日本個人資料保護法修正案允許變更利用目的引發各界議論
日本國會於本會期（2015年1月）中，進行個人資料保護法修正草案（個人情報保護法の改正案）的審議。修正草案研擬之際，歷經多次討論，IT總合戰略本部終於在2014年6月公布修正大綱，後於同年12月公布其架構核心。
本次修正，主要目標之一，是使日本成為歐盟（EU）所認可之個人資料保護程度充足的國家，進而成為歐盟所承認得為國際傳輸個人資料的對象國；為此，此次修正新增若干強化措施，包含（1）設立「個人資料保護委員會」;（2）明訂敏感資料（包含種族、病歷、犯罪前科等）應予以嚴格處理；（3）明訂資料當事人就其個人資料得行使查詢或請求閱覽等權利。
本次修正的另一個目標，則是促進個人資料利用及活用的可能性。2014年中，日本內閣府提出「有關個人資料利活用制度修正大綱」，提倡利用、活用個人資料所帶來的公共利益，並指出，過往的法規僅建構於避免個人資料被濫用的基礎，已不符合當今需求，且易造成適用上的灰色地帶，應透過修法予以去除；未來應推動資料的利用與活用相關制度，來提升資料當事人及公眾的利益。本次修正因此配合鬆綁，允許符合下述法定條件下，得變更個人資料之利用目的：（1）於個人資料之蒐集時，即把未來可能變更利用目的之意旨通知資料當事人；（2）依個人資料保護委員會所訂規則，將變更後的利用目的、個人資料項目、及資料當事人於變更利用目的後請求停止利用的管道等，預先通知本人；（3）須使資料當事人容易知悉變更利用目的等內容；（4）須向個人資料保護委員會申請。
目標間的兩相衝突，使得該案提送國會審議時，引發諸多爭議。論者指出：允許在特定條件上變更個人資料的利用目的，雖顧全資料利用的價值，但似不符合歐盟個人資料保護指令對於個人資料保護的基準，恐使日本無法獲得歐盟認可成為資料保護程度充足的國家，亦徹底喪失此次修正的最重要意義。
本文為「經濟部產業技術司科技專案成果」
張乃文
主任 編譯整理
NIKKEIそんな個人情報保護法改正で大丈夫か？ パーソナルデータ検討会(2015年1月22日）,http://trendy.nikkeibp.co.jp/article/pickup/20150116/1062189/?rt=nocnt（最後瀏覽日： 2015年2月15日）
ロテレNEWS, 波紋呼ぶ個人情報保護法改正案（2015年2月6日）, http://www.news24.jp/articles/2015/02/06/07268775.html（最後瀏覽日：2015年2月15日）。
歐盟執委會以（EU）2021/914號執行決定（Implementing Decision）所發布的新版「向第三國傳輸個人資料標準契約條款（New Standard Contractual Clause for the transfer of personal data to third countries，下稱SCC）」已於9月27日起正式取代舊版條款。 新SCC發布於2021年6月27日，旨在滿足歐盟法院（the Court of Justice of the European Union, CJEU）以2020年7月Schrems II判決所訂定之資訊保護需達「足夠充分（substantially sufficient）」標準。該版SCC為因應不同情境之跨境資料傳輸，而設計採取4種模組之規範條款供涉及歐盟境外之第三方資料傳輸者（控制者與接收者）依循參採，包括： 規範模組一：從資料控制者（Data Controller）到資料控制者的資訊傳輸（Transfer from controller to controller, C2C） 規範模組二：從資料控制者到資料處理者（Data Processor）的資料傳輸（Transfer from controller to processor, C2P） 規範模組三：從資料處理者到資料處理者的資料傳輸（Transfer from processor to processor, P2P） 規範模組四：從資料處理者到資料控制者的資料傳輸（Transfer from processor to controller, P2C） 本次執行決定亦設立了轉換期以利各方進行合規審查與契約調整：雖然舊版已於2021年9月27日廢止不再適用，原已適用舊版SCC之契約，至遲仍得實施至2022年12月27日止。（亦即新版SCC公佈後的18個月內）。 在此執行決定下，歐洲資料保護委員會 （European Data Protection Board）亦發布「關於如何確保對個人資料傳輸採取適當保護措施建議（Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data）」釐清GDPR「傳輸影響評估（Transmission Impact Assessment, TIA）之機制流程 。 隨著資通科技之快速崛起跨境個資傳輸已成為企業常態，而此種現象近期甚至在交通自動化的科技發展下逐漸擴及交通業別，其中全球航運和物流公司在全球範圍內傳輸個資，其中甚至包括用於履行和營銷目的之乘客資料、員工個人資料和客戶業務聯繫資訊等敏感個資已成為常態，應儘速因應相關法制之發展，解決全球範圍內快速發展的隱私合規問題。
