美國NSF研究基金申請之利益衝突管理機制簡介
財團法人資訊工業策進會科技法律研究所
法律研究員 吳建興
106年07月17日
壹、事件摘要
國家科研計畫投入大量資金研發,旨在產出符合一定品質之研究成果,而無論其研究成功與否,需具備研究成果之客觀中立性[1]。為達成此目的,研究計畫申請時(含產學研究計畫),申請研究單位需已建立財務利益衝突管理機制,確保其研究人員能避免因其自身財務利益,而影響國家科研計畫所資助之研究客觀成果。以美國National Science Foundation Awards(以下簡稱:NSF)研究基金為例,NSF要求申請機關就其執行研究人員需揭露重大財務利益,並具備相關〈利益衝突管理機制〉[2]。以下將根據the NSF Proposal & Award Policies & Procedures Guide[3] (以下簡稱:PAPPG)簡介此機制內容及運作方式。
貳、NSF研究基金下財務利益衝突管理機制之特色
一、機制首重事前(Ex ante)揭露、審查及管理
美國NSF研究基金之機制,首重利益衝突管理,除非有不能管理之利益衝突存在,否則不會影響研究基金之申請。申請單位於NSF研究基金申請前即需管理利益衝突,主要參與研究計畫之人員,需事前揭露重大財務利益,並由申請機關審查有否利益衝突存在,若認定有財務利益衝突時,需提出管理利益衝突方法。
二、執行計畫研究人員需受利益衝突教育訓練義務。
NSF研究基金依據聯邦法規[4]規定,要求申請NSF研究基金之研究機關需在其計畫書中載明單位如何使參與研究人員接受教育訓練,明瞭何謂負責之研究行為(Responsible Conduct of Research:簡稱RCR),亦即如何避免研究上發生重大財務利益衝突行為。
三、重大財務利益[5]揭露需超越一定門檻
程序上需定義何為需揭露之重大財務利益,包括揭露主體、時機及揭露關係人範圍,以下分述之。
揭露主體:符合聯邦基金計畫下定義之主要研究計畫主持人(All Principal Investigators, Project Directors,Co- Principal Investigators)或其他負責研究計畫之設計、執行及報告之研究人員[6]。皆有填寫一份NSF財務揭露表單之義務。
揭露時機:於提出研究計畫書予NSF研究基金時,相關研究計畫主持人即需提交所需財務揭露表,而於執行計畫期間,研究計畫主持人或其配偶及同居人及未成年子女,仍有揭露新重大財務利益之義務[7]。
揭露關係人範圍:前揭揭露主體之配偶及同居人及未成年子女之所有超過美金一萬元之重大財務利益或持有受研究計畫影響公司之所有權利益超過百分之五皆須申報揭露。
NSF研究基金下所謂之重大財務利益概念係指[8]:
四、專人審查利益揭露及利益衝突需具備直接及重大性
NSF研究基金規定申請機關得指派一人或多人審查財務揭露[11]並認定是否存在利益衝突,審查型式可以委員會型式[12]呈現或由研究機關指派大學內院長等專人為之,無硬性規定。
關於如何認定重大財務利益衝突存在,NSF研究基金規定若審查人合理認定重大財務利益(SFI)可直接(Directly)或重大(Significantly)影響由NSF所資助研究計畫之設計、執行及報告時,即可認為存在利益衝突[13]。
五、利益衝突管理措施具多樣性,非只有當事人迴避一途
當審查人認定有利益衝突存在,審查人可決定採取限制措施或條件,以管理、降低及移除利益衝突[14]。其可能採取管理措施計包括但不限於:對公眾揭露重大財務利益、獨立審查人控管研究計畫、更改研究計畫、斷絕產生利益衝突關係、脫離重大財務利益及不參與研究計畫[15]。
參、事件評析
(一)美國NSF研究基金制度於有利益衝突時首重衝突管理,而目前臺灣科研計畫無所謂管理利益衝突概念,而採事前一律迴避義務[16]。
我國在研究計畫申請時就已採當然迴避規定,並要求計畫主持人及共同人主持人填寫利益迴避聲明書[17],但就研究執行期間發生利益衝突情況之處理方式並無規定[18]。
以今年2017科技基本法修法通過後為例,其立法意旨雖明確指出擬規範技術移轉的利益迴避,〈讓科研過程更加透明,以避免學研機構及人員在技轉時不慎踩線違法〉[19],然而此利益迴避機制仍是針對研發成果管理後端之技轉過程為利益迴避審查,尚未導入研發階段之利益衝突管理機制。目前子法的修訂仍正在進行中,且公布草案中有要求執行研究發展單位於其研發成果管理機制,建立技術移轉的〈利益迴避管理機制〉,惟對於研發前端的〈利益衝突管理機制〉仍未如NSF基金有一樣之制度建立[20]。
(二)目前臺灣對前端科研計畫之申請並無要求執行機關需對參與研究人員有財務利益衝突認識之教育與訓練
雖就目前科研計畫申請無要求,然在今年2017科技基本法修正後,在其子法預計要求執行研究發展單位需導入針對研發後端之技術移轉時所涉及利益迴避為教育訓練[21]。
(三)臺灣科研研究計畫申請前,仍需在研究前端導入利益衝突管理機制,目前修法僅預計在觸及技轉新創公司時,在研究成果管理機制中新增〈利益迴避管理機制〉,是從研究成果後端導入機制。
近年來,產學合作研究增加研究機關與產業之互動,然而此互動關係也漸趨複雜。為不影響產學研究成果之科學上之客觀性,研究計畫之財務利益衝突管理也需為適時調整。惟有加強此產學合作關係上透明性,確保利益衝突規範之遵行,且加強執行單位之自我監控,做好利益衝突管理及主責機關之監督,方可避免因日漸複雜的產學合作關係,使得其合作成果受到質疑[22]。若申請單位本身能提出財務利益衝突管理方法,落實預防性保護措施,自能保證研究成果之客觀性。
