瑞士聯邦委員會發布報告推進以數位自決權創建可信賴資料空間

  瑞士聯邦委員會於2022年3月30日,發布了一份關於推進可信的「資料空間」(Data Spaces)與「數位自決權」(Digital Self-Determination)報告。此份報告旨在強調資料是數位時代下創造價值的基礎,為了更好地運用資料的潛在價值,呼籲各界採用新的資料使用概念,加強資料所有者(Data Owner)或資料控管者(Data Controller)對於資料的控制,以「數位自決權」為核心,透過科學技術與法律制度,進一步為實踐「資料共享」(Data Sharing)提供一個安全、便捷、自主、開放、公平而值得信賴的「資料空間」。

  值得注意的是,透過該報告,聯邦委員會指示聯邦外交部(FDFA)與聯邦環境、運輸、能源和通訊部(DETEC)實施多項措施,以期能在2023年6月份之前,制定一部由所有利害關係人參與的可信賴資料空間操作之自願行為準則。

  此外,該報告列舉出當下對於充分發揮資料潛力所存在的障礙,包括:

  1. 資料愈趨集中於大企業手中,且多基於自身目的而使用。
  2. 私人和公共服務的提供者在資料的使用上存在多種障礙,例如:資源不足、缺乏專業知識以及擔心競爭劣勢。
  3. 社會對於資料的使用態度轉趨保守,無論是擔心資料被濫用而侵犯隱私,或是缺乏資料共享的動機。

  該報告更進一步指出資料流通的跨國性,因而有必要創建值得信賴且國際兼容的資料空間,為此亦須建立可信賴資料空間的國際準則,以在國際間形成法律確定性。

  觀諸我國個人資料保護法第1條便明確指出,本法制定的目的不僅是為了保護個人資料以及相應之人格權與隱私權,而是更進一步欲透過個人資料管理制度的建構與落實,健全社會及商業互信,以期達成資料的合理利用、創造價值並促進公共福祉的終極目標。

  關於我國的資料共享體制,現階段主要從金融機構間開始萌芽,未來如何以數位自決權為基礎,同時在充分保障資訊安全的前提下,擴及其他產業並接軌國際,有賴更多科技與法制的創造與積累、外國經驗的借鑑以及國際參與,而台灣近日以創始會員身分加入「全球跨境隱私規則論壇」(Global Cross-Border Privacy Rules Forum)即為著例。

相關連結
相關附件
你可能會想參加
※ 瑞士聯邦委員會發布報告推進以數位自決權創建可信賴資料空間, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=8850&tp=1 (最後瀏覽日:2026/07/03)
引註此篇文章
你可能還會想看
巴西推動開源碼軟體取代微軟視窗

  目前,巴西正在展開一場外交攻勢,鼓勵人們使用 " 開放源碼 " 的軟體。替代視窗的 " 開放源碼 " 價格低廉,在有些情況下甚至免費。巴西希望通過推動這些軟件的使用消除分隔發達國家和發展中國家的所謂 " 數碼鴻溝 " 。   改用 ' 開放源碼 ' 軟件的首要原因是出於經濟考慮。目前巴西政府為每一個使用微軟視窗的工作站支付五百美元。相反,大多數 ' 開放源碼 ' 軟件是免費的。盧拉總統正在考慮下達政令,要求所有政府部門都使用 " 開放源碼 " 軟件。這是亞洲許多國家以及德國的公司和政府已經採取的步驟。但不同的是,盧拉總統把這看成是一個發展問題。   聯合國定於十一月份舉行信息技術高峰會議的時候,巴西正在把這場針對微軟的行動國際化。巴西外交官試圖說服高峰會議發表最後宣言,強調 " 開放源碼 " 軟體的重要性,特別是對發展中國家的重要性。

