日本經濟產業省公布自動駕駛後續之政策方針報告書
何亦婕
法律研究員 編譯整理
自資料流通機制建置擴大資料經濟市場 資訊工業策進會科技法律研究所 2020年03月25日 壹、事件摘要 過往，我國之資料開放政策著力於「政府資料開放」，並將之提供予民眾及企業運用。推動上，提出主動開放，民生優先、制定開放資料規範、推動共用平台及示範宣導與服務推廣四大策略，整體成效斐然，已獲國際肯認。然而，伴隨網際網路資通訊技術的發展，智慧聯網技術的進步，人工智慧（artificial intelligence, AI）、物聯網（Internet of Things, IoT）、區塊鏈、AR/VR等涉及資料運用之新興科技相繼萌芽，觸發對資料的大量需求。 特別是我國在新興科技領域之新創企業，為扣合「少量、多樣、個人化」的長尾型市場（Long Tail Market）發展趨勢，以形塑可應對少數大量應用、重視產品或服務客製化特性之商業模式[1]，資料更是驅動其成長不可或缺的石油。只是勘查我國私部門資料開放現況，首先是《個人資料保護法》等法令遵循事宜，致使企業釋出資料意願較低；次者是跨國大企業資料霸權時代下，新創、中小企業難以在資料獲取上與之競爭；其三則是即便已有資料交易管道，仍尚乏可提升資料交易透明度、信任度及品質之措施可循。是以，亟待相應措施緩解上開問題。 觀測國際間促進私部門資料釋出與流通之作法，一者係透過中介作為決定資料釋出與否之交易模式（如美國之資料仲介）；二者係回歸資料自主理念，由個人決定資料是否釋出之形式（如歐盟My Data 、日本情報銀行）。為回應上開問題，本文擇定日本以個人為出發點之資料流通措施為例，研析其促進資料交易流通所採行之制度與服務模式，期能作為我國擬訂資料經濟促進措施時，可攻錯的他山之石。 貳、重點說明 一、日本情報銀行制度建立背景 日本在資料流通與運用所面臨的挑戰，與我國同樣面臨個資法遵、資料交易信任度不足以及難與資料霸權者相競爭的困境。 據研究顯示，單以日本100家主要的線上購物網站為對象調查，即有高達一半比例的業者將用戶資料與外部各方共享而未具體向用戶明示，甚至未提供用戶拒絕提供資料的方式。由於普遍發生個人資料由營運業者蒐集後，進行目的外利用，致使在資料共用及利用上，容易因為業者未充分解釋利用之資料內容及對用戶的好處，而降低用戶同意或協力提供資料之意願[2]。此外，日本也意識到多數資訊被GAFA（Google、Apple、Facebook、Amazon）等大型網路服務業者掌控，從而壓縮日本本土業者的生存空間 [3]，為避免未來資料可能會被大型網路服務業者所壟斷，不利未來日本資通訊與數位化社會發展，日本政府認為有必要建立被個人信任的第三方制度協助處理資料，以鞏固國家資料價值發展能量。 為此，日本提出情報銀行概念，並且由總務省與經濟產業省於2017年11月至2018年4月間相繼召開6次「資料信託功能認定機制檢討會」（情報信託機能の認定スキームの在り方に関する検討会），檢討具備資料信託功能之「情報銀行」認定基準及契約建議記載事項[4]，期藉此機制形塑有利（個人）資料流通之模式[5]。 二、日本情報銀行制度介紹 （一）情報銀行架構 日本情報銀行架構係建立於其既有的PDS（Personal Data Stores）及資料交易市場平台之上。所謂PDS是由個人管理、儲存資料的機制，並可提供予第三方使用資料，還可分為由個人擁有終端載具，自行管理個人資料的分散型，以及由個人委託營運商（即提供服務之第三方）儲存與管理資料的集中型。至於資料交易市場，則係一種對供需雙方進行仲介，促使雙方通過買賣等方式進行交易之機制。是以，資料交易市場本身具有媒合之功能，但以匿名化資料及非屬個人資料為大宗。由於資料交易市場的仲介性質，須保持中立性，本身不會參與資料之蒐集、保存、處理和交易活動。 情報銀行則是自資料交易市場衍生，同時結合了PDS之特性，因此資料銀行本身會進行資料的蒐集、保存、處理和交易行為，並根據與個人簽訂之契約，利用PDS系統管理個人資料，按個人指示或其預先設定之條件管理個人資料，必要時對資料作匿名化，以提供予第三方使用。 圖 1日本個人資料交易架構 資料來源: 21世紀政策研究所，データ利活用と產業化，2018年5月。 （二）情報銀行功能－資料信託 情報銀行的建立，相當性地將顛覆過往GAFA（Google、Apple、Facebook、Amazon）公司的商業模式。 透過情報銀行機制，過往資料持有業者提供匿名加工、統計資料交易模式下，所無法克服獲取個人同意的難題將可獲得解消。情報銀行基於以個人為中心的資料活用精神，導入「資料信託」作法大幅度提升個人資料利、活用之意願。 