美國聯邦交易委員會提出巨量資料報告，關注商業應用之潛在歧視性效果
美國聯邦交易委員會(Federal Trade Commission, FTC)於2016年1月6日公布「巨量資料之商業應用」報告(Big Data: A Tool for Inclusion or Exclusion? Understanding the Issues)，報告中歸納提出可供企業進一步思考之數項議題，期能藉此有助於企業確保巨量資料分析應用之正當合法性，並避免產生排除性或歧視性之對待，但同時亦能透過巨量資料之分析應用為消費者帶來最大的利益。FTC主委Edith Ramirez表示，巨量資料之重要性於商業之各領域均愈發凸顯，其對於消費者之潛在利益自是不言可喻，然企業仍應確保巨量資料之利用不會產生傷害消費者之結果。
「巨量資料之商業應用」報告經徵集公共意見與彙整相關研究後，聚焦於巨量資料生命週期的後端，亦即巨量資料被蒐集與分析之後的利用。報告中強調數種能幫助弱勢群體的巨量資料創新利用方式，例如依病患之生理特性量身訂作並提供醫療照護，或是新的消費者信用評等方式。報告同時也指出可能因為偏見或資料錯誤帶來的風險，像是信用卡發卡銀行降低某人信用額度的原因並非基於該持卡人之消費與還款記錄，而是與該持卡人被歸為「同一類型」之消費者所共同擁有之記錄與特徵。其次，報告對巨量資料於商業領域之利用可能涉及之法規進行了初步盤點，包括公平信用報告法(Fair Credit Reporting Act, FCRA)、與機會平等相關之聯邦立法—像是基因資訊平等法(Genetic Information Nondiscrimination Act, GINA)、以及聯邦交易委員會法，報告也列出7項預擬提問，協助企業因應巨量資料商業利用之法令遵循問題。
本文為「經濟部產業技術司科技專案成果」
王自雄
主任 編譯整理
Federal Trade Commission, Big Data: A Tool for Inclusion or Exclusion? Understanding the Issues, available at https://www.ftc.gov/system/files/documents/reports/big-data-tool-inclusion-or-exclusion-understanding-issues/160106big-data-rpt.pdf (last visited Mar. 7, 2016).
歐洲網路與資訊安全機構（European Network and Information Security Agency，簡稱ENISA）為了支持網路安全商品和服務進行標準化，於今年七月九日和歐洲標準化委員會（European Committee for Standardization，簡稱CEN）與歐洲電工技術標準化委員會（European Committee for Electrotechnical Standardization，簡稱CENELEC）共同簽署合作協議，來強化網路安全標準化的各項措施。 本合作協議的目的，在於能夠更有效地了解與解決網路和資訊安全標準化的議題，特別是處理和ENISA有所關連的不同訊息和通信技術（ICT）部門。本次簽署的合作協議，可視為是近來ENISA制定新法規的額外延伸，其將給予ENISA針對支持網路資訊安全（NIS）標準的發展，有更多積極的角色。本合作協議涉及的範圍包含下列情況： ‧ENISA於識別技術委員會（identified technical committees）作為觀察人，CEN與CENELEC的工作小組與講習作為支持歐洲標準的準備 ‧CEN與CENELEC評估ENISA相關的研究成果，並且將其轉化成標準化活動 ‧ENISA參與或適當地擔當依據CEN-CENELEC內部規章所組成的相關技術委員會、工作小組與講習之主席 ‧散布和促進出版物、研究結果、會議或研討會之消息流通 ‧對於促進活動與因NIS標準相關工作之商業聯繫建立和研究網絡提供相互支持 ‧針對處理攸關NIS標準活動的科技和研究議題，舉辦各項局部工作小組、會議和研討會 ‧針對共同利益確定之議題作相關資訊交換 有鑑於ENISA逐漸強調NIS標準化的相關工作，標準化不僅能改善網路安全外，更能提高所有網路安全產品與服務當面對不同網路威脅時的防禦能力。是以，我國資安主管機關是否亦需協調所有資安部門，針對網路安全技術架構研擬或規劃出相關標準化的網路威脅防範模組，則是亟需思考的問題。