為達前述科研成果之客觀性,此利益衝突管理之導入時機,需在研發前端為之,也就是在研發申請前,執行研究發展單位就需為利益衝突管理。
臺灣似可參考NSF研究基金作法,由於其出自另一種思維,除消極防弊外,更積極將重大財務利益事前發現及揭露,並於揭露後判斷是否會直接及重大影響研究成果,若為肯定,則採行適當管理措施以減輕,消弭或管理利益衝突,達到研究成果客觀性目的。此項利益衝突管理思維,可為如何思考改進現行我國在研發計畫申請時只採當然迴避機制為參考。
[1]指科研計畫不受研究人員利益衝突而影響研究成果之科學上真實性。
[2] 本文用〈利益衝突管理機制〉文字來指稱NSF基金所設立之模式,在認定有重大利益衝突時,需採取一定措施來管理、減輕及移除利益衝突,迴避只是其中一種管理手段,與另一種〈利益迴避管理機制〉模式有所不同,該機制雖有利益揭露,及專人審查,然其審查結果只導向當事人需不需迴避之結果,無採取其他管理措施可言。
[3] Proposal & Award Policies & Procedures Guide, National Scence Foundation, https://www.nsf.gov/pubs/policydocs/pappg17_1/sigchanges.jsp (Last visited, June 14, 2017)
[4]其法源依據為:Section 7009 of the America Creating Opportunities to Meaningfully Promote Excellence in Technology, Education, and Science (COMPETES) Act (42 USC 1862o–1)
[5] Significant Financial Interest:以下簡稱SFI
[6]A. Conflict of Interest Policies, 2., PAPPG, https://www.nsf.gov/pubs/policydocs/pappg17_1/pappg_9.jsp (Last visited, June 14, 2017)
[7] 參NSF之財務揭露表
[8] 原文請參照:‘The term "significant financial interest" means anything of monetary value, including, but not limited to, salary or other payments for services (e.g., consulting fees or honoraria); equity interest (e.g., stocks, stock options or other ownership interests); and intellectual property rights (e.g., patents, copyrights and royalties from such rights).’. 參A. Conflict of Interest Policies, 2., PAPPG, https://www.nsf.gov/pubs/policydocs/pappg17_1/pappg_9.jsp (Last visited, June 14, 2017)
[9]原文請參照:‘A.2.e. an equity interest that, when aggregated for the investigator and the investigator’s spouse and dependent children, meets both of the following tests: does not exceed $10,000 in value as determined through reference to public prices or other reasonable measures of fair market value, and does not represent more than a 5% ownership interest in any single entity;’由此段文字反推而出。 https://www.nsf.gov/pubs/policydocs/pappg17_1/pappg_9.jsp (Last visited, June 14, 2017)
[10]原文請參照:‘A.2.f. salary, royalties or other payments that, when aggregated for the investigator and the investigator’s spouse and dependent children, are not expected to exceed $10,000 during the prior twelve-month period.’由此段文字反推而出。 https://www.nsf.gov/pubs/policydocs/pappg17_1/pappg_9.jsp (Last visited, June 14, 2017)
