巴西政府公布個人數據保護法草案
巴西政府於2015年1月28日公布個人資料保護法草案（Regulation Of The Brazilian Internet Act And Bill Of Law On Personal Data Protection），該草案適用於個人和通過自動化方式處理個人資料的公司，惟前提是（1）處理行為發生在巴西或（2）蒐集個人資料行為發生在巴西。該草案將強加規範企業處理其在巴西的個人資料，包括資料保護義務和要求：
一、企業必須使資料當事人能夠自由的、直接的，具體的使當事人知悉並取得人同意以處理個人資料。
二、除了在有限的例外情況下，禁止處理敏感個人資料。例如資料當事人已被告知處理敏感個人資料的相關風險，並有具體的同意。敏感的個人資料包括，種族和民族淵源，宗教，哲學或道德信仰，政治觀點，健康和性取向資料，以及遺傳數據。
三、資料外洩時有義務立即報告主管機關。
四、當個人資料是不完整，不準確或已經過期時，允許資料當事人查詢他們的個人資料並更正之。
五、不得提供個人資料給資料保護水平不相似的國家。
六、有義務依比例原則採取安全保障措施以處理個人數據，防止未經授權的訪問，破壞，丟失，篡改，通訊或傳播資料。
蕭崴仁
法律研究員 編譯整理
Brazil Releases Draft Personal Data Protection Bill, available at https://www.huntonprivacyblog.com/2015/02/articles/brazil-releases-draft-personal-data-protection-bill/ (last visited Feb. 16, 2015).
Brazil: Public Consultation - Regulation of the Brazilian Internet Act and Bill of Law on Personal Data Protection, available at http://www.tozzinifreire.com.br/en/news/intellectual-property-ittelecom-news/?utm_source=Mondaq&utm_medium=syndication&utm_campaign=View-Original (last visited Feb. 16, 2015).
歐盟「人工智慧法」達成政治協議， 逐步建立AI準則 資訊工業策進會科技法律研究所 2023年12月25日 隨著AI(人工智慧)快速發展，在各領域之應用日益廣泛，已逐漸成為國際政策、規範、立法討論之重點。其中歐盟人工智慧法案(Artificial Intelligence Act, AI Act，以下簡稱AIA法案)係全球首部全面規範人工智慧之法律架構，並於2023年12月9日由歐洲議會及歐盟部長歷史會達成重要政治協議[1]，尚待正式批准。 壹、發佈背景 歐洲議會及歐盟部長理事會針對AIA法案已於本年12月9日達成暫時政治協議，尚待正式批准。在法案普遍實施前之過渡期，歐盟執委會將公布人工智慧協定(AI Pact)，其將號召來自歐洲及世界各地AI開發者自願承諾履行人工智慧法之關鍵義務。 歐盟人工智慧法係歐盟執委會於2021年4月提出，係全球首項關於人工智慧的全面法律架構，該項新法係歐盟打造可信賴AI之方式，將基於AI未來可證定義(future proof definition)，以等同作法直接適用於所有會員國[2]。 貳、內容摘要 AIA法案旨在確保進入並於歐盟使用之AI人工智慧系統是安全及可信賴的，並尊重人類基本權利及歐盟價值觀，在創新及權利義務中取得平衡。對於人工智慧可能對社會造成之危害，遵循以風險為基礎模式(risk-based approach)，即風險越高，規則越嚴格，現階段將風險分為：最小風險(Minimal risk)、高風險(High-risk)、無法接受的風險(Unacceptable risk)、特定透明度風險(Specific transparency risk)[3]。與委員會最初建議版本相比，此次臨時協定主要新增內容歸納如下： 臨時協議確立廣泛域外適用之範圍，包含但不限於在歐盟內提供或部署人工智慧系統的企業[4]。但澄清該法案不適用於專門用於軍事或國防目的之系統。同樣，該協定規定不適用於研究和創新目的之人工智慧系統，也不適用於非專業原因之個人AI使用。 臨時協議針對通用AI(General purpose AI)[5]模型，訂定相關規定以確保價值鏈之透明度；針對可能造成系統性風險之強大模型，訂定風險管理與重要事件監管、執行模型評估與對抗性測試等相關義務。