新加坡個人資料保護法修正草案
新加坡通訊及新聞部（Ministry of Communications and Information, MCI）與新加坡個人資料保護委員會（Personal Data Protection Commission, PDPC）於西元2020年5月14日至28日間針對其「個人資料保護法修正草案」進行民眾意見諮詢，總共收到87份回覆。綜合民眾回覆之意見後，同年10月5日，於議會提出了「個人資料保護法修正草案」，修正重點如下：
- 提高外洩個人資料者罰鍰金額，至該公司在新加坡年營業額10%或1000萬美元。MCI / PDPC說明，實際上於裁罰前會綜合考量個案事實與相關因素（如：嚴重性、可歸責性、影響狀況、組織有無採取任何措施減輕個資外洩造成的影響等），作為裁罰金額的判斷依據。此外，新加坡的個人資料保護法也加入了個資外洩通知義務，但與歐盟一般資料保護規範（General Data Protection Regulation, GDPR）仍有不同，例如：其多了評估是否通知的機制。
- 組織基於商業改善之目的，且遵守法定條件下，得未經同意使用個人資料，此處商業改善目的包含：(1)改善或加強提供之商品或服務，或開發新的商品或服務；(2)改善或發展新的營運方式；(3)瞭解客戶喜好；(4)客製化商品或服務所需。
- 在公司併購、重組、出售股份以及經營權轉讓等關於公司資產處置情形，得例外無需經當事人同意而蒐集、處理與利用個人資料。
- 新增資料可攜權相關規定。
- 處罰未經授權者處理個人資料之行為。針對民眾回覆之疑慮（認為草案內容不明確），MCI / PDPC說明預計在《法規與諮詢指南》中闡明有關授權行為的細節性規定，包含採取的形式。
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
許新連
副法律研究員 編譯整理
1. Bill to strengthen Singapore data protection laws tabled, Pinsent Masons, https://www.pinsentmasons.com/out-law/news/bill-to-strengthen-singapore-data-protection-laws-tabled. (last visited Oct. 5, 2020).
2. Closing Note to the Public Consultation on draft Personal Data Protection (Amendment) Bill including related amendments to the Spam Control Act, PDPC, https://www.mci.gov.sg/public-consultations/public-consultation-items/closing-note-to-pc-on-draft-pdp-(amendment)-bill-including-related-amendments-to-spam-control-act. (last visited Oct. 5, 2020).
3. Personal Data Protection (Amendment) Bill, Parliament Of Singapore, https://www.parliament.gov.sg/parliamentary-business/bills-introduced. (last visited Oct. 5, 2020).
針對「全國聽障協會」（National Association of Deaf, NAD）於2014年對於加州柏克萊大學提供之免費線上課程、會議、講座、表演和其他影音檔案未內建隱藏式字幕（closed captioning），向美國司法部申訴，該校違反美國身心障礙者法Americans with Disabilities Act, ADA）第二章，即收編至美國統一法典（U.S.C.）第42章第12131至第12134條，關於「提供公共服務的實體（entity）應將其服務平等地提供他人近用」相關規定，包括州行政機構、法院、立法機關、城市、郡、學校、社區大學等實體，須確保身心障礙者獲得平等機會使用州和地方政府的服務或參與其活動。 美國司法部歷經八年調查後，最終與加州柏克萊大學達成行政協議（consent decree），要求加州柏克萊大學應定期回報無障礙網站建置進度、回應公眾無障礙網站需求、內部員工相關教育訓練、定期請第三方稽核單位測試學校各平臺的無障礙網站是否達「全球資訊網協會」（World Wide Web Consortium, W3C）發布的「無障礙網站指南」2.0版（Web Content Accessibility Guidelines, WCAG 2.0）AA等級技術標準。自該協議生效日起，加州柏克萊大學以下相關網路平臺上之影音檔案，均需內建隱藏式字幕： 一、大學官網（http://www.berkeley.edu）及公眾可瀏覽且由加州柏克萊大學管理的任何相關子網域； 二、大規模線上公開課程（MOOC）平臺「UC BerkeleyX」； 三、由第三方平臺（如Apple Podcasts或Spotify）託管，加州柏克萊大學管理的所有podcast頻道或帳戶； 四、由第三方平臺（如YouTube）託管，加州柏克萊大學管理的所有影音頻道或帳戶。 從行政協議之協調方向及結果來看，加州柏克萊大學除實體環境外，和該環境具聯繫關係之網站也需要符合ADA無障礙網站規定，使得多元族群均有平等接觸社會服務和活動的機會。在數位經濟時代，各式網路活動活絡之今日，網路等線上虛擬環境與實體公共設施的無障礙同等重要；線上與線下之人權皆須獲得同等保障，亦係數位人權之真諦。