資料信託之「信託」，並不一定係指法律上的信託概念，而是類似信託一樣的做法，係屬一種經濟關係，分別由信託人（資料主體）、受託人（資料銀行）及受益人（可能是信託人本人）所組成[6]。具體來說，信託人通過信託行為，預先指定或設定條件將其資料信託予受託人，並由受託人按信託人設定信託之目的，為其管理個人資料，並應善盡管理個人資料之義務。 情報銀行以信託方式進行個人資料管理，可能從事個人資料匿名化、協助談判交易條件、監控資料使用方式、代收和管理使用費以及支付與管理個人利益[7]等五類事項。 （三）情報銀行之驗證系統與運作機制 為確保資料流通基礎的安全性、資料流通情形揭露之透明性以及情報銀行業者之可靠性，總務省在2018年10月偕同日本IT團體聯盟組成「情報銀行推進委員會」，設計「情報信託機能驗證指引」（2018年6月發布第1版；2019年10月提出第2版）作為情報銀行驗證之基礎。只是，該驗證並不具強制性，未取得者仍可進行情報銀行之業務，僅係藉由驗證手段建立社會大眾對情報銀行之信心[8]。而就情報銀行的驗證基準，可分成業者資格、資料安全、資料治理及業務內容，分述如下： 業者資格：能擔保資料安全，具損害賠償能力的法人； 資料安全：須確保資訊安全與隱私受到足夠的保障，並定期更新隱私標章或驗證，以符合個資法與相關法規之要求； 管理體系：建立管理體系以明確管理職責，籌組「資料倫理審查會」，委員包括工程師、安全專家、法律從業者、資料倫理專家、消費者等，情報銀行並須定期向資料倫理審查會報告； 業務內容：情報銀行應明確揭示所開展業務，尤其是涉及個人資料範圍時，應揭示取得方法與使用目的。情報銀行在提供個人資料予第三方時，須明確對第三方的判斷標準、流程與使用目的。 截至2020年2月為止，日本IT團體聯盟進行了三波情報銀行認定，共三井住友信託銀行、FiliCa Pocket Marketing、J.Score、中部電力株式會社等四家業者通過情報銀行認證[9]。 除了推行建立情報銀行驗證系統外，日本總務省考量業者與資料主體間地位的不平等，以及業者在擬定資料信託契約上，或可能需要由政府提供一定程度提示，一併推出資料信託機能定型化契約應記載事項，敘明契約應涵蓋如情報銀行業務範圍、權利義務、損害賠償等內容，以明確情報銀行和個人間就資料利用之目的、範圍以及權責關係。其中，特別的是，由於日本《個人資料保護法》對於個人資料之蒐集、處理及利用係以個人同意為基礎開展，是故，在資料信託機能定型化契約應記載事項中特別就此明示情報銀行應該按照個人事前同意的範圍為個人控制資料。只是，如何解釋事前同意的範圍，整體來說，所同意的範圍必須是個人可以預測的範圍內進行解釋和操作。再者，為了確保個人資料的可控性，針對資料需求者再提供資料予其他第三人情況，強調必須就第三方和使用目的適度獲得個人同意才可為之。 值得一提的是，情報銀行必須設置「資料倫理審查委員會」諮詢體制，就情報銀行業務考量其適當性並提供建議，包含：個人與情報銀行間契約內容、使用情報銀行信託個人資料之目的、將信託資料提供予第三方之條件等[10]。 參、事件評析 一、我國現況 我國自行政院2012年第3322次院務決議推動政府資料開放以來，持續就政府資料開放不斷精進，包含2015年建置資料開放規範與相關環境[11]、2017年討論個人資料運用與政府資料開放政策，提出以民為本的「數位服務個人化（My Data）」，打造「一站式」服務措施[12]。實質上，已隱然含有回歸資料自主理念，由個人決定資料是否釋出之精神。 我國所推行之My Data服務可分為二種，一是按照個人需求，透過平台讓個人可下載自己的個人資料；二是透過線上服務授權，由民眾授權政府或民間業者取得個人資料，如醫療、戶政、教育、金融、勞健保或水電等方面之資料，再由相關領域之業者提供民眾所需的整合式個人化服務[13]。惟目前我國在My Data應用上，仍是以民眾自行下載政府機關所蒐集資料，再由民眾依其意願與需求提供予政府機關或民間企業為主，整體上，相當程度緩解《個人資料保護法》的限制，直接由資料主體釋出資料予資料利用者；藉由個人控制自己資料形式突圍資料霸權現象。但在建立資料交易透明度與信任度上，仍尚乏相應機制；在推行資料流通機制並擴大資料經濟市場之作為上，尚未有如同日本情報銀行機制等資料流通機制做為橋樑，協助弭平私部門資料流通最後一哩路之障礙。 二、我國未來制度設計方向建議 誠如前述，我國My Data機制現階段仍以公部門持有之個人資料為主，較缺乏私部門持有之個人資料。究其原因主要有三，一為業者釋出資料時，有其《個人資料保護法》等法令遵循上之成本及考量；二是社會普遍就個人資料被利用之情況的信任度不足；三則係欠缺誘因鼓勵業者或個人將資料釋出。 