美國能源部發布「電力資料自願行為守則」保護消費者資料與隱私權利
美國能源部（Department of Energy, DOE）所屬之電力傳輸與能源可靠度辦公室（Office of Electricity Delivery and Energy Reliability, OE）與聯邦智慧電網工作小組（Federal Smart Grid Task Force）對於由智慧電網技術所生之資料相關隱私保護問題，經過一系列包括相關業者在內的公眾意見徵集與專家學者討論後，於2015年1月12日所發布之「自願行為守則」（Voluntary Code of Conduct, VCC），係屬美國總統歐巴馬同日宣示政策，公布對於強化消費者安全、處理身分盜用（identity theft）、並促進線上隱私保護之總體策略方向中的重要部份。
「自願行為守則」的適用對象是供電業者與第三方，目的在於保護包括能源使用資訊（energy usage information）在內的電業消費者資料，並提高消費者的隱私意識與相關資料在提供與近用上所須行使的同意與控制。「自願行為守則」揭示其三大目標，包括：（一）於鼓勵創新的同時，適切地保護消費者資料的隱私與機密性，並提供可靠與不致於無法負擔之電業與能源相關服務；（二）提供消費者對其自身資料的適當近用（appropriate access）；以及（三）不生違反或取代任何聯邦、州、或地方主管機關之法令或管制措施之效果。
而為求取前揭目標之達成與實現，「自願行為守則」訂有五大步驟。此五大步驟包括：（一）「消費者之注意與意識」：透過相關規定向消費者解釋資料蒐集的相關政策與程序，並聚焦於消費者的選擇與責任，藉以讓消費者了解其所必須行使之同意；（二）「消費者之選擇與同意」：透過相關規定讓消費者能為非原始目的（Secondary Purposes）——例如向數個第三方為差別化之近用授權、限制近用之期間、留存資料釋出之記錄、取消授權、以及於授權終止或不再需要相關資料時之資料處置或去識別化等——對其資料之近用進行相關管控、確認有哪些類型的資料與揭露無須消費者同意、以及要求特定資料應直接由消費者處取得；（三）「消費者資料近用」：透過相關規定允許消費者近用其資料、確認可能的錯誤、以及要求更正的相關程序，其中包括在特定情況下就非常態性要求收取費用的可能性；（四）「資料的完整性與安全性」：透過相關規定規範網路安全管理計畫，以及聚合性資料（Aggregated Data）或匿名性資料的建立方式；（五）「自發性執行、管理、與矯正」：透過相關規定對自願採納本「自願行為守則」之服務提供者的行動作出規範，以確保其遵守行為守則。「自願行為守則」雖屬自律規範，但其制定過程有包括電力業者在內之利害關係人的充分參與，並經充分之專家與公民意見徵集，被預期在公布之後將有相當程度之約束力量，並能令因智慧電網與能源資通訊技術所生之相關隱私權保護問題得到更進一步的解決。
本文為「經濟部產業技術司科技專案成果」
王自雄
主任 編譯整理
Voluntary Code of Conduct (VCC): Final Concepts and Principles [hereinafter VCC], available at http://www.energy.gov/sites/prod/files/2015/01/f19/VCC%20Concepts%20and%20Principles%202015_01_08%20FINAL.pdf (last visited July 15, 2015).
The White House Office of the Press Secretary, Fact Sheet: Safeguarding American Consumers & Families, available at https://www.whitehouse.gov/the-press-office/2015/01/12/fact-sheet-safeguarding-american-consumers-families (last visited July 15, 2015).
