英國法律委員會提出75項自駕車修法具體建議，突破框架建構新體系
英格蘭與威爾斯法律委員會(The Law Commission of England and Wales)與蘇格蘭法律委員會(The Scottish Law Commission)於2022年1月26日聯合提出¬「自駕車修法建議報告（Automated Vehicles: joint report）」，總結其自2018年來三次公眾意見諮詢之回應分析，提出75項法律修正建議，提交英格蘭及蘇格蘭議會決議是否採納並修法。
修法建議範圍涵蓋廣泛，重要突破性建議包含：
（1）整合英國原有之《2018自動與電動車法（Automated and Electric Vehicles Act 2018）》中自駕車之認定標準，訂定一套雙階段自動駕駛認證許可制度，於第一階段審驗「整車」之規格是否符合國際或國內車輛型式安全審驗標準，並於第二階段審驗¬¬¬「個別自駕功能」是否能符合國內交通法規。
（2）提出「主責使用者（User-In-Charge, UIC）」概念，若車輛設計為在某些情形下需要人工接手駕駛，則自動駕駛系統（Automated Driving System, ADS）啟動時，坐在車內駕駛座之自然人即為UIC。
（3）對於不需要UIC車輛（No User-In-Charge, NUIC）營運平台業者，以及合法自駕車業者（Authorized Self-Driving Entities, ASDE），提出資格條件要求，包含必須具備良好名聲、財務穩健，必須向主管機關提交安全案例（safety cases）等。
（4）因《2018自動與電動車法》中已有要求自駕車均須投保保險，因此當自駕車造成車禍及損傷，不需先經確認有無人為故意過失，即可先行以保險進行賠償。事後若保險公司認為自駕車設計製造者有責任，得再依商品責任規範轉向車廠求償。
（5）而為了幫助事故調查、釐清責任，自駕車相關資料之持有者（如ASDE）應將相關資料保存3年又3個月，以配合侵權行為之法律請求權時效。
本分報告綜合各方意見，以務實之態度提出具體修法建議，深具參考價值，值得我國深入研析。
本文為「經濟部產業技術司科技專案成果」
楊至善
專案經理 編譯整理
THE LAW COMMISSION OF ENGLAND AND WALES, THE SCOTTISH LAW COMMISSION, Automated Vehicles: Joint Report (2022), https://s3-eu-west-2.amazonaws.com/lawcom-prod-storage-11jsxou24uy7q/uploads/2022/01/Automated-vehicles-joint-report-cvr-03-02-22.pdf (last visited Mar. 7, 2022).
THE LAW COMMISSION OF ENGLAND AND WALES, THE SCOTTISH LAW COMMISSION, Summary of Automated Vehicles: Joint Report (2022), https://s3-eu-west-2.amazonaws.com/lawcom-prod-storage-11jsxou24uy7q/uploads/2022/01/AV-Summary-25-01-22-2.pdf (last visited Mar. 7, 2022).
