日本經產省為了促進智慧家庭(smart home)計畫,以促進資料共享與利用。

  經產省為了在智慧家庭領域創造新事業,整備相關資料活用環境,蒐集共有及分析從多種多樣機器及服務所實際產出之資料,於2017年8月開始實施實證實驗。在實施前,為了使參加實證之民間公司間,得為資訊合作而完備相關規則及保安對策,於5月24日召開「智慧家庭資料活用環境整備推進事業」檢討會。因物聯網(IoT)的擴大得以蒐集龐大資料,以及現在人工智慧(AI)解析能力提高下,期待在各種領域提高生產效率及創造新的事業模式。特別是在智慧家庭領域,其在「新產業構造願景的中間整理」(2016年4月27日、產業構造審議會新產業構造部會)中,為有力重要領域。因此,以IoT技術等使家庭內機器網路化,活用此一資料,除了使既存事業模式發生變革或創造新事業模式外,也期待可以透過把握製品之使用資訊,而提高產品回收(recall)率,並促進資源回收以及家庭部門節能化等相關社會課題解決上。為此,本事業係以對於家庭內機器網路化及透過此而創造新事業為目標,整備事業環境與社會課題及各主題新事業服務創造相連結,因應每個人的生活模式而使得生活空間客製化成為可能,實現智慧家庭之社會目標。

本文為「經濟部產業技術司科技專案成果」

※ 日本經產省為了促進智慧家庭(smart home)計畫,以促進資料共享與利用。, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=7932&no=67&tp=1 (最後瀏覽日:2025/12/11)
引註此篇文章
你可能還會想看
歐盟資料保護工作小組修正通過個人資料侵害通報指引

