「美國FTC處罰mHealth App不實廣告」
美國聯邦貿易委員會(Federal Trade Commission，以下簡稱FTC)在2016年2月針對一款宣稱能矯正視力之Ultimeyes App處罰。此款App由Carrot Neurotechnology公司研發，以美金9.99元於平台上販售供民眾下載。App宣稱具有提升及改善視力功能，透過App使用即可在日常生活中的各種活動中，感受視力恢復而不需使用眼鏡。然而，FTC起訴認為，App所稱之使用療效，缺乏充分的文獻資料佐證說明。其必須具備完整及可信賴的科學證據來證明，包含臨床試驗或盲測等方式，且該科學證明必須符合相同領域專家所認定之標準，否則，該款App內容所標榜之效果即屬不實陳述，將造成民眾誤認。為此，Carrot Neurotechnology公司最終以美金15萬達成和解，並且經FTC要求，若將App說明當中未經科學證明的療效部份予以刪除，即可繼續再繼續販售此款App。此案並非美國FTC首度針對mHealth App處罰之案例，然而，可能造成mHealth App發展業者對FTC與FDA角色之間之混淆，後續兩者主管機關之間之角色如何調和將是未來關注之重點。反觀我國，目前雖無相關案例發生，然在鼓勵發展之際，亦應考量是否有違反消費者保護之情形。
本文為「經濟部產業技術司科技專案成果」
莊晏詞
法律研究員 編譯整理
2010年，美國聯邦政府展開「聯邦政府風險與授權管理計畫」（Federal Risk and Authorization Management Program，FedRAMP），在經過2年的研究與整備後，聯邦政府總務管理局於2012年06月06日宣佈FedRAMP正式運作。 FedRAMP是由國土安全部、聯邦政府總務管理局、國防部、國家安全局以及國家科技研究所共同撰寫及建置。該計畫的目的是建立一套全國政府機關可遵循依據，針對雲端服務的風險評估、授權管理的標準作業規範。 根據FedRAMP，雲端服務業者欲通過該計畫的評估，其評估程序可分為提出申請、檔案安全控管、進行安全測試、完成安全評估等四個階段。未來所有雲端產品與服務業者，都必須達到該計畫的標準規範，才能為美國政府機關提供雲端產品及服務。 對於雲端服務業者的評估，必須經由FedRAMP認證的第三方機構來進行審查，第三方評估機構欲通過認證，除了要符合FedRAMP的需求外，還必須具備雲端資訊系統的評估能力、備妥安全評估計畫、以及安全評估報告等，另外亦同時引進了ISO/IEC17020以及ISO/IEC17011之規定，來驗證檢驗機構的品質與技術能力。目前為止，聯邦政府總務管理局已經公佈十個獲得授權的機構。 聯邦政府總務管理局同時並期待在2012年的年底之前，能夠有三個雲端服務提供者通過審查，然而，由於制度才剛上路不久，是否能夠跟上產業變遷的腳步並順利達成目標，仍有待進一步觀察。
南韓個資保護委員會發布人工智慧（AI）開發與服務處理公開個人資料指引南韓個資保護委員會（Personal Information Protection Commission, PIPC）於2024年7月18日發布《人工智慧（AI）開發與服務處理公開個人資料指引》（인공지능(AI) 개발·서비스를 위한 공개된 개인정보 처리 안내서）（以下簡稱指引）。該指引針對AI開發與服務處理的公開個人資料（下稱個資）制定了新的處理標準，以確保這些資料在法律上合規，且在使用過程中有效保護用戶隱私。 在AI開發及服務的過程中，會使用大量從網路上收集的公開資料，這些公開資料可能包含地址、唯一識別資訊（unique identifiable information, UII）、信用卡號等個資。這些公開的個資是指任意人可藉由網路抓取技術自公開來源合法存取的個資，內容不限於個資主體自行公開的資料，還包括法律規定公開的個資、出版物和廣播媒體中包含的個資等。