澳洲隱私專員主張應從嚴認定個人資料去識別化澳洲隱私保護辦公室(Office of the Australian Information Commissioner, OAIC)專員今年(2016)4月發表聲明認為，在符合特定條件之情形下，亦即，去識別化過程符合OAIC認定之最高標準時，去識別化後之資料不適用「1988隱私法案」(Privacy Act)；澳洲企業組織目前所進行之個人資料去識別化，是否已符合「1988隱私法案」之規範要求，OAIC仍持續關注。OAIC近期準備提出去識別化認定標準之指引草案。 澳洲「1988隱私法案」揭示了「澳洲隱私原則」(Australian Privacy Principles, APPs)，就非公務機關蒐集、利用、揭露與保存設有規定，APPs第6條更明文限制非公務機關揭露個人資料，於特定情況下，APPs允許個人資料經去識別化後揭露。例如，APPs第11.2條規定，若非公務機關當初之蒐集、利用目的已消失，須以合理方式將個人資料進行銷毀或去識別化。 如非公務機關係合法保有個人資料，即無銷毀或去識別化義務；此外，若所保有個人資料屬健康資料者，因係澳洲政府機關以契約方式委託非公務機關，非公務機關亦無銷毀或去識別化義務。應注意者，APPs原則上禁止非公務機關基於學術研究、公共衛生或安全之目的，主動蒐集個人健康資料 (APPs第16B(2)條)，同時亦禁止基於學術研究、公共衛生或安全目的，就保有之個人資料進行去識別化 (APPs第16B(2)(b)條)。如非基於前述目的，且符合APPs第16B(2)條之要件者，非公務機關始得基於研究、公共衛生或安全目的蒐集個人健康資料 (APPs第95A條)。 其他如「稅號指引」(Tax File Number Guidelines)、隱私專員所提「2014隱私(財務信用有關研究)規則」(Privacy Commissioner’s Privacy (Credit Related Research) Rule 2014) 等，均就個人資料去識別化訂有相關規範。 未來以資料為導向之經濟發展，將需堅實的隱私保護作為發展基礎，澳洲去識別化個人資料認定標準之提出，以及標準之認定門檻，殊值持續關注。
梵諦岡與IBM、微軟聯合呼籲對臉部辨識等侵入性技術進行監管2020年2月28日梵諦岡教宗與兩大科技巨頭IBM及微軟聯合簽署「羅馬呼籲AI倫理道德」文件，支持制定人工智慧(AI)發展倫理與道德規範，並特別呼籲應針對臉部辨識等侵入性技術進行監管。在聯合文件上特別提及臉部識別技術潛在之濫用風險，例如警察會使用臉部辨識系統調查犯罪行為、《財富》500強公司使用AI審查求職者，這兩個例子均具有潛在且高度之風險，使用不正確或是具有偏見之AI判斷均可能會造成傷害。誠如方濟各在致辭中說：「人工智慧記錄個人資料，並使用於商業或政治目的，而且通常是在個人不知情之情況下，這種不對稱，將使少數人了解我們的一切，但我們卻對他們一無所知，這將使批判性思維和對自由的自覺變得遲鈍，不平等現象急遽擴大，知識和財富在少數人手中累積，將對民主社會構成重大風險。」 此次會議希望在國家與國際層面上共同努力促進AI道德規範，並根據以下原則來發展和使用人工智慧。第一，良好的創新：人工智慧系統必須是可理解得，並且在包容性方面必須考慮到所有人的需求，以便每個人都能受益。第二，責任：設計和實施人工智慧者必須承擔責任和保持透明度。第三，公正性：避免根據偏見進行創造或採取行動，從而維護人類平等和尊嚴。第四，可靠性：人工智慧系統必須能夠可靠的運行。第五，安全和隱私：人工智慧系統必須安全運行並尊重用戶的隱私。 目前尚不清楚其他技術公司是否會簽署該文件，以及簽署人將如何實施，但教宗與兩大科技巨頭史無前例的合作，為人工智慧未來發展方向提供遠見卓識，能更加深入的去思考AI的道德意涵以及它將如何與人類更好的合作、互動，互利共生，相輔相成。
