Facebook粉絲專頁管理者是否負有保護用戶個資隱私之控制者（Data Controller）責任
2018年6月5日歐盟法院針對Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein v Wirtschaftsakademie Schleswig-Holstein GmbH訴訟進行先訴裁定，擴大解釋《資料保護指令》（Directive 95/46/EC）之「資料控制者」範圍，認為Facebook和粉絲專頁管理者皆負有保護訪客資料安全的責任。由於「資料控制者」定義在《資料保護指令》與《一般資料保護規則》（GDPR）相同，因此裁定將影響未來使用社群媒體服務和平台頁面的個資保護責任。
本案起因德國Schleswig-Holstein邦獨立資料保護中心要求 Wirtschaftsakademie教育服務公司在Facebook經營之粉絲專頁必須停用，其理由認為Facebook和Wirtschaftsakademie進行之Cookie資料蒐集、處理活動並未通知粉絲成員且因此從中獲利，然Wirtschaftsakademie認為並未委託Facebook處理粉絲成員個資，當局應直接對Facebook要求禁止蒐集處理。歐盟法院認為Wirtschaftsakademie使用Facebook所提供之平台從中受益，即使未實際擁有任何個資，仍被視為負共同責任（jointly responsible）的資料控制者，應依具體個案評估每個資料控制者責任程度。
在原《資料保護指令》並未有「資料控制者需負共同責任」之規定，本案擴大解釋資料控制者範圍，對照現行GDPR屬於第26條「共同控制者」之規範主體，然而本案將資料控制者擴張到未實際處理資料之粉絲專頁管理者，是否過於嚴格？且未來如何劃分責任與義務，皆有待觀察。
林玉書
法律研究員 編譯整理
近年，全球普遍掀起以永續經營為科技創新研發指導方針的構想，世界各國無不竭盡心力思考各種可行的實踐方式，以求國家科技研究發展的同時，亦能達成與自然和諧共存的目標。為落實可再生能源(renewable energy)的使用，挪威和瑞典兩國已於2009年秋天針對綠色認證(green certificates)進行相關的討論，並於2010年12月8日簽署合作議定書。 綠色認證是針對使用可再生能源（如風力、太陽能、和水力發電等）所生之特定電力認證。因其目的乃為強調再生能源的使用，故相關環保團體期待藉由此種認證方式來提升再生資源的使用率。早在2003年5月1日開始，瑞典即已有綠色認證市場的存在，而該跨國合作議定書之簽署，對於瑞典而言，不僅能擴張其既有之相關市場版圖外，兩國更能藉此進行跨國合作，提高能源生產量並提升與其他競爭國家之市場競爭力。更重要的是，雙方皆期待能提供其國民更穩定的能源價格。 目前，挪威和瑞典皆同時傾向以風力發電為該合作議定書未來發展的主要方向。不過，在考量兩國自身的環境條件後，挪威會輔以水力發電為其發展方向，而瑞典則會著重在以生物面向為發電基礎的方式為其第二發展方向。該綠色認證系統預計於2012年1月1日正式啟動，並且為期至2020年止。未來，此綠色認證系統上路後，對於挪威和瑞典兩國之可再生能源發展和永續經營的落實，究竟會產生何種火花，值得持續關注。
G7第四屆資料保護與隱私圓桌會議揭示隱私保護新趨勢G7第四屆資料保護與隱私圓桌會議揭示隱私保護新趨勢 資訊工業策進會科技法律研究所 2025年03月10日 七大工業國組織（Group of Seven，下稱G7）於2024年10月10日至11日在義大利羅馬舉辦第四屆資料保護與隱私機構圓桌會議（Data Protection and Privacy Authorities Roundtable，下稱圓桌會議），並發布「G7 DPAs公報：資料時代的隱私」（G7 DPAs’ Communiqué: Privacy in the age of data，下稱公報）[1]，特別聚焦於人工智慧（AI）技術對隱私與資料保護的影響。 壹、緣起 由美國、德國、英國、法國、義大利、加拿大與日本的隱私主管機關（Data Protection and Privacy Authorities, DPAs）組成本次圓桌會議，針對數位社會中資料保護與隱私相關議題進行討論，涵蓋「基於信任的資料自由流通」（Data Free Flow with Trust, DFFT）、新興技術（Emerging technologies）、跨境執法合作（Enforcement cooperation）等三大議題。 本次公報重申，在資通訊技術主導的社會發展背景下，應以高標準來審視資料隱私，從而保障個人權益。而DPAs作為AI治理領域的關鍵角色，應確保AI技術的開發和應用既有效且負責任，同時在促進大眾對於涉及隱私與資料保護的AI技術認識與理解方面發揮重要作用[2]。