英國因劍橋分析個資外洩事件開罰臉書
英國資訊專員辦公室（Information Commissioner’s Office, ICO）於2018年10月24日公告針對臉書公司（Facebook Ireland Ltd. & Facebook Inc.）之劍橋分析（Cambridge Analytica）個資外洩事件，依據英國資料保護法（Data Protection Act 1998）第55A條之規範，裁罰臉書公司50萬英鎊之罰鍰。
自2018年3月劍橋分析違法取得與使用臉書個資事件爆發以來，估計約有8700萬筆臉書上的個人資料遭到違法使用，引起全球對於網路個資保護的重視。在遭到違法取得與使用的個資當中，也包含了歐盟以及英國臉書使用者的個資，因此英國ICO有權對此事件展開調查並對臉書公司進行裁罰。
根據英國ICO的調查，自2007年至2014年間，臉書公司對於其平台上的個資處理（processed）有所不當，違反資料保護法之資料保護原則（Data Protection Principle，DPP），包含未適當處理個人資料（DPP1），以及未採取足夠的技術與作為防止未經授權或違法使用個資（DPP7），致使劍橋分析得以透過臉書公司提供之API違法取用臉書使用者個資。
由於劍橋分析事件發生時，歐盟GDPR（General Data Protection Regulation）尚未正式上路，因此英國ICO依據事件發生時之法律，亦即基於歐盟資料保護指令（Directive 95/46/EC）所訂定之英國資料保護法，裁處臉書公司50萬英鎊的罰款；若依據基於GDPR之新版英國資料保護法（Data Protection Act 2018），臉書公司將可被裁處最高1700萬英鎊或年度全球營業額4%之罰款。
本文為「經濟部產業技術司科技專案成果」
范晏儒
專案經理 編譯整理
Facebook Ireland Ltd monetary penalty notice, Information Commissioner’s Office, https://ico.org.uk/action-weve-taken/enforcement/facebook-ireland-ltd/ (last visited: Nov. 12, 2018)
ICO issues maximum £500,000 fine to Facebook for failing to protect users’ personal information, Information Commissioner’s Office, https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2018/10/facebook-issued-with-maximum-500-000-fine/ (last visited: Nov. 12, 2018)
UK fines Facebook £500,000 for failing to protect user data, The Guardian, https://www.theguardian.com/technology/2018/oct/25/facebook-fined-uk-privacy-access-user-data-cambridge-analytica (last visited: Nov. 12, 2018)
歐盟法院做成先決裁判，臉書粉絲專頁管理員也有責任保護用戶資料隱私， 資訊工業策進會科技法律研究所， https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&i=148&d=8065&lv2=148 （最後瀏覽日：2018/11/12）
英國提出因應GDPR自動化決策與資料剖析規定之細部指導文件， 資訊工業策進會科技法律研究所， https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&i=148&d=8063&lv2=148 （最後瀏覽日：2018/11/12）
