日本公平交易委員會公布資料市場競爭政策檢討會報告書，提出建構資料市場公平競爭環境之政策建議
日本公平交易委員會（公正取引委員会）於2021年6月25日發布關於資料市場競爭政策檢討會（データ市場に係る競争政策に関する検討会）報告書。所謂資料市場，不僅指資料從產出、蒐集、整理儲存（蓄積）、加工、分析到利用等各階段的交易，尚包含向終端使用者提供相關商品或服務。其類型包含企業經營所產出的「產業資料」（産業データ），以及與個人相關的「個人資料」（personal data，原文為パーソナルデータ）。近年來，數位平台型業者參與資料市場、活用資料經營相關商業活動的情形漸增。同時，資料不同於傳統交易客體，具備以下特徵：（1）技術上容易複製；（2）無法建立排他性佔有；（3）需透過累積與解析方能創造其價值；（4）可藉由累積使用資料持續優化產品機能。而累積大量資料的數位平台業者，亦可能藉此形成獨占、寡占、排除其他競爭者等。
基此，本報告書針對此一競爭秩序現況，提出以下建議：
- 建構鼓勵新業者加入資料市場的機制：應充分考量各潛在參與者之需求，同時留意利用資料之事業退出市場經營時，不應對使用該事業服務的個人造成不利益。
- 針對產出資料之行為建立獎勵機制，同時促進業界自由且易於取用資料。
- 區分各企業經營共通事項之協調領域、以及企業間各自專業化經營之競爭領域。就前者提供共通性指引與開放行政保有資料供利用，對後者則須管制妨害公平競爭之行為。
- 確保資料可攜性，與不同系統間的互通性（interoperability，原文為インターオペラビリティ），讓使用者容易轉換其所利用的平台服務。
- 優化關於個資利用的說明義務內容，尤其針對平台在不知情下蒐集資料的情形，應額外規範業者採取相應配套措施，避免造成當事人不利益。
- 就數位平台形成的市場寡占與資料獨占蒐集問題，可考量採取令其他業者能公平取用資料之措施。
本文為「經濟部產業技術司科技專案成果」
劉純妤
法律研究員 編譯整理
〈「データ市場に係る競争政策に関する検討会」報告書について〉，日本公平交易委員會，https://www.jftc.go.jp/houdou/pressrelease/2021/jun/210625_data.html （最後瀏覽日：2021/10/05）。
〈データ市場に係る競争政策に関する検討会報告書〉，日本公平交易委員會，https://www.jftc.go.jp/houdou/pressrelease/2021/jun/210625_report.pdf （最後瀏覽日：2021/10/05）。
許祐寧，〈美國眾議院發布反壟斷五大法案，恢復數位市場競爭並防堵科技平台壟斷〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8725 （最後瀏覽日：2021/10/05）。
劉書妤，〈日本經產省發布《促進資料價值創造的新資料管理方法與框架（暫定）》之綱要草案徵求意見〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8719 （最後瀏覽日：2021/10/05）。
美國白宮（the White House）於2019年5月2日發布第13870號總統令（Executive Order），旨在說明美國的資安人力政策規劃。 於聯邦層級的資安人力提升（Strengthening the Federal Cybersecurity Workforce）上，由國土安全部（Department of Homeland Security, DHS）部長、管理預算局（Office of Management and Budget, OMB）局長及人事管理局（Office of Personnel Management, OPM）局長共同推動網路安全專職人員輪調工作計畫（cybersecurity rotational assignment program），計畫目標包含：輪調國土安全部與其他機關IT及資安人員、提供培訓課程提升計畫參與者之技能、建立同儕師徒制（peer mentoring）加強人力整合，以及將NIST於2017年提出之國家網路安全教育倡議（National Initiative for Cybersecurity Education, NICE）和網路安全人力框架（Cybersecurity Workforce Framework, NICE Framework，以下合稱NICE框架），作為參與者的最低資安技能要求。同時上述部長及局長，須向總統提交報告說明達成上述目標之執行方案。 