這些義務將由執委會與業界、科學社群、民間及其他利害關係人共同制定行為準則(Codes of practices)。 考量到人工智慧系統可用於不同目的之情況，臨時協議針對通用AI系統整合至高風險系統，並就基礎模型部分商定具體規則，其於投放市場之前須遵守特定之透明度義務，另強調對於情緒識別系統有義務在自然人接觸到使用這種系統時通知他們。 臨時協議針對違反禁止之AI應用，罰款金額自3,500萬歐元 或全球年營業額7%(以較高者為準)。針對違反其他義務罰款1,500萬歐元或全球年營業額3%，提供不正確資訊罰 款750萬歐元或全球年營業額1.5%。針對中小及新創企業違反人工智慧法之行政罰款將設定適當之上限。 參、評估分析 在人工智慧系統之快速發展衝擊各國社會、經濟、國力等關鍵因素，如何平衡技術創新帶來之便利及保護人類基本權利係各國立法重點。此次歐盟委員會、理事會和議會共同對其2021年4月提出之AIA法案進行審議並通過臨時協議，係歐洲各國對於現下人工智慧運作之監管進行全面的討論及認可結果，對其他國家未來立法及規範有一定之指引效果。 此次臨時協議主要針對人工智慧定義及適用範圍進行確定定義，確認人工智慧系統產業鏈之提供者及部署者有其相應之權利義務，間接擴大歐盟在人工智慧領域之管轄範圍，並對於人工智慧系統的定義縮小，確保傳統計算過程及單純軟體使用不會被無意中禁止。對於通用人工智慧基礎模型之部分僅初步達成應訂定相關監管，並對基礎模型之提供者應施加更重之執行義務。然由於涉及層面過廣，仍需業界、科學社群、民間及其他利害關係人討論準則之制定。 面對AI人工智慧之快速發展，各國在人工智慧之風險分級、資安監管、法律規範、資訊安全等議題持續被廣泛討論，財團法人資訊工業策進會科技法律研究所長期致力於促進國家科技法制環境，將持續觀測各國法令動態，提出我國人工智慧規範之訂定方向及建議。 本文同步刊登於TIPS網站（https://www.tips.org.tw） [1]Artificial Intelligence Act: deal on comprehensive rules for trustworthy AI,https://www.europarl.europa.eu/news/en/press-room/20231206IPR15699/artificial-intelligence-act-deal-on-comprehensive-rules-for-trustworthy-ai (last visited December 25, 2023). [2]European Commission, Commission welcomes political agreement on Artificial Intelligence Act,https://ec.europa.eu/commission/presscorner/detail/en/ip_23_6473 (last visited December 25, 2023). [3]Artificial intelligence act,P5-7,https://superintelligenz.eu/wp-content/uploads/2023/07/EPRS_BRI2021698792_EN.pdf(last visited December 25, 2023). [4]GIBSON DUNN, The EU Agrees on a Path Forward for the AI Act,https://www.gibsondunn.com/eu-agrees-on-a-path-forward-for-the-ai-act/#_ftn2 (last visited December 25, 2023). [5]General purpose AI-consisting of models that “are trained on broad data at scale, are designed for generality of output, and can be adapted to a wide range of distinctive tasks”, GIBSON DUNN, The EU Agrees on a Path Forward for the AI Act,https://www.gibsondunn.com/eu-agrees-on-a-path-forward-for-the-ai-act/#_ftn2(last visited December 25, 2023).
