Commission, 下稱個資委員會）依據個資法第62條所賦予的豁免權（exemption），個人或組織可在遵循個資委員會訂定的規則下，依照個案給予組織免除個資法部分規範[4] ，而DSAs機制即是一種[5]。 DSAs是由個資委員會於2018年設立的沙盒（sandbox）計畫，如組織所進行的共享模式是在特定群體並範圍具體明確，同時不會造成個人有負面影響等情事，可在不須經個人同意下進行資料共享[6]。並且，為進一步提升組織與消費者間信任，2019年6月個資委員會與資訊通信媒體發展局（Info-Communication Media Development Authority of Singapore，下稱資通發展局）共同推出「可信任資料共享框架」指南建議，由政府擔任監管角色，組織只要符合指南建議方向，如遵循法律、達到一定資料技術應用品質與實施資安與個資保護措施下，可以進行個人與商業資料之共享，DSAs機制是共享方法之一。以下簡述新加坡個資法規範、指南建議與DSAs機制運作方式。 圖1：資料共享環境建構 資料來源：新加坡資通發展局 一、新加坡個人資料保護法規範 在沒有個資法第17條所列之例外情形下，依據第14條以下規定，組織如近用個人資料應獲得個人同意，同時應符合目的使用及通知義務，尤其應給予個人可隨時撤回同意之權利[7]。 同時組織應根據個人要求，提供近用個人資料之方法、範圍與內容，以及更正錯誤資料權利[8]。並且組織必須任命資料保護官（Data Protection Officer, DPO）隨時向大眾提供通暢的個資聯絡管道，來確保個資透明性與完整性[9]。 在資料保護措施上應有合理安全的資安防護技術，以保障資料不被未經授權近用的風險。當使用目的不在時，需妥善保留或予以去識別化，同時如須境外轉移資料時，境外之資料保護措施應至少與新加坡個資法規範標準相同[10]。 二、免除同意之DSAs機制 DSAs機制是由個資委員會於2018年設立的沙盒（sandbox）計畫，也就是組織可透過申請免除資料共享前必須獲得個人同意之規範。然而如組織擬向個資委員會申請DSAs機制，必須符合三個條件[11]： 共享範圍需在特定群體、期間與組織內：即只限定在具體特定的應用情境內，若超出申請範圍，例如分享至其他非申請範圍的組織，則須再經過個資委員會批准[12]。 近用目的需具體明確：即資料共享必須應用於特定且明確目的，如以「社會研究目的」作為申請則範圍過大不夠明確[13]。 近用資料對於個人不會有不利影響，或公共利益大於個人利益：例如共享目的不是直接用於銷售或存在合法利益，或是共享本身具備公共利益且明顯大於個人可預見的（foreseeable）不利影響，此時個資委員會可考慮同意組織申請免除[14]。 三、建立以信任為基礎之資料共享模式 雖然取得DSAs機制免除同意可以使資料近用方式更為簡便，然而在進行資料共享前，仍應有完善的技術品質與資安保護措施，因此在「可信任資料共享框架」指南建議中，組織應透過法律遵循、導入AI或區塊鏈等新興技術，並具備相應資安保護措施來建構可信任的資料共享環境，實際步驟可分為以下四階段[15]： 圖2：可信任資料框架 資料來源：新加坡資通發展局 第一階段為「資料共享建構」[16]，由組織自行評估存有的商業或個人資料是否具共享價值與潛在利益，並要如何進行共享，例如資料共享方式屬於雙邊（bilateral）、多邊（multilateral）或是分散式（decentralized，又稱「去中心化」）。以及資料種類有哪些，如主資料（master data）、交易資料、元資料（metadata）、非結構化資料（unstructured data）等。組織可將資料共享方式、種類依據無形資產（intangible asset）評價方式，即市場法（market approach）、成本法（cost approach）與收入法（income approach）三種評價方法進行評價，來衡量共享之價值性。除資料價值判斷外，組織必須自行評估自身組織與將來之合作夥伴是否有足夠能力管控共享之資料，包括是否具備一定技術能力的資安與資料保護措施等。 第二階段為「法律規範考量」[17]，即決定哪些資料可以進行共享，從規範面檢視個資法、競爭法與銀行法等是否有例外不得共享規定，例如信用卡號碼或個人生物識別資訊不得共享。若資料共享類型不會對個人造成不利影響或具備公共利益，並有通知（notification）個人給予選擇退出（opt-out）的機會，組織可依個案申請DSAs機制之豁免。同時另外鼓勵組織向IMDA申請資料保護信任標章（Data Protection Trustmark, DPTM）認證，透過認證機制使消費者更能信任組織運用其個人資料[18]。 