德國聯邦政府於2018年11月15日公布聯邦政府人工智慧戰略（Strategie Künstliche Intelligenz der Bundesregierung），除了針對人工智慧一詞定義外，並概述德國人工智慧戰略的3項基本原則，14項目標和12項行動領域。 第一項原則係透過該戰略，為德國在人工智慧（AI）的發展和應用制定整體政策框架，促進德國成為人工智慧最佳研究環境，以及人工智慧在產業與中小企業之應用，以確保德國未來競爭力。第二項原則係人工智慧在社會各領域有多種應用可能性，將可明顯促進社會進步和公民利益，因此重點將強調AI的應用對於人類和環境可帶來的益處，並加強社會各界對於人工智慧主題的密集交流及討論，確保AI朝負責且共同利益為出發點的開發及應用。第三項原則將透過廣泛的社會對話和積極的政策框架，將道德，法律，文化和制度結合人工智慧之應用融入整體社會。 該戰略列舉之工作項目同時包括評量標準，包含建置德法創意網（虛擬中心）、起草國家級且持續性的教育策略、加強相關創業投資力道、針對相關新創公司提供綜合性諮詢和推廣服務、針對自願提供且符合隱私規範之共享資料與建立資料分析基礎設備者研擬獎勵及促進框架、利用風險投資、創業融資和成長科技基金計畫擴展籌資機會、建立至少12個AI應用中心、將人工智慧列為研發機構跳躍式創新的焦點，未來5年加強產學研合作項目推廣、將環境與氣候的人工智慧應用列為發展亮點、共同決策人工智慧技術的導入與應用、透過中小企業4.0中心每年至少與1000家企業建立聯繫並進行AI訓練、將AI實驗室應用情境移轉至工作場所、進一步發展人工智慧平台學習系統、設計擘劃跨領域社會科學之「未來數位化工作與社會基金」、進一步制定相關數位化轉型專家策略、建立德國人工智慧觀測站、組織以人為中心的人工智慧工作環境之歐洲和跨大西洋對話、促進具自決權，社會與文化參與性及保護公民隱私之創新應用、聯邦政府於2025年前將投資約30億歐元於人工智慧發展、開發人工智慧生態系統、培養至少100名相關領域新教授、與資料保護監督機關及商業協會召開圓桌會議。
美國政府於2014年初提出幾點重要聲明，加強改善國家專利品質美國總統歐巴馬於2014年初對於美國專利改革及產業創新的規範做進一步的聲明。美國近年來針對專利法改革有許多大規模的法案實施，目的希望能提升整體美國產業，包括2011年通過的美國發明法案（Leahy-Smith America invents Act, AIA），目的希望能讓美國專利系統更加完善，保護專利權人及促進產業創新等目的。然許多專利仍被NPE或是專利蟑螂控訴侵權，反而讓專利權被用來當做專利訴訟的一個工具，花費更多的經費在訴訟及和解上，有違當初白宮要進行專利改革的初衷。 因此歐巴馬在年初為了能鼓勵創新及增加專利系統的品質而發布幾點執行聲明（executive actions）： 1、著重prior art的檢索：USPTO開始著重prior art的搜尋，幫助專利審查能更詳盡。 2、增進專利審查人的技術訓練：提供教育專業訓練，讓專利審查人能隨時更新最新的技術，能在審查過程中對於技術上的認知能更專業。 3、Pro brono幫助：USPTO提供pro brono的幫助。許多發明人對於如何申請專利及如何使其專利被妥善保護等規範較缺乏相關資訊、或沒有資金聘請顧問協助此方面保護，因此USPTO會提供教育及實務訓練，讓這些較小的公司或資源較缺乏之發明人的專利得以獲得保護。
美國消費者金融保護局發布最終規則強化消費者金融資料控制權與隱私保護.Pindent{text-indent: 2em;} .Noindent{margin-left: 22px;} .NoPindent{text-indent: 2em; margin-left: 38px;} .No2indent{margin-left: 3em;} .No2Pindent{text-indent: 2em; margin-left: 3em} .No3indent{margin-left: 4em;} .No3Pindent{text-indent: 2em; margin-left: 4em} 美國消費者金融保護局發布最終規則強化消費者金融資料控制權與隱私保護 資訊工業策進會科技法律研究所 2024年12月10日 美國消費者金融保護局（Consumer Financial Protection Bureau, CFPB）於2024年10月22日發布最終規則以落實2010年《消費者金融保護法》（Consumer Financial Protection Act, CFPA）第1033條規定之個人金融資料權利[1]，該規則即通常所稱之「開放銀行」（Open Banking）規則。 壹、事件摘要 本次CFPB頒布最終規則旨在賦予消費者對其個人金融資料更大的權利、隱私與安全性。透過開放消費者金融資料，消費者得更自由地更換金融服務提供者以尋求最佳交易，從而促進市場競爭，並激勵金融機構精進其產品與服務[2]。 貳、重點說明 最終規則要求資料提供者在消費者及授權第三方之請求下，提供消費者金融產品或服務相關資料，並應以消費者及授權第三方可使用之電子形式提供。