歐盟正式通過資料治理法（DGA），歐盟資料共享發展跨出一大步
歐盟理事會（Council of the European Union）於2022年5月16日正式通過了資料治理法（Data Governance Act, 簡稱DGA），本法是歐盟執委會（European Commission）於2020年11月提案，經過一年多的意見徵詢與協商，歐盟議會（European Parliament）於今（2022）年4月6日以501票贊成通過，隨後由歐盟理事會通過公布，本法預計將於2023年8月正式生效。
DGA包含幾大面向，除了針對資料中介服務（data intermediation）、資料利他主義（data altruism）、歐盟資料創新委員會（European Data Innovation Board）等機制建立的規定外，在第二章特別針對公部門所持有之特定類別資料的再利用（reuse）進行規定。當公部門持有的資料涉及第三方受特定法律保護的權利時（如涉及第三方之商業機密、智慧財產、個資等），本法規定公部門只要符合特定條件下可將此類資料提供外界申請利用；若為提供符合歐盟整體利益的服務且具有正當理由和必要性的例外情況下，得授予申請對象專有權（exclusive rights），但授權期間不得超過12個月；歐盟應以相關技術確保所提供資料之隱私和機密性。
再者，各會員國應指定現有機構或創建一個新機構擔任提供上述資料類型的單一資訊點（Single Information Point, SIP），以電子方式公開透明地提供資料清單，包含可申請利用之資料的來源及相關描述（至少包含資料格式、檔案大小、再利用的條件等），以提供中小企業、新創企業便利、可信的資料查詢管道。此外，歐盟執委會應建立一個單一近用點（Single Access Point, SAP），提供一個可搜尋公部門資料的電子登記機制（a searchable electronic register of public-sector data），讓使用者得直接搜尋各會員國單一資訊點（SIP）中所提供的資料及相關資訊。
DGA是歐盟2020年2月發布歐盟資料戰略（European Data Strategy）後的第一個立法，歐盟希望透過本法建立一套能提升資料可利用性和促進公私部門間資料共享的機制，以創造歐盟數位經濟的更高價值。
「本文同步刊登於TIPS網站（https://www.tips.org.tw）」
謝明均
副法律研究員 編譯整理
Council approves Data Governance Act, EU Council, Mar. 16, 2022, https://www.consilium.europa.eu/en/press/press-releases/2022/05/16/le-conseil-approuve-l-acte-sur-la-gouvernance-des-donnees/ (last visited May 22, 2022)
Data governance: Parliament approves new rules boosting intra-EU data sharing, European Parliament, Apr. 7, 2022, https://www.europarl.europa.eu/news/en/press-room/20220401IPR26534/data-governance-parliament-approves-new-rules-boosting-intra-eu-data-sharing (last visited May 22, 2022)
歐盟發布《歐洲資料治理規則》草案，資訊工業策進會科技法律研究所， https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8585&no=64（最後瀏覽日：2022/05/22）
孫鈺婷，〈資料中介者於資料共享應用之實踐──以歐洲資料治理規則草案為例〉，《科技法律透析》，第33卷第10期，頁10-17 (2021)。
對於目前科技技術日新月異的ICT資訊通信產業而言，標準是搶奪全球市場的利器。當私有專利技術成為國際標準時，國際市場的競爭企業不得不向技術成為國際標準的標準必要專利權人取得授權。為避免前述情形形成技術壟斷，標準必要專利權人藉此哄抬權利金價格，目前國際標準制定組織多訂有組織的智財政策，要求標準提案者必須揭露專利持有情形，並且若提案成為標準必要專利權者須以其規定的合理條件提供授權。電子工程師標準協會 (Institute of Electrical and Electronics Engineers Standard Association， IEEE SA)為著名的標準制定組織之一。 電子工程師標準協會在去年3月開始，便實施了新的專利政策，強調其會員們必須在標準提案通過之後，授權該標準必要專利(Standard Essential Patent, SEP)時，須遵守公平、合理，且非歧視的授權規則(Fair, Reasonable and Non-discriminatory, FRAND)。此項政策受到Cisco以及Intel等公司支持聯名支持， Cisco表示FRAND的條件要求將使SEP擁有者難以收取不合理的權利金。 而在IEEE如此強調FRAND授權方式時，我國相關企業及公司應注意FRAND條件的國際發展趨勢，不僅要了解自身義務，也該知曉自身權益，在有爭議時抑或仿效國際企業做法，向法院提起訴訟，或向我國公平會提出檢舉。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