第三階段為「技術組織考量」[19]，包含組織是否有能力建立資安風險管理與個資侵害之因應措施，是否有即時將資料安全備份技術，並針對不同傳輸技術如有線/無線網路、遠端存取（VPN）、應用程式介面（API）、區塊鏈等區分不同資安防護與風險管理能力。 最後一階段為「資料共享操作」，當已準備進行資料共享時，需再次檢視是否已符合前三個階段，包含透明性、責任義務、法律遵循、近用資料方式與取得目的外利用同意等[20]。 參、事件評析 個人資料視為21世紀驅動創新的重要價值，我國部會亦開始討論「個資資產化」的可能[21]。面對數位經濟時代來臨，有效運用數位科技將潛藏個人資料的大數據進行加值利用，不僅有利組織與創新發展，更可回饋消費者享有更好的產品與服務。 新加坡政府以資料共享作為數位經濟發展重點方向之一，在具備一定程度技術能力、資安保護措施與組織控管之條件下，可向主管機關申請免除個人同意之規範。透過一定法規鬆綁讓資料利用最大化以創造產業創新價值，同時依據主管機關要求的保護措施，使消費者信賴個人資料不會遭受不當利用或侵害。DSAs機制與「可信任資料共享框架」指南之建立，適時調適個人資料保護規範與資料應用間的衝突，並提供組織進行資料共享之依循建議，作為推動該國數位經濟發展方針之一。 [1]組織（organisation）依據新加坡個人資料保護法（Personal Data Protection Act 2012）第2條泛指個人、公司、協會、法人或團體。 [2]INFOCOMM MEDIA DEVELOPMENT AUTHORITY 【IMDA】, Trusted data sharing framework (2019), at 7, https://www.imda.gov.sg/-/media/Imda/Files/Programme/AI-Data-Innovation/Trusted-Data-Sharing-Framework.pdf (last visited Sep. 11, 2019). [3]id. [4]Personal Data Protection Act 2012 (No. 26 of 2012) §62, “The Commission may, with the approval of the Minister, by order published in the Gazette, exempt any person or organisation or any class of persons or organisations from all or any of the provisions of this Act, subject to such terms or conditions as may be specified in the order.” [5]Data Sharing Arrangements, PDPC, https://www.pdpc.gov.sg/Overview-of-PDPA/The-Legislation/Exemption-Requests/Data-Sharing-Arrangements (last visited Dec. 1, 2019). [6]id. [7]IMDA, supra note 2, at 31; Personal Data Protection Act 2012 (No. 26 of 2012) §14, 16, 20. [8]id. Personal Data Protection Act 2012 (No. 26 of 2012) §21. [9]IMDA, supra note 2, at 31. [10]id. at 32. Personal Data Protection Act 2012 (No. 26 of 2012) §24-26. [11]id. [12]PERSONAL DATA PROTECTION COMMISSION【PDPC】, Guide to Data Sharing (2018), at 14, https://www.pdpc.gov.sg/-/media/Files/PDPC/PDF-Files/Other-Guides/Guide-to-Data-Sharing-revised-26-Feb-2018.pdf (last revised Oct. 3, 2019). [13]id. [14]id. [15]PDPC, supra note 4. at 28. [16]id. at 21, 23-25. [17]id. at 35 [18]id. at 30. Data Protection Trustmark Certification, IMDA, https://www.imda.gov.sg/programme-listing/data-protection-trustmark-certification (last visited Sep. 26, 2019). [19]id. at 41-47. [20]id. at 50-51. [21]林于蘅，〈自己的個資自己賣！國發會擬推「個資資產化」〉，聯合新聞網，2019/06/17，https://udn.com/news/story/7238/3877400 （最後瀏覽日：2019/10/1）。