網路媒體界群起抗議，美國總統歐巴馬表示反對，SOPA法案遭到擱置SOPA法案，全名「禁止網路盜版法案(The Stop Online Privacy Act)」，是於2011年10月26日由美國眾議員Lamar Smith所提出，主要支持團體包括美國「娛樂軟體協會(the Entertainment Software Association)」、網路域名公司GoDaddy.com、「美國動畫協會(the Motion Picture Association of America)」以及「美國商會(United States Chamber of Commerce)」等等。另外一個類似的法案為美國參議院於2011年5月提交的「保護知識產權法案」，簡稱PIPA(Preventing Real Online Threats to Economic Creativity and Theft of Intellectual Property Act)，該法案原預訂於2012年1月24日交付表決。 2012年1月18日，為了表明對SOPA的反對立場，美國各網站發起了關站的行動，包括Google、Wikipedia等這些大型網站皆參與了抗議行動(抗議行動的參與網站名單可參考下述網址: http://sopastrike.com/)。美國總統歐巴馬也於今年一月公開表明他不會支持SOPA以及類似的法案，主因為該法案箝制了資訊流的自由發展。白宮於官方部落格表示「保護線上智慧財產權的重要任務不可危害網路的開放以及創新發展」、「任何打擊線上盜版的努力必須避免線上審查對合法活動所造成的風險，並避免阻礙了商業的創新發展」、「我們必須避免創造新的網路安全風險或者是瓦解網路的基礎架構」、「期許並鼓勵所有的私人團體，包括網路內容創作人以及網路平台提供人，共同努力，採取自願性的措施以及最佳作法去減少線上盜版」，但是部落格中的聲明也指出，線上盜版已經是危害美國經濟的一個重要問題，它危害了中產階級的工作，並且危害了具有創造力以及創新力的美國公司以及企業。由於反對的浪潮，SOPA以及PIPA法案於今年1月20日正式地遭到議院擱置。 SOPA的立法主要是用來打擊國外販售仿冒品的網站以及提供非法下載影音軟體系統的網站，俗稱「海盜灣(pirate bay)」，使用人在這些網站只要輸入影集或者是電影名稱就可以免費下載收看。這些海盜灣由於伺服器不在美國境內所以難以管制，但是透過SOPA，美國政府可以藉著管制美國的網路服務者去切斷這些海盜灣在美國提供服務的生路。依照SOPA，Google將被禁止在其搜尋結果中顯示這些海盜灣，PayPal也將被禁止提供資金傳輸服務與這些被認定有侵權事實的業者。 事實上，著作權的侵權行為原本就是非法的，在此之前已有「數位千禧年著作權法案(the 1998 Digital Millennium Copyright Act，簡稱DMCA)」提供執行措施。依照本法，舉例說明，假設歌曲創作人發現有人非法在YouTube上上傳其享有著作權的歌曲，著作權人可以要求YouTube將之下架，這樣的要求稱為「DMCA 投訴公告(DMCA warning)」。光是2011年，Google就收到了約五百萬筆侵權下架的要求，若確定要求為合法，Google一般而言會在六個小時之內將之下架。問題在於DMCA投訴公告對於美國國外的網站並無法發揮其預期的效力。 但是類似YouTube這類的網站經營者則擔心，SOPA可能帶來網站營運者必須負擔審查使用人所上傳的檔案是否有侵權事實義務的負面效應。依照SOPA，任何支付服務或者是廣告營運主都需要提供一個管道供第三人檢舉「偷竊美國財產」的使用人，一遭檢舉，營運主就有義務在五天之內切斷其服務。雖然亂檢舉有刑事責任，但是是否無侵權行為的舉證責任則需要受控告者自行負擔，而許多小網站以及非營利性網站根本無力去負擔龐大的訴訟費用。另外，反對者認為SOPA對於「搜尋引擎(internet search engine)」以及「國外侵權網站(foreign infringing site)」的定義過於廣泛，在本法之下，維基百科也會被定義為「搜尋引擎」，並有義務在任何美國法院的要求下去移除「國外侵權網站」的有關聯結，否則將會被視為助長侵權行為並面臨「藐視法庭罪」，這將造成言論自由箝制的相關問題，除此也會大量增加維基百科的營運成本。業者多表示肯認SOPA的立意並表示願意合作，但是業者表示SOPA過於廣泛模糊的法規文字將可能會流於網站內容的審查並造成無法控制的後果。反對者指出，SOPA的影響範圍無法預測，網站內容若只是部分有侵權疑慮，可能整個網站都無法出現在搜尋引擎的搜尋結果中。「電子前哨基金會(Electronic Frontier Foundation, EFF)」指出，類似Facebook或YouTube這類由使用者自創內容的網站，未來可能都要被迫自行去監管網站內容，將大量增加營運成本。另一方面而言，SOPA賦予業者只要具有合理懷疑就可以封鎖使用者，這將會成為大公司用來打壓潛在競爭者並迴避反托拉斯法的手段。
