歐盟執委會提出資料治理與資料政策
歐盟執委會提出資料治理與資料政策
資訊工業策進會科技法律研究所
2020年10月12日
歐盟執委會(European Commission，以下簡稱執委會)於2020年7月提出「資料治理與資料政策」(Data Governance and Data Policies at the European Commission)[1]，旨在說明歐盟執委會將如何透過資料治理及相關政策，轉型為資料驅動型組織(data-driven organization)，並提供一致的方向或原則，促進執委會下各政務總署(Directorate-General)及事務部門(Service Department)(以下簡稱相關部門機構)之資料共享。
壹、背景目的
「促成歐洲適應數位時代，並使執委會成為完全數位化、具敏捷性、靈活性與透明性的歐盟組織」是執委會現任主席Ursula von der Leyen所提出的2019年至2024年政策願景之一[2]。隨著數位化發展，透明(transparent)、循證式(evidence-based)的決策需運用人工智慧資料分析技術，「資料」是直接影響人工智慧運用於政策決定的關鍵要素。欲提升人工智慧運用結果被信賴的程度，首先必須有可查找(findable)、可近用(accessible)、可互通(interoperable)、安全(secure)且高品質(high-quality)的資料。歐盟機構內部資料、資訊與知識的共享與治理，有助於此願景之達成。
因此，執委會提出「資料治理與資料政策」，建立執委會統一的資料治理架構與政策原則，幫助執委會轄下相關部門機構共同遵循資料管理(data management)、資料近用、資料保護、智慧財產權、資訊安全等相關法律與監理要求。同時，執委會亦期能藉此優化資料建立(creation)、蒐集(collection)、取得(acquisition)、存取(access)、利用(use)、處理(processing)、共享(sharing)、保存(preservation)與刪除(deletion)等資料生命週期必經流程，改善資料品質，提升資料管理及共享之效率。
貳、內容摘要
「資料治理與資料政策」的適用範圍為執委會及其相關部門機構所擁有、利用或再利用的資料集，包括政策決定所使用的資料、行政資料與個人資料。在「資料治理與資料政策」的執行上，則導入「遵守或解釋」(comply-or-explain)原則，除非法律明示規定為選擇性適用，否則執委會轄下相關部門機構皆需遵守；倘未遵守，則需就無法遵守的原因提出解釋。以下分別就「資料治理」與「資料政策」兩大部分重點說明。
一、資料治理
主要目的在建構執委會統一的資料治理架構，釐清相關角色的責任與相互依賴關係。依角色與任務的不同，執委會將資料治理分為三層級，並由秘書總署集體治理團隊(Secretariat-General corporate governance team)支援三層級的執行工作。
（一）策略層級(strategic level)
由資訊管理指導委員會(Information Management Steering Board, IMSB)，處理資料治理與資料政策相關議題，界定長期推動願景、提供政策方向、監督推動與執行之進程，並作出策略決定。
（二）管理階層(managerial level)
由資料議題相關的組織、委員會、團體所組成之資料協調小組(data coordination groups)、各地區資料聯絡窗口(local data correspondent)、執委會各相關部門機構下的資料治理委員會(data governance board)，以及策略層級就各資料集所指定之資料擁有者(data owner)，依策略層級所提出之願景與政策方向，在各處建立並執行資料政策、監督執行進度，並向策略層級報告執行進度及任何超出其決策權限之問題。
（三）運作階層(operational level)
由資料擁有者選出或指派資料管理員(data steward)，並與資料利用者(data user)實際執行資料政策，必要時將相關議題提到管理層級解決。
二、資料政策
就資料管理(data management)、資料互通性與標準(data interoperability and standards)、資料品質(data quality)、資料保護與資訊安全(data protection and information security)等核心面向，建立上位原則。
其中關於「資料管理」部分，又依資料生命週期細分。例如在「資料集建立、蒐集或取得」方面採取一次性原則，故執委會轄下相關部門機構在建立、蒐集或取得資料之前，需探詢必要資料或資訊是否已存在，避免重複取得。主要需求資料集的部門機構，應協助讓其他執委會相關部門機構或歐盟機構也獲得使用該資料集之權利。又例如「資料集存取、使用與共享」方面，除非歐盟相關的執委會決定、指令或規則另有規定[3]，否則以「需要共享」(need to share)或「預設共享」(share by default)為原則，並使用一致化的資料管理與視覺化工具或資料平台。
針對「資料互通性與標準」與「資料品質」兩部分，著重在執委會內部的共通一致性，包括資料格式、資料相關詞彙、資料品質的定義與量測等。而在「資料保護與資訊安全」方面，則強調「歐盟機關個人資料保護規則」[4]相關義務，以及歐盟資料保護監督機關(European Data Protection Supervisor, EDPS)所提相關指引之遵循。
參、簡析
觀察歐盟執委會的「資料治理與資料政策」，可知其資料治理架構與相關政策，是以形成一個資料共享再利用生態系為藍圖。除了強調資料一次性建立及資料預設共享等原則，更從組織管理角度，界定不同單位或角色的任務與責任，並凸顯資料治理管理組織的建構，對資料政策執行之重要性。
我國政府長期致力於數位國家之發展，在政府資料開放政策推動上已有不少成果，例如建立政府資料開放平台、訂定各級機關資料開放作業原則、統一資料開放格式等。為持續厚植數位國家的資料應用能量，建議未來可進一步完善政府資料治理構面，兼納「政府對民眾之資料開放」及「公務機關間之資料共享」等面向，借鏡歐盟執委會之作法，確立資料共享再利用之管理架構及原則，提升政府資料應用的效率與效能。
[1] EUROPEAN COMMISSION, Data Governance and Data Policies at the European Commission (2020), https://ec.europa.eu/info/sites/info/files/summary-data-governance-data-policies_en.pdf (last visited Oct. 5, 2020).
