新加坡個人資料保護委員會針對企業蒐集、使用、揭露永久居留證(NRIC)號碼提出新的諮詢指引
考量各行各業的從業習慣及民眾對企業蒐集、使用、揭露永久居留證(National Registration Identification Card, NRIC)號碼之看法，新加坡個人資料保護委員會(Personal Data Protection Commission, PDPC)於2017年11月提議修改個人資料保護法的諮詢指引(Advisory Guidelines on the Personal Data Protection Act )，明確界定企業蒐集、使用、揭露NRIC及其號碼之範圍。
依據舊的諮詢指引，新加坡個人資料保護法允許企業在基於合理特定目的並依法獲得當事人有效同意之情況下，蒐集、使用或揭露NRIC號碼。因此，不少企業活動習慣蒐集利用民眾的NRIC號碼，包括零售商店所舉辦的抽獎活動。然而，在PDPC提出新的諮詢指引後，企業可蒐集利用NRIC號碼的情況受到大幅限縮。
由於NRIC號碼與個人資訊息息相關且具不可取代性，無差別地蒐集利用將增加資料被用以從事非法活動之風險，故新的諮詢指引闡明，原則上企業不應蒐集、使用或揭露個人NRIC號碼或複印NRIC，除非有下列兩種例外情況之一：(一)法律要求；(二)為確實證明當事人身分所必要。第一種例外情況，雖因法律要求無須取得當事人同意，但企業仍應踐行告知義務，使當事人知悉NRIC號碼被蒐集、使用或揭露之目的，並確保企業內已採行適當安全措施，防止NRIC號碼被意外洩漏。第二種例外情況則仍須就NRIC號碼的蒐集、使用或揭露取得當事人同意，除非符合個人資料保護法規定下毋庸取得當事人同意之例外(如急救等緊急狀況)。
此外，PDPC針對得蒐集、使用或揭露NRIC號碼或複印NRIC的情況，以情境案例方式於諮詢指引中說明供企業參考，另給予12個月的審視期間，使企業得修正組織內部政策並尋找可行替代方案。
- PERSONAL DATA PROTECTION COMMISSION SINGAPORE [PDPC], Proposed Advisory Guidelines on the Personal Data Protection Act for NRIC Numbers (2017)
- PERSONAL DATA PROTECTION COMMISSION SINGAPORE [PDPC], Advisory Guidelines on the Personal Data Protection Act for Selected Topics: NRIC Numbers (2017)
- Irene Tham, Watchdog Seeks Stricter Protection of NRIC Data, THE STRAITS TIMES, Nov. 8, 2017
- New Guidelines Proposed on Use of NRIC Numbers by Companies, CHANNEL NEWSASIA
張腕純
組長 編譯整理
PERSONAL DATA PROTECTION COMMISSION SINGAPORE [PDPC], Proposed Advisory Guidelines on the Personal Data Protection Act for NRIC Numbers (2017), https://www.pdpc.gov.sg/docs/default-source/public-consultation-6---nric/proposed-nric-advisory-guidelines---071117.pdf?sfvrsn=4 (last visited Nov. 20, 2017).
PERSONAL DATA PROTECTION COMMISSION SINGAPORE [PDPC], Advisory Guidelines on the Personal Data Protection Act for Selected Topics: NRIC Numbers (2017), https://www.pdpc.gov.sg/docs/default-source/advisory-guidelines---selected-topics/ch-6---nric-(20170328).pdf?sfvrsn=2 (last visited Nov. 20, 2017).
Irene Tham, Watchdog Seeks Stricter Protection of NRIC Data, THE STRAITS TIMES, Nov. 8, 2017, http://www.straitstimes.com/tech/watchdog-seeks-stricter-protection-of-nric-data (last visited Nov. 20, 2017).
New Guidelines Proposed on Use of NRIC Numbers by Companies, CHANNEL NEWSASIA, http://www.channelnewsasia.com/news/singapore/guidelines-on-nric-numbers-companies-9382290 (last visited Nov. 20, 2017).