歐盟個資保護委員會對英國個資傳輸適足性認定之意見英國自2020年1月31日正式脫離歐盟後，即成為歐盟跨境傳輸的「第三國」。能否持續和歐盟國家進行個資傳輸，就須視歐盟對英國跨境資料保護方式和《一般資料保護規範》（General Data Protection Regulation，GDPR）有無認定雙方具有本質上相同的保護程度，又稱為「適足性」（adequacy）的認定。目前，歐盟給予英國跨境傳輸過渡期到2021年7月，在此之後若希望持續不受限制的交流，就須經歐盟執委會（European Commission, EC）通過適足性認定後才得以進行。 2021年2月19日，歐盟執委會提出草案，認為英國的個資保護標準與歐盟的「GDPR」、「執法機關資料保護指令」（Law Enforcement Directive，LED）有適足性之適用。又在4月14日，歐盟個資保護委員會（European Data Protection Board, EDPB）針對歐盟執委會於2月19日所做的認定草案提出兩項意見： 一、肯認英國現行國內資料保護的核心架構中有關個資保護、處理及控制者的要件及處理方式和GDPR的保護程度並駕其驅。另，肯定英國「2018年資料保護法」（Data Protection Act 2018）中有關GDPR及LED的適用及對「英國資訊委員辦公室」（Information Commissioner’s Office, ICO）所賦予的權利及義務。 但同時，EDPB也向歐盟執委會提出以下幾點注意事項： 英國政府若發展獨立的個資保護政策，將可能與歐盟的保護架構分歧，造成個資保護程度降低。 「2018年資料保護法」中的「移民豁免」政策，讓資料控制者在處理移民相關資料時有廣泛的例外，得免於遵循GDPR之義務。 從英國將歐盟成員的資料傳給「第三國」時，該「第三國」本身需要具有基本上等同於GDPR的資料保護程度，才得允許傳輸。 針對英國政府出於國家安全目的，將個人資料傳輸到英國境內，而有義務免除或特殊情狀時，歐盟執委會應進一步了解或審核。 二、 認為英國法律框架中的核心要件實質上與LED的基礎原則具有高度一致性。因此建議歐盟執委會引入四年的日落條款（four-year sunset clause）方式，並密切觀察英國資料保護的發展，在必要時得以要求修改或終止LED適足性的決定。 針對以上問題，歐盟執委會希望能在6月底前廣納各國意見並做出決定。屆時，若通過適足性認定，其效期將延續4年，之後再進行適足性評估。並可能在英國開始制定相關的適足性及資料保護架構時，歐盟執委會得將其納入定期審查的項目中，以確保歐盟的個資跨境傳輸進入英國後，仍受適當的保護。
澳洲擴大對中小企業之政府採購競爭機會聯邦採購規則（Commonwealth Procurement Rules）為澳洲財政部（Australia Government Department Of Finance）依公共治理、績效及課責法（Public Governance, Performance and Accountability Act 2013）授權所訂定之採購規範。澳洲財政部於2024年發布新修正之聯邦採購規則，並於同年7月1日生效。 新修正之聯邦採購規則除維持現行架構及核心精神外，另增訂聯邦供應商行為準則、擴大經濟效益評估、促進性別平等等措施，同時也擴大對中小企業之支援與協助。 為確保中小企業參與政府標案之公平競爭，新修正之聯邦採購規則要求澳洲政府在評估採購案時應適當提供中小企業競爭機會，並以符合最佳性價比之原則考量下列事項： 一、 向具有競爭力之中小企業進行採購之效益； 二、 中小企業參與競標之障礙，如投標之資金成本； 三、 中小企業之能力及對地區市場之貢獻； 四、 增加潛在供應商數量以最大化競爭所產生之效益，包含在合適之情況下，將大型專案拆分為數項小型專案。 此外，新修正之聯邦採購規則要求聯邦機構提高對中小企業採購之比例。依新修正之聯邦採購規則第5部分，超過澳幣10億元之採購契約，採購總金額中至少25%應係向中小企業採購，較修正前提高5%；超過澳幣2,000萬元之採購契約，採購總金額中則至少應有40%係向中小企業採購，較修正前提高5%。 本次修正是考量中小企業對於澳洲經濟有所貢獻，因此提高中小企業之採購比例，預計修正後亦可讓更多中小企業獲得採購機會。
歐盟執委會提出資料治理與資料政策歐盟執委會提出資料治理與資料政策 資訊工業策進會科技法律研究所 2020年10月12日 歐盟執委會(European Commission，以下簡稱執委會)於2020年7月提出「資料治理與資料政策」(Data Governance and Data Policies at the European Commission)[1]，旨在說明歐盟執委會將如何透過資料治理及相關政策，轉型為資料驅動型組織(data-driven organization)，並提供一致的方向或原則，促進執委會下各政務總署(Directorate-General)及事務部門(Service Department)(以下簡稱相關部門機構)之資料共享。 壹、背景目的 「促成歐洲適應數位時代，並使執委會成為完全數位化、具敏捷性、靈活性與透明性的歐盟組織」是執委會現任主席Ursula von der Leyen所提出的2019年至2024年政策願景之一[2]。隨著數位化發展，透明(transparent)、循證式(evidence-based)的決策需運用人工智慧資料分析技術，「資料」是直接影響人工智慧運用於政策決定的關鍵要素。欲提升人工智慧運用結果被信賴的程度，首先必須有可查找(findable)、可近用(accessible)、可互通(interoperable)、安全(secure)且高品質(high-quality)的資料。歐盟機構內部資料、資訊與知識的共享與治理，有助於此願景之達成。 因此，執委會提出「資料治理與資料政策」，建立執委會統一的資料治理架構與政策原則，幫助執委會轄下相關部門機構共同遵循資料管理(data management)、資料近用、資料保護、智慧財產權、資訊安全等相關法律與監理要求。同時，執委會亦期能藉此優化資料建立(creation)、蒐集(collection)、取得(acquisition)、存取(access)、利用(use)、處理(processing)、共享(sharing)、保存(preservation)與刪除(deletion)等資料生命週期必經流程，改善資料品質，提升資料管理及共享之效率。 貳、內容摘要 「資料治理與資料政策」的適用範圍為執委會及其相關部門機構所擁有、利用或再利用的資料集，包括政策決定所使用的資料、行政資料與個人資料。