[2] See Ursula von der Leyen, My Agenda for Europe: Political Guidelines for the Next European Commission 2019-2024 (2019), https://ec.europa.eu/commission/sites/beta-political/files/political-guidelines-next-commission_en.pdf (last visited Oct. 8, 2020).
[3] 例如歐盟執委會決定Commission Decision 2011/833/EU、歐盟規則Regulation (EC) No 1049/2001及歐盟指令Directive (EU) 2019/1024等，有關近用歐盟資料之例外規定。
[4] Regulation on the Protection of Natural Persons with regard to the Processing of Personal Data by the Union Institutions, Bodies, Offices and Agencies and On the Free Movement of Such Data, and Repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC, Council Regulation 2018/1725, 2018 O.J. (L295) 39.
美國知名研究機構雷克斯研究公司 ，九月底 應經濟部邀請，在國際招商論壇上，以「奈米科技的創新與創投」為題，發表專題演講。其副總裁挪登馬修（ Matthew M.Nordan ）指出，奈米科技的重要性，在於其未來將應用到各個產業上，改變各個產業原有風貌。從創投業者立場，所選擇投資對象，是要能以奈米科技來促進原有產品功能，或能大幅降低原有產品成本。此外，如何避開專利地雷，亦將是各企業在投入奈米科技時，必須正視的問題。 挪登表示，二○○三年全球在奈米科技的相關研究經費約為八十六億美元，其中只有二億美元來自於創投基金，創投業界對奈米科技的投入如此保守，除受到網路經濟泡沫衝擊，主要是因為奈米科技的商品化，還有一段很長的路要走，加上創投業者多半對材料工業比較陌生，業界過去又傳出多起投資失敗的案例，均讓創投業者不敢對奈米科技有大手筆投入。相對於創投業者的保守態度 ， 如何判斷優質的奈米科技投資案更形重要 。 其表示，除企業必須提出如何能避開國際已有的「專利地雷」，或取得國際專利的交互授權外，更重要的是，投資人必須瞭解，奈米科技的應用，並不是要開發出一個全新的「奈米產品」，或者應用奈米科技就能帶來超額的利潤，而是能對現存產業，帶來功效的提升或成本的降低。
Google根據加州消費者隱私保護法，允許屏蔽個人化廣告Google近期宣布更新廣告政策，以遵守將於2020年1月1日生效之「加州消費者隱私保護法」（California Consumer Privacy Act, CCPA），要求符合該法規之事業體(不論是否於加州開設實體據點)：年度總收入超過2,500萬美金、年度收入50%以上源自於出售加州居民之個人資料、每年收到或分享總計超過5萬筆加州居民、家庭或裝置之個人資料、若公司之母公司或子公司符合CCPA所定條件者，允許消費者得選擇並行使退出其個人資料銷售權利。 Google表示使用其網站廣告工具與應用程式將能屏蔽個人化廣告，個人化廣告，係依消費者瀏覽紀錄、興趣及過去行為投放予消費者，廣告商有時花費高達10倍價錢置入，惟互聯網相關企業先前所進行之遊說未能使該法規排除個人化廣告，從使最受歡迎及利潤豐厚之線上廣告面臨行銷危機。 依Google新合規條款，透過Google工具（如AdSense和Ad Manager）銷售廣告之網站及應用程式目前無需進行重大更改，廣告商亦可選擇停止所有來自加州網址之消費者或阻擋全球使用個人資料之個人化廣告銷售，該合規條款除於線上發布外，並已通知予各廣告商。 Google表示，當觸發「限制數據處理」時，廣告將僅基於一般數據，例如用戶所在城市位置或廣告所在頁面主題等；此外，Google亦不會在受限制模式下記錄個人資料而用於未來之廣告行銷。