日本第52次知的財產戰略本部會議決議—推動著作權資訊橫向跨域查找平台日本第52次知的財產戰略本部會議決議—推動著作權資訊橫向跨域查找平台 資訊工業策進會科技法律研究所 2023年09月01日 創作內容的流通利用是發揮文化經濟力的核心關鍵，但數位時代的來臨，造成內容流通利用面臨創作資訊分散難找、權利歸屬識別困難，以致內容無法有效利用的問題。此問題並非個別企業、機構可以解決，而需要政府出面橋接既有創作資料庫，匯集散落於各處的內容創作資料及創作人資訊。 壹、事件摘要 日本岸田首相於2023年6月9日在官邸召開第52次知的財產戰略本部會議，針對「知的財產推進計畫2023」進行討論並決定[1]。日本基於為了活化日本的創新並實現持續的經濟增長，將社會轉變為最大限度發揮知的財產價值的社會的目的，提出2023知的財產推進計畫的三大重點，包括：第一，強化新創企業和大學的知的財產生態系統，透過新創企業等管道迅速實現大學研究成果的社會應用循環；第二，促進負責任和可信賴的AI，兼顧促進AI技術應用和維持知的財產創造的激勵，同時對風險採取必要的措施；第三，發揮內容產業力量推動內容產業的強化和結構改革，進行政府和民間的合作促進內容創作；從促進內容的創作和使用循環的角度出發，建立簡單而統一的權利處理窗口機構，並推進跨領域的權利資訊搜索系統的建立。 貳、重點說明 目前網路上的業餘創作者等創作的內容越來越多，但此類內容使用的可行性因權利者資訊不明確，造成獲得許可所需的成本過高，成為便利的數位時代造成的不便利後遺症。日本「知的財産推進計畫」於2022即已針對著作權制度進行改革方向，開始推動實現簡單且一體化的權利處理，加速內容的流通和創作者的報酬回饋，力圖實現簡潔統一的權利處理制度，以促進內容的「創作」和「利用」循環[2]。 日本注意到隨著內容的主要流通轉向網絡播送，對於業者而言，實現內容差異化，包括對留在手上的播送內容檔案再利用，對強化競爭至關重要。但涉及多個權利持有人的內容，其權利處理成為取得授權的瓶頸，導致內容的利用無法推進。基於簡便化權利處理和報酬支付的政策想法，日本於今（2023）年提出修改著作權法，創建新的作品使用法定授權申請制度，並在同年5月修改法案獲得通過[3]。依據此新通過的授權申請制度，日本文化廳可以針對未授權集體管理或權利人提供利用意願不明的著作，裁定可由利用人支付補償金以順利實現對這些作品於特定時間內的利用。 除建立授權意願不明的利用授權法令依據外，日本亦擬在實務上建立配套機制，即透過數位化、一體化的流程設計，規劃建立能夠跨領域尋找著作權資料的資料庫，以利確認權利資訊和使用許可的意願表示。而針對橫向跨域的權利資訊資料庫的構建，日本特別成立研究小組，於2022年12月「跨域權利資訊資料庫研究報告」。該報告提出連接各領域資料庫來檢索資訊的「領域橫向權利資訊檢索系統」的規劃。依該規劃，日本文化廳將與保有各領域資料庫的相關利害關係人合作，推進系統的設計和開發在新著作權法的實施期間，建立並運營「領域橫向權利資訊檢索系統」，以連接各領域資料庫[4]。 該系統將力求實現數位化程度最高的設計，除了與各領域資料庫連接外，還將包括設置統一的窗口組織來執行新的授權利機制，設法使未在現有資料庫中收錄的內容（如僅在網絡上創作的內容、未集中管理的著作等）能夠順利登錄，並提供確認權利資訊和使用許可意願表示的功能。為了簡化流程和加快速度，這些窗口組織（機構）將由經文化廳長官認可的單位擔任，負責申請受理、審議確認和(應支付的使用)報酬審定等程序。另外，對於擬取得無期限的授權使用的利用人，可以利用不明著作授權制度，並可透過這些窗口組織簡化相關授權程序[5]。 參、事件評析 日本已考慮到數位時代的資訊變化速度，認為應該在著作權制度和相關政策改革方面，推動公私協力尋找權利者、確認使用可行性的合作，規劃建立跨領域權利資訊檢索系統，以利最大限度地實現新裁定授權制度的簡化和迅速處理，以實現其戰略綱領持續著力的內容「創作」和「利用」循環的加速。 而促進內容「創作」和「利用」循環加速的做法，日本不只是建立法令依據，是透過資訊科技與認證適格單位，用完整而全面性的配套措施進行推動。顯見日本已注意到資訊科技可以降低、便利權利資訊的登錄，讓權利人不會因為登錄作業麻煩而意願欠缺；而與既有資料的串接，則可在不會喪失保有各自資料庫的保障下，快速建立資料完整的檢索查詢平台。因此日本預計2023年將首先確定要優先合作的資料庫、研究合作方式、建立檢索介面的概念；同時對未集中管理的著作等內容的權利資訊登記方法進行需求調查和探討，預計於2024年度將研析該系統應具備的細部功能規格[6]。 