英國發布《資料主體近用權指引》說明資料近用權法遵重點及實例解析
英國資訊委員辦公室（Information Commissioner’s Office, ICO）於2020年10月21日發布《資料主體近用權指引》（Guidance of Right of access），針對資料主體行使資料近用權之請求（Data Subject Access Request, DSAR），受請求之機構應如何進行識別判斷、簡化處理方式，以及特殊例外情況等法遵重點提供指導方針，並進行實例說明解析，以幫助受請求之機構在面臨資料主體之近用權請求時能快速且有效的處理。
英國「個人資料保護法」（The Data Protection Act 2018）依據歐盟「一般資料保護規則」（GDPR）於2018年重新修訂，其中資料近用權更是對於資料主體相當重要的基本權利，進而影響受請求之機構必須了解如何有效率的處理資料近用權之請求，並確實履行其在法規上所要求的保護義務，主要分為三點：
- 在資料主體確認其資料近用權所欲請求的範圍之前，受請求之機構依法應回覆時限應予以暫停，以利受請求之機構能有更充裕完整的時間釐清及回應資料主體之近用權請求。
- 為了避免受請求之機構耗費大量時間判斷何謂「明顯過度之請求」（manifestly excessive request），該指引提供相關定義說明及判別標準。
- 針對「明顯過度之請求」收取處理費用所包含的項目，例如受請求之機構處理請求所增加人力行政成本，在受請求之機構收取處理費用時可將其納入斟酌。
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
林佩瑩
組長 編譯整理
1、ICO, Blog: Simplifying subject access requests – new detailed SARs guidance, https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2020/10/blog-simplifying-subject-access-requests-new-detailed-sars-guidance/ (last visited Nov. 5, 2020).
2、ICO, Guidance of Right of access, https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/right-of-access/ (last visited Nov. 5, 2020).
1、金韋伶，〈英國資訊委員辦公室（ICO）發布當事人近用請求權實務準則〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=156&d=6366&no=64（最後瀏覽日：2020/11/05）。
2、陳靜怡，〈英國資訊委員辦公室（ICO）發布指引以因應歐盟一般資料保護規則（GDPR）正式施行〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=72&d=8018&no=64 （最後瀏覽日：2020/11/05）。
根據美國瑞生國際律師事務所（Latham & Watkins）於2024年1月發布的ESG年度報告指出，隨漂綠議題延燒，ESG報告不受信任為一課題，因此國際逐步擴大ESG監管，多國透過立法強制企業應揭露永續報告書或供應鏈資訊，比如：歐盟於2023年1月生效之《企業永續報告指令》（Corporate Sustainability Reporting Directive, CSRD），要求企業揭露的永續資訊需增加供應鏈資訊的透明度；美國證券交易委員會（SEC）於2024年3月6日通過規則，要求上市公司及公開發行公司揭露碳排放報告等氣候風險相關資訊。 為因應ESG帶來的挑戰，報告建議企業應採取流程化管理方式，了解產品進出口涉及的其他國家對ESG揭露資訊的要求，加以規劃並建置資料控管規範、進行人員教育訓練以及確認ESG相關資料的所有權歸屬。 由於碳排放量的計算沒有一致標準，且難以確保供應鏈上下游所提供的碳排資訊真實、未經竄改等問題，外界不容易信任企業永續發展書提倡的供應鏈減碳策略。國內企業可參考資策會科法所創意智財中心發布的《重要數位資料治理暨管理制度規範（EDGS）》，透過流程化管理，從制度規劃及留存供應鏈二氧化碳排放量或二氧化碳減量等產品相關資料歷程來增進ESG資料透明度。 本文同步刊登於TIPS網（https://www.tips.org.tw）