[11] A. Conflict of Interest Policies, 4. PAPPG, https://www.nsf.gov/pubs/policydocs/pappg17_1/pappg_9.jsp (Last visited, June 14, 2017)
[12] 加州柏克萊大學設有利益衝突委員會而史丹佛大學則由學院長指定專人審查。
[13] 原文為:‘‘A conflict of interest exists when the reviewer(s) reasonably determines that a significant financial interest could directly and significantly affect the design, conduct, or reporting of NSF-funded research or educational activities.’’ A. Conflict of Interest Policies, 4. supra note 6.(黑體字為本文所強調)
[14]原文為:‘‘4.An organizational policy must designate one or more persons to review financial disclosures, determine whether a conflict of interest exists, and determine what conditions or restrictions, if any, should be imposed by the organization to manage, reduce or eliminate such conflict of interest.’’ A. Conflict of Interest Policies, 4. supra note 6. (黑體字為本文所強調)
[15] A. Conflict of Interest Policies, 4. supra note 6.
[16]參科技部補助產學合作研究計畫作業要點第一章通則之六、(迴避規定)以下。
[17]參科技部補助產學合作研究計畫書第三頁, https://www.most.gov.tw/folksonomy/list?menu_id=4dda1fd8-2aa9-412a-889b-9d34b50b6ccd&l=ch(最後瀏覽日:2017/06/14)
[18] 經查科技部補助產學合作研究計畫作業要點無相關規定。
[19] 黃麗芸,〈科技基本法三讀,行政教職可兼新創董事〉,中央社,2017/05/26, https://finance.technews.tw/2017/05/26/administrative-staff-can-be-start-up-company-director/ (最後瀏覽日:2017/07/17)
[20]請參照科技部公告〈政府科學技術研究發展成果歸屬及運用辦法部分條文修正草案對照表〉內修正條文第五條第三項之四、利益迴避、資訊揭露管理:受理資訊申報、審議利益迴避、公告揭露資訊 等程序,並落實人員、文件及資訊等保密措施。及修正條文第五條之一及修正條文第五條之二等相關條文。 https://www.most.gov.tw/most/attachments/61706f66-80b1-4812-9d6a-3fb140ab21f9 (最後瀏覽日:2017/07/17) (粗體字為本文強調所加)。
[21]請參照科技部公告〈從事研究人員兼職與技術作價投資事業管理辦法部分條文修正草案對照表〉內修正條文第七條學研機構應就依本辦法之兼職或技術作價投資設置管理單位,訂定迴避及資訊公開之管理機制,包括設置審議委員會、適用範圍、應公開揭露或申報事項、審議基準及作業程序、違反應遵行事項之處置、通報程序及教育訓練等。 https://www.most.gov.tw/most/attachments/db227464-b0f8-4237-ae7c-d6eb712ff3f7 (最後瀏覽日:2017/07/17)(黑體字為本文強調所加)。
[22] 參美國聯邦衛生部(HHS)於2011年修改旗下PHS之研究基金申請規則之背景說明(42 CFR part 50, subpart F and 45 CFR part 94 (the 1995 regulations), that are designed to promote objectivity in PHSfunded research.)。Responsibility of Applicants for Promoting Objectivity in Research for Which Public Health Service Funding Is Sought and Responsible Prospective Contractors, 76 Fed. Reg.53,256,53,256(Aug. 25, 2011)(to be codified at 42 CFR Part 50 and 45 CFR Part 94).
