「巨量資料應用」


  當工業的製造生產過程經過一連串自動化、產量化以及全球化之變革歷程之後,智慧工廠的發展已經成為未來各國的重點目標。生產力4.0的設計中,巨量資料(Big Data)是重要的一環,以製造業為例,傳統上將製造生產取得的數據僅用於追蹤目的使用,鮮少做為改善整體操作流程的基礎,但在生產力4.0推進之後,則轉變為如何藉由巨量資料來提升生的效率、利用多元資源的集中化與分類處理,並經過分析取得改善行動方式,使生產最佳化,再結合訂單需求預期分析,依市場變化調整製造產量,達成本控制效果。

  在我國104年9月公布之「2015行政院產力4.0科技發展方案」,亦提及智慧機械、智慧聯網、巨量資料、雲端運作等技術開發,使製造業、商業服務業、農業產品服務等,提升其附加價值。除此之外,經濟部積極規劃佈建巨量資料自主技術研發能力並且促成投資,落實應用產業智慧化與巨量資料產業化之目標。然而,巨量資料的應用因涉及大量的資料蒐集與利用,因此,未來應著重於如何將資料去辨識化,顧及隱私與個人資料之保護。目前,針對此部分,法務部將研擬個人資料保護法修正案,制訂巨量資料配套法規。

本文為「經濟部產業技術司科技專案成果」

※ 「巨量資料應用」, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=7289&no=66&tp=1 (最後瀏覽日:2025/11/21)
引註此篇文章
你可能還會想看
全球CBPR論壇成立一週年:英國成為準會員、公布部分制度文件、資策會開始受理驗證

全球CBPR論壇成立一週年:英國成為準會員、公布部分制度文件、資策會開始受理驗證 資訊工業策進會科技法律研究所 112年08月01日 「全球跨境隱私規則論壇」(Global Cross-Border Privacy Rules Forum,簡稱全球CBPR論壇)自去(2022)年成立迄今已有1年,論壇於今(2023)年7月6日宣布英國已經完成審核,成為全球CBPR的「準會員」(Associate)。除歡迎新的成員加入外,全球CBPR論壇亦陸續公布其制度文件、領導團隊名單及年度工作計畫。 全球CBPR論壇成立的目的在於建立全球性的跨境隱私驗證機制,並促進全球的資料保護與隱私執法合作[1]。此一論壇於去年4月份時,由我國、美國、日本、韓國、新加坡、加拿大與菲律賓等七個「亞太經濟合作」(Asia-Pacific Economic Cooperation, APEC)「跨境隱私規則體系」(Cross-Border Privacy Rules, CBPR)會員共同以宣言形式宣布推動成立[2],嗣後APEC CBPR剩餘的兩個會員澳洲[3]及墨西哥[4]亦陸續宣布加入。 一、公布制度文件及領導團隊 全球CBPR論壇首先於今年4月13日,該論壇宣佈成立滿1年之際,公告論壇隱私標準指導文件的「全球CBPR綱領」(Global CBPR Framework)以及規範論壇架構與會員資格的「職權文件」(Terms of Reference)等2份論壇運作的基礎文件;同時並公布其首批領導團隊名單[5]。此後,全球CBPR論壇再於6月30日時公告2023/2024年度的工作計畫[6]。 (一)全球CBPR綱領 全球CBPR綱領的制訂目的主要係為了在會員不同的管制間尋求「求同存易」的隱私方法論:期待能在尋求相同原則的管制同時,亦能尊重不同成員不同的社經背景差異[7]。 在實質內容上,全球CBPR綱領的主要內容係基於創始成員皆有參與的「APEC隱私綱領」(APEC Privacy Framework)調整,並使其內容得以與「經濟合作暨發展組織」(Organisation for Economic Cooperation and Development, OECD)的「隱私保護及個人資料跨境傳輸指引」(Guidelines on the Protection of Privacy and Trans-Border Flows of Personal Data)所涵蓋核心原則相符[8]。 全球CBPR綱領揭櫫了「全球CBPR隱私原則」(Global CBPR Privacy Principles),其內涵包含預防損害、告知、限制蒐集、個人資料利用、當事人自主選擇、個人資料完整性、安全維護、近用與更正以及責任等9個項目[9]。此些原則的內容與精神,皆與APEC CBPR隱私原則相通。此外,全球CBPR隱私綱領亦針對在各會員內部及國際間落實全球CBPR隱私原則擬定執行指南[10],作為後續全球CBPR論壇運作的指引。 (二)職權文件 職權文件主要係規定全球CBPR論壇的運作架構,包含論壇的組織架構、程序、領導團隊選任方式、工作語言的內容,同時亦會員及準會員的資格與申請、採認的程序等。 在組織架構上,全球CBPR論壇設立由所有會員組成之「全球論壇大會」(Global Forum Assembly, GFA)[11],作為論壇的最高決策機構,以共識決為基礎[12]負責論壇政策戰略之擬訂、審議年度工作計畫、設立委員會、採認各委員會提出之建議並負責領導團隊之任命[13]。