柯亦儒，〈美國交通部提出自駕車全面性計畫，以促進自動駕駛系統規範環境之整合、透明性與現代化〉，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8638（最後瀏覽日：2022/03/7）
羅文妗，〈德國聯邦政府內閣通過自駕車草案〉，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8637（最後瀏覽日：2022/3/7）
張雅婷，〈加拿大運輸部發布自駕系統測試指引2.0，為建立全國一致的實驗準則〉，資訊工業策進會科技法律研究所，最後瀏覽日：2022/3/7）
科法觀點
2019年7月25日，紐約州州長Andrew Cuomo簽署「防止非法侵入與加強電子資料安全法案」（S.5575B/A.5635/Stop Hacks and Improve Electronic Data Security Act, 又稱SHIELD Act），目的在讓處理消費者個人資料的企業承擔更嚴格的責任。其核心精神在於，一旦發生與資料外洩相關的安全漏洞時，能及時進行適當的通知。同時，修改紐約州現有的資料外洩通知法，擴大個資蒐集適用範圍、個資定義 (例生物特徵、電郵資訊等)及資料洩漏定義、更新企業或組織之通知程序、建立合於企業規模之資料安全要求。此外，如違反通知義務，將處以最高5千美元或每次（未履行通知義務）20美元 （上限25萬美元）的民事賠償。且美國司法部長（The Attorney General） 亦得以紐約人民名義，代為起訴未實施資料安全規畫的企業，並按紐約民事執行法與規則（The Civil Practice Law And Rules）第63條進行初步救濟，依法強制禁止侵害行為繼續發生。該法預計將於2020年3月1日生效。 當天州長亦簽署「身份盜用預防措施和緩解服務修正案」（A.2374/S.3582），新增資料外洩安全保護措施，要求消費者信用機構，提供受安全漏洞影響的消費者「身份盜用預防措施」（Identity Theft Prevention ）與「緩解服務」（Mitigation Services），為消費者制定長期最低度的保護手段。其要求信用機構，通知消費者將有關社會安全號碼的資料洩漏事件進行信用凍結，並提供消費者無償凍結其信用的權利。該法預計將於2019年10月23日生效，並且溯及既往適用該法案生效之日前三年內所發生之任何違反消費者信用安全的行為。
法國CNIL認Google於Gmail中投放之偽裝廣告及個人化廣告因欠缺當事人有效同意而違法，開罰3.25億歐元法國國家資訊與自由委員會（Commission Nationale de l’Informatique et des Libertés, CNIL）於2025年9月1日針對一起由歐洲數位權利中心（noyb - The European Center for Digital Rights）提出的申訴做成決議，指Google未經Gmail使用者同意，將廣告偽裝為電子郵件進行「偽裝廣告」（Disguised Ads）投放，以及在對Gmail使用者投放個人化廣告前，未能於Gmail帳號申請流程中提供當事人提供較少cookies、選擇非個人化之通用廣告（generic ads）的選項，違反了《電子通訊法》（code des postes et des communications électroniques）與《資訊與自由法》（loi Informatique et Libertés）中關於歐盟《電子隱私指令》（ePrivacy Directive）之施行規定，對Google裁處了3.25億歐元的罰鍰，並要求改善。以下節錄摘要該裁決之重點： 一、 偽裝成電子郵件的偽裝廣告與電子郵件廣告均須獲當事人同意始得投放 歐盟《電子隱私指令》第13條1項及法國《電子通訊法》規定，電子郵件直接推銷（direct marketing）僅在其目標是已事先給予同意的使用者時被允許。CNIL，依循歐盟法院（CJEU）判例法（C-102/20）見解，認為若廣告訊息被展示在收件匣中，且形式類似真實電子郵件，與真實電子郵件相同位置，則應被認為是電子郵件直接推銷，須得到當事人之事前同意。因此，CNIL認定偽裝廣告即便技術上不是狹義的電子郵件，僅僅因其在通常專門用於私人電子郵件的空間中展示，就足以認為這些廣告是透過使用者電子郵件收件匣傳遞的廣告，屬於電子郵件廣告，而與出現在郵件列表旁邊且獨立分開的廣告横幅不同，後者非屬電子郵件廣告。 二、 Cookie Wall下當事人的有效同意：「廣告類型」的選擇、服務申請流程的隱私設計與資訊透明 CNIL參酌歐盟個人資料保護委員會（European Data Protection Board, EDPB）第2024/08號關於「同意與付費模式」意見，認為同意接受廣告在特定條件下得作為使用Gmail服務的條件。