中國大陸之國家互聯網信息辦公室發布《國家網絡安全事件報告管理辦法》

中國大陸之國家互聯網信息辦公室於2025年9月11日發布《國家網絡安全事件報告管理辦法(下稱網安事件管理辦法)》,並將於2025年11月1日施行。網安事件管理辦法規定中國大陸之境內建設、營運網路或透過網路提供服務的網路營運者,於發生網路安全事件時的報告程序。 網安事件管理辦法值得注意或供我國參考有二者:一、與委外廠商之契約以其協力報告義務:該辦法第5條要求網路營運者應當以契約等形式,要求網路安全、系統維運服務提供商(含個人)向網路營運者報告監測發現,並協助網路營運者依辦法報告網路安全事件。簡言之,其透過法律監管網路營運商與委外廠商之間的契約或類似契約,以及報告之協力義務。二、個人資料與網路安全的關聯性:網安事件管理辦法透過《網絡安全事件分級指南》將網路安全事件分為1.特別重大網路安全事件、2.重大網路安全事件、3.較大網路安全事件、4.一般網路安全事件,四種分級。除關鍵基礎設施的中斷運行以外,前三個事件分級將100萬人、1000萬人、1億人以上公民個人資料丢失或被竊取、篡改、假冒,認定為較大網路安全事件以上等級,使大型網路安全事件與個人資料進行連接。換言之,網路安全事件不再僅是資安面的影響,公民個人資料完整性等法律概念逐漸進入資安領域,法律專業的投入將可能是網路安全發展中需審酌的範疇。

中國衛生部發布「抗菌藥物臨床應用管理辦法」

  長久以來,中國民眾對於抗菌藥物(如抗生素等)存有高度的依賴性,造就了國內規模龐大的抗菌藥物市場,依據中國衛生部統計,中國民眾對抗菌藥物的人均消費額幾乎是美國民眾的10倍。對此,世界衛生組織早於2011年4月7日便正式提出警告與呼籲,若中國未能控制抗菌藥物濫用的情況,很快將面臨「無藥可用」的窘境,並演變為全球人類的災難。   為扭轉前述抗菌藥物濫用狀況,中國衛生部於2012年4月24日正式發布了「抗菌藥物臨床應用管理辦法」(以下稱管理辦法),分別對於抗菌藥物的使用及醫療院所之管理制度作了如下的完整規範: 1. 對抗菌藥物採分級管理制,分為「非限制使用級」、「限制使用級」及「特殊使用級」三類,並要求醫療院所依此分類,擬定「抗菌藥物供應目錄」,凡具有同一通用名稱者,其注射型和口服型各不得超過兩種、具有相似或相同藥理學特徵的藥物亦不得重複列入。 2. 依上述分級對抗菌藥物作臨床使用管理:「限制使用級」者,只有當發生嚴重感染、免疫功能下降合併感染,或病菌只對限制級藥物有反應時,才允許使用;「特殊使用級」者,非經醫療院所內設置的「抗菌藥物管理工作機構」同意,不得使用;惟若係為搶救生命垂危的病患或其他緊急情況下,可以越級使用,但須於24小時內補行程序。 3. 各院所必須設置「抗菌藥物管理工作機構」或專責人員,負責制定抗菌藥物管理制度、擬定「抗菌藥物供應目錄」,並建立細菌抗藥預警制度。   管理辦法將於2012年8月起正式施行,一般預料將有助於改善中國抗菌藥物濫用的現象,然用藥限制也必定衝擊現今許多對抗菌藥物產品銷售已存有高度依賴性的企業;相反地,由於管理辦法中明文將「具有抗菌作用的中醫製劑」排除於管制範圍外,或許將促成抗菌中醫藥品的發展契機,而值得持續觀察之。