由於公開資料眾多，在現實中很難在處理這些公開個資以進行AI訓練之前，取得每個個資主體的單獨同意及授權，同時，南韓對於處理這些公開個資的現行法律基礎並不明確。 為解決上述問題，PIPC制定了該指引，確認了蒐集及利用公開個資的法律基礎，並為AI開發者和服務提供者提供適用的安全措施，進而最小化隱私問題及消除法律不確定性。此外，在指引的制定過程中，PIPC更參考歐盟、美國和其他主要國家的做法，期以建立在全球趨勢下可國際互通的標準。 指引的核心內容主要可分為三大部分，第一部分：應用正當利益概念；第二部分：建議的安全措施及保障個資主體權利的方法；及第三部分：促進開發AI產品或服務的企業，在開發及使用AI技術時，注意可信任性。 針對第一部分，指引中指出，只有在符合個人資料保護法（Personal Information Protection Act, PIPA）的目的（第1條）、原則（第3條）及個資主體權利（第4條）規定範圍內，並滿足正當利益條款（第15條）的合法基礎下，才允許蒐集和使用公開個資，並且需滿足以下三個要求：1.目的正當性：確保資料處理者有正當的理由處理個資，例如開發AI模型以支持醫療診斷或進行信用評級等。2.資料處理的必要性：確保所蒐集和利用的公開資料是必要且適當的。3.相關利益評估：確保資料處理者的正當利益明顯超越個資主體的權利，並採取措施保障個資主體的權利不被侵犯。 而第二部分則可區分為技術防護措施、管理和組織防護措施及尊重個資主體權利規定，其中，技術防護措施包括：檢查訓練資料來源、預防個資洩露（例如刪除或去識別化）、安全存儲及管理個資等；管理和組織防護措施包括：制定蒐集和使用訓練資料的標準，進行隱私衝擊影響評估（PIA），運營AI隱私紅隊等；尊重個資主體權利規定包括：將公開資料蒐集情形及主要來源納入隱私政策，保障個資主體的權利。 最後，在第三部分中，指引建議AI企業組建專門的AI隱私團隊，並培養隱私長（Chief Privacy Officers, CPOs）來評估指引中的要求。此外，指引亦呼籲企業定期監控技術重大變化及資料外洩風險，並制定及實施補救措施。 該指引後續將根據PIPA法規修訂、AI技術發展及國際規範動向持續更新，並透過事前適當性審查制、監管沙盒等途徑與AI企業持續溝通，並密切關注技術進步及市場情況，進而推動PIPA的現代化。
從間諜軟體談起 日本經產省發布「新創企業的經濟外溢效果」調查摘要為了解2022年公布《新創企業發展五年計畫》（スタートアップ育成5か年計画）（下稱新創計畫）後之情形，日本經濟產業省（簡稱經產省）針對新創企業造成之影響進行調查，於2024年7月22日發布「新創企業之經濟外溢效果」（スタートアップによる経済波及効果）調查摘要（下稱調查摘要），簡述如下： 1.新創企業之經濟貢獻：新創計畫期望透過新創企業提昇產業競爭力，並提供青年就業機會，故積極進行人才培育與輔導創業。根據調查摘要，自新創計畫執行後日本新創企業所創造之國內生產毛額（Gross Domestic Product, GDP）為10.47兆日元（約新台幣2.1兆元），若包含外溢效果（Spillover Effect）則為19.39兆日元（約新台幣3.88兆元），並創造52萬個就業機會。 2.新創企業改變經濟結構之潛力：根據調查摘要，過去10年間日本新創公司併購案件增長22%，顯示其經濟實力提升；且新創公司中女性主管的比例增加，亦顯示其可改善日本女性職場地位。 3.創投資金注入引發新創企業之外溢效果：新創計畫鼓勵創投公司投資新創企業，由於擁有更多之週轉資金，與未接受創投的企業相比，接受創投的企業在擴大就業和創新方面表現更佳。新創計畫推動後，目前日本創投對新創公司之投資金額增加7.8倍（70%之新創公司獲得創投公司投資），並創造13.94兆日元（約新台幣2.8兆元）之GDP。