印度電子資訊產業技術部(MeitY)2022年11月在網站上公布了個人資料資訊保護法草案(Digital Personal Data Protection Bill,以下簡稱該法案),並於2023年7月提交議會審查。目前印度民法不承認未成年人(未滿18歲者)具有自主簽訂契約的能力。因此,取得的兒童同意不具有法律效力,必須徵得父母或是監護人的同意才能合法蒐集兒童個人資料。 根據印度2022年個人資料資訊保護法案草案,任何未滿18歲的人都被歸類為「兒童」。該法案中同時限制專門向兒童發送的廣告,並且監管任何追蹤兒童行為的情況。目前國際隱私法(例如:歐盟通用資料保護條例 (GDPR)、加州消費者隱私法(CCPA)等)的兒童定義多在13至17歲之間。但考慮到兒童個人資訊的敏感性和潛在危害,印度政府採取了較保守嚴謹的路線。政府也已被授權制定有關處理兒童個人資訊的細則,特别是確保資料使用人不可使用可能對兒童造成傷害的個人資料。 根據社會發展狀況,兒童若每次在網路平台上進行活動時都需經過父母或是監護人同意不甚妥適,且根據前述說明,兒童界定年齡為18歲以下,若依照統一年齡範圍進行控管,實際執行上面臨窒礙難行之處。故修法者在對於該法案修改意見中,引用了其他國家隱私法中的不同年齡分類限制,以求降低年齡門檻限制,或是根據用戶的年齡制定差異化的授權要求。 另一個產生的爭議為,該如何驗證父母或是監護人的同意表示。法條中目前無明確規範何為「有效之同意表示」,現行各平台使用不同的方法獲得父母或是監護人的同意,目前有兩種方式,包括點選「同意」按鈕,或是在用戶條款中表示若使用服務等同於監護人同意。 關於兒童年齡之界定,是否將參考其他國家規範進行差異化設定,目前暫無明確定論(包括如何調整、年齡級距設定),根據資訊使用的普及,兒童年齡的界定可以預期的將會進行調整;關於如何有效驗證父母或是監護人的同意表示,目前在技術上大多服務商都偏好透過會員註冊時的同意按鈕或是用戶條款中列明若使用服務即代表同意這兩種方式認定,在這兩種方式之後,系統是否有設定驗證機制,以及需要何種驗證方式才可以認定父母或是監護人的同意表示是符合法律效力的,都需後續再進行研擬。
美國聯邦交易委員會提出巨量資料報告,關注商業應用之潛在歧視性效果美國聯邦交易委員會(Federal Trade Commission, FTC)於2016年1月6日公布「巨量資料之商業應用」報告(Big Data: A Tool for Inclusion or Exclusion? Understanding the Issues),報告中歸納提出可供企業進一步思考之數項議題,期能藉此有助於企業確保巨量資料分析應用之正當合法性,並避免產生排除性或歧視性之對待,但同時亦能透過巨量資料之分析應用為消費者帶來最大的利益。FTC主委Edith Ramirez表示,巨量資料之重要性於商業之各領域均愈發凸顯,其對於消費者之潛在利益自是不言可喻,然企業仍應確保巨量資料之利用不會產生傷害消費者之結果。 「巨量資料之商業應用」報告經徵集公共意見與彙整相關研究後,聚焦於巨量資料生命週期的後端,亦即巨量資料被蒐集與分析之後的利用。報告中強調數種能幫助弱勢群體的巨量資料創新利用方式,例如依病患之生理特性量身訂作並提供醫療照護,或是新的消費者信用評等方式。報告同時也指出可能因為偏見或資料錯誤帶來的風險,像是信用卡發卡銀行降低某人信用額度的原因並非基於該持卡人之消費與還款記錄,而是與該持卡人被歸為「同一類型」之消費者所共同擁有之記錄與特徵。其次,報告對巨量資料於商業領域之利用可能涉及之法規進行了初步盤點,包括公平信用報告法(Fair Credit Reporting Act, FCRA)、與機會平等相關之聯邦立法—像是基因資訊平等法(Genetic Information Nondiscrimination Act, GINA)、以及聯邦交易委員會法,報告也列出7項預擬提問,協助企業因應巨量資料商業利用之法令遵循問題。