全球論壇大會置主席、副主席各1人負責領導工作,主席及副主席任期均為2年,並應由不同會員之代表擔任[14]。在全球論壇大會下,為便利各項工作之推行,全球CBPR論壇設「會員委員會」(Membership Committee)、「溝通協調委員會」(Communications and Stakeholder Engagement Committee, Comms Committee)及「當責機構監督及參與委員會」(Accountability Agent Oversight and Engagement Committee, AA committee)[15]等三個委員會,各置主席1人,負責主持委員會會務,並每半年向全球論壇大會主席遞交委員會工作報告[16]。各委員會需至少有3個不同會員之參與[17]。 其中,會員委員會負責審查會員及副會員之申請,並做成審查結論及建議以遞交予大會採認,同時亦負責促進各「司法管轄區」(jurisdiction)對CBPR之認識與參與[18]。溝通協調委員會擇負責提高利害關係人對論壇之認識、維護論壇網站、文件與記錄資料庫,並針對論壇品牌之發展、維護向大會提出建議[19]。當責機構監督及參與委員會則負責與當責機構有關之任務,包含對其申請進行審查,以向大會提出准駁建議、處理針對當責機構的申訴,以及負責與當責機構溝通合作等[20]。 在會員資格部分,任何司法管轄區符合以下條件者,可申請為會員:該司法管轄區之法律體系規範符合全球CBPR綱領及全球CBPR宣言(全球CBPR論壇宣佈成立之文件)[21]所規定之原則,且至少有一隱私執法機構參與「全球隱私執法合作機制」(Global Cooperation Arrangement for Privacy Enforcement, Global CAPE)[22];同時其必須滿足以下任一條件:(1)有意採用至少一個當責機構以落實全球CBPR規範,或是(2)證明其法律體系採認全球CBPR論壇之驗證體系為有效的跨境資料傳輸機制[23]。 除會員外,職權文件另創設「副會員」資格,其可參與全球CBPR論壇之各項活動[24]、參與除會員限定會議外之論壇大會[25],並可在各委員會主席邀請的情況下,參與各委員會活動[26]。副會員需表達其支持全球CBPR綱領及全球CBPR宣言所揭示之原則、目標,該司法管轄區需有有效的保護個人資料之法律規範,且至少有一政府機構負責該法律規範之監督與執行[27]。 (三)全球CBPR論壇首批領導團隊名單 全球CBPR論壇在公布前述論壇文件時,亦公開其首批領導團隊名單。其中,全球論壇大會的主席有美國商務部的Shannon Coe 擔任,副主席由新加坡資通訊媒體發展局的Evelyn Goh 擔任[28]。Shannon Coe 曾經擔任APEC 電子商務指導小組(Electronic Commerce Steering Group)[29]、資料隱私次級小組(Data Privacy Subgroup, DPS)[30]主席,同時現在也是APEC CBPR 聯合監督小組(Joint Oversight Panel, JOP)主席[31]。Evelyn Goh亦曾為APEC CBPR 聯合監督小組成員[32]。在委員會部分,會員委員會主席由日本經產省之Makiko Tsuda擔任;溝通協調委員會主席則為菲律賓國家隱私委員會的Ivy Grace T. Villasoto;至於當責機構監督及參與委員會的主席則尚未選出[33]。 (四)年度工作計畫 全球CBPR論壇於6月30日時公布至2024年4月的年度工作計畫,其主要包含以下三個戰略目標:第一,於2023年底開始全球CBPR驗證及全球PRP(Privacy Recognition for Processors, PRP)驗證計畫;第二,擴大全球CBPR論壇之參與,包含完成會員加入所需之程序、利害關係人參與機制等,並計畫於今年秋季及2024年春季舉辦研討會(workshops);第三,持續強化論壇之運作,包含各委員會於年底前提交半年工作計畫等[34]。 二、英國成為準會員 全球CBPR論壇於7月6日發表新聞,宣布英國已經獲得接納成為論壇的準會員[35]。這是全球CBPR論壇成立後第一個申請加入的準會員,也是首個來自非原APEC CBPR會員的論壇參與者。 英國是在論壇於4月公布職權文件後,隨即於同日宣布申請加入為論壇的準會員[36]。其後歷經月餘審查,於5月份通過論壇會員委員會審查,並於6月時獲全球論壇大採認獲得準會員資格[37]。 三、資策會公告CBPR驗證文件,開始受理驗證 資策會為我國在CBPR體系驗證的唯一一個當責機構,目前亦在維運的臺灣個人資料保護與管理制度(Taiwan Personal Information Protection and Administration System, TPIPAS)網站公告CBPR驗證的標準及申請文件[38]。有意申請CBPR國際個人資料保護驗證的企業,可以前往該網站的CBPR專區,查閱驗證標準、評量問卷、驗證須知以及其他申請文件。