在「資料治理與資料政策」的執行上，則導入「遵守或解釋」(comply-or-explain)原則，除非法律明示規定為選擇性適用，否則執委會轄下相關部門機構皆需遵守；倘未遵守，則需就無法遵守的原因提出解釋。以下分別就「資料治理」與「資料政策」兩大部分重點說明。 一、資料治理 主要目的在建構執委會統一的資料治理架構，釐清相關角色的責任與相互依賴關係。依角色與任務的不同，執委會將資料治理分為三層級，並由秘書總署集體治理團隊(Secretariat-General corporate governance team)支援三層級的執行工作。 （一）策略層級(strategic level) 由資訊管理指導委員會(Information Management Steering Board, IMSB)，處理資料治理與資料政策相關議題，界定長期推動願景、提供政策方向、監督推動與執行之進程，並作出策略決定。 （二）管理階層(managerial level) 由資料議題相關的組織、委員會、團體所組成之資料協調小組(data coordination groups)、各地區資料聯絡窗口(local data correspondent)、執委會各相關部門機構下的資料治理委員會(data governance board)，以及策略層級就各資料集所指定之資料擁有者(data owner)，依策略層級所提出之願景與政策方向，在各處建立並執行資料政策、監督執行進度，並向策略層級報告執行進度及任何超出其決策權限之問題。 （三）運作階層(operational level) 由資料擁有者選出或指派資料管理員(data steward)，並與資料利用者(data user)實際執行資料政策，必要時將相關議題提到管理層級解決。 二、資料政策 就資料管理(data management)、資料互通性與標準(data interoperability and standards)、資料品質(data quality)、資料保護與資訊安全(data protection and information security)等核心面向，建立上位原則。 其中關於「資料管理」部分，又依資料生命週期細分。例如在「資料集建立、蒐集或取得」方面採取一次性原則，故執委會轄下相關部門機構在建立、蒐集或取得資料之前，需探詢必要資料或資訊是否已存在，避免重複取得。主要需求資料集的部門機構，應協助讓其他執委會相關部門機構或歐盟機構也獲得使用該資料集之權利。又例如「資料集存取、使用與共享」方面，除非歐盟相關的執委會決定、指令或規則另有規定[3]，否則以「需要共享」(need to share)或「預設共享」(share by default)為原則，並使用一致化的資料管理與視覺化工具或資料平台。 針對「資料互通性與標準」與「資料品質」兩部分，著重在執委會內部的共通一致性，包括資料格式、資料相關詞彙、資料品質的定義與量測等。而在「資料保護與資訊安全」方面，則強調「歐盟機關個人資料保護規則」[4]相關義務，以及歐盟資料保護監督機關(European Data Protection Supervisor, EDPS)所提相關指引之遵循。 參、簡析 觀察歐盟執委會的「資料治理與資料政策」，可知其資料治理架構與相關政策，是以形成一個資料共享再利用生態系為藍圖。除了強調資料一次性建立及資料預設共享等原則，更從組織管理角度，界定不同單位或角色的任務與責任，並凸顯資料治理管理組織的建構，對資料政策執行之重要性。 我國政府長期致力於數位國家之發展，在政府資料開放政策推動上已有不少成果，例如建立政府資料開放平台、訂定各級機關資料開放作業原則、統一資料開放格式等。為持續厚植數位國家的資料應用能量，建議未來可進一步完善政府資料治理構面，兼納「政府對民眾之資料開放」及「公務機關間之資料共享」等面向，借鏡歐盟執委會之作法，確立資料共享再利用之管理架構及原則，提升政府資料應用的效率與效能。 [1] EUROPEAN COMMISSION, Data Governance and Data Policies at the European Commission (2020), https://ec.europa.eu/info/sites/info/files/summary-data-governance-data-policies_en.pdf (last visited Oct. 5, 2020). [2] See Ursula von der Leyen, My Agenda for Europe: Political Guidelines for the Next European Commission 2019-2024 (2019), https://ec.europa.eu/commission/sites/beta-political/files/political-guidelines-next-commission_en.pdf (last visited Oct. 8, 2020). [3] 例如歐盟執委會決定Commission Decision 2011/833/EU、歐盟規則Regulation (EC) No 1049/2001及歐盟指令Directive (EU) 2019/1024等，有關近用歐盟資料之例外規定。 [4] Regulation on the Protection of Natural Persons with regard to the Processing of Personal Data by the Union Institutions, Bodies, Offices and Agencies and On the Free Movement of Such Data, and Repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC, Council Regulation 2018/1725, 2018 O.J. (L295) 39.