智慧城市－美國最新政策發展
美國政府在2015年9月14日發布，將投入超過1.6億美元（約台幣50億元）於新的「智慧城市計畫」（Smart Cities Initiative）。透過中央政府的研究，以及全美國超過二十個城市的合作，來共同著手城市主要面臨的問題，包含：減緩交通阻塞、對抗犯罪問題、促進經濟成長、對於氣候變遷影響的管理、改善城市服務的遞送問題等。此戰略主要有四個策略方案：（一）創造「智慧聯網」應用的試驗平台，並發展新的多部門合作模式；（二）致力於城市科技相關的活動，並打造城市之間的合作；（三）善用現有的中央政府資源；（四）追求國際間合作。
而在十月份，美國白宮公佈由國家經濟委員會（National Economic Council）與國家科學與技術政策辦公室（Office of Science and Technology Policy）共同完成的「美國創新戰略」（A Strategy for American Innovation）中，明確地指出美國國家的突破重點領域為：解決國家及全球性的挑戰（Tackling Grand Challenges）、精密醫療、健康照護、先進的運輸工具、智慧城市、乾淨能源與能源效率、教育科技等面向。此戰略報告係延續美國白宮於2011年，由相同組織單位所完成的「美國創新戰略－確保經濟發展與繁榮」（A Strategy for American Innovation – Securing Our Economic Growth and Prosperity），其中列舉出國家的目標政策為：能源改革、生物科技、太空探索、醫療健康與教育科技。相較下，十月份甫公佈的美國「創新戰略」則更明確的將「智慧城市」之發展設為重點政策。
美國政府將投入協助芝加哥（Chicago）「科技計畫」（Tech Plan）中的子計畫－「城市感測器專案」（Array of Things, AoT），發展當地下一代智慧聯網的基礎設施，包括運用內建Wi-Fi的感測器裝置路燈，使其能夠有照明的基本功能外，還能蒐集諸如人潮流量、天氣、濕度、空氣品質、亮度、聲音大小等數據。
在此戰略推動之下，美國主要之智慧城市發展的實例，如匹茲堡（Pittsburgh）的前導計畫（pilot project），係藉由交通網絡之間的交通號誌整合，得以優化地區性的交通吞吐量，讓平均降低將近百分之二十五的交通時間。另外，在肯塔基州（Kentucky）的最大城市－路易斯維爾（Louisville），利用具有感測功能之哮喘吸入器所蒐集的資料，統整出哮喘發生的「熱點」，以及空氣品質等級等其他環境因素，作為該州政府政策制定參考依據。
歐盟委員會（European Commission）於 2025年2月3日因應將於2025年9月12日施行的資料法（Data Act），就其常見問題說明進行補充與更新為1.2版（Frequently Asked Questions on the Data Act，下稱FAQs），以協助企業面對資料法施行後的挑戰。 於新版FAQs中就資料法進行補充說明，以助企業了解資料法之適用範圍，就資料法所稱之聯網裝置與服務，聯網裝置泛指可以連上網路的裝置，包含智慧型手機，並僅限於由使用者所擁有的聯網裝置，另就聯網服務則須具備雙向資料傳遞且須與聯網產品的操作功能有影響之服務。 就資料持有者有義務提供之資料適用範圍，僅限於聯網裝置與相關服務所產出的原始資料與預處理資料（原始但可用），資料持有者就原始資料或預處理資料進行加值所產生資料，如經分析所產生之衍生資料、經投入重大資源進行清理之資料等，則不在共享義務之範圍內，另就資料的內容有其他法律保護亦不在資料法的範疇中，如網路攝影機之照片/影片有受著作權法保護係屬於資料內容，網路攝影機之使用模式/電池狀態/照明強度等資料才是資料法所規範之資料，惟須留意若影像之內容非屬著作權保護之標的，如網路攝影機因具感測功能而自動就影像判斷是否異常現象或提供建議，此類影像因不具人類創意而不受著作權保護，仍屬資料法所涵蓋範圍。 