歐盟第29條工作小組發布「自動化個人決策和分析指引」處理個人資料自動化決策與資料剖析風險問題
歐盟第29條工作小組於2017年10月3日為因應歐盟一般資料保護規則（GDPR）第22條規定發布「自動化個人決策和分析指引」（Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679，2018年2月6日進一步修正，下稱指引），處理對個人資料自動化決策（automated decision-making）和個人檔案剖析（Profiling）的建立。
指引分為五個部分與最佳實踐建議，旨在幫助資料控制者（controller）合乎GDPR對個人資料自動化決策和分析的要求，內容包括下幾點：1.定義自動化決策和分析，以及GDPR對這些概念的處理方法；2.對GDPR第22條中關於自動化決策的具體規定；3.對自動決策和分析的一般規定；4.兒童和個人檔案剖析（Profiling）的建立；5.資料保護影響評估。
指引的主要內容包括：
個人檔案剖析（Profiling），意謂收集關於個人（或一群個人）的資料，並分析他們的特徵或行為模式，加以分類或分群，放入特定的類別或組中，和/或進行預測或評估（例如，他們執行任務的能力，興趣或可能的行為）。
禁止對個人資料完全自動化決策，包括有法律上法或相類重大影響的檔案剖析，但規則也有例外。應有措施保障資料主體的權利，自由和合法利益。
GDPR第22條第二項a之例外規定，（履行契約所必需的），自動化個人決策時，應該作狹義解釋。資料控制者必須能夠提出分析、自動化個人決策的必要性，同時考慮是否可以採取侵害隱私較少之方法。
工作小組澄清，關於在要求提供有關自動化決策所涉及的邏輯上有意義的資料時，控制者應以簡單的方法，告訴資料主體其背後的理由或依據的標準，而不得總是以自動化決策所使用算法進行複雜的解釋或者公開完整的算法為之。所提供的資料應該對資料當事人有意義。
對資料主體提供關於處理自動化決策上有關重要性和預期後果的資料，其意義在於必須提供關於該資料之用途或資料未來處理以及自動化決策如何影響資料主體的重要訊息。例如，在信用評等的情況下，應有權知道其資料處理的基礎，資料主體並能對其作出正確與否的決定，而不僅僅是關於決策本身的資料。
「法律效果」是指對某人的法律權利有影響，或者影響到個人法律關係或者其契約上權利。
工作組並未將GDPR前言71段視為絕對禁止純粹與兒童有關的自動決定，指出僅在某些情況下才有其適用（例如，保護兒童的福利）。
在基於自動化處理（包括分析）以及基於哪些決策產生法律效應或類似顯著效果的基礎上對個人方面進行系統和廣泛評估的情況下，進行資料保護影響評估並不局限於「單獨」自動化處理/決定。
本文為「經濟部產業技術司科技專案成果」
洪政緯
法律研究員 編譯整理
1. Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679，http://ec.europa.eu/newsroom/document.cfm?doc_id=47742
2. Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679 (wp251rev.01)，http://ec.europa.eu/newsroom/article29/document.cfm?doc_id=49826
3. Bitkom views on Article 29 Working Party draft guidelines on automated individual decision-making including profiling, https://www.bitkom.org/noindex/Publikationen/2017/Positionspapiere/20171127-Bitkom-Position-Paper-WP251-Profiling-Engl-Final.pdf
App已成為多數人每日不可或缺之夥伴，其應用層面廣及食、衣、住、行、育、樂等生活領域；不過用戶可能多未意識到，在App程式的下載及安裝過程中，開發供應商會記錄或接觸使用者手機中如電話簿、照片、影音檔案、簡訊、密碼記錄等其他資訊之可能。根據華爾街日報報導，56%的應用程式在用戶不知情的情況下，手機ID會發送給廠商；47%的應用程式會透露用戶的所處位置，使得個人隱私蕩然無存。 加拿大當地的隱私法規要求企業在追求創新及企業精神時必須將隱私保護納入考量；而在行動裝置應用環境中，無論是開發商、服務供應商、應用平台或是廣告商，只要有接觸用戶個人資訊之可能，就有遵守法規之義務。但考量App這樣一個嶄新又快速發展的科技生態，在實踐隱私保護精神之初可能會面臨到新的衝擊與挑戰。因此，加拿大隱私權主管機關（Office of the Privacy Commissioner of Canada，簡稱OPC）乃會同加拿大境內的阿爾伯特及不列顛哥倫比亞兩省各自之地方主管機關（其分別為Office of the Information & Privacy Commissioner of Alberta及Office of the Information & Privacy Commissioner for British Columbia）撰寫指導文件，希望能提供當地App開發供應商建議方案。 該項建議方案促使行動軟體開發供應商在設計與開發App應用程式時必須顧及使用者隱私之保護，並提供協助方式與預防原則，提高使用者隱私受保護之程度；除必須使用清晰且易懂之方式告知用戶的個人資料將進行何種用途外，在使用者下載前亦應告知被蒐集之資料類別及原因、資料儲存位置或地點、資料分享之可能及其原因、資料保存之期限、及其他可能影響用戶隱私之事件；倘若廠商必須變更隱私政策與規定，則應使用明確易懂之方式事先通知所有使用者了解進行何項變更，以強化用戶隱私與個人資料保護意識。