FDA發佈人工智慧/機器學習行動計畫美國食品藥物管理署（U.S. Food & Drug Administration, FDA）在2021年1月12日發布有關人工智慧醫療器材上市管理的「人工智慧/機器學習行動計畫」（Artificial Intelligence/Machine Learning (AI/ML)-Based Software as a Medical Device (SaMD) Action Plan）。該行動計畫的制定背景係FDA認為上市後持續不斷更新演算法的機器學習醫療器材軟體（Software as Medical Device, SaMD），具有極高的診療潛力，將可有效改善醫療品質與病患福祉，因此自2019年以來，FDA嘗試提出新的上市後的監管框架構想，以突破現有醫療器材軟體需要「上市前鎖定演算法、上市後不得任意變更」的監管規定。 2019年4月，FDA發表了「使用人工智慧/機器學習演算法之醫療器材軟體變更之管理架構—討論文件」（Proposed Regulatory Framework for Modifications to Artificial Intelligence/Machine earning (AI/ML)-Based Software as a Medical Device (SaMD) - Discussion Paper and Request for Feedback）。此一諮詢性質的文件當中提出，將來廠商可在上市前審查階段提交「事先訂定之變更控制計畫」（pre-determined change control plan），闡明以下內容：(1)SaMD預先規範（SaMD Pre-Specification, SPS）：包含此產品未來可能的變更類型（如：輸入資料、性能、適應症）、變更範圍；(2)演算法變更程序（Algorithm Change Protocol, ACP）：包含變更對應之處理流程、風險控制措施，以及如何確保軟體變更後之安全及有效性。 根據「人工智慧/機器學習行動計畫」內容所述，「事先訂定之變更控制計畫」構想被多數（包含病患團體在內）的利害關係人肯認，並於相關諮詢會議當中提出完善的細部建言。FDA將根據收到的反饋意見，於2021年以前正式提出有關人工智慧/機器學習上市後監管的指引草案（Draft Guidance），並持續研究提高演算法透明度、避免演算法偏見的方法。
德國聯邦法院裁判臉書之Find Friends功能違法德國消費者組織聯盟（Federation of German Consumer Organisations , 以下簡稱VZBV）針對臉書（Facebook）的”find friends”功能向該公司發出警告信。臉書的”Find friends”功能為使用者先在該社群網站上輸入自己的email後，再選擇其與朋友的聯繫管道，如yahoo信箱、skype等。臉書將儲存使用者所上傳的聯絡人資訊，並用以協助使用者尋找朋友，或者透過居住地、學校、工作場所等搜尋要件，協助使用者找尋好友。然而，在臉書未有任何修正的情況下，VZBV向柏林地方法院控告臉書並獲得勝訴，之後臉書向上訴法院提起上訴，但於2014年01月24日遭到駁回。2016年01月14日，德國聯邦法院維持下級審法院判決，裁判臉書的” Find friends”功能牴觸德國隱私權保護與消費者保護之法律。 （一）德國聯邦資料保護法（Bundesdatenschutzgesetz,BDSG） 法院認為該項功能違反德國聯邦資料保護法，蓋因臉書未能在收集或利用使用者以及非使用者的資料前，事先取得其同意。此外，臉書的契約條款中亦未提供使用者適當程度的通知，讓使用者知道他們的資料將會被如何使用。 （二）德國不正競爭防制法（Gesetz gegen den unlauteren Wettbewerb, UWG） 法院認為，臉書在利用使用者資料並且寄發廣告郵件給非臉書會員時誤導使用者，讓使用者以為這個功能是受到限制的，亦即使用者誤認僅有其臉書上的朋友才在搜尋範圍之內。然而，臉書實際上更寄發邀請廣告郵件給其他非臉書的使用者。由於德國不正競爭防制法第五條第一項規定，採取引人錯誤的交易行為，其行為構成不正當。此外，該法第七條亦規定，具訊息之廣告，其掩飾或隱匿委任傳送此訊息之發送人的身分， 即被視為不合理之煩擾。又以不合理之方式來煩擾市場參與者之交易行為，不得為之。因此，其被認定構成德國不正競爭防制法第五條”引人錯誤的交易行為”以及第七條＂不合理之煩擾＂。 本案從2010年開始直至聯邦法院裁判結果出爐前，”find friends”功能已有修正，然而VZBV認為這些修正並不足夠。在2016年的這份裁判出爐後，facebook將如何修正及調整商業模式，以符合德國法律之規定值得持續關注。此外，許多社群網站如LinkedIn亦有類似功能，該裁判結果對於這些網站的商業運作，將造成如何的影響亦應持續追蹤。
歐盟提出智慧醫院防禦網路攻擊建議歐盟網路與資訊安全局於2016年11月（ENISA）提出醫院導入智慧聯網技術因應資訊安全之研究建議，此研究說明智慧醫院之ICT應用乃以風險評估為基礎，聚焦於相關威脅與弱點、分析網路攻擊情節，同時建立使用準則供醫院遵守。由於遠端病患照護之需求，將使醫院轉型，運用智慧解決機制之際，仍須考量安全防護問題，且醫院可能成為下一階段網路攻擊之目標，醫院導入智慧聯元件的同時，將增加攻擊媒介使醫院面對網路攻擊更加脆弱，因此，報告建議如下： 1.醫療照護機構應提供特定資訊安全防護，要求智慧聯網元件符合最佳安全措施。 2.智慧醫院應確認醫院內之物件及其如何進行網路連結，並根據所得資料採取相應措施。 3.設備製造商應將安全防護納入現有資安系統，並在設計系統與服務之初邀請健康照護機構參與。 在我國部分，2016年9月行政院生技產業策略諮議委員會議中即提到，強調將建立智慧健康生活創新服務模式，提供民眾必要健康資訊及更友善支持環境，同時結合ICT與精密機械及材料，發展智慧健康服務的模式。2016年11月，行政院推動「生醫產業創新推動方案」，藉由調適法規等方式統整醫療體系與運用ICT技術及異業整合，其中在智慧聯網應用下之資訊安全防護議題實屬重要。