紐約市議員向議會提出禁止行動裝置相關業者共享客戶位置資訊的法案

  紐約市議員Justin Brannan於2019年7月23日向紐約市議會提交一項內容為禁止電信公司和手機應用程式開發商與第三方共享客戶位置資訊(location data)的法案(Int 1632-2019, Prohibition on sharing location data with third parties.)。

  該法案原則上,禁止電信公司和手機應用程式開發商與第三方(例如:行銷人員)共享客戶的位置資訊,主要原因在於一般客戶並不清楚自己的位置資訊被共享給第三人,且對於第三人取得其位置資訊後的利用行為存有疑慮。又,位置資訊應屬個人隱私的一部分,故未取得客戶本人同意,即共享其位置資訊無疑是對客戶個人隱私的侵犯。如公司違反法案規定,執法機關對該公司之罰款,以「行為次數」作為計算單位,每次課予1,000美元,惟就同一名受害者,如一天內有數個違法行為,則當天罰款上限為10,000美元。同時,該法案賦予位置資訊被違法共享的當事人,得就其權利被侵害之事實,向法院提訴訟,以為救濟。

  不過,該法案並非「絕對」禁止位置資訊的共享,如屬下列情形,例外可共享:

  1. 為配合執法機關執行法定職務之所需,如:法律調查等程序,而提供客戶之位置資訊。
  2. 為911緊急服務之所需提供,或為免除本人之生命或財產上之急迫危險,提供其位置資訊。
  3. 聯邦法律、州法或地方法明文要求應提供。
  4. 客戶授權電信公司或手機應用程式開發商得與第三方共享其位置資訊。

  這部法案主要目的在於,保障行動裝置使用者的位置資訊,不會在當事人不知情的情形下被提供給第三方。雖然目前該法案尚在審議中,但未來如果通過,紐約市將成為禁止出售個人行動裝置位置資訊的先鋒,同時其執行結果勢必也將成為關注焦點。

相關連結
你可能會想參加
※ 紐約市議員向議會提出禁止行動裝置相關業者共享客戶位置資訊的法案, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=8343&no=64&tp=1 (最後瀏覽日:2026/05/10)
引註此篇文章
你可能還會想看
我國法制對於AR/VR發展之影響評估

