歐盟提出「一般資料保護規章」(草案)並審議，以因應未來聯網環境趨勢
為因應近來智慧聯網（IoT）、巨量資料及雲端運算發展趨勢，為強化線上隱私權利及促進歐盟數位經濟的發展，歐盟執委會於2012年1月25日對於資料保護指令提出新的規章草案：「保護個人有關個人資料處理及自由流通規章（一般資料保護規章）」（Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on the protection of individuals with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation)），以取代並廢除（repealed）原有「個人資料保護指令」規範，並修改（amend）「隱私與電子通訊指令」，預計在2013年6月進入歐洲議會、理事會及執委會的三方協商，若順利將在2014年通過，並在2016年生效。
「一般資料保護規章」(草案)中對於聯網環境及智慧化設備運行之因應，重要規範內容有(1)追蹤（tracking）與特徵分析（profiling）：訂定第20條「特徵分析措施」（Measures based on profiling）規範條文，保障每個當事人皆有主張不被採取特徵分析措施（如個人傾向、工作表現、財務狀況、位址、健康、個人喜好、可信度）而致產生法律效果或顯著影響該個人的權利(2)被遺忘及刪除權（right to be forgotten and to erasure）：訂定第17條，創設新的權利「被遺忘及刪除權」，用以幫助民眾處理線上資料，當其不希望自己的資料被利用且無合法理由保留時，資料將被刪除(3)資料可攜權利（the right to data portability）：訂定第18條，當資料處理是以電子化方法，且使用結構性、通用的格式時，資料當事人有權利可以取得該結構性、通用格式下的個人資料，更容易自不同服務提供者間移轉個人資料。(4)當事人的同意要件：第4條第8款明定，不論何種資料處理情況時所需的同意，增列必須是明確（explicitly）同意之要件(5)「設計階段納入隱私考量」（privacy by design）、「預設隱私設定」（privacy by default）：訂定第30條，要求資料控制者及處理者應實行適當的技術性、組織性措施，並考量科技發展水準，制定特定領域及特定資料處理情況的標準及條件，並且資料保護將會從產品及服務最初發展、設計時就考量隱私問題應對「設計階段納入隱私考量」及「預設隱私設定」提出標準及條件。
歐盟此次對於「一般資料保護規章」(草案)的修法進程，以及世界各重要國家的立場及反應態度，均值得後續密切觀察研析。
本文為「經濟部產業技術司科技專案成果」
- Commission proposes a comprehensive reform of the data protection rules
- Commission proposes a comprehensive reform of the data protection rules, EUROPA.EU
- Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on the protection of individuals with regard to the processing of personal data and on the free movement of such data
李科逸
副主任 編譯整理
Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on the protection of individuals with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation), COM(2012) 11 final (Jan. 25, 2012),http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=CELEX:52012PC0011:en:NOT (last visited, Oct. 10, 2013)
Commission proposes a comprehensive reform of the data protection rules, EUROPA.EU, http://ec.europa.eu/justice/newsroom/data-protection/news/120125_en.htm (last visited, Oct. 10, 2013)
Commission proposes a comprehensive reform of the data protection ruleshttp://ec.europa.eu/justice/newsroom/data-protection/news/120125_en.htm (last visited, Oct. 10, 2013)
