techUK和UK Finance共同呼籲英國脫歐後應速採取行動保護英國和歐盟的企業和消費者資料跨境傳輸
隨著資料多元應用，大量個資可能被企業、組織等從銀行、線上零售業者傳輸到雲端、學術機構等，因此在跨境傳輸基礎上需要共同的監管制度，以利資料保護和隱私標準。英國科技產業協會(techUK)和英國金融協會(UK Finance)共同於2017年11月30日呼籲英國政府和歐盟應迅速採取行動，以利於繼續保護消費者和企業在英國退出歐盟(Brexit)後兩地跨境傳輸個資。
另外，在Dentons國際律師事務所提出關於歐盟與英國未來資料共享關係之聯合報告(No Interruptions: options for the future UK-EU data sharing relationship)中，techUK和UK Finance說明英國和歐盟雙方如何達成適當保護協議(adequacy agreement)，英國政府亦於2017年8月發布個人資料交換和保護未來合作文件(The exchange and protection of personal data - a future partnership paper)，將持續依一般資料保護規則(General Data Protection Regulation, GDPR)調整，而在過渡期間為企業提供監管確定性，而公司亦需重新考慮GDPR於2018年5月實施後相關替代機制，如企業自我約束規則(Binding Corporate Rules, BCRs)、標準契約條款(Standard Contractual Clauses, SCCs)等。由於英國2019年3月脫歐後，將不會直接適用GDPR，因此除非有新的安排，個資在歐盟傳輸仍可能受限，而需昂貴複雜替代機制，故仍應速採取行動：
- 歐盟和英國應速開始適當保護評估程序(adequacy assessment processes)。
- 為避免個資傳輸之「懸崖邊緣」(“cliff-edge”)，應即為過渡期之安排。
- 英國應考慮實施其他措施，確保歐盟對英國資料保護框架之擔憂能獲解決，尤其是國家安全目的之資料處理。
- 英國應確保國際傳輸制度(包括美國在內)，與歐盟具相同保護水準，且此作為歐盟適當保護評估的關鍵。
- 1. Rapid Action Needed to Safeguard UK & EU Businesses & Consumers Following Brexit, techUK
- 2. Rapid action needed to safeguard UK & EU businesses and consumers following UK’s exit from the EU, UK Finance
- 3. techUK, UK Finance & Dentons UKMEA LLP, No Interruptions: options for the future UK-EU data sharing relationship (2017)
- 4. HM Government, The exchange and protection of personal data - a future partnership paper (2017)
- 英國資訊專員辦公室關於退出歐盟後續個資保護回應與未來影響，資訊工業策進會科技法律研究所
孫鈺婷
專案經理 編譯整理
1. Rapid Action Needed to Safeguard UK & EU Businesses & Consumers Following Brexit, techUK, http://www.techuk.org/insights/news/item/11824-rapid-action-needed-to-safeguard-uk-eu-businesses-consumers-following-brexit (last visited Dec. 4, 2017).
2. Rapid action needed to safeguard UK & EU businesses and consumers following UK’s exit from the EU, UK Finance, https://www.ukfinance.org.uk/rapid-action-needed-to-safeguard-uk-eu-businesses-and-consumers-following-uks-exit-from-the-eu/ (last visited Dec. 4, 2017).
3. techUK, UK Finance & Dentons UKMEA LLP, No Interruptions: options for the future UK-EU data sharing relationship (2017), https://www.ukfinance.org.uk/wp-content/uploads/2017/11/No-Interruptions-Options-for-the-future-UK-EU-data-sharing-relationship.pdf (last visited Dec. 4, 2017).
4. HM Government, The exchange and protection of personal data - a future partnership paper (2017), https://www.gov.uk/government/uploads/system/uploads/attachment_data/file/639853/The_exchange_and_protection_of_personal_data.pdf (last visited Dec. 6, 2017).