最終規則亦制定標準，以促進資料標準化格式（standardized formats）之發展和使用，同時規範第三方近用消費者資料義務，包括對資料之蒐集、利用及保留限制。相關重點如下： 一、受規範機構主體 最終規則規範對象為資料提供者（data provider），包含銀行、信用合作社等存款機構（depository institution）；發行信用卡、持有交易帳戶、發行用於近用帳戶設備或提供支付促進服務（payment facilitation service）等非存款機構[3]。值得注意者，最終規則將數位錢包（digital wallet）及支付應用程式（payment app）業者納入資料提供者範圍，亦即被廣泛使用的金融科技服務亦將受到開放銀行規範體系之約束。此外，資料提供者不得向消費者或第三方收取資料近用之費用。 二、受規範資料範圍 最終規則規範之資料範圍涵蓋：資料提供者控制或擁有之24個月內之歷史交易資訊、帳戶餘額、付款資訊、契約條款與條件、即將到期之帳單、以及基本帳戶驗證資訊（Basic account verification information）等[4]，消費者得授權第三方近用此類資料。至於機密商業資訊、蒐集資料僅用於防止詐欺、洗錢，或為偵測或報告其他非法及潛在非法行為，又或基於其他法律要求保密之資訊，以及在正常業務過程中無法檢索之資料，則豁免最終規則之適用[5]。 三、消費者與開發者介面 根據最終規則，資料提供者須建立及維護兩個獨立的介面以利資料之近用，包含：消費者介面，例如提供消費者近用其資料之入口網站，以及授權第三方之開發者介面（developer interface），例如應用程式介面（Application Programming Interface, API），雖最終規則不要求使用任何特定技術，然仍要求資料提供者須以標準化機器可讀格式（Standardized and Machine-Readable Format）提供資料，介面功能要求須達每月最低99.5%之回應率（response rate）[6]。此類資訊須在每月最末日前揭露於資料提供者網站上。此外，介面之設計須遵守《美國金融服務業現代化法》(The Gramm-Leach-Bliley Act, GLBA)」及聯邦貿易委員會（Federal Trade Commission, FTC）之《消費者資訊保障標準》(Standards for Safeguarding Customer Information)等消費者資料保護法規義務[7]。 四、授權第三方之行為義務 授權第三方（authorized third party）為代表消費者向資料提供者請求近用資料，藉以提供消費者產品或服務者。為解決隱私與資料安全問題，該規則對尋求近用消費者資料之第三方提出數項要求[8]，包含但不限於： （一）知情同意之取得 第三方須取得消費者明確知情同意（express informed consent），以便代表消費者近用資料。 （二）資料利用之限制 第三方須確保將其資料之蒐集、利用及保留限制在提供消費者所請求的產品或服務之合理必要範圍內。就此部分，精準廣告（targeted advertising）、交叉銷售（Cross-selling），以及銷售資料並非提供產品或服務之合理必要範圍。 （三）遵守聯邦法規 第三方須依GLBA第501條規定或FTC之《消費者資訊保障標準》確保在其系統中採用「資訊安全計畫」（information security program）。 （四）政策與程序文件要求 第三方應擁有合理書面政策和程序，以確保從資料提供者處準確接收資料，並提供於其他第三方，即資料正確性之確保。 （五）資料撤回權之確保 第三方應向消費者提供撤回第三方授權之方法，撤回過程須簡易明瞭。在第三方收到消費者撤回授權之請求時，應通知資料提供者以及已向其提供消費者資料之其他第三方。 （六）第三方監督義務 第三方應透過契約要求其他第三方在向其提供消費者資料前遵守特定第三方法定義務。 （七）資料保存期限 消費者資料之保存期限最長為一年。若繼續蒐集，第三方應取得消費者重新授權。若消費者不提供重新授權或撤回授權，第三方應停止資料之蒐集，並停止利用與保留先前蒐集之資料。 五、實施日期 最終規則將依機構資產規模分階段實施[9]，最大規模之機構（資產總額為2500億美元以上之存款機構資料提供者，以及在2023年或2024年任一年中，總收入達到100億美元以上之非存款機構資料提供者）須在2026年4月1日前遵守最終規則。