物聯網時代的資料保護防線－以歐盟GDPR為中心
本文為「經濟部產業技術司科技專案成果」
徐彪豪
法律研究員 編譯整理
2024年1月24日，歐盟執委會（European Commission）推出了人工智慧創新計畫（AI innovation package），支持新創公司和中小企業開發符合歐盟價值觀的人工智慧。該計畫包含以下重要事項： 1.推動歐洲高效能運算聯盟相關之法規修正案（An amendment of the EuroHPC Regulation）。 (1)歐洲高效能運算聯盟是歐盟在2018年依法(Council Regulation (EU) 2021/1173)建立之組織。依該法內容，組織主要目標是在歐盟開發、部署具有極高運算能力的運算系統，為公部門和私人提供強大的運算和資料服務，以支持科學和工業的雙重轉型。 (2)本次法規修正案為歐洲高效能運算聯盟添加了新目標，新目標為建立人工智慧工廠，以促進歐盟對人工智慧的採用和創新。目標細節包含令歐盟取得、推廣人工智慧專用的超級電腦，建立一站式服務以支持歐盟各界開發人工智慧服務、產品及應用程式等。 2.在歐盟執委會下設立人工智慧辦公室，制定歐洲層級的人工智慧政策，並監督政策執行。 3.透過跨國論壇推動以下工作： (1)藉歐洲地平線計畫、數位歐洲計畫，向試圖開發、應用人工智慧的組織提供財政支援。預估將在2027年帶來四十億歐元投資額。 (2)過教育擴張人工智慧人才庫。 (3)鼓勵政府及民眾投資人工智慧新創企業。 (4)加速開發歐洲共同資料空間，供人工智慧社群使用。 (5)支持工業生態系統及公共部門應用人工智慧。應用領域包含機器人、健康、生物技術、製造、行動設備等。 4.歐盟執委會與部分成員國組織了兩個歐洲數位基礎設施聯盟如下: (1)語言科技聯盟（ALT-EDIC）: 該聯盟主要工作之一為收集、開發歐洲各國語言模型，供公共部門、企業及未來人工智慧創新計畫使用。聯盟目標為增加歐洲語言資料可用性、維護歐洲語言及文化的多樣性。 (2)城市宇宙聯盟（CitiVERSE EDIC）: 主要目標之一是支援城市利用人工智慧，優化各項管理流程。例如交通管理方面，可利用人工智慧模擬空氣品質變化對城市交通狀況的影響，以利政府提出相應解決方案。 目前人工智慧創新計畫的下一步，是先推動歐洲高效能運算聯盟相關之法規修正案。嗣後，透過執行該計畫各項內容，執委會將為歐盟人工智慧政策的實施做好準備。執行該計畫的過程中執委會不僅會支援歐盟各國公共部門採用人工智慧，也會積極推動民間開發、應用人工智慧技術，以提升歐盟競爭力和促進歐盟的永續發展。
歐盟著作權指令實行至今未達促進網路服務成長之目的歐洲委員會委託荷蘭「阿姆斯特丹大學資訊法律學院」及倫敦「皇后瑪莉智慧財產中心」，就歐盟2001年通過之著作權指令於各會員國實行之情況與對市場之影響進行評估，並於2007年2月完成評估報告。該份報告指出，歐盟著作權指令就推動線上內容服務成長之目的僅達成少部分目標，若歐盟未來可能成為網路服務之單一市場，則本指令必須加以修改。 報告指出，部分指令內容的欠缺明確，留給各會員國極大的裁量空間於內國法排除規範之訂定與限制規範之研擬，此一情況實為該指令功能未能彰顯之重要因素。且因各會員國幾乎可完全自由決定欲採用之制度，將嚴重影響跨疆界網路內容服務的建構，尤其調和規範之欠缺，直接影響關於市場玩家提供跨疆界網路服務相關法律的明確性。而由於規範的不確定性，則迫使使用者於面臨跨疆界著作之使用時，需與每位權利人就使用受保障著作的範圍進行協商，導致交易成本之增加。另外，該指令之規範亦轉變了科技法律之態樣，推翻舊有權利平衡，而創造出偏向權利人、遠離著作使用者的規範模式，擴張的重製權賦予權利人幾乎完全的控制權力，而此一權利實非於實體世界權利人所能專享。 此份報告建議，為達成會員國規範具某程度的一致性，未來宜就該指令可附加之限制，明列簡短的必要禁止規範，各國亦可依據自身需求附加進一步的排除條款。同時建議歐洲各國可參考德國強制將數位權力管理資訊、著作使用範圍與特性於產品上附加說明之模式，作為未來規範訂定之參考。
