物聯網時代的資料保護防線－以歐盟GDPR為中心
本文為「經濟部產業技術司科技專案成果」
徐彪豪
法律研究員 編譯整理
香港立法會於今（2021）年9月29日通過《2021 年個人資料（私隱）（修訂）條例》（The Personal Data （Privacy） （Amendment） Ordinance, PDPO），並於同年10月8日實施。本次修訂主要將「人肉搜索（Doxxing）」行為訂為刑事犯罪、賦予私隱專員對肉搜進行刑事調查及要求停止批露肉搜訊息之權責。 香港政制及內地事務局今5月提議修訂PDPO ，表示這是對抗肉搜的必要手段，2019年民主抗議活動中此行徑相當普遍，許多警察及反對派人士深受騷擾。修訂訊息公開後，Facebook、Twitter及Google等科技公司即透過亞洲互聯網聯盟（AsiaInternet Coalition）表示，倘香港政府修訂PDPO ，美國企業恐因網路惡意分享個資，造成香港員工面臨刑事調查或訴追風險，因而停止在香港的服務。香港行政長官林鄭月娥為紓緩各方疑慮做出回應，表示該修訂案對阻止網路惡意散布個資而言有其必要性，受香港民眾廣泛支持，其並指出社交媒體欠缺監管，包括散播仇警訊息、違反人性行為，導致香港今年7月發生刺傷警員後再自殺的事情。 依PDPO 之修訂條文，任何人未經資料當事人同意而披露他人的個人資料，並有意圖或罔顧是否會導致當事人或其家人蒙受指明傷害，例如滋擾、騷擾、纏擾、威脅或恐嚇，或對當事人或其家人造成身體、心理傷害或財產受損，最高將處5年有期徒刑及一百萬港元罰款。 對此，亞洲互聯網聯盟表示聯盟成員反對肉搜行為，惟PDPO 修訂條文措辭含糊，位於香港的企業及員工可能因用戶肉搜行為而受到刑事調查或起訴，對企業造成不成比例且不必要之回應成本，並恐限制言論自由，單純網路分享資訊的行為亦可能被視為犯罪。聯盟甚至指出：「科技企業要避免遭受這些懲罰的唯一途徑，就是不要在香港進行投資和提供服務」。
落實資訊傳遞之流程透明與提昇效率，英國成立照護資訊標準化委員會資訊的保密機制和數據的標準化是當代的醫護過程中，相當關鍵重要的一部分，使得資訊得以安全地蒐集、記錄和交換，同時也是衛生照護系統在品質和服務管理上得以維繫的關鍵。過去英國負責處理醫療資訊交換標準的單位為「衛生和社會照護資訊標準委員會（Information Standards Board for Health and Social Care, ISB）」，負責就國家性的資料標準進行評核、統一資料標準格式，進而符合國際規範。為了因應國家治理在資訊標準、資料收集和資料提取上新的規劃，自今（2014）年4月1日起，ISB轉型為照護資訊標準化委員會（Standardisation Committee for Care Information, SCII）。 新的照護資訊標準化委員會－SCCI主要負責發展、批准並保障資訊標準、資料蒐集與資料提取。該委員會的成員組成廣泛地來自國家單位和相關衛生、照護服務組織。現階段的主要目標為標準化醫院和家庭醫生之間的醫療資訊交換，將醫療資訊標準提升至國家層級，透過該委員會的運作來監督、改善照護服務、照護系統和資訊的處理方式，進而達到流程公開和運作透明。以下為ISB轉型為SCCI之主要原因： 1、2012衛生和社會照護法（Health and Social Care Act 2012）之規定，該法§250賦予衛生部長和NHS England（英國國家健康服務）發布資訊標準的權力； 2、NHS成立新的國家資訊委員會（National Information Board, NIB），該委員會前身為資訊服務調查小組（Information Services Commissioning Group, ISCG），主要針對衛生和社會照護提供國家層級的資訊服務整合規劃，以確保資訊標準統一，使得不同IT系統間得以相互傳輸、驅動更多整合服務給人民。SCCI即隸屬於NIB，負責識別、調查和完整執行資訊標準、資料蒐集和提取。 3、衛生部於2012年發布衛生和照護系統的10 年資訊策略（ten year information strategy for the health and care system）。
歐盟議會通過「視訊媒體服務指令」歐盟議會於2007年5月24日正式通過「視訊媒體服務指令」 (Audiovisual Media Service Directive) 以取代原有的「電視無國界指令」(Television Without Frontiers Directive)。新指令對於視訊媒體服務的規範不僅包括傳統的電視服務，尚擴及至透過電腦網路及隨選服務系統等傳輸的視訊媒體服務。此外，新指令要求視訊服務提供者必須向閱聽人揭露置入性行銷手法的運用。 有關新指令是否應適用於播客(podcasting)與網路上非商業活動性質影片(如網路使用者上傳至YouTube網站上的短片)的爭辯。歐盟媒體委員會強調，新指令之主要目的雖在於將所有新興電視服務業納入規範，但並不是涵蓋所有在網路上播放的視訊媒體內容。執行長Viviane Reding認為新指令為視訊服務供應者奠定一個有利的競爭架構，以避免因過多的管制而妨礙電視技術與服務之匯流發展。 新指令具有幾項重要特點，首先是擬透過單一完整的法律架構規範所有視訊媒體服務業，以降低監管成本；其次，擬定現代化的電視廣告管理規則，以改善視訊媒體節目製作的資金籌措管道；最後，其他諸如鼓勵媒體服務供應者致力於提昇視覺與聽力障礙者的近用能力亦是本指令所重視者。 據新指令之規定，歐盟會員國有兩年時間將新指令落實為國內法，預期於2009年底在歐洲全面適用。
歐盟日前開始適用非個資之資料流通規則歐盟於2018年11月間通過Regulation (EU) 2018/1807，即促進非屬個人資料（下簡稱個資）之資料流通規則（下簡稱規則），藉以促進歐洲單一數位市場之規模經濟，並於2019年05月28日開始適用，據此，歐盟執委會亦因應該規則而頒布指引（COM(2019) 250 final），以釐清規則與GDPR之互動關係。 該規則開宗明義表示其制定係為了促進非屬個資之資料（下稱資料）流通，即其適用範圍包含（1）提供予歐盟境內之用戶使用，或（2）在歐盟境內之人依其需要所衍生者等資料，但排除GDPR第4條所定義之個資，故不排除GDPR之適用可能，申言之，若資料集中同時含有資料與個資，則流通則應分別適用本規則及指引（資料部份）與GDPR（個資部份）。 此外，為有效達成資料流通，各個歐盟成員國原則上禁止作出資料在地化要求（Data Localisation Requirements），例外僅於公共安全之前提下，且有充分的理由，方得做出合比例性之要求，並於單一資訊網站上即時更新資料在地化要求之清單，不過至遲在2021年05月30日前，成員國須確認其境內之相關規範已無前開例外之資料在地化要求。 又，為使歐盟各成員國就資料流通之無礙溝通，各成員國應設單一聯繫窗口，而在（1）歐盟相關規定或（2）國與國間不具特定合作機制，致成員國無法取得資料之近用權限時，該成員國之單一聯繫窗口得向資料所屬成員國之單一聯繫窗口發出協助請求，並附上請求之原因說明與近用資料之法律依據。 綜上，本規則及其指引與GDPR及其相關規定，對於資料與個資等流通分別建構出穩固的法律系統與環境。