物聯網時代的資料保護防線－以歐盟GDPR為中心
本文為「經濟部產業技術司科技專案成果」
徐彪豪
法律研究員 編譯整理
歐盟提出現行個資保護指令規範之修正草案 科技法律研究所 2013年10月07日 壹、事件摘要 歐盟於1995年所制定之「個人資料保護指令」（Data Protection Directive，95/46/EC，下稱個資保護指令），其基本原則確保了歐盟會員國個人資料基本權利之保障，後續也成為國際相關立法時之參考依據。但由於個資保護指令制定時為框架式立法模式，歐盟各會員國仍須將相關規定內國法化，導致各會員國間對於個人資料保護標準產生差距。 貳、重點說明 一、立法緣起 歐盟現行之「個資保護指令」是第一部解決關於個人資料處理與自由流通保護之指令，主要在於提供歐盟境內關於個人資料及隱私權保護之規定。但由於該指令使各會員國之規範不具統一性，且制定之時科技尚屬發展階段。為解決科技發展與各國形成之保護差距，歐盟執委會(European Commission)在2012年1 月25 日，向歐洲理事會（European Commission）及歐洲議會（European Parliament）正式提出「一般個人資料保護規則」（General Data Protection Regulation）草案共91 條。預計於2015年施行，並取代現行個資保護指令，全面並一致性適用於各會員國。 二、關鍵改變 本次一般個人資料保護規則草案相較於現行個資保護指令，主要有資料當事人權利行使新增與強化、當事人同意要件標準提高、適用主體擴大、申訴權力強化、資料管理人資料保護責任之加重、損害賠償與相關罰則之規定等，並將各項規定更加明確化，以解決長期以來歐盟會員國間因保護水準不一所形成之衝突現象。 參、事件評析 一般個人資料規則草案提出後，歐盟與英國分別針對新規則草案進行評估。歐盟執委會認為，新規則可協助歐盟境內解決長期以來因個資法保護水準不一所形成之衝突，進而為當地企業帶來約23億歐元之效益；但英國當地卻持反面見解，認為新法將使企業提高所需擔負之行政成本，且高規格之法遵要求也使資料管理人陷入難以遵守之情況，進而影響歐盟之競爭力。國際上激烈的討論聲浪與分歧之見解，也使得該規則草案自提出至今已一年多的時間，仍未正式拍板定案。 歐盟於1995年制定之個資保護指令，自1998年生效之後，不僅在各會員國進行個資保護時扮演關鍵性角色，更為國際上個人資料保護或隱私保護之參考依據，其動向更為各國所專注與留意。而隨著時代轉變與科技演進，歐盟期許未來不只是在歐盟境內，更可將個人資料或隱私保護相關資訊與要求，擴及歐盟以外之國家，因而於2012年提出新規則草案，而後續相關發展，更值得我們持續留意跟進。
英國金融科技未來政策展望英國為眾多國家中致力發展金融科技的佼佼者，其相關政府部門-英國金融行為監理總署（Financial Conduct Authority, FCA）早於2016年即推出世界首例金融監理沙盒（Financial Regulatory Sandbox）制度，同時也與英格蘭銀行致力發展開放銀行業務、金融創新項目以及監管措施改革等等。也因為英國為金融科技提供了良好的環境以及養分，使目前英國金融科技佔全球市場總額10%，並有71%的英國公民至少接受一間金融科技公司提供服務；2020年金融科技為英國吸引了41億美元的投資，遠超德國、瑞典、法國、瑞士和荷蘭的總和。 為使英國金融科技持續成長，英國財政大臣於2020年要求針對英國金融科技現況及未來發展進行獨立性研究，該研究並於2021年2月公布。根據研究報告指出，英國金融科技正面臨下述三大問題： 其他國家紛紛仿效英國之成功模式，致使英國金融科技不再具有獨占地位。 英國脫離歐盟導致監管措施的不確定性。 新冠肺炎的來襲，迫使各國均快速發展並靈活運用金融科技，導致英國金融科技優勢地位逐漸喪失。 為了解決上述三大問題，研究報告提出了五項建議計畫： 針對政策以及監管方式之持續進步 雖然英國目前仍處於金融科技政策以及監管的領先地位，但隨著業務、科技等發展，必須確保政策以及監管方式繼續保護金融消費者，同時創造鼓勵創新和競爭的環境。因此建議的方案包含：實施新型態監理沙盒（Scalebox）；建立一個數位經濟工作小組以確保政府各部門之一致性；確保金融科技成為貿易政策的一部分。 培養人才 英國需要確保金融科技擁有充足的國內和國際人才供應，以及因為預計在2030年，英國有90%勞動者需要學習新技能，因此也需要培訓和提升現有和未來勞動力技能的方案。