英國資訊委員辦公室推出資料分析工具箱協助組織檢視資料保護情形
英國資訊委員辦公室(Information Commissioner's Office, ICO)於今（2021）年2月17日推出資料分析工具箱（data analytics toolkit）供所有考慮對個人資料進行資料分析的組織使用，旨在幫助組織駕馭人工智慧（Artificial Intelligence, AI）系統對個人權利所可能帶來的挑戰。
ICO表示，越來越多的組織使用AI來完成特定任務，例如使用軟體自動發現資料集（data sets）的模式，並藉此進行預測（predictions）、分類（classifications）或風險評分（risk scores），組織在使用個人資料進行資料分析時，納入資料保護的概念是至關重要的，除符合法律要求外，也能增強民眾對技術的信任與信心。
使用ICO的資料分析工具箱時，首先會詢問組織所適用的法律，並引導至相對應的頁面，並透過合法性（lawfulness）、問責與治理（accountability and governance）、資料保護原則（data protection principles）以及資料主體權利（data subject rights）等一系列的問題瞭解組織的資料保護情形，在回答所有問題之後，工具箱將產生一份報告，提供組織關於資料保護的建議，提高組織資料保護的法令遵循程度。
ICO強調，組織應該要在個人資料處理的過程中考量報告中所提及的建議，並向組織的資料保護長（Data Protection Officer, DPO）徵詢其意見，在組織委託、設計與實施資料分析時落實個人權利與自由的保障。
- 零售業個資法遵實務與資訊安全說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 【下午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 製程工業AI應用與規範研討會
- 美國聯網車監管制度與合規實務說明會
張恩若
法律研究員 編譯整理
ICO launches data analytics toolkit, Information Commissioner's Office, https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2021/02/ico-launches-data-analytics-toolkit/ (last visited Mar. 05, 2021).
Toolkit for organisations considering using data analytics, Information Commissioner's Office, https://ico.org.uk/for-organisations/toolkit-for-organisations-considering-using-data-analytics/ (last visited Mar. 05, 2021).
英國發布《資料主體近用權指引》說明資料近用權法遵重點及實例解析，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8574（最後瀏覽日：2021/03/05）。
英國資訊委員辦公室（ICO）發布沙盒執行過程中所觀察到的關鍵議題，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8445（最後瀏覽日：2021/03/05）。
法國國家資訊自由委員會（Commission Nationale de l'Informatique et des Libertés, CNIL）基於cookie聲明（cookie banner）違反法國資料保護法（Act N°78-17 of 6 January 1978 on Information Technology, Data Files and Individual Liberties）裁罰微軟愛爾蘭分公司（Microsoft Ireland Operations LTD，下稱微軟）搜尋引擎Bing，並根據cookie蒐集資料間接產生的廣告收入、資料主題數量及處理的資料範圍定出6千萬歐元之罰鍰額度，且要求微軟應於3個月內限期改正，如逾期按日處以6萬歐元罰鍰。本案是繼2022年1月6日以來，CNIL以相同理由分別對Google與Facebook裁罰1.5億及6千萬歐元罰鍰後，再增1件科技巨頭因違法運用cookie遭受裁罰之案例。本案對我國隱私執法機關參酌於數位環境中，應就cookie聲明如何進行管理之理由與細節，具有參考價值。 而本案微軟之搜尋引擎Bing遭受裁罰之理由，主要可分為二面向： 一、未經使用者事前同意，逕於使用者設備中設置cookie 依法國資料保護法第82條規定，業者利用cookie或其他追蹤方式針對使用者終端設備上的資料進行讀取或寫入資料前，應盡告知義務並取得使用者同意。惟搜尋引擎Bing在使用者造訪網站時，未經使用者同意便設置一種具有安全及廣告等多種用途的cookie（MUID cookie）於其電腦設備，且當使用者繼續瀏覽網站時，將會另設置其他廣告cookie，然微軟亦未就此取得使用者同意。 