日本《研究資料基盤整備與國際化戰略》報告書
日本因應各先進國家近年於開放科學概念下，政府資助研發計畫研究資料管理及開放之倡議與制度化推展趨勢，內閣府於2015年提出開放科學國際動向報告書，並在第5期科學技術基本計畫與2019年統合創新戰略中規劃推動開放科學。上述政策就研究資料管理開放議題，擬定了資料庫整備、研究資料管理運用方針或計劃之制定、掌握相關人才培育與研究資料運用現況等具體施政方針。在此背景下，內閣府於2018年設置「研究資料基盤整備與國際化工作小組（研究データ基盤整備と国際展開ワーキング・グループ）」，持續檢討日本國內研究資料管理、共享、公開、檢索之基盤系統建構與政府制度、國家研究資料戰略與資料方針、國際性層級之推動方向等議題，在2019年10月據此作成《研究資料基盤整備與國際化戰略》（研究データ基盤整備と国際展開に関する戦略）報告書，形成相關政策目標。
本報告書所設定的政策目標採階段性推動，區分為短期目標與中長期目標。短期預計在2020年前，正式開始運用目前開發測試中之研究資料基盤雲端平台系統（NII Research Data Cloud, RDC），針對射月型研發計畫研擬並試行研究資料管理制度，建構詮釋資料（metadata）之集中檢索體系，並建立與歐洲開放科學雲（EOSC）之連結；中長期目標則規劃至2025年前，持續調適運用RDC，正式施行射月型研發計畫之研究資料管理制度，確立共享與非公開型研究資料之管理框架，蒐整管理資料運用現況之相關資訊，並逐步擴張建立與全球研究資料共享平台間之連結。
本文為「經濟部產業技術司科技專案成果」
劉純妤
法律研究員 編譯整理
劉芷宜，〈何謂「Society 5.0」〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=16&tp=5&d=8174 （最後瀏覽日：2020/02/18）。
劉純妤，〈開放科學（open science）〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=67&tp=5&d=8254 （最後瀏覽日：2020/02/18）。
由聯合國「國際電信聯盟」（the UN's International Telecommunication Union ,ITU）主持的國際電信世界大會（the World Conference on International Telecommunications ,WCIT）於2012年12月14日在杜拜落幕，此次有193個國家的政府代表與會，主要議題討論是否要更新自1988年以來已經24年未經修改的全球電信規則（the International Telecommunication Regulations ,ITRs），該修正案主要係由中國與俄羅斯所提出，其有意授權政府監管網際網路，盼望各國能合作打擊垃圾郵件並促進網路的普及。 這項修正案最大爭議點就在「人權」二字。若政府擁有網路審查權成為普世價值，保護言論自由是否將流於口號，某些習慣高壓政策的國家是否會濫用審查權，控制輿論進行不當審查與管制？ ITU秘書長Hamadoun Touré認為網際網路應該納入全球電信政策框架下，但反對派則認為此舉扼殺了網路自由，美國代表團團長Terry Karamer則主張，網路政策不應由聯合國成員國來定，應該由公民、社群以及更廣大的社會來決定。 經過激烈的辯論之後，共有89國支持這項修正案，而包括美國、加拿大、澳洲和英國在內的55個國家已經拒絕簽署，該修正案將於2015年1月1日生效，由於修正後的新規定必須經過所有成員國同意才具全球約束力，大會呼籲未簽署或已經拒絕簽署的55國應盡速簽署。
歐洲議會決議通過歐盟數位服務新規章──數位服務法及數位市場法歐盟執委會（European Commission，下稱執委會）於2020年底提出數位服務法（Digital Services Act，DSA）以及數位市場法（Digital Market Act，DMA），而歐洲議會（European Parliament）最終於2022年7月5日以壓倒性的多數決通過上述法案，待歐盟理事會（Council of the European Union）核准通過後，法案將在公告於歐盟官方公報（EU Official Journal）後20天生效，並分別依規定時間開始適用。歐盟理事會已於2022年7月18日率先核准通過DMA，並正進行登載公報相關程序，DMA將於生效日起六個月後開始適用。以下將簡述兩法案主要內容： 1.數位服務法（DSA）：主要係處理線上非法內容、不實資訊以及其他社會風險等散播問題。依DSA，數位服務提供者於其服務或交易平台應針對涉及侵害基本權之非法內容即時採取反制措施、強化平台交易者之查核並提高可追溯性、增加平台的透明度及有責性，並應禁止具誤導性及部分特定類型之定向廣告，如針對兒童的廣告或以敏感資訊為基礎的廣告等。 2.數位市場法（DMA）：要求大型的主流線上平台於數位市場擔任「守門人」（gatekeeper），以確保消費者有公平的交易環境。守門人應與第三方交互使用服務，並使商業用戶得存取於其平台所生之資料，且不得：在其平台的檢索（index）與索引（crawl）相關排名中自我偏好（self-preferencing）自身產品及服務、令使用者難以卸載預先安裝之軟體或應用程式、以廣告為目的利用使用者個資。值得注意的是，執委會得對違反DMA規定之守門人處以其最高全球總營收10%的罰鍰，累犯者之罰鍰上限將提高至年度營收的20%。