因此建議的方案包含：辦理針對成年人進行再培訓和提高技能之短期課程；創建一個新的簽證類型，以提高獲得全球人才的機會；為學習金融科技的學生以及創業者建立媒合平台，設置金融科技人才管道。 建立友善的投資環境 英國雖然透過私募基金成功地為英國金融科技事業募資，但英國仍應該持續加強金融科技事業從初創到公開發行的一系列融資過程，尤其是融資的後期階段。因此建議的方案包含：擴大金融科技獎勵措施以及便利金融科技事業籌資（包含：擴大研發稅收抵免額度、企業投資計畫、風險投資信託）；英國應該另行增設一個約10億英鎊之基金供金融科技發展使用；放寬英國上市公司限制（例如：雙層股權結構）；創設一個全球金融科技指數以擴大金融科技事業知名度。 與國際合作 雖然英國目前取得金融科技的成功和未來數位貿易崛起的機會，但仍應採取更多的措施用以獲得更多國際支持，這將會成為英國在脫離歐盟後針對國際開放性作出的重大表態。因此建議的方案包含：針對金融科技提出國際行動方案；推動設立金融、創新和技術中心，並成立國際金融科技工作小組；推出國際金融科技認證組合。 英國國內整合 金融科技在國家的支持下，英國各地皆分布大量的金融科技人才。為了保持英國作為金融科技中心的地位，英國須注重規模和支持區域專業，尤其是大學正在創造的重要的智慧財產權。因此建議的方案包含：培育十大金融科技重鎮，而每個重鎮均應設置一個以強化金融科技、培養專家以及增加國家競爭力為目的的三年目標；通過金融、創新和技術中心協調國內金融科技發展策略；通過進一步的投資計畫加快金融科技重鎮的發展以及成長。
英國正式提出人類組織與胚胎法草案英國可算是對人類胚胎研究最積極的國家之一，目前其胚胎相關研究係根據「人類受精與胚胎學法」（Human Fertilisation and Embryology Act 1990，HF&E Act）及「人類受精與胚胎學規則」（Human Fertilisation and Embryology (Research Purposes) Regulations 2001，Research Purposes Regulations）之規定，並授權「人類受精與胚胎學管理局」（Human Fertilisation and Embryology Authority，HFEA）加以管理。 然面對胚胎研究日益多樣化，英國健康部於今（2007）年5月正式提出「人類組織與胚胎法草案」（Human Tissues and Embryos （Draft）Bill，以下簡稱草案），期能加強現有管理體系並促進相關技術之發展，而草案特別針對體外受精（in vitro fertilization）及胚胎研究之相關規定，作一徹底檢視及翻修。 進一步觀察，胚胎儲存、胚胎篩選、精卵捐贈及主管機關均屬草案規定範圍，另近來於英國國內討論熱烈的人類動物混合胚胎議題，亦於草案中有所規定，草案准許三種類型之人類動物混合胚胎得以被製造，分別是：將動物細胞注入至人類胚胎中、將動物DNA注入至人類胚胎中及將人類細胞核植入動物卵子中等。至於人類精卵與動物精卵之結合，則是被禁止之行為。 草案後續將送交國會專門委員會審查，但由於草案涉及極為爭議的人類動物混合胚胎議題，社會輿論的壓力及保守派議員會產生何種影響，值得持續關注。
歐盟資通安全局發布《物聯網安全準則－安全的物聯網供應鏈》歐盟資通安全局（European Union Agency for Cybersecurity, ENISA）於2020年11月發布《物聯網安全準則－安全的物聯網供應鏈》（Guidelines for Securing the IoT – Secure Supply Chain for IoT），旨在解決IoT供應鏈安全性的相關資安挑戰，幫助IoT設備供應鏈中的所有利害關係人，在構建或評估IoT技術時作出更好的安全決策。 本文件分析IoT供應鏈各個不同階段的重要資安議題，包括概念構想階段、開發階段、生產製造階段、使用階段及退場階段等。概念構想階段對於建立基本安全基礎非常重要，應兼顧實體安全和網路安全。開發階段包含軟體和硬體，生產階段涉及複雜的上下游供應鏈，此二階段因參與者眾多，觸及的資安議題也相當複雜。例如駭客藉由植入惡意程式，進行違背系統預設用途的其他行為；或是因為舊版本的系統無法隨技術的推展進行更新，而產生系統漏洞。於使用階段，開發人員應與使用者緊密合作，持續監督IoT設備使用安全。退場階段則需要安全地處理IoT設備所蒐集的資料，以及考慮電子設備回收可能造成大量汙染的問題。 總體而言，解決IoT資安問題，需要各個利害關係人彼此建立信賴關係，並進一步培養網路安全相關專業知識。在產品設計上則須遵守現有共通的安全性原則，並對產品設計保持透明性，以符合資安要求。