英國資訊委員辦公室（ICO）進行監理沙盒初步公眾意見徵詢
英國資訊委員辦公室（Information Commissioner's Office, ICO）2018年9月就監理沙盒為初步公眾意見徵詢，以瞭解其可行性。ICO監理沙盒之建立係依據英國2018-2021年科技策略（Technology Strategy for 2018-2021），並參考英國金融行為監理總署（Financial Conduct Authority, FCA）已成功發展之沙盒機制。ICO將提供組織於安全可控且不排除資料保護法規適用的環境下，以創新方式應用個資於開發創新產品與服務，並提供關於降低風險與資料保護設計（data protection by design）的專業知識和建議，同時確保組織採取適當安全維護措施。徵詢重點分為六部分：
- 障礙和挑戰（Barriers and Challenges）：歐盟一般資料保護規則（General Data Protection Regulation, GDPR）或英國2018年資料保護法（Data Protection Act 2018, DPA18）之適用，以及ICO之監管方法，是否造成組織以創新方式應用個資於開發創新產品與服務之障礙或挑戰。
- 適用之可能範圍（Possible scope of an ICO Sandbox）
- 了解參與益處（Understanding the benefits of involvement）
- 機制（Sandbox mechanisms）：於監理沙盒機制下不同階段提供指導，初期就如何解決資料保護相關問題提供非正式之指導（informal steers）；中期提供法律允許與具適當保護措施之監管指導，如對參與者進入沙盒期間內非故意違反資料保護原則之行為，不會立即受到制裁之聲明函（letters of comfort）、確認組織未違反相關資料保護法規等；以及針對新興技術和創新特定領域，提供解決資料保護挑戰之預期指導（anticipatory guidance），如訂定相關行為準則（code of conduct）。
- 時機（Sandbox timings）：包含開放申請進入沙盒時點、進入模式、是否彈性因應產品開發週期、測試階段期間等。
- 管理需求（Managing Demand）：如設定優先進入沙盒領域、類型、設定參與者數量上限等。
該諮詢於10月12日結束，2018年底將公布結果，值得持續追蹤，以瞭解ICO監理沙盒未來之發展。
ICO亦接續於10月建立監管機關業務和隱私創新中心（Regulators’Business and Privacy Innovation Hub），與其他監管機關合作提供資料保護之專業知識，以確保法規與未來的技術同步發展；該中心也將與ICO監理沙盒共同推動，支持組織以不同方式使用個資開發創新產品和服務。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
孫鈺婷
專案經理 編譯整理
ICO, ICO call for views on creating a regulatory sandbox, https://ico.org.uk/about-the-ico/ico-and-stakeholder-consultations/ico-call-for-views-on-creating-a-regulatory-sandbox/ (last visited Oct. 31, 2018).
ICO, Regulatory sandbox survey (Call for evidence: Regulatory Sandbox), https://ico.org.uk/media/about-the-ico/consultations/2259746/regulatory-sandbox-call-for-evidence.pdf (last visited Oct. 31, 2018).
ICO, Technology Strategy for 2018-2021, https://ico.org.uk/media/about-the-ico/documents/2258299/ico-technology-strategy-2018-2021.pdf (last visited Oct. 31, 2018).
ICO, New ICO hub to support innovation, https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2018/10/new-ico-hub-to-support-innovation/ (last visited Oct. 31, 2018).