是以，或許如同日本情報銀行之作法，藉由可信任之第三方作為資料流通基盤，鼓勵促進個人資料加值再利用，避免私部門運用時囿於法規範而有所侷限。只是，於此必須注意日本情報銀行機制採用之資料信託，倘欲轉化為適於我國現行法規者，或需考量資料本身性質並非財產權之範疇，無法作為信託契約標的情形，而宜採行委任契約作法為妥。此外，在信任度與透明度建立上，日本通過驗證機制和資料倫理委員會的審查制度雙重管控做法，亦值得我國未來設計資料流通機制時引為借鏡。 肆、結語 有鑑於資料逐漸成為影響競爭力的重要因素，且如今大量的個人資料皆掌握在國外大型網路服務商手中，為有效提升我國業者的國際競爭力，政府或可參考日本情報銀行之模式，由民間機構分別負責驗證、擔任情報銀行之角色，並引入資料倫理審查會，透過公正之第三方審查資料流通平台業者是否公允，以促成資料經濟發展與保障個人資料之環境的形成。 [1]趙祖佑、周駿呈、涂家瑋，〈物聯網應用發展趨勢與商機─資料經濟篇〉，頁18-19（2015）。 [2]データ流通環境整備検討会，〈AI、IoT時代におけるデータ活用ワーキンググループ 中間とりまとめ〉，頁5（2017/3）。 [3]松ヶ枝優佳，〈データ主義時代の新たな銀行「情報銀行」とはなにか〉，Open Innovation Japan，2019/03/11，https://jbpress.ismedia.jp/articles/-/55684?page=4（最後瀏覽日：2020/02/19）。 [4]周晨蕙，〈日本公布資料信託功能認定指引ver1.0並進行相關實驗〉，科技法律研究所，2018/10，https://stli.iii.org.tw/article-detail.aspx?no=55&tp=1&i=156&d=8115（最後瀏覽日：2020/02/19）。 [5]情報信託機能の認定スキームの在り方に関する検討会，〈情報信託機能の認定に係る指針ver2.0〉，2019/10，https://www.soumu.go.jp/main_content/000649152.pdf（最後瀏覽日：2020/02/19）。 [6]辰巳 憲一，〈個人情報信託の経済分析～プライバシー情報を保護しながら信託で一元管理する～〉，学習院大学経済論集第48巻第2号，頁98（2011/7）。 [7]同前註。 [8]Jiji, Japan Grants Certification for First Time to ‘Information Banks’, The Japan Times (July 9, 2019), https://www.japantimes.co.jp/news/2019/07/09/business/japan-grants-certification-first-time-information-banks/#.XkymJygzZhE (last visited Feb. 19, 2020). [9]一般社団法人日本IT団体連盟，〈日本IT団体連盟、「情報銀行」認定（第１弾）を決定〉，2019/06/26，https://itrenmei.jp/topics/2019/3646/；一般社団法人日本IT団体連盟，〈日本IT団体連盟、「情報銀行」認定（第２弾）を決定〉，2019/12/25，https://www.itrenmei.jp/topics/2019/3652/；一般社団法人日本IT団体連盟，〈日本IT団体連盟、「情報銀行」認定（第３弾）を決定〉，2020/02/17，https://www.itrenmei.jp/topics/2020/3657/（最後瀏覽日：2020/02/19）。 [10]日本IT團體聯盟，「情報銀行」の推進に向けた取組みについて，2019年9月30日。 [11]國家發展委員會，〈政府資料開放〉，https://www.ndc.gov.tw/Content_List.aspx?n=9B973A5871579AC7（最後瀏覽日：2020/02/20）。 [12]國家發展委員會，〈數位服務個人化（My Data）〉，https://www.ndc.gov.tw/cp.aspx?n=8B6C9C324E6BF233&s=460617D071481C4B（最後瀏覽日：2020/02/20）。 [13]王若樸，〈國發會My Data政策未來怎麼走？學者建議應跨產業推動資料治理〉，iThome，2019/09/12，https://www.ithome.com.tw/news/133002（最後瀏覽日：2020/02/20）。