促進頻譜使用效率--美國啟動獎勵拍賣機制為了滿足行動寬頻時代對於無線頻譜的需求，美國規劃了多種不同的頻譜釋出、分享或共用的政策，以增加可用的頻寬或提高使用效率，其中針對既有的數位無線電視服務所使用的頻譜，則提出「獎勵拍賣機制(incentive auctions)」。此機制最初於2010年由FCC提出，其特色在於具備自願性及市場導向兩項內涵。本次美國啟動獎勵拍賣機制，主要目的為藉由新業務之頻譜拍賣，將所得之部分標金作為誘因，以鼓勵廣播電視業者繳回原有頻譜使用權，並促進美國寬頻計畫(National Broadband Plan)之發展。目前針對此機制，美國國會已於2012年2月22日正式授權FCC執行。而FCC則於2012年10月2日發布FCC 12-118法規制定建議通知(Notice of proposed rulemaking, NPRM)，並依據美國「2012年中產階級稅收減免及創造就業法案」(Middle Class Tax Relief and Job Creation Act of 2012)之授權，針對廣播電視頻譜獎勵拍賣機制進行商擬，並廣徵各界建議。 本次廣播電視頻譜獎勵拍賣機制主要可區分為三個步驟，(一)反向拍賣(reverse auction)，指廣播電視業者藉由投標之方式，標得原持有頻段之自動放棄權。(二)頻譜重組(reorganization or repacking)，此步驟是為了讓廣播電視頻譜藉由重組後，可釋出部分的超高頻(UHF)頻段以作為其他業務使用。(三)正向拍賣(forward auction)，即針對頻譜進行重新授權，對此FCC提出將以更為彈性的概念使用頻譜。 目前整體拍賣機制尚處發展階段，各步驟內部運作應如何規劃，FCC仍積極尋求外界建議。不過從FCC所提出的五項關鍵政策目標(key policy goals)中，亦可歸納出未來整體機制的規劃方針包含(一)提升頻譜效能，期望未來得以5MHz為拍賣單位，並且支持各類無線行動技術如W-CDMA、HSPA以及LTE技術之發展、(二)確保不干擾鄰近國家頻譜之使用、(三)發展各頻段之通用性(interchangeable)，促進各頻譜區段在重新配置後具備可替換性、(四)刺激頻譜回收達理想數量，以及(五)促進頻譜技術中立概念。面對美國在提升頻譜使用效率策略上又一記新嘗試，即便目前仍有許多不確定因素亟待突破，但就促進頻譜使用效率而言，亦不失為頻譜交易機制之外，另一可參考之方向。
英國資訊委員辦公室（ICO）發布沙盒執行過程中所觀察到的關鍵議題2019年9月英國資訊委員辦公室（Information Commissioner's Office, ICO）啟動沙盒計畫（ICO Sandbox）測試階段（beta phase），由ICO所選10個測試專案，透過解決當今社會問題，例如如何減少暴力犯罪、大學如何促進學生的心理健康、新技術如何改善醫療保健等，期能促進公眾利益。 各專案在滿足創新性和可行性前提下，同時也面臨著複雜的資料保護議題，因此ICO持續與各專案溝通，提供其應用現有個資保護指引之建議，如歐盟一般資料保護規則之資料保護影響評估指導文件（Guide to the GDPR - Data protection impact assessment）、資料保護自我評估工具包（Data protection self-assessment toolkit）等。自2019年3月底開始（受理申請）迄今，ICO沙盒執行過程中所觀察到的關鍵議題如下： 公部門資料應用效益：部份參與者正在克服與公部門進行歷史資料共享，或是如何整合應用大數據等。個人資料與新技術應用，必須與資料主體的權利和自由進行權衡。 同意：確保各方對於「同意」（Consent）之理解，以弭平差異，同時向公眾提供透明資訊。 新技術的挑戰：應用語音生物辨識（voice biometrics）、臉部辨識技術（facial recognition technology, FRT）等，需要在適當基礎上處理特殊類別資料。 資料分析（Data analytics）：以符合資料保護的方式進行資料分析，處理特殊類別資料的適法性，評估處理過程中的風險，並檢查可能用於資料分析的資料來源，確保符合目的之應用。 未來的6個月，ICO將持續與各專案合作，使其為有效的解決方案，為公眾提供創新合規之產品與服務，並成為未來結合資料保護和創新應用之規劃藍圖，以奠定隱私保護的基石。