歐盟執委會將修正ePrivacy指令ePrivacy指令修正背景 原資料保護指令將於2018年由一般資料保護規則所取代,在此一背景下,電子隱私指令除補充資料保護指令外,亦訂定關於在電子通訊部門的個人資料處理的具體規則。具體作法,如在利用流量和位置資訊於商業目的之前,應徵得用戶的同意。在ePrivacy指令未特別規定的適用對象,將由資料保護指令(以及未來的GDPR)所涵蓋。如,個人的權利:獲得其個人資料的使用,修改或刪除的權利。 歐盟執委會為進行ePrivacy指令(Richtlinie über den Datenschutz in der elektronischen Kommunikation)改革,於2016年8月4日提出意見徵詢摘要報告,檢討修正ePrivacy指令時著重的的幾個標的: (1)確保ePrivacy規則與未來的一般資料保護規則之間的一致性。亦即評估現有規定是否存在任何重複、冗餘、不一致或不必要的複雜情況。(如個人資料洩漏時的通知) (2)指令僅適用於傳統的電信供應商,而在必要時應該以新市場和技術的現實的眼光,重行評估更新ePrivacy規則。對於已成為電子通信行業新興創新的市場參與者,如:提供即時通訊和語音通話(也稱為“OTT供應商”),由於目前不需要遵守ePrivacy指令主要規定,而應納入修正對象。 (3)加強整個歐盟通訊的安全性和保密性。ePrivacy指令在規範上,確保用戶的設備免受侵入、確保通信的安全性和保密性。本指令第5條第3項,儲存資訊、或近用已存儲在用戶設備之資訊,需得其的同意。該條款的有效性已有爭論,因為新的追踪技術,如:指紋識別設備可能無法被現有的規則所涵攝。最後,有認需得同意的例外規定列表,有必要延伸到對資訊之其他非侵入性的儲存/近用:如網路分析等。這些都是應予以仔細評價和檢視之對象。 公眾諮詢摘要報告內容 經過4月13日到7月5日的公眾諮詢,歐盟執委會於8月4日提出報告。 諮詢意見主要來自德(25.9%)、英(14.3%)、比(10%)、法(7.1%)的回覆。 一、是否有必要在電子通訊部門訂定隱私特別規定? 市民與公民團體咸認有必要在電子通訊部門,甚至流量資料和位址資訊也應該訂定新規(83%)、企業則認為無甚需要,只有在秘密性規則(31%)與流量資料(26%)有需要訂定;主管機關則咸認需要特別規定。 二、現行指令是否已足達成其立法目的?76%市民和公民團體認為未達立法目的,理由如下: ePrivacy指令的範圍太狹小,不包括即時訊息、語音通話(VoIP)和電子郵件應用服務。 規範太模糊,導致會員國之間適用結果和保護程度的差異、不一致。 法律遵循的程度展法程度太差。 三、是否應為新通訊服務訂定新規? 76%市民和公民團體認為適用範圍應該涵蓋到OTT上。
如何規範通聯紀錄的詐取及販售行為,成為美方關注的焦點美國第四大無線通訊業者T-Mobile於1月24日依據華盛頓州暴利罪法(criminal profiteering laws)向該州高等法院提出申請,要求法院對Data Find Solutions公司、1st Source Information Specialists公司及其他有關的公司與個人發出禁制令(injunction),以防止上述公司透過詐欺手段獲取及販售T-Mobile客戶的通聯紀錄(call records)。 目前包括了州議員、州檢察總長及聯邦通訊傳播委員會(Federal Communications Commission),均積極探求相關的法律規定,如果Data Find Solutions等公司非法獲取及販售通聯紀錄的情況屬實,將依法予以定罪。 無獨有偶,在一週之前伊利諾州檢察總長也對1st Source Information Specialists公司提出了訴訟,控告該公司非法取得及販售通聯紀錄。數位眾議員及參議員,已經公布了相關立法計畫,未來凡以欺詐的手段獲取及出售通聯紀錄都將被視為違法行為。參議院多數黨領袖Bill Frist議員即表示,「詐取客戶通聯紀錄並透過網路出售是一錯誤的行為,必須加以制止。」