英國數位文化媒體暨體育部發布數位身分之公眾諮詢，發布法制政策回應並揭示相關原則
英國數位文化媒體暨體育部（Department for Digital, Culture, Media and Sport, DCMS）2020年9月1日發布「數位身分：政府諮詢回應」（Digital Identity: Call for Evidence Response）文件，以回應過去英國政府曾於2019年7月向各界蒐集如何為成長中的數位經濟社會建立數位身分系統之意見。依據諮詢意見之成果，英國政府計畫調修現行法規，使相關身分識別流程以最大化容許數位身分之使用，並發展有關數位身分之消費者保護立法；立法中將特別規範個人之權利、如何賠償可能產生的侵害，以及設定監督者等相關內容。數位身分策略委員會（Digital Identity Strategy Board）並提出六項原則，以加強英國之數位身分布建與政策：
- 隱私：當個人資料被使用時，應確保具備相關措施以保障其保密性與隱私；
- 透明性：當個人身分資訊於使用數位身分產品而被利用時，必須確保使用者可了解其個資被誰、因何原因，以及在何時被利用；
- 包容性：當人們希望或需要數位身分時即可取得。例如不備有護照或駕照等紙本文件時，對於其取得數位身分不應產生障礙；
- 互通性（interoperability）：應設定英國之技術與運作標準，使國際與國內之使用上可互通；
- 比例性：使用者需求與其他因素（如隱私與安全）之考量應可平衡，使數位身分之使用可被信賴；
- 良好監理：數位身分標準將與政府政策與法令連結，未來之相關規範將更加明確、一致並可配合政府對於數位管制之整體策略。
本文為「經濟部產業技術司科技專案成果」
柯亦儒
組長 編譯整理
Next steps outlined for UK’s use of digital identity, Sept. 1, 2020, https://www.gov.uk/government/news/next-steps-outlined-for-uks-use-of-digital-identity (last visited Nov. 5, 2020).
陳咸蓁，〈德國聯邦內閣通過「數位家庭給付法」草案，結合數位科技整併各項出生證明、津貼或補助申請窗口〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=180&d=8510&no=64（最後瀏覽日：2020/11/10）。
德國Essen地方法院判決（Az. 44 O 79/07），網站上之聯絡我們的功能（Contact-Formula），並不符合網路服務者依德國電信服務法第5條（Telemediengesetz, TMG）所應遵守之資訊揭露義務＊。 根據德國電信服務法第5條第1項第2款規定，網路服務提供者之資訊揭露義務範圍，包括應提供一個供網路使用者可以快速且直接聯繫網路服務提供者之電子聯繫方式，例如提供電子郵件。 按德國電信服務法第5條規定目的在提供消費者法定之保護，而違反本條規定者，將可依德國「不正競爭防止法，UWG」第4條第11款及第2條第1項第2款規定，視為違反公平競爭之行為。 該法院認為，網站上「連絡我們功能（Contact-Formula）」性質上僅屬於一個用以製造連結的科技措施，使用者需填寫網站上表格，按下傳送鍵後，始能得知網路服務者之電子郵件，而有些網站甚至無法顯示網路服務者之電子郵件。 我國於「電子商務消費者保護綱領」第5點企業經營者應提供有利於消費者選擇及進行交易之充分資訊包括「企業經營者本身資訊」，例如登記名稱、負責人姓名及公司簡介、公司或商號所在地及營業處所所在地、電子郵件、電話、傳真等聯絡方式及聯絡人等資訊，資訊提供範圍與德國電信服務法第5條第1項第2款大抵相同。 ＊德國電信服務法（TMG）第5條網路服務者應揭露之資訊範圍包括其聯繫資料、特許職業執照證號、營利事業登記證號等。
