歐盟第29條工作小組發布「自動化個人決策和分析指引」處理個人資料自動化決策與資料剖析風險問題
歐盟第29條工作小組於2017年10月3日為因應歐盟一般資料保護規則（GDPR）第22條規定發布「自動化個人決策和分析指引」（Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679，2018年2月6日進一步修正，下稱指引），處理對個人資料自動化決策（automated decision-making）和個人檔案剖析（Profiling）的建立。
指引分為五個部分與最佳實踐建議，旨在幫助資料控制者（controller）合乎GDPR對個人資料自動化決策和分析的要求，內容包括下幾點：1.定義自動化決策和分析，以及GDPR對這些概念的處理方法；2.對GDPR第22條中關於自動化決策的具體規定；3.對自動決策和分析的一般規定；4.兒童和個人檔案剖析（Profiling）的建立；5.資料保護影響評估。
指引的主要內容包括：
個人檔案剖析（Profiling），意謂收集關於個人（或一群個人）的資料，並分析他們的特徵或行為模式，加以分類或分群，放入特定的類別或組中，和/或進行預測或評估（例如，他們執行任務的能力，興趣或可能的行為）。
禁止對個人資料完全自動化決策，包括有法律上法或相類重大影響的檔案剖析，但規則也有例外。應有措施保障資料主體的權利，自由和合法利益。
GDPR第22條第二項a之例外規定，（履行契約所必需的），自動化個人決策時，應該作狹義解釋。資料控制者必須能夠提出分析、自動化個人決策的必要性，同時考慮是否可以採取侵害隱私較少之方法。
工作小組澄清，關於在要求提供有關自動化決策所涉及的邏輯上有意義的資料時，控制者應以簡單的方法，告訴資料主體其背後的理由或依據的標準，而不得總是以自動化決策所使用算法進行複雜的解釋或者公開完整的算法為之。所提供的資料應該對資料當事人有意義。
對資料主體提供關於處理自動化決策上有關重要性和預期後果的資料，其意義在於必須提供關於該資料之用途或資料未來處理以及自動化決策如何影響資料主體的重要訊息。例如，在信用評等的情況下，應有權知道其資料處理的基礎，資料主體並能對其作出正確與否的決定，而不僅僅是關於決策本身的資料。
「法律效果」是指對某人的法律權利有影響，或者影響到個人法律關係或者其契約上權利。
工作組並未將GDPR前言71段視為絕對禁止純粹與兒童有關的自動決定，指出僅在某些情況下才有其適用（例如，保護兒童的福利）。
在基於自動化處理（包括分析）以及基於哪些決策產生法律效應或類似顯著效果的基礎上對個人方面進行系統和廣泛評估的情況下，進行資料保護影響評估並不局限於「單獨」自動化處理/決定。
本文為「經濟部產業技術司科技專案成果」
洪政緯
法律研究員 編譯整理
1. Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679，http://ec.europa.eu/newsroom/document.cfm?doc_id=47742
2. Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679 (wp251rev.01)，http://ec.europa.eu/newsroom/article29/document.cfm?doc_id=49826
3. Bitkom views on Article 29 Working Party draft guidelines on automated individual decision-making including profiling, https://www.bitkom.org/noindex/Publikationen/2017/Positionspapiere/20171127-Bitkom-Position-Paper-WP251-Profiling-Engl-Final.pdf