日本內閣閣議決定2023年度朝向數位社會實現之重點計畫，強化活用數位技術之法規整備2023年6月9日，日本內閣閣議決定2023年度「朝向數位社會實現之重點計畫」（デジタル社会の実現に向けた重点計画）。該計畫是針對數位社會之實現，明確記載日本政府應迅速且重點性實施的政策及各行政機關於整體社會結構改革（こうぞうかいかく）、個別施行政策之努力，並做為日本向世界提出建言時的羅盤。 其中，值得關注的是日本對於為活用數位技術所做之法規整備。根據2022年12月日本數位廳轄下的數位臨時行政調查會（デジタル臨時行政調査会）的調查，確認與實地檢查、定期檢查、文件閱覽等相關之法律條文內含過時概念，以致於會對數位轉型之發展造成阻礙的條文（下稱過時法律）約有一萬條。對此，數位臨時行政調查會表示，數位改革與法律改革之間的關係為一體兩面，為了最大化發揮數位化的效果，法律改革的相關檢討亦應一併執行。各法律之相關行政機關應依照「基於數位原則對過時法律所作之修正工程表（デジタル原則を踏まえたアナログ規制の見直しに係る工程表）」對各過時法律做出相關檢討，並以2024年6月修正各過時法律為目標。 舉例來說，為實現民事判決的全面數位化，2022年5月18日，日本參議院通過了民事訴訟法等法律的部分修正案，其中最值得關注的部分為當事人可以透過網路向法院提起訴訟、提出準備資料，以及透過網路受領法院送達之相關訴訟文書等。該修正案亦包含訴訟中程序之修正，以言詞辯論程序為例，當事人可透過線上會議之方式進行言詞辯論程序，惟施行期間預計於公告後2年內開始實施。 台灣於2015年7月就智慧財產行政訴訟事件正式啟用線上起訴系統，同年9月開放稅務行政訴訟事件使用，並於2016年開放民事訴訟事件使用。該系統與日本體系不同之處在於，日本目前僅就民事訴訟事件開放線上起訴系統之使用。不過，日本2022年針對刑事訴訟法數位化之部分做出相關報告書，可預期日本將來也會將線上起訴及審理系統導入刑事訴訟法之領域。未來可以持續觀察日本就線上起訴及審理系統之訂定及政策施行方向，作為我國之參照。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
因應美國華盛頓州《我的健康我的資料法》施行，受監管對象隱私權政策應更新美國華盛頓州《我的健康我的資料法》（My Health, My Data，以下簡稱該法）於2024年3月31日生效，該法係於2023年4月27日通過。目標在於保護華盛頓州消費者的健康資料，特別是生殖健康相關資料（data related to reproductive healthcare）。所拘束對象並不在HIPAA之監管範圍內，包括穿戴式裝置（wearables）、特定零售購物和非HIPAA 所規範之遠距醫療服務（telehealth services）所蒐集之資料。 該法最繁瑣合規要求之一為，受監管對象必須在其主頁上公佈消費者健康資料相關隱私權政策（下統稱隱私權政策）連結，連結必須為獨立、特定且不得包含該法所未要求之額外資訊。另針對小型企業，則設有三個月之緩衝時間，即應於 2024 年 6 月 30 日前遵循該要求。 隱私權政策必須清楚且醒目地揭露以下內容： 1. 所蒐集之健康資料類別和蒐集目的，包括將如何使用這些資料； 2. 所蒐集健康資料來源及類別； 3. 共享之健康資料類別； 4. 共享消費者健康資料的第三方或相關企業之類別；以及 5. 消費者如何行使該法所賦予之權利，包括撤銷同意和要求刪除之權利。 最重要的是，除特殊情形外（即1.已揭露其他特定目的2.取得消費者對其他特定目的所為蒐集、使用、揭露之明確同意），受監管對象不得基於隱私權政策中未明確揭露之任何其他目的，蒐集、使用或共享消費者健康資料。 若違反該法相關規定，即被視為違反《華盛頓州消費者保護法》（the Washington Consumer Protection Act），可由華盛頓州總檢察長提出強制執行。另該法為美國第一部保護大量健康資料之法律，顯現對消費者資料保護監管逐漸嚴格之趨勢。
歐盟法院判決釐清GDPR民事賠償不受損害最低程度限制歐盟法院（Court of Justice of the European Union, CJEU）於2023年12月14日對Gemeinde Ummendorf（C‑456/22）案作出判決。歐盟法院試圖釐清《歐盟一般個人資料保護規則》（General Data Protection Regulation, GDPR）第82條的民事求償規範中，資料主體受到非財產上的損害要到何種程度才可獲得賠償。 本案源自於兩位自然人原告與德國的烏門多夫市政府（Municipality of Ummendorf）之間的紛爭。2020年，烏門多夫市政府未經兩位原告同意情況下，在網路上公布市議會議程與行政法院判決，這些資訊內容均多次提及兩位原告的姓名與地址。兩位原告認為市政府故意違反GDPR，因此依據GDPR第82條請求市政府賠償，並進一步主張該條意義下的非財產損害，不需要任何損害賠償門檻。然而，市政府則持相反意見。 長久以來，德國法院傾向認為，GDPR的非財產上損害需要超過某個「最低損害門檻」才可獲得賠償。然而，承審法院決定暫停訴訟程序，並將是否應有「最低損害門檻」以及其基準為何的問題，提交給歐盟法院進行先訴裁定。 歐盟法院考慮到，GDPR的宗旨在於確保在歐盟境內處理個人資料時對自然人提供一致和高水準的保護，如要求損害必須達到一定的嚴重性閾值或門檻才可賠償，恐因為成員國法院認定的基準不同，進而破壞各國實踐GDPR 的一致性。因此，歐盟法院最後澄清，GDPR的民事賠償不需要「最低損害門檻」，只要資料主體能證明受有損害，不論這個損害有多輕微，都應獲得賠償。