我國去識別化實務發展-「個人資料去識別化過程驗證要求及控制措施」

我國關於個人資料去識別化實務發展 財團法人資訊工業策進會科技法律研究所 2019年6月4日 壹、我國關於個人資料去識別化實務發展歷程   我國關於個資去識別化實務發展,依據我國個資法第1條立法目的在個資之隱私保護與加值利用之間尋求平衡,實務上爭議在於達到合理利用目的之個資處理,參酌法務部103年11月17日法律字第10303513040號函說明「個人資料,運用各種技術予以去識別化,而依其呈現方式已無從直接或間接識別該特定個人者,即非屬個人資料,自非個資法之適用範圍」,在保護個人隱私之前提下,資料於必要時應進行去識別化操作,確保特定個人無論直接或間接皆無從被識別;還得參酌關於衛生福利部健保署資料庫案,健保署將其所保有之個人就醫健保資料,加密後提供予國衛院建立健保研究資料庫,引發當事人重大利益爭議,終審判決(最高行政法院106年判字第54號判決)被告(即今衛福部)勝訴,法院認為去識別化係以「完全切斷資料內容與特定主體間之連結線索」程度為判準,該案之資料收受者(本案中即為衛福部)掌握還原資料與主體間連結之能力,與健保署去識別化標準不符。但法院同時強調去識別化之功能與作用,在於確保社會大眾無法從資料內容輕易推知該資料所屬主體,並有提到關於再識別之風險評估,然而應採行何種標準,並未於法院判決明確說明。   我國政府為因應巨量資料應用潮流,推動個資合理利用,行政院以推動開放資料為目標,104年7月重大政策推動會議決議,請經濟部標檢局研析相關規範(如CNS 29191),邀請相關政府機關及驗證機構開會討論,確定「個人資料去識別化」驗證標準規範,並由財政部財政資訊中心率先進行去識別化驗證;並以我國與國際標準(ISO)調和之國家標準CNS 29100及CNS 29191,同時採用作為個資去識別化驗證標準。財政部財政資訊中心於104年11月完成導航案例,第二波示範案例則由內政部及衛生福利部(105年12月通過)接續辦理。   經濟部標準檢驗局目前不僅將ISO/IEC 29100:2011「資訊技術-安全技術-隱私權框架」(Information technology – Security techniques – Privacy framework)、ISO/IEC 29191:2012「資訊技術-安全技術-部分匿名及部分去連結鑑別之要求事項」(Information technology – Security techniques – Requirements for partially anonymous, partially unlinkable authentication),轉換為國家標準CNS 29100及CNS 29191,並據此制訂「個人資料去識別化過程驗證要求及控制措施」,提供個資去識別化之隱私框架,使組織、技術及程序等各層面得整體應用隱私權保護,並於標準公報(107年第24期)徵求新標準之意見至今年2月,草案編號為1071013「資訊技術-安全技術-個人可識別資訊去識別化過程管理系統-要求事項」(Management systems of personal identifiable information deidentification processes – Requirements),主要規定個資去識別化過程管理系統(personal information deidentification process management system, PIDIPMS)之要求事項,提供維護並改進個人資訊去識別化過程及良好實務作法之框架,並適用於所有擬管理其所建立之個資去識別化過程的組織。 貳、個人資料去識別化過程驗證要求及控制措施重點說明   由於前述說明之草案編號1071013去識別化國家標準仍在審議階段,因此以下以現行「個人資料去識別化過程驗證要求及控制措施」(以下簡稱控制措施)[1]說明。   去識別化係以個資整體生命週期為保護基礎,評估資料利用之風險,包括隱私權政策、隱私風險管理、隱私保護原則、去識別化過程、重新識別評鑑等程序,分別對應控制措施之五個章節[2]。控制措施旨在使組織能建立個資去識別化過程管理系統,以管理對其所控制之個人可識別資訊(personal identifiable information, PII)進行去識別化之過程。