歐盟執委會發布新產業策略指導方針，協助企業面對氣候中和及數位領導轉型之挑戰
歐盟執委會於2020年3月10日公布產業策略指導方針，名為「因應全球競爭、綠色、和數位歐洲的新產業策略」（A new industrial strategy for a globally competitive, green and digital Europe），以幫助歐洲產業在面臨近年氣候中和及數位領導變遷時，因轉型而產生的過渡期。此次公布的產業策略指導方針，包含三大主題，分別是：（1）新產業策略（A new industrial strategy）、（2）新中小型企業策略（A new SME strategy）以及（3）企業與消費者的單一市場（A single market that delivers for our businesses and consumers）；而其中又以「新產業策略」為該指導方針之重點。
為提升歐洲的產業領導地位，「新產業策略」中論以三個關鍵優先事項，分別為：維持歐洲產業的全球競爭力和公平競爭環境、2050年以前達成氣候中和（climate-neutral）目標，以及塑造歐洲未來數位化。為達成前述優先事項，歐盟執委會提出一系列未來行動：
- 推行智財權行動計畫（Intellectual Property Action Plan）以保護歐盟技術主權，並採行適合綠色和數位轉型的法規框架；
- 持續檢討修正歐盟競爭相關法令（EU competition rules），確保法規能適應快速變化的經濟環境；
- 為維護產業在歐盟境內外的公平競爭環境，執委會將於在2020年中以前出版白皮書，處理歐盟單一市場中因外國補貼而引起的扭曲效應，以及歐盟境內的外國採購和外國資金問題；
- 推行關鍵原料行動方案（Action Plan on Critical Raw Materials），確保關鍵原物料穩定供應；支持戰略數位基礎設施和關鍵技術發展，增強歐洲產業及戰略自主地位；
- 其它則有對綠色公共採購進一步立法、發展低碳產業和技術、支持永續型智慧交通產業等。
本文為「經濟部產業技術司科技專案成果」
劉芷宜
法律研究員 編譯整理
歐盟執委會發布歐洲資料戰略，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=180&d=8429&no=64（最後瀏覽日：2020/04/05）。
歐盟《非歐盟國家智財權保護與執法成效報告》，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=5&i=180&d=8407&no=67（最後瀏覽日：2020/04/05）。
歐盟2019電子政府基準報告，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=5&i=0&d=8375&no=67（最後瀏覽日：2020/04/05）。
近年來，人臉辨識（Face recognition）技術迅速發展，增加便利性的同時，也伴隨了種種隱憂，如：對隱私權的侵害、公部門權力濫用等，是以加州舊金山市（San Francisco）和麻薩諸塞州薩默維爾市（Somerville）分別在今年（2019）5月和6月發布公部門使用人臉辨識技術的相關禁令，加州奧克蘭市（Oakland）並於7月16日跟進，成為美國第三個禁止公部門使用人臉辨識技術的城市。 2018年麻省理工學院曾針對人臉辨識技術的正確率做過研究，其研究結果報告顯示黑人女性辨識錯誤率超過30%，遠不如白人男性；美國公民自由聯盟（American Civil Liberties Union, ACLU）也針對Amazon人臉辨識軟體Rekognition做過測驗，結果該系統竟誤將28名美國國會議員顯示為嫌疑犯，這兩項研究顯示，人臉辨識技術存有極高錯誤率且對種族間存有很大的偏見與歧視。對此奧克蘭市議會主席卡普蘭（Rebecca Kaplan）一項聲明中表示：「當多項研究都指出一項新興技術具有缺陷，且造成寒蟬效應的時候，我們必須站出來」。 卡普蘭並表示：「建立社區和警察間信任與良好關係以及導正種族偏見是很重要的，人臉辨識技術卻反而加深此問題」、「對於隱私權和平等權的保護是最基本的」，故奧克蘭市通過禁止公部門使用人臉辨識技術的法令，原因如下： 人臉辨識系統所依賴的資料集，具高度不準確性。 對於人臉辨識技術的使用與共享，尚缺乏標準。 這項技術本身具有侵犯性，如：侵犯個人隱私權。 政府如果濫用該技術所得之資訊，可導致對弱勢族群的迫害。 雖然目前美國僅有三個城市通過政府機關禁止使用人臉辨識技術的法令，但依照目前的發展狀態，其他的城市甚至州在未來也可能會跟進頒布禁令。
