英國資訊委員辦公室表示個人資料之處理應遵循GDPR，公務機關也不例外
自西元2017年1月以來，英國稅務海關總署（Her Majesty's Revenue and Customs, HMRC）開始要求英國民眾使用線上語音方式進行身分認證，而民眾的聲音檔案亦被儲存至英國稅務海關總署的語音資料庫內。英國資訊委員辦公室（Information Commissioner's Office, ICO）深入調查後發現英國稅務海關總署的語音身分認證系統存在下列兩種違法情形：
- 未能向民眾充分揭露、告知民眾其語音、聲紋等生物識別資料如何被處理等資訊。
- 蒐集民眾的生物識別資料時，未能給予民眾自由行使同意或拒絕權利的機會。
英國資訊委員辦公室認為英國稅務海關總署前開情形已經違反了歐盟一般資料保護規則（General Data Protection Regulation, GDPR），根據歐盟一般資料保護規則，英國稅務海關總署在蒐集、處理或利用民眾個人資料時，必須合法、公正及透明，並應取得民眾的明確同意。英國資訊委員辦公室後續將要求英國稅務海關總署應刪除違法蒐集的生物識別資料。
本次英國資訊委員辦公室的執法行動是基於2018年5月25日生效的歐盟一般資料保護規則與英國2018年資料保護法（The Data Protection Act 2018），英國資訊委員辦公室強調創新的數位服務雖有助於民眾的生活更輕鬆，但絕不能以犧牲民眾的隱私為代價，同時也隱約透露著：「沒有一個組織（包含政府機關）能夠凌駕於法律之上。」。
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
張恩若
法律研究員 編譯整理
ICO says that voice data collected unlawfully by HMRC should be deleted, Information Commissioner's Office, https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2019/05/ico-says-that-voice-data-collected-unlawfully-by-hmrc-should-be-deleted/ (last visited July 11, 2019).
Blog: Using biometric data in a fair, transparent and accountable manner, Information Commissioner's Office, https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2019/05/blog-using-biometric-data-in-a-fair-transparent-and-accountable-manner/ (last visited July 11, 2019).
澳洲競爭及消費者委員會（Australian Competition and Consumer Commission, ACCC）於2022年11月發佈了數位平臺第五份調查報告。該報告係ACCC受澳洲政府委託，於2020年起對數位平臺相關的消費者權益和市場競爭問題的調查，本次報告將重點放在監管如何改革。主要提供的建議和警示可分為五個方向： 1.反競爭行為 大型數位平臺擁有巨大的市場力量和重要的財政資源，佔據主導地位的數位平臺公司有能力和動機透過排他性行為和收購潛在競爭對手，以維持其在市場中的優勢地位。 2.消費者和中小企業保護不足 ACCC於2022年所發佈的最新報告與其自2017年開始進行數位平臺研究起所發布的其他報告一致，皆指出數位平臺的服務有以下潛在危害： ● 利用消費者偏見或引導消費者的方式向消費者提供服務。 ● 數位平臺上的詐騙明顯且持續增加。 ● 來自應用程式商店提供的不當和欺詐性應用程式的危害。 ● 創建、購買和銷售虛假評論以及以其他方式操縱評論的做法。 ● 欠缺救濟和爭議解決的途徑。 3.保護消費者的新措施 澳洲現有的競爭和消費者法律已難以因應數位平臺市場所面臨的消費者權益侵害和競爭危害等問題。