歐盟佐審官建議修正與加拿大之「航空乘客個人資料共享協議(草案)」，以維護人權
歐洲聯盟法院(CJEU)佐審官 (Advocate General ) Paolo Mengozzi 於今年(2016) 9月8日提出一份不具拘束力之「航空乘客個人資料共享協議(草案)」( European Union on the transfer and processing of passenger name record data (“PNR Agreement”)) 法律意見，認為協議應遵守歐盟憲章有關人權之基本原則。此份法律意見為歐洲聯盟法院首次就國際協議草案，檢視與歐盟憲章有關規範之一致性。
[背景]
PNR協議草案於2010年5月開始協商，2014年6月25日簽署。主要以反恐為目的讓歐盟與加拿大交換航空乘客資訊(包括旅客姓名、旅行日期、行程記錄、機票、聯繫資訊、旅行社等其他有關資訊)。除加拿大之外，歐盟亦與美國、澳洲簽有類似資料共享協議。關注到PNR協議有關隱私、人權之議題，歐盟議會將PNR協議提至歐洲聯盟法院審議。
[法律意見]
佐審官認為，協議同意在特定條件下就限定目標之乘客蒐集其敏感資訊，未違反歐盟憲章；然PNR協議草案仍有部分內容違反歐盟憲章：即草案允許歐盟、加拿大主管機關使用乘客姓名等數據，已逾越預防恐怖組織犯罪和跨國犯罪的必要範圍。
因歐洲聯盟法院去年已廢除歐盟與美國之間之安全港(Safe Harbor)法案，隨後雖起草隱私保護協議(Privacy Shield)，但仍有意見質疑隱私保護之完整性。PNR協議草案法律意見之提出，可窺歐盟關於隱私保護之立場。
- Agreement between the United States of America and the European Union on the use and transfer of passenger name records to the United States Department of Homeland Security, OJ L 215, 11.8.2012, p. 5–14
- OPINION OF ADVOCATE GENERAL MENGOZZI, Request for an opinion — Admissibility — Draft agreement between Canada and the European Union on the transfer and processing of Passenger Name Record data — ‘Passenger Name Record (PNR)’ data — Compatibility of the draft agreement with Article 16 TFEU and Articles 7 and 8 and Article 52(1) of the Charter of Fundamental Rights of the European Union — Legal basis (2016)
- Advocate General Advises Revision of PNR Agreement between EU and Canada, PRIVACY & INFORMATION SECURITY LAW BLOG, Sept. 9, 2016
林其樺
專案經理 編譯整理
Agreement between the United States of America and the European Union on the use and transfer of passenger name records to the United States Department of Homeland Security, OJ L 215, 11.8.2012, p. 5–14, http://eur-lex.europa.eu/legal-content/EN/TXT/?qid=1416915581157&uri=CELEX:22012A0811(01) (last vi1sited Sept. 30, 2016).
OPINION OF ADVOCATE GENERAL MENGOZZI, Request for an opinion — Admissibility — Draft agreement between Canada and the European Union on the transfer and processing of Passenger Name Record data — ‘Passenger Name Record (PNR)’ data — Compatibility of the draft agreement with Article 16 TFEU and Articles 7 and 8 and Article 52(1) of the Charter of Fundamental Rights of the European Union — Legal basis (2016), http://curia.europa.eu/juris/document/document.jsf?text=&docid=183140&pageIndex=0&doclang=EN&mode=req&dir=&occ=first&part=1&cid=783683 (last visited Sept. 30, 2016).
Advocate General Advises Revision of PNR Agreement between EU and Canada, PRIVACY & INFORMATION SECURITY LAW BLOG, Sept. 9, 2016, https://www.huntonprivacyblog.com/2016/09/09/advocate-general-advises-revision-pnr-agreement-eu-canada/ (last visited Sept. 30, 2016).