歐盟資料保護工作小組修正通過「個人資料侵害通報指引」 資訊工業策進會科技法律研究所 法律研究員 李哲明 2018年3月31日 壹、事件摘要   因應歐盟「通用資料保護規則」(The General Data Protection Regulation,或有譯為一般資料保護規則,下簡稱GDPR)執法即將上路,針對個人資料侵害之通報義務,歐盟資料保護工作小組(Article 29 Data Protection Working Party, WP29)特於本(2018)年2月6日修正通過「個人資料侵害通報指引」(Guidelines on Personal data breach notification under Regulation 2016/679),其中就GDPR所規範個資侵害之定義、對監管機關之通報、與個資當事人之溝通、風險及高風險評估、當責與紀錄保存及其他法律文件所規定之通報義務等,均設有詳盡說明與事例。 貳、重點說明 一、何謂個資侵害?個資侵害區分為哪些種類?   依據GDPR第4條(12)之定義,個資侵害係指:「個人資料因安全性之侵害所導致意外或非法之毀損、喪失、修改、未經授權之揭露、存取、個資傳輸、儲存或其他處理。」舉例來說,個人資料之喪失包括含有控制者(controller)顧客資料庫的備份設備之遺失或遭竊取。另一例子則為整份個資的唯一檔案遭勒索軟體加密,或經控制者加密,但其金鑰已滅失。依據資訊安全三原則,個資侵害之種類區分為: 機密性侵害(Confidentiality breach):未經授權、意外揭露或獲取個人資料。 完整性侵害(Integrity breach):未經授權或意外竄改個人資料。 可用性侵害(Availability breach):在意外或未經授權之情況下,遺失個人資料存取權限或資料遭銷燬。 二、何時應為通知?   按GDPR第33條(1)之規定,當個資侵害發生時,在如果可行之情況下,控制者應即時(不得無故拖延)於知悉侵害時起72小時內,依第55條之規定,將個資侵害情事通報監管機關。但個資侵害不會對自然人之權利和自由造成風險者,不在此限。倘未能於72小時內通報監管機關者,應敘明遲延之事由。 三、控制者「知悉」時點之判斷標準為何?   歐盟資料保護工作小組認為,當控制者對發生導致個人資料侵害的安全事件達「合理確信的程度」(reasonable degree of certainty)時,即應視為其已知悉。以具體事例而言,下列情況均屬所謂「知悉」: 在未加密個人資料的情況下遺失USB密鑰(USB Key),通常無法確定是否有未經授權者將獲致存取資料權限。即使控制者可能無法確定是否發生機密性侵害情事,惟仍應為通知,因發生可用性侵害之情事,且已達合理確信的程度。   故應以控制者意識到該密鑰遺失時起為其「知悉」時點。 第三人通知控制者其意外地收到控制者的客戶個人資料,並提供該揭露係未經授權之證據。當侵害保密性之明確證據提交控制者時,即為其「知悉」時點。如:誤寄之電子郵件,經非原定收件人通知寄件者之情形。 當控制者檢測到其網路恐遭入侵,並針對其系統進行檢測以確認個人資料是否遭洩漏,嗣後復經證實情況屬實,此際即屬「知悉」。 網路犯罪者在駭入系統後,聯繫控制者以索要贖金。在這種情況下,控制者經檢測系統並確認受攻擊後,亦屬「知悉」。   值得注意的是,在經個人、媒體組織、其他來源或控制者自我檢測後,控制者或將進行短暫調查,以確定是否發生侵害之事實。於此調查期間內所發現之最新侵害情況,控制者將不會被視為「知悉」。然而,控制者應儘速展開初步調查,以形成是否發生侵害事故之合理確信,隨後可另進行更詳盡之調查。 四、共同(聯合)控制者之義務及其責任分配原則   GDPR第26條針對共同控制者及其如何確定各自之法遵義務,設有相關規定,包括決定由哪一方負責遵循第33條(對主管機關通報)與第34條(對當事人通知)之義務。歐盟資料保護工作小組建議透過共同控制者間之契約協議,約明哪一方係居主要地位者,或須負責盡到個資侵害時,GDPR所定之通知義務,並載於契約條款中。 五、通報監管機關與提供資訊義務   當控制者通報監管機關個資侵害情事時,至少應包括下列事項 (GDPR第33條(3)參照): 敘述個人資料侵害之性質,包括但不限於所涉之相關個資當事人、個資紀錄及其類別、數量。 傳達資料保護長(DPO)或其他聯絡人之姓名與聯絡方式,俾利獲得進一步資訊。 說明個資侵害可能之後果。 描述控制者為解決個資侵害業已採取或擬採行之措施,在適當情況下,酌情採取措施以減輕可能產生之不利影響。   以上乃GDPR要求通報監管機關之最基本事項,在必要時,控制者仍應盡力提供其他細節。舉例而言,控制者如認為其處理者係個資侵害事件之根因(root cause),此時通報並指明對象即可警示委託同一處理者之其他控制者。 六、分階段通知   鑒於個資事故之性質不一,控制者通常需進一步調查始能確定全部相關事實,GDPR第33條(4)爰設有得分階段通知(notification in phases)之規定。凡於通報時,無法同時提供之資訊,得分階段提供之。但不得有不必要之遲延。同理,在首次通報後之後續調查中,如發現該事件業已受到控制且並未實際發生個資侵害情事,控制者可向監管機關為更新。 七、免通報事由   依據GDPR第33(1)條規定,個資侵害不會對自然人之權利和自由造成風險者,毋庸向監管機關通報。如:該遭洩露之個人資料業經公開使用,故並未對個人資料當事人構成可能的風險。   必須強調的是,在某些情形下,未為通報亦可能代表既有安全維護措施之缺乏或不足。此時監管機關將可能同時針對未為通報(監管機關)或通知(當事人),以及安全維護措施之缺乏或不足,以違反第33條或(及)34條與第32條等獨立義務規定為由,而依第83條4(a)之規定,併予裁罰。 參、事件評析 一、我國企業於歐盟設有分支機構或據點者,宜指派專人負責法遵事宜   揆諸GDPR前揭規定,當個資侵害發生時,控制者應即時且不得無故拖延於知悉時起72小時內,將個資侵害情事通報監管機關。未能履踐義務者,將面臨最高達該企業前一會計年度全球營業額之2%或1千萬歐元,取其較高者之裁罰。我國無論金融業、航運業、航空運輸業、電子製造業及進出口貿易業者等,均或有於歐盟成員國境內或歐洲經濟區(European Economic Area)當地設立子公司或營業據點。因此,在GDPR法遵衝擊的倒數時刻,指派具瞭解GDPR規定、當地個資隱私法遵規範、擅長與隱私執法機構溝通及充要語言能力者專責法遵業務實刻不容緩。蓋此舉可避免我國企業母公司鞭長莫及,未能及時處置而致罹法典之憾。 二、全面檢視個資業務流程,完備個資盤點與風險評鑑作業,掌握企業法遵現況   企業應全面檢視業務流程,先自重要核心業務中析出個資作業流,搭配全面個資盤點,並利用盤點結果進行風險評鑑,再針對其結果就不同等級之風險採行相對應之管控措施。此外,於全業務流程中,亦宜採行最小化蒐集原則,避免蒐集過多不必要之個人資料,尤其是GDPR所定義之敏感個資(如:種族、民族血統、政治觀點、宗教信仰、哲學信仰、工會會員資格等個人資料,及遺傳資料的處理,用於識別特定自然人之生物識別資料、健康資料、性生活、性取向等)或犯罪前科資料,俾降低個人資料蒐集、處理、利用、檔案保存及銷燬之全生命週期流程中的風險。此舉亦契合我國個人資料保護法第5條所揭櫫之原則。 三、立法要求一定規模以上之企業須通過個資隱私法遵第三方認(驗)證,並建置認證資訊公開平台   鑒於國際法遵衝擊以及隱私保護要求之標準線日漸提升,我國企業除自主導入、建置並維運相關個資保護與管理制度以資因應,更有賴政府透過法令(如:修正個人資料保護法)強制要求一定規模以上之企業通過第三方專業驗證,俾消弭風險於日常準備之中。蓋我國具一定規模以上企業,無論其係屬何種業別,一旦違反國際法遵要求,遭致鉅額裁罰,其影響結果將不僅止於單一企業,更將嚴重衝擊該產業乃至於國家整體經貿發展。職是,採法律強制要求企業定期接受獨立、公正及專業第三方認(驗)證,咸有其實益性與必要性。