我國法制對於AR/VR發展之影響評估 資策會科技法律研究所 法律研究員 王凱嵐 105年06月14日   隨著科技的進步,同時在大數據、物聯網及可穿戴式裝置發展下,未來AR/VR技術可運用之層面相當廣泛,諸如遊戲、視訊娛樂、醫療保建、教育、醫療保建等,具有成為繼智慧型手持裝置後另一重要軟硬體平台之潛力。   所謂AR即擴增實境,指將虛擬資訊擴增到現實空間中的技術。這並不是完全取代現實之空間,而是在現實生活中融合虛擬資訊,藉由攝影機的辨識技術與電腦程式的結合,使虛擬資訊得以正確的疊加或輔助式出現於現實空間中。另一方面,所謂VR即虛擬實境,指利用電腦技術模擬出一個立體、高擬真的3D空間。當使用者穿戴特殊顯示裝置,會產生身處不同於當下環境之空間,而在此虛擬的空間中,使用者得透過控制器(如搖桿)或鍵盤移動或互動。   根據Digi-Captial的預估,到2020年AR加上VR總市場規模可達1,500億美元[1]。由此可知此產業具有非常大的市場規模,未來無論在各個領域中,AR、VR技術將突破過往的模式,將所想像的事物或空間呈現於使用者/消費者眼前。除了提供新型態技術的服務體驗,同時業者也能在成本或資源有限的情況下,突破原有限制,提高產能。以下配合未來假設技術運用上之情境,進行我國法規範之盤點,標示可能涉及或衝突的現行規範,評估其影響並給予建議。 壹、應用領域   根據跨國投資銀行高盛集團針對AR、VR之發展趨勢、潛在應用領域進行分析和預測[2],其中包含遊戲、視訊娛樂、教育及醫療保健四項。 一、 遊戲:遊戲產業為當前在VR發展上最為成功的消費者市場。該技術運用在遊戲上,將給予遊戲玩家沉浸式的虛擬世界,提高遊戲體驗。而在未來VR結合網咖,提供不同的遊戲體驗。此種傳統的連線功能電腦遊戲附上VR虛擬實境的裝置,是否會出現全新的產業或遊戲類別,值得日後持續觀察。 二、 視訊娛樂:除遊戲產業外,視訊娛樂是另一個發展核心。使用者得穿戴VR眼鏡或頭盔,結合影音聲效觀看電影。未來若使用在電影院中,不同於傳統的3D眼鏡,VR給予使用者一全封閉式之虛擬環境,可不再被場地所侷限。惟拍攝此類電影或視訊畫面,須使用全景攝影機設備,造成製作成本較難以預測。 三、 教育:未來學校可運用此技術加強師生間之互動或提升學生學習意願。在遠距教學之運用,突破過去因距離或傳統教學的環境限制,提高整體教育品質。另一方面,在考證照(例如汽車駕訓)時也可透過虛擬實境完成,可不再被場地侷限(例如汽車教練場)。 四、 醫療保健:在醫療運用上,AR、VR的技術能幫助恐懼症或輔助醫學治療。而在遠距治療、診斷或照護行為上,得根據不同之情況提供不同的技術服務。在病患的身體狀況或居住環境,VR技術將給予相關醫護人員更好的判斷依據,增加正確及準確的治療、診斷及照護行為。 貳、涉及法規 一、 遊戲:當VR眼鏡運用在具連線功能之電腦遊戲上,則可能涉及「資訊休閒業管理自治條例」[3]提供場所及設備以連線或非連線方式結合資料儲存裝置,供不特定人從事遊戲娛樂之營利事業(例:網咖使用VR設備),在場所設置範圍上,將受到相關地方自治條例之限制規範。   而在個人或家用透過VR眼鏡與軟體遊結合,針對該遊戲內容,我國「遊戲軟體分級管理辦法」 之規定,對所有數位遊戲軟體發行上市皆須送審核並登錄分級等規範。除遊戲軟體業者須自律分級進行分級登錄,產品包裝與展示露出皆須標示分級。 二、 視訊娛樂:若未來將VR技術結合電影產業,在以營業為目的之電影播放場所使用VR眼鏡觀看電影。目前我國「電影法」[5]對於電影內容及相關行業有作出規範,惟透過穿戴式眼鏡或頭盔僅可視為電影放映之平台或載具。本法目前對於此技術之運用尚無限制。在非電影院之場地運用VR穿戴眼鏡播放電影,若符合電影法第三條電影片映演業定義,應遵守本法之規定。若僅附屬服務(例如民宿、飯店提供婦放映電影免費服務),若符合相關著作權[6]之規範,應無適用問題,仍得視為電影放映之平台或載具。 三、 教育:運用在遠距教學按現行法規之規定,應可視為符合互動方式之擴充服務,在取得學分問題上,並無疑慮。另一方面,若運用在汽車駕訓考試,目前我國「道路交通安全規則」第65條[7],駕駛執照考試應考科目為筆試及路考,單以駕駛訓練為目的則不會有影響。惟在取得駕駛執照的考試,並無法透過VR取得駕駛執照。 