世界經濟合作暨發展組織(OECD)修正「隱私保護及個人資料之國傳輸指導指引」

  1980年09月發布的「隱私保護及個人資料之國傳輸指導指引」,當中的8大原則對個人資料保護的法制產生深遠的影響,但隨技術發展,資料傳遞所產生的風險遠較於1980年代來得複雜。2013年所發布的內容,風險管理及為全球資料流通的互動性為兩大主軸,因此,在指引中納入新的概念,包含1.國家隱私策略:有效的隱私法制是不可或缺的,但在今日國家應該將隱私保護放在更高的戰略位置、2.隱私管理程序:(以個人資料)為核心服務的機制應系統化的保護隱私、3.資料安全漏洞通知:涵蓋有權者及各別個體的通知。

  在指引第一章附件的第三部份-責任的履行,增加資料控制者(data controller),應有管理程序以符合上述的原則,該管理程序需包含資料風險的評估、內部監控、通知主管機關等要求;第五個部份-國家實施則新增加隱私主管機關的設立、考量不同角色(如:資料控制者)所應遵循的行為、考量其它的配套措施,如技術、教育訓練等。

  在OECD的成員國,如:日本,已開始向該國國內說明2013年版的指引,但亦有部分會員國,如:加拿大,由於指引涵蓋公部門及私部門,加拿大亦討論如何與該國的資訊近用法(Access to Information Act) 及隱私權法 (Privacy Act)建構一個完善的適用模式。指引對於未來國際資料傳輸及管理程序的建置,必然產生結構性的影響,值得持續關注。

相關連結
相關附件
※ 世界經濟合作暨發展組織(OECD)修正「隱私保護及個人資料之國傳輸指導指引」, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=6382&no=55&tp=1 (最後瀏覽日:2026/05/10)
引註此篇文章
你可能還會想看
何謂「孤兒著作」?

  「孤兒著作」係指仍在著作權保護期間,但是著作權人不明知著作。依著作權法第10條規定,著作人於著作完成時享有著作權,而著作權之保護期間依著作權法第30條第1項存續於著作權人之生存其間及其死亡後之50年。   在網路普及資訊流通快速之現代,經過不斷的轉載,許多著作權人不明,但是仍受著作權法保護,所謂之「孤兒著作」在市面上不斷流通。此時若與利用孤兒著作,但是不知道著作權人是誰,無法取得授權之情形下,要怎麼辦才不會觸法?   此時依文化創意發展法第24條,想要利用孤兒著作之人,得在盡力尋找著作權人未果後(不知著作權人為何或是著作權人聯繫資訊不明知情形),向智財局說明無法取得授權之原因,並提存一定金額,取得智財局之許可授權後,於許可範圍內利用該著作。又須提存之金額應與一般著作經自由磋商所應支付合理之使用報酬相當。

澳洲規劃研修「國家重型車輛法」並探討科技設備檢測疲勞駕駛相關規範

  澳洲國家交通委員會(National Transport Commission)與警覺、安全、生產力合作研究中心(Cooperative Research Centre for Alertness, Safety and Productivity ,Alertness CRC)於2016年12月攜手研究重型車輛駕駛員之疲勞駕駛影響,並特別探討科技設備檢測及因應的可行性,並著手研析重型車輛疲勞駕駛管理相關規範之評估規劃。   依據澳洲國家重型車輛法(Heavy Vehicle National Law,HVNL)規定,設有國家重型車輛管理獨立機構(The National Heavy Vehicle Regulator,NHVR)針對總重4.5噸之重型車輛進行規範監管。依國家重型車輛疲勞管理規則【Heavy Vehicle (Fatigue Management) National Regulation】規定針對1.超過12噸總重額(Gross Vehicle Mass,GVM)之重型車輛2. 車輛及聯結物超過12噸者3.超過4.5噸可乘載12名成人(包含司機)之巴士4.超過12噸總重額定值之卡車及聯結車,其附接工具或機械者,必須進行疲勞管制,其他對於有軌電車、工具機械車輛(例如:推土機、拖拉機)、露營車等則不在此管制對象。該法針對重型車輛工作和休息時間、工作及休息時間之紀錄、疲勞管理豁免(Fatigue management exemptions),及公司、負責人、合夥人、經理等的連帶責任,訂有相關規範。疲勞管理規則的規範核心在於駕駛員不能在疲勞的情況下行駛重型車輛,故即使符合工作和休息限制,駕駛員也可能因疲勞而受影響。   目前,因有限的證據表明工作安排對於重型車輛駕駛員疲勞的影響程度,亦很少有研究使用客觀和預測技術測量駕駛員的警覺性和疲勞,另對於駕駛員睡眠的質量和時間最低要求的資訊亦不足。因此,現行法律規範對重型車輛駕駛員疲勞的影響將受到挑戰。故警覺、安全、生產力合作研究中心將採取更精準的警報檢測方法和睡眠監測設備,進行相關研究測試,以作為未來國家重型車輛疲勞管理規則修訂之依據。   駕駛疲勞所引發的交通事故時有耳聞,往往造成重大危害與耗費社會成本。目前實務上已有利用科技設備偵測是否有疲勞駕駛情形,然而更重要的是,應落實行車前的疲勞管制,及相對應的解決方案,並加強公司及相關管理者之監督義務及連帶責任,才能有效降低疲勞駕駛肇事率,確保道路安全。