於FAQs之解釋中，就資料法實際操作與預期有所差異，歐盟委員會後續亦會整合與數位資料相關之法規，如建立資料聯盟策略（Data Union Strategy），以助於企業促進數位資料的使用與共享。國內廠商若有提供歐盟客戶相關聯網設備與服務時，須留意內部資料管理制度能否滿足資料法要求，確保組織有因應相關法規議題的變化進行制度的變更，如何將外部議題與資料管理制度連結，可參資策會科法所創意智財中心就數位資料管理機制所公布之《重要數位資料治理暨管理制度規範（EDGS）》，將組織營運所在國別之法規範變動納入關注之外部議題，並設定對應之資料政策與目標，建立符合法令規範之資料管理制度，如是否得以識別為資料法所適用之資料等，以確保組織資料管理機制符合法令要求。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
歐盟資料保護工作小組修正通過個人資料侵害通報指引歐盟資料保護工作小組修正通過「個人資料侵害通報指引」 資訊工業策進會科技法律研究所 法律研究員 李哲明 2018年3月31日 壹、事件摘要 因應歐盟「通用資料保護規則」（The General Data Protection Regulation，或有譯為一般資料保護規則，下簡稱GDPR）執法即將上路，針對個人資料侵害之通報義務，歐盟資料保護工作小組（Article 29 Data Protection Working Party, WP29）特於本（2018）年2月6日修正通過「個人資料侵害通報指引」（Guidelines on Personal data breach notification under Regulation 2016/679），其中就GDPR所規範個資侵害之定義、對監管機關之通報、與個資當事人之溝通、風險及高風險評估、當責與紀錄保存及其他法律文件所規定之通報義務等，均設有詳盡說明與事例。 貳、重點說明 一、何謂個資侵害？個資侵害區分為哪些種類？ 依據GDPR第4條（12）之定義，個資侵害係指：「個人資料因安全性之侵害所導致意外或非法之毀損、喪失、修改、未經授權之揭露、存取、個資傳輸、儲存或其他處理。」舉例來說，個人資料之喪失包括含有控制者（controller）顧客資料庫的備份設備之遺失或遭竊取。另一例子則為整份個資的唯一檔案遭勒索軟體加密，或經控制者加密，但其金鑰已滅失。依據資訊安全三原則，個資侵害之種類區分為： 機密性侵害（Confidentiality breach）：未經授權、意外揭露或獲取個人資料。 完整性侵害（Integrity breach）：未經授權或意外竄改個人資料。 可用性侵害（Availability breach）：在意外或未經授權之情況下，遺失個人資料存取權限或資料遭銷燬。 二、何時應為通知？ 按GDPR第33條（1）之規定，當個資侵害發生時，在如果可行之情況下，控制者應即時（不得無故拖延）於知悉侵害時起72小時內，依第55條之規定，將個資侵害情事通報監管機關。但個資侵害不會對自然人之權利和自由造成風險者，不在此限。倘未能於72小時內通報監管機關者，應敘明遲延之事由。 三、控制者「知悉」時點之判斷標準為何？ 歐盟資料保護工作小組認為，當控制者對發生導致個人資料侵害的安全事件達「合理確信的程度」（reasonable degree of certainty）時，即應視為其已知悉。以具體事例而言，下列情況均屬所謂「知悉」： 在未加密個人資料的情況下遺失USB密鑰（USB Key），通常無法確定是否有未經授權者將獲致存取資料權限。即使控制者可能無法確定是否發生機密性侵害情事，惟仍應為通知，因發生可用性侵害之情事，且已達合理確信的程度。 故應以控制者意識到該密鑰遺失時起為其「知悉」時點。 第三人通知控制者其意外地收到控制者的客戶個人資料，並提供該揭露係未經授權之證據。