四、 醫療保健:在遠距醫療運用上,「醫師法」第十一條[8]中關於遠距診斷僅限於特定情況下方可行之,透過VR技術模擬實地效果之遠距治療或診斷,將受到法規上之限制。 參、結論建議   根據以上法規之彙整,首先在遊戲上與AR、VR技術的導入最具關聯性,不僅在內容上具備多元性且可獨立存取於顯示裝置外,與一般大型機台之儲存設備不同。其營業模式,可藉由出租顯示裝置及其周邊設備,供使用者連接各種平台上之各種內容或應用程式,類似資訊休閒業。   然而目前資訊休閒業者所提供或使用之遊戲軟體,必須依遊戲分級管理辦法規定,其內容須符合分級級別、登錄分級。未來建議可針對遊戲機類別可參考「遊戲軟體分級管理辦法」做出區分標準,將呈現內容由內容分級法令規範。同時藉此修法契機得釐清與「資訊休閒業」(目前無中央法規,僅各地方以自治條例形式進行規範)之認定關係(例如由中央增訂資訊休閒業專法)。   另在遠距治療、診斷、照護法規上,「醫師法」僅開放符合特定條件下(如偏遠地區或特殊急迫情形)以通訊方式詢問病情或診察。為避免日後認定上可能產生違法疑慮,得建議中央主管機宜用行政函釋之方式,釐清模糊空間利於相關產業之發展。未來AR/VR的技術運用層面上,是否排除在法規之特定條件下方可適用之規定?此點仍須考量該技術上發展能進展到何地步。   最後,在技術驗證上運用VR(例如汽機車駕駛訓練或考試),根據我國「道路交通安全規則」駕駛執照考試應考科目為筆試及路考。建議可透過行政函釋釐清路考得否透過虛擬實境為之,並可在訓練時加進虛擬實境項目,提升學員在考照前、通過後更好的準備。利用行政函釋得消除法規適用上之疑義。   透過分析未來新科技運用所產生出的法制障礙,預先設想可能對該產業造成之影響。AR/VR技術未來勢必會帶給人們新的社會生活型態,相關的技術廠商也不斷推層出新。而台灣不可在這個領域錯失先機,故在法規與運用上須取得平衡點,用以增進未來我國在虛擬實境產業上發展之實力。 [1] 鉅亨網,<VR產品迎密集上線潮 虛擬現實產業全球盛宴開啟>,2016/03/01,http://news.cnyes.com/Content/20160301/20160301160032997491410.shtml (最後瀏覽日期:2016/05/27) [2] VREYES,<vr來了,行業標準今年形成?>,2016/03/18,http://www.vreyes.cn/observation/topics/4341.html(最後瀏覽日期:2016/05/30) [3] 目前僅部分地方政府針對資訊休閒業制定專法。 [4] 遊戲軟體分級管理辦法第十條「發行或代理遊戲軟體之人於其遊戲軟體上市前,應依本辦法之規定標示分級資訊。但非由前述之人所供應之遊戲軟體,應由實際供應者依本辦法之規定負分級義務。前項之人應將遊戲軟體分級級別及情節登錄於中央目的事業主管機關之資料庫,供分級查詢。遊戲軟體產品包裝及遊戲軟體說明、下載或起始網頁之內容,不得逾越該遊戲軟體之分級級別。」 [5] 電影法第九條「申請電影片、電影片之廣告片審議分級者,應填具申請書,並檢附相關文件、資料,報中央主管機關核准。電影片、電影片之廣告片非經中央主管機關審議分級並核准者,不得映演。但教育行政機關主管之教學電影片,不在此限。電影審議分級不得逾越比例原則。為辦理電影片之審議分級業務,中央主管機關應組成電影片分級審議會,其成員應包括政府機關代表、各相關領域具有學術或實務經驗之學者、專家。前項電影片之審議分級業務,中央主管機關得委託民間專業團體辦理。電影片分級審議會之審議結論應予公開,並逐項具體敘明理由。」 [6] 著作權法第25條「著作人專有公開上映其視聽著作之權利。」 [7]道路交通安全規則第六十五條「申請汽車駕駛執照考驗者,其應考科目為筆試及路考。筆試不及格者,不得參加路考,但依第六十九條核准在原訓練機構辦理考驗者,其結業學員得先參加路考,及格後再行筆試。」(節錄) [8]醫師法第十一條「醫師非親自診察,不得施行治療、開給方劑或交付診斷書。但於山地、離島、偏僻地區或有特殊、急迫情形,為應醫療需要,得由直轄市、縣 (市) 主管機關指定之醫師,以通訊方式詢問病情,為之診察,開給方劑,並囑由衛生醫療機構護理人員、助產人員執行治療。前項但書所定之通訊診察、治療,其醫療項目、醫師之指定及通訊方式等,由中央主管機關定之。」

