歐盟第29條工作小組發布「自動化個人決策和分析指引」處理個人資料自動化決策與資料剖析風險問題
歐盟第29條工作小組於2017年10月3日為因應歐盟一般資料保護規則（GDPR）第22條規定發布「自動化個人決策和分析指引」（Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679，2018年2月6日進一步修正，下稱指引），處理對個人資料自動化決策（automated decision-making）和個人檔案剖析（Profiling）的建立。
指引分為五個部分與最佳實踐建議，旨在幫助資料控制者（controller）合乎GDPR對個人資料自動化決策和分析的要求，內容包括下幾點：1.定義自動化決策和分析，以及GDPR對這些概念的處理方法；2.對GDPR第22條中關於自動化決策的具體規定；3.對自動決策和分析的一般規定；4.兒童和個人檔案剖析（Profiling）的建立；5.資料保護影響評估。
指引的主要內容包括：
個人檔案剖析（Profiling），意謂收集關於個人（或一群個人）的資料，並分析他們的特徵或行為模式，加以分類或分群，放入特定的類別或組中，和/或進行預測或評估（例如，他們執行任務的能力，興趣或可能的行為）。
禁止對個人資料完全自動化決策，包括有法律上法或相類重大影響的檔案剖析，但規則也有例外。應有措施保障資料主體的權利，自由和合法利益。
GDPR第22條第二項a之例外規定，（履行契約所必需的），自動化個人決策時，應該作狹義解釋。資料控制者必須能夠提出分析、自動化個人決策的必要性，同時考慮是否可以採取侵害隱私較少之方法。
工作小組澄清，關於在要求提供有關自動化決策所涉及的邏輯上有意義的資料時，控制者應以簡單的方法，告訴資料主體其背後的理由或依據的標準，而不得總是以自動化決策所使用算法進行複雜的解釋或者公開完整的算法為之。所提供的資料應該對資料當事人有意義。
對資料主體提供關於處理自動化決策上有關重要性和預期後果的資料，其意義在於必須提供關於該資料之用途或資料未來處理以及自動化決策如何影響資料主體的重要訊息。例如，在信用評等的情況下，應有權知道其資料處理的基礎，資料主體並能對其作出正確與否的決定，而不僅僅是關於決策本身的資料。
「法律效果」是指對某人的法律權利有影響，或者影響到個人法律關係或者其契約上權利。
工作組並未將GDPR前言71段視為絕對禁止純粹與兒童有關的自動決定，指出僅在某些情況下才有其適用（例如，保護兒童的福利）。
在基於自動化處理（包括分析）以及基於哪些決策產生法律效應或類似顯著效果的基礎上對個人方面進行系統和廣泛評估的情況下，進行資料保護影響評估並不局限於「單獨」自動化處理/決定。
本文為「經濟部產業技術司科技專案成果」
洪政緯
法律研究員 編譯整理
1. Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679，http://ec.europa.eu/newsroom/document.cfm?doc_id=47742
2. Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679 (wp251rev.01)，http://ec.europa.eu/newsroom/article29/document.cfm?doc_id=49826
3. Bitkom views on Article 29 Working Party draft guidelines on automated individual decision-making including profiling, https://www.bitkom.org/noindex/Publikationen/2017/Positionspapiere/20171127-Bitkom-Position-Paper-WP251-Profiling-Engl-Final.pdf