G7第四屆資料保護與隱私圓桌會議揭示隱私保護新趨勢G7第四屆資料保護與隱私圓桌會議揭示隱私保護新趨勢 資訊工業策進會科技法律研究所 2025年03月10日 七大工業國組織（Group of Seven，下稱G7）於2024年10月10日至11日在義大利羅馬舉辦第四屆資料保護與隱私機構圓桌會議（Data Protection and Privacy Authorities Roundtable，下稱圓桌會議），並發布「G7 DPAs公報：資料時代的隱私」（G7 DPAs’ Communiqué: Privacy in the age of data，下稱公報）[1]，特別聚焦於人工智慧（AI）技術對隱私與資料保護的影響。 壹、緣起 由美國、德國、英國、法國、義大利、加拿大與日本的隱私主管機關（Data Protection and Privacy Authorities, DPAs）組成本次圓桌會議，針對數位社會中資料保護與隱私相關議題進行討論，涵蓋「基於信任的資料自由流通」（Data Free Flow with Trust, DFFT）、新興技術（Emerging technologies）、跨境執法合作（Enforcement cooperation）等三大議題。 本次公報重申，在資通訊技術主導的社會發展背景下，應以高標準來審視資料隱私，從而保障個人權益。而DPAs作為AI治理領域的關鍵角色，應確保AI技術的開發和應用既有效且負責任，同時在促進大眾對於涉及隱私與資料保護的AI技術認識與理解方面發揮重要作用[2]。此外，公報亦強調DPAs與歐盟理事會（Council of Europe, CoE）、經濟合作暨發展組織（Organisation for Economic Co-operation and Development, OECD）、亞太隱私機構（Asia Pacific Privacy Authorities, APPA）、全球隱私執行網路（Global Privacy Enforcement Network, GPEN）及全球隱私大會（Global Privacy Assembly, GPA）等國際論壇合作的重要性，並期望在推動資料保護與建立可信賴的AI技術方面作出貢獻[3]。 貳、重點說明 基於上述公報意旨，本次圓桌會議上通過《關於促進可信賴AI的資料保護機構角色的聲明》（Statement on the Role of Data Protection Authorities in Fostering Trustworthy AI）[4]、《關於AI與兒童的聲明》（Statement on AI and Children）[5]、《從跨國角度觀察降低可識別性：G7司法管轄區對匿名化、假名化與去識別化的法定及政策定義》（Reducing identifiability in cross-national perspective: Statutory and policy definitions for anonymization, pseudonymization, and de-identification in G7 jurisdictions）[6]，分別說明重點如下： 一、《關於促進可信賴AI的資料保護機構角色的聲明》 繼2023年第三屆圓桌會議通過《關於生成式AI聲明》（Statement on Generative AI）[7]後，本次圓桌會議再次通過《關於促進可信賴AI的資料保護機構角色的聲明》，旨在確立管理AI技術對資料保護與隱私風險的基本原則。G7 DPAs強調許多AI技術依賴個人資料的運用，這可能引發對個人偏見及歧視、不公平等問題。此外，本聲明中還表達了擔憂對這些問題可能透過深度偽造（Deepfake）技術及假訊息擴散，進一步對社會造成更廣泛的不良影響[8]。 基於上述考量，本聲明提出以下原則，納入G7 DPAs組織管理的核心方針[9]： 1. 以人為本的方法：G7 DPAs應透過資料保護來維護個人權利與自由，並在AI技術中提供以人權為核心的觀點。 2. 現有原則的適用：G7 DPAs應審視公平性、問責性、透明性和安全性等AI治理的核心原則，並確保其適用於AI相關框架。 3. AI核心要素的監督：G7 DPAs應從專業視角出發，監督AI的開發與運作，確保其符合負責任的標準，並有效保護個人資料。 4. 問題根源的因應：G7 DPAs應在AI的開發階段（上游）和應用階段（下游）找出問題，並在問題擴大影響前採取適當措施加以解決。 5. 善用經驗：G7 DPAs應充分利用其在資料領域的豐富經驗，謹慎且有效地應對AI相關挑戰。 二、《關於AI與兒童的聲明》 鑒於AI技術發展可能對於兒童和青少年產生重大影響，G7 DPAs發布本聲明表示，由於兒童和青少年的發展階段及其對於數位隱私的瞭解、生活經驗有限，DPAs應密切監控AI對兒童和青少年的資料保護、隱私權及自由可能造成的影響程度，並透過執法、制定適合年齡的設計實務守則，以及發佈面向兒童和青少年隱私權保護實務指南，以避免AI技術導致潛在侵害兒童和青少年隱私的行為[10]。 本聲明進一步闡述，當前及潛在侵害的風險包含[11]： 1. 