該報告建議進行立法改革，具體如下： ● 商業市場中的消費者保護措施，包括禁止不公平交易行為和不公平契約條款。 ● 針對數位平臺的消費者爭議措施，包括強制規定內部和外部的爭議解決流程，以及平臺對詐騙、有害程式和虛假評論的預防和刪除義務。 ● 建立新的競爭框架，使受指定的數位平臺提供服務時受到適用於此一領域的強制性法規拘束。 ● 受指定數位平臺將應遵循之新框架和守則，以遵守競爭義務，避免其在市場中的反競爭行為，如競爭行為中的自我偏好（self-preference）等。 4.管轄 該調查報告亦指出適當且明確的管轄權限劃分對於新的監管框架來說非常重要，應在考慮到其專業知識和權責範圍的前提下，將監管責任分配給正確的管理機構，並且這些監管在流程中的各個環節都應受到適當的監督。 對於新的競爭框架及監管措施，ACCC建議可以參考英國當前的制度設計；英國政府成立了數位市場部門（Digital Markets Unit, DMU），該部門隸屬於競爭與市場管理局（Competition and Markets Authority），DMU負責監督受指定數位平臺，並在符合公平貿易、選擇開放、透明及信任等前提之下，DMU得視各個公司不同的情況對其進行特定的要求，如建立面對非法內容、對成人或未成年人有害內容時的應對措施等。 5.與國際方針的一致性 過去，澳洲在數位平臺監管策略採取了領先國際的創新行動，透過實施《新聞媒體議價法》（News Media Bargaining Code），要求數位平臺為新聞內容付費。但未來澳洲政府最終採用的策略將可能仿效他國經驗或是依循國際間共通模式，如英國推行中的《網路安全法》（Online Safety Bill）或歐盟的《數位市場法》（Digital Market Act）和《數位服務法》（Digital Services Act），而非獨樹一幟。 澳洲數位平臺監管策略之後續變化與進展值得持續追蹤，以做為我國數位平臺治理政策之借鏡。
調和國際標準！美國食藥署提出醫療器材品質系統規則修正草案美國食藥署（US Food and Drug Administration, FDA）於2022年2月23日提出「醫療器材品質系統規則修正草案（Medical Devices; Quality System Regulation Amendments proposed rule）」。本次修正旨在釐清現行條文與國際標準ISO13485醫療器材品質管理系統之異同，並進行適度調和。 根據修正說明，草案就現行條文與ISO13485一致之處將予保留，不一致者若屬落實授權母法「美國聯邦食品藥粧法（US Federal Food, Drug and Cosmetics Act, FD&C Act）」之必要內容，將斟酌條文用詞明確性調整後予以保留，其餘將予刪除。此外，草案也透過名詞解釋界定不同用語之定義範疇，嫁接現行條文與ISO13485落差處。對於現行條文中，與ISO13485性質相同但內容產生衝突之條文，基於依授權母法意旨，以現行條文為準。 FDA注意到，部分FD&C Act所重視的品質管理系統要求，在ISO13485中並未被重點凸顯，如記錄控管（control of records）、醫材標示（device labeling）及包裝控管（packaging controls）。本次修正特別針對此三部分保留並增補較ISO13485要求更為詳細的規範內容。在記錄控管部分，除依照ISO13485要求，記錄標的應為日期及簽署確認外，進一步依據FD&C Act規定，要求特定的服務及執行紀錄應予以紀錄，以作為醫材報告之內容。此外，也規定應詳實記錄醫療器材單一識別碼（Unique Device Identification, UDI）。在醫材標示及包裝控管部分，由於ISO13485僅指出產品應標示及包裝，但未詳述細節要求。因此，本次修正保留現行條文對於標示及包裝的細節性規定，以確保產品安全性及有效性。 本草案目前進入意見徵集期間，時間自2022年3月25日起至2022年5月24日止。後續FDA將視所徵集之意見，決定是否調整草案內容或公告施行。本次修定將使醫療器材品質系統規則與ISO13485趨於一致，預計可減輕廠商行政作業及支出負擔。