美國華府行政管理與預算辦公室（Office of Management and Budget）頒布執行M-13-13 Open Data政策備忘錄之指導綱要（Supplemental Guidance on the Implementation of M-13-13 “Open Data Policy－Managing Information as an Asset”），目的在於澄清問題及提供執行細節以協助政府部門實施執行命令第13642號及M-13-13 Open Data政策備忘錄。透過實踐本指導綱要，各政府部門將能確保用以盤點、管理及開放資料的基礎設施之完備，進而開創因開放資料所產生之價值。 資料在依據本綱要進行盤點時，主管機關必須一併予以分級，其近用層級（Access Levels），區分為公開（Public）、限閱（Restricted Public）、非公開資料（Non-public）。資料公開前會經過完整之隱私權保護及資訊安全事項檢視，無違反相關法律和政策規範者，始釋出予大眾。 針對備忘錄之五項執行要求，本指導綱要即分為五項對應指導，介紹如下： 1.建立及維運大型資料盤點目錄：目的在使聯邦政府部門建立清楚且完整之資料資產目錄，而在製作盤點目錄後，必須持續改進、維護資料，並以擴展、豐富、開放三種面向來評估檢視盤點目錄之成熟度。 2.建立及維運公開資料清單：為增進資料查詢之容易度及可用性，各部門須篩選上述資料盤點目錄中屬於公開層級或可以被公開之資料，並建立及發布公開資料清單，作為盤點目錄之子目錄，使民眾得以知悉現有公開資料，及接續地將被公開之資料。各部門基於裁量權，亦可決定是否列入限閱或非公開資料資產，使民眾能知悉該筆資料之存在以及近用該資料之程序。 3.建立用戶參與資料釋出程序：此程序將提供資料用戶參與促進資料釋出及認定釋出之優先順序。由關鍵的資料用戶來幫助聯邦政府認定資料資產價值，而被認定最高價值之資料將優先、快速釋出。 4.當資料無法釋出時，須以文件證明：政府部門必須確認資料經過完整之隱私權保護及資訊安全事項檢視，無違反相關法律和政策規範者，才能公開資料。當認定資料涉及違反上述規範時，則須以文件證明其諮詢該政府部門中所設之法律顧問單位（Office of General Counsel）或同類單位後之決定，再依據三種資料近用資層級予以分類。 5.指導綱要中要求列出各部門應該負責管理資訊之窗口。 原定11月1日為完備上述基礎設施建置之最後期限，然為因應美國自10月1日起聯邦政府關門，特寬限延期至11月30日；在11月30日後，各部門將於每季報告執行進展，而部門開放資料之績效將被列為跨部門優先追蹤對象。
美國數州將就大麻合法化與否舉行公民投票美國總統選舉於11月8日舉行，數州針對大麻合法化與否一併進行公民投票，針對娛樂用大麻（Recreational Maijuana）議題舉辦公投共有五州，分別為加州、內華達州、亞里桑那州、緬因州以及麻州；而針對醫療用大麻（Medical Marijuana）議題舉行公投則有四州，係佛羅里達州、阿肯色州、北達科他州以及蒙大拿州，其中蒙大拿州原已開放醫療用大麻，本次公投案係放寬現行法規之限制。公投結果顯示，除亞里桑那州公投案未通過外，其餘各州公投案皆已通過。 民調公司蓋洛普（Gallup）於十月公布之民調顯示，美國民眾支持大麻合法化比例，已從1969年的12%爬升至目前的60%。本次各州公投案通過後，將對美國聯邦政府近80年的大麻禁令產生極大壓力。就經濟層面觀察，美國研究機構ArcView Market Research研究報告統計，全美目前合法管道銷售大麻金額從2014年的46億美元成長至54億美元，而作為全美最大經濟體的加州，依投資分析公司Cowen and Company分析，該州本次公投案通過將使全美大麻產業成長三倍，甚至於2026年市場規模將成長至500億美元。大麻合法化後，依「加州大麻業者協會」（California Cannabis Industry Association）估計，將為加州州稅增加十億美元的收入。根據統計，此一趨勢中，推動大麻合法化一方投入約兩千兩百萬美元支持加州公投案，而反對方則投入約兩百萬美元。