英國資訊委員會（Information Commissioner’s Office, 以下簡稱ICO）最近對於2014年「巨量資料與個資隱私保護報告」（Big Data and Data Protection）進行公眾意見徵集。其中有意見認為ICO過度聚焦於以取得資料當事人同意為前提，才得以進行巨量資料統計分析技術應用；且未充分認知當資料控制者（企業或組織）具合法權益（legitimate interest）時，可能得以處理個人資料的可能。意者並進一步建議當資料控制者（企業或組織）符合合法權益時，應可將個人資料用於新用途，強調這種依據合法權益所進行之資料處理，應著重於該資料控制者（企業或組織）對於個人資料的責任（accountability），而非各別取得資料當事人的同意。 對此，ICO回覆，認為巨量資料統計分析技術的應用，應在資料控制者（企業或組織）的合法權益、與資料當事人的權利、自由與合法權益間，取得平衡。依據歐盟資料保護指令（Data Protection Directive）與英國資料保護法（Data Protection Act）的規定，資料控制者（企業或組織）得於具法定依據時，處理個人資料，例如取得個資當事人的同意處理其個人資料，或資料控制者（企業或組織）具法定義務處理個人資料（例如法院命令）。除此之外，企業或組織還可以主張於其對於個人資料具合法權益（legitimate interest），主張進一步處理個人資料（新用途），除非資料處理對於資料當事人的權利、自由與合法權益造成過份偏頗（unduly prejudice）的損害。ICO亦同意，資料的應用應著重監督資料控制者（企業或組織）與加強其責任（accountability）。 ICO除再度闡明在「巨量資料與個資隱私保護報告」，資料控制者（企業或組織）必須公平且通透（transparent）地處理個人資料，對於當資料控制者（企業或組織）發現個人資料的新用途時，亦明列出得依據先前所取得之資料當事人的同意進行個人資料的各種情況。 ICO建議，資料控制者（企業或組織）應當先行檢視資料當事人是否確實同意其個人資料的處理，或該資料控制者具處理個人資料之其法定依據。再者，如果不具上述二者之一，資料控制者（企業或組織）若需將使用個人資料於新用途，則必須另行取得資料當事人的同意，始得為之。此時，必須同時評估為了新用途所為之個人資料處理，是否與資料蒐集之特定目的相容（compatible）。 至於，判斷新用途是否與個人資料蒐集與處理之特定目的相容，部分取決於個人資料處理是否公平（fair）。這意味著資料控制者（企業或組織）必須對於為新用途所為之個資處理，提出對於資料當事人隱私影響之評估，以及該個資的使用與處理，是否仍合於資料當事人的合理期待。
美國FDA發布「醫療器材單一識別碼系統」規則草案美國推動醫療器材「單一識別」（Unique Device Identification, UDI）系統已行之有年，藉由建立UDI系統，強化醫療器材錯誤回報（Adverse Event Report）以及上市後產品監督（Post-Market Surveillance）等相關資訊的流通，以保障病人的安全。2007年由美國國會所通過的《食品藥物管理法修正案》（Food and Drug Administration Amendments Act of 2007, FDAAA）第226項，修正《食品、藥物及化妝品法》（Federal Food, Drug, and Cosmetic Act , FD&C Act）新增第519項f款，提供美國食品藥物管理局（U.S. Food and Drug Administration, FDA）訂定「醫療器材單一識別系統」法規之法源基礎。另一方面，在美國國會的要求之下，FDA於2012年7月3日正式發布「醫療器材單一識別碼系統」規則草案，進行公眾預告與評論（Notice and Comment）程序。 FDA長期收集醫療器材產業、醫療社群、病人與消費者，以及產業專家之建議，而將這些建議呈現在規則草案內容中，目的在於減少廠商成本，並順利建置UDI系統，是故草案內容實採取某些公司實際使用的標準與系統經驗。