德國柏林高等法院(LG Berlin)判決「Facebook」違反聯邦資料保護法

  德國柏林高等法院(LG Berlin)於2018年1月16日在德國聯邦消費者中心協會(Verbraucherzentrale Bundesverband)對 Facebook提起之訴訟中,判決 (Az. 16 O 341/15)Facebook網站之預設功能(Voreinstellungen)和部分使用及資料保護條款(Nutzungs- und Datenschutzbedingungen),違反德國聯邦資料保護法(Bundesdatenschutzgesetz)之相關規定,因此,部分針對企業徵求用戶同意使用其資料之條款被判定無效。   Facebook在其隱私設定中心隱藏對用戶資料保護有利之默認設置,且在新用戶注冊帳戶時未充分告知,故未符合用戶同意條款之要求。依據聯邦資料保護法之規定,個人資料僅允許在相關人同意下徵集及使用。為讓用戶能在知情下自行判斷是否同意個資使用,網路供應商須清楚、詳盡告知資料使用之方式、範圍及目的。但Facebook並未遵守該項要求,Facebook在手機App上已自行啟用定位服務,一旦用戶使用聊天功能,將透露其所在位置。尤其在隱私設定中,已預設各種搜尋引擎可取得用戶個人版面之連結,任何人均可快速和簡易的透過此種方式,發現任一用戶在Facebook上的個人資訊。因用戶能否被事先告知無法確實保障,對此,法官判定5項Facebook備受聯邦消費者中心協會批評的預設功能無效。   此外,柏林高等法院亦宣告8項包括預擬同意之服務條款無效,依照這些條款之規定,Facebook可將用戶之姓名和個人資訊運用於商業、贊助商或相關事業之內容,且其條款並未明確說明,哪些資料會被傳送至美國,以及其後續處理過程與所採用之資料安全標準為何。法官認為,上述預擬條款之意思表示並非有效之資料使用同意授權。此外,用戶在Facebook僅可使用實名之義務亦屬違法,德國聯邦消費者中心協會對此表示,電信媒體法(Telemediengesetz; TMG)規定,網路供應商須儘可能讓網路用戶匿名或他名參與網路運作,然而柏林高等法院對此觀點仍持保留態度。   柏林高等法院於判決中強調,本案單就聯邦消費者中心協會對Facebook之用戶使用條款是否有效提起之訴進行判決,並非判斷支援此些條款運作的資料處理過程之合法性。儘管如此,法院之見解仍可能對資料處理過程合法性之判斷造成影響。該項判決目前仍未最終定讞,故本案兩造皆可上訴柏林最高法院(Kammergericht),尤其聯邦消費者中心協會認為,Facebook以免費使用為廣告宣傳用語,不無誤導消費者之可能,故將對此提起上訴。至於未來本案上訴至柏林最高法院後之發展,關係個人資料保護程度之擴張及網絡供應商可用範圍之限制,故仍須持續關注。