美國為遏止專利濫訟通過創新法案（The Innovation Act of 2013）美國眾議院今年（2013）12月5日通過創新法案（The Innovation Act of 2013，H.R. 3309），主要目的在於填補美國發明法（Leahy-Smith America Invents Act，AIA）對於遏止專利濫訟之不足。創新法案中達成立法目標之核心手段主要有以下五個方向。 1.限縮提訴要件，要求提起專利訴訟，必須說明遭侵權之商品以及遭侵權之情形，特別是針對專利侵權之因果關係的說明，以不實施專利主體（Non-practice Patents Entity，NPE）不生產製造專利產品之特性遏止其專利濫訟。 2.訴訟費用的轉移，將相關成本轉移至敗訴方，並加諸合理之賠償費用。直接以訴訟成本之轉嫁來影響訴訟意願，然而此舉是否造成真正之專利所有者保護自身專利之障礙仍須觀察個案。 3.延遲證據開示，避免證據開示過早影響判決之結果。 4.要求專利所有者持續針對所有之專利進行資訊更新，使專利所有權透明化，以揭露NPE藉由空殼公司進行濫訟之行為。 5.創新法案另試圖使專利產品之實際製造商代替消費者面對專利侵權時相關產品之訴訟。 而眾議院通過創新法案的同時，參議院也有相類似的平行立法提案，稱為專利透明化與改進法案（The Patent Transparency and Improvement Act of 2013，S. 1720）。比較參眾兩院之法案版本後，可以發現兩者立法目的以及採取的手段均類似，主要都集中在於資訊的透明化以及訴訟成本的轉嫁，試圖藉由除去專利訴訟有利可圖的情形遏止專利濫訟的現象，但是參議院版本之法案是否真的能夠達到遏止專利濫訟之情形受到各界更多的爭議。
新加坡資料共享法制環境建構簡介新加坡資料共享法制環境建構簡介 資訊工業策進會科技法律研究所 2019年12月31日 壹、事件摘要 如何有效運用資料創造最大效益為數位經濟（Digital Economy）重點，其中資料共享（data sharing）是有效方法之一。新加坡自2018年以來推動「資料共享安排」機制（Data Sharing Arrangements, 下稱DSAs）與「可信任資料共享框架」（Trusted Data Sharing Framework），建構資料共享環境，帶動國內組織[1]資料經濟發展與競爭力。 貳、重點說明 自從2014年新加坡政府推行「2025智慧國家（Smart Nation）」以來，即積極鋪設國家數位經濟建設，大數據資料分析等數位科技發展為其重點，預估2022年60%國內生產總值將與數位經濟有關[2] 。其中，希望透過資料共享促進組織、政府、個人三方間資料無障礙流通，降低蒐集、處理與利用成本，創造更多合作機會進行創新應用，因此從法制面、環境面與技術應用層面打造完善的資料共享生態系統（data sharing ecosystem）[3]。 然而依據《個人資料保護法》（Personal Data Protection Act 2012，下稱個資法）第14條以下規定，組織蒐集、處理與利用個人資料應取得當事人同意，除非符合第17條研究目的等例外情形。由於資料共享強調可將資料進行多節點快速傳遞近用，使資料利用價值最大化，因此若依據個資法規定每次共享皆須事前獲得當事人同意，將使近用成本增高並間接造成資料流通產生障礙。因此為因應國家政策與產業需求，新加坡個人資料保護委員會（Personal Data Protection Commission, 下稱個資委員會）依據個資法第62條所賦予的豁免權（exemption），個人或組織可在遵循個資委員會訂定的規則下，依照個案給予組織免除個資法部分規範[4] ，而DSAs機制即是一種[5]。 DSAs是由個資委員會於2018年設立的沙盒（sandbox）計畫，如組織所進行的共享模式是在特定群體並範圍具體明確，同時不會造成個人有負面影響等情事，可在不須經個人同意下進行資料共享[6]。並且，為進一步提升組織與消費者間信任，2019年6月個資委員會與資訊通信媒體發展局（Info-Communication Media Development Authority of Singapore，下稱資通發展局）共同推出「可信任資料共享框架」指南建議，由政府擔任監管角色，組織只要符合指南建議方向，如遵循法律、達到一定資料技術應用品質與實施資安與個資保護措施下，可以進行個人與商業資料之共享，DSAs機制是共享方法之一。以下簡述新加坡個資法規範、指南建議與DSAs機制運作方式。 圖1：資料共享環境建構 資料來源：新加坡資通發展局 一、新加坡個人資料保護法規範 在沒有個資法第17條所列之例外情形下，依據第14條以下規定，組織如近用個人資料應獲得個人同意，同時應符合目的使用及通知義務，尤其應給予個人可隨時撤回同意之權利[7]。 