日本公布《行動通信領域的基礎設施共享，於電信事業法及電波法的適用關係指引》隨著具有高速大容量特性的第五代行動通訊（5G）技術啟用，如何促使發射射頻（Radio frequency, RF）的基地臺能夠達到小型化及多點化的目標，將是未來重要的課題。但在地理空間限制、景觀影響與法規限制等因素下，除了增設基地臺外，也可考慮「基礎設施共享」（Infrastructure Sharing）的概念。 日本總務省於2018年12月28日公布《行動通訊領域的基礎設施共享－電信事業法及電波法的適用關係指引》（移動通信分野におけるインフラシェアリングに係る電気通信事業法及び電波法の適用関係に関するガイドライン）。 本指引主要從「利用基礎設施共享，推動行動通訊網絡整備」的觀點出發，首先定義「基礎設施共享事業」之範圍與型態，其將基礎設施分為兩類，一類為土地和建物、鐵塔等工作物、另一類為電信設備（如天線、增幅器、調變器）。接著說明基礎設施分享業者在使用上述兩類基礎設施時，於電信事業法及電波法之適用。具體內容包含欲經營該事業之必要程序、業者向行動通訊業者提供基礎設施時簽訂的契約類型、提供基礎設施的條件，最後說明若行動通訊業者、電信業者等各業者間，無法就欲共享的基礎設施使用權達成共識時，相關的爭議處理流程。本指引最後亦說明各業者在使用土地和建物、鐵塔等工作物，以及電信設備時的共通措施。
歐洲藥物管理局(EMA)加強與歐洲毒品與毒癮監控中心(EMCDDA)於精神性影響藥物和藥物濫用上的資訊交換合作2010年藥物主動監視法規(pharmacovigilance legislation)要求EMA和EMCDDA必須加強在藥物產品濫用(包含不合法藥品)的資訊交換合作關係，是以，EMA和EMCDDA於今年九月初於葡萄牙里斯本相互簽署了修訂工作協議(amended working arrangement)，約定在新型精神性影響藥物與藥物濫用的面向上，加強相互間的資訊交流合作。 於EMA和EMCDDA所簽訂的修正工作協議中，雙方約定就下列領域深化資訊交換： 1.雙方需各自依照歐盟執委會2005/387/JHA決議和歐盟1235/2010號法規第28c(2)條，對於所擁有之新型精神性影響藥物與藥物濫用(包含不合法藥品)資訊進行交換合作； 2.資訊交換需透過通常基準的報告形式由EMCDDA送至EMA，並含括有關於藥物產品濫用、不合法藥物，以及新型精神性影響物質等相關資訊； 3.EMA必須通知EMCDDA有關於藥物產品濫用的有效導因(validated signals)，同時，EMA必須提供EMCDDA有關於藥物產品濫用和新型精神性影響藥品市場核准狀況的細部資訊； 4.EMA對於選定藥物產品之風險管理計畫的界定，可考量是否需先行與EMCDDA作諮詢意見交換； 5.EMA和EMCDDA在歐盟執委會2005/387/JHA決議和歐盟1235/2010號法規第28c(2)條所設基礎的合作模式下，必須要特別注意確保人類或動物健康照護並無惡化的情事，同時應確保科學建議之潛在衝突於前階段將會被界定與管理； 6.EMA和EMCDDA兩者間諮詢的進行，必須避免非關於新型精神性影響物質風險評估之科學建議的潛在衝突； 7.對於任何額外合作計畫的執行，必須考量EMA和EMCDDA兩者的例行性工作規劃； 8.對於特定計畫需要額外資源時，必須經由EMA和EMCDDA共同同意，並將同意文件附於現階段的工作協議中； 9.EMA和EMCDDA可就其各自舉辦的會議相互邀請對方，並邀請對該會議有興趣的其他團體參與； 10.對於EMA和EMCDDA間實際的合作面向，將在工作協議既定架構下繼續發展。 除了前述的適用範圍外，EMA和EMCDDA的修訂工作協議，亦有就相互諮詢和秘密資訊等領域作出約定，以確保資訊交換係在符合雙方需求與不侵害個人基本權利的情況下進行。有鑑於EMA和EMCDDA希冀藉由資源互補的強化約定，來彌補自身於精神性影響藥物和藥物濫用領域的資訊不足缺陷，是否我國在相關醫療、藥品管制或是藥品商業化資訊需有跨機關的整合機制，以促使我國在醫療、醫藥資訊交換與流通，在不侵害個人基本權利的情況下，能夠發揮互益效用，則是我國有關單位必須審慎思考的問題。