世界運動禁藥管制機構預計於 2027 實施新個人資料保護國際標準（ISDP）世界運動禁藥管制機構預計於 2027 實施新個人資料保護國際標準（ISDP） 資訊工業策進會科技法律研究所 2026年07月25日 世界運動禁藥管制機構（World Anti-Doping Agency，下稱 WADA）於 2025 年 12 月 1 日至 5 日在韓國釜山舉行第六屆世界運動禁藥管制大會，通過《2027 年世界運動禁藥管制規約》及配套的各項國際標準。大會將 2009 年施行的《隱私與個人資訊保護國際標準》（International Standard for the Protection of Privacy and Personal Information，下稱ISPPPI）更名並改版為《資料保護國際標準》（International Standard for Data Protection，下稱ISDP），預計於 2027 年 1 月 1 日生效[1]。 壹、事件摘要 ISDP 是 WADA 世界運動禁藥管制計畫下的強制性國際標準，其第 1.0 條「導論與範圍」載明，本標準由 WADA 專家參考小組納入經濟合作暨發展組織（OECD）1980 年《隱私保護及個人資料跨國流通指導綱領》、歐洲理事會《個人資料自動化處理之個人保護公約》（第 108+ 號公約）、亞太經濟合作（APEC）隱私保護綱領、《歐洲聯盟基本權利憲章》、歐盟《一般資料保護規則》（General Data Protection Regulation，下稱 GDPR），以及其他國際與區域資料保護規範及判例所擬定[2]。其目的在確保運動禁藥管制組織（Anti-Doping Organization，下稱 ADO；我國為財團法人中華運動禁藥防制基金會〔Chinese Taipei Anti-Doping Agency，CTADA〕）及其第三方代理人處理個人資料時，對運動員與運動員輔助人員採取適當、充分且有效的隱私保護。 貳、重點說明 ISDP 全文分為兩部分，第一部分為導論與範圍、規約相關條文及解釋，第二部分為個人資料處理標準，計第 4 條至第 12 條共九條，並附「附件 A：保存期間」。以下依規範定位、隱私始於設計、法律依據、資料分享與委外、安全維護，以及告知、保存與當事人權利六個層次，說明本次改版的重點與差異。 一、規範定位：以較嚴者為準 ISDP 就其與內國法的關係採「較嚴者為準」，要求高於 ADO 所在地資料保護法時，ADO 仍須遵循 ISDP（第 4.1 條）；反之內國法要求更高時，ADO 應確保其處理符合所有適用法律（第 4.2 條）。問責面向則要求 ADO 能證明其個資處理確依本標準辦理，並以相應的內部政策與程序作為證明方法（第 4.3 條）；另須指定專責人員負責遵循本標準及所有適用的隱私與資料保護法令，並將其聯絡資訊主動提供予當事人（第 4.4 條）。相較 2021 年 ISPPPI 僅要求當事人請求時提供該人員姓名與聯絡方式（2021 年版第 4.5 條），本次改版轉為主動揭露，並與第 8 條告知義務相互銜接。 二、隱私始於設計原則之操作化 本次改版新增第 5 條「落實隱私始於設計」（Implementing Privacy-by-Design），將散見的紀錄、風險評估與資料正確性義務整併： 1.在設計或改版階段及個人資料生命週期全程，評估處理活動是否符合 ISDP 第二部分各項標準，並就評估所發現的風險採行必要或適當的減輕措施，包括額外的安全控制與資料最少化等技術及組織措施（第 5.1 條）； 2.維持並更新處理活動紀錄，載明處理目的、個人資料類型、當事人類別、可能受領人類別、ADO 與受領人的角色，以及所適用的技術與組織安全措施（第 5.2 條第 a 款）； 3.評估並於必要時檢視處理所生的風險，並採行措施降低個人資料侵害及其他資料保護風險（第 5.2 條第 b 款）； 4.處理特種個人資料時，應依適用隱私與資料保護法令及本標準所定特別保障或程序辦理（第 5.3 條）； 5.採行措施確保所處理個人資料正確、完整並保持更新，對知悉不正確或不準確的個人資料應儘速更正或修正（第 5.4 條）。 三、處理的法律依據：同意非唯一，亦非絕對 ADO 處理個人資料的前提，是具備有效的法律依據，包括履行法定義務、執行公益任務、基於重大公共利益或公共衛生之必要、履行契約，或保護當事人重大利益（第 7.1 條第 a 款）；於許可範圍內亦得以當事人同意為依據（第 7.1 條第 b 款）。而且除有依據之外，處理須限於相關且相稱的目的範圍；以同意為依據者，並有其要件與例外： 1.ADO 僅得於相關且相稱的範圍內，為《規約》或各項國際標準所許可的目的，或於法律、強制法律程序所要求，或為行使、防禦法律請求所必要時，處理個人資料（第 6.1 條）；明文所列以外的處理並非一律禁止，但須進行資料保護風險評估，衡酌該處理對反禁藥工作的有效性，並採行所辨識的風險減輕措施後，始得為之（第 6.2 條）；此為 2021 年 ISPPPI 所無的新增關卡。 