2011年7月29日美國聯邦巡迴上訴法院針對Myriad Genetics公司之單離去氧核糖核酸（isolated DNA）專利無效上訴案作出判決，認定人體基因具有可專利性。 本案緣起於Myriad Genetics公司利用單離DNA BRCA1及BRCA2兩項基因，發展出一套乳癌風險檢測技術，並成功取得7項專利。未料2009年時，美國公民自由聯盟（American Civil Liberties Union，ACLU）及美國公共專利基金會（Public Patent Foundation，PUBPAT）以「授予單離DNA專利權係違反專利法第101條規定」為由，向紐約南區聯邦地方法院提起確認專利無效之訴，並獲致勝訴判決後，全案便上訴至聯邦巡迴法院。 美國專利法第101條（35 U.S.C §101）雖規定：「任何人發明或發現新而有用的方法、設備、製品或物之組合，或新而有用的改良，皆可依本法所定條件取得專利。」但標的若屬自然產物（product of nature）者，則不應授予專利。因此，本案關鍵問題在於：單離DNA是否屬於自然產物？ 針對此一問題，巡迴法院以1887年聯邦最高法院於Hartranft v. Wiegmann案中所闡明的「人為介入（human intervention）是否已賦予發明物與自然產物明顯不同的特質」原則為判斷標準，認定單離DNA雖取自於原生DNA（native DNA），但其經化學處理後可釋放出特定分子，已與人體內之原生DNA有顯著不同，故具有可專利性。此外，法院更指出，美國專利局（The US Patent and Trademark Office，USPTO）自80年代迄今已釋出40,000件以上與DNA分子相關之專利，其中有20%為人類基因，此種長年行政慣例即便有誤，亦應由國會加以變更，而非法院。 本案受矚目之處，在於Myriad公司上訴時，美國司法部即透過法庭之友建議書（friend of the court briefs），向巡迴法院表明其否認人類基因具有可專利性的立場，因此本案判決結果等同於對司法部見解之否決。美國生技業者則認為單離基因專利（isolated gene patent）是生技產業的基石，此判決結果符合專利局一貫的專利政策，而此政策正是過去催生美國生技產業的推手；惟外界預料本案極可能再上訴至聯邦最高法院，屆時將對美國生技產業造成何種影響，值得持續觀察。
日本公布「資料與競爭政策檢討會報告書」並探討資料收集利用違反《獨占禁止法》行為近年來，受到物聯網和人工智慧技術高度發展影響，大數據的重要性逐漸提昇。為避免資料不當收集和資料被不當佔據等可能妨礙競爭之行為，以利業者透過資料收集、累積和分析等方式，創造出新的產業價值，日本公平交易委員會於競爭政策研究中心設置「資料與競爭政策檢討會」，自2017年1月至6月間舉辦數次檢討會，並於2017年6月6日公布《資料與競爭政策檢討會報告書》。該書一共5章，內容為第1章檢討背景，第2章回顧資料環境變化與利用現狀，第3章檢討現今競爭政策及《獨占禁止法》，第4章資料收集、利用相關行為，以及第5章企業結合審查等與資料利用相關之事項。 報告書指出，業者不當收集資料和不當佔據資料等行為，均有適用《獨占禁止法》之可能。前者係指具有優勢地位的業者，利用關係要求有業務往來的企業提供資料等行為，如原本只需要性別和年齡資訊，卻額外要求對方提供住所、電話等訊息；後者則係指業者利用不正當方法與顧客聯繫，排除其他競爭者等行為，如排他性交易、拒絕交易、差別待遇等。
演算法歧視將適用於《紐澤西州反歧視法》2025年1月9日美國紐澤西州檢查總長與民權部（Division of Civil Rights, DCR）聯合發布「演算法歧視指引」（Guidance on Algorithmic Discrimination and the New Jersey Law Against Discrimination），指出《紐澤西州反歧視法》（the New Jersey Law Against Discrimination, LAD）亦適用於基於演算法所衍生的歧視。 隨著AI技術日趨成熟，社會各領域已大量導入自動化決策工具，雖然它們能提高決策效率但也增加了歧視發生之風險。