落實完善數位資料管理機制,有助於降低AI歧視及資料外洩風險

落實完善數位資料管理機制, 有助於降低AI歧視及資料外洩風險 資訊工業策進會科技法律研究所 2023年07月07日 近年來,科技快速發展,AI(人工智慧)等技術日新月異,在公私部門的應用日益廣泛,而且根據美國資訊科技研究與顧問公司Gartner在2023年5月發布的調查指出,隨著由OpenAI開發的ChatGPT取得成功,更促使各領域對於AI應用的高度重視與投入[1],與此同時,AI歧視及資料外洩等問題,亦成為社會各界的重大關切議題。 壹、事件摘要 目前AI科技發展已牽動全球經濟發展,根據麥肯錫公司近期發布的《生成式人工智慧的經濟潛力:下一個生產力前沿(The next productivity frontier)》研究報告指出,預測生成式AI(Generative AI)有望每年為全球經濟增加2.6兆至4.4兆的經濟價值[2]。同時在美國資訊科技研究與顧問公司Gartner對於超過2500名高階主管的調查中,45%受訪者認為ChatGPT問世,增加其對於AI的投資。而且68%受訪者認為AI的好處大於風險,僅有5%受訪者認為風險大於好處[3]。然而有社會輿論認為AI的判斷依賴訓練資料,將可能複製人類偏見,造成AI歧視問題,而且若程式碼有漏洞或帳戶被盜用時,亦會造成資料外洩問題。 貳、重點說明 首先,關於AI歧視問題,以金融領域為例,近期歐盟委員會副主席Margrethe Vestager強調若AI用於可能影響他人生計的關鍵決策時,如決定是否能取得貸款,應確保申請人不受性別或膚色等歧視[4],同時亦有論者認為若用於訓練AI的歷史資料,本身存有偏見問題,則可能導致系統自動拒絕向邊緣化族群貸款,在無形之中加劇,甚至永久化對於特定種族或性別的歧視[5]。 其次,關於資料外洩問題,資安公司Group-IB指出因目前在預設情況下,ChatGPT將保存使用者查詢及AI回應的訊息紀錄,若帳戶被盜,則可能洩露機敏資訊。據統計在2022年6月至2023年5月間,在亞太地區有近41000個帳戶被盜,而在中東和非洲地區有近25000個帳戶被盜,甚至在歐洲地區也有近17000個帳戶被盜[6]。另外在2023年3月時,ChatGPT除了發生部分用戶能夠檢視他人聊天紀錄標題的問題外,甚至發生個人資料外洩問題,即用戶可能知悉他人的姓名、電子郵件,付款地址,信用卡到期日及號碼末四碼等資料[7]。 參、事件評析 對於AI歧視及資料外洩等問題,應透過落實完善數位資料治理與管理機制,以降低問題發生的風險。首先,在收集訓練資料時,為篩選適合作為模型或演算法基礎的資料,應建立資料評估或審查機制,減少或避免使用有潛在歧視問題的資料,以確保分析結果之精確性。 其次,不論對於訓練資料、分析所得資料或用戶個人資料等,均應落實嚴謹的資料保密措施,避免資料外洩,如必須對於資料進行標示或分類,並依照不同標示或分類,評估及採取適當程度的保密措施。同時應對於資料進行格式轉換,以無法直接開啟的檔案格式進行留存,縱使未來可能不慎發生資料外洩,任意第三人仍難以直接開啟或解析資料內容。甚至在傳送帳戶登入訊息時,亦應採取適當加密傳送機制,避免遭他人竊取,盜取帳戶或個人資料。 財團法人資訊工業策進會科技法律研究所長期致力於促進國家科技法制環境完善,於2021年7月發布「重要數位資料治理暨管理制度規範(Essential Data Governance and Management System,簡稱EDGS)」,完整涵蓋數位資料的生成、保護與維護,以及存證資訊的取得、維護與驗證的流程化管理機制,故對於不同公私部門的AI相關資料,均可參考EDGS,建立系統性數位資料管理機制或強化既有機制。 本文同步刊登於TIPS網站(https://www.tips.org.tw) [1]Gartner, Gartner Poll Finds 45% of Executives Say ChatGPT Has Prompted an Increase in AI Investment (May 3, 2023), https://www.gartner.com/en/newsroom/press-releases/2023-05-03-gartner-poll-finds-45-percent-of-executives-say-chatgpt-has-prompted-an-increase-in-ai-investment (last visited June 30, 2023). [2]McKinsey, The economic potential of generative AI: The next productivity frontier (June 14, 2023), https://www.mckinsey.com/capabilities/mckinsey-digital/our-insights/the-economic-potential-of-generative-AI-the-next-productivity-frontier#introduction (last visited June 30, 2023). [3]Gartner, supra note 1. [4]Zoe Kleinman, Philippa Wain & Ashleigh Swan, Using AI for loans and mortgages is big risk, warns EU boss (June 14, 2023), https://www.bbc.com/news/technology-65881389 (last visited June 30, 2023). [5]Ryan Browne & MacKenzie Sigalos, A.I. has a discrimination problem. In banking, the consequences can be severe (June 23, 2023), https://www.cnbc.com/2023/06/23/ai-has-a-discrimination-problem-in-banking-that-can-be-devastating.html (last visited June 30, 2023). [6]Group-IB, Group-IB Discovers 100K+ Compromised ChatGPT Accounts on Dark Web Marketplaces; Asia-Pacific region tops the list (June 20, 2023), https://www.group-ib.com/media-center/press-releases/stealers-chatgpt-credentials/ (last visited June 30, 2023). [7]OpenAI, March 20 ChatGPT outage: Here’s what happened (Mar. 24, 2023),https://openai.com/blog/march-20-chatgpt-outage (last visited June 30, 2023).