英國在2019年7月11日於《2019-2020年財務法案》（Finance Bill 2019-20）之中，提出「數位服務稅」（Digital Services Tax）草案。《2019-2020年財務法案》已於2019年7月22日獲得御准（Royal Assent），並於2020年4月1日開始向跨國數位服務業者課徵2%數位服務稅。英國數位服務稅的主管機關「稅務海關總署」（HM Revenue and Customs）指出：「數位服務稅並不會影響個人，課徵的對象為大型跨國數位服務業者，如搜尋引擎（Search Engine）、社交媒體服務（Social Media Service）、線上購物平台（Online Marketplace)，包含在這些平台上營運的廣告。」英國課徵2%數位服務稅的對象為於全球營收超過5億英鎊，且2,500萬英鎊的營收來自英國用戶（UK User）的數位服務業者，其中，首次於英國營收達2,500萬英鎊者，可以免課徵一次。所謂英國用戶指的是慣居於英國之人（Normally Located in the UK），只要交易的其中一方為英國用戶，則整個交易收益視為應課徵數位服務稅之營收。營收計算方式涵蓋任何與平台營運相關的商業行為，所有來自於英國用戶的營收均會被列入計算，至於廣告收益則是以投放目標客群為英國用戶作為計算 因應全球化與數位化，七大工業國組織（G7）、二十國集團（G20）、經濟合作暨發展組織（OECD）相繼推出數位服務稅作為永續的策略。英國原先亦不存在數位服務稅相關法制，直至2019年7月11日才於《2019-2020年財務法案》提出，並開始徵詢公眾意見。英國政府期待透過數位服務稅的政策，讓稅務課徵更加公平、增進公共利益。目前，英國政府並沒有明定數位服務稅的落日條款，然而英國政府於政策報告書中說明，假設國際上有更完善的解決方案，即會停止數位服務稅的課徵。
英國通過「隱私及電子通訊規範」英國於今年5月26日通過「隱私及電子通訊規範」（The Privacy and Electronic Communications Regulations），實現隱私監督之責，以管控cookies或是侵害個人資料之行為。 新法納入歐盟於2009年e隱私指令中所決定之改變，旨在讓網路使用者自行決定資訊服務業或其他事業能儲存多少使用者之紀錄。但業者對此項新要求表示困惑，因此英國之隱私權主管監督機關資訊專員公署（Information Commissioner's Office，ICO）最近出版一份指引，指導網站如何遵守新法使用cookies功能之規定及履行告知義務之要求。然而指引中並未強制規定告知內容與方式，因此業者仍可自行決定如何最有效地履行告知義務。 ICO本週表示新法尚有一年之緩衝期間，讓業者調整使用cookies功能之方式。政府表示目前仍在與瀏覽企業者討論，如何透過瀏覽器頁面之設置取得當事人之同意，而此部分尚未規定在新法中。 「政府的指引太晚公布了，並且缺乏明確性，又無法確定新法是否能允許以瀏覽器技術作為解決之方法，這樣會讓業界無所適從」，任職於Pinsent Masons法律事務所的科技法律專家Clarie McCracken說，「此種非決定性之指引會使業者無法找到標準作法以避免觸犯新法。」。 ICO認為企業在新法正式施行前，最好趕快表明其如何使用cookies功能並制定相關規定以遵守新法。 新法同時要求特定企業當其所蒐集之個人資料遭受駭客攻擊或外洩時，其必須要告知消費者。根據新法，個人資料遭受侵害之定義為：某種安全狀態遭受攻擊，導致與公共電子通訊服務有關之個人資料被故意或不法毀損、滅失、竄改、越權揭露或存取、傳遞、儲存或其他相關利用。當上述情事發生時，公司必須通報ICO，說明大致情況及可能產生之結果，並提出公司將採取之因應措施，同時告知受害之消費者。
英國先進材料研發之促進輔助法制政策介紹 日本IPA/SEC公佈「IoT高信賴化機能編」指導手冊日本獨立行政法人情報處理推進機構（IPA/SEC）於2016年3月公佈「聯繫世界之開發指引」，並於2017年5月8日推出「IoT高信賴化機能編」指導手冊，具體描述上開指引中有關技術面之部份，並羅列開發IoT機器、系統時所需之安全元件與機能。該手冊分為兩大部份，第一部份為開發安全的IoT機器和關聯系統所應具備之安全元件與機能，除定義何謂「IoT高信賴化機能」外，亦從維修、運用角度出發，整理開發者在設計階段須考慮之系統元件，並依照開始、預防、檢查、回復、結束等五大項目進行分類。第二部份則列出五個在IoT領域進行系統連接之案例，如車輛和住宅IoT系統的連接、住家內IoT機器之連接、產業用機器人與電力管理系統之連接等，並介紹案例中可能產生的風險，以及對應該風險之機能。IPA/SEC希望上開指引能夠作為日後國際間制定IoT國際標準的參考資料。