歐洲個人資料保護委員會發布數位服務法與一般資料保護規則相互影響指引

「歐洲資料保護委員會」(European Data Protection Board, EDPB)於2025年9月12日發布《數位服務法》(Digital Services Act, DSA)與《一般資料保護規則》(General Data Protection Regulation, GDPR)交互影響指引(Guidelines 3/2025 on the interplay between the DSA and the GDPR)。這份指引闡明中介服務提供者(intermediary service providers)於履行DSA義務時,應如何解釋與適用GDPR。 DSA與GDPR如何交互影響? 處理個人資料的中介服務提供者,依據處理個資的目的和方式或僅代表他人處理個資,會被歸屬於GDPR框架下的控制者或處理者。此時,DSA與GDPR產生法規適用的交互重疊,服務提供者需同時符合DSA與GDPR的要求。具體而言,DSA與GDPR產生交互影響的關鍵領域為以下: 1.非法內容檢測(Illegal content detection):DSA第7條鼓勵中介服務提供者主動進行自發性調查,或採取其他旨在偵測、識別及移除非法內容或使其無法存取的措施。指引提醒,中介服務提供者為此採取的自發性行動仍須遵守GDPR要求的處理合法性,而此時最可能援引的合法性依據為GDPR第6條第1項第f款「合法利益」(legitimate interests)。 2.通知與申訴等程序:DSA所規定設通報與處置機制及內部申訴系統,於運作過程中如涉及個資之蒐集與處理,應符GDPR之規範。服務提供者僅得蒐集履行該義務所必須之個人資料,並應確保通報機制不以通報人識別為強制要件。若為確認非法內容之性質或依法須揭露通報人身分者,應事前告知通報人。同時,DSA第20條與第23條所規範之申訴及帳號停權程序,均不得損及資料主體所享有之權利與救濟可能。 3.禁止誤導性設計模式(Deceptive design patterns):DSA第25條第1項規範,線上平台服務提供者不得以欺騙或操縱其服務接收者之方式,或以其他實質扭曲或損害其服務接收者作出自由且知情決定之能力之方式,設計、組織或營運其線上介面,但DSA第25條第2項則宣示,線上平台提供者之欺瞞性設計行為若已受GDPR規範時,不在第25條第1項之禁止範圍內。指引指出,於判斷該行為是否屬 GDPR 適用範圍時,應評估其是否涉及個人資料之處理,及該設計對資料主體行為之影響是否與資料處理相關。指引並以具體案例補充,區分屬於及不屬於 GDPR 適用之欺瞞性設計模式,以利實務適用。 4.廣告透明度要求:DSA第26條為線上平台提供者制定有關廣告透明度的規範,並禁止基於GDPR第9條之特別類別資料投放廣告,導引出平台必須揭露分析之參數要求,且平台服務提供者應提供處理個資的法律依據。 5.推薦系統:線上平台提供者得於其推薦系統(recommender systems)中使用使用者之個人資料,以個人化顯示內容之順序或顯著程度。然而,推薦系統涉及對個人資料之推論及組合,其準確性與透明度均引發指引的關切,同時亦伴隨大規模及/或敏感性個人資料處理所帶來之潛在風險。指引提醒,不能排除推薦系統透過向使用者呈現特定內容之行為,構成GDPR第22條第1項的「自動化決策」(automated decision-making),提供者於提供不同推薦選項時,應平等呈現各項選擇,不得以設計或行為誘導使用者選擇基於剖析之系統。使用者選擇非剖析選項期間,提供者不得繼續蒐集或處理個人資料以進行剖析。 6.未成年人保護:指引指出,為了符合DSA第28條第1項及第2項所要求於線上平台服務中實施適當且相稱的措施,確保未成年人享有高度的隱私、安全與保障,相關的資料處理得以GDPR第6條第1項第c款「履行法定義務」作為合法依據。 7.系統性風險管理:DSA第34與35條要求超大型在線平台和在線搜索引擎的提供商管理其服務的系統性風險,包括非法內容的傳播以及隱私和個人數據保護等基本權利的風險。而指引進一步提醒,GDPR第25條所設計及預設之資料保護,可能有助於解決這些服務中發現的系統性風險,並且如果確定系統性風險,根據GDPR,應執行資料保護影響評估。 EDPB與其他監管機關的後續? EDPB的新聞稿進一步指出,EDPB正在持續與其監管關機關合作,以釐清跨法規監理體系並確保個資保護保障之一致性。後續進一步的跨法域的指引,包含《數位市場法》(Digital Markets Act, DMA)、《人工智慧法》(Artificial Intelligence Act, AIA)與GDPR的相互影響指引,正在持續制定中,值得後續持續留意。