美國發布保護無人機系統資通訊技術及服務供應鏈之法規制定預告

.Pindent{text-indent: 2em;} .Noindent{margin-left: 2em;} .NoPindent{text-indent: 2em; margin-left: 2em;} .No2indent{margin-left: 3em;} .No2Pindent{text-indent: 2em; margin-left: 3em} .No3indent{margin-left: 4em;} .No3Pindent{text-indent: 2em; margin-left: 4em} 美國商務部產業安全局(Bureau of Industry and Security, BIS)於2025年1月2日發布保護無人機系統資通訊技術及服務供應鏈(Securing the Information and Communications Technology and Services Supply Chain: Unmanned Aircraft Systems)之法規制定預告(advance notice of proposed rulemaking, ANPRM),其目的在於透過維護供應鏈安全,避免中俄等外國敵對勢力,藉由參與無人機系統(Unmanned Aircraft Systems, UAS)資通訊技術與服務(Information and Communications Technology and Services, ICTS)遠端存取和操縱UAS,提高美國敏感資訊暴露風險。本次ANPRM是BIS依據2019年5月15日川普總統簽署之確保ICTS供應鏈安全的第13873號行政命令所發布。 為確保UAS安全,BIS針對下列事項尋求公眾意見,包括但不限於: 1. 無人機系統及其零組件的定義: 針對BIS初步認定之下列UAS平台必要組成部分,評估其定義和標準功能:(1)機載電腦;(2)通訊系統;(3)飛行控制系統;(4)地面控制站或系統;(5)運作軟體;(6)任務規劃軟體;(7)智慧型電池電源系統;(8)本地和外部資料儲存設備和服務;及(9)人工智慧軟體或應用程式; 2. 評估是否有資料外洩和遠端存取控制以外的其他風險; 3. 評估不同外國敵對勢力帶來的風險,例如:是否應考慮與外國敵對勢力有關聯的特定個人或實體等; 4. 評估例外可允許交易的情形;及 5. 評估相關經濟性影響,例如:對美國企業或公眾資料隱私和保護、反競爭效應(Anticompetitive Effects)等,及其應有的相應措施。 BIS開放公眾得針對該ANPRM於2025年3月4日前提出意見,俾利後續發布法規。

TOP