此外，公報亦強調DPAs與歐盟理事會（Council of Europe, CoE）、經濟合作暨發展組織（Organisation for Economic Co-operation and Development, OECD）、亞太隱私機構（Asia Pacific Privacy Authorities, APPA）、全球隱私執行網路（Global Privacy Enforcement Network, GPEN）及全球隱私大會（Global Privacy Assembly, GPA）等國際論壇合作的重要性，並期望在推動資料保護與建立可信賴的AI技術方面作出貢獻[3]。 貳、重點說明 基於上述公報意旨，本次圓桌會議上通過《關於促進可信賴AI的資料保護機構角色的聲明》（Statement on the Role of Data Protection Authorities in Fostering Trustworthy AI）[4]、《關於AI與兒童的聲明》（Statement on AI and Children）[5]、《從跨國角度觀察降低可識別性：G7司法管轄區對匿名化、假名化與去識別化的法定及政策定義》（Reducing identifiability in cross-national perspective: Statutory and policy definitions for anonymization, pseudonymization, and de-identification in G7 jurisdictions）[6]，分別說明重點如下： 一、《關於促進可信賴AI的資料保護機構角色的聲明》 繼2023年第三屆圓桌會議通過《關於生成式AI聲明》（Statement on Generative AI）[7]後，本次圓桌會議再次通過《關於促進可信賴AI的資料保護機構角色的聲明》，旨在確立管理AI技術對資料保護與隱私風險的基本原則。G7 DPAs強調許多AI技術依賴個人資料的運用，這可能引發對個人偏見及歧視、不公平等問題。此外，本聲明中還表達了擔憂對這些問題可能透過深度偽造（Deepfake）技術及假訊息擴散，進一步對社會造成更廣泛的不良影響[8]。 基於上述考量，本聲明提出以下原則，納入G7 DPAs組織管理的核心方針[9]： 1. 以人為本的方法：G7 DPAs應透過資料保護來維護個人權利與自由，並在AI技術中提供以人權為核心的觀點。 2. 現有原則的適用：G7 DPAs應審視公平性、問責性、透明性和安全性等AI治理的核心原則，並確保其適用於AI相關框架。 3. AI核心要素的監督：G7 DPAs應從專業視角出發，監督AI的開發與運作，確保其符合負責任的標準，並有效保護個人資料。 4. 問題根源的因應：G7 DPAs應在AI的開發階段（上游）和應用階段（下游）找出問題，並在問題擴大影響前採取適當措施加以解決。 5. 善用經驗：G7 DPAs應充分利用其在資料領域的豐富經驗，謹慎且有效地應對AI相關挑戰。 二、《關於AI與兒童的聲明》 鑒於AI技術發展可能對於兒童和青少年產生重大影響，G7 DPAs發布本聲明表示，由於兒童和青少年的發展階段及其對於數位隱私的瞭解、生活經驗有限，DPAs應密切監控AI對兒童和青少年的資料保護、隱私權及自由可能造成的影響程度，並透過執法、制定適合年齡的設計實務守則，以及發佈面向兒童和青少年隱私權保護實務指南，以避免AI技術導致潛在侵害兒童和青少年隱私的行為[10]。 本聲明進一步闡述，當前及潛在侵害的風險包含[11]： 1. 基於AI的決策（AI-based decision making）：因AI運用透明度不足，可能使兒童及其照顧者無法獲得充足資訊，以瞭解其可能造成重大影響的決策。 2. 操縱與欺騙（Manipulation and deception）：AI工具可能具有操縱性、欺騙性或能夠危害使用者情緒狀態，促使個人採取可能危害自身利益的行動。例如導入AI的玩具可能使兒童難以分辨或質疑。 3. AI模型的訓練（Training of AI models）：蒐集和使用兒童個人資料來訓練AI模型，包括從公開來源爬取或透過連線裝置擷取資料，可能對兒童的隱私權造成嚴重侵害。 三、《從跨國角度觀察降低可識別性：G7司法管轄區對匿名化、假名化與去識別化的法定及政策定義》 考慮到個人資料匿名化、假名化及去識別化能促進資料的創新利用，有助於最大限度地減少隱私風險，本文件旨在整合G7成員國對於匿名化、假名化與去識別化的一致理解，針對必須降低可識別性的程度、資訊可用於識別個人的程度、減少可識別性的規定流程及技術、所產生的資訊是否被視為個人資料等要件進行整理，總結如下： 1. 