歐盟執委會提出資料治理與資料政策
歐盟執委會提出資料治理與資料政策
資訊工業策進會科技法律研究所
2020年10月12日
歐盟執委會(European Commission，以下簡稱執委會)於2020年7月提出「資料治理與資料政策」(Data Governance and Data Policies at the European Commission)[1]，旨在說明歐盟執委會將如何透過資料治理及相關政策，轉型為資料驅動型組織(data-driven organization)，並提供一致的方向或原則，促進執委會下各政務總署(Directorate-General)及事務部門(Service Department)(以下簡稱相關部門機構)之資料共享。
壹、背景目的
「促成歐洲適應數位時代，並使執委會成為完全數位化、具敏捷性、靈活性與透明性的歐盟組織」是執委會現任主席Ursula von der Leyen所提出的2019年至2024年政策願景之一[2]。隨著數位化發展，透明(transparent)、循證式(evidence-based)的決策需運用人工智慧資料分析技術，「資料」是直接影響人工智慧運用於政策決定的關鍵要素。欲提升人工智慧運用結果被信賴的程度，首先必須有可查找(findable)、可近用(accessible)、可互通(interoperable)、安全(secure)且高品質(high-quality)的資料。歐盟機構內部資料、資訊與知識的共享與治理，有助於此願景之達成。
因此，執委會提出「資料治理與資料政策」，建立執委會統一的資料治理架構與政策原則，幫助執委會轄下相關部門機構共同遵循資料管理(data management)、資料近用、資料保護、智慧財產權、資訊安全等相關法律與監理要求。同時，執委會亦期能藉此優化資料建立(creation)、蒐集(collection)、取得(acquisition)、存取(access)、利用(use)、處理(processing)、共享(sharing)、保存(preservation)與刪除(deletion)等資料生命週期必經流程，改善資料品質，提升資料管理及共享之效率。
貳、內容摘要
「資料治理與資料政策」的適用範圍為執委會及其相關部門機構所擁有、利用或再利用的資料集，包括政策決定所使用的資料、行政資料與個人資料。在「資料治理與資料政策」的執行上，則導入「遵守或解釋」(comply-or-explain)原則，除非法律明示規定為選擇性適用，否則執委會轄下相關部門機構皆需遵守；倘未遵守，則需就無法遵守的原因提出解釋。以下分別就「資料治理」與「資料政策」兩大部分重點說明。
一、資料治理
主要目的在建構執委會統一的資料治理架構，釐清相關角色的責任與相互依賴關係。依角色與任務的不同，執委會將資料治理分為三層級，並由秘書總署集體治理團隊(Secretariat-General corporate governance team)支援三層級的執行工作。
（一）策略層級(strategic level)
由資訊管理指導委員會(Information Management Steering Board, IMSB)，處理資料治理與資料政策相關議題，界定長期推動願景、提供政策方向、監督推動與執行之進程，並作出策略決定。
（二）管理階層(managerial level)
由資料議題相關的組織、委員會、團體所組成之資料協調小組(data coordination groups)、各地區資料聯絡窗口(local data correspondent)、執委會各相關部門機構下的資料治理委員會(data governance board)，以及策略層級就各資料集所指定之資料擁有者(data owner)，依策略層級所提出之願景與政策方向，在各處建立並執行資料政策、監督執行進度，並向策略層級報告執行進度及任何超出其決策權限之問題。
（三）運作階層(operational level)
由資料擁有者選出或指派資料管理員(data steward)，並與資料利用者(data user)實際執行資料政策，必要時將相關議題提到管理層級解決。
二、資料政策
就資料管理(data management)、資料互通性與標準(data interoperability and standards)、資料品質(data quality)、資料保護與資訊安全(data protection and information security)等核心面向，建立上位原則。
其中關於「資料管理」部分，又依資料生命週期細分。例如在「資料集建立、蒐集或取得」方面採取一次性原則，故執委會轄下相關部門機構在建立、蒐集或取得資料之前，需探詢必要資料或資訊是否已存在，避免重複取得。主要需求資料集的部門機構，應協助讓其他執委會相關部門機構或歐盟機構也獲得使用該資料集之權利。又例如「資料集存取、使用與共享」方面，除非歐盟相關的執委會決定、指令或規則另有規定[3]，否則以「需要共享」(need to share)或「預設共享」(share by default)為原則，並使用一致化的資料管理與視覺化工具或資料平台。
針對「資料互通性與標準」與「資料品質」兩部分，著重在執委會內部的共通一致性，包括資料格式、資料相關詞彙、資料品質的定義與量測等。而在「資料保護與資訊安全」方面，則強調「歐盟機關個人資料保護規則」[4]相關義務，以及歐盟資料保護監督機關(European Data Protection Supervisor, EDPS)所提相關指引之遵循。
參、簡析
觀察歐盟執委會的「資料治理與資料政策」，可知其資料治理架構與相關政策，是以形成一個資料共享再利用生態系為藍圖。除了強調資料一次性建立及資料預設共享等原則，更從組織管理角度，界定不同單位或角色的任務與責任，並凸顯資料治理管理組織的建構，對資料政策執行之重要性。
我國政府長期致力於數位國家之發展，在政府資料開放政策推動上已有不少成果，例如建立政府資料開放平台、訂定各級機關資料開放作業原則、統一資料開放格式等。為持續厚植數位國家的資料應用能量，建議未來可進一步完善政府資料治理構面，兼納「政府對民眾之資料開放」及「公務機關間之資料共享」等面向，借鏡歐盟執委會之作法，確立資料共享再利用之管理架構及原則，提升政府資料應用的效率與效能。
[1] EUROPEAN COMMISSION, Data Governance and Data Policies at the European Commission (2020), https://ec.europa.eu/info/sites/info/files/summary-data-governance-data-policies_en.pdf (last visited Oct. 5, 2020).