再就控制措施對應個人資料保護法(下稱個資法)說明如下:首先,組織應先確定去識別化需求為何,究係對「個資之蒐集或處理」或「為特定目的外之利用」(對應個資法第19條第1項第4、5款)接著,對應重點在於「適當安全維護措施」,依據個資法施行細則第12條第1項規定,公務機關或非公務機關為防止個資被竊取、竄改、毀損、滅失或洩漏,採取技術上及組織上之措施;而依據個資法施行細則第12條第2項規定,適當安全維護措施得包括11款事項,並以與所欲達成之個資保護目的間,具有適當比例為原則。以下簡要說明控制措施五大章節對應個資法: 一、隱私權政策   涉及PII處理之組織的高階管理階層,應依營運要求及相關法律與法規,建立隱私權政策,提供隱私權保護之管理指導方針及支持。對應個資法施行細則第12條第2項第5款適當安全維護措施事項「個人資料蒐集、處理及利用之內部管理程序」,即為涉及個資生命週期為保護基礎之管理程序,從蒐集、處理到利用為原則性規範,以建構個資去識別化過程管理系統。 二、PII隱私風險管理過程   組織應定期執行廣泛之PII風險管理活動並發展與其隱私保護有關的風險剖繪。直接對應規範即為個資法施行細則第12條第2項第3款「個人資料之風險評估及管理機制」。 三、PII之隱私權原則   組織蒐集、處理、利用PII應符合之11項原則,包含「同意及選擇原則」、「目的適法性及規定原則」、「蒐集限制原則」、「資料極小化原則」、「利用、保留及揭露限制」、「準確性及品質原則」、「公開、透通性及告知原則」、「個人參與及存取原則」、「可歸責性原則」、「資訊安全原則」,以及「隱私遵循原則」。以上原則涵蓋個資法施行細則第12條第2項之11款事項。 四、PII去識別化過程   組織應建立有效且周延之PII去識別化過程的治理結構、標準作業程序、非預期揭露備妥災難復原計畫,且組織之高階管理階層應監督及審查PII去識別化過程之治理的安排。個資法施行細則第17條所謂「無從識別特定當事人」定義,係指個資以代碼、匿名、隱藏部分資料或其他方式,無從辨識該特定個人者,組織於進行去識別化處理時,應依需求、風險評估等確認注意去識別化程度。 五、重新識別PII之要求   此章節為選驗項目,需具體依據組織去識別化需求,是否需要重新識別而決定是否適用;若選擇適用,則保留重新識別可能性,應回歸個資法規定保護個資。 參、小結   國際上目前無個資去識別化驗證標準及驗證作法可資遵循,因此現階段控制措施,係以個資整體生命週期為保護基礎,評估資料利用之風險,使組織能建立個資去識別化過程管理系統,以管理對其所控制之個人可識別資訊進行去識別化之過程,透過與個資法對照個資法施行細則第12條規定之安全維護措施之11款事項,內化為我國業者因應資料保護與資料去識別化管理制度。   控制措施預計於今年下半年發展為國家標準,遵循個資法與施行細則,以及CNS 29100、CNS 29191之國家標準,參照國際上相關指引與實務作法,於技術上建立驗證標準規範供產業遵循。由於國家標準無強制性,業者視需要評估導入,仍建議進行巨量資料應用等資料經濟創新業務,應重視處理個資之適法性,建立當事人得以信賴機制,將有助於產業資料應用之創新,並透過檢視資料利用目的之合理性與必要性,作為資料合理利用之判斷,是為去識別化治理之關鍵環節。 [1] 參酌財團法人電子檢驗中心,個人資料去識別化過程驗證,https://www.etc.org.tw/%E9%A9%97%E8%AD%89%E6%9C%8D%E5%8B%99/%E5%80%8B%E4%BA%BA%E8%B3%87%E6%96%99%E5%8E%BB%E8%AD%98%E5%88%A5%E5%8C%96%E9%81%8E%E7%A8%8B%E9%A9%97%E8%AD%89.aspx(最後瀏覽日:2019/6/4) 財團法人電子檢驗中心網站所公告之「個人資料去識別化過程自評表_v1」包含控制措施原則、要求事項與控制措施具體內容,該網站並未公告「個人資料去識別化過程驗證要求及控制措施」,故以下整理係以自評表為準。 [2] 分別為「隱私權政策」、「PII隱私風險管理過程」、「PII之隱私權原則」、「PII去識別化過程」、「重新識別PII之要求」。

TOP