同時組織應根據個人要求，提供近用個人資料之方法、範圍與內容，以及更正錯誤資料權利[8]。並且組織必須任命資料保護官（Data Protection Officer, DPO）隨時向大眾提供通暢的個資聯絡管道，來確保個資透明性與完整性[9]。 在資料保護措施上應有合理安全的資安防護技術，以保障資料不被未經授權近用的風險。當使用目的不在時，需妥善保留或予以去識別化，同時如須境外轉移資料時，境外之資料保護措施應至少與新加坡個資法規範標準相同[10]。 二、免除同意之DSAs機制 DSAs機制是由個資委員會於2018年設立的沙盒（sandbox）計畫，也就是組織可透過申請免除資料共享前必須獲得個人同意之規範。然而如組織擬向個資委員會申請DSAs機制，必須符合三個條件[11]： 共享範圍需在特定群體、期間與組織內：即只限定在具體特定的應用情境內，若超出申請範圍，例如分享至其他非申請範圍的組織，則須再經過個資委員會批准[12]。 近用目的需具體明確：即資料共享必須應用於特定且明確目的，如以「社會研究目的」作為申請則範圍過大不夠明確[13]。 近用資料對於個人不會有不利影響，或公共利益大於個人利益：例如共享目的不是直接用於銷售或存在合法利益，或是共享本身具備公共利益且明顯大於個人可預見的（foreseeable）不利影響，此時個資委員會可考慮同意組織申請免除[14]。 三、建立以信任為基礎之資料共享模式 雖然取得DSAs機制免除同意可以使資料近用方式更為簡便，然而在進行資料共享前，仍應有完善的技術品質與資安保護措施，因此在「可信任資料共享框架」指南建議中，組織應透過法律遵循、導入AI或區塊鏈等新興技術，並具備相應資安保護措施來建構可信任的資料共享環境，實際步驟可分為以下四階段[15]： 圖2：可信任資料框架 資料來源：新加坡資通發展局 第一階段為「資料共享建構」[16]，由組織自行評估存有的商業或個人資料是否具共享價值與潛在利益，並要如何進行共享，例如資料共享方式屬於雙邊（bilateral）、多邊（multilateral）或是分散式（decentralized，又稱「去中心化」）。以及資料種類有哪些，如主資料（master data）、交易資料、元資料（metadata）、非結構化資料（unstructured data）等。組織可將資料共享方式、種類依據無形資產（intangible asset）評價方式，即市場法（market approach）、成本法（cost approach）與收入法（income approach）三種評價方法進行評價，來衡量共享之價值性。除資料價值判斷外，組織必須自行評估自身組織與將來之合作夥伴是否有足夠能力管控共享之資料，包括是否具備一定技術能力的資安與資料保護措施等。 第二階段為「法律規範考量」[17]，即決定哪些資料可以進行共享，從規範面檢視個資法、競爭法與銀行法等是否有例外不得共享規定，例如信用卡號碼或個人生物識別資訊不得共享。若資料共享類型不會對個人造成不利影響或具備公共利益，並有通知（notification）個人給予選擇退出（opt-out）的機會，組織可依個案申請DSAs機制之豁免。同時另外鼓勵組織向IMDA申請資料保護信任標章（Data Protection Trustmark, DPTM）認證，透過認證機制使消費者更能信任組織運用其個人資料[18]。 第三階段為「技術組織考量」[19]，包含組織是否有能力建立資安風險管理與個資侵害之因應措施，是否有即時將資料安全備份技術，並針對不同傳輸技術如有線/無線網路、遠端存取（VPN）、應用程式介面（API）、區塊鏈等區分不同資安防護與風險管理能力。 最後一階段為「資料共享操作」，當已準備進行資料共享時，需再次檢視是否已符合前三個階段，包含透明性、責任義務、法律遵循、近用資料方式與取得目的外利用同意等[20]。 參、事件評析 個人資料視為21世紀驅動創新的重要價值，我國部會亦開始討論「個資資產化」的可能[21]。面對數位經濟時代來臨，有效運用數位科技將潛藏個人資料的大數據進行加值利用，不僅有利組織與創新發展，更可回饋消費者享有更好的產品與服務。 新加坡政府以資料共享作為數位經濟發展重點方向之一，在具備一定程度技術能力、資安保護措施與組織控管之條件下，可向主管機關申請免除個人同意之規範。