淺談創新應用服務(OTT)之創新與規範課題
科技法律研究所
法律研究員 蔡博坤
2015年05月26日
隨著資通訊科技快速的發展,例如網際網路、雲端運算、智慧聯網、巨量資料、4G/5G等等,創新應用服務(Over-the-top, OTT)已逐漸包含各種基於網際網路之服務與內容。此科技應用的服務應如何在現行法律規範體系下被論及,其本身以及衍生的議題復為何,均為所欲介紹的核心,本文係以美國作為觀察之對象,希冀對於我國未來在OTT領域之法制有所助益。
壹、美國FCC對於創新應用服務(OTT)的態度觀察
在美國,聯邦通訊委員會(Federal Communication Commission, FCC)係美國境內主管電信與通訊領域聯邦層級的主管機關,對於網際網路上之新興應用服務,為鼓勵新興技術的發展,一向以避免管制為原則,也因此一些OTT TV或VoIP之商業模式,近年來無論係在美國境內抑或境外,皆有著長足的發展。另一方面,隨著科技快速變遷,FCC亦與時俱進持續透過公眾諮詢,尋求是否有調整相關定義,抑或擴張規範管制之必要。例如,2014年12月,FCC發布一個法規修訂公開意見徵集的通知(Notice of Proposed Rulemaking, NPRM),希冀更新目前於1934年通訊法(Communications Act of 1934)下之相關規範,以反映目前透過網際網路所提供的影音服務,特別將更新對於Multichannel Video Programming Distributor(MVPD)一詞定義。
貳、關鍵之法制課題
由於FCC在創新應用服務(OTT)領域市場管制者(market regulator)的角色乃至關重要,同時,提供此應用服務的業者,無論係電信業者還是新興科技業者,其彼此間相互且複雜之法律關係,所衍生之法制議題,實有必要探討以及釐清,謹就兩個層面的問題概述如下:
關於第一個層次網路中立(Net Neutrality)的議題,從相關案例實務判決觀察,2014年2月,美國有線寬頻業者Comcast即以頻寬有限資源,以及確保網路流量充足的理由,說服Netflix服務營運商,同意因此付費給Comcast,而雙方所進行之合作,也引起所謂網路中立性的爭議課題。今(2015)年2月,FCC於最新通過的Open Internet Order,有別於過往命令僅能有限度地適用於行動網路服務業者(mobile broadband),新的命令將能全面性地適用於固網以及行動網路業者,反應近年來在無線寬頻網路科技之快速進展,將擴張保護消費者近取網際網路的方式。
其次,觀察目前美國境內OTT的業者,包括Now TV、Netflix、Ditto TV、Whereever TV、Hulu、Emagine、myTV等,均有建置整合平台,俾利提供消費者新型態的商業服務,從知名Netflix公司所建構的平台政策,相關重要的規範課題包含資料的蒐集、處理與利用,也提到對於安全性的重視與兒少保護等。在相關隱私權議題面向,其指出,由於使用者得通過不同的媒介透過網際網路近取相關服務,誠是些來源皆有各自獨立之隱私權聲明、注意事項與使用規約,除了提醒用戶應盡相關的注意義務外,相關衍生的責任亦會予以劃清。
參、簡評
從上述可得知,創新應用服務(OTT)整體之發展,係與網際網路(Internet)相關推動工作係一體的,因此,我國未來如欲推動OTT相關創新服務,相關網際網路所衍生的議題,例如網路中立等,勢必將成為重要的法制層面所亟需探究之課題。
在我國,如同美國聯邦通訊委員會(FCC)角色之行政主管機關係國家通訊傳播委員會(NCC),在主管的法令中,目前依據電信法相關規範,電信事業應公平提供服務,除另有規定外,不得為差別處理(第21條);無正當理由,第一類電信事業市場主導者不得對其他電信事業或用戶給予差別待遇,抑或不得為其他濫用市場地位或經主管機關認定之不公平競爭行為(第26-1條)。
相關法律條文規範是否可因此援引作為討論創新應用服務(OTT)之法源基礎,復如何調和第一類電信事業市場主導者與新興應用服務科技業者之關係,仍存在著灰色地帶。從鼓勵產業創新之觀點出發,謹初步建議從正面的立場,鼓勵相關創新應用發展,宜避免逕就OTT服務過度管制。
