2019年1月22日,歐盟執委會(European Commission)、歐洲議會(European Parliament)與歐盟理事會(Council of the EU)就修正「公部門資訊再利用指令」(The Directive on the re-use of public sector information,PSI Directive)的提案達成協議。歐洲議會則於4月4日通過提案,待歐盟理事會簽署正式的指令。
PSI Directive經過2003年制定(Directive 2003/98/EC)、2013年修正(Directive 2013/37/EU),於2017年為了履行指令規定的定期審查義務,召開了公眾線上諮詢,之後歐盟執委會根據諮詢結果及對指令的影響評估,於2018年4月25日通過修訂指令的提案,並於2019年1月達成協議。
此次修正將該指令更名為「開放資料與公部門資訊指令」(The Directive on the Open Data and Public Sector Information,以下稱新指令),預計能排除目前仍存在的公部門資訊取得障礙,並且要求將政府資助研究所產出的研究資料(publicly funded research data)也開放給公眾。此次修正的重點內容如下:
1、所有依據國家取用文件規定(national access to documents rules)下可取用的公部門資訊,原則上可以免費再利用,或者公部門可以收取為了提供、傳播資料所產出的費用,但該費用以不超過邊際成本(marginal costs)為限。這項改變,將使更多的中小企業和新成立公司能順利進入資料經濟市場。
2、新指令特別指出統計資料或地理空間資料屬於高價值資料集(high-value datasets),這些資料集具有高商業潛力,可以加速各種資訊產品或增值服務的產出,例如人工智慧。而新指令特別要求這些資料集應免費提供、使機器可讀,且透過應用程式介面(APIs)使他人能取用。但經評估後發現免費提供會造成市場競爭扭曲時,則不在此限。
3、關於公營事業及公共運輸所產生的有價值資料,不在現行PSI Directive規範範圍內,而各國對於是否必須提供資料有著不同的規定,但現在都必須依照新指令的規定使公眾可以免費再利用,不過仍可設定合理規費來收回相關行政費用。
4、有些公部門與私人企業制定了複雜的資料協定,導致公部門資訊被壟斷,新指令則要求各會員國應落實資訊透明,以及限制公部門與私部門訂立排除其他人可再利用公部門資訊的協定。
5、促進公部門資訊以動態即時資料方式發布,並透過使用者介面(APIs)使更多動態即時資料能被使用。而這也將使企業發展創新產品或服務,例如行動APP。
6、關於政府資助的研究,新指令將促進「政府資助研究而產出的研究資料」能更容易的被再利用,故各成員國被要求建立一致的再利用政策,使這些研究資料能透過資料庫(repository)被開放取用(open access),包含先前已經存入該資料庫的資料。
總而言之,本次修正將能夠降低中小企業進入市場的障礙,並增加公部門資訊的透明度和即時流通,也使公營事業資訊及政府出資研究所產出的研究資料能納入開放資料的範疇。
歐盟資料保護監督機關(European Data Protection Supervisor, EDPS)於2024年12月13日,就歐洲數位權利中心(Noyb - The European Center for Digital Rights,下稱noyb)之申訴做成決定,認定歐盟執委會(European Commission, EC)於社群媒體上依據使用者的政治傾向投放精準廣告,違反歐盟機構資料保護規則(Data Protection Regulation for EU institutions, bodies, offices and agencies, EUDPR),對EC作成訓誡處分。 本案背景事實:EC在2023年9月15日至28日間,於社群網站X上投放了精準廣告,旨在向公眾傳達EC當時正在推動的兒少性剝削防治法(Child Sexual Abuse Regulation, CSAR)草案。該草案本身亦因涉及對數位通訊服務的管制而引發了隱私爭議。EC委託X依照其制定的受眾方針進行廣告投放,該投放方針定義了某些包含和排除關鍵字,和排除了與政治利益相關的帳戶。該政策顯示,包含的關鍵字多與「親歐盟」的立場與情緒相關,包含特定政黨如荷蘭自由民主人民黨(Dutch VVD);而排除的關鍵字則多與「疑歐論」的立場與情緒相關,如Viktor Orban。X並透過關鍵字定位和相似(look-alike)策略,根據關鍵字和與代表資料(proxy data)相比較下顯示出的相似性,篩選成年荷蘭公民進行精準廣告投放。 Noyb認為此類廣告投放操作已經涉及EUDPR第10條第1項的特種個資(政治立場),在同條第2項之許可性條件未獲滿足之情況下,已構成EUDPR第4條第1項(a)的合法性原則的違反。EC則主張其並未利用X使用者的個人資料,也未打算處理特種個資,只是使用X的服務。EC還主張,為了傳達立法草案,並基於EC依歐盟條約(Treaty of EU, TEU)的提案權,其行為也應該被認為是出於EUDPR第5條第1項(a)的公共利益,具備合法基礎。 EDPS經過調查後,認定: 1.EC透過委託投放廣告和制定受眾方針,決定了資料處理的目的(purpose determination),在此範圍內,也應被認為是資料控制者。 