透過一定法規鬆綁讓資料利用最大化以創造產業創新價值，同時依據主管機關要求的保護措施，使消費者信賴個人資料不會遭受不當利用或侵害。DSAs機制與「可信任資料共享框架」指南之建立，適時調適個人資料保護規範與資料應用間的衝突，並提供組織進行資料共享之依循建議，作為推動該國數位經濟發展方針之一。 [1]組織（organisation）依據新加坡個人資料保護法（Personal Data Protection Act 2012）第2條泛指個人、公司、協會、法人或團體。 [2]INFOCOMM MEDIA DEVELOPMENT AUTHORITY 【IMDA】, Trusted data sharing framework (2019), at 7, https://www.imda.gov.sg/-/media/Imda/Files/Programme/AI-Data-Innovation/Trusted-Data-Sharing-Framework.pdf (last visited Sep. 11, 2019). [3]id. [4]Personal Data Protection Act 2012 (No. 26 of 2012) §62, “The Commission may, with the approval of the Minister, by order published in the Gazette, exempt any person or organisation or any class of persons or organisations from all or any of the provisions of this Act, subject to such terms or conditions as may be specified in the order.” [5]Data Sharing Arrangements, PDPC, https://www.pdpc.gov.sg/Overview-of-PDPA/The-Legislation/Exemption-Requests/Data-Sharing-Arrangements (last visited Dec. 1, 2019). [6]id. [7]IMDA, supra note 2, at 31; Personal Data Protection Act 2012 (No. 26 of 2012) §14, 16, 20. [8]id. Personal Data Protection Act 2012 (No. 26 of 2012) §21. [9]IMDA, supra note 2, at 31. [10]id. at 32. Personal Data Protection Act 2012 (No. 26 of 2012) §24-26. [11]id. [12]PERSONAL DATA PROTECTION COMMISSION【PDPC】, Guide to Data Sharing (2018), at 14, https://www.pdpc.gov.sg/-/media/Files/PDPC/PDF-Files/Other-Guides/Guide-to-Data-Sharing-revised-26-Feb-2018.pdf (last revised Oct. 3, 2019). [13]id. [14]id. [15]PDPC, supra note 4. at 28. [16]id. at 21, 23-25. [17]id. at 35 [18]id. at 30. Data Protection Trustmark Certification, IMDA, https://www.imda.gov.sg/programme-listing/data-protection-trustmark-certification (last visited Sep. 26, 2019). [19]id. at 41-47. [20]id. at 50-51. [21]林于蘅，〈自己的個資自己賣！國發會擬推「個資資產化」〉，聯合新聞網，2019/06/17，https://udn.com/news/story/7238/3877400 （最後瀏覽日：2019/10/1）。