當侵害保密性之明確證據提交控制者時，即為其「知悉」時點。如：誤寄之電子郵件，經非原定收件人通知寄件者之情形。 當控制者檢測到其網路恐遭入侵，並針對其系統進行檢測以確認個人資料是否遭洩漏，嗣後復經證實情況屬實，此際即屬「知悉」。 網路犯罪者在駭入系統後，聯繫控制者以索要贖金。在這種情況下，控制者經檢測系統並確認受攻擊後，亦屬「知悉」。 值得注意的是，在經個人、媒體組織、其他來源或控制者自我檢測後，控制者或將進行短暫調查，以確定是否發生侵害之事實。於此調查期間內所發現之最新侵害情況，控制者將不會被視為「知悉」。然而，控制者應儘速展開初步調查，以形成是否發生侵害事故之合理確信，隨後可另進行更詳盡之調查。 四、共同（聯合）控制者之義務及其責任分配原則 GDPR第26條針對共同控制者及其如何確定各自之法遵義務，設有相關規定，包括決定由哪一方負責遵循第33條（對主管機關通報）與第34條（對當事人通知）之義務。歐盟資料保護工作小組建議透過共同控制者間之契約協議，約明哪一方係居主要地位者，或須負責盡到個資侵害時，GDPR所定之通知義務，並載於契約條款中。 五、通報監管機關與提供資訊義務 當控制者通報監管機關個資侵害情事時，至少應包括下列事項 （GDPR第33條（3）參照）： 敘述個人資料侵害之性質，包括但不限於所涉之相關個資當事人、個資紀錄及其類別、數量。 傳達資料保護長（DPO）或其他聯絡人之姓名與聯絡方式，俾利獲得進一步資訊。 說明個資侵害可能之後果。 描述控制者為解決個資侵害業已採取或擬採行之措施，在適當情況下，酌情採取措施以減輕可能產生之不利影響。 以上乃GDPR要求通報監管機關之最基本事項，在必要時，控制者仍應盡力提供其他細節。舉例而言，控制者如認為其處理者係個資侵害事件之根因（root cause），此時通報並指明對象即可警示委託同一處理者之其他控制者。 六、分階段通知 鑒於個資事故之性質不一，控制者通常需進一步調查始能確定全部相關事實，GDPR第33條（4）爰設有得分階段通知（notification in phases）之規定。凡於通報時，無法同時提供之資訊，得分階段提供之。但不得有不必要之遲延。同理，在首次通報後之後續調查中，如發現該事件業已受到控制且並未實際發生個資侵害情事，控制者可向監管機關為更新。 七、免通報事由 依據GDPR第33（1）條規定，個資侵害不會對自然人之權利和自由造成風險者，毋庸向監管機關通報。如：該遭洩露之個人資料業經公開使用，故並未對個人資料當事人構成可能的風險。 必須強調的是，在某些情形下，未為通報亦可能代表既有安全維護措施之缺乏或不足。此時監管機關將可能同時針對未為通報（監管機關）或通知（當事人），以及安全維護措施之缺乏或不足，以違反第33條或（及）34條與第32條等獨立義務規定為由，而依第83條4（a）之規定，併予裁罰。 參、事件評析 一、我國企業於歐盟設有分支機構或據點者，宜指派專人負責法遵事宜 揆諸GDPR前揭規定，當個資侵害發生時，控制者應即時且不得無故拖延於知悉時起72小時內，將個資侵害情事通報監管機關。未能履踐義務者，將面臨最高達該企業前一會計年度全球營業額之2%或1千萬歐元，取其較高者之裁罰。我國無論金融業、航運業、航空運輸業、電子製造業及進出口貿易業者等，均或有於歐盟成員國境內或歐洲經濟區（European Economic Area）當地設立子公司或營業據點。因此，在GDPR法遵衝擊的倒數時刻，指派具瞭解GDPR規定、當地個資隱私法遵規範、擅長與隱私執法機構溝通及充要語言能力者專責法遵業務實刻不容緩。蓋此舉可避免我國企業母公司鞭長莫及，未能及時處置而致罹法典之憾。 二、全面檢視個資業務流程，完備個資盤點與風險評鑑作業，掌握企業法遵現況 企業應全面檢視業務流程，先自重要核心業務中析出個資作業流，搭配全面個資盤點，並利用盤點結果進行風險評鑑，再針對其結果就不同等級之風險採行相對應之管控措施。