資策會科技法律研究所期待透過以國內個人資料保護法為基礎轉化的TPIPAS以及我國正式參與的國際組織制訂的CBPR兩項個資管理驗證制度,協助提昇國內企業個資管理能力,建立受信賴的個資應用環境。 [1]About the Global CBPR Forum, Global Cross-Border Privacy Rules Forum [Global CBPR Forum], https://www.globalcbpr.org/about/ (last visited Aug. 3, 2023). [2]國家發展委員會綜合規劃處,〈我國以創始會員身分加入新設立之「全球跨境隱私規則論壇」〉,國家發展委員會,2022/04/21 17:00,https://wwwcdn.ndc.gov.tw/nc_27_35773 (最後瀏覽日:2023/08/03)。 [3]Mark Dreyfus, Australia joins the Global Cross-Border Privacy Rules Forum, The Attorney-General's Department of Australia (Aug. 17, 2022), https://ministers.ag.gov.au/media-centre/australia-joins-global-cross-border-privacy-rules-forum-17-08-2022 (last visited Aug. 3, 2023). [4]Members of the Global CBPR Forum, Global CBPR Forum, https://www.globalcbpr.org/membership/ (last visited Aug. 3, 2023). [5]Global Cross-Border Privacy Rules (CBPR) Forum Welcomes Participation by Interested Jurisdictions , Global CBPR Forum (Apr. 13, 2023), https://www.globalcbpr.org/global-cross-border-privacy-rules-cbpr-forum-welcomes-participation-by-interested-jurisdictions/ (last visited Aug. 3, 2023). [6]The Forum Releases its Annual Work Program for 2023/2024, Global CBPR Forum (June 30, 2023), https://www.globalcbpr.org/the-forum-releases-its-annual-work-program-for-2023-2024/ (last visited Aug. 3, 2023). [7]Global CBPR Forum, Global Cross-Border Privacy Rules (CBPR) Framework (2023), at 2 (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Framework-2023.pdf (last visited Aug. 3, 2023). [8]國家發展委員會法制協調處,〈全球CBPR論壇正式啟動,英國申請加入準會員 我國與各會員攜手歡迎新會員加入〉,國家發展委員會,2023/04/21 10:10,https://wwwcdn.ndc.gov.tw/nc_27_36833 (最後瀏覽日:2023/06/17)。 [9]Global CBPR Forum, Global Cross-Border Privacy Rules (CBPR) Framework (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Framework-2023.pdf (last visited Aug. 3, 2023). [10]Id. [11]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), 3.1.i. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [12]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), 3.1.iii. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [13]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), 3.1.ii. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [14]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), 4.1. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [15]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), 3.2.i. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [16]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), 6.1. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [17]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), 3.2.ii. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [18]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), 3.2.v. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [19]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), 3.2.vii. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [20]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), 3.2.vi. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [21]Global CBPR Forum, Global Cross-Border Privacy Rules (CBPR) Declaration (Apr. 21, 2022), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Declaration-2022.pdf (last visited Aug. 3, 2023). [22]由隱私執法機構組成的組織,負責在隱私執法、跨境資料保護等議題進行合作,其組織規範尚待擬訂,可參見:Organisational Structure, Global CBPR Forum, https://www.globalcbpr.org/about/organisational-structure/ (last visited Aug. 3, 2023). [23]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), Annex A 3. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [24]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), 2.2. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [25]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), 3.1.iv. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [26]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), 3.2.iii. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [27]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), Annex A 4. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [28]Global Forum Assembly Leadership, Global CBPR Forum, https://www.globalcbpr.org/about/leadership/ (last visited Aug. 3, 2023). [29]國發會綜合規劃處,〈我國申請加入 APEC 「跨境隱私保護規則」 (CBPR)體系成功通過 第一階段審查〉,《台灣經濟論衡》,第16卷第2期,頁124。 [30]張惠娟、趙文志、李葳農、林淑英、林宸均、邱映曦、王宗彥、欒中丕、賴玲玲、桂尚卿、熊力恆、劉大瑋、盧淑芫、林冠宇、王德瀛、周芷瑄、邱達生,〈出席2022年2月亞太經濟合作(APEC)數位經濟指導小組(DESG)第1次視訊會議暨相關視訊會議報告〉,行政院所屬各機關因公出國報告書,頁1(2022)。 [31]國發會綜合規劃處,前揭註29;張惠娟等,同前註,頁6。 [32]張惠娟等,前揭註30,頁6。 [33]Supra note 28. [34]Global CBPR Forum, Global Forum Assembly Annual Work Program, though April 2024 (June 30, 2023), https://www.globalcbpr.org/wp-content/uploads/GlobalCBPRForum-Annual-Work-Program-2023-2024.pdf (last visited Aug. 3, 2023). [35]The Forum Welcomes the UK as an Associate, Global CBPR Forum, https://www.globalcbpr.org/the-forum-welcomes-the-uk-as-an-associate/ (last visited Aug. 3, 2023). [36]Department for Science, Innovation and Technology(@SciTechgovuk), The UK has applied to become an Associate of the Global Cross Border Privacy Rules (CBPR) Forum, Twitter (Apr. 18 12: AM), https://twitter.com/SciTechgovuk/status/1648007670002069505 (last visited Aug. 3, 2023). [37]Supra note 35. [38]CBPR簡介,臺灣個人資料保護與管理制度,https://www.tpipas.org.tw/model.aspx?no=310 (最後瀏覽日:2023/08/03)。

淺談個人資料跨境傳輸之管理

淺談個人資料跨境傳輸之管理 科技法律研究所 2013年04月03日   由於資訊科技與全球商務型態之快速發展,企業將個人資料為跨境處理或利用的情況已相當的普遍,例如因人員的調動而傳輸個人資料至位於他國境內的關係企業、因作業委外對象位於他國境內而將個人資料傳輸至境外…等。然而,企業將個人資料為跨境處理或利用時,時常因為各地法令之不一,而面臨阻礙,進而影響其商務活動的進行。我國為一海島型國家,長年倚賴國際通商,是以,有關於個人資料跨境傳輸之課題,為有關當局所不能忽視者。本文擬就世界主要國家及機構之個人資料跨境傳輸國際合作機制精要說明,並提出我國公務機關可能採取之作法建議。 壹、事件摘要   對於個人資料跨境傳輸議題的管理,涉及了多個面向的課題,其中包括了對於各國國家主權的尊重、各國個人資料法令的不一致對於商務活動的影響、個人資料保護與國家利益的平衡…等。觀察各國與國際組織之動態,其基於政治以及經濟上利益,皆致力推動與調和國際間個人資料保護原則。   以歐盟為例,因對於人權的尊重與個人隱私的重視,歐盟所建立的跨國個人資料傳輸規範較為嚴格,而此舉對企業為個人資料之跨境處理或利用造成困擾,阻礙個人資料的自由流動。為此,歐盟採納了個人資料跨境傳輸時所需遵守之標準契約條款,以及具有拘束力之合作規則,以克服個人資料難以自由流動之困難。另一方面,觀察APEC之個人資料保護指令的內容,可以發現個人資料保護之課題受到重視係為了促進區域內電子商務活動之發展。   上述之說明更彰顯了國際組織或其他國家對於個人資料國際傳輸之重視不外乎為了經濟利益的追求、商務活動的進行,故其作法或可為重視國際通商的我國所參考。 貳、重點說明 一、歐盟對於個人資料跨境傳輸議題的管理 (一)標準契約範本之提出   歐盟執委會依歐盟個人資料保護指令第26條第4項提出標準契約範本(the Contractual Model and Standard Contractual Clauses),此標準契約範本之起草精神為,會員國簽訂標準契約後,即可不需徵求該國個人資料保護機關之准許,增進個人資料跨國傳輸之效率以及速度。雖然,此標準契約範本仍有發展空間,但國際上已有相當多國家利用該標準契約處理個人資料跨境傳輸。   目前歐盟已發展三套標準契約範本供會員國於跨境傳輸個人資料時參考,分別是2001/497/EC、2004/915/EC及2010/87/EU之標準契約附錄。依標準契約範本之內容,資料傳送者將個人資料傳輸至第三國時,縱使個人資料接收國已經採取合適的個人資料保護措施,個人資料的傳輸國仍必須採取額外的個人資料保護措施。其中,2001/497/EC與2004/915/EC主要針對會員國之資料管理者將個人資料傳輸至非會員國之資料管理者,而2010/87/EU除了針對會員國之資料管理者將個人資料傳輸至設立於非會員國之資料處理者之情形外,亦賦予當事人更廣泛之契約求償權利,亦即個人資料受侵害之當事人可採取法律行動先向個人資料傳送者請求損害賠償,若個人資料傳送者無賠償能力或發生逃避損害賠償責任之情形時,當事人可以向受個人資料進口者委託者(sub-processor)提出請求,要求就其責任範圍負擔損害賠償責任。   