二、拒絕設置cookie與給予同意之方式便利性應相同 在有效同意的標準與具體判斷上，由於搜尋引擎Bing的cookie聲明第一階層僅提供「接受」與「設定」兩類按鈕，並未提供「拒絕」按鈕，因此使用者同意或拒絕設置cookie之流程便利性有其差異，並未一致，如下說明： （一）使用者同意設置cookie 如使用者同意設置cookie，僅需於cookie聲明的第一階層點擊「接受」按鈕，即完成設置。 （二）使用者拒絕設置cookie 若使用者欲拒絕設置cookie，需於cookie聲明的第一階層點擊「設定」按鈕；其後進入第二階層，使用者可於各類型cookie選擇開啟或關閉，再點擊「保存設定」按鈕，始完成設置。 是以使用者拒絕同意設置cookie與給予同意之方式，兩者的便利性並未一致。又因第二階層顯示默認未設置cookie，恐導致使用者誤以為網站並未設置cookie，故CNIL認為此種同意欠缺自願性而屬無效者。
黑莓機服務中斷數日，RIM面臨用戶集體求償全球商務人士最喜愛使用的智慧型手機「黑莓機」，在今年（2011）10月中旬出現全球大當機，手機用戶無法上網及收發簡訊，影響範圍從歐洲擴及北美與世界各地。手機製造商Research In Motion (RIM)的首席執行長Mike Lazaridis在官網上以視訊公開向全球用戶道歉，並提出可免費下載100美元的應用軟體作為補償。然而此舉無法平息用戶的怒火，許多使用者正打算對RIM提出訴訟求償，因為中斷服務害他們錯失許多訊息與會議時間。 加拿大魁北克的高等法院就收到使用者對RIM要求經濟補償的集體訴訟，因為RIM所提出的補償措施根本無法彌補中斷服務數天的損失。若法院認同訴訟主張，RIM遭求償的總額或許很高，不過使用者提出的訴求是中斷服務的1.5天，他們無法使用月付25元加幣的無線網路服務，因此按比例分攤每件可能僅1.25元。而在美國的消費訴訟律師，則考慮對RIM提出違約訴訟或是消費詐欺，前者是以RIM未依約盡到其提供服務的責任為主張；而後者消費詐欺的重點則是著眼於，RIM導致消費者誤信黑莓機的可靠性。然而使用者所面臨的困難是，要如何證明他們所受到的損害，高於原本應獲得的服務，而且因為是全區域的服務中斷，在跨州的集體訴訟中還有各州法律適用的問題。有法律專家言明，要證明因為不能使用智慧型手機的功能而造成的實際損害非常困難，畢竟在緊急時刻，溝通（communicate）還有其他選擇方式。
美國提出個人資料安全及外洩通報法草案華盛頓特區於今〈2010〉年8月5日由阿肯薩州及維及尼亞州參議院議員Pryor及John Rockefeller所倡議之「個人資料安全及外洩通報法」〈Data Security and Breach Notification Act of 2010〉，其旨趣，在於統一美國各州不同個資外洩通報法，並嘗試為消費者個人資料之安全及隱私設定全國性的標準。 Pryor法案曾於2007年提出，惟當時未能通過，其立法緣由係為處理美國各州、聯邦及國際間政府對個資安全與日俱增之重視。其規範內容，在要求處理及儲存消費者私人資訊，諸如「社會安全碼」〈social security numbers〉之企業，一旦發生資料外洩事件，需對國家提出通報，如該事件對消費者產生現實的「身分盜竊」〈identity theft〉或「帳戶詐欺」〈account fraud〉風險，則應於發現個資外洩六十日內通知受影響之消費者。 Pryor法案之適用對象甚廣，故有認為，該法一旦通過，其將成為繼美國金融服務法〈the Gramm-Leach-Bliley Act，簡稱GLBA〉後的模範法典，其適用對象包括受GLBA規範之金融機構及任何個人〈any individual〉、合夥〈partnership〉、公司〈corporation〉、信託〈trust〉、工地產產業〈estate〉、合作社〈cooperative〉、協會〈association〉、維持或傳送「敏感的會計資訊」或「敏感的個人資訊」之業主〈entity that maintains or communicates “sensitive account information” or “sensitive personal information”〉，但並不包括任何政府辦事處或其他聯邦、州政府單位、地方政府〈any agency or other unit of the federal,state, or local government〉或任何其下所再劃分之單位〈any subdivision thereof〉。 惟此一倡議中之資料安全立法不論法令遵循或執行皆有一定難度，因該法雖要求對超出「損害門檻」之資料外洩需對消費者通報，但對「損害門檻」並無明確定義。此外，受影響之企業似無實行適當風險評估之誘因，除需耗費大量成本評估外洩事件是否超過損害門檻外，尚需面臨企業名譽受損與客戶不滿之損失，在個資外洩要素風險指導原則付之闕如之情形下，企業恐無法客觀地評估自身個資外洩之風險。故有建議，解決之道，應明定損害門檻，並聘請外部專家或使用市場新工具，訂定客觀的指導原則，使企業在處理個資外洩問題時能減輕混亂及鼓勵評估結果的一致性並縮短風險評估的時間。 就資訊安全部分，此法案揭櫫於其通過一年內，美國商務、科學及交通委員會〈Committee on Commerce, Science, and Transportation〉應頒布規定，要求擁有或處理含有個人資料或契約之企業，必須建立並執行蒐集、使用、出售，及其他傳播、維持個人資訊之資訊安全政策，以達保護個人資料之目的。