FDA所發布的規則草案重點如下： 1.「單一識別碼」將分為「器材識別碼」（Device Identifier），包含特定器材的單一識別；「生產識別碼」（Production Identifier），包含器材的生產資訊。 2.將採取區分醫療器材風險程度之高低作為標準，分階段置入高風險的醫療器材的「單一識別碼系統」；低風險的醫療器材將有條件在部分或全部的規則中例外免除。 3.免除零售的非處方（Over the Counter）醫療器材適用此規範，係因這些器材尚有統一商品條碼（Universal Product Code, UPC）作為識別。 FDA宣稱，隨著系統的建置與規範的制定，絕大多數的醫療器材將必須具有統一的日期標準，包含標籤上的到期日；亦必須使UDI能夠容易閱讀，且能為系統自動識別與應用資料擷取技術，進一步成為全球UDI資料庫建置的標準。我國目前雖尚無UDI系統的相關法規範，但產業與主管機關已就相關議題進行討論，而FDA所發佈的規則草案之發展歷程，即可作為相關單位在制定法規之參考，藉此瞭解先進國家在此議題之發展，提早與先進國家之標準做接軌。
日本發布《IoT產品資安符合性評鑑制度建構方針》順應國際IoT產品資安政策趨勢日本經濟產業省於2024年8月23日發布《IoT產品資安符合性評鑑制度建構方針》（IoT製品に対するセキュリティ適合性評価制度構築方針），以順應國際IoT產品資安政策趨勢，因應日益嚴重的資安威脅。 本制度為自願性認證制度，由情報處理推進機構（情報処理推進機構，簡稱IPA）擔任認證機構進行監督。以IoT產品為適用對象，制定共通因應資安威脅之最低標準，再依不同產品特性需求，制定不同符合性評鑑等級，依評鑑結果進行認證，授予認證標章。不同評鑑等級差異如下： 1.等級一：為共通因應資安威脅之最低標準，可由供應商進行自我評鑑，並以評鑑結果檢查清單申請認證標章，IPA僅會針對檢查清單進行形式確認。 2.等級二：係考量產品特性後，以等級一為基礎，制定應加強之標準，與等級一相同係由供應商評鑑，自我聲明符合標準，IPA僅會針對檢查清單進行形式確認。 3.等級三：係以政府機關或關鍵基礎設施業者為主要適用對象，須經過獨立第三方機構評鑑，並以IPA為認證機構進行認證，確保產品值得信賴。 本制度可協助採購者及使用者依資安需求，選用合適的IoT產品，亦有助於日本與國際IoT產品資安符合性評鑑制度進行協作，達成相互承認，減輕IoT產品供應商輸出海外之負擔。
加拿大運輸部發布自駕系統測試指引2.0，為建立全國一致的實驗準則加拿大運輸部（Transport Canada）於2021年8月6日發布「自駕系統測試指引2.0」（Guidelines for Testing Automated Driving Systems in Canada Version 2.0），建立全國一致的最佳實踐準則，以指導配有自動駕駛系統（Automated driving systems, ADS）之車輛能安全地進行實驗。根據從國內外測試活動中取得的經驗及教訓，對安全措施進行更新，內容包括： 一、實驗前的安全考量：探討在開始實驗之前應考量的安全注意事項，包括（1）評估實驗車輛安全性、（2）選擇適當的實驗路線、（3）制定安全管理計畫、（4）安全駕駛員與培訓、（5）民眾溝通及提高意識、（6）確保當地執法單位及緊急應變人員瞭解實驗活動。 二、實驗中的安全管理：討論在實驗過程中應重新檢視的安全考量，包括（1）使用分級方法進行測試、（2）調整安全管理策略、（3）制定事件和緊急應變計畫與步驟、（4）安全駕駛員的角色及職責、（5）遠端駕駛員和其他遠端支援活動的安全考量、（6）在沒有安全駕駛員的情況下進行實驗、（7）與其他道路使用者的安全互動、（8）與乘客的實驗、（9）定期報告及資訊共享。 三、實驗後應注意之事項：在結束其測試活動後應考量的因素，包括報告實驗結果、測試車輛及其部件的出口或處置。如果測試車輛是臨時進口的，則在測試完成後可能需要將其銷毀或捐贈。 該測試指引僅適用於臨時實驗，而非永久的市場部署，加拿大運輸部將繼續更新該測試指引及其他文件和工具，以支持加拿大道路使用者的安全。