去識別化（De-identification）：加拿大擬議《消費者隱私保護法》（Consumer Privacy Protection Act, CPPA）、英國《2018年資料保護法》（Data Protection Act 2018, DPA）及美國《健康保險可攜性及責任法》（Health Insurance Portability and Accountability Act , HIPAA）均有去識別化相關規範。關於降低可識別性的程度，加拿大CPPA、英國DPA規定去識別化資料必須達到無法直接識別特定個人的程度；美國HIPAA則規定去識別化資料須達到無法直接或間接識別特定個人的程度。再者，關於資料去識別化的定性，加拿大CPPA、英國DPA認定去識別化資料仍被視為個人資料，然而美國HIPAA則認定去識別化資料不屬於個人資料範疇。由此可見，各國對去識別化規定仍存在顯著差異[12]。 2. 假名化（Pseudonymization）：歐盟《一般資料保護規則》（General Data Protection Regulation, GDPR）及英國《一般資料保護規則》（UK GDPR）、日本《個人資料保護法》（個人情報の保護に関する法律）均有假名化相關規範。關於降低可識別性的程度，均要求假名化資料在不使用額外資訊的情況下，須達到無法直接識別特定個人的程度，但額外資訊應與假名化資料分開存放，並採取相應技術與組織措施，以確保無法重新識別特定個人，因此假名化資料仍被視為個人資料。而關於假名化程序，日本個資法明定應刪除或替換個人資料中可識別描述或符號，歐盟及英國GDPR雖未明定具體程序，但通常被認為採用類似程序[13]。 3. 匿名化（Anonymization）：歐盟及英國GDPR、日本個資法及加拿大CPPA均有匿名化相關規範。關於降低可識別性的程度，均要求匿名化資料無法直接或間接識別特定個人，惟可識別性的門檻存在些微差異，如歐盟及英國GDPR要求考慮控管者或其他人「合理可能用於」識別個人的所有方式；日本個資法則規定匿名化資料之處理過程必須符合法規標準且不可逆轉。再者，上述法規均將匿名化資料視為非屬於個人資料，但仍禁止用於重新識別特定個人[14]。 參、事件評析 本次圓桌會議上發布《關於促進可信賴AI的資料保護機構角色的聲明》、《關於AI與兒童的聲明》，彰顯G7 DPAs在推動AI治理原則方面的企圖，強調在AI技術蓬勃發展的背景下，隱私保護與兒童權益應成為優先關注的議題。與此同時，我國在2024年7月15日預告《人工智慧基本法》草案，展現對AI治理的高度重視，融合美國鼓勵創新、歐盟保障人權的思維，針對AI技術的應用提出永續發展、人類自主、隱私保護、資訊安全、透明可解釋、公平不歧視、問責等七項原則，為國內AI產業與應用發展奠定穩固基礎。 此外，本次圓桌會議所發布《從跨國角度觀察降低可識別性：G7司法管轄區對匿名化、假名化與去識別化的法定及政策定義》，揭示各國在降低可識別性相關用語定義及其在資料保護與隱私框架中的定位存在差異。隨著降低可識別性的方法與技術不斷創新，這一領域的監管挑戰日益突顯，也為跨境資料流動越發頻繁的國際環境提供了深化協調合作的契機。在全球日益關注資料保護與隱私的趨勢下，我國個人資料保護委員會籌備處於2024年12月20日公告《個人資料保護法》修正草案，要求民間業者設置個人資料保護長及稽核人員、強化事故通報義務，並針對高風險行業優先實施行政檢查等規定，以提升我國在數位時代的個資保護水準。 最後，本次圓桌會議尚訂定《2024/2025年行動計畫》（G7 Data Protection and Privacy Authorities’ Action Plan）[15]，圍繞DFFT、新興技術與跨境執法合作三大議題，並持續推動相關工作。然而，該行動計畫更接近於一項「基於共識的宣言」，主要呼籲各國及相關機構持續努力，而非設定具有強制力或明確期限的成果目標。G7 DPAs如何應對數位社會中的資料隱私挑戰，並建立更順暢且可信的國際資料流通機制，將成為未來關注的焦點。在全球共同面臨AI快速發展所帶來的機遇與挑戰之際，我國更應持續關注國際趨勢，結合自身需求制訂相關法規以完善相關法制，並積極推動國際合作以確保國內產業發展銜接國際標準。 [1]Office of the Privacy Commissioner of Canada [OPC], G7 DPAs’ Communiqué: Privacy in the age of data (2024), https://www.priv.gc.ca/en/opc-news/news-and-announcements/2024/communique-g7_241011/ (last visited Feb 3, 2025). [2]Id. at para. 5. [3]Id. at para. 7-9. [4]Office of the Privacy Commissioner of Canada [OPC], Statement on the Role of Data Protection Authorities in Fostering Trustworthy AI (2024), https://www.priv.gc.ca/en/opc-news/speeches-and-statements/2024/s-d_g7_20241011_ai/ (last visited Feb 3, 2025). [5]Office of the Privacy Commissioner of Canada [OPC], Statement on AI and Children (2024), https://www.priv.gc.ca/en/opc-news/speeches-and-statements/2024/s-d_g7_20241011_child-ai/ (last visited Feb 3, 2025). [6]Office of the Privacy Commissioner of Canada [OPC], Reducing identifiability in cross-national perspective: Statutory and policy definitions for anonymization, pseudonymization, and de-identification in G7 jurisdictions (2024), https://www.priv.gc.ca/en/opc-news/news-and-announcements/2024/de-id_20241011/ (last visited Feb 3, 2025). [7]Office of the Privacy Commissioner of Canada [OPC], Statement on Generative AI (2023), https://www.priv.gc.ca/en/opc-news/speeches-and-statements/2023/s-d_20230621_g7/ (last visited Feb 3, 2025). [8]Supra note 4, at para. 11. [9]Supra note 4, at para. 18. [10]Supra note 5, at para. 5-6. [11]Supra note 5, at para. 7. [12]Supra note 6, at para. 11-15. [13]Supra note 6, at para. 16-19. [14]Supra note 6, at para. 20-25. [15]Office of the Privacy Commissioner of Canada [OPC], G7 Data Protection and Privacy Authorities’ Action Plan (2024), https://www.priv.gc.ca/en/opc-news/news-and-announcements/2024/ap-g7_241011/ (last visited Feb 3, 2025).
美國聯邦巡迴法院針對標準必要專利合理授權金提出判斷標準2015年12月3日美國聯邦巡迴上訴法院（CAFC）對澳洲科學暨工業研發組織（CSIRO）控告美國網路設備大廠思科系統（Cisco Systems）所製造與販賣的IEEE 802.11a、802.11g、802.11n侵害其美國第5,487,069 號專利（以下簡稱系爭專利）一案撤銷原判決並發回重審。 其爭點在於： 1. Cisco主張區法院未採用標準必要專利慣用之最小可銷售專利實施單位（smallest salable patent-practicing unit）作為合理授權金計算基礎。 2. 區法院法官未審酌系爭專利納入標準化的情形及未就Georgia-Pacific 15項分析要素進行修改。 3. 區法院未適當考慮CSIRO與Radiata間的技術授權協議。 CAFC將本案撤銷發回重審，其理由如下： 1.本案不適用最小可銷售專利實施單位 CAFC認為最小可銷售專利實施單位非唯一的計算合理授權金的計算方式，故仍應考量個案不同而採不同的計算方式；其重點在於應將系爭專利與非系爭專利之技術特徵價值進行適當的區分，比較過去實際授權個案，判定系爭專利技術特徵在整體產品中的價值比例，確保權利金計算的正確性。 2.針對標準化專利應考量系爭專利受標準化的情況 依據美國專利法第284條規定，系爭專利自身的價值應與標準化後所生的附加價值加以區別，使其僅反映系爭專利為系爭侵權產品所帶來的價值。而原審法院計算系爭專利的合理授權金時，並未排除其他無關的技術特徵及區分系爭專利標準化後所帶來的附加價值。 3. 應審酌CSIRO與Radiata間的技術授權協議 Radiata為CSIRO為進行專利商品化而成立之子公司，後Radiata於2001年為Cisco所併購，並仍依據CSIRO與Radiata間的技術授權協議以每單位晶片產品為基礎授權金的計算方式，故其時間與區法院以假設性協商之可能發生時間點相同，故區法院未加以考慮乃係明顯錯誤。