2.以同意為依據者，該同意須屬知情、自願、特定且明確（第 7.1 條第 b 款）；且應告知當事人拒絕同意可能招致的不利後果（第 7.2 條第 a 款）。 3.為展開或進行疑似違規的分析或調查、進行或參與相關程序、確立、行使或防禦法律請求，或遵循法律或強制法律程序所必要者，縱當事人拒絕或事後撤回同意，ADO 對其個資的處理仍可能屬必要，除適用法律另有禁止外不受影響（第 7.2 條第 b 款）。 4.以同意作為處理特種個人資料的依據時，須取得明示同意（第 7.3 條）。當事人因年齡、心智能力或法律承認的其他正當理由無法自行同意者，得由法定代理人、監護人或其他有權代理人代為同意，並代為行使第 12 條所定權利（第 7.4 條）。 四、資料分享與委外控制 ISDP 將 ADO 得與他人分享個人資料的情形限於三種：依《規約》或各項國際標準所許可的目的、依第 7 條取得當事人明示且有效的同意且不違反適用法律，或法律、強制法律程序所要求，或為確立、行使及防禦法律請求所必要（第 9.1 條）。除符合三種情形之一外，ADO 仍須遵守其他各項標準，特別是以受分享之人具知情必要、具備有效法律基礎且個人資料安全獲確保為前提，此並明文及於與執法機關、政府或其他機關的分享（第 9.2 條）。2021 年 ISPPPI 原僅就對其他 ADO 的揭露，要求受領方能證明其取得個資的權利、權限或需要（2021 年版第 8.2 條），本次改版將知情必要、法律基礎與安全確保三項要件一體適用於所有分享對象，並明文納入執法與政府機關，屬既有條文的增修與擴充。 於委由第三方代理人處理時，ISDP 要求 ADO 應選擇能就技術性與組織性安全措施提供充分保證的代理人（第 9.3 條第 a 款），並以適當的控制，包括契約與技術控制，保護所分享的個人資料，並確保代理人僅為 ADO 或在其受託、委任範圍內處理個資（第 9.3 條第 b 款）。 五、安全維護：知情必要與特種個資的更高門檻 ADO 應採行實體、組織、技術、環境等一切必要的安全保障措施，以防止個人資料侵害事件發生（第 10.1 條）；就個人資料的內部管理，ISDP 並具體要求： 1.確保近用個人資料的人員符合知情必要、與其角色職責相稱，受完全可執行的契約或法定保密義務拘束，並已就保密必要與 ADO 的政策程序接受資訊提供及訓練（第 10.2 條）； 2.安全措施應反映所處理個資的敏感程度，對特種個人資料採更高層級的安全措施，以對應其侵害對當事人所生的較高風險（第 10.3 條）； 3.發生可能重大影響個人權利利益的侵害事件時，應於知悉侵害細節後不遲延告知受影響當事人，說明侵害性質、可能的負面後果與已採或將採的補救措施，並通知依第 4.4 條指定的專責人員，並保存侵害事件、其影響與補救作為的紀錄（第 10.4 條）。 六、告知、保存與當事人權利 ISDP 於告知、保存與當事人權利面向，課予 ADO 相當細膩的義務： 1.告知事項（第 8.1 條）：涵蓋蒐集個資的 ADO 身分與依第 4.4 條指定人員的聯絡方式、可能處理的個資類型、利用目的、可能受領人類別（含 WADA 等 ADO 及可能位於運動員參賽、訓練或旅行所在他國的第三方代理人）、於適用法律許可下可能公開揭露的情形與情境（如違規處置的公開）、當事人依本標準或其他法律所享權利及行使方法、依第 12.5 條提出申訴的程序及向資料保護主管機關申訴的可能、儲存期間或其判斷標準，以及為確保處理公平所必要的其他資訊。 2.告知時點與方式（第 8.2 條、第 8.3 條）：原則上應於蒐集前或蒐集時告知；自第三方而非直接自當事人取得個資者，除他方已告知外，應儘速且不遲延告知。告知可能危及反禁藥調查或損及反禁藥程序完整性者，得例外遲延或暫停，但須適當記載理由，並於合理可行時儘速提供。告知並須以當事人易於理解的方式與格式、清晰淺白的用語為之，並斟酌其年齡、相關障礙及當地慣行與具體情境。 3.保存期間（第 11 條及附件 A）：附件 A 以「模組／資料類型」、「保存期間」、「說明」三欄呈現，並就基本與身分資料、行蹤申報、治療用途豁免（TUE）、檢測、實驗室與運動員生物護照管理單位（APMU）紀錄、結果管理、調查、教育八類紀錄模組訂定最長保存期間；落在附件 A 範圍外者，ADO 應自訂明確的保存期間或判斷標準（第 11.2 條）。個人資料一旦不再具正當理由即應刪除、銷毀或匿名化，特種個資的保存須具更強而有力的理由（第 11.3 條），並應訂定安全保存及最終銷毀或匿名化的計畫與程序（第 11.4 條）。