世界運動禁藥管制機構預計於 2027 實施新個人資料保護國際標準（ISDP）世界運動禁藥管制機構預計於 2027 實施新個人資料保護國際標準（ISDP） 資訊工業策進會科技法律研究所 2026年07月25日 世界運動禁藥管制機構（World Anti-Doping Agency，下稱 WADA）於 2025 年 12 月 1 日至 5 日在韓國釜山舉行第六屆世界運動禁藥管制大會，通過《2027 年世界運動禁藥管制規約》及配套的各項國際標準。大會將 2009 年施行的《隱私與個人資訊保護國際標準》（International Standard for the Protection of Privacy and Personal Information，下稱ISPPPI）更名並改版為《資料保護國際標準》（International Standard for Data Protection，下稱ISDP），預計於 2027 年 1 月 1 日生效[1]。 壹、事件摘要 ISDP 是 WADA 世界運動禁藥管制計畫下的強制性國際標準，其第 1.0 條「導論與範圍」載明，本標準由 WADA 專家參考小組納入經濟合作暨發展組織（OECD）1980 年《隱私保護及個人資料跨國流通指導綱領》、歐洲理事會《個人資料自動化處理之個人保護公約》（第 108+ 號公約）、亞太經濟合作（APEC）隱私保護綱領、《歐洲聯盟基本權利憲章》、歐盟《一般資料保護規則》（General Data Protection Regulation，下稱 GDPR），以及其他國際與區域資料保護規範及判例所擬定[2]。其目的在確保運動禁藥管制組織（Anti-Doping Organization，下稱 ADO；我國為財團法人中華運動禁藥防制基金會〔Chinese Taipei Anti-Doping Agency，CTADA〕）及其第三方代理人處理個人資料時，對運動員與運動員輔助人員採取適當、充分且有效的隱私保護。 貳、重點說明 ISDP 全文分為兩部分，第一部分為導論與範圍、規約相關條文及解釋，第二部分為個人資料處理標準，計第 4 條至第 12 條共九條，並附「附件 A：保存期間」。以下依規範定位、隱私始於設計、法律依據、資料分享與委外、安全維護，以及告知、保存與當事人權利六個層次，說明本次改版的重點與差異。 一、規範定位：以較嚴者為準 ISDP 就其與內國法的關係採「較嚴者為準」，要求高於 ADO 所在地資料保護法時，ADO 仍須遵循 ISDP（第 4.1 條）；反之內國法要求更高時，ADO 應確保其處理符合所有適用法律（第 4.2 條）。問責面向則要求 ADO 能證明其個資處理確依本標準辦理，並以相應的內部政策與程序作為證明方法（第 4.3 條）；另須指定專責人員負責遵循本標準及所有適用的隱私與資料保護法令，並將其聯絡資訊主動提供予當事人（第 4.4 條）。相較 2021 年 ISPPPI 僅要求當事人請求時提供該人員姓名與聯絡方式（2021 年版第 4.5 條），本次改版轉為主動揭露，並與第 8 條告知義務相互銜接。 二、隱私始於設計原則之操作化 本次改版新增第 5 條「落實隱私始於設計」（Implementing Privacy-by-Design），將散見的紀錄、風險評估與資料正確性義務整併： 1.在設計或改版階段及個人資料生命週期全程，評估處理活動是否符合 ISDP 第二部分各項標準，並就評估所發現的風險採行必要或適當的減輕措施，包括額外的安全控制與資料最少化等技術及組織措施（第 5.1 條）； 2.維持並更新處理活動紀錄，載明處理目的、個人資料類型、當事人類別、可能受領人類別、ADO 與受領人的角色，以及所適用的技術與組織安全措施（第 5.2 條第 a 款）； 3.評估並於必要時檢視處理所生的風險，並採行措施降低個人資料侵害及其他資料保護風險（第 5.2 條第 b 款）； 4.處理特種個人資料時，應依適用隱私與資料保護法令及本標準所定特別保障或程序辦理（第 5.3 條）； 5.採行措施確保所處理個人資料正確、完整並保持更新，對知悉不正確或不準確的個人資料應儘速更正或修正（第 5.4 條）。 三、處理的法律依據：同意非唯一，亦非絕對 ADO 處理個人資料的前提，是具備有效的法律依據，包括履行法定義務、執行公益任務、基於重大公共利益或公共衛生之必要、履行契約，或保護當事人重大利益（第 7.1 條第 a 款）；於許可範圍內亦得以當事人同意為依據（第 7.1 條第 b 款）。而且除有依據之外，處理須限於相關且相稱的目的範圍；以同意為依據者，並有其要件與例外： 1.ADO 僅得於相關且相稱的範圍內，為《規約》或各項國際標準所許可的目的，或於法律、強制法律程序所要求，或為行使、防禦法律請求所必要時，處理個人資料（第 6.1 條）；明文所列以外的處理並非一律禁止，但須進行資料保護風險評估，衡酌該處理對反禁藥工作的有效性，並採行所辨識的風險減輕措施後，始得為之（第 6.2 條）；此為 2021 年 ISPPPI 所無的新增關卡。 2.