於國家層級的資安人力提升（Strengthening the Nation’s Cybersecurity Workforce）上，則表示商務部部長（Secretary of Commerce）、勞工部部長（Secretary of Labor）、教育部部長（Secretary of Education）、國土安全部部長與其他相關機關首長，應鼓勵州、領土、地方、部落、學術界、非營利與私部門實體於合法之情況下，自願於教育、訓練和人力發展中納入NICE框架。此外，將每年頒發總統網路安全教育獎（Presidential Cybersecurity Education Award），給予致力於傳授資安知識之中小學教育工作者。 綜上所述，美國將透過制度、教育與獎勵等方式培育資安人才，提升國內資安人才的質與量，以因應越來越險峻的資安威脅與風險。
歐盟資料保護工作小組修正通過個人資料侵害通報指引歐盟資料保護工作小組修正通過「個人資料侵害通報指引」 資訊工業策進會科技法律研究所 法律研究員 李哲明 2018年3月31日 壹、事件摘要 因應歐盟「通用資料保護規則」（The General Data Protection Regulation，或有譯為一般資料保護規則，下簡稱GDPR）執法即將上路，針對個人資料侵害之通報義務，歐盟資料保護工作小組（Article 29 Data Protection Working Party, WP29）特於本（2018）年2月6日修正通過「個人資料侵害通報指引」（Guidelines on Personal data breach notification under Regulation 2016/679），其中就GDPR所規範個資侵害之定義、對監管機關之通報、與個資當事人之溝通、風險及高風險評估、當責與紀錄保存及其他法律文件所規定之通報義務等，均設有詳盡說明與事例。 貳、重點說明 一、何謂個資侵害？個資侵害區分為哪些種類？ 依據GDPR第4條（12）之定義，個資侵害係指：「個人資料因安全性之侵害所導致意外或非法之毀損、喪失、修改、未經授權之揭露、存取、個資傳輸、儲存或其他處理。」舉例來說，個人資料之喪失包括含有控制者（controller）顧客資料庫的備份設備之遺失或遭竊取。另一例子則為整份個資的唯一檔案遭勒索軟體加密，或經控制者加密，但其金鑰已滅失。依據資訊安全三原則，個資侵害之種類區分為： 機密性侵害（Confidentiality breach）：未經授權、意外揭露或獲取個人資料。 完整性侵害（Integrity breach）：未經授權或意外竄改個人資料。 可用性侵害（Availability breach）：在意外或未經授權之情況下，遺失個人資料存取權限或資料遭銷燬。 二、何時應為通知？ 按GDPR第33條（1）之規定，當個資侵害發生時，在如果可行之情況下，控制者應即時（不得無故拖延）於知悉侵害時起72小時內，依第55條之規定，將個資侵害情事通報監管機關。但個資侵害不會對自然人之權利和自由造成風險者，不在此限。倘未能於72小時內通報監管機關者，應敘明遲延之事由。 三、控制者「知悉」時點之判斷標準為何？ 歐盟資料保護工作小組認為，當控制者對發生導致個人資料侵害的安全事件達「合理確信的程度」（reasonable degree of certainty）時，即應視為其已知悉。以具體事例而言，下列情況均屬所謂「知悉」： 在未加密個人資料的情況下遺失USB密鑰（USB Key），通常無法確定是否有未經授權者將獲致存取資料權限。即使控制者可能無法確定是否發生機密性侵害情事，惟仍應為通知，因發生可用性侵害之情事，且已達合理確信的程度。 故應以控制者意識到該密鑰遺失時起為其「知悉」時點。 第三人通知控制者其意外地收到控制者的客戶個人資料，並提供該揭露係未經授權之證據。當侵害保密性之明確證據提交控制者時，即為其「知悉」時點。如：誤寄之電子郵件，經非原定收件人通知寄件者之情形。 當控制者檢測到其網路恐遭入侵，並針對其系統進行檢測以確認個人資料是否遭洩漏，嗣後復經證實情況屬實，此際即屬「知悉」。 網路犯罪者在駭入系統後，聯繫控制者以索要贖金。在這種情況下，控制者經檢測系統並確認受攻擊後，亦屬「知悉」。 值得注意的是，在經個人、媒體組織、其他來源或控制者自我檢測後，控制者或將進行短暫調查，以確定是否發生侵害之事實。於此調查期間內所發現之最新侵害情況，控制者將不會被視為「知悉」。然而，控制者應儘速展開初步調查，以形成是否發生侵害事故之合理確信，隨後可另進行更詳盡之調查。 