2.社群媒體供應商透過比較和關鍵字分析將使用者歸類為具有某些宗教、哲學或政治信仰,亦屬處理了使用者的特種個資。 3.雖然當事人若屬主動公開特種個資,會滿足EUDPR第10條第2項(e)的許可性條件,但依照歐盟法院判決先例,僅點讚某些貼文不當然等於當事人主動公開其這類動態個人活動資料,且即便當事人使用公開帳戶可能滿足許可性條件,該資料之處理仍須具備合法性基礎。 4.TEU中有關提案權之規定本質上非常籠統,難認包含EC的宣傳活動。因此EC進行的資料處理其實並不符合EUDPR第5條所謂的有明確法律依據要求,從而,難認具備執行符合公共利益的任務之合法基礎。 5.最後,雖然EDPS認為EC違反EUDPR,但也同時認為,廣告已經結束,並無罰款的必要,因此僅對EC做成訓誡處分。
美國第三州!科羅拉多州正式通過《科羅拉多州隱私法》美國科羅拉多州州長於2021年7月正式簽署《科羅拉多州隱私法》(Colorado Privacy Act, CPA)草案,科羅拉多州正式成為美國第三個制定全面性隱私專法的州,該法將於2023年7月1日施行。 隨著全球化及科技快速發展,以及大數據的應用趨勢,資料的蒐集、處理、利用規模及範圍逐漸擴大,全美各地隱私保護規範遍地開花,期待能促使企業在「保護個人資料」與「資料自由流通」及「資料商業運用」中取得平衡。 2018年美國加州首先制定《加州消費者隱私保護法》(California Consumer Privacy Act, CCPA)成為全美第一州級隱私保護專法後,包含華盛頓州、伊利諾州、紐約州等,也都提出各該州級隱私保護法案,而美國維吉尼亞州議會於今年2月通過《消費者資料保護法》(Consumer Data Protection Act, CDPA)法案,並在3月經由州長簽署,正式成為美國第二個擁有隱私保護專法的州,該法預計於2023年1月1日生效。 科羅拉多州於今年6月將CPA草案送交州長簽署後,於7月順利成為第三個通過隱私保護專法的州。一旦CPA生效,消費者除將享有近用權(right of access)、更正權(right of correct)、刪除權(right of delete)、資料可攜權(right of data portability)外;CPA規定在資料控制者對其消費者進行目標式廣告(targeted advertising)、銷售消費者個人資料,或者將對消費者決策產生重大影響時,消費者享有選擇退出權(right to opt out)。 整體而言,儘管 CPA 與CCPA及CDPA規範相似,在隱私保護規範上可能不是特別具有開創性,但CPA反映了美國各州強化隱私保護的趨勢與決心。舉例而言,去(2020)年不僅美國大選結果受矚目,美國各州隱私保護相關公投案,包含《加州第24號提案》、麻州《汽機車機械資料》、密西根州《電子資訊搜索票》及緬因州波特蘭市《臉部辨識禁令》也獲通過。美國在尚未具有統一聯邦隱私保護法下,透過州級隱私立法,保有各州特色並作為各州隱私保護執法依據。
美國修正通過外國情報偵察法(FISA)美國近期通過「外國情報偵察法」(Foreign Intelligence Surveillance Act, FISA)之修正案,其中,原先於1月份到期的第七章(Title VII)702條款(Section 702),重新延長授權6年,直至2023年12月31日。 此法案於1978年生效,為美國第一個要求政府須先獲得法院許可,始能進行電子監視的法律。法案宗旨係為平衡國家安全以及人民權利,基於憲法第四修正案對人民的保障,使身處美國領土內的人民免於被恣意監視,國家在通常情況下,須獲得外國情報偵察法院(Foreign Intelligence Surveillance Court, FISC)搜索票(warrant)才可對人民進行搜查。 本次法案修正通過後,使聯邦調查局能夠持續使用情報數據資料庫,以獲取有關美國人的信息,但法案新增要求聯邦調查局在預測性刑事調查中(predicated criminal investigation)如要索取與國家安全無關的內容,必須事先經FISC法院審查許可(court order)。 因911恐攻事件後出現的反恐需要,2008年增訂第七章702條款為FISA的正式條款,原本在今年1月到期,法案修正通過後,此條款延長授權6年。目的為美國公民提供隱私保護,禁止政府針對美國公民和位於美國境內的外國人為監視對象;僅處於國外的外國人,涉及外國情報資訊才可被列為本條進行監視的目標。允許情報部門,在三個政府部門(外國情報偵察法院,行政部門和國會)的監督下,收集關於國際恐怖分子,武器散布者以及其他位於美國境外的重要外國情報。 此項修正案保留702條款的操作靈活性,並加入了一些增強隱私措施及要求。惟,受質疑且具爭議的是,702條款條文內容規範,允許美國政府的情報機構--國家安全局(National Security Agency, NSA)基於該條款,例外不需法院搜索票,可向Google、Apple、微軟、Facebook或電信業者等美國企業蒐集、調閱國外非美國人用戶的海外通訊內容(包含電子郵件、電話、其他私人信息等),當這些被監聽的國外用戶之通訊對象係涉及美國人時亦同;意即,若美國人曾接觸被鎖定的國外對象,也會被納入調查並取得通訊紀錄等個資,且禁止業者通知受影響的用戶。曾有國會參議員試圖修改此法案,加入隱私保護條款,但最終並未獲多數同意。