美國公民權利辦公室就Sentara醫療機構違反個資外洩通知義務予以重罰美國衛生及公共服務部（Department of Health and Human Services, 下稱HHS）轄下的公民權利辦公室（Office for Civil Right, 下稱OCR）在2019年11月27日，正式對Sentara醫療機構處以217萬美元行政罰，主因該機構違反《健康保險可攜與責任法》（Health Insurance Portability and Accountability Act, 下稱HIPAA）的醫療個資外洩通知義務。 HIPAA是美國有關醫療個資管理的主要規範，依據HIPAA第164.400條以下「違反通知規則」（Breach Notification Rule）規定，當超過500位病患的「受保護健康資訊」（Protected Health Information, 下稱PHI）遭受不當使用或被外洩時，除應通知受害人外，還必須立即告知HHS以及在當地知名媒體發布新聞。而OCR主要負責檢查受規範機構，是否確實執行HIPAA隱私、安全和違反通知規則。 而在2017年4月，HHS收到指控Sentara將含有病患姓名、帳號、就診日期等涉及PHI的帳單發送到錯誤地址，造成557名病患個資外洩。Sentara卻認為該帳單內容未含有病患病歷、治療資訊或其他診斷紀錄，且僅有8人被影響，並非HIPAA應進行個資外洩通知義務之範疇，故不依規定程序通報HHS。不過OCR認為依HIPAA第160.103條規定，PHI包含病史、保險資訊、就醫紀錄（含日期）、身心健康狀態等可識別個人之健康資訊。因此認為Sentara確實違反個資外洩通知義務，予以罰款並命檢討改善。 Sentara醫療機構服務範圍橫跨美國維吉尼亞州（Virginia）和北卡羅來納州（North Carolina），共有12家急性照護醫院、10家護理中心和3家照護機構，為美國最具知名的大型非營利醫療機構之一。這次重罰也告誡國內醫療機構當發生敏感性醫療個資外洩時應從嚴判斷，以避免民眾對醫療照護單位失去信任，確保國內醫療機構體系應恪遵HIPAA規範。
日本發布以人為本AI社會原則日本內閣於2018年6月15日決議組成跨部會之統合創新戰略推進會議，並於2019年3月29日發布AI戰略，其中的倫理面向為以人為本之AI社會原則(下稱AI社會原則)，希冀藉有效安全的活用AI，推動「AI-Ready 社會」，以實現兼顧經濟發展與解決社會課題的「Society5.0」為最終目標。 為構築妥善應用人工智慧的社會，AI社會原則主張應尊重之價值理念如下： (一) 尊重人類尊嚴的社會：AI應作為能激發人類發揮多樣能力和創造力的工具。 (二) 多元性和包容性的社會（Diversity & Inclusion）：開發運用AI以共創多元幸福社會。 (三) 永續性的社會（Sustainability）：透過AI強化科技，以創造能持續解決社會差距與環境問題的社會。 而AI社會原則核心內容為： (一) 以人為本：AI使用不得違反憲法或國際保障之基本人權。 (二) AI知識（literacy）教育：提供必要的教育機會。 (三) 保護隱私：個人資料的流通及應用應妥適處理。 (四) 安全確保：把握風險與利益間之平衡，從整體提高社會安全性。 (五) 公平競爭確保：防止AI資源過度集中。 (六) 公平性、說明責任及透明性任。 (七) 創新：人才與研究皆須國際多樣化，並且建構產官學研AI合作平台。