英國提出巨量資料下之個人資料保護應遵循資料保護法之原則
隨著網路蓬勃發展，個人資料之蒐集、處理及利用越來越普遍，同時也造成資料洩漏和濫用的問題日益嚴重，進而對隱私和個人資料構成侵害與威脅，為保障人民隱私和增強資料透明度，羅德島州州議會於2024年通過了一項具有里程碑意義的法律—《羅德島資料透明度與隱私保護法》（Rhode Island Data Transparency and Privacy Protection Act）。其核心內容包括以下幾個方面： 一、 適用對象：於羅德島州州內經營商業之營利組織（下簡稱企業），或主要生產製造商品、提供服務予該州居民之企業，且： 1. 在前一年度控制或處理超過三萬五千筆個人資料（personally identifiable information）者，但單純為完成付款交易之資料除外。 2. 控制或處理超過一萬筆個人資料，且總營收超過百分之二十係源自於銷售個人資料者。 二、 資料蒐集企業與資料當事人權利義務： 1. 選擇同意與退出權：前開適用對象應賦予資料當事人即消費者就其個人資料之蒐集、處理，行使選擇同意權（opt in）與退出權（opt out）。 2. 資料蒐集與利用透明度：要求企業蒐集個資前，須明確告知資料當事人蒐集目的、利用範圍以及可能的資料共享對象，並取得其同意。 3. 控制權：資料當事人有權向企業請求查詢、修改及刪除自己的資料，企業在接到請求後，必須即時處理該請求，並於45天之法定期限內准駁其請求；必要時得於通知當事人合理事由後，展延一次。 4. 安全維護措施：企業必須採取適當之安全維護措施來保護個人資料不受未經授權的近用、洩漏、竄改或毀損。前述措施，包括但不限於資料加密、權限管控等技術上管控措施。 5. 資料保護評估：企業須就「對消費者傷害風險較高」活動進行評估並保存文件化紀錄，包括： （1） 為精準行銷之目的（Targeted Advertising）； （2） 銷售個人資料； （3） 為資料剖析之目的處理個人資料，且具合理可預見的風險將可能對消費者之財務、身體或名譽造成不公平或欺騙性的待遇，或非法的衝擊影響。 《羅德島資料透明度與隱私保護法》強化企業對資料隱私保護之責任，並督促其遵守法律要求。預計施行後將能加強對資料主體個人資料知情權、控制權、透明度及資料安全之保障。
防範網路釣魚──事後追究有其侷限，多管齊下始屬正途 美國總統簽署行政命令，為數位資產帶來全面的管制框架美國總統喬‧拜登（Joe Biden）於美國時間2022年3月9日簽署「確保數位資產負責任發展」行政命令（Executive Order on Ensuring Responsible Development of Digital Assets）。該行政命令為數位資產（Digital Assets）提供全面性的管制框架。所謂數位資產，係指透過分散式帳本技術以數位形式發行，表彰一定價值，或用於支付、投資、傳輸或交易資金或其等價物之憑證或資產。以下將簡述該行政命令所揭示的政策目標： 對於美國消費者、投資者與企業之權利保護，包含機敏資料的隱私保護等； 為降低金融市場的系統性風險，應建構相關數位資產帶來風險之監管措施； 避免因濫用數位資產所衍生之非法金融與國家安全風險； 透過發展支付創新（payment innovations）與數位資產，以加強美國於全球金融體系與經濟競爭力之領導地位； 強調金融服務提供之公平性，並降低金融創新下產生的負面影響，以促進金融普惠； 關注以負責任的方式促進數位資產的技術發展，包括於技術架構中確保隱私與安全，並減少因加密貨幣挖礦所導致的氣候衝擊（negative climate impacts）與環境污染（environmental pollution）。 為達成上述目標，該行政命令要求政府機關應跨部門合作，並於指定期間提出針對數位資產相關議題之評估報告及政策框架等；於國際方面，該行政命令則宣示將透過G7、G20、FATF、FSB等管道擴大與國際的合作，包括洗錢防制、建構中央銀行數位貨幣（Central Bank Digital Currency，CBDC）開發標準、穩定幣（stablecoin）與跨境資金轉帳與支付系統等議題。 其中值得注意的是，有鑑於已有國家嘗試開發CBDC，此次行政命令也顯示美國正視CBDC於金融市場之趨勢，並要求有關政府部門評估政策之可行性與實施條件等。 雖然本次行政命令並未公布新的法律規範，亦未能從行政命令觀察美國政府目前對數位資產監管所採取的立場，但可顯見美國政府藉由此次行政命令宣示將對數位資產進行全面且縝密的政策規劃。
歐盟提出「一般資料保護規章」(草案)並審議，以因應未來聯網環境趨勢為因應近來智慧聯網（IoT）、巨量資料及雲端運算發展趨勢，為強化線上隱私權利及促進歐盟數位經濟的發展，歐盟執委會於2012年1月25日對於資料保護指令提出新的規章草案：「保護個人有關個人資料處理及自由流通規章（一般資料保護規章）」（Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on the protection of individuals with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation)），以取代並廢除（repealed）原有「個人資料保護指令」規範，並修改（amend）「隱私與電子通訊指令」，預計在2013年6月進入歐洲議會、理事會及執委會的三方協商，若順利將在2014年通過，並在2016年生效。 「一般資料保護規章」(草案)中對於聯網環境及智慧化設備運行之因應，重要規範內容有(1)追蹤（tracking）與特徵分析（profiling）：訂定第20條「特徵分析措施」（Measures based on profiling）規範條文，保障每個當事人皆有主張不被採取特徵分析措施（如個人傾向、工作表現、財務狀況、位址、健康、個人喜好、可信度）而致產生法律效果或顯著影響該個人的權利(2)被遺忘及刪除權（right to be forgotten and to erasure）：訂定第17條，創設新的權利「被遺忘及刪除權」，用以幫助民眾處理線上資料，當其不希望自己的資料被利用且無合法理由保留時，資料將被刪除(3)資料可攜權利（the right to data portability）：訂定第18條，當資料處理是以電子化方法，且使用結構性、通用的格式時，資料當事人有權利可以取得該結構性、通用格式下的個人資料，更容易自不同服務提供者間移轉個人資料。(4)當事人的同意要件：第4條第8款明定，不論何種資料處理情況時所需的同意，增列必須是明確（explicitly）同意之要件(5)「設計階段納入隱私考量」（privacy by design）、「預設隱私設定」（privacy by default）：訂定第30條，要求資料控制者及處理者應實行適當的技術性、組織性措施，並考量科技發展水準，制定特定領域及特定資料處理情況的標準及條件，並且資料保護將會從產品及服務最初發展、設計時就考量隱私問題應對「設計階段納入隱私考量」及「預設隱私設定」提出標準及條件。 歐盟此次對於「一般資料保護規章」(草案)的修法進程，以及世界各重要國家的立場及反應態度，均值得後續密切觀察研析。