換言之，以「cookie wall」（註：拒絕cookie的蒐集即無法獲得服務之網站設計）取得之當事人「同意」，非當然不自由或無效。CNIL認為，在免費服務的框架下，cookie wall在維持提供服務與服務成本之間的經濟平衡上，要求服務申請者須接受投放廣告的cookie是合法的。惟CNIL認為，這不代表Google可以任意決定所蒐集的cookies和相應廣告模式的類型。 CNIL要求，當事人在cookie wall的框架內仍應享有選擇自由，才能取得蒐集為投放個人化廣告之cookies的當事人有效同意，亦即：在個人化廣告處理更多個資和對當事人造成更多風險的情況下，當事人應被給予機會選擇「等值的替代選項」，亦即通用廣告，並完全且清晰地了解其選擇的價值、範圍及後果。 然而，CNIL發現，Google將與廣告個性化相關的cookies拒絕機制設計得比接受機制更複雜，實際上阻礙了使用者拒絕隱私干預程度更高的cookies。這種拒絕途徑偏袒了允許個人化廣告的cookies的同意，從而影響了當事人的選擇自由。CNIL也發現，Google從未以明確方式告知使用者建立Gmail帳戶時面臨cookie wall，以及對此使用者享有甚麼選擇，而其提供的資訊更引導使用者選擇個人化廣告，導致選擇一般廣告的機會遭到犧牲。 三、 為何不是愛爾蘭資料保護委員會（Data Protection Commission, DPC）管轄？ GDPR設有「單一窗口機制」，依據該合作機制，對Google進行的GDPR調查，應由作為主任監管機關（Lead Supervisory Authority）的愛爾蘭DPC管轄。惟在本案，CNIL認為並不適用於單一窗口機制。因為與cookies使用及電子推銷相關的處理並非屬於GDPR範疇，而是適用電子隱私指令，CNIL對法國境內的cookies使用及電子推銷處理享有管轄權。此爭議反映出即便GDPR旨在確保標準化單一市場內的數位管制，但尚不足以弭平成員國間監管強度之差異。
論我國廣播電視與電信事業跨業經營相關規範 從「數位政府」到「數位社會」—日本訂定DS-100重塑官民數位法制框架日本數位廳（デジタル庁）於2026年6月12日訂定了《數位政府推動標準指引》（デジタル・ガバメント推進標準ガイドライン），並於同年7月15日更新了涵蓋DS-100、DS-110、DS-120等相關系列標準，總稱為《數位社會推動標準指引群》（デジタル社会推進標準ガイドライン群）（簡稱指引群），目的在於打破過去日本政府各部會「各自為政、系統本位」的舊架構，轉變為以「使用者為中心、整體最佳化」的數位政府，將原本適用於政府內部規則，拓展為支撐整個社會數位化的共通基礎，使指引群開始成為官民協作領域的實務標準，規範重點如下： 1.指引類型：DS-100於體系中扮演「綱領」的角色，並於旗下文件劃分為標準指引（Normative）與實踐指引（Informative），前者作為政府資訊系統維護及管理之共通規則，具備了必須遵守的要求；後者則可作為技術實踐之參考。DS-100原則上適用於日本境內所有的政府資訊系統，日本各府省（中央部會）在進行資訊系統的預算編列、採購、開發、AI導入、雲端服務要求、專案管理（如工程審查）與維運時，都將受到此指引的強制約束，倘若有公務機關不遵守，可能會面臨預算遭數位廳擋下或專案被要求重審的情況。 2.改革政府業務與服務：分為以服務為優先（Service First）與以使用者為中心（User-Centric）。前者規範政府部門於開發或導入系統前，須檢視並簡化行政流程，並非僅將舊有的紙本直接「電腦化」；後者則強調系統與服務須依據企業與民眾之使用經驗進行設計。 3.標準化政府資訊系統的全生命週期管理：指引群涵蓋了企劃與構想、採購與發包、設計與開發、營運與維運、廢止與轉移等從無到有的五個階段之標準作業程序。 4.明確劃分管理角色：可分為PMO（Portfolio Management Office）與PJMO（Project Management Office），前者為公部門層級或跨部會所屬的專案管理組織，負責專案統籌指導與品質控管；後者則為計畫推動與資訊系統管理的執行團隊。此外，為解決政府專案管理能力不足的問題，指引建議透過活用專業人才、辦理內部人員技能認證，同時也鼓勵引進民間數位人才。 5.強化雲端與資安防護：包含雲端服務中斷風險評估、供應鏈風險管理、生成式 AI 的適切利用等各項具體要求。 日本透過建立明文化的AI、資通安全及雲端服務採購要求，使採購法制與資安治理產生連動，同時活用數位技術，實現行政服務便利性提升、行政營運效率性與透明性提升，並以官民協作為軸心改善行政服務，實現數位社會之方向，皆可作為我國未來持續推進政府數位轉型、完善資訊服務採購相關配套機制與優化政府數位服務之借鏡。