基於AI的決策（AI-based decision making）：因AI運用透明度不足，可能使兒童及其照顧者無法獲得充足資訊，以瞭解其可能造成重大影響的決策。 2. 操縱與欺騙（Manipulation and deception）：AI工具可能具有操縱性、欺騙性或能夠危害使用者情緒狀態，促使個人採取可能危害自身利益的行動。例如導入AI的玩具可能使兒童難以分辨或質疑。 3. AI模型的訓練（Training of AI models）：蒐集和使用兒童個人資料來訓練AI模型，包括從公開來源爬取或透過連線裝置擷取資料，可能對兒童的隱私權造成嚴重侵害。 三、《從跨國角度觀察降低可識別性：G7司法管轄區對匿名化、假名化與去識別化的法定及政策定義》 考慮到個人資料匿名化、假名化及去識別化能促進資料的創新利用，有助於最大限度地減少隱私風險，本文件旨在整合G7成員國對於匿名化、假名化與去識別化的一致理解，針對必須降低可識別性的程度、資訊可用於識別個人的程度、減少可識別性的規定流程及技術、所產生的資訊是否被視為個人資料等要件進行整理，總結如下： 1. 去識別化（De-identification）：加拿大擬議《消費者隱私保護法》（Consumer Privacy Protection Act, CPPA）、英國《2018年資料保護法》（Data Protection Act 2018, DPA）及美國《健康保險可攜性及責任法》（Health Insurance Portability and Accountability Act , HIPAA）均有去識別化相關規範。關於降低可識別性的程度，加拿大CPPA、英國DPA規定去識別化資料必須達到無法直接識別特定個人的程度；美國HIPAA則規定去識別化資料須達到無法直接或間接識別特定個人的程度。再者，關於資料去識別化的定性，加拿大CPPA、英國DPA認定去識別化資料仍被視為個人資料，然而美國HIPAA則認定去識別化資料不屬於個人資料範疇。由此可見，各國對去識別化規定仍存在顯著差異[12]。 2. 假名化（Pseudonymization）：歐盟《一般資料保護規則》（General Data Protection Regulation, GDPR）及英國《一般資料保護規則》（UK GDPR）、日本《個人資料保護法》（個人情報の保護に関する法律）均有假名化相關規範。關於降低可識別性的程度，均要求假名化資料在不使用額外資訊的情況下，須達到無法直接識別特定個人的程度，但額外資訊應與假名化資料分開存放，並採取相應技術與組織措施，以確保無法重新識別特定個人，因此假名化資料仍被視為個人資料。而關於假名化程序，日本個資法明定應刪除或替換個人資料中可識別描述或符號，歐盟及英國GDPR雖未明定具體程序，但通常被認為採用類似程序[13]。 3. 匿名化（Anonymization）：歐盟及英國GDPR、日本個資法及加拿大CPPA均有匿名化相關規範。關於降低可識別性的程度，均要求匿名化資料無法直接或間接識別特定個人，惟可識別性的門檻存在些微差異，如歐盟及英國GDPR要求考慮控管者或其他人「合理可能用於」識別個人的所有方式；日本個資法則規定匿名化資料之處理過程必須符合法規標準且不可逆轉。再者，上述法規均將匿名化資料視為非屬於個人資料，但仍禁止用於重新識別特定個人[14]。 參、事件評析 本次圓桌會議上發布《關於促進可信賴AI的資料保護機構角色的聲明》、《關於AI與兒童的聲明》，彰顯G7 DPAs在推動AI治理原則方面的企圖，強調在AI技術蓬勃發展的背景下，隱私保護與兒童權益應成為優先關注的議題。與此同時，我國在2024年7月15日預告《人工智慧基本法》草案，展現對AI治理的高度重視，融合美國鼓勵創新、歐盟保障人權的思維，針對AI技術的應用提出永續發展、人類自主、隱私保護、資訊安全、透明可解釋、公平不歧視、問責等七項原則，為國內AI產業與應用發展奠定穩固基礎。 此外，本次圓桌會議所發布《從跨國角度觀察降低可識別性：G7司法管轄區對匿名化、假名化與去識別化的法定及政策定義》，揭示各國在降低可識別性相關用語定義及其在資料保護與隱私框架中的定位存在差異。隨著降低可識別性的方法與技術不斷創新，這一領域的監管挑戰日益突顯，也為跨境資料流動越發頻繁的國際環境提供了深化協調合作的契機。在全球日益關注資料保護與隱私的趨勢下，我國個人資料保護委員會籌備處於2024年12月20日公告《個人資料保護法》修正草案，要求民間業者設置個人資料保護長及稽核人員、強化事故通報義務，並針對高風險行業優先實施行政檢查等規定，以提升我國在數位時代的個資保護水準。 最後，本次圓桌會議尚訂定《2024/2025年行動計畫》（G7 Data Protection and Privacy Authorities’ Action Plan）[15]，圍繞DFFT、新興技術與跨境執法合作三大議題，並持續推動相關工作。然而，該行動計畫更接近於一項「基於共識的宣言」，主要呼籲各國及相關機構持續努力，而非設定具有強制力或明確期限的成果目標。G7 DPAs如何應對數位社會中的資料隱私挑戰，並建立更順暢且可信的國際資料流通機制，將成為未來關注的焦點。在全球共同面臨AI快速發展所帶來的機遇與挑戰之際，我國更應持續關注國際趨勢，結合自身需求制訂相關法規以完善相關法制，並積極推動國際合作以確保國內產業發展銜接國際標準。 [1]Office of the Privacy Commissioner of Canada [OPC], G7 DPAs’ Communiqué: Privacy in the age of data (2024), https://www.priv.gc.ca/en/opc-news/news-and-announcements/2024/communique-g7_241011/ (last visited Feb 3, 2025). [2]Id. at para. 5. [3]Id. at para. 7-9. [4]Office of the Privacy Commissioner of Canada [OPC], Statement on the Role of Data Protection Authorities in Fostering Trustworthy AI (2024), https://www.priv.gc.ca/en/opc-news/speeches-and-statements/2024/s-d_g7_20241011_ai/ (last visited Feb 3, 2025). [5]Office of the Privacy Commissioner of Canada [OPC], Statement on AI and Children (2024), https://www.priv.gc.ca/en/opc-news/speeches-and-statements/2024/s-d_g7_20241011_child-ai/ (last visited Feb 3, 2025). [6]Office of the Privacy Commissioner of Canada [OPC], Reducing identifiability in cross-national perspective: Statutory and policy definitions for anonymization, pseudonymization, and de-identification in G7 jurisdictions (2024), https://www.priv.gc.ca/en/opc-news/news-and-announcements/2024/de-id_20241011/ (last visited Feb 3, 2025). [7]Office of the Privacy Commissioner of Canada [OPC], Statement on Generative AI (2023), https://www.priv.gc.ca/en/opc-news/speeches-and-statements/2023/s-d_20230621_g7/ (last visited Feb 3, 2025). [8]Supra note 4, at para. 11. [9]Supra note 4, at para. 18. [10]Supra note 5, at para. 5-6. [11]Supra note 5, at para. 7. [12]Supra note 6, at para. 11-15. [13]Supra note 6, at para. 16-19. [14]Supra note 6, at para. 20-25. [15]Office of the Privacy Commissioner of Canada [OPC], G7 Data Protection and Privacy Authorities’ Action Plan (2024), https://www.priv.gc.ca/en/opc-news/news-and-announcements/2024/ap-g7_241011/ (last visited Feb 3, 2025).
日本雅虎公布個資刪除標準自從歐洲法院判決谷歌（Google）應該尊重當事人的「被遺忘權」，從搜尋結果移除敏感、不當或過時的資訊聯結後，日本雅虎（Yahoo!）於2014年11月組成了專家小組，針對民眾請求刪除網路搜尋結果時，搜尋引擎應該在何種程度上及如何給予回應等議題進行討論，並於2015年3月30日公布了個資刪除標準，隔日起生效。 日本雅虎表示，當搜尋某人的姓名，出現其病歷、過去曾經犯下的輕罪等敏感性資訊或明顯侵害個人權益的資訊（如非公眾人物的地址、電話號碼等）時，當事人可以請求刪除搜尋結果，但在決定是否准許當事人請求前，雅虎將先行檢查當事人係屬成年人、弱勢族群或公眾人物（包括國會議員、公司高階主管及影視圈名人等）。至於那些被強烈懷疑為非法的性愛照片，如兒童色情或報復性色情（未經本人同意而散播的親密照片）等，將主動予以封鎖而無法瀏覽。 由於線上文字及圖片相當容易複製，不願意公開的資訊被公開在網路上而無法移除時，往往造成當事人心理上極大的痛苦，於搜尋階段便設法封鎖有問題的資訊，能夠有效地防止因資訊傳播而帶來的傷害。但從言論自由及知的權利的角度出發，某些資訊的揭露本身即具有公益色彩，應該適度限制當事人移除資訊的請求。日本雅虎率先公布個資刪除標準，預料將帶動亞洲入口網站對於隱私保護的重視。