以同意為依據者，該同意須屬知情、自願、特定且明確（第 7.1 條第 b 款）；且應告知當事人拒絕同意可能招致的不利後果（第 7.2 條第 a 款）。 3.為展開或進行疑似違規的分析或調查、進行或參與相關程序、確立、行使或防禦法律請求，或遵循法律或強制法律程序所必要者，縱當事人拒絕或事後撤回同意，ADO 對其個資的處理仍可能屬必要，除適用法律另有禁止外不受影響（第 7.2 條第 b 款）。 4.以同意作為處理特種個人資料的依據時，須取得明示同意（第 7.3 條）。當事人因年齡、心智能力或法律承認的其他正當理由無法自行同意者，得由法定代理人、監護人或其他有權代理人代為同意，並代為行使第 12 條所定權利（第 7.4 條）。 四、資料分享與委外控制 ISDP 將 ADO 得與他人分享個人資料的情形限於三種：依《規約》或各項國際標準所許可的目的、依第 7 條取得當事人明示且有效的同意且不違反適用法律，或法律、強制法律程序所要求，或為確立、行使及防禦法律請求所必要（第 9.1 條）。除符合三種情形之一外，ADO 仍須遵守其他各項標準，特別是以受分享之人具知情必要、具備有效法律基礎且個人資料安全獲確保為前提，此並明文及於與執法機關、政府或其他機關的分享（第 9.2 條）。2021 年 ISPPPI 原僅就對其他 ADO 的揭露，要求受領方能證明其取得個資的權利、權限或需要（2021 年版第 8.2 條），本次改版將知情必要、法律基礎與安全確保三項要件一體適用於所有分享對象，並明文納入執法與政府機關，屬既有條文的增修與擴充。 於委由第三方代理人處理時，ISDP 要求 ADO 應選擇能就技術性與組織性安全措施提供充分保證的代理人（第 9.3 條第 a 款），並以適當的控制，包括契約與技術控制，保護所分享的個人資料，並確保代理人僅為 ADO 或在其受託、委任範圍內處理個資（第 9.3 條第 b 款）。 五、安全維護：知情必要與特種個資的更高門檻 ADO 應採行實體、組織、技術、環境等一切必要的安全保障措施，以防止個人資料侵害事件發生（第 10.1 條）；就個人資料的內部管理，ISDP 並具體要求： 1.確保近用個人資料的人員符合知情必要、與其角色職責相稱，受完全可執行的契約或法定保密義務拘束，並已就保密必要與 ADO 的政策程序接受資訊提供及訓練（第 10.2 條）； 2.安全措施應反映所處理個資的敏感程度，對特種個人資料採更高層級的安全措施，以對應其侵害對當事人所生的較高風險（第 10.3 條）； 3.發生可能重大影響個人權利利益的侵害事件時，應於知悉侵害細節後不遲延告知受影響當事人，說明侵害性質、可能的負面後果與已採或將採的補救措施，並通知依第 4.4 條指定的專責人員，並保存侵害事件、其影響與補救作為的紀錄（第 10.4 條）。 六、告知、保存與當事人權利 ISDP 於告知、保存與當事人權利面向，課予 ADO 相當細膩的義務： 1.告知事項（第 8.1 條）：涵蓋蒐集個資的 ADO 身分與依第 4.4 條指定人員的聯絡方式、可能處理的個資類型、利用目的、可能受領人類別（含 WADA 等 ADO 及可能位於運動員參賽、訓練或旅行所在他國的第三方代理人）、於適用法律許可下可能公開揭露的情形與情境（如違規處置的公開）、當事人依本標準或其他法律所享權利及行使方法、依第 12.5 條提出申訴的程序及向資料保護主管機關申訴的可能、儲存期間或其判斷標準，以及為確保處理公平所必要的其他資訊。 2.告知時點與方式（第 8.2 條、第 8.3 條）：原則上應於蒐集前或蒐集時告知；自第三方而非直接自當事人取得個資者，除他方已告知外，應儘速且不遲延告知。告知可能危及反禁藥調查或損及反禁藥程序完整性者，得例外遲延或暫停，但須適當記載理由，並於合理可行時儘速提供。告知並須以當事人易於理解的方式與格式、清晰淺白的用語為之，並斟酌其年齡、相關障礙及當地慣行與具體情境。 3.保存期間（第 11 條及附件 A）：附件 A 以「模組／資料類型」、「保存期間」、「說明」三欄呈現，並就基本與身分資料、行蹤申報、治療用途豁免（TUE）、檢測、實驗室與運動員生物護照管理單位（APMU）紀錄、結果管理、調查、教育八類紀錄模組訂定最長保存期間；落在附件 A 範圍外者，ADO 應自訂明確的保存期間或判斷標準（第 11.2 條）。個人資料一旦不再具正當理由即應刪除、銷毀或匿名化，特種個資的保存須具更強而有力的理由（第 11.3 條），並應訂定安全保存及最終銷毀或匿名化的計畫與程序（第 11.4 條）。保存期間僅於法律明文許可、法律或強制法律程序要求、有繫屬或可合理預期的違規、調查或其他法律程序、當事人明示有效同意，或附件 A 另有規定等情形，始得延長（第 11.5 條），且決定延長者須另行評估資料保護風險並採行減輕措施（第 11.6 條）。 