指引的目的在於闡述自動化決策工具在AI設計、訓練或部署階段可能潛藏的歧視風險，亦列舉出在各類商業實務情境中常見的自動化決策工具，並說明它們可能會如何產生演算法歧視。以下分別說明《紐澤西州反歧視法》適用範圍，以及與演算法歧視有關的行為樣態。 一、《紐澤西州反歧視法》之適用主體及適用客體 《紐澤西州反歧視法》禁止在就業、住房及公共場所等領域所發生的一切歧視行為，其適用主體相當廣泛，包含但不限於下列對象：雇主、勞工組織、就業仲介機構、房東、房地產經紀人、公共場所之經營或管理者、以及任何教唆或協助歧視行為之個人；而該法之適用客體亦有明確定義，為具有受保護特徵（如性別、族裔、身心障礙等）之自然人或法人。 此外指引特別說明，即便適用主體無意歧視、或其所使用之自動化決策工具係由第三方所開發，只要發生歧視行為依然違反《紐澤西州反歧視法》。這是因為《紐澤西州反歧視法》係針對歧視所帶來的影響進行規範，儘管無意歧視，其所帶來的影響並不一定比故意歧視還要輕微。 二、 歧視行為的三種樣態 1.差別待遇歧視 差別待遇歧視係指適用主體基於受保護特徵而對適用客體施予不同對待。舉例而言，若房東使用自動化決策工具來評估黑人潛在租戶，但不評估其他族裔的潛在租戶，則會因為其選擇性使用自動化決策工具而構成歧視。 2.差別影響歧視 差別影響歧視係指適用主體的政策或行為對適用客體造成不成比例的負面影響，且該政策或行為未能證明具有正當性、非歧視性、或不存在較少歧視性的替代方案，則該政策或行為構成歧視。例如，某商店利用臉部辨識技術來偵測過去曾有偷竊紀錄的顧客，但該系統對配戴宗教頭巾的顧客較容易產生誤判，此亦可能構成歧視。 3.未提供合理調整 合理調整係指身心障礙者、宗教信仰者、懷孕者以及哺乳者，在不會對適用主體造成過度負擔的前提下，得向其提出合理請求，以符合自身的特殊需求。以身心障礙員工為例，若雇主使用了自動化決策工具來評估員工的工作表現（例如監測員工的休息時間是否過長），在未考量合理調整的情況下，該工具可能會過度針對身心障礙員工進而構成歧視。 為減少演算法歧視發生頻率，「演算法歧視指引」特別闡述自動化決策工具可能會出現的歧視行為及歧視樣態。此份指引的另一個意義在於，縱使目前紐澤西州並沒有一部監管AI的專法，但仍可以利用現行的法律去處理AI帶來的種種問題，以利在既有的法律架構內擴充法律的解釋來回應新科技的挑戰，並達到實質管制AI的效果。
新加坡個人資料保護委員會2017年7月發布資料共享指引新加坡個人資料保護委員會(Personal Data Protection Commission, PDPC)於2017年7月27日發布資料共享指引(GUIDE TO DATA SHARING)，該指引協助組織遵守新加坡2012年個人資料保護法(Personal Data Protection Act 2012, PDPA)，並提供組織內部和組織之間的個資共享指引，例如得否共享個資，與如何應用，以確保符合PDPA共享個資之適當方法；並得將特定資料共享而豁免PDPA規範。該指引共分為三部分，並有附件A、B。 指引的第一部分為引言，關於資料共享區分為三種類型探討： 在同一組織內或關係組織間共享 與資料中介機構共享(依契約約定資料留存與保護義務) 與一個或多個組織共享(在不同私部門間、公私部門間) 共享包含向一或多組織為利用、揭露或後續蒐集個資；而在組織內共享個人已同意利用之個資，組織還應制定內部政策，防止濫用，並避免未經授權的處理、利用與揭露；還應考慮共享的預期目的，以及共享可能產生的潛在利益與風險。若組織在未經同意的情況下共享個資，必須確保根據PDPA的相關例外或豁免之規定。 指引的第二部分則在決定共享資料前應考慮的因素： 共享目的為何？是否適當？ 共享的個資類型為何？是否與預期目的相關？ 在該預期目的下，匿名資料是否足以代替個資？ 共享是否需要得同意？是否有例外? 即使無須同意，是否需通知共享目的？ 共享是否涉及個資跨境傳輸? 上述因素還能更細緻對應到附件A所列應思考問題，附件B則有相關作業流程範例。 指引的第三部分，具體說明如何共享個資，與資料共享應注意規範，並提供具體案例參考，值得作為組織遵守新加坡個人資料保護規範與資料共享之參考依據。