四、共同（聯合）控制者之義務及其責任分配原則 GDPR第26條針對共同控制者及其如何確定各自之法遵義務，設有相關規定，包括決定由哪一方負責遵循第33條（對主管機關通報）與第34條（對當事人通知）之義務。歐盟資料保護工作小組建議透過共同控制者間之契約協議，約明哪一方係居主要地位者，或須負責盡到個資侵害時，GDPR所定之通知義務，並載於契約條款中。 五、通報監管機關與提供資訊義務 當控制者通報監管機關個資侵害情事時，至少應包括下列事項 （GDPR第33條（3）參照）： 敘述個人資料侵害之性質，包括但不限於所涉之相關個資當事人、個資紀錄及其類別、數量。 傳達資料保護長（DPO）或其他聯絡人之姓名與聯絡方式，俾利獲得進一步資訊。 說明個資侵害可能之後果。 描述控制者為解決個資侵害業已採取或擬採行之措施，在適當情況下，酌情採取措施以減輕可能產生之不利影響。 以上乃GDPR要求通報監管機關之最基本事項，在必要時，控制者仍應盡力提供其他細節。舉例而言，控制者如認為其處理者係個資侵害事件之根因（root cause），此時通報並指明對象即可警示委託同一處理者之其他控制者。 六、分階段通知 鑒於個資事故之性質不一，控制者通常需進一步調查始能確定全部相關事實，GDPR第33條（4）爰設有得分階段通知（notification in phases）之規定。凡於通報時，無法同時提供之資訊，得分階段提供之。但不得有不必要之遲延。同理，在首次通報後之後續調查中，如發現該事件業已受到控制且並未實際發生個資侵害情事，控制者可向監管機關為更新。 七、免通報事由 依據GDPR第33（1）條規定，個資侵害不會對自然人之權利和自由造成風險者，毋庸向監管機關通報。如：該遭洩露之個人資料業經公開使用，故並未對個人資料當事人構成可能的風險。 必須強調的是，在某些情形下，未為通報亦可能代表既有安全維護措施之缺乏或不足。此時監管機關將可能同時針對未為通報（監管機關）或通知（當事人），以及安全維護措施之缺乏或不足，以違反第33條或（及）34條與第32條等獨立義務規定為由，而依第83條4（a）之規定，併予裁罰。 參、事件評析 一、我國企業於歐盟設有分支機構或據點者，宜指派專人負責法遵事宜 揆諸GDPR前揭規定，當個資侵害發生時，控制者應即時且不得無故拖延於知悉時起72小時內，將個資侵害情事通報監管機關。未能履踐義務者，將面臨最高達該企業前一會計年度全球營業額之2%或1千萬歐元，取其較高者之裁罰。我國無論金融業、航運業、航空運輸業、電子製造業及進出口貿易業者等，均或有於歐盟成員國境內或歐洲經濟區（European Economic Area）當地設立子公司或營業據點。因此，在GDPR法遵衝擊的倒數時刻，指派具瞭解GDPR規定、當地個資隱私法遵規範、擅長與隱私執法機構溝通及充要語言能力者專責法遵業務實刻不容緩。蓋此舉可避免我國企業母公司鞭長莫及，未能及時處置而致罹法典之憾。 二、全面檢視個資業務流程，完備個資盤點與風險評鑑作業，掌握企業法遵現況 企業應全面檢視業務流程，先自重要核心業務中析出個資作業流，搭配全面個資盤點，並利用盤點結果進行風險評鑑，再針對其結果就不同等級之風險採行相對應之管控措施。此外，於全業務流程中，亦宜採行最小化蒐集原則，避免蒐集過多不必要之個人資料，尤其是GDPR所定義之敏感個資（如：種族、民族血統、政治觀點、宗教信仰、哲學信仰、工會會員資格等個人資料，及遺傳資料的處理，用於識別特定自然人之生物識別資料、健康資料、性生活、性取向等）或犯罪前科資料，俾降低個人資料蒐集、處理、利用、檔案保存及銷燬之全生命週期流程中的風險。此舉亦契合我國個人資料保護法第5條所揭櫫之原則。 三、立法要求一定規模以上之企業須通過個資隱私法遵第三方認（驗）證，並建置認證資訊公開平台 鑒於國際法遵衝擊以及隱私保護要求之標準線日漸提升，我國企業除自主導入、建置並維運相關個資保護與管理制度以資因應，更有賴政府透過法令（如：修正個人資料保護法）強制要求一定規模以上之企業通過第三方專業驗證，俾消弭風險於日常準備之中。蓋我國具一定規模以上企業，無論其係屬何種業別，一旦違反國際法遵要求，遭致鉅額裁罰，其影響結果將不僅止於單一企業，更將嚴重衝擊該產業乃至於國家整體經貿發展。職是，採法律強制要求企業定期接受獨立、公正及專業第三方認（驗）證，咸有其實益性與必要性。