標準契約範本的起草與形成其實就是歐盟隱私保護原則的契約化,是以,該契約範本所定之要件過於嚴格又缺乏彈性,同時增加個人資料跨境傳輸之行政費用負擔,故傳輸以及接收個人資料之雙方不願意以標準契約條款作為其約定之內容。對於跨國傳輸個人資料之跨國企業而言,造成標準契約條款缺乏彈性的主要原因為實務上企業跨國傳輸個人資料時,不見得會設立完整傳輸系統,時常運用郵件交換、內部資料庫查詢以及內部網路等工具跨國傳輸個人資料,而標準契約條款並無法完全因應現況,故產生難以適用之情形。 (二)共同約束條款(Binding Corporate Rules)之提出   如前所述,歐盟執委會已體認到模範契約範本適用上之問題。考量到企業營運之利益,歐盟執委會增加了共同約束條款(Binding Corporate Rule, BCR)機制。BCR為歐盟工作小組依循歐盟個人資料保護指令之精神所提出,為跨國企業、團體以及國際組織於跨境傳輸個人資料至其位於其他未設有妥善個人資料保護法制制度之國家的分公司或子機構時,得以遵循之規則。   BCR建立乃是為了減少跨國組織簽署契約條款之行政負擔支出,並可以更有效率地於其集團內跨境傳輸個人資料。但,BCR僅適用在組織內部跨境移轉個人資料之情形,若是不同公司、企業或組織跨國傳輸個人資料情形時,則不適用BCR。 (三)安全港協議之簽署   為了犯罪偵查機關執行公務之目的,政府間時有合作跨傳輸個人資料之需求。以美國與歐盟為例,二者間成立高度密切聯絡小組(the High Level Contact Group)以統合處理歐盟會員國與美國政府機關就協議事項之協調事宜,同時,亦設定個人資料跨境傳輸保護之相關標準,以供歐盟及美國政府遵循之。   對於個人資料的保護,美國採取分散式之法律規範模式,此與歐盟各會員國之作法不同。此外,因為美國並未被歐盟執委會認定為具備充分(adequate)之個人資料保護措施地區,因此於個人資料跨境傳輸時,依歐盟個人資料保護指令,歐盟內之個人資料似不能傳輸至美國,除非符合其他例外情形。對此,為了弭平兩區域間因個資法規範不同所造成個資無法跨國傳輸之情形,美國商務部與歐盟執委會協議採取安全港架構,此安全港架構提供欲跨境傳輸個人資料之組織可自行評估並決定是否加入安全港架構的機制。 二、APEC亞太經濟合作組織對於個人資料跨境傳輸議題的管理 (一)資訊隱私開路者合作計畫之提出   APEC透過亞太經濟合作組織資訊隱私開路者合作計畫(APEC Data Privacy Pathfinder Projects)建立多邊隱私保護認證機制。開路者計劃之內容包含了自我評估、承諾審查、互相承認與接受、爭議解決與執行…等九項子計畫,期能夠在符合APEC隱私保護綱領之原則下,推動APEC跨境隱私保護規則(Cross-Border Privacy Rules, CBPRs)。總結來說,開路者計劃透過設計一連串的制度,提供企業經營者得以建立其內部之跨境資料傳輸規則,並且透過認證機制(Accountability Agents)之建立,使企業得以提供消費者可信之標章。 (二)APEC跨境隱私執行機制之提出   為使會員經濟體間個人資料之跨境傳輸更為流通,並且調合各國因個人資料保護法令要件不同而產生扞格之情形,APEC跨境隱私執行機制(APEC Cross-Border Privacy Enforcement Arrangement, CPEA)因應而生,而目前己加入本機制之會員經濟體,包括澳洲、加拿大、香港、紐西蘭以及美國。 (三)與其他區域之合作與整合   APEC已開始思考除了亞太地區之個人資料跨境機制之加強外,也思考如何與其他區域之跨境隱私機制進行合作或者整合,以歐盟為例,APEC思考如何將CBPRs機制與歐盟之共同約束條款作調和,以促進全球間之個人資料跨境傳輸。   2012年,APEC將依透明化、流通化、以及低成本化之目標建置更為完善之跨境傳輸個人資料制度。除了加強區域內各國對於跨境隱私系統之認識外,也希望區域內之會員經濟體可踴躍參與跨境隱私機制。 三、經濟合作與發展組織對於個人資料跨境傳輸議題的管理   經濟合作與發展組織(Organization for Economic Co-operation and Development, OECD)於1980年公佈「個人資料保護準則以及跨國資訊傳輸準則」(Recommendations of the Council Concerning Guidelines Government the Protection of Privacy and Trans-Border Flows of Personal Data),列出七項原則,包括: (一)通知(Notice):當個資被收集時,應通知當事人。 (二)目的(Purpose):資料僅得以說明之目的為使用,不得作為其他目的之使用。 (三)同意(Consent):未獲得當事人之同意時,不得揭露當事人之資訊。 (四)安全保障(Security):需保障被蒐集之資料被濫用。 (五)揭露(Disclosure):當事人應被告知誰在蒐集他們的資料。 (六)查閱(access):當事人應可查閱其個人資料並且可改正任何不精確之個人資料。 (七)責任原則(Accountability):當事人須被通知須負起個人資料蒐集使用以及管理責任者為何人。   個人資料保護準則以及跨國資訊傳輸準則表達各國整合個人資料保護原則之共識,亦可了解OECD各會員國對於消除各國間對於個人資料保護差異以及建立更有效率之跨國個人資料傳輸制度有一致性的想法。 參、事件評析   我國目前已加入APEC跨境隱私規則機制之實驗小組,希望能透過國際參與之方式,推動個人資料跨境傳輸活動,並符合國際組織之隱私保護要求。由於我國並未被歐盟執委會認定為具有合適個人資料保護措施之地區。因此,我國企業如欲從歐盟會員國之地區接收個人資料時,必須注意援用其他之機制,例如與資料傳輸者簽訂模範契約條款或者是使用共同約束條款。另外,我國可比照美國與歐盟間所建立之安全港模式,與歐盟會員國簽訂安全港協議,以符合歐盟隱私權保護指令之要求。   在國際間,我國政府除了持續參加APEC所建立之跨境傳輸機制外,對於非APEC會員經濟體之地區,建議公務機關可透過雙邊擬定安全港架構或者簽訂合作備忘錄之方式,建立與他國間之個人資料傳輸跨境合作。透過安全港架構以及合作備忘錄之簽訂,可確保雙邊之合作內容、擬定跨境傳輸之必要注意原則、建立聯絡窗口等相關機制之健全,亦可使國內須要進行個人資料跨境傳輸之企業、組織以及個人有明確之法規範可依循。

歐盟傳統作物與基因改造農作物之共存門檻制度受到歐洲法院的挑戰

  歐洲法院(European Court of Justice)於2011年9月6日作出一項指標性的判決,係針對蜂蜜或食物補充品(Food Supplement)中,若其花粉成分受到基因改造作物之污染,則無論該污染是有意或無意所造成者,未經審核前均不得任意販售。據此,蜂蜜或食物補充品的生產者得就因不得販售所產生之損失向污染源或政府求償。   該案原為德國的養蜂人認為其生產之蜂蜜中的花粉受到鄰近距離五百公尺的基因改造農作物試驗之污染,而該試驗即為巴伐利亞政府所核准之基因改造農作物試驗(1998年EU核准的MON 801 maize),故而對巴伐利亞政府提出求償。原德國法院在不能確定蜂蜜是否涵蓋在基因改造規範的情況下,轉而尋求歐洲法院的判決。   該判決等於是挑戰歐盟現有的對於傳統作物及基因改造作物共存的政策與法規(GMO, Co-Existence),歐盟就該共存的門檻標準設定在0.9%,若產品含基因改造成分0.9%以上,需標示為基因改造產品,惟標示為基因改造食品對於傳統農作物之種植可能帶來銷售上的不利。而在共存門檻之下,含有基因改造成分的傳統農作物還是有可能因含有基因改造的成分而影響銷售並帶來損失;又因在共存門檻之下,作物含有基因改造成分是無法向政府或是來源求償的。另一方面,該判決亦影響出口蜂蜜至歐盟的國家,如大量生產蜂蜜且核准種植基因改造作物的阿根廷等國家。   對於基因改造食品採取保守態度的歐盟,近年來有意將是否禁止基因改造農作物以及共存門檻的比率下放給成員國自行決定,在成員國間形成兩極化的意見,而該項提案目前雖已經歐盟議會背書,但尚未由各成員國通過。這樣的判決令共存門檻的制度形同具文,且可能會使更多國家傾向禁止種植基因改造農作物,而不利於基因改造科技的研發。

美國上訴法院營業秘密判決關於軟體功能之合理保密措施認定

  2022年3月9日美國聯邦第二巡迴上訴法院(下稱上訴法院)於Turret Labs USA, Inc. (下稱Turret) v. CargoSprint, LLC(下稱CargoSprint)案,維持紐約東區聯邦地區(下稱原審法院)的結論,駁回Turret的請求。依照上訴法院判決的結論,確認在原告主張軟體功能被盜用時,必須證明其與軟體供應商及使用者均簽訂保密協議,始符合保護營業秘密法(Defend Trade Secrets Act,DTSA)所定之營業秘密。   2021年2月Turret指控CargoSprint及其CEO,以詐欺的方式,進入其授權Lufthansa Cargo Americas(下稱Lufthansa)使用的Dock EnRoll軟體,並對於軟體的技術資訊及演算法,進行逆向工程,盜用其營業秘密。CargoSprint則抗辯Turret所主張者,不成立營業秘密。   對於軟體功能的合理保密措施認定標準,不論是原審法院及上訴法院均指出,應在於「誰被允許接觸」及「保密協議」。首先,對於「誰被允許接觸」之認定,原審法院指出Turret完全把軟體控制權委由Lufthansa,而Lufthansa使其顧客了解Dock EnRoll軟體功能。上訴法院則指出雖然Lufthansa已限制僅得貨運代理相關的使用者,能夠接觸軟體,但Turret並不能證明其與Lufthansa達成協議,由Lufthansa作出前述的軟體使用者限制。其次,對於「保密協議」之認定,不論原審法院及上訴法院均指出Turret未能證明其與Lufthansa及其他軟體使用者已簽訂保密協議。綜上所述,兩審級法院均認為Turret未採取合理保密措施。 本文同步刊登於TIPS網站(https://www.tips.org.tw)

TOP