歐洲資料保護監管機關研議提出「智慧電表系統發展準備建議」研究報告歐洲資料保護監管機關（European Data Protection Supervisor,以下簡稱EDPS）是一個獨立的監督機關，其任務主要在於監督歐盟個人資料的管理程序、提供影響隱私的政策及法制建議、與其他類似機關合作以確保資料的保護。 EDPS於今（2012）年6月8日，針對歐盟執委會於今（2012）年3月9日發布的「智慧電表系統發展準備建議」（Recommendation on preparations for the roll-out of smart metering systems,以下簡稱準備建議）提出相關意見。「智慧電表系統發展準備建議」乃係針對智慧電表部署之資料安全保護及經濟成本效益評估，提出發展準備建議，供會員國於進行相關建置及制定規範時之參考。然EDPS指出，執委會對於智慧電表中個人資料保護的重視雖值得肯定，但並未在準備建議中提供更具體、全面且實用的指導原則。智慧電表系統雖能帶來顯著的利益，但造成個人資料的大量蒐集，可能導致隱私的外洩，或相關數據遭使用於其他目的。 有鑑於相關風險，EDPS認為在準備建議中，應更加強其資料保護的安全措施，至少應包含對資料控制者在處理個人資料保護評估時有強制的要求；此外，是否有必要進行歐盟層級的立法行動亦應予以評估。EDPS提出的意見主要包括：（1）應提出更多有關選擇資料當事人及處理相關資料的法律依據，例如電表讀取的頻率、是否需取得資料當事人同意；（2）應強制「提升隱私保護技術」（privacy-enhancing technologies）的適用，以限縮資料的使用；（3）從資料保護的角度來釐清參與者的責任；（4）關於保存期間的相關原則，例如對於家戶詳細消費資訊的儲存期間、或在針對帳單處理的情形；（5）消費者能直接近取其能源使用數據，提供有效的方式使資料當事人知悉其資料的處理及揭露，提供有關遠端遙控開關之功能等訊息。
美國公民權利辦公室就Sentara醫療機構違反個資外洩通知義務予以重罰美國衛生及公共服務部（Department of Health and Human Services, 下稱HHS）轄下的公民權利辦公室（Office for Civil Right, 下稱OCR）在2019年11月27日，正式對Sentara醫療機構處以217萬美元行政罰，主因該機構違反《健康保險可攜與責任法》（Health Insurance Portability and Accountability Act, 下稱HIPAA）的醫療個資外洩通知義務。 HIPAA是美國有關醫療個資管理的主要規範，依據HIPAA第164.400條以下「違反通知規則」（Breach Notification Rule）規定，當超過500位病患的「受保護健康資訊」（Protected Health Information, 下稱PHI）遭受不當使用或被外洩時，除應通知受害人外，還必須立即告知HHS以及在當地知名媒體發布新聞。而OCR主要負責檢查受規範機構，是否確實執行HIPAA隱私、安全和違反通知規則。 而在2017年4月，HHS收到指控Sentara將含有病患姓名、帳號、就診日期等涉及PHI的帳單發送到錯誤地址，造成557名病患個資外洩。Sentara卻認為該帳單內容未含有病患病歷、治療資訊或其他診斷紀錄，且僅有8人被影響，並非HIPAA應進行個資外洩通知義務之範疇，故不依規定程序通報HHS。不過OCR認為依HIPAA第160.103條規定，PHI包含病史、保險資訊、就醫紀錄（含日期）、身心健康狀態等可識別個人之健康資訊。因此認為Sentara確實違反個資外洩通知義務，予以罰款並命檢討改善。 Sentara醫療機構服務範圍橫跨美國維吉尼亞州（Virginia）和北卡羅來納州（North Carolina），共有12家急性照護醫院、10家護理中心和3家照護機構，為美國最具知名的大型非營利醫療機構之一。這次重罰也告誡國內醫療機構當發生敏感性醫療個資外洩時應從嚴判斷，以避免民眾對醫療照護單位失去信任，確保國內醫療機構體系應恪遵HIPAA規範。
英國劍橋大學技術移轉機制－Cambridge Enterprise Limited Company之介紹