英國資訊專員辦公室關於退出歐盟後續個資保護回應與未來影響，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=55&tp=1&i=152&d=7533（最後瀏覽日：2017/12/06）
歐洲網路暨資訊安全局(European Union Agency for Network and Information Security, ENISA)於2017年11月20號發布了「重要資訊基礎設施下智慧聯網之安全基準建議」。該建議之主要目的乃為歐洲奠定物聯網安全基礎，並作為後續發展相關方案與措施之基準點。 由於廣泛應用於各個領域，智慧聯網設備所可能造成之威脅非常的廣泛且複雜。因此，了解該採取與落實何種措施以防範IOT系統所面臨之網路風險非常重要。ENISA運用其於各領域之研究成果，以橫向之方式確立不同垂直智慧聯網運用領域之特點與共通背景，並提出以下可以廣泛運用之智慧聯網安全措施與實作: (一) 資訊系統安全治理與風險管理 包含了與資訊系統風險分析、相關政策、認證、指標與稽核以及人力資源相關之安全措施。 (二) 生態系管理 包含生態系繪製以及各生態系的關聯。 (三) IT安全建築 包含系統配置、資產管理、系統隔離、流量過濾與密碼學等資安措施。 (四) IT安全管理 帳戶管理與資訊系統管理之相關安全措施。 (五) 身分與存取管理 有關身分確認、授權以及存取權限之安全措施。 (六) IT安全維護 有關IT安全維護程序以及遠端存取之安全措施。 (七) 偵測 包含探測、紀錄日誌以及其間之關聯與分析之安全措施。 (八) 電腦安全事件管理 資訊系統安全事件分析與回應、報告之資安措施。
英國上議院正逐條審議資料保護和數位資訊法案，期展現脫歐新格局英國科學、創新和技術部（Department for Science, Innovation & Technology）提出之《資料保護和數位資訊法案》（The Data Protection and Digital Information Bill，以下稱DPDI法案）於2023年11月經下議院三讀後移交上議院，並於2024年3月20日起逐條審議。DPDI法案旨在調整由英國《一般資料保護規則》（UK General Data Protection Regulation, 下稱UK GDPR）、《資料保護法》（Data Protection Act, DPA 2018）與《隱私與電子通訊規則》（Privacy and Electronic Communications (EC Directive) Regulations 2003）建構之資料保護框架，形塑有別於歐盟典範的資料保護制度。 下議院三讀通過之DPDI法案包含：個人資料保護、數位核驗服務、消費者與商業等各類數據使用以及監管制度等，期能增加資料使用彈性、衡平保護與運用之衝突。該法案將釐清與重新定義資料保護之一般性通則，以下就部分變革與爭議簡要說明： 一、資料使用限制放寬：藉擴大正當利益（legitimate interest）意涵與科學研究範圍，擴大個人資料使用的正當性基礎，如國安、犯罪預防、公共衛生及商業與非商業性科學研究。 二、組織資料治理層級轉變：取消資料保護長設置，改為指派高階管理層之一人專任或多人兼任高階負責人。 三、監管機構變換：將現行資訊專員辦公室（Information Commissioner’s Office, ICO）獨立機構監管模式，轉換為政府任命之委員會。 四、資料傳輸規範可能不足：英國脫歐後，其與歐盟間的資料傳輸經認可而獲維繫。若DPDI法案通過並調整且簡化資料傳輸規範，英國可能需證明新程序及規範持續具有保護適足性。 就DPDI法案內容觀之，該法案主要建構於UK GDPR及相關規範之刪修，象徵英國政府對脫歐前資料保護制度之檢討，並期藉改革減輕企業合規成本。然，部分團體認為資料使用放寬與保護制度之變革，可能導致演算法歧視以及英國與歐盟間資料流動困難。雖DPDI法案尚在上議院委員會討論階段，可能因各方磋商而修改條文內容，但仍可見英國政府積極重新伸張國家主權之作為。