馬來西亞通過修正《個人資料保護法》

馬來西亞個人資料保護委員會(Personal Data Protection commissioner,下稱個資保護委員會)於2023年度收受與個人資料(下稱個資)濫用、外洩相關申訴案件數量達779件,成長數量令人憂心。為確保對於個資保護規範能與國際標準發展同步,並加強個資遭洩漏時即時採取應變措施等相關政策,以解決前述憂心狀況,數位部(Ministry of Digital)於2024年7月10日提出《個人資料保護法》(Personal Data Protection Act 2010, PDPA)修正案,並於同年7月16日經下議院(Dewan Rakyat,馬來語直譯)表決通過。 本次PDPA修正重點包含: 1.設立個資保護官(data protection officer, DPO)制度:強制要求蒐集、處理、利用個資之資料控管者(data controller),及受資料控管者委託而實質處理個資之資料處理者(data processor),均需指派個資保護官。 2.擴張對於敏感性個資(sensitive personal data)定義:與個人身體、生理或行為特徵相關之技術處理所生個資(即生物辨識資料),皆屬之。 3.制訂個資外洩通報制度:強制要求發生個資外洩時須通報個資保護委員會,以及可能受到任何重大損害之個資當事人,惟對於「重大損害」尚未有明確定義。 4.導入資料可攜性:在遵守技術可行性(technical feasibility)與資料格式相容性(data format compatibility)之情境下,允許資料控管者之間在當事人要求下進行資料傳輸。 5.資料處理者的合規遵循義務:舊法僅要求資料控管者須遵守PDPA所規定的安全原則(security principle);新法則擴及要求資料處理者亦有安全原則之合規遵循義務。 6.提高罰則:舊法對於違反個資保護原則者,最高僅得處300,000馬幣和/或2年監禁;新法提高罰則最高得處1,000,000馬幣和/或最高3年監禁。 7.跨境傳輸規範修正:原則允許資料控管者將個資傳輸至馬來西亞以外,惟應採取適當措施確認及確保資料接收方保護個資之水準與馬來西亞個資法程度相當;並將跨境白名單制度調整為黑名單制度,不得傳輸至政府公布黑名單所列地區。 馬來西亞數位部本次修正PDPA,彰顯該國政府對個資保護之重視,惟關於任命個資保護官資格要求、個資外洩通報重大程度標準等細部規範,則仍須待修正案通過後,經個資保護委員會發布相關指引再行釐清。

HP控告其前總裁違約及即將盜用營業秘密一案快速以和解收場

電腦製造大廠HP 於得知其競爭對手Oracle 公司聘用其離職總裁Mark V. Hurd後隨即於加洲法院提起違約(breach of contract)及即將發生盜用營業秘密(threatened misappropriation of trade secrets)之訴訟,但又在短短兩周內雙方達成和解。 HP前總裁Mark V. Hurdy 於八月因被HP董事會指控違反該公司之企業行為規範(code of business conduct)而閃電辭職,隨即受邀接受擔任Oracle 公司共同總裁(Co president) 一職。HP於獲知消息後隨即對Mark V. Hurd提起違約及即將發生盜用營業秘密之訴訟。HP表示其前總裁簽署過保密合約對HP之營業秘密及機密資訊負有保密之義務。HP認為若Mark V. Hurdy任職於其競爭對手Oracle 公司,將對HP造成威脅且將會違反其所負擔之保密義務,因為了於Oracle 公司執行其職務,Mark V. Hurdy必然會使用且洩漏HP之營業秘密及機密資訊。 然於在不到兩周的時間,雙方隨即達成和解。Mark V. Hurdy承諾不會洩漏HP的營業秘密給他的新雇主同時必須放棄346,030 units 的限制性股權(restricted stock units),總價值高達美金4千萬元。 多數觀察家認為HP提起此訴訟案之目的不在阻止其前總裁前往競爭對手工作而主要是在企圖追回Mark V. Hurdy因離職而取得的大量股票權益。

TOP