美國聯邦第9巡迴上訴法院日前針對一項於2005年制定之加州法律進行罕見的聽審程序，以便決定此一州法是否因違反聯邦憲法第一修正案而無效。 此一法律之內容係禁止販售或出租暴力電玩予任何未滿十八歲之人，且要求此種電玩均須加以明確標誌。而電玩廠商則宣稱此一法律已侵犯了未成年人受憲法第一修正案所保護之言論自由。而值得注意者為，除去年下級法院已對此一案件做出電玩廠商勝訴之判決外，其他的州法院也紛紛做出具有類似限制內容之法律為違憲無效之判決。 然而，儘管如此，加州檢察總長Zackery Morazzini依然表示：州政府本即有權協助家長使未成年人遠離暴力電玩的不良影響。且美國聯邦最高法院亦已肯認禁止未成年人接觸明顯「性資訊」之法律為合憲。與此相同，暴力電玩可說亦同樣具有「猥褻」之特性。 而電玩廠商於訴訟中則表示：倘若此一法律得以合憲，則勢必會產生滑坡效應，即州政府勢必將會以保護兒童為藉口，而對於其它資訊，諸如同性戀、性教育、生育控制等等之提供作出更多的限制。而此種滑坡效應，顯然亦是第9巡迴上訴法院所關切的重點之一：如Alex Kozinski及Sidney Thomas兩位法官，均在聽審程序中特別表達對於此一效應的關注。 無論如何，上訴法院亦將於未來幾個月內對於此案做出判決。然而，顯而易見的是，無論上訴法院會如何裁判，本案最終仍須經聯邦最高法院裁決後方能有最終決定。
歐盟資通安全局（ENISA）提出資通安全驗證標準化建議歐盟資通安全局（European Union Agency for Cybersecurity, ENISA）（舊稱歐盟網路與資訊安全局European Union Agency for Network and Information Security）於2020年2月4日發布資通安全驗證標準化建議（Standardisation in support of the Cybersecurity Certification: Recommendations for European Standardisation in relation to the Cybersecurity Act），以因應2019/881歐盟資通安全局與資通安全驗證規則（簡稱資通安全法）（Regulation 2019/881 on ENISA and on Information and Communications Technology Cybersecurity Certification, Cybersecurity Act）所建立之資通安全驗證框架（Cybersecurity Certification Framework）。 受到全球化之影響，數位產品和服務供應鏈關係複雜，前端元件製造商難以預見其技術對終端產品的衝擊；而原廠委託製造代工（OEM）亦難知悉所有零件的製造來源。資通安全要求與驗證方案（certification scheme）的標準化，能增進供應鏈中利害關係人間之信賴，降低貿易障礙，促進單一市場下產品和服務之流通。需經標準化的範圍包括：資訊安全管理程序、產品、解決方案與服務設計、資通安全與驗證、檢測實驗室之評估、資通安全維護與運作、安全採購與轉分包程序等。 ENISA認為標準化發展組織或業界標準化機構，在歐盟資通安全之協調整合上扮演重要角色，彼此間應加強合作以避免重複訂定標準。目前有三組主要國際標準可構成資通安全評估之基礎： ISO/IEC 15408/18045–共通準則與評估方法：由ISO/IEC第1共同技術委員會（JTC1）及第27小組委員會（SC27）進行重要修訂。 IEC 62443-4-2–工業自動化與控制系統之安全第4-2部分：作為工業自動化與控制系統元件的技術安全要求。 EN 303-645–消費性物聯網之資通安全：由歐洲電信標準協會（ETSI）所建立，並與歐洲標準委員會（CEN）、歐洲電工標準化委員會（CENELEC）協議共同管理。 然而，資通訊產品、流程與服務種類繁多，實際需通過哪些標準檢驗才足以證明符合一定程度的安全性，則有賴驗證方案的規劃。為此，ENISA亦提出資通安全驗證方案之核心構成要件（core components）及建構方法論，以幫助創建歐盟境內有效的驗證方案。
資通安全法律案例宣導彙編 第4輯 陳總統：打造台灣成亞太生技營運中心陳水扁總統表示，行政院推動「加強生物技術產業推動方案」，將在5年內帶動1500億元投資、10年內成立500家以上生技公司，打造台灣成為亞太地區生技創投、研發以及營運中心。他期盼中研院基因體研究中心大樓加中研院頂尖研究團隊，如同承載台灣「兩兆雙星」中生技之星的「子彈列車」，引領台灣生技產業超越各國，奔馳在世界最前端。 陳總統表示，本世紀人類基因體序列的解碼，開創並主導了生技產業革命性的發展，展望未來，生命科學家所面臨的挑戰，將更著重於瞭解基因的複雜性、以及解析蛋白質結構與功能，並藉此發展新的生技醫療產品，以改良人類生活及生命品質。 有鑑於「基因與蛋白體研究」是全球廣泛重視的尖端科學，陳總統說，政府自2002年即進行「基因體醫學國家型計畫」，在各地籌建基礎設施和研發中心，而「中研院基因體研究中心」正是推展計畫的核心工程。他相信，這項重大投資將提供一個健全的研發環境及專業技術平台，協助台灣的生技產業掌握市場利基，進而落實行政院在「加強生物技術產業推動方案」中所訂定各項發展目標。