[2] See Ursula von der Leyen, My Agenda for Europe: Political Guidelines for the Next European Commission 2019-2024 (2019), https://ec.europa.eu/commission/sites/beta-political/files/political-guidelines-next-commission_en.pdf (last visited Oct. 8, 2020).
[3] 例如歐盟執委會決定Commission Decision 2011/833/EU、歐盟規則Regulation (EC) No 1049/2001及歐盟指令Directive (EU) 2019/1024等，有關近用歐盟資料之例外規定。
[4] Regulation on the Protection of Natural Persons with regard to the Processing of Personal Data by the Union Institutions, Bodies, Offices and Agencies and On the Free Movement of Such Data, and Repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC, Council Regulation 2018/1725, 2018 O.J. (L295) 39.
在2012年12月19日，歐盟執委會宣布一項決議，該決議認可紐西蘭為已提供相當於歐盟保護層級之個人資料保護的國家；根據1995年歐盟個人資料保護指令（EU Data Protection Directive of 1995），此決議將使位於歐盟會員國（目前為27國）的事業，可以不必採取額外的防護措施，即可將個人資料自歐盟會員國傳輸到紐西蘭。 根據歐盟個人資料保護指令，個人資料不許被傳輸至歐盟會員國以外的國家，除非這些國家被歐盟執委會認可為，已提供相當於歐盟保護層級的個人資料保護；或此些國家對上述傳輸已採取額外的防護措施，例如已取得當事人之同意，或已於相關契約內附有經歐盟認可之個人資料保護相關契約條款。歐洲經濟區（EuropeanEconomic Area；簡稱EEA）內的另三個國家，亦即挪威、冰島、列支敦士登，亦因EEA條約（Agreement on the European Economic Area）之約束，而須遵行個人資料保護指令。 由於上述認可的過程相當嚴格而繁複，目前已取得歐盟執委會上述認可的非歐洲國家，除了紐西蘭之外，僅有例如，加拿大、阿根廷、以色列、澳洲等少數國家；至於歐洲國家亦僅有例如瑞士、安道爾等數國。
加拿大提供App開發供應商指導方針解決因隱私保護所引發之問題。App已成為多數人每日不可或缺之夥伴，其應用層面廣及食、衣、住、行、育、樂等生活領域；不過用戶可能多未意識到，在App程式的下載及安裝過程中，開發供應商會記錄或接觸使用者手機中如電話簿、照片、影音檔案、簡訊、密碼記錄等其他資訊之可能。根據華爾街日報報導，56%的應用程式在用戶不知情的情況下，手機ID會發送給廠商；47%的應用程式會透露用戶的所處位置，使得個人隱私蕩然無存。 加拿大當地的隱私法規要求企業在追求創新及企業精神時必須將隱私保護納入考量；而在行動裝置應用環境中，無論是開發商、服務供應商、應用平台或是廣告商，只要有接觸用戶個人資訊之可能，就有遵守法規之義務。但考量App這樣一個嶄新又快速發展的科技生態，在實踐隱私保護精神之初可能會面臨到新的衝擊與挑戰。因此，加拿大隱私權主管機關（Office of the Privacy Commissioner of Canada，簡稱OPC）乃會同加拿大境內的阿爾伯特及不列顛哥倫比亞兩省各自之地方主管機關（其分別為Office of the Information & Privacy Commissioner of Alberta及Office of the Information & Privacy Commissioner for British Columbia）撰寫指導文件，希望能提供當地App開發供應商建議方案。 該項建議方案促使行動軟體開發供應商在設計與開發App應用程式時必須顧及使用者隱私之保護，並提供協助方式與預防原則，提高使用者隱私受保護之程度；除必須使用清晰且易懂之方式告知用戶的個人資料將進行何種用途外，在使用者下載前亦應告知被蒐集之資料類別及原因、資料儲存位置或地點、資料分享之可能及其原因、資料保存之期限、及其他可能影響用戶隱私之事件；倘若廠商必須變更隱私政策與規定，則應使用明確易懂之方式事先通知所有使用者了解進行何項變更，以強化用戶隱私與個人資料保護意識。
何謂「智慧機械」智慧機械產業為目前我國五大創新產業政策之一，主要目的是將臺灣從精密機械升級為智慧機械，爰此，行政院於105年7月核定「智慧機械產業推動方案」，整合我國豐沛的新創能量，建立符合市場需求之技術應用與服務能量，以創造我國機械產業下一波成長新動能。 智慧機械之定義係指整合各種智慧技術元素，使其具備故障預測、精度補償、自動參數設定與自動排程等智慧化功能，並具備提供Total Solution及建立差異化競爭優勢之功能；智慧機械的範疇包含建立設備整機、零組件、機器人、智慧聯網、巨量資料、3D列印、網實融合CPS、感測器等產業。而智慧製造係指產業導入智慧機械，建構智慧生產線（具高效率、高品質、高彈性特徵），透過雲端及網路與消費者快速連結，提供大量客製化之產品，形成聯網製造服務體系。 未來我國智慧機械與智慧製造領域仍待研發突破之項目有：工業用等級之視覺／觸覺／力感知等感測模組與驅動控制技術；微型感測元件智慧化；開放性標準網路通訊技術；機器型通訊及安全技術；耐延遲及低耗能機器聯網；健全人機智能介面，提升人機協同安全與效率；智慧聯網共通服務平台、資料分析與效能管理；網實融合智能系統需結合專業分析模型提升準確性及可靠度；機器人智慧整合能力及反應速度；供需產能整合與決策系統等等。
美國2015年「消費者隱私權法案」簡介