中國國務院發布AI行動意見，全面推動智慧應用加速現代化建設中國國務院發布AI行動意見，全面推動智慧應用加速現代化建設 資訊工業策進會科技法律研究所 2025年12月10日 隨著人工智慧（下稱AI）技術的快速發展，全球各國政府均積極推動AI在百工百業各領域的應用，以提升國家創新力、產業競爭力與社會治理效能，中國政府亦是如此。同時，受地緣政治及經貿競爭的影響，中國政府為強化國家供應鏈安全與韌性，由政府主導加速現代化建設，以推動智慧社會新型態的發展為目標。 壹、事件摘要 中國國務院於2025年8月26日發布「關於深入實施人工智能+行動的意見」（國發［2025〕11號）（下稱行動意見）[1]，旨在全面推動AI應用於各行各業，以提升國內產業生產力與創新量能，並促進人機協作的智慧社會新型態，作為推動「中國式現代化」發展之重要建設。 貳、行動意見重點內容 於該行動意見中，中國國務院提出三項階段性目標，分別為： 一、 2027年前：AI應用普及率達70%以上 推動科技、產業、消費、民生、治理與全球合作的6大核心領域全面結合AI應用，擴大AI使用普及率達70%以上，以達加速公共治理與產業創新之成效。 二、 2030年前：AI應用普及率達90%以上 強化前述6大核心領域，持續擴大AI使用普及率可達90%以上，實現研發成果共享之效益。 三、 2035年前：AI應用普及率達100% 建立全面人機協作之智慧經濟與社會新型態，作為國家現代化建設之重要基礎。 為實現前述三階段目標，中國政府針對6大核心領域提出具體行動方向，重點整理如下： 一、 AI+科學技術 為加速科研進程並推動大模型建設與應用，將強化基礎科學研究平台和重要科技基礎建設的智慧化升級，打造開放式且高品質的共享資料集，以促進AI跨領域的結合發展。同時，亦積極促進AI帶動研發模式創新與效能的提升，以加速技術研發和產品應用落地。 二、 AI+產業發展 鼓勵企業將AI導入內部策略規劃、組織架構與業務流程設計等，以建構創新的商業模式；並在技術、產品與服務體系中推動智慧化應用，強化供應鏈各環節與AI的協作，同時最佳化工業、農業及服務業的生產與服務模式，藉以帶動傳統產業轉型升級，建構新型生態體系並加速整體產能提升。 三、 AI+消費增質 透過推動AI與服務的結合，建立多元及智慧化的服務模式，加速發展智慧消費相關基礎建設；此外，推動AI應用於各類商品與設備，重點發展智慧聯網汽車、智慧機器人、智慧家居、智慧穿戴等終端商品，加速技術融合與產品創新，以提升人民生活的品質。 四、 AI+民生福祉 透過推動人機協作的模式，提供新型的工作、學習與生活型態，建立更具智慧化的社會發展模式。例如，企業雇主可藉由AI協助建立新型組織架構和管理模式，提升傳統職務執行之效率，亦或是透過AI進行技能培訓以因應勞動力短缺之情形；學校教育面向則可推動AI融入教學教材，推動更加多元與互動之學習生態；生活方面則計劃推動AI健康照護、社會服務等領域廣泛應用，全面提升公共服務與生活品質，形成具包容性的智慧化社會。 五、 AI+智慧治理 推動AI全面導入社會治理過程，以促進市政管理、政務服務及公共資源運作的智慧化轉型，並利用AI強化公共安全與網路安全治理能力，完善國家安全防護的機制；於生態層面，將運用AI推動綠色永續與人機協作，強化於環境與碳管理領域的監測、預測及治理能力，促進高效及精準的治理模式。 六、 AI+全球合作 推動AI的普及與共向，建立開放生態系、強化運算能力、資料與人才領域的國際合作，共同提升全球南方AI基礎建設，縮減全球數位落差，協助各國可平等參與智慧化發展過程，共同因應AI應用相關風險，確保技術發展安全且可信賴地發展。 參、事件評析 從上述中國國務院發布之行動意見可知，其目標在於藉由強化安全及可信賴的AI，並促進AI應用於各領域的發展，以建構可持續性的智慧化生態系，提升社會治理效率與全民生活的品質，以利國家經濟與科技的共同發展。 然而，該行動意見雖明確提出國家整體目標及治理方向，為相關領域的智慧化發展提供指引，惟對於各項目標尚未提出可操作性措施、具體政策細節，或對產官學各單位可獲得的政府資源、技術支持與協助等進行明確規範。故後續仍需持續關注相應政策措施及配套資源的發布，以評估其實際推動AI應用之成效。 [1]《国务院关于深入实施“人工智能+”行动的意见》（國發[2025]11号）。