加州消費者隱私保護法修正法案重點說明隨著個人資料保護意識的興起，各國也持續增修法律來保護人民權益以及協調產業標準，但這變動的過程會對本來就複雜的法律結構帶來更多挑戰。 如美國同時會有聯邦法與州法兩個層次的法律，當兩者分別發展隱私權相關法律規範時，難免會缺乏協調，出現定義不明的重疊規範，進而提高企業之法令遵循成本與管理成本。最終導致的結果，就是非必要地降低了產業發展速度，以及提高了消費者獲得服務的成本。 日前美國加州政府修改了首部以消費者個人資料權利為規範之州級法律「加州消費者隱私保護法（California Consumer Privacy Act, CCPA）」，使該部法案對於個人資料保護與利用之規範日漸完備，並減少與聯邦政府重複管轄項目，進而達到合理降低州內企業的遵法成本。美國加州州長紐松（Gavin Newsom）簽署的CCPA修正案「AB-713號法案」（Assembly Bill No. 713, an act to amend Sections 1798.130 and 1798.145 of the Civil Code ）通過後，CCPA之適用範圍將限縮。若「同時符合」下列二者條件，則可免受CCPA規範： 受「加州醫療資訊保密法」（the California’s Confidentiality of Medical Information Act, CMIA）所規範的的醫療資訊及個人健康資訊之衍生資訊，或受「美國聯邦受試者保護通則」（Federal Common Rule for human research subjects) 所規範的可識別之個人資訊。 根據「健康保險可攜性及責任法」（Health Insurance Portability and Accountability Act, HIPPA）之標準，已去識別化的資訊。 換言之，已經依HIPAA標準去識別化之第一點資訊，即可豁免CCPA針對個人資料保護之相關規定。此將減輕本身不受 HIPAA 規範，但因進行研究或業務目的需接收 HIPPA 去識別化資訊企業之合規負擔。 「AB-713號法案」對於已去識別化資訊之利用或販售行為，增設了契約須載明下列規範架構之條款內容： 如有利用或販售去識別化資訊涉及病患資料者，須在契約中予以聲明。 禁止買受人或被授權利用人以任何方式重新識別去識別化資訊。 除法律另有規定，或第三方受到相同或更嚴格限制之個資保護約束，買受人或被授權利用人不得將去識別化資訊再行揭露予第三方。 「AB-713號法案」亦要求進行CCPA所涵蓋販售或揭露去識別化病患資訊的企業，其隱私政策聲明應納入以下內容： 將出售或揭露去識別化病患之資訊； 採用HIPAA所允許如專家法(Expert determination)或安全港法(Safe harbor)等之何種方式，進行病患資訊之去識別化。 整體來說，「AB-713號法案」讓CCPA的規範稍加鬆綁，明確排除CCPA對特定去識別化資訊之適用，並擴張對研究行為之豁免範圍，在處理上有更多彈性，惟同時也要求企業須充分揭露其個人資料處理原則。
日本「新產業構造部會」提出2030年「新產業構造願景」日本政府認為IoT、Big Data以及人工智慧等破壞式創新技術的出現，目前世界正處於「第四次工業革命」之重大變革，而究竟IoT、Big Data及人工智慧的發展會對經濟、社會產生什麼程度的影響，公私部門有必要共同對應及討論共同戰略願景。因此，經濟產業省於2015年9月17日在「產業構造審議會」下設置「新產業構造部會」，以公私協力的方式共同策定未來產業願景。 該會議的具體檢討事項包括： 1. 具體變革狀況檢視：IoT、Big Data、人工智慧等技術，究竟會對產業構造、就業結構，以及經濟社會系統具體產生如何的改變。 2. 變革之影響：上述的變化可能創造機會，亦會產生風險。因此，於經濟社會層面要怎麼解決迎面而來的挑戰，是否有可能克服相關限制，亦為應關注的焦點。 3. 把握國際上的動向：上述的機會及風險，各國政府及企業等應對的戰略究竟為何。 4. 日本政府具體之特定處方籤：於上述背景下，日本政府及民間企業，應提出個別之戰略及對應方法。 綜上所述，公私部門應協力做成包含時間進程的「指南針」，最後提出2030年「新產業構造願景（新産業構造ビジョン）」，對將來經濟社會系統進行預測。