從歐洲法院實務看資料保護在智慧聯網時代下發展－以資料保存指令無效案和西班牙Google案為例
本文為「經濟部產業技術司科技專案成果」
徐彪豪
法律研究員 編譯整理
法國國家資訊自由委員會（CNIL）於2023年10月16日至11月16日進行「人工智慧操作指引」（AI how-to sheets）（下稱本指引）公眾諮詢，並宣布將於2024年初提出正式版本。本指引主要說明AI系統資料集建立與利用符合歐盟一般資料保護規則（GDPR）之作法，以期在支持人工智慧專業人士創新之外，同時能兼顧民眾權利。 人工智慧操作指引主要內容整理如下： 1.指引涵蓋範圍：本指引限於AI開發階段（development phase），不包含應用階段（deployment phase）。開發階段進一步可分為三階段，包括AI系統設計、資料蒐集與資料庫建立，以及AI系統學習與訓練。 2.法律適用：當資料處理過程中包含個人資料時，人工智慧系統的開發與設計都必須確定其適用的法律規範為何。 3.定義利用目的：CNIL強調蒐集及處理個資時應該遵守「明確」、「合法」、「易懂」之原則，由於資料應該是基於特定且合法的目的而蒐集的，因此不得以與最初目的不相符的方式進一步處理資料。故明確界定人工智慧系統之目的為何，方能決定GDPR與其他原則之適用。 4.系統提供者的身分：可能會是GDPR中的為資料控管者（data controller）、共同控管者（joint controller）以及資料處理者（data processor）。 5.確保資料處理之合法性：建立AI系統的組織使用的資料集若包含個人資料，必須確保資料分析與處理操作符合GDPR規定。 6.必要時進行資料保護影響評估（DIPA）。 7.在系統設計時將資料保護納入考慮：包含建立系統主要目標、技術架構、識別資料來源與嚴格篩選使用…等等。 8.資料蒐集與管理時皆須考慮資料保護：具體作法包含資料蒐集須符合GDPR、糾正錯誤、解決缺失值、整合個資保護措施、監控所蒐集之資料、蒐集之目的，以及設定明確的資料保留期限，實施適當的技術和組織措施以確保資料安全等。 對於AI相關產業從事人員來說，更新AI相關規範知識非常重要，CNIL的人工智慧操作指引將可協助增強AI產業對於個資處理複雜法律問題的理解。
美國2016年製造創新策略方案依2014年復甦美國製造與創新法（RAMI Act of 2014），美國國家製造創新網絡計畫於2016年2月公布策略方案（Strategic Plan）。國家製造創新網絡有四大目標：以「提升製造競爭力」為終極目標，其他三個目標分別為「促進技術轉型」、「加速製造業人力發展」、以及「確保穩定與永續之基礎建設」。在「促進技術轉型」方面，旨在促進創新技術朝向具備可適性、擁有成本效益、以及高效能之國內製造業量能的方向轉型。由於不同的製造整備度（manufacturing readiness levels）對應不同的技術整備度（technology readiness levels），且國家製造創新網絡有其設定之目標範圍，因而研發機構被預期能夠促進技術轉型的亦有差異。 行政院於民國105年7月核定通過「智慧機械產業推動方案」，透過「智機產業化」與「產業智機化」來建構智慧機械產業生態體系。智慧機械將結合半導體先進製程、精密醫療機械加工與智慧服務型機器人、以及航太與造船軍民通用技術應用，分別對應帶動亞洲矽谷、生技醫藥、以及國防等創新產業政策。透過智慧機械帶動整體產業發展，從精密走向智慧、從單機走向系統，以提高整體產業之產值
日本公布資料信託功能認定指引ver1.0並進行相關實驗日本總務省及經濟產業省於2017年11月至2018年4月間召開6次「資料信託功能認定流程檢討會」（情報信託機能の認定スキームの在り方に関する検討会），檢討具備資料信託功能之「資料銀行」認定基準及模範條款等事項，於2018年6月公布「資料信託功能認定指引ver1.0」（情報信託機能の認定に係る指針ver1.0），以利實現個人資料流通並創造新服務型態。資料銀行係指基於與個人間資料利用契約，透過PDS(personal data store)等系統管理個人資料，根據個人指示或預先設定的條件，於判斷妥當性後向第三方提供資料之行業。目前指引內容包括︰（1）資料信託機能認定基準︰具體內容包括業者適格性、資訊安全原則、資訊安全具體基準、治理體制、業務內容等；（2）模範條款記載事項︰針對個人與資料銀行、資料銀行與資料提供者、資料銀行與接受資料提供者間關係，列出具體應記載事項；（3）資料信託機能認定流程。 作為日本總務省「資料信託功能運用推動計畫」（情報信託機能活用促進事業）一環，日立製作所、東京海上日動火災保險、日本郵局等於2018年9月10日發表將根據「資料信託功能認定指引ver1.0」，進行「資料銀行」個資管理、提供及運用等實驗，參與者分別扮演資料提供者、資料銀行和資料利用者三種角色，未來將會參考實驗結果，提出認定基準改善建議。
澳洲政府考量開放民事訴訟領域查閱網路服務商所保存之通訊資料澳洲政府於2014年推動電信（監察及查閱）法修正（資料保存）案（Telecommunications (Interception and Access)Amendment (Data Retention) Bill 2014），增訂資料保存規範，其目的在於打擊重大犯罪、恐怖主義、國際組織犯罪等，其措施為要求國內網路服務商須保留用戶之通訊資料，並保存期間至少2年，對此，當時情報及保安事務議會聯合委員會（下稱委員會）於評估該修正案時，卻發現一項爭議問題，即民事訴訟當事人亦得查閱通訊資料，但資料保存行為之正當性乃立基於維護國家安全，實與民事訴訟制度意義相悖，故委員會提出應排除民事訴訟領域得以查閱通訊資料之建議。 澳洲政府對於委員會所提出之建議採取全盤接受之態度，進而重新修訂2014年電信（監察及查閱）法修正（資料保存）案，且併同修正刪除1997年電信法令第280條，有關得以民事訴訟傳票或命令，向網路服務商查閱其所保存之通訊資料；至於網路服務商之通訊資料保存義務方面，仍須依1979年電信（監察及查閱）法為之。前述修正於2017年4月13日生效。 然而，澳洲政府方面時至今日卻有態度轉變之趨勢，起因於通訊部長與檢察總長於2016年12月20日公告，其認為資料保存措施對於特定類型之民事訴訟並非沒有實益，如：維護智慧財產權事件、家庭事件（如：離婚）或勞工權益事件（如：公司起訴勞工）等，故應視類型或個案情形予以開放查閱；因此，主管機關提出三項問題向社會大眾徵求意見：1、民事訴訟當事人在何種情形下可查閱通訊資料；2、倘若民事訴訟當事人不得查閱通訊資料者，對於民事訴訟會產生何種影響；3、是否有特定之民事訴訟類型，是排除1997年電信法第280條(1B)不適用。 實際觀察澳洲政府所推動之該項公告，在其國內爭議相當大，不僅該項公告已臨近前述修正生效日，且開放民事訴訟當事人得以查閱通訊資料之正當性疑慮仍未解除，甚且，亦與近期國際上國家安全與人民隱私權保障間之衝突日趨顯著，如：英國之調查權力法案（Investigatory Powers Act. 2016）不無關聯，因此，澳洲政府是否願意在社會輿論反對聲浪中，仍維持該項公告修正意向，值得後續觀察。