英國公布「調查權法草案」(Investigatory Powers Bill)英國內政部(Home Office)於2015年11月4日公布一項關於網路監管的「調查權法草案」(Draft Investigatory Powers Bill)，其主要目的係為提供執法、國安及情治單位，如英國安全局(MI5)、秘密情報局(MI6)、英國政府通訊總部(GCHQ)對於資通訊內容之掌控能力，用以因應數位時代不斷升高的維安需求，例如防止恐怖攻擊、兒童性剝削、破解跨國犯罪集團、協尋失蹤人口、犯罪現場之定位及嫌疑人相關聯繫對象等，該草案一旦通過，將迫使網路及電信服務業者保留其客戶之通訊數據、瀏覽記錄長達一年，甚至在必要情況下，協助英國政府攔截通訊數據、破解加密訊息。 其條文共計202條，分為九部分，對於通訊數據調查權行使所採取之主要手段包含攔截通訊(Interception)、數據監看(Oversight)、以設備干擾連結(Equipment Interference)、大量蒐集個人通訊資料(Bulk Powers)等，由於法案將擴張英國政府對網路隱私之干涉，對此內政大臣Theresa May表示，新法對於瀏覽記錄著重於使用者到訪過哪些網站，而非其瀏覽過的每一個網頁，同時，對於某些握有他人敏感資料的職業，例如醫生、律師、記者、國會議員及神職人員等，擁有較多的保護。 此外，草案亦闡明將建立政府自我監督及防濫權機制，包含未來將創設調查權利委員(Investigatory Powers Commissioner，簡稱IPC)專責監督政府調查權之行使，以及一套稱為Double Lock的新制度，即前述攔截數據資料權之行使，須有內政大臣親自核發之令狀，且該令狀應獲得司法委員(Judicial Commissioner)之批准。 這項草案無疑將引來公益與私利間之衝突，也在資通訊業界造成極大的反彈，縱然「調查權法案」並未限制相關電信與網路業者不得對其服務加密，卻要求於必要情況下提供解密協助，然而目前許多通訊服務採「點對點加密」(End-to-End Encryption)技術，若非發送及接收兩端之人，即便是提供該服務之公司也無法解密，一旦草案通過，類似WhatsApp或Apple所開發之iMessage將如何在英國使用，將會是未來觀測的重點。
德國法院依據歐盟法院先決裁定發出第一例禁制令2015年11月3日德國杜塞道夫地方法院（以下稱德國法院）依據歐盟法院之《華為訴中興》案(Huawei v ZTE case, 16 July 2015, Case C- 170/13)的先決裁判發出第一例禁制令(Cases 4a O 144/14) (Nov. 3, 2015)。這個判決係義大利公司SISVEL公司認為青島海爾德國公司（以下稱海爾公司）侵害其有關GPRS及 UMTS無線網路專利組合之標準專利，並已經對海爾公司發出專利侵權通知，並發出授權要約，海爾公司則抗辯認為，SISVEL僅通知其母公司而未通知其分公司，且其授權要約不符合FRAND原則。 德國法院認為，SISVEL只要將足夠的專利侵權資訊及授權要約通知海爾母公司進而據以判斷是否與SISVEL展開授權協商即可，若要求專利權人亦須一一通知其分公司，則將流於形式。 其次，海爾公司雖因認為SISVEL要求之授權金過高，故拒絕SISVEL的授權要約並提出反向要約，但卻未在提出反向要約後之合理期間內依據歐盟法院在《華為訴中興》案先決裁判中之見解，對SISVEL提供保證金以擔保其授權協議尚未達成前對SISVEL專利之使用費用。故德國法院進一步對前述合理期間給予確切期間，即拒絕專利權人要約時起一個月內。 至於海爾公司主張SISVEL授權要約不符合FRAND原則之抗辯，德國法院認為因海爾公司未履行前述程序，故尚無須判斷SISVEL授權要約是否FRAND原則。故何種情形屬於符合FRAND原則，仍留由後續之實務見解加以補充。