保存期間僅於法律明文許可、法律或強制法律程序要求、有繫屬或可合理預期的違規、調查或其他法律程序、當事人明示有效同意，或附件 A 另有規定等情形，始得延長（第 11.5 條），且決定延長者須另行評估資料保護風險並採行減輕措施（第 11.6 條）。 4.賦予當事人查閱與申訴權利：當事人有於一個月內取得複本的權利（第 12.1 條），並得請求更正、封鎖或刪除（第 12.4 條）；ADO 拒絕近用應儘速以書面告知理由（第 12.3 條）；已將個資揭露予另一 ADO 者，應將更正等變更告知該組織；當事人得向 ADO 提出申訴，ADO 須訂有公平公正處理申訴的書面程序；未能妥適解決者，得通知 WADA，由 WADA 依《簽署方規約遵循國際標準》處理，且不排除當事人向有權的資料保護主管機關提出申訴，ADO 並應配合該機關調查（第 12.5 條）。 參、事件評析 運動產業的高度敏感運動員個人生物資料，正因數位科技的運用而快速累積，國際運動組織自訂資料治理規範已成常態。國際職業足球員協會（Fédération Internationale des Associations de Footballeurs Professionnels，FIFPRO）早於 2022 年 9 月即與國際足球總會（FIFA）合作發布《球員資料權利憲章》（Charter of Player Data Rights），以 GDPR 為基礎，列舉職業球員就其表現、健康及生物特徵資料所享的知情、近用、撤回同意、限制處理、可攜、更正、申訴與刪除八項權利[3]。ISDP 雖只拘束我國 CTADA 的禁藥檢測，卻是國際運動組織對標 GDPR 與最新國際個資保護規範的近期共識，適可作為運動部提供運動產業個資管理指引的藍本。 尤其，近期運動治理場域接連出現運動員個資爭議事件，歐盟法院於 2026 年 7 月 14 日就 C-474/24 案作成判決，認於網路公告違規運動員姓名、禁賽期間及理由，雖原則上不牴觸 GDPR，但公告機關須於公告前就相關利益個別權衡並符合比例原則，尤其公告期間的長度；運動員並須能於公告前向資料保護主管機關提起預防性申訴[4]；加拿大隱私專員公署（Office of the Privacy Commissioner of Canada，OPC）就 WADA 所轄運動員個資被用於性別審查一案進行調查後，於 2026 年 3 月與 WADA 簽訂合規協議，WADA 雖未承認違法，仍承諾自 2027 年 1 月 1 日起將 ADAMS 系統的運動員個資限於反禁藥目的[5]；國際奧會則於 2026 年 3 月通過女子組資格政策，自 2028 年洛杉磯奧運起，採以一次性 SRY 基因篩檢認定資格[6]。這三起爭議，分別指向告知未涵蓋公開揭露、目的外利用僅設限制而無事前風險評估、基因雖列特種個資卻缺乏依風險決定是否事前把關的機制。ISDP 所要求的隱私始於設計、處理風險評估、目的限制與分享控制，恰可作為避免同類問題的工具。 ISDP 雖是禁藥組織所訂標準，但內容面向完整、接軌國際，其隱私始於設計、處理活動紀錄、就處理風險所課予的評估義務（含《規約》與各項國際標準明文所列以外的處理及延長保存期間時的風險評估），以及附件 A 依八類紀錄模組分列保存期間與理由的保存排程，均有對應的規範。我國《人工智慧基本法》已於 2025 年 12 月 23 日經立法院三讀通過，全文 20 條，並自 2026 年 1 月 14 日總統公布日施行。該法第 4 條揭示政府推動 AI 研發與應用應遵循的七項原則，其中第 3 款要求應妥善保護個人資料隱私，尊重企業營業秘密，避免資料外洩風險，並促進非敏感資料的開放及再利用[7]。當運動與健康數據結合 AI 分析、敏感度益增，運動部作為運動產業目的事業主管機關，可循 ISDP 重點為運動員敏感生物資料建立風險導向、產業共通的個資保護制度準繩，既接軌國際標準，落實個資法監督非公務機關的要求，也呼應我國 AI 治理原則。 本文著作權屬財團法人資訊工業策進會科技法律研究所所有，如需引用或轉載，請註明出處。 本文同步刊登於TIPS網站（https://keid.nat.gov.tw/tips/） [1]World Anti-Doping Agency, 2027 International Standard for Data Protection (ISDP), at 2 (2025)（前置說明頁載明 ISPPPI 更名為 ISDP、自 2027 年 1 月 1 日生效），https://www.wada-ama.org/sites/default/files/2025-12/2027_international_standard_for_data_protection_isdp.pdf（最後瀏覽日：2026 年 7 月 25 日）；ISDP 於 2025 年 12 月 1 日至 5 日韓國釜山第六屆世界運動禁藥管制大會通過，見 WADA, 2025 World Conference on Doping in Sport, https://www.wada-ama.org/en/2025-world-conference-doping-sport-busan（最後瀏覽日：2026 年 7 月 25 日）。 [2] 同前註 1，ISDP 第 1.0 條「導論與範圍」（Introduction and Scope）；所列參考規範包含 OECD 1980 年《隱私保護及個人資料跨國流通指導綱領》、歐洲理事會第 108+ 號公約、APEC 隱私保護綱領、《歐洲聯盟基本權利憲章》、GDPR，以及歐洲人權法院 2018 年 1 月 18 日 FNASS and others v. France 判決等。 [3] FIFPRO, Charter of Player Data Rights Launched for Professional Footballers (Sept. 19, 2022), https://fifpro.org/en/supporting-players/competitions-innovation-and-growth/player-performance-data/charter-of-player-data-rights-launched-for-professional-footballers/（最後瀏覽日：2026 年 7 月 25 日）。 [4] Judgment of the Court of Justice of the European Union of 14 July 2026, Case C-474/24, NADA Austria and Others；並見 Court of Justice of the European Union, Press Release, The online publication of the names of professional athletes who have infringed anti-doping rules may be compatible with EU law (July 14, 2026), https://curia.europa.eu/site/upload/docs/application/pdf/2026-07/cp260103en.pdf（最後瀏覽日：2026 年 7 月 25 日）。 [5] Office of the Privacy Commissioner of Canada, Compliance Agreement Between the Privacy Commissioner of Canada and the World Anti-Doping Agency (Mar. 17, 2026), https://www.priv.gc.ca/en/opc-actions-and-decisions/investigations/investigations-into-businesses/2026/2026-wada-ca/（最後瀏覽日：2026 年 7 月 25 日）。 [6] International Olympic Committee, International Olympic Committee Announces New Policy on the Protection of the Female (Women's) Category in Olympic Sport (Mar. 26, 2026), https://www.olympics.com/ioc/news/international-olympic-committee-announces-new-policy-on-the-protection-of-the-female-women-s-category-in-olympic-sport（最後瀏覽日：2026 年 7 月 25 日）。 [7] 人工智慧基本法，2025 年 12 月 23 日經立法院三讀通過，總統中華民國 115 年 1 月 14 日華總一義字第 11500001671 號令制定公布，全文 20 條，自公布日施行；條文見全國法規資料庫，https://law.moj.gov.tw/LawClass/LawAll.aspx?pcode=H0160093（最後瀏覽日：2026 年 7 月 25 日）。