而既有除了系統工具外，為促進新的權利處理制度的實現，由於資料分散在不同地方，相較於單一的官方登錄或受理平台，多元的受理窗口更能便利的登錄、受理做法，日本考慮與數位/網路出版等網上內容流通的中介者共同協作，更能以適應數位時代的速度為基礎與先進技術的應用，順利實現新制度的準備和持續營運。 我國原創文化內容的流通利用面臨與日本智財戰略綱領相同的議題，也已經在文化部的計畫支持下建置「文化內容流通利用服務網（Copyright Hub）」受理著作的自主登錄與權利資訊查詢，同時規劃透過認證、指定的方式，建立類似日本智財戰略綱領規劃的多元登錄受理代理窗口，與既有內容平台或特定文創領域專業法人合作，以利串接大量既有資訊；並預計逐步於文創獎補助中納入登錄著作權利資訊的要求，以促進資訊的完整。 然本次文創法送立法院修法的草案，並未納入原已新增的流通利用草案條文，不僅欠缺日本賦予的授權機制，以及資料庫、認證適格窗口的推動法令依據，也無法立即促成獎補助中納入登錄著作權利資訊的要求。我國「文化內容流通利用服務網（Copyright Hub）」早於日本起步，期待即便無法如同日本建立法令依據，亦可在文創獎補助連結的加持下快速推展，讓我國文化內容的流通利用推動持續領先，成為其他國家之參考標竿。 本文同步刊登於TIPS網站（https://www.tips.org.tw） [1]〈知的財産戦略本部総理の一日〉，首相官邸ホームページ，令和5年6月9日，https://www.kantei.go.jp/jp/101_kishida/actions/202306/09chizai.html。 [2]〈知的財産推進計畫2023〉，頁77，https://www.kantei.go.jp/jp/singi/titeki2/230609/siryou2.pdf （最後瀏覽日：2023/08/22）。 [3]〈令和5年通常国会 著作権法改正について〉，文化庁，https://www.bunka.go.jp/seisaku/chosakuken/hokaisei/r05_hokaisei/ (最後瀏覽日：2023/08/22）。 [4]同前註2。 [5]同前註2，頁78。 [6]同前註2，頁78。
英國提出通訊資料法之草案英國內政部於2012年6月提出「通訊資料法」之草案（Draft Communications Data Bill），並將於10月舉行公聽會討論。 所謂通訊資料，非指通訊內容本身之資料，而係指通訊過程中所留下的相關紀錄性資料，包括通訊帳號所有人之資料、通訊之時間、長度、來源、位置等。而目前蒐集通訊資料之用途，多半為犯罪之偵防、避免緊急危難或反恐怖活動。其所牽涉之議題重點則為向提供通訊服務之公司調閱相關資料時，該公司是否有提供之義務，及調閱機關是否有相關權限或對資料之應用是否符合調閱之目的。 此次所提出之草案，主要可分為三大部分：第一部分賦予公務機關調閱資料之權限，並規定使用該等資料過程中，相關的安全保護措施與法定程序要求。第二部分規定調閱資料所必須的法定審查流程，包括主管機關內具備權限的高階主管，應依據比例原則，決定是否可調閱資料，並在一定情況下，須經司法機關審查。另外，國務大臣應建立一定審查機制，審核各主管機關之調閱目的與調閱程序恰當與否。最後，第三部分則是有關提升審查制度運作可能性之規定，諸如明訂各個機關所享有之調閱權，以及提供郵務及電信業務經營者相當之資源以配合機關調閱資料之需求。
新加坡開始採行商業政府電子密碼制度新加坡資通訊發展局（Infocomm Development Authority, IDA）宣布，自2016年9月15日起，商業政府電子密碼系統（Singapore Corporate Access，簡稱CorpPass）將正式開始運作，此一新的數位身分辨識功能將提供公司或其他法人向政府機關辦理線上業務時使用。企業目前所採用的是複合式的數位身分辨識機制，包括SingPass和E-Services Authorisation System等，而採行單一的辨識系統，除了可以帳密管理上的便利外，也可加強企業對員工應用政府數位服務的管理。 此外，由於像SingPass此類身分辨識機制，因為也可提供個人向政府辦理業務時使用，員工如果同時要利用其辦理公司業務時，就有可能會因為需要分享其個人帳密給同事，而增加了個人隱私上的風險。因此如果採用企業與個人事務分立的登入機制，也能更加保護企業與個人間的資訊安全。 此一制度將由2016年9月到2017年12月之期間內逐步推廣，第一階段推行期，包括新加坡智慧財產辦公室、貿易與工業部、國家環境局及新加坡海關等機關的服務都會採用此一系統，而在與企業參與伙伴與各試用者充分討論，取得相關反饋意見後，將陸續有更多的機關與服務加入此一制度。