對於規模最小之機構（資產總額低於15億美元但高於8.5億美元之存款機構資料提供者）須於2030年4月1日前遵守該規則。另總資產低於8.5億美元之存款機構不受該規則限制，以減輕小型銀行及信用合作社合規負擔。 參、事件評析 CFPB之CFPA第1033條最終規則將重塑美國金融市場之監理格局，由市場驅動之開放銀行框架走向由政府透過法規實質監理之管制措施，要求業者開放消費者資料。值得留意者，歐盟執委會（European Commission）2023年6月推出之「金融資料近用」（Financial Data Access, FiDA）草案[10]亦基於消費者賦權理念，強化消費者對其資料權利之控制權。由此可觀察國際間金融資料利用與監理規範逐漸走向以消費者資料自主為中心之法制架構，當代金融資料監理趨勢或值得我國主管機關及業者留意關注，除可作為我國金融資料法制與政策制定之參考，亦供我國企業布局全球化金融服務提前作好準備。 [1]Required Rulemaking on Personal Financial Data Rights, 89 Fed. Reg. 90838. [2]Consumer Financial Protection Bureau, CFPB Finalizes Personal Financial Data Rights Rule to Boost Competition, Protect Privacy, and Give Families More Choice in Financial Services, available at https://www.consumerfinance.gov/about-us/newsroom/cfpb-finalizes-personal-financial-data-rights-rule-to-boost-competition-protect-privacy-and-give-families-more-choice-in-financial-services/(last visited Dec. 5, 2024). [3]12 C.F.R. § 1033.111. [4]12 C.F.R. § 1033.211. [5]12 C.F.R. § 1033.221. [6]12 C.F.R. § 1033.311. [7]See id. [8]12 C.F.R. § 1033.421. [9]12 C.F.R. § 1033.121. [10]Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on a framework for Financial Data Access and amending Regulations (EU) No 1093/2010, (EU) No 1094/2010, (EU) No 1095/2010 and (EU) 2022/2554.
美國對法國數位服務稅採取301條款貿易報復美國貿易代表署（Office of the United States Trade Representative, USTR）於2020年7月10日針對法國數位服務稅（Digital Services Tax）首度採取「301條款」貿易報復。《1974年貿易法》第301條授權美國政府在對外之國際貿易協定未獲執行，或貿易夥伴採取不公平貿易行為時，進行調查及後續的貿易報復。法國作為全球第一個課徵數位服務稅的國家，法國國民議會於2019年7月11日通過數位服務稅，美國隨即於2019年7月16日開啟「301條款調查」並召開公聽會。美國貿易代表署於2019年12月6日發布調查報告（Report on France’s Digital Services Tax）指出法國數位服務稅是針對美國不合理或歧視性的貿易帳礙。美國總統川普和法國總理馬克宏於2020年1月23日達成暫緩數位服務稅課徵之共識，然而法國在6月再度實施數位服務稅。美國遂對法國啟動「301條款」貿易報復，貿易報復項目係法國進口美國的化妝品、手提包等貨品課徵25%的稅，受波及的貨品粗估高達13億美元。儘管美國企圖透過貿易報復作為警示，許多國家仍持續研擬採取或已經開始課徵數位服務稅。美國貿易代表署指出：「過去兩年，部分國家研擬或已經開始採取數位服務稅，而有相當多的證據可以證明數位服務稅是針對美國大型科技公司。」繼法國之後，美國貿易代表署於2020年6月2日再度開啟「301條款調查」，此次調查對象包括奧地利、巴西、捷克、歐盟、印度、印尼、義大利、西班牙、土耳其和英國等。