國際保險公司探討奈米保險機制可行性特定奈米科技經歷研發階段過後，所獲致的成熟技術產品，要邁向市場商業化階段，能否真正成功，取決於市場消費大眾能否具有信心願意採用。而奈米科技由於新興發展存有未知之不確定風險，所以有論者開始規劃研擬，引進責任保險機制，藉由責任風險分散之功能，期望解決面對不確定風險時，能夠足以妥適因應。 依據國際最具份量之瑞士再保公司（Swiss Re） 對於奈米科技之保險機制，2008年出版「奈米科技：微小物質，未知風險（Nanotechnology--Small Matter, Many Unknowns：The Insurers' Perspective）」研究報告 ，其中明文點出，保險業（Insurance Industry）之核心業務即為移轉風險（Transfer of Risk），由保險公司（Insurer）經過精算程序後收取一定費用，適時移轉相關風險，並產生填補功能。 然而，保險業對於可藉由保險機制所分散之風險，亦有其極限範圍，如果超過以下三原則者，則會被認為超出可承擔風險範圍，屬保險業無力去承擔者，所以保險機制之引進將不具可行性： （1）風險發生之可能機率與發生嚴重程度，現行實務沒有可行方式能加以評估者。 （2）當危害產生時，所造成之影響為同時擴及太多公司、太多產業領域、或太廣的地理區域者。 （3）有可能產生的巨大危害事件，已超過私領域保險業所能承受之範圍者。 此外，為確保未來得以永續經營，保險公司對於願意承保之可保險性（Insurability）端視對於以下各因素性質之評估： （1）可加以評估性（Accessibility）：對於所產生之損害係屬可評估，並得以加以計量化、允許訂出價格者（be Quantifiable to Allow Pricing）。 （2）無可事先安排者（Randomness）：對於保險事故之發生，必須是不可預測者，並且其所發生必須獨立於被保險者本身主觀意志（the Will of the Insured）之外。 （3）風險相互團體性（Mutuality）：相關保險者必須基於同時參加並組成共同團體性，藉以達到分擔分散相關風險性。 （4）經濟上可行性（Economic Feasibility）：必須使私人保險公司藉由收取適宜保費，便得以支付對等之賠償費用，可以確保業務經營得以永續持續下去。 綜上所述，可以明瞭並非所有風險，保險公司均願意承保而能達到分散風險者，對於風險必須是可預測性並有承保價值，保險公司本身具有商業機制，依據精算原則確定願意承保之費用，此才可謂實務上可行，對於奈米科技引進保險機制之衡量思考，也當是如此。
歐盟發布孤兒著作指令（2012/28/EU），期促進成員國數位典藏之流通運用為促進歐盟境內各成員國的典藏機構（圖書館、資料館、博物館等）之典藏數位化以及數位作品的流通，歐盟於2012年10月28日頒布Directive 2012/28/EU（俗稱孤兒著作指令），本指令允許典藏機構基於「公益」目的利用孤兒著作從事營利之商業行為，並要求各成員國應於2014年10月29日前完成國內法的轉換程序，本指令有以下特色： （一）界定適用之機構與標的：適用之機構包括各成員國境內為公共利益所建立的公有典藏機構，包括公共圖書館、教育機構、博物館、資料館、電影與錄音典藏單位、公共電視台等。適用標的亦限制在前述機構數位典藏之作品，包括傳統出版品之書籍與報刊雜誌，以及電影、影音與錄音作品等。此外，指令同樣適用於附著在其他作品或構成他作品一部分（如書中的一張照片）的著作物，以及未出版之作品，例如書信、手稿等。 （二）明確定義「勤勉尋找」(diligent search)之最低標準：根據指令第3條第2項規定，所謂「勤勉尋找」之標準可由各會員國自行界定，但至少要包括本指令附件所載之各類資料庫、法定送存處（legal deposit）、以及相關著作權集體管理組織等。 （三）確立孤兒著作狀態相互承認機制：當一項著作在特定會員國被視為孤兒著作時，該效力便及於整個歐盟。另外，本指令第3條第6項亦規定歐盟各成員國應當將孤兒著作之狀態回報給歐盟內部市場調何局（Office for Harmonization in the Internal Market）。 （四）得基於公益性質（public-interest missions）將孤兒著作為商業授權之利用：典藏機構得基於公益性質將孤兒著作為商業授權之利用，特別是為保存或復原典藏物、或提供文化或教育上之近用等，可與其他公、私部門共同利用孤兒著作從事商業授權行為，並將收益彌補因前述典藏數位化所耗費的成本。 從歐盟孤兒著作指令的立法緣由與內容來看，其主要目的係在於釋放公有數位典藏的能量，以便可以達到歐盟在2010年所設定之活絡數位單一市場之目標。另本指令為加速典藏機構針對孤兒著作釋出的配套措施，例如明確定義勤勉搜尋的範圍，以及典藏機構得基於公益性質而將孤兒著作為商業授權之利用等，亦值得我國借鏡。