4.賦予當事人查閱與申訴權利：當事人有於一個月內取得複本的權利（第 12.1 條），並得請求更正、封鎖或刪除（第 12.4 條）；ADO 拒絕近用應儘速以書面告知理由（第 12.3 條）；已將個資揭露予另一 ADO 者，應將更正等變更告知該組織；當事人得向 ADO 提出申訴，ADO 須訂有公平公正處理申訴的書面程序；未能妥適解決者，得通知 WADA，由 WADA 依《簽署方規約遵循國際標準》處理，且不排除當事人向有權的資料保護主管機關提出申訴，ADO 並應配合該機關調查（第 12.5 條）。 參、事件評析 運動產業的高度敏感運動員個人生物資料，正因數位科技的運用而快速累積，國際運動組織自訂資料治理規範已成常態。國際職業足球員協會（Fédération Internationale des Associations de Footballeurs Professionnels，FIFPRO）早於 2022 年 9 月即與國際足球總會（FIFA）合作發布《球員資料權利憲章》（Charter of Player Data Rights），以 GDPR 為基礎，列舉職業球員就其表現、健康及生物特徵資料所享的知情、近用、撤回同意、限制處理、可攜、更正、申訴與刪除八項權利[3]。ISDP 雖只拘束我國 CTADA 的禁藥檢測，卻是國際運動組織對標 GDPR 與最新國際個資保護規範的近期共識，適可作為運動部提供運動產業個資管理指引的藍本。 尤其，近期運動治理場域接連出現運動員個資爭議事件，歐盟法院於 2026 年 7 月 14 日就 C-474/24 案作成判決，認於網路公告違規運動員姓名、禁賽期間及理由，雖原則上不牴觸 GDPR，但公告機關須於公告前就相關利益個別權衡並符合比例原則，尤其公告期間的長度；運動員並須能於公告前向資料保護主管機關提起預防性申訴[4]；加拿大隱私專員公署（Office of the Privacy Commissioner of Canada，OPC）就 WADA 所轄運動員個資被用於性別審查一案進行調查後，於 2026 年 3 月與 WADA 簽訂合規協議，WADA 雖未承認違法，仍承諾自 2027 年 1 月 1 日起將 ADAMS 系統的運動員個資限於反禁藥目的[5]；國際奧會則於 2026 年 3 月通過女子組資格政策，自 2028 年洛杉磯奧運起，採以一次性 SRY 基因篩檢認定資格[6]。這三起爭議，分別指向告知未涵蓋公開揭露、目的外利用僅設限制而無事前風險評估、基因雖列特種個資卻缺乏依風險決定是否事前把關的機制。ISDP 所要求的隱私始於設計、處理風險評估、目的限制與分享控制，恰可作為避免同類問題的工具。 ISDP 雖是禁藥組織所訂標準，但內容面向完整、接軌國際，其隱私始於設計、處理活動紀錄、就處理風險所課予的評估義務（含《規約》與各項國際標準明文所列以外的處理及延長保存期間時的風險評估），以及附件 A 依八類紀錄模組分列保存期間與理由的保存排程，均有對應的規範。我國《人工智慧基本法》已於 2025 年 12 月 23 日經立法院三讀通過，全文 20 條，並自 2026 年 1 月 14 日總統公布日施行。該法第 4 條揭示政府推動 AI 研發與應用應遵循的七項原則，其中第 3 款要求應妥善保護個人資料隱私，尊重企業營業秘密，避免資料外洩風險，並促進非敏感資料的開放及再利用[7]。當運動與健康數據結合 AI 分析、敏感度益增，運動部作為運動產業目的事業主管機關，可循 ISDP 重點為運動員敏感生物資料建立風險導向、產業共通的個資保護制度準繩，既接軌國際標準，落實個資法監督非公務機關的要求，也呼應我國 AI 治理原則。 本文著作權屬財團法人資訊工業策進會科技法律研究所所有，如需引用或轉載，請註明出處。 本文同步刊登於TIPS網站（https://keid.nat.gov.tw/tips/） [1]World Anti-Doping Agency, 2027 International Standard for Data Protection (ISDP), at 2 (2025)（前置說明頁載明 ISPPPI 更名為 ISDP、自 2027 年 1 月 1 日生效），https://www.wada-ama.org/sites/default/files/2025-12/2027_international_standard_for_data_protection_isdp.pdf（最後瀏覽日：2026 年 7 月 25 日）；ISDP 於 2025 年 12 月 1 日至 5 日韓國釜山第六屆世界運動禁藥管制大會通過，見 WADA, 2025 World Conference on Doping in Sport, https://www.wada-ama.org/en/2025-world-conference-doping-sport-busan（最後瀏覽日：2026 年 7 月 25 日）。 [2] 同前註 1，ISDP 第 1.0 條「導論與範圍」（Introduction and Scope）；所列參考規範包含 OECD 1980 年《隱私保護及個人資料跨國流通指導綱領》、歐洲理事會第 108+ 號公約、APEC 隱私保護綱領、《歐洲聯盟基本權利憲章》、GDPR，以及歐洲人權法院 2018 年 1 月 18 日 FNASS and others v. France 判決等。 [3] FIFPRO, Charter of Player Data Rights Launched for Professional Footballers (Sept. 19, 2022), https://fifpro.org/en/supporting-players/competitions-innovation-and-growth/player-performance-data/charter-of-player-data-rights-launched-for-professional-footballers/（最後瀏覽日：2026 年 7 月 25 日）。 [4] Judgment of the Court of Justice of the European Union of 14 July 2026, Case C-474/24, NADA Austria and Others；並見 Court of Justice of the European Union, Press Release, The online publication of the names of professional athletes who have infringed anti-doping rules may be compatible with EU law (July 14, 2026), https://curia.europa.eu/site/upload/docs/application/pdf/2026-07/cp260103en.pdf（最後瀏覽日：2026 年 7 月 25 日）。 [5] Office of the Privacy Commissioner of Canada, Compliance Agreement Between the Privacy Commissioner of Canada and the World Anti-Doping Agency (Mar. 17, 2026), https://www.priv.gc.ca/en/opc-actions-and-decisions/investigations/investigations-into-businesses/2026/2026-wada-ca/（最後瀏覽日：2026 年 7 月 25 日）。 [6] International Olympic Committee, International Olympic Committee Announces New Policy on the Protection of the Female (Women's) Category in Olympic Sport (Mar. 26, 2026), https://www.olympics.com/ioc/news/international-olympic-committee-announces-new-policy-on-the-protection-of-the-female-women-s-category-in-olympic-sport（最後瀏覽日：2026 年 7 月 25 日）。 [7] 人工智慧基本法，2025 年 12 月 23 日經立法院三讀通過，總統中華民國 115 年 1 月 14 日華總一義字第 11500001671 號令制定公布，全文 20 條，自公布日施行；條文見全國法規資料庫，https://law.moj.gov.tw/LawClass/LawAll.aspx?pcode=H0160093（最後瀏覽日：2026 年 7 月 25 日）。