Facebook之實名制政策禁止用戶使用假名,此一行為已遭德國隱私保護機構禁止。德國Schleswig-Holstein邦的資料保護中心組織(Office of the Data Protection Commissioner,簡稱ULD)控訴臉書「實名制」已違反德國電信媒體法(Telemediengesetz)。依據德國「電信媒體法」規定,只要匿名的使用具有技術上之合理性及可行性時,服務供應商必須允許用戶採用假名,惟Facebook的實名制政策卻禁止用戶使用假名。資料保護中心表示,Facebook要求用戶註冊時須填入真實姓名,違反德國電信媒體法第13條第6項。ULD表示,為確保網路用戶權利及遵守網路保護法,臉書應立即終止實名制的執行。Facebook發言人則對ULD指控不以為然,主張「服務供應商有權在現行法律下自行決定所採取之匿名政策」,並表示Facebook採取實名制係為保護社群安全,若發現用戶使用假名將刪除帳號。Facebook發言人認為「這只是在浪費德國納稅人的金錢!此法律之指控毫無意義,同時我們也將據理力爭。」Facebook認為,實名制是該網站經營之重要機制,除了能與其他社群網站做出明顯的市場區隔外,更能積極保護用戶的個人資料。
G7第四屆資料保護與隱私圓桌會議揭示隱私保護新趨勢G7第四屆資料保護與隱私圓桌會議揭示隱私保護新趨勢 資訊工業策進會科技法律研究所 2025年03月10日 七大工業國組織(Group of Seven,下稱G7)於2024年10月10日至11日在義大利羅馬舉辦第四屆資料保護與隱私機構圓桌會議(Data Protection and Privacy Authorities Roundtable,下稱圓桌會議),並發布「G7 DPAs公報:資料時代的隱私」(G7 DPAs’ Communiqué: Privacy in the age of data,下稱公報)[1],特別聚焦於人工智慧(AI)技術對隱私與資料保護的影響。 壹、緣起 由美國、德國、英國、法國、義大利、加拿大與日本的隱私主管機關(Data Protection and Privacy Authorities, DPAs)組成本次圓桌會議,針對數位社會中資料保護與隱私相關議題進行討論,涵蓋「基於信任的資料自由流通」(Data Free Flow with Trust, DFFT)、新興技術(Emerging technologies)、跨境執法合作(Enforcement cooperation)等三大議題。 本次公報重申,在資通訊技術主導的社會發展背景下,應以高標準來審視資料隱私,從而保障個人權益。而DPAs作為AI治理領域的關鍵角色,應確保AI技術的開發和應用既有效且負責任,同時在促進大眾對於涉及隱私與資料保護的AI技術認識與理解方面發揮重要作用[2]。此外,公報亦強調DPAs與歐盟理事會(Council of Europe, CoE)、經濟合作暨發展組織(Organisation for Economic Co-operation and Development, OECD)、亞太隱私機構(Asia Pacific Privacy Authorities, APPA)、全球隱私執行網路(Global Privacy Enforcement Network, GPEN)及全球隱私大會(Global Privacy Assembly, GPA)等國際論壇合作的重要性,並期望在推動資料保護與建立可信賴的AI技術方面作出貢獻[3]。 貳、重點說明 基於上述公報意旨,本次圓桌會議上通過《關於促進可信賴AI的資料保護機構角色的聲明》(Statement on the Role of Data Protection Authorities in Fostering Trustworthy AI)[4]、《關於AI與兒童的聲明》(Statement on AI and Children)[5]、《從跨國角度觀察降低可識別性:G7司法管轄區對匿名化、假名化與去識別化的法定及政策定義》(Reducing identifiability in cross-national perspective: Statutory and policy definitions for anonymization, pseudonymization, and de-identification in G7 jurisdictions)[6],分別說明重點如下: 一、《關於促進可信賴AI的資料保護機構角色的聲明》 繼2023年第三屆圓桌會議通過《關於生成式AI聲明》(Statement on Generative AI)[7]後,本次圓桌會議再次通過《關於促進可信賴AI的資料保護機構角色的聲明》,旨在確立管理AI技術對資料保護與隱私風險的基本原則。G7 DPAs強調許多AI技術依賴個人資料的運用,這可能引發對個人偏見及歧視、不公平等問題。此外,本聲明中還表達了擔憂對這些問題可能透過深度偽造(Deepfake)技術及假訊息擴散,進一步對社會造成更廣泛的不良影響[8]。 基於上述考量,本聲明提出以下原則,納入G7 DPAs組織管理的核心方針[9]: 1. 以人為本的方法:G7 DPAs應透過資料保護來維護個人權利與自由,並在AI技術中提供以人權為核心的觀點。 