法國資料保護機關要求Clearview AI刪除非法蒐集的個人資料
法國國家資訊自由委員會（Commission nationale de l’informatique et des libertés, CNIL）自2020年5月起陸續收到民眾對臉部辨識軟體公司Clearview AI的投訴，並展開調查。嗣後，CNIL於2021年12月16公布調查結果，認為Clearview AI公司蒐集及使用生物特徵識別資料（biometric data）的行為，違反《一般資料保護規範》（General Data Protection Regulation，GDPR）的規定，分別為：
- 非法處理個人資料：個人資料的處理必須符合GDPR第6條所列舉之任一法律依據，始得合法。Clearview AI公司從社群網路蒐集大量全球公民的照片與影音資料，並用於臉部辨識軟體的開發，其過程皆未取得當事人之同意，故缺乏個人資料處理的合法性依據。
- 欠缺保障個資主體的權利：Clearview AI公司未考慮到GDPR第12條、第15條及第17條個資主體權利之行使，特別是資料查閱權，並且忽視當事人的個資刪除請求。
因此，CNIL要求Clearview AI公司必須於兩個月內改善上述違法狀態，包括：（1）在沒有法律依據的情況下，停止蒐集及使用法國人民的個資；（2）促進個資主體行使其權利，並落實個資刪除之請求。若Clearview AI公司未能於此期限內向CNIL提交法令遵循之證明，則CNIL可依據GDPR進行裁罰，可處以最高 2000萬歐元的罰鍰，或公司全球年收入的4%。
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 【下午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）
吳采薇
法律研究員 編譯整理
Reconnaissance faciale : la CNIL met en demeure CLEARVIEW AI de cesser la réutilisation de photographies accessibles sur internet, Commission Nationale de l'Informatique et des Libertés, Dec. 16, 2021, https://www.cnil.fr/fr/reconnaissance-faciale-la-cnil-met-en-demeure-clearview-ai-de-cesser-la-reutilisation-de (last visited Dec. 24, 2021).
Facial recognition: Clearview AI breaks EU data privacy rules, says French watchdog, EURONEWS, https://www.euronews.com/2021/12/16/facial-recognition-clearview-ai-breaks-eu-data-privacy-rules-says-french-watchdog ((last visited Dec. 24, 2021).
2006年芬蘭研究創新委員會在其創新政策倡議中指出，為結合產學研就重大發展領域進行長期合作，加速該國公私合作投入創新過程 Public-Private Partnerships (PPP)，故以非營利性有限公司型態成立科學技術創新策略中心（Strategic Centres for Science, Technology and Innovation, SHOKs）。 SHOKs的計畫經費主要由芬蘭技術處（Tekes）提供補助，惟政府補助比例上限：最高上限75%，必要時Tekes可減少補助以符合上述比例。2008年到2014年用於補助研究計畫金額總和為5.45億歐元。 SHOKs科研計畫成果智財權歸屬及運用規定概述如下： 一、既有智慧財產權歸屬及運用： 1.參與者共同執行研究計畫不影響其既有智慧財產權之歸屬。 2.參與者之既有智慧財產權，若屬其他共同參與者執行計畫有必要者，應依無償或FRAND原則對其他共同執行研究計畫之參與者進行授權。 3.與執行計畫目的無關之既有智慧財產權使用，應另行協商授權事宜。 二、計畫成果智慧財產權歸屬： 1.歸屬於產出成果之一方，但如成果是多方參與者共同產出，原則上共有，但可另約定僅歸屬一方。 2.非SHOKs股東對研發成果產出有重大貢獻者，該研發成果亦可歸屬於該非SHOKs股東。 三、計畫成果智慧財產權之運用： 1.參與者為研究機構者，應向欲運用其研發成果之企業參與者進行移轉或授權時，收取相當於市場價格的補償金。 2.研究計畫參與者得無償取得相同及全球範圍之成果使用權，但除研究機構外不得再授權。
受傷的機車騎士就機器自動駕駛的車輛控訴過失駕駛美國通用汽車公司（General Motors，下稱通用汽車）於2018年01月間向美國運輸部（United States Department of Transportation）遞出請求展示雪弗蘭（Chevrolet）第4代自動駕駛車（此款車種無裝備方向盤與踏板，號稱世界上第一輛可以自我安全駕駛，且無需人類介入駕駛的車輛）的申請，不久後關於以下車禍事件的訴訟即遭提起。 根據Oscar Willhelm Nilsson（即原告，下稱Nilsson）於2018年01月22日向美國舊金山區地方法院針對前開車禍事件提起訴訟的主張，於2017年12月07日早上，其在加州舊金山Oak Street的中央車道上騎乘機車往東行駛，Manuel DeJesus Salazar（即被告，下稱Salazar）於同時地駕駛由通用汽車製造之Chevrolet Bolt vehicle（下稱自駕車），並開啟自動駕駛模式且雙手放開方向盤。Nilsson原騎乘於自駕車後方，不久，自駕車自Nilsson正前方變換車道至左側，Nilsson則繼續筆直前行，但自駕車又隨即往回駛入Nilsson直行騎乘的車道，因此撞擊Nilsson摔倒在地。