為建構政府雲發展的妥適環境，美國於今年度啟動「聯邦風險與認可管理計畫」（Federal Risk and Authorization Management Program, FedRAMP），由國家技術標準局（National Institute of Standards and Technology, NIST）、公共服務行政部(General Service Administration)、資訊長聯席會(CIO Council)及其他關連私部門團體、NGO及學者代表共同組成的跨部會團隊，針對外部服務提供者提供政府部門IT共享的情形，建構一個共同授權與持續監督機制。在歷經18個月的討論後，於今（2010）年11月提出「政府雲端資訊安全與認可評估」提案（Proposed Security Assessment & Authorization for U.S Government Cloud Computing），現正公開徵詢公眾意見。 在FedRAMP計畫中，首欲解決公部門應用雲端運算所衍伸的安全性認可問題，因此，其將研議出一套跨部門共通性風險管理程序。尤其是公部門導入雲端應用服務，終究會歸結到委外服務的管理，因此本計劃的進行，是希望能夠讓各部門透過一個機制，無論在雲端運算的應用及外部服務提供之衡量上，皆能依循跨機關的共通資訊安全評定流程，使聯邦資訊安全要求能夠協調應用，並強化風險管理及逐步達成效率化以節省管理成本。 而在上述「政府雲端資訊安全與認可評估」文件中，可分為三個重要範疇。在雲端運算安全資訊安全基準的部份，主要是以NIST Special Publication 800-535中的資訊安全控制項作為基礎；並依據資訊系統所處理、儲存與傳輸的聯邦資訊的敏感性與重要性，區分影響等級。另一部份，則著重在持續性的系統監控，主要是判定所部署的資訊安全控制，能否在不斷變動的環境中持續有效運作。最後，則是針對聯邦資訊共享架構，出示模範管理模式、方策與責任分配體系。
新加坡通過「線上安全（救濟與問責）法案」強化對抗線上傷害新加坡國會於 2025 年 11 月5日三讀通過「線上安全（救濟與問責）法案」（Online Safety (Relief and Accountability) Bill, OSRA），希望透過「賦權受害者」與「強化平臺問責」來對抗日益嚴重的線上傷害事件。OSRA旨在補充個人在面對有害的線上行為（Online Harmful Activity）傷害時的救濟途徑，並設置「線上安全專員（Commissioner of Online Safety）」為處理投訴與發布救濟指令的專責機關。 OSRA明確定義了多種有害的線上行為，包括針對deepfake的「不實內容濫用」（Inauthentic material abuse），以及惡意公開他人隱私的「人肉搜索」（doxxing），而為了讓損害即時受到控制，線上安全專員在接獲國民投訴並調查評估後，可直接發出具法律效力的指令（Directions），要求平臺移除、隱藏特定內容，或限制惡意帳號的互動；若平臺不遵守指令，線上安全專員亦得向電信業者發出阻斷特定服務，或向應用程式商店發出下架特定應用程式的命令（Orders），無正當理由違反指令或命令皆有可能構成刑事責任。 此外，OSRA亦擴張了平臺的民事責任，當受害者依指定方式向平臺發出「線上傷害通知」後，若平臺未能在合理期間內採取行動，受害者得逕向平臺經營者或網站管理者提起民事訴訟要求損害賠償，若平臺無故怠慢，法院得判決加重損害賠償，希望藉此敦促平臺建立更敏捷的線上傷害控制機制。 值得注意的是，OSRA宣告了廣泛的長臂管轄機制，為保障新加坡國民的權益，不僅法院對OSRA規範的民事、刑事事件有管轄權，線上安全專員發布指令與命令的對象亦不限於境內，表現對抗全球線上傷害的強烈企圖。
從「數位休閒娛樂產業」之法制需求談我國娛樂業法制規範之可能性 歐盟執委會發布指引以因應《人工智慧法》「禁止的人工智慧行為」條文實施歐盟執委會於2025年2月4日發布「關於禁止的人工智慧行為指引」（Commission Guidelines on Prohibited Artificial Intelligence Practices）（下稱「指引」）」，以因應歐盟《人工智慧法》（AI Act，下稱AIA）第5條關於「禁止的人工智慧行為」之規定。該規定自2月2日起正式實施，惟其內容僅臚列禁止行為而未深入闡釋其內涵，執委會特別制定本指引以避免產生歧義及混淆。 第5條明文禁止使用人工智慧系統進行有害行為，包括：利用潛意識技術或利用特定個人或群體之弱點進行有害操縱或欺騙行為、實施社會評分機制、進行個人犯罪風險預測、執行無特定目標之臉部影像蒐集、進行情緒識別分析、實施生物特徵分類、以及為執法目的而部署即時遠端生物特徵識別系統等。是以，指引就各禁止事項分別闡述其立法理由、禁止行為之具體內涵、構成要件、以及得以豁免適用之特定情形，並示例說明，具體詮釋條文規定。 此外，根據AIA規定，前述禁令僅適用於已在歐盟境內「投放市場」、「投入使用」或「使用」之人工智慧系統，惟對於「使用」一詞，並未予以明確定義。指引中特別闡明「使用」之定義，將其廣義解釋為涵蓋「系統投放市場或投入使用後，在其生命週期任何時刻的使用或部署。」 指引中亦指出，高風險AI系統的特定使用情境亦可能符合第5條的禁止要件，因而構成禁止行為，反之亦然。因此，AIA第5條宜與第6條關於高風險AI系統的規定交互參照應用。 AIA自通過後，如何進行條文內容解釋以及法律遵循義務成為各界持續討論之議題，本指引可提升AIA規範之明確性，有助於該法之落實。