建立基因資料庫 台灣可行賽雷拉（ Cel-era）公司創始人溫特克萊首度來台，他是四年前完成人類基因體解碼的靈魂人物，他建議可運用基因解碼技術，建立基因資料庫，解決台灣醫療資源浪費。 事實上，早在2004年2月行政院科技顧問組為追蹤研究國人常見疾病與基因之間的關係，宣布推動「台灣疾病與基因資料庫」建置計畫。希望透過該基因資料庫的建立，確實掌握國人致病基因，奠定基因治療基礎，除了有效節省醫療資源浪費，更可鎖定特有亞洲疾病為研發重心，作為生技產業發展的優勢利基。台灣人口數約有二仟多萬，且具有完整健全的全民健保及戶籍資料，再加上台灣生物科技產業技術的蓬勃發展，想要建立大型的基因資料庫技術性應相當可行。國外有冰島和英國等多國發展之經驗可參考。 由於涉及人權自主、個人隱私、安全保密、社會倫理、研究成果的利益分享、以及由誰來擔任執行單位等方面的爭議，加上目前國內法令規範不足，既有相關法令多為位階較低的指導性公告，確實有必要建置相關配套制度及法律，以協助該計劃落實執行與發展。
印度政府公告個人資料保護法草案2018年7月27日印度電子及資訊科技部（Ministry of Electronics and Information Technology, MeitY）公告個人資料保護法草案（Protection of Personal Data Bill），若施行將成為印度首部個人資料保護專法。 其立法背景主要可追溯2017年8月24日印度最高法院之判決，由於印度政府立法規範名為Aadhaar之全國性身分辨識系統，能夠依法強制蒐集國民之指紋及虹膜等生物辨識，國民在進行退稅、社會補助、使用福利措施等行為時都必須提供其個人生物辨識資料，因此遭到人權團體控訴侵害隱私權。最高法院最後以隱私權為印度憲法第21條「個人享有決定生活與自由權利」之保護內涵，進而認為國民有資料自主權，能決定個人資料應如何被蒐集、處理與利用而不被他人任意侵害，因此認定Aadhaar專法與相關法律違憲，政府應有義務提出個人資料專法以保護國民之個人資料。此判決結果迫使印度政府成立由前最高法院BN Srikrishna法官所領導之專家委員會，研擬個人資料保護法草案。 草案全文共112條，分為15章節。主要重點架構說明如下： 設立個資保護專責機構（Data Protection Authority of India, DPAI）：規範於草案第49至68條，隸屬於中央政府並由16名委員所組成之委員會性質，具有獨立調查權以及行政檢查權力。 對於敏感個人資料（Sensitive personal data）[1]之特別保護：草案在第4章與第5章兩章節，規範個人與兒童之敏感個人資料保護。其中草案第18條規定蒐集、處理與利用敏感個人資料前，必須獲得資料主體者（Data principal）之明確同意（Explicit consent）。而明確同意是指，取得資料主體者同意前，應具體且明確告知使用其敏感個人資料之目的、範圍、操作與處理方式，以及可能對資料主體者產生之影響。 明確資料主體者之權利：規範於草案第24至28條，原則上資料主體者擁有確認與近用權（Right to confirmation and access）、更正權（Right to correction）、資料可攜權（Right to data portability）及被遺忘權（Right to be forgotten）等權利。 導入隱私保護設計（Privacy by design）概念：規範於草案第29條，資料保有者（Data fiduciary）應採取措施，確保處理個人資料所用之技術符合商業認可或認證標準，從蒐集到刪除資料過程皆應透明並保護隱私，同時所有組織管理、業務執行與設備技術等設計皆是可預測，以避免對資料主體者造成損害等。 指派（Appoint）資料保護專員（Data protection officer）：散見於草案第36條等，處理個人資料為主之機構、組織皆須指派資料保護專員，負責進行資料保護影響評估（Data Protection Impact Assessment, DPIA），洩漏通知以及監控資料處理等作業。 資料保存之限制（Data storage limitation）：規範於草案第10條與第40條等，資料保有者只能在合理期間內保存個人資料，同時應確保個人資料只能保存於本國內，即資料在地化限制。 違反草案規定處高額罰金與刑罰：規範於草案第69條以下，資料保有者若違反相關規定，依情節會處以5億至15億盧比（INR）或是上一年度全球營業總額2%-4%罰金以及依據相關刑事法處罰。 [1]對於敏感個人資料之定義，草案第3-35條規定，包含財務資料、密碼、身分證號碼、性生活、性取向、生物辨識資料、遺傳資料、跨性別身分（transgender status）、雙性人身分（intersex status）、種族、宗教或政治信仰，以及與資料主體者現在、過去或未來相連結之身體或精神健康狀態的健康資料（health data）。