2. 現有原則的適用:G7 DPAs應審視公平性、問責性、透明性和安全性等AI治理的核心原則,並確保其適用於AI相關框架。 3. AI核心要素的監督:G7 DPAs應從專業視角出發,監督AI的開發與運作,確保其符合負責任的標準,並有效保護個人資料。 4. 問題根源的因應:G7 DPAs應在AI的開發階段(上游)和應用階段(下游)找出問題,並在問題擴大影響前採取適當措施加以解決。 5. 善用經驗:G7 DPAs應充分利用其在資料領域的豐富經驗,謹慎且有效地應對AI相關挑戰。 二、《關於AI與兒童的聲明》 鑒於AI技術發展可能對於兒童和青少年產生重大影響,G7 DPAs發布本聲明表示,由於兒童和青少年的發展階段及其對於數位隱私的瞭解、生活經驗有限,DPAs應密切監控AI對兒童和青少年的資料保護、隱私權及自由可能造成的影響程度,並透過執法、制定適合年齡的設計實務守則,以及發佈面向兒童和青少年隱私權保護實務指南,以避免AI技術導致潛在侵害兒童和青少年隱私的行為[10]。 本聲明進一步闡述,當前及潛在侵害的風險包含[11]: 1. 基於AI的決策(AI-based decision making):因AI運用透明度不足,可能使兒童及其照顧者無法獲得充足資訊,以瞭解其可能造成重大影響的決策。 2. 操縱與欺騙(Manipulation and deception):AI工具可能具有操縱性、欺騙性或能夠危害使用者情緒狀態,促使個人採取可能危害自身利益的行動。例如導入AI的玩具可能使兒童難以分辨或質疑。 3. AI模型的訓練(Training of AI models):蒐集和使用兒童個人資料來訓練AI模型,包括從公開來源爬取或透過連線裝置擷取資料,可能對兒童的隱私權造成嚴重侵害。 三、《從跨國角度觀察降低可識別性:G7司法管轄區對匿名化、假名化與去識別化的法定及政策定義》 考慮到個人資料匿名化、假名化及去識別化能促進資料的創新利用,有助於最大限度地減少隱私風險,本文件旨在整合G7成員國對於匿名化、假名化與去識別化的一致理解,針對必須降低可識別性的程度、資訊可用於識別個人的程度、減少可識別性的規定流程及技術、所產生的資訊是否被視為個人資料等要件進行整理,總結如下: 1. 去識別化(De-identification):加拿大擬議《消費者隱私保護法》(Consumer Privacy Protection Act, CPPA)、英國《2018年資料保護法》(Data Protection Act 2018, DPA)及美國《健康保險可攜性及責任法》(Health Insurance Portability and Accountability Act , HIPAA)均有去識別化相關規範。關於降低可識別性的程度,加拿大CPPA、英國DPA規定去識別化資料必須達到無法直接識別特定個人的程度;美國HIPAA則規定去識別化資料須達到無法直接或間接識別特定個人的程度。再者,關於資料去識別化的定性,加拿大CPPA、英國DPA認定去識別化資料仍被視為個人資料,然而美國HIPAA則認定去識別化資料不屬於個人資料範疇。由此可見,各國對去識別化規定仍存在顯著差異[12]。 2. 假名化(Pseudonymization):歐盟《一般資料保護規則》(General Data Protection Regulation, GDPR)及英國《一般資料保護規則》(UK GDPR)、日本《個人資料保護法》(個人情報の保護に関する法律)均有假名化相關規範。關於降低可識別性的程度,均要求假名化資料在不使用額外資訊的情況下,須達到無法直接識別特定個人的程度,但額外資訊應與假名化資料分開存放,並採取相應技術與組織措施,以確保無法重新識別特定個人,因此假名化資料仍被視為個人資料。而關於假名化程序,日本個資法明定應刪除或替換個人資料中可識別描述或符號,歐盟及英國GDPR雖未明定具體程序,但通常被認為採用類似程序[13]。 3. 匿名化(Anonymization):歐盟及英國GDPR、日本個資法及加拿大CPPA均有匿名化相關規範。關於降低可識別性的程度,均要求匿名化資料無法直接或間接識別特定個人,惟可識別性的門檻存在些微差異,如歐盟及英國GDPR要求考慮控管者或其他人「合理可能用於」識別個人的所有方式;日本個資法則規定匿名化資料之處理過程必須符合法規標準且不可逆轉。再者,上述法規均將匿名化資料視為非屬於個人資料,但仍禁止用於重新識別特定個人[14]。 參、事件評析 本次圓桌會議上發布《關於促進可信賴AI的資料保護機構角色的聲明》、《關於AI與兒童的聲明》,彰顯G7 DPAs在推動AI治理原則方面的企圖,強調在AI技術蓬勃發展的背景下,隱私保護與兒童權益應成為優先關注的議題。與此同時,我國在2024年7月15日預告《人工智慧基本法》草案,展現對AI治理的高度重視,融合美國鼓勵創新、歐盟保障人權的思維,針對AI技術的應用提出永續發展、人類自主、隱私保護、資訊安全、透明可解釋、公平不歧視、問責等七項原則,為國內AI產業與應用發展奠定穩固基礎。 此外,本次圓桌會議所發布《從跨國角度觀察降低可識別性:G7司法管轄區對匿名化、假名化與去識別化的法定及政策定義》,揭示各國在降低可識別性相關用語定義及其在資料保護與隱私框架中的定位存在差異。