美國國家標準與技術研究院(National Institute of Standards and Technology, NIST)於2023年1月26日公布「人工智慧風險管理框架1.0」(Artificial Intelligence Risk Management Framework, AI RMF 1.0),該自願性框架提供相關資源,以協助組織與個人管理人工智慧風險,並促進可信賴的人工智慧(Trustworthy AI)之設計、開發與使用。NIST曾於2021年7月29日提出「人工智慧風險管理框架」草案進行公眾徵詢,獲得業界之建議包含框架應有明確之衡量方法以及數值指標、人工智慧系統設計時應先思考整體系統之假設於真實世界中運作時,是否會產生公平性或誤差的問題等。本框架將隨著各界使用後的意見回饋持續更新,期待各產業發展出適合自己的使用方式。 本框架首先說明人工智慧技術的風險與其他科技的差異,定義人工智慧與可信賴的人工智慧,並指出設計該自願性框架的目的。再來,其分析人工智慧風險管理的困難,並用人工智慧的生命週期定義出風險管理相關人員(AI actors)。本框架提供七種評估人工智慧系統之信賴度的特徵,包含有效且可靠(valid and reliable):有客觀證據證明人工智慧系統的有效性與系統穩定度;安全性(safe):包含生命、健康、財產、環境安全,且應依照安全風險種類決定管理上的優先次序;資安與韌性(secure and resilient);可歸責與資訊透明度(accountable and transparent);可解釋性與可詮譯性(explainable and interpretable);隱私保護(privacy-enhanced);公平性—有害偏見管理(fair – with harmful bias managed)。 本框架亦提出人工智慧風險管理框架核心(AI RMF Core)概念,包含四項主要功能:治理、映射(mapping)、量測與管理。其中,治理功能為一切的基礎,負責孕育風險管理文化。各項功能皆有具體項目與子項目,並對應特定行動和結果產出。NIST同時公布「人工智慧風險管理框架教戰手冊」(AI RMF Playbook),提供實際做法之建議,並鼓勵業界分享其具體成果供他人參考。
澳洲隱私保護辦公室檢討實施「選擇退出機制」後對「我的健康紀錄系統」之影響澳洲隱私保護辦公室(Office of the Australian Information Commissioner,OAIC)在2019年11月發布的「2018-2019年度健康數位資料報告」(Annual Report of the Australian Information Commissioner’s activities in relation to digital health 2018–19),主要說明澳洲政府實施「選擇退出機制」(opt-out)後,對「我的健康紀錄系統」(My Health Record System)(下稱系統)發生的影響,以及有將近1成的國民大量選擇退出系統,造成系統的醫療健康資料統計困難之檢討。 OAIC認為會發生國民大量選擇退出系統的原因,主要是不信任政府對系統資料保護及不清楚系統使用功能有關,因此提出年度報告,內容如下: 一、改善民眾對醫療資料保護的不信任,例如對醫療業者,開發保護病患隱私的指導教材,防止、外洩即時處理的能力。 二、加強宣傳,例如開發線上資源、影音等,讓民眾在使用系統時能有更清楚認識,且對選擇退出有更明確的認知。 三、改進系統設計,讓民眾能更清楚的看見使用說明,也能隨時掌握在系統上的資訊、設置警報提醒來防止他人侵入、也增加取消功能使資料達到永久刪除的效果。 建置該系統之目的,是因為國家有蒐集與使用國民的醫療健康資料需求,國民也能使用系統查看醫療紀錄、藥物過敏紀錄、曾使用與正在使用的藥物、血液檢查等;醫療人員也能透過醫療資料之電子化,減少重複及不必要的醫療檢查、對症下藥、避免因過敏引起的反應等,將醫療資源做有效的運用。 系統建置是依據「我的健康紀錄法」(My Health Records Act 2012)第三章第一節註冊規定,要將國民的醫療健康資料納入系統,但不願意加入者,得選擇退出系統。而澳洲政府依據此法訂定選擇退出機制,2018年7月正式實施,要求全民強制加入系統,同時開放選擇退出機制,讓不願意加入系統的國民能選擇退出系統;選擇退出機制截止日期原先在2018年10月中旬,但在國民大量反應下,澳洲政府決定延至2019年1月底;在選擇退出機制的實施截止後,OAIC在2019年11月對選擇退出機制做出檢討報告,期望能透過檢討報告提出的建議來增強民眾對系統的信任與促進系統使用率。
