法國資料保護機關要求Clearview AI刪除非法蒐集的個人資料
法國國家資訊自由委員會（Commission nationale de l’informatique et des libertés, CNIL）自2020年5月起陸續收到民眾對臉部辨識軟體公司Clearview AI的投訴，並展開調查。嗣後，CNIL於2021年12月16公布調查結果，認為Clearview AI公司蒐集及使用生物特徵識別資料（biometric data）的行為，違反《一般資料保護規範》（General Data Protection Regulation，GDPR）的規定，分別為：
- 非法處理個人資料：個人資料的處理必須符合GDPR第6條所列舉之任一法律依據，始得合法。Clearview AI公司從社群網路蒐集大量全球公民的照片與影音資料，並用於臉部辨識軟體的開發，其過程皆未取得當事人之同意，故缺乏個人資料處理的合法性依據。
- 欠缺保障個資主體的權利：Clearview AI公司未考慮到GDPR第12條、第15條及第17條個資主體權利之行使，特別是資料查閱權，並且忽視當事人的個資刪除請求。
因此，CNIL要求Clearview AI公司必須於兩個月內改善上述違法狀態，包括：（1）在沒有法律依據的情況下，停止蒐集及使用法國人民的個資；（2）促進個資主體行使其權利，並落實個資刪除之請求。若Clearview AI公司未能於此期限內向CNIL提交法令遵循之證明，則CNIL可依據GDPR進行裁罰，可處以最高 2000萬歐元的罰鍰，或公司全球年收入的4%。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
吳采薇
法律研究員 編譯整理
Reconnaissance faciale : la CNIL met en demeure CLEARVIEW AI de cesser la réutilisation de photographies accessibles sur internet, Commission Nationale de l'Informatique et des Libertés, Dec. 16, 2021, https://www.cnil.fr/fr/reconnaissance-faciale-la-cnil-met-en-demeure-clearview-ai-de-cesser-la-reutilisation-de (last visited Dec. 24, 2021).
Facial recognition: Clearview AI breaks EU data privacy rules, says French watchdog, EURONEWS, https://www.euronews.com/2021/12/16/facial-recognition-clearview-ai-breaks-eu-data-privacy-rules-says-french-watchdog ((last visited Dec. 24, 2021).
歐盟執委會(The European Commission)於2011年2月9日提出「從挑戰到機會：邁向歐盟研發創新補助之共同策略架構」綠皮書(Green Paper - From Challenges to Opportunities: Towards a Common Strategic Framework for EU Research and Innovation funding，以下簡稱綠皮書)，以整合現有研發創新補助機制(包括FP、CIP及EIT)、改善參與容易度、增進研發之科學影響及經濟價值為目標，提出以共同策略架構(Common Strategic Framework)作為歐盟未來創新研發補助機制的構想，希冀藉此串聯基礎研究、技術服務商品化及非技術性創新等環節，以打造完整之創新研發供應鏈(innovation chain)。 歐盟共同策略架構包括了三大重點目標：1.聚焦於「提供歐盟一個世界級的科學基地」、「增進跨國間競爭」及「解決重大挑戰」；2.使歐盟研發補助更具吸引力且更易進入；3.建立更為一致的會計制度，使補助資金的使用更為容易。 歐盟綠皮書在具體作法與詳細內容上雖有待擬定，但針對現有研發補助機制之改進已提出明確方向，包括：釐清補助目標、減少法規複雜性、增進補助的附加價值與影響力，同時避免資源重覆及分散、簡化參與程序、擴大補助計畫參與、透過補助增進競爭等。此外，執委會亦已預定於2011年底提出具體立法建議，未來此一立法將為歐盟科技研發補助架構帶來如何之變革與影響，值得密切注意。
美國國家公路交通安全管理局發布自駕車安全性評估相關法規預告美國國家公路交通安全管理局（National Highway Traffic Safety Administration, NHTSA）於2025年1月15日發布「配備自動駕駛系統車輛之安全、透明度及評估計畫」（The ADS-equipped Vehicle Safety, Transparency, and Evaluation Program , AV STEP）法規預告（Notice of proposed rulemaking, NPRM），建立全國性自願評估與監督制度，以提高自駕車安全性之公共透明度，並促進其負責任布建。 根據《國家交通與機動車輛安全法》（National Traffic and Motor Vehicle Safety Act），自駕車在符合〈聯邦機動車輛安全標準〉（Federal Motor Vehicle Safety Standards, FMVSS）及州、地方法律的前提下，得於公共道路上行駛；若無法符合FMVSS之要求，則需進行豁免申請。惟不論採何種途徑，FMVSS皆未針對自駕車之安全性與性能進行評估，因此NHTSA提出AV STEP，為自駕車設計專門之豁免申請途徑，並針對不同自動化程度車輛提出涵蓋車輛設計、開發與運行之安全性審查條件，以對現行FMVSS之豁免規定進行補充。簡要說明如下： （1）需配置駕駛人之自駕車：需具備手動駕駛功能與清晰的交接程序，以於自駕系統失效時透過充分提示與反應時間，使駕駛人接管操作。 （2）完全由自駕系統操作之自駕車：監管著重於各種情況下皆能自主運作、回退（Fallback）機制需具遠端監控能力，且能自動進入最小風險狀態。 除上述要求外，申請者皆須提供第三方機構之獨立評估報告、說明自動駕駛系統故障之應對措施，並持續接受NHTSA監督。