據此，Nilsson主張通用汽車公司欠缺對於自駕車的自我操作應符合交通法規及規定所賦之注意義務，換言之，自駕車前揭操作車輛駕駛的行為（未注意其他正在行駛的駕駛人而轉換至比鄰車道）具有過失，造成Nilsson受到嚴重的生理及心理損害，且無法工作，產生高額的醫療、護理費用，故請求法院判決原告即Nilsson之主張不少於7萬5千美元之損害賠償、懲罰性損害賠償、律師委任費用以及其他適當且公正之侵權損害賠償等有理由。 然而，根據先前加州車輛管理局所提之文件，通用汽車對Nilsson所描述之車禍經過提出了以下爭執，通用汽車表示自駕車側面有一條長磨損痕跡，應是當時右邊的車道正要匯入中央車道，而自駕車正在自我校正回車道中央，Nilsson卻騎乘機車從兩個車道中間切出來，導致與自駕車發生擦撞。此外，案發當時自駕車的時速為了順應車流而保持在每小時12英里（每小時19公里）行進，而摩托車卻是以大概每小時17英里（每小時27公里）行進，故自駕車應無不當駕駛之情形，反應由機車騎士Nilsson負擔肇事責任，因其未在確認安全之情況下，即從自駕車右側超車，以上通用汽車反駁Nilsson主張的結論，更與舊金山警察局的報告結果不謀而合，即舊金山警察局認為Nilsson在確定安全以前，就嘗試要超越自駕車。 此外，在前開訴訟提起前的2018年01月14日至01月20日的當週，加州車輛管理局表列出自2014年至2018年間的54起自動駕駛車意外報告，大部分的狀況係由駕駛人（而非自動駕駛車本身）對事故負責（雖開啟自動駕駛模式，但駕駛人仍在特定條件下需要自行駕駛）。 即便前開各個報告看似不利Nilsson，但Nilsson的律師Sergei Lemberg卻表示警方的報告應是有利Nilsson，因自駕車早在車禍發生前就已經發覺Nilsson，但卻沒有預留足夠的時間剎車與閃避，因此通用汽車公司所稱之主張並不足採信，更可見自駕車的行為是危險且難以被預測的。 就此，一位南加大研究自駕車法律問題的法律系教授Bryant Walker Smith表示，未來發生事故的時候，駕駛人在大多數的狀況下比較不會被苛責，但自動駕駛系統會被檢討應該可以做得更完善。 （註：本件訴訟仍在繫屬中，尚未判決。）
美國聯邦貿易委員會（FTC）有權監督管理企業資料處理方式2015年8月24日，美國第三巡迴法院做出判決，宣告美國聯邦貿易委員會（the Federal Trade Commission, FTC）本於聯邦貿易委員會法第5章（Section 5 of the Federal Trade Commission Act）之規定，對於侵害個人資料隱私及未盡資料保護安全責任的相關案件有管轄權。未來若經FTC認定有違反資料安全規定的事實，該委員會針對企業違法事實的判定將產生法律效力。 案件起因於2008年及2009年間，飯店集團Wyndham Worldwide Corporation共遭到3次駭客入侵，導致大約60萬筆的客戶資料外洩。FTC介入調查並指控Wyndham Hotels內部缺乏資訊安全管理控制措施才會造成資料被駭客入侵，使客戶權益受損。Wyndham Hotels不服並上訴，表示FTC只有提供企業資料安全保護措施的建議權，無權決定企業是否違反相關法令。Wyndham Hotels還主張FTC並沒有告知該公司何謂正當利用個人資料的判斷標準。 第三巡迴法院駁回Wyndham Hotels提出的2點主張。在此判決中，第三巡迴法院確立了FTC除了有一般建議權外，也有權對於企業利用個人資料的方式、以及企業是否有盡到資料安全保護責任進行監督與管理。另外，第三巡迴法院也表示Wyndham Hotels無權要求FTC提供逐條釋義。換句話說，FTC僅需負一般性的告知義務。 此判決大幅擴張FTC監督管理企業資料安全保護措施的權力，對於廣大個人資料本人而言，可說是一大保障。
美國提出「個人資料隱私暨安全法案草案」，規範聯網環境商業應用及隱私權利面對層出不窮資料違背或身份竊盜事件，2014年初， FTC於美國國會的例行會議上，就數位時代關於隱私權之保護課題進行作證，會議中，FTC乃呼籲美國國會應立即通過制定一個更強的聯邦資料安全與違背提醒的法律，其也進而提出「個人資料隱私暨安全法案（草案）」 (Personal Data Privacy and Security Act of 2014, S.1897)。該草案主要分成兩大部分: 第一部份，將強化身份竊盜和其他違反資料隱私與安全之懲罰；第二部份，係關於可茲辨識個人資料(PII)之隱私和資訊安全。 法案第202條係關於「個人資料隱私與安全機制」（personal data privacy and security program），目的在強化敏感性可茲辨識個人資料的保護，從行政(administrative)、技術(technical)和實體(physical)三個構面的防衛機制，進行相關標準之制訂與落實。有關適用之範疇，乃就涉及州際貿易之商業實體，而該州際貿易包含蒐集、近取、傳輸、使用、儲存或在電子或數位格式處理可茲辨識個人之敏感性資料，而這些資料總計多達1萬筆以上，然而，將不適用於金融機構(financial institutions)、醫療保險轉移和責任法(HIPPA)所管制者、服務提供者(service provider)和公共紀錄(public records)。 而在機制設計上，也係從「設計」(DESIGN)、「風險驗證」 (RISK ASSESSEMENT)和「風險管理」(RISK MANAGEMENT)三個角度進行切入，也必須確實提供員工教育訓練(TRAINING)、弱點測試(VULNERABILITY TESTING)、定期驗證和個人資料隱私與安全之更新，另外，在與外部與服務提供者(例如ISP)之關係上，公司必須盡到適當勤勉的義務(due diligence)，也必須透過契約(contract)方式，約定前述所建置起之資料隱私安全機制，並在安全性遭受到侵害時，以合理方式通知締約他方。 本案目前在聯邦參議院已經二讀通過，已交付參議院司法委員會進行下一階段的審議，該立法草案未來是否會直接或間接影響物聯網環境生態系統之商業運作，有待未來持續關注之。