隨著降低可識別性的方法與技術不斷創新,這一領域的監管挑戰日益突顯,也為跨境資料流動越發頻繁的國際環境提供了深化協調合作的契機。在全球日益關注資料保護與隱私的趨勢下,我國個人資料保護委員會籌備處於2024年12月20日公告《個人資料保護法》修正草案,要求民間業者設置個人資料保護長及稽核人員、強化事故通報義務,並針對高風險行業優先實施行政檢查等規定,以提升我國在數位時代的個資保護水準。 最後,本次圓桌會議尚訂定《2024/2025年行動計畫》(G7 Data Protection and Privacy Authorities’ Action Plan)[15],圍繞DFFT、新興技術與跨境執法合作三大議題,並持續推動相關工作。然而,該行動計畫更接近於一項「基於共識的宣言」,主要呼籲各國及相關機構持續努力,而非設定具有強制力或明確期限的成果目標。G7 DPAs如何應對數位社會中的資料隱私挑戰,並建立更順暢且可信的國際資料流通機制,將成為未來關注的焦點。在全球共同面臨AI快速發展所帶來的機遇與挑戰之際,我國更應持續關注國際趨勢,結合自身需求制訂相關法規以完善相關法制,並積極推動國際合作以確保國內產業發展銜接國際標準。 [1]Office of the Privacy Commissioner of Canada [OPC], G7 DPAs’ Communiqué: Privacy in the age of data (2024), https://www.priv.gc.ca/en/opc-news/news-and-announcements/2024/communique-g7_241011/ (last visited Feb 3, 2025). [2]Id. at para. 5. [3]Id. at para. 7-9. [4]Office of the Privacy Commissioner of Canada [OPC], Statement on the Role of Data Protection Authorities in Fostering Trustworthy AI (2024), https://www.priv.gc.ca/en/opc-news/speeches-and-statements/2024/s-d_g7_20241011_ai/ (last visited Feb 3, 2025). [5]Office of the Privacy Commissioner of Canada [OPC], Statement on AI and Children (2024), https://www.priv.gc.ca/en/opc-news/speeches-and-statements/2024/s-d_g7_20241011_child-ai/ (last visited Feb 3, 2025). [6]Office of the Privacy Commissioner of Canada [OPC], Reducing identifiability in cross-national perspective: Statutory and policy definitions for anonymization, pseudonymization, and de-identification in G7 jurisdictions (2024), https://www.priv.gc.ca/en/opc-news/news-and-announcements/2024/de-id_20241011/ (last visited Feb 3, 2025). [7]Office of the Privacy Commissioner of Canada [OPC], Statement on Generative AI (2023), https://www.priv.gc.ca/en/opc-news/speeches-and-statements/2023/s-d_20230621_g7/ (last visited Feb 3, 2025). [8]Supra note 4, at para. 11. [9]Supra note 4, at para. 18. [10]Supra note 5, at para. 5-6. [11]Supra note 5, at para. 7. [12]Supra note 6, at para. 11-15. [13]Supra note 6, at para. 16-19. [14]Supra note 6, at para. 20-25. [15]Office of the Privacy Commissioner of Canada [OPC], G7 Data Protection and Privacy Authorities’ Action Plan (2024), https://www.priv.gc.ca/en/opc-news/news-and-announcements/2024/ap-g7_241011/ (last visited Feb 3, 2025).