歐洲個人資料保護委員會發布數位服務法與一般資料保護規則相互影響指引「歐洲資料保護委員會」（European Data Protection Board, EDPB）於2025年9月12日發布《數位服務法》（Digital Services Act, DSA）與《一般資料保護規則》（General Data Protection Regulation, GDPR）交互影響指引（Guidelines 3/2025 on the interplay between the DSA and the GDPR）。這份指引闡明中介服務提供者（intermediary service providers）於履行DSA義務時，應如何解釋與適用GDPR。 DSA與GDPR如何交互影響？ 處理個人資料的中介服務提供者，依據處理個資的目的和方式或僅代表他人處理個資，會被歸屬於GDPR框架下的控制者或處理者。此時，DSA與GDPR產生法規適用的交互重疊，服務提供者需同時符合DSA與GDPR的要求。具體而言，DSA與GDPR產生交互影響的關鍵領域為以下： 1.非法內容檢測（Illegal content detection）：DSA第7條鼓勵中介服務提供者主動進行自發性調查，或採取其他旨在偵測、識別及移除非法內容或使其無法存取的措施。指引提醒，中介服務提供者為此採取的自發性行動仍須遵守GDPR要求的處理合法性，而此時最可能援引的合法性依據為GDPR第6條第1項第f款「合法利益」（legitimate interests）。 2.通知與申訴等程序：DSA所規定設通報與處置機制及內部申訴系統，於運作過程中如涉及個資之蒐集與處理，應符GDPR之規範。服務提供者僅得蒐集履行該義務所必須之個人資料，並應確保通報機制不以通報人識別為強制要件。若為確認非法內容之性質或依法須揭露通報人身分者，應事前告知通報人。同時，DSA第20條與第23條所規範之申訴及帳號停權程序，均不得損及資料主體所享有之權利與救濟可能。 3.禁止誤導性設計模式（Deceptive design patterns）：DSA第25條第1項規範，線上平台服務提供者不得以欺騙或操縱其服務接收者之方式，或以其他實質扭曲或損害其服務接收者作出自由且知情決定之能力之方式，設計、組織或營運其線上介面，但DSA第25條第2項則宣示，線上平台提供者之欺瞞性設計行為若已受GDPR規範時，不在第25條第1項之禁止範圍內。指引指出，於判斷該行為是否屬 GDPR 適用範圍時，應評估其是否涉及個人資料之處理，及該設計對資料主體行為之影響是否與資料處理相關。指引並以具體案例補充，區分屬於及不屬於 GDPR 適用之欺瞞性設計模式，以利實務適用。 4.廣告透明度要求：DSA第26條為線上平台提供者制定有關廣告透明度的規範，並禁止基於GDPR第9條之特別類別資料投放廣告，導引出平台必須揭露分析之參數要求，且平台服務提供者應提供處理個資的法律依據。 5.推薦系統：線上平台提供者得於其推薦系統（recommender systems）中使用使用者之個人資料，以個人化顯示內容之順序或顯著程度。然而，推薦系統涉及對個人資料之推論及組合，其準確性與透明度均引發指引的關切，同時亦伴隨大規模及／或敏感性個人資料處理所帶來之潛在風險。指引提醒，不能排除推薦系統透過向使用者呈現特定內容之行為，構成GDPR第22條第1項的「自動化決策」（automated decision-making），提供者於提供不同推薦選項時，應平等呈現各項選擇，不得以設計或行為誘導使用者選擇基於剖析之系統。使用者選擇非剖析選項期間，提供者不得繼續蒐集或處理個人資料以進行剖析。 6.未成年人保護：指引指出，為了符合DSA第28條第1項及第2項所要求於線上平台服務中實施適當且相稱的措施，確保未成年人享有高度的隱私、安全與保障，相關的資料處理得以GDPR第6條第1項第c款「履行法定義務」作為合法依據。 7.系統性風險管理：DSA第34與35條要求超大型在線平台和在線搜索引擎的提供商管理其服務的系統性風險，包括非法內容的傳播以及隱私和個人數據保護等基本權利的風險。而指引進一步提醒，GDPR第25條所設計及預設之資料保護，可能有助於解決這些服務中發現的系統性風險，並且如果確定系統性風險，根據GDPR，應執行資料保護影響評估。 EDPB與其他監管機關的後續？ EDPB的新聞稿進一步指出，EDPB正在持續與其監管關機關合作，以釐清跨法規監理體系並確保個資保護保障之一致性。後續進一步的跨法域的指引，包含《數位市場法》（Digital Markets Act, DMA）、《人工智慧法》（Artificial Intelligence Act, AIA）與GDPR的相互影響指引，正在持續制定中，值得後續持續留意。