此外，於全業務流程中，亦宜採行最小化蒐集原則，避免蒐集過多不必要之個人資料，尤其是GDPR所定義之敏感個資（如：種族、民族血統、政治觀點、宗教信仰、哲學信仰、工會會員資格等個人資料，及遺傳資料的處理，用於識別特定自然人之生物識別資料、健康資料、性生活、性取向等）或犯罪前科資料，俾降低個人資料蒐集、處理、利用、檔案保存及銷燬之全生命週期流程中的風險。此舉亦契合我國個人資料保護法第5條所揭櫫之原則。 三、立法要求一定規模以上之企業須通過個資隱私法遵第三方認（驗）證，並建置認證資訊公開平台 鑒於國際法遵衝擊以及隱私保護要求之標準線日漸提升，我國企業除自主導入、建置並維運相關個資保護與管理制度以資因應，更有賴政府透過法令（如：修正個人資料保護法）強制要求一定規模以上之企業通過第三方專業驗證，俾消弭風險於日常準備之中。蓋我國具一定規模以上企業，無論其係屬何種業別，一旦違反國際法遵要求，遭致鉅額裁罰，其影響結果將不僅止於單一企業，更將嚴重衝擊該產業乃至於國家整體經貿發展。職是，採法律強制要求企業定期接受獨立、公正及專業第三方認（驗）證，咸有其實益性與必要性。
歐盟發布新版「向第三國傳輸個人資料標準契約條款」歐盟執委會以（EU）2021/914號執行決定（Implementing Decision）所發布的新版「向第三國傳輸個人資料標準契約條款（New Standard Contractual Clause for the transfer of personal data to third countries，下稱SCC）」已於9月27日起正式取代舊版條款。 新SCC發布於2021年6月27日，旨在滿足歐盟法院（the Court of Justice of the European Union, CJEU）以2020年7月Schrems II判決所訂定之資訊保護需達「足夠充分（substantially sufficient）」標準。該版SCC為因應不同情境之跨境資料傳輸，而設計採取4種模組之規範條款供涉及歐盟境外之第三方資料傳輸者（控制者與接收者）依循參採，包括： 規範模組一：從資料控制者（Data Controller）到資料控制者的資訊傳輸（Transfer from controller to controller, C2C） 規範模組二：從資料控制者到資料處理者（Data Processor）的資料傳輸（Transfer from controller to processor, C2P） 規範模組三：從資料處理者到資料處理者的資料傳輸（Transfer from processor to processor, P2P） 規範模組四：從資料處理者到資料控制者的資料傳輸（Transfer from processor to controller, P2C） 本次執行決定亦設立了轉換期以利各方進行合規審查與契約調整：雖然舊版已於2021年9月27日廢止不再適用，原已適用舊版SCC之契約，至遲仍得實施至2022年12月27日止。（亦即新版SCC公佈後的18個月內）。 在此執行決定下，歐洲資料保護委員會 （European Data Protection Board）亦發布「關於如何確保對個人資料傳輸採取適當保護措施建議（Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data）」釐清GDPR「傳輸影響評估（Transmission Impact Assessment, TIA）之機制流程 。 隨著資通科技之快速崛起跨境個資傳輸已成為企業常態，而此種現象近期甚至在交通自動化的科技發展下逐漸擴及交通業別，其中全球航運和物流公司在全球範圍內傳輸個資，其中甚至包括用於履行和營銷目的之乘客資料、員工個人資料和客戶業務聯繫資訊等敏感個資已成為常態，應儘速因應相關法制之發展，解決全球範圍內快速發展的隱私合規問題。