日本政府內閣於今年3月提出個人資料保護法修正草案為因應2016年正式上路實施之社會保障與納稅人識別號碼制度(社会保障・税番号制度)對於個人資料保護所產生之影響，日本政府內閣於2015年3月10日於國會提出個人情報保護法之修正案。 此次修正案主要分有六大重點，包含個資定義擴充與明確化、確保個資文件內容之正確性、強化個資保護規範內容、設立個人情報保護委員會、個資情報處理全球化，以及其他修正事項如未得當事人同意之第三人使用個資條件嚴格化等。 其中主要有兩項係與社會保障與納稅人識別號碼制度相關。首先是強化個資保護規範內容部分，由於社會保障與納稅人識別號碼制度將遇有個資資料庫使用情況，故新增個資資料庫之相關規範與罰則，行為人於未經授權或不當使用個資資料庫時，將可處1年以下拘役併科日幣50萬元以下之罰金，亦即當行為人違反個資法有關個資資料庫規定時，不但須支付罰金也須負刑事責任。 其次，擬設立直屬內閣總理大臣所轄之個人情報保護委員會，其委員組成人選須經參眾兩議院同意後，由內閣總理大臣任命之。委員會主要任務在於專責監督與監測政府各機關以及民間個資處理事業對於個資的傳遞、處理，並適時提出指導意見或建言。
歐盟針對體外診療器材提出新管制架構，預期將於2015年正式實施歐盟對於體外診療器材（In Vitro Diagnostic Medical Devices，以下簡稱IVDs）之管制，最早起始於1998年的體外診療器材指令（Directive 98/79/EC on In Vitro Diagnostic Medical Devices，以下簡稱「1998年IVDD指令」)，該指令依IVDs是否具有侵入性、接觸病人的時間長短及是否需要能源加以驅動等條件，進一步區分為四種風險等級：第1級（Class I）－低風險性、第2a級（Class IIa）－低至中風險性、第2b級（Class IIb）－中至高風險性、第3級（Class III）－高風險性。Class I因風險性最低，故1998年IVDD指令僅要求廠商建立品管系統、保留產品技術檔案、並自為符合性聲明後，即得於市場上流通；Class IIa與Class IIb則由於風險略高，所建立之品管系統需經過「符合性評鑑」；而Class III的風險最高，故其品管系統除須符合前述要求外，更應由經歐盟認證的代檢機構（Notified Body）進行審查，通過前述評鑑及審查後，始可於歐洲市場流通使用。 然而，隨著科學及技術的進步，市場上不斷出現創新性的產品，使得1998年IVDD指令已逐漸無法滿足管理需求，輔以各會員國對於指令的解釋和實施各有不同，致使歐盟內部在病患及公共健康的保護上有程度不一的落差，為歐盟單一市場的運作埋下隱憂。因此，歐盟執委會（European Commission）於2012年9月26日提出新的管制架構（Proposal for a Regulation of the European Parliament and of the Council on in vitro diagnostic devices），其主要變革包括： 1. 擴大IVDs的定義：將IVDs的範圍擴及用以獲取醫療狀況或疾病罹患傾向資訊（如基因檢測）的器材及醫療軟體（medical software）等。 2. 新的分類標準及評估程序：將診療器材重新分為A、B、C、D四類，A類為風險最低，D類為風險最高。A類維持原先1998年IVDD指令中的廠商自我管控機制，但當A類器材欲進行臨床測試（near-patient testing）、具備評量功能或用於殺菌者，須先由代檢機構就其設計、評量功能及殺菌過程進行驗證。B類器材因風險略高，故須通過代檢機構之品管系統審查；C類產品除品管系統審查外，需再提交產品樣本的技術文件；而D類由於風險最高，除前述品管系統審查外，需經過核准使能進入市場。至於A、B、C、D類產品進入市場後，代檢機構會定期進行上市後（the post-market phase）監控。 3. 導入認證人員（qualified person，簡稱GP）：診療器材製造商應於組織內導入GP人員，負責確保製造商組織內部的一切法令遵循事宜。 4. 落實提升透明度（transparency）之相關措施：為確保醫療器材的安全性和效能，要求：(1) 歐盟市場內之經濟經營商（economic operator）應能夠辨認IVDs的供應者及被供應者；(2) 製造商應將單一裝置辨識碼（Unique Device Identification）導入產品中，以利日後之追蹤；(3) 歐盟單一市場中的所有製造商及進口商，應將其企業及產品資訊於歐洲資料庫（European database）中進行註冊；(4) 製造商有義務向大眾公開高風險性裝置的安全性與效能等相關說明資訊。 歐盟執委會已提交新管制架構予歐洲議會，若順利通過將可望於2015年起正式實施，未來將對歐洲IVDs產業有何影響，值得持續觀察之。