德國聯邦內政部對歐盟部長會議「資料保護基本規則」(Datenschutz-Grundverordnung)發表意見書，並提出修法建議德國聯邦內政部資料保護與資訊自由委員會於2015年8月15日針對歐盟部長會議於6月15日所確立對歐盟資料保護基本規則(Datenschutz-Grundverordnung)的基本立場，若依該立場則(1)資料處理目的之變更理由將變得更寬泛(2)對資訊保有機構所提出的申請程序以有償為原則(3)蒐集個人資料應遵循之規範過於簡略等，該委員會提出批評與建議。 該委員會會議認為有必要改進歐盟「資料保護基本規則」，令其更周延，更呼籲對資料保護基本規則的修正，應循以下重點及原則進行： 1.資訊節約原則應該堅持 多年來在德國法已確立的資訊節約原則(Datensparsamkeit)和資訊避免原則(Datenvermeidung)，應予維持。因此資料保護基本規則中，須清楚詳盡地規定節約原則和資訊避免原則。 2.目的明確性原則的要求不能退縮 目的明確性原則(der Grundsatz der Zweckbindung)之功能，係為資料處理之透明性和可預見性，該原則亦強化了當事人的資訊自主權，使其得以信賴個人資料之處理，僅限於所申請之目的內進行。 故若依理事會建議之規範，使資料處理目的之變更，得以更寬泛的理由進行，將背棄歐盟基本權利憲章中之目的明確性原則。 3.即令個人同意書亦不得拋棄資訊主權 資訊自決權，意謂原則上個人可以用同意的方式，決定個人資訊的使用和拋棄。但即使有清楚明確的意思表示，該同意亦僅係保障資訊主權的重要因素之一。另就同意書而言，若如歐盟部長理事會所建議者，只需清楚明確即可，則這種方式於保護上是不夠充分的。 4.個人資料建檔必須有效地限制 該會議重申，嚴格規範對個人資料的蒐集有其必要性。為個人檔案之整合與充分使用設置嚴格的界限，現有規定太過簡略而遭到批評。 5.有效的資訊保護需要歐盟層級的企業與官署的資料保護專員 對於資訊保護監督的有效性，在德國已確立之官方與私人企業的資訊保護專員制度係重要之一環。應致力於歐盟層級公/私機構資訊保護專員制度在整個歐洲的推動。 6. 資訊傳輸第三國官署和法院需要更嚴格的監督 近期的隱私醜聞之後，目前亟需對歐洲公民個人資料給予更妥善的保護，以對抗來自第三國的機構。此意見書贊同歐盟議會的建議，即以第三國法院的判決和行政機關的決議，要求對個人資訊的披露，在歐盟之中僅能基於國際公約中機關互助和法律協助之規定，原則上予以承認與執行。
韓國成立國家生技委員會，推動生技三大轉型韓國政府於2025年1月23日成立國家生技委員會（국가바이오위원회），作為跨部會最高決策機構，整合生技、醫療、食品、能源、環境等領域政策。該委員會將推動《大韓民國生技大轉型戰略》（대한민국 바이오 대전환 전략），聚焦基礎建設、研發創新、產業發展三大轉型，重點分述如下： 1. 基礎建設轉型：韓國將成立「生技聚落協調機構」（바이오 클러스터 협의체），整合20多個生技聚落，讓各聚落共享設備、專家及創業支援，並與全球頂尖生技聚落交流。韓國計畫創造1萬個生技相關就業機會、培育11萬名生技專業人才，並推動生技監管創新。 2. 研發創新轉型：韓國期望透過AI技術應用，將新藥開發的時間與成本減半。此外，政府將提供資料共享的獎勵措施，簡化IRB及DRB審查流程，推動資料導向的生技研發。韓國計畫至2035年在國家生技資料平台上累積1000萬筆生技資料，並建構高效能運算基礎設施以提升分析能力。 3. 產業發展轉型：韓國將透過五個公共CDMO支援生技產業技術產品化，並推動AI導向的「K-BioMADE計畫」，促進生技製造的高速化、標準化與自動化。此外，政府將成立1兆韓元以上的「Mega Fund」，提供金融政策支持。韓國計畫至2032年將CDMO生產能力擴大至2.5倍，確保在全球市場佔據領先地位。 韓國政府擬透過「國家生技委員會」強化公私部門協作、優化法規環境及加速創新技術的商業化，為我國未來生醫政策發展提供寶貴的參考價值，值得持續關注。