何謂「國家科學技術發展計畫」?「國家科學技術發展計畫」為政府考量國家發展方向、社會需求情形以及區域均衡發展，而擬定之國家科學技術政策與推動科學技術研究發展之依據。依照《科學技術基本法》第10條之規定，國家科學技術發展計畫之訂定，應參酌中央研究院、科學技術研究部門、產業部門及相關社會團體之意見，並經全國科學技術會議討論後，由行政院核定。 全國科學技術會議每四年召開一次，最近一次會議為2013年的「第九次全國科技會議」，該次會議通過了民國102-105年的「國家科學技術發展計畫」，針對我國科技發展提出7項目標、27項策略及58項重要措施。7項目標包括：提升臺灣的學研地位、做好臺灣的智財布局、推動臺灣永續發展、銜接上游學研與下游產業、推動由上而下的科技計畫、提升臺灣科技產業創新動能、解決臺灣的科技人才危機等。
歐盟執委會公佈GMOs法制之評估報告歐盟執行委員會(European Commission)於2011年10月28日公佈兩份針對歐盟基因改造作物(Genetically Modified Organisms, GMOs)之評估報告，這兩份報告係由執委會委託兩個獨立顧問機構所完成，評估時間自2009年至2011年。第一份報告係針對GMOs食品與飼料規範(EU's legislative framework in the field of GM food and feed)之評估報告；第二份報告係針對GMOs耕作規範(legislative framework in the area of GMOs cultivation)之評估報告。此兩份報告之重要性在於，其收集來自官方及民間對於GMOs法制之事實陳述與意見，如健康與環境的保護、國內市場的產物規範等議題，可作為未來改善歐盟GMOs法制的基礎。 評估指出，歐盟的GMOs法制就健康與環境保護之規範並無偏誤；但在效率及透明度上，尚有改善之空間。此外越來越多含有基因改造的農作物輸入歐盟造成健康及環境之威脅，而須進一步改善風險評估之作法以及調整相關法制。 在過去一年中，執委會已採納報告中之部分建議，著手針對現存法制作出微調及改善，包括： 1.在GMOs耕作上需要更多的彈性。 2.低度殘留(Low Level Presence, LLP)的解決方案。 3.收集關於GMOs耕作的社會經濟層面之技術資訊。 4.新作物播種技術之評估。 5.監控活動的加強。 6.針對成員國批准風險評估的指導方針(Guideline)法制化之檢討與改革。 7.對於GMOs重要議題的溝通活動之改善。 除上述之改善工作持續進行，在接下來幾週，執委會將針對農產品輸入許可制度提出改善方案，以建立更嚴謹的許可要求。由這兩份報告的公佈，可以預見未來歐盟將持續完善現存法制，而此兩份評估報告將如何影響歐盟的GMOs規範，值得持續觀察。
新加坡發布《無形資產揭露框架》，鼓勵企業主動揭露「無形資產」現況，以創造更高的價值新加坡政府於2023年9月4日發布《無形資產揭露框架》（Intangibles Disclosure Framework, IDF），鼓勵企業以系統化的方式，主動對外揭露所持有之「無形資產」（如品牌價值、專利等），使利害關係人（如投資者、合作夥伴等）能進一步瞭解其「無形資產」現況，藉此創造「無形資產」更高的價值。本框架是在「新加坡智慧財產局」（Intellectual Property Office of Singapore, IPOS）及「會計與企業管理局」（Accounting and Corporate Regulatory Authority, ACRA）主導下，由產業代表組成的工作小組歷時2年討論後制定發布。 框架中指出，過去20年間，全球「無形資產」的投資和所創造之價值逐步超過「有形資產」。然而，傳統會計準則往往無法完全真實反映企業所持有之「無形資產」價值，亦即「無形資產」價值往往被低估。因此，本框架鼓勵企業主動揭露，並建議可將「無形資產」現況納入公司年報（Annual Report）中，亦可獨立成一份報告，與公司財報（financial statements）一同發布。 此外，企業在揭露「無形資產」時可依循以下四項原則（簡稱「SIMM原則」）： 1.策略（Strategy）： 企業應揭露「無形資產」與其商業經營策略的關聯性、佈局狀況、貢獻度，使利害關係人瞭解企業是如何利用「無形資產」維持其競爭優勢及替投資者創造更多的收益。 2.識別（Identification）： 本框架指出「無形資產」不用侷限於傳統會計準則的定義，企業應揭露「無形資產」的性質和特徵（包含如何取得），並建議可將「無形資產」分類，如：（1）行銷類；（2）顧客類；（3）契約類；（4）藝術類；（5）技術類；（6）人力資源類。 3.衡量（Measurement）： 企業應揭露其評估（assess）「無形資產」價值的績效指標與驅動因子，並以量化方式呈現。如針對商標等「行銷類」之「無形資產」，企業得以顧客滿意度、國際品牌排名作為評估之績效指標。企業亦可選擇揭露「無形資產」的貨幣價值（monetary value），其評價應依照國際評價準則（International Valuation Standards , IVS）進行。 4.管理（Management）： 企業應揭露其如何識別、評估、管理與各類「無形資產」相關之風險與機會，以及如何將這些程序整合至企業整體風險管理策略中，以協助利害關係人瞭解企業「無形資產」所面臨之風險和機會。譬如企業應明確揭露監控相關風險之頻率、定期更新風險管理政策和程序等。 新加坡總理公署部長（Minister of Prime Minister's Office）Indranee Rajah表示，本框架是「新加坡智慧財產戰略」（Singapore IP Strategy 2030, SIPS 2030）的重要推動措施之一，企業若能主動揭露「無形資產」現況，將有助於將其「無形資產」商業化、吸引更多的投資、增進風險管理、提升企業競爭力，持續強化新加坡作為全球智財活動及交易樞紐的地位。 本文同步刊登於TIPS網站（https://www.tips.org.tw）