愛爾蘭資料保護委員會發布《控制者資料安全指引》,提供資料控制者關於個人資料安全措施之依循指引愛爾蘭資料保護委員會(Ireland's Data Protection Commission)於今(2020)年2月公布控制者資料安全指引(Guidance for Controllers on Data Security),愛爾蘭資料保護委員會表示本指引亦適用於資料處理者。指引內針對17個面向說明控制者於資料處理時應考量之安全措施,分別為:(1)資料蒐集與留存政策(Data Collection and Retention Policies);(2)存取控制(Access Controls);(3)螢幕保護程式(Automatic Screen Savers);(4)加密(Encryption);(5)防毒軟體(Anti-Virus Software);(6)防火牆(Firewalls)(7)程式修補更新(Software Patching);(8)遠端存取(Remote Access);(9)無線網路(Wireless Networks);(10)可攜式設備(Portable Devices);(11)檔案日誌及軌跡紀錄(Logs and Audit Trails);(12)備份系統(Back-Up Systems);(13)事故應變計畫(Incident Response Plans);(14)設備汰除(Disposal of Equipment);(15)實體安全(Physical Security);(16)人為因素(The Human Factor);(17)認證(Certification)。 此外,愛爾蘭資料保護委員會還強調,歐盟一般資料保護規則(General Data Protection Regulation, GDPR)第25條與第32條有關資料控制者之義務,可透過「從設計與預設機制著手資料保護(Data protection by design and by default)」,與適當的技術及組織措施等方式,並考量現有技術、執行成本、處理之本質、範圍、脈絡及目的與對當事人權利及自由之風險可能性與嚴重性等因素,以確保其安全措施符合相應資料風險之安全等級。 最後,愛爾蘭資料保護委員會表示資料控制者更應確保其組織內員工瞭解該等安全措施並確實遵守,資料控制者應於制定其資料安全政策時考量到本指引所列各項目,以履行其保護資料安全之義務。
奧克蘭市(Oakland)成為美國第三個禁止公部門使用人臉辨識技術的城市近年來,人臉辨識(Face recognition)技術迅速發展,增加便利性的同時,也伴隨了種種隱憂,如:對隱私權的侵害、公部門權力濫用等,是以加州舊金山市(San Francisco)和麻薩諸塞州薩默維爾市(Somerville)分別在今年(2019)5月和6月發布公部門使用人臉辨識技術的相關禁令,加州奧克蘭市(Oakland)並於7月16日跟進,成為美國第三個禁止公部門使用人臉辨識技術的城市。 2018年麻省理工學院曾針對人臉辨識技術的正確率做過研究,其研究結果報告顯示黑人女性辨識錯誤率超過30%,遠不如白人男性;美國公民自由聯盟(American Civil Liberties Union, ACLU)也針對Amazon人臉辨識軟體Rekognition做過測驗,結果該系統竟誤將28名美國國會議員顯示為嫌疑犯,這兩項研究顯示,人臉辨識技術存有極高錯誤率且對種族間存有很大的偏見與歧視。對此奧克蘭市議會主席卡普蘭(Rebecca Kaplan)一項聲明中表示:「當多項研究都指出一項新興技術具有缺陷,且造成寒蟬效應的時候,我們必須站出來」。 卡普蘭並表示:「建立社區和警察間信任與良好關係以及導正種族偏見是很重要的,人臉辨識技術卻反而加深此問題」、「對於隱私權和平等權的保護是最基本的」,故奧克蘭市通過禁止公部門使用人臉辨識技術的法令,原因如下: 人臉辨識系統所依賴的資料集,具高度不準確性。 對於人臉辨識技術的使用與共享,尚缺乏標準。 這項技術本身具有侵犯性,如:侵犯個人隱私權。 政府如果濫用該技術所得之資訊,可導致對弱勢族群的迫害。 雖然目前美國僅有三個城市通過政府機關禁止使用人臉辨識技術的法令,但依照目前的發展狀態,其他的城市甚至州在未來也可能會跟進頒布禁令。