美國參議院在2019年7月23日，於第116屆國會中審查了兩次「壟斷威攝法案」(The Monopolization Deterrence Act)，相當於台灣法案經過二讀。提出者是參議院司法委員會反托拉斯、競爭政策和消費者權益小組之成員，克洛布查爾，他認為聯邦執法人員發現非法壟斷行為之時，需要採取果斷行動以確保制止這種行為，但僅僅是禁制令不足以阻止這種非法行為的發生，尚需更好的立法。 本法將賦予司法部和聯邦貿易委員會權利，對壟斷犯罪尋求懲罰性罰款，其目的係為司法部和聯邦貿易委員會提供額外的執法工具，針對個別違規行為制訂補救措施，平衡其嚴重的犯行，並希冀能有效制止未來之非法行為。原法律規定個人違反最高可罰一百萬美元，企業最高可以罰一千萬美元，國會調查後認為原法律規定之罰款不足以阻止壟斷行為，因為獲利可能比罰款更多。 有關「壟斷威攝法案」之修正內容大略包含: 每個違反本條規定的人，必須負擔民事罰款，該罰款不大於個人上一年度在美國的總收入中的15%。從事非法行為之期間，所有交易、貿易行為收入的30%。 委員會針對以不正當方法競爭違反謝曼爾法案第二條的個人、合夥企業或公司，可以在美國地方法院提起民事訴訟，並對此種行為處以民事罰款。 任何個人、合夥企業或公司被發現違反了謝曼爾法案第二條，其民事罰款不大於個人、合夥企業、公司上一年度在美國的總收入的15%。從事非法行為之期間，與非法行為有關之商業活動中之個人、合夥企業或公司在美國之總收入的30%。 在聯合民事處罰準則中，有規範總檢察長和聯邦貿易委員會在計算民事罰款時，必須考慮之相關因素，有以下七項，其一，受影響的商業量；其二，違法行為的持續時間和嚴重性；其三，為隱瞞違法行為而採取或試圖採取之任何行動；其四，違法行為嚴重或明顯違法之程度；期五，是否將民事處罰與針對違法行為之其他救濟相結合，包括結構性救濟、行為條件、非法所得之歸還；其六，先前是否曾從事過相同或類似之反競爭行為；其七，是否違反先前之法令或法院命令該為之行為。
英國科學辦公室發布分佈式分類帳技術報告，提出八大建議2016年1月， 隸屬英國商業、創新和技術部 (Department for Business, Innovation and Skills，BIS)的科學辦公室(Government Office for Science)發布「分佈式分類帳技術：區塊鏈以外(Distributed Ledger Technology：beyond block chain)」研究報告。本篇報告由產官學界合作完成，主要在評估分佈式分類帳技術可以運用在哪一些公私領域，並決定政府以及私人應該採取哪些行動以促進分佈式分類帳技術可被有益運用，並避免可能帶來的傷害。 該份研究報告認為，分佈式分類帳技術可在多個領域協助政府機構，包含徵稅、提供福利、發行護照、土地登記、確保商品供應鏈並且確保政府記錄與服務的完整性。相較於其他網路系統，分佈式分類帳技術較不易受駭客攻擊，而且由於每個参與者都有一份帳簿副本，如果有惡意竄改的狀況，也可以輕易被發現，但這不表示分佈式分類帳技術就不會被駭客攻擊。 數位五國(Digital 5，D5)之一的愛沙尼亞，已多年實驗運用分佈式分類帳技術於公領域服務多年。愛沙尼亞政府透過私人公司運用分佈式分類帳技術建制「免金鑰簽名設施(Keyless Signature Infrastructure，KSI)」，KSI允許愛沙尼亞公民驗證其在政府資料庫資訊的完整性，並避免內部人透過政府網路從事非法活動。KSI確保公民資訊安全以及準確，因而可協助愛沙尼亞政府提供數位化的公司登記以及稅務服務，減少政府以及社會大眾的行政作業負擔。 除此之外，分佈式分類帳技術也有助於確保商品以及智慧財產權的所有以及出處。例如Everledger此一系統可用於確保鑽石的身分，從礦產、切割到銷售，可減少並避免欺詐以及「血鑽石」進入市場。 簡而言之，分佈式分類帳技術提供政府可減少詐欺、腐敗、錯誤以及紙上作業成本的框架，並透過資訊分享、公開透明以及信任，具有可重新定義政府與公民關係的潛力。對於私領域而言也具有同樣可能性，報告特別提出可透過分佈式分類帳技術發展「智慧契約」，可增加信任度並提高效率。據此，本報告針對政府部門提出八大建議： (1) 應成立專責部門，並與產業、學界緊密合作，並應考慮成立臨時性的專家諮詢團隊。 (2) 英國的研究社群應該要投入研究確保分佈式分類帳技術具備可即性、安全性以及內容準確性。 (3) 政府應支持為地方政府成立分佈式分類帳技術實地教學者，匯聚所有測試技術以及其運用的所需元素。 (4) 政府需要思考如何為分佈式分類帳技術建立妥適的法制框架。法規需要配合新科技應用技術的發展而進步。 (5) 政府應該與產學合作確保相關標準可以符合分佈式分類帳技術及其內容完整性、安全性以及隱私的需求。 (6) 政府應與產學合作確保最有效率以及最可用的身分認證網路協議可為個人及組織所使用，這項工作應與國際標準的發展與執行緊密連結。 (7) 政府應對分佈式分類帳技術進行試驗，以評估該項技術在公領域的可行性。 (8) 建議成立跨部門的利益群體，結合分析以及政策群體，以生成並發展潛在使用案例，並且在公民服務中提供具備知識的專家人員。 除了八大建議，管理與法制上，本報告指出分佈式分類帳技術具有兩種管理規範：法律規範以及技術規範。法律規範是「外部」規範，法律規範可能會被違反，緊接著面臨違法處罰的問題。技術規範是「內部」規範，假如違反技術規範，「錯誤(error)」產生無法運作，因此「規範」本身就可以確保會被遵循。換句話說，技術規範可以節省法律規範的執法成本。另外一方面，分佈式分類帳技術為去中心化技術，如果要以法制管理，也只能在参與者身上施加法律義務，例如Bitcoin，只能對於提供Bitcoin交易服務的平台施加法律義務。美國紐約州金融服務部所發行的比特幣交易執照BitLicnese即為一例。因此，基於去中心化的特性，報告建議政府單位應該要儘量参與技術標準的制定，並且配合技術標準制定相關法律，法律規範與技術規範兩者應該要交互影響。
英國衛生部發布基因檢測與保險自律行為準則英國衛生部（Department of Health and Social Care）於2018年10月23日發布基因檢測與保險自律行為準則（Code on genetic testing and insurance－A voluntary code of practice agreed between HM Government and the Association of British Insurers on the role of genetic testing in insurance），該準則係由英國政府及英國保險業者協會(Association of British Insurers, ABI)共同制定，旨在取代先前的「基因與保險之協定與延期實施」（Concordat and Moratorium on Genetics and Insurance）文件，並以更易於理解的方式呈現原「基因與保險之協定與延期實施」之內容。 準則中列出八項承諾，此八項承諾為ABI代表其成員議定： 承諾一：保險業者（Insurers）會公平對待要保人（applicants）。保險業者不會要求或迫使任何要保人進行預測性或診斷性基因檢測；若要保人已進行預測性基因檢測，保險業者亦不會對其作出差別待遇，除非有如下之情況。 承諾二：列入附錄一之疾病類型並超過以下金額之保單，保險業者始得要求要保人提供預測性基因檢測之結果： 人壽保險－500,000英鎊 /人。 重大疾病險－300,000英鎊 /人。 收入保障險－30,000英鎊 /年。 目前列入附錄一之類型僅有亨丁頓氏舞蹈症（Huntington’s disease）之人壽保險總額超過500,000英鎊之情形。 承諾三：保險業者不會要求要保人提供： 要保人或被保險人於承保期間所進行之預測性基因檢測結果。 非為要保人或被保險人本人（如要保人或被保險人血親）之預測性基因檢測結果。 於科學研究背景下獲得之要保人或被保險人預測性基因檢測結果。 承諾四：若保險業者基於承諾二之規定要求要保人提供預測性基因檢測結果，亦不會針對該結果制定過於苛刻（disproportionate）的條款或條件。 承諾五：保險業者須於要保人簽約前提供明確之訊息，以說明： 根據本準則，要保人在何種情況下必須或無須提供相關預測性基因檢測結果。 若要保人自願提供對其有利的預測性基因檢測結果，保險決策將如何被影響。 承諾六：若要保人基於意外或自願向保險業者提供預測性基因檢測結果，保險業者可考量要保人之利益調整保單內容；若檢測結果對要保人不利，除非符合承諾二之情形，否則保險業者將忽略該檢測結果。 承諾七：販售人壽保險、重大疾病或收入保障保險之保險業者將： 每年向ABI報告其遵守本準則之情況。 根據本準則問答部分之詳細資訊，建立投訴程序（complaints procedure）。 每年向ABI報告與本準則運作上相關之投訴情形。 承諾八：販售人壽保險、重大疾病或收入保障保險之保險業者將指定至少一名經培訓之基因核保人（Nominate Genetics Underwriter, NGU），負責與遺傳資訊（genetic information）及遵守本準則相關之事項，且NGU之人數應與業務規模成比例。
人權組織向法國最高行政法院提交申訴，要求政府停止使用歧視性演算法.Pindent{text-indent: 2em;} .Noindent{margin-left: 2em;} .NoPindent{text-indent: 2em; margin-left: 2em;} .No2indent{margin-left: 3em;} .No2Pindent{text-indent: 2em; margin-left: 3em} .No3indent{margin-left: 4em;} .No3Pindent{text-indent: 2em; margin-left: 4em} 國際特赦組織（Amnesty International）與法國數位隱私權倡議團體La Quadrature du Net（LQDN）等組織於2024年10月15日向法國最高行政法院提交申訴，要求停止法國國家家庭津貼基金機構（Caisse nationale des allocations familiales，CNAF）所使用的歧視性風險評分演算法系統。 CNAF自2010年起即慣於使用此系統識別可能進行福利金詐欺的對象，該系統演算法對獲取家庭與住房補助的對象進行0至1之間的風險評分，分數越接近1即越可能被列入清單並受調查，政府當局並宣稱此系統將有助於提升辨識詐欺與錯誤的效率。 LQDN取得該系統的原始碼，並揭露其帶有歧視性質。該等組織說明，CNAF所使用的評分演算法自始即對社會邊緣群體如身心障礙者、單親家長，與低收入、失業、居住於弱勢地區等貧困者表現出懷疑態度，且可能蒐集與系統原先目的不相稱的資訊量，這樣的方向直接違背了人權標準，侵犯平等、非歧視與隱私等權利。 依據歐盟《人工智慧法》（Artificial Intelligence Act，下稱AIA），有兩部分規定： 1. 用於公機關評估自然人是否有資格獲得基本社會福利或服務，以及是否授予、減少、撤銷或收回此類服務的人工智慧系統；以及用於評估自然人信用或建立信用評分的人工智慧系統，應被視為高風險系統。 2. 由公機關或私人對自然人進行社會評分之人工智慧系統可能導致歧視性結果並排除特定群體，從此類人工智慧總結的社會分數可能導致自然人或其群體遭受不當連結或程度不相稱的不利待遇。因此應禁止涉及此類不可接受的評分方式，並可能導致不當結果的人工智慧系統。 然而，AIA並未針對「社會評分系統」明確定義其內涵、組成，因此人權組織同時呼籲，歐盟立法者應針對相關禁令提供具體解釋，惟無論CNAF所使用的系統為何種類型，因其所具有的歧視性，公機關皆應立即停止使用並審視其具有偏見的實務做法。