何謂「日本A-STEP計畫」?日本A-STEP計畫係指研發成果最適展開支援事業計畫，由國立研究開發法人科學技術振興機構負責辦理，主要目的在於兼顧大學研究成果之學術價值及實用性，同時透過產學合作推展大學的研發成果，帶動創新產生。計畫針對產業技術瓶頸，為民間企業不易涉入的高風險研發領域，由科學技術振興機構中介民間企業與公私立大學、公私立技術學院、公立研究機構、國立研究開發法人、公益法人共同執行產學研種子研發計畫，再依據不同的目的、技術性質規劃不同類型的產學研合作研究計畫進行資助。 研究成果最適展開支援事業有兩個特色：單一申請窗口、以及採取接續模式分段申請。其流程為，大學研究人員向國立研究開發法人科學技術振興機構申請研究成果最適展開支援事業，在研究開發階段中，若被補助的種子計畫在結束後，想持續進行研究，可申請另一階段-委託開發實用挑戰之計畫補助，國立研究開發法人科學技術振興機構將透過外界研究人員對計畫進行審核，決定是否延長計畫以及延長的期程。一般研究開發可區分為三階段：可能性驗證、實用性驗證與實證驗證，故研究人員在申請A-STEP計畫時，研究計畫中需提及所申請計畫的現在發展情況與條件及想申請何種項目，以利國立研究開發法人科學技術振興機構決定後續的處理方式。
日本擬讓司法機關偵查時利用GPS定位取得位置資訊無須事先告知，僅須取得法院令狀日本電信事業個人資料保護指針(電気通信事業における個人情報保護に関するガイドライン)自2011年修訂後至今即未有任何改變。然而，隨著現代行動通信軟硬設備技術的進步，智慧型手機中已有許多應用程式可透過GPS衛星定位功能準確獲取使用者之位置資訊，倘若司法機關也能於搜查辦案過程即時取得此定位資訊，將可提高偵查效率並縮短破案時程。 為此，日本總務省擬將原先須事先通知行動設備使用人與獲得法院令狀後，方得利用GPS衛星定位獲取位置資訊之電信事業個人資料保護指針第26條修訂為司法機關取得法院令狀後，即可利用GPS衛星定位獲取行動設備使用人位置訊息。 然此項修訂除將可能造成行動通訊業者營運上的額外負擔之外，亦有侵害設備使用者之個人隱私與個人資料疑慮。因此，為了抑止濫為偵查，法院令狀之發出須有其必要性，搜查機關亦必須向行動通訊業者為必要性之說明。 再者，此項利用GPS衛星定位獲取位置訊息之方式也僅限於使用Android系統設備且將定位功能開啟之使用者，對於使用Apple iOS系統設備之使用者則不但須使用者開啟定位功能，還須經過美商蘋果公司同意方能取得亦是一項難題。 日本總務省已於2015年4月17日發布此項法令修訂訊息並徵詢公眾意見，預計於6月完成修法並公布之。
德國聯邦資料保護暨資訊自由官聲明病人資料保護法恐違反GDPR德國聯邦資料保護暨資訊自由官（Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit,BfDI）Ulrich Kelber教授於2020年8月19日指出，2020年7月3日甫由德國議會通過的病人資料保護法（Gesetz zum Schutz elektronischer Patientendaten in der Telematikinfrastruktur; Patientendaten- Schutzgesetz, PDSG），恐違反歐盟一般資料保護規則（GDPR）。 該法規定自2021年起，健康保險業者必須向被保險人（病人），提供電子病歷（ePA）。而自2022年起，病人有權要求醫生將病人相關資料記錄於電子病歷，包括健檢結果、醫學報告或X光片、預防接種卡、孕婦手冊、兒童體檢手冊、牙科保健手冊等，而被保險人更換健康保險業者時，可要求移轉其電子病歷至新的健保公司。另外，2021年起將可透過手機，下載電子處方並至藥局領取處方藥。2022年1月1日起，將全面強制使用電子處方，病人將可透過智慧手機或平板電腦，決定他人對於電子病歷之近用權限。病人若無手機，可至健保公司查看電子病歷。依照規劃，目前電子病歷的使用仍採自願性。病人可決定保存或刪除哪些資料，以及誰可以近用該文件。自2023年起，被保險人可自願提供電子病歷資料作為研究用途，而因上述研究可處理病人資料之醫師、診所和藥劑師等，有義務確保其資料安全。 BfDI於立法過程中多次強調，在導入電子病歷使用時，病人必須可完全控制自己的資料。而該法規範僅提供病人使用部分設備，例如智慧手機或平板電腦，設定其電子病歷之存取權限，此意謂著將有一段空窗期，病人無法決定其電子病歷中各文件之存取權限。而對於電子病歷中，可否僅開放部分資料供瀏覽或存取，亦受到聯邦資料保護暨資訊自由官質疑。另外，對於無法或不想在手機或平板電腦上使用上述功能的人，本法並未進一步規定，亦即2022年起，上述病人為了能夠檢查或接受醫療，必須強迫病人控制其相關資料，但目前顯然尚缺乏相關配套。此外，以資料保護角度而言，目前電子病歷之認證程序有安全疑慮，尤其是未使用電子健康卡的替代驗證程序尚不夠嚴謹，因此命令相關單位應於2021年5月前完成改善。 電子病歷是對醫療保健改善的重要一步，因此相關健康資料保護需要符合GDPR規範水平。電子病歷雖已逐漸受到認可與重視，惟當前病人資料保護法恐無法完全保護病人資料安全。因此，BfDI將透過監管手段，確保健康保險公司不會因提供電子病歷而違反GDPR。