馬來西亞通過修正《個人資料保護法》

馬來西亞個人資料保護委員會(Personal Data Protection commissioner,下稱個資保護委員會)於2023年度收受與個人資料(下稱個資)濫用、外洩相關申訴案件數量達779件,成長數量令人憂心。為確保對於個資保護規範能與國際標準發展同步,並加強個資遭洩漏時即時採取應變措施等相關政策,以解決前述憂心狀況,數位部(Ministry of Digital)於2024年7月10日提出《個人資料保護法》(Personal Data Protection Act 2010, PDPA)修正案,並於同年7月16日經下議院(Dewan Rakyat,馬來語直譯)表決通過。 本次PDPA修正重點包含: 1.設立個資保護官(data protection officer, DPO)制度:強制要求蒐集、處理、利用個資之資料控管者(data controller),及受資料控管者委託而實質處理個資之資料處理者(data processor),均需指派個資保護官。 2.擴張對於敏感性個資(sensitive personal data)定義:與個人身體、生理或行為特徵相關之技術處理所生個資(即生物辨識資料),皆屬之。 3.制訂個資外洩通報制度:強制要求發生個資外洩時須通報個資保護委員會,以及可能受到任何重大損害之個資當事人,惟對於「重大損害」尚未有明確定義。 4.導入資料可攜性:在遵守技術可行性(technical feasibility)與資料格式相容性(data format compatibility)之情境下,允許資料控管者之間在當事人要求下進行資料傳輸。 5.資料處理者的合規遵循義務:舊法僅要求資料控管者須遵守PDPA所規定的安全原則(security principle);新法則擴及要求資料處理者亦有安全原則之合規遵循義務。 6.提高罰則:舊法對於違反個資保護原則者,最高僅得處300,000馬幣和/或2年監禁;新法提高罰則最高得處1,000,000馬幣和/或最高3年監禁。 7.跨境傳輸規範修正:原則允許資料控管者將個資傳輸至馬來西亞以外,惟應採取適當措施確認及確保資料接收方保護個資之水準與馬來西亞個資法程度相當;並將跨境白名單制度調整為黑名單制度,不得傳輸至政府公布黑名單所列地區。 馬來西亞數位部本次修正PDPA,彰顯該國政府對個資保護之重視,惟關於任命個資保護官資格要求、個資外洩通報重大程度標準等細部規範,則仍須待修正案通過後,經個資保護委員會發布相關指引再行釐清。

英國政府擬限制18歲以下孩童於社群軟體按讚功能

  英國資訊委員辦公室(Information Commissioner’s Office, ICO)於今(2019)年4月15日發布「合適年齡設計:網路服務行為準則」(Age appropriate design: a code of practice for online services)諮詢報告,針對18歲以下孩童使用網路服務所涉及個人資料之相關議題提出遵循標準,要求網路服務提供商應受遵循以保障孩童隱私資訊。   本次諮詢報告主要針對網路服務如何適當確保孩童個人資料,同時符合歐盟《一般資料保護規則》(General Data Protection Regulation, GDPR)以及《隱私及電子通訊規則》(Privacy and Electronic Communications Regulations, PECR),若網路服務提供商未依循該行為準則,將很難證明符合GDPR、PECR規定,ICO亦採取監管措施(regulatory action),包含警告、譴責、執行通知、罰款等。於諮詢報告中,臚列涉及個人資料事項,包括資料共享、地理定位(geolocation)、家長監控(parental controls)、輕推技術(nudge techniques)、默認裝置(default settings)、側寫(profiling)等多達16項遵循標準,其中輕推技術引發抑制網路科技發展、過度監管爭議。   所謂「輕推技術」是指專為引導用戶或鼓勵用戶決策時可以點選之程式以表示用戶想法,簡而言之Facebook、Instagram按「讚」功能、社群軟體Snapchat「Streaks」互動功能,或是新聞網頁常見「是」或「不是」選擇性問題視窗等即是輕推技術應用。由於輕推技術之設計會蒐集用戶瀏覽網頁習慣,甚至透露其個人性格、生活狀態給廣告商或社群媒體等。   諮詢報告指出,依據GDPR前言第38點規定,因孩童對於其個人資料處理之可能風險、結果及相關保護措施及其權利認知較低,同時依GDPR第5條規定個人資料之蒐集處理與利用,對資料主體者應為合法、公正及透明(lawfulness, fairness and transparency)。但輕推技術的運用將會促使資料主體者更容易地提供其個人資料,同時,尤其會誘導兒童去選擇隱私保護較低的選項設定或花費更多時間在這些服務上,而此一技術之運用正是利用資料主體者之心理偏差(psychological bias),而違反了公平與透明原則。因此諮詢報告書要求網路服務提供商應主動限制孩童使用輕推功能。ICO於諮詢文件更詳細依0-5歲、6-9歲、10-12歲、13-15歲、16-17歲不同年齡層限制輕推技術應用之程度,或在何種情況須有家長陪同,以保障孩童隱私。   此項標準引來正反兩派意見,主張自由市場(free market)人士批評,認為有過度監管之嫌並阻礙科技發展,輕推技術本身不是問題,而是在於蒐集個人資料後要做那些運用,同時要如何執行限制技術之應用亦將是問題所在。而贊成者認為廠商如提供網路服務給所有年齡層時,應有特別措施以保護不同年齡層之人,因此對於孩童與成人間